開発者に聞く

このコーナーでは、日立製作所の研究所等で研究・開発を行っている技術テーマを中心としたコラムをお届けします。 研究員にインタビューを行い、技術テーマ解説・開発過程におけるエピソードなどを交えてわかり易くご案内いたします。

国際標準に認定された「日立ストリーム暗号方式」 〜大容量データの高速暗号化と改ざん検知を容易に実現〜

■ 日本でいち早くストリーム暗号の開発に着手

−　ストリーム暗号と、これまでよく知られているブロック暗号とは、どのような違いがあるのでしょうか。
宝木：　米国暗号標準DESや、日立のMULTI2などに代表される「ブロック暗号」は、現在もっとも幅広く利用されている暗号形式です。平文をブロックと呼ばれる一定の長さに区切って処理するためこう呼ばれているわけですが、大容量のデータを高速処理したり、携帯電話などの小型機器に実装する用途でいえば、擬似乱数生成器を使って平文を1ビットあるいは数ビット単位で暗号化する「ストリーム暗号」の方が優れています。ストリーム暗号はもともと、国家機密を守る世界などで使われていたものですが、そういったニーズに対応して近年急速に商用化が進んできました。
−　そこで日立もストリーム暗号の開発に乗り出したわけですね。
古屋：　日本企業でいち早く仕様公開可能なストリーム暗号の開発に着手したのが日立です。最初の特許を取ったのが1999年ですので、実際にはその数年前から開発を進めていました。世の中がブロック暗号一辺倒だった頃から取り組んでいたわけですから、技術やノウハウの蓄積では業界でも数歩先を行っていたと自負しています。
−　今回、日本標準と世界標準の双方に認定された日立のストリーム暗号には「MUGI」と「MULTI-S01」の2種類がありますね。それぞれの特長を詳しく教えてください。
渡辺：　私が中心となって2001年に開発した「MUGI」は、高速処理はもちろんのこと、商用製品として絶対破られてはならないという高度な安全性を重視しました。安全部品には実績あるAES＊を用いる一方で、MUGI全体の広域的なかくはんには独自の構造を採用したことで、安全性を保ちながら計算スループットを大幅に向上させることに成功しました。例えばIntel®社製のPentium®4プロセッサでは、ソフトウェアでの実質暗号処理がギガビットレートに達します。これならIPPhoneやテレビ会議システムなど、圧縮他の処理に計算機能力を多くとられる環境でも残りの計算機余力で暗号処理を行うことで高速通信にも余裕を持って対応できます。	図1　メディア配信の脅威 ※クリックして拡大図をご覧下さい
また、カスタムLSIを適用すれば、毎秒10ギガビット超のスループットを達成することが可能です。
宝木：　ストリーム暗号は安全性にケチがついたら、その時点でもう負けです。ですから仕様を公表した後、学会内や企業どうしでパズルの解き合いみたいなことをやる。そこで過去10個ぐらい発表された世界中のストリーム暗号で、解読されなかったのはMUGIともう1つぐらい。他は軒並みリタイア状態になっているんです。MUGIは、現在の米国暗号標準AESを開発したベルギー・ルーベン大学との共同研究による安全性評価をクリアしていますから、まさに世界トップレベルの安全性と高速性を兼ね備えた暗号と言えるわけです。
−　ちなみにこのMUGIというネーミングはどこからとったのですか？
渡辺：　安全性に重要な部分の図を紙に書いていくと、ある時それが“麦の稲穂”のように見えるなと気づいたんです。それで開発コードを“MUGI”にしたんですが、評判がよかったので正式名称としても採用していただきました（笑）。
古屋：　ちゃんと商標までとりましたよね。

■ データ秘匿に加え、改ざん検知もあわせて実現

−　もう1つの「MULTI-S01」とは、どのような暗号なのでしょうか。
古屋：　私が中心となって開発した「MULTI-S01」は、「MUGI」と違って単体で暗号化するための製品ではありません。「MUGI」をはじめとする他の暗号と組み合わせ、課金情報や著作権情報などが途中で改ざんされていないかどうかを検知するフィルターのようなものだと考えてください。従来のストリーム暗号では、通信途中の暗号文の1か所を変化させると、復号文の同じ個所も変化して、その変化を知ることが難しいという弱点がありました。そのウィークポイントを解決するために考案したものです。
−　既存のストリーム暗号では改ざんを防ぐことができないのですか？
古屋：　訂正符号はありますが、ミスが起こっても「大丈夫だよ」と直すだけなので、悪意ある人がつじつまの合うように改ざんすると、ほとんど気づかないケースが多いんですね。例えば、ある映画コンテンツの1時間あたりの課金情報が150円だとすると、それを誰かが50円にしてしまってもわからない。それでは困るということで、暗号文が1か所でも変えられたら、文の最後までグシャグシャにエラーを作ってしまうようなかくはん関数を見つけまして、これを内部構造にうまく埋め込む暗号設計を行いました。今までのストリーム暗号は普通に足し算するような形式でしたが、今回は何かノイズが入ったらノイズが最後まで続くような内部状態をわざと作ってやったというイメージです。
−　今まで誰も考えつかなかったアイデアが、よく浮かびましたね。 古屋：　別の暗号に関する共同研究でケンブリッジ大学に行っていた際、現地の学者と議論を交わしていた最中に、ふと思いついたんです。「必要は発明の母」という言葉がありますが、やはり外部の人と交わると自分の持っている常識が切り替わり、新しいアイデアが生まれるものなんだなあと実感しましたね（笑）。	図2　日立のストリーム暗号技術 ※クリックして拡大図をご覧下さい

■ 「国際標準」の次は「業界標準」をめざす

−　この2つの暗号は2003年4月に総務省・経済産業省が策定した「電子政府推奨暗号」として認定されただけでなく、2004年10月にはストリーム暗号としては初のISO標準、いわゆる「国際標準」としても認められ、間もなくISO/IEC18033-4「ストリーム暗号」標準書として発行されるのを待つばかりの状態となりました。非常に価値の大きな仕事になりましたね。

宝木：　嬉しいですね。ここにいる二人だけでなく、暗号開発に携わってきたメンバーたち全員の努力と苦労が報われた気持ちがします。これまでストリーム暗号の分野では世界中の暗号研究者の評価に耐える、安全で高性能な技術が確立されていなかったことから、標準化が進んでいませんでした。しかし今回の「MUGI」と「MULTI-S01」によって、データ秘匿とデータ改ざん検知が安全に行われることが国際的にも保証されたわけです。 　今後は実質的な業界標準、いわゆるデファクトスタンダードとしての地位を獲得できるよう、さらなる啓蒙と普及活動に取り組んでいきたいと思います。そのためにもまずは、日立グループのいろいろな製品やビジネスに、この暗号を使っていただきながら、機能と使いやすさを一段と高めていくことが重要な課題になっていくでしょう。

−　2つの暗号が世界中でメジャーな存在になるのも時間の問題といえそうですね。今日はどうもありがとうございました。

＊ AES（Advanced Encryption Standard）＝米国暗号標準

（次ページへ）

[ Back ]　2 / 3　[ Next ]