PRISMスキャンダルは続く……

RSA会長に疑惑を直撃「RSAはNSAの情報収集に協力したのか？」

RSAが脆弱性のあるアルゴリズムを故意に採用し、NSAから報酬を得ていたという報道をきっかけに、RSAとNSAの関係が取り沙汰されてきた。Computer Weeklyは、あらためてコビエロ会長に疑惑をぶつけてみた。

　米ストレージベンダーEMCのセキュリティ部門であるRSAは、2014年2月に米サンフランシスコで恒例のカンファレンス「RSA Conference 2014」を開催。RSA会長兼EMC副社長のアート・コビエロ氏が基調講演を行った。そのスピーチは、同社と米国国家安全保障局（NSA）との関係についてのうわさを払拭するどころか、同社に対する疑惑の念を一層深めるものだった。RSAがNSAに協力して、広く利用される暗号化ツールに脆弱性のあるアルゴリズムを故意に採用したという参加者の告発に、同カンファレンスの議長（RSAの幹部）は時間を無駄にすることなく対処した。

　RSAがNSAに協力した件については、公的な記録にどう残るかの問題だ。だがNSAは、情報を収集する組織として一枚岩だったわけではないとコビエロ氏は強調する。コビエロ氏によると、RSAが接触していたのはNSA内でデータシステムと米国の重要な情報基盤を保護することを目的とする「Information Assurance Directorate」（IAD: 情報保障局）という部門で、IADは情報セキュリティ上の脅威に関する貴重な情報も提供しているからだという。

　また同氏は、NSAがセキュリティ専門家のコミュニティーの中で信用を得ていたのをいいことに、安全保障と情報収集の間の役割分担を曖昧にしてしまったことが、最近取り沙汰されている問題につながったと付け加えた。

　「今あらためてわれわれが無心になって周りの現実を見て、 われわれの業務の基準はどうあるべきかを問い直し、（暗号化キットに採用した）テクノロジーを振り返ると、実際に協力していたのはNSAのどの部署だったのか、NSA側のもくろみは何だったのか、 そしてわれわれはそもそもNSAに協力するべきではなかったのか、何も確信が持てない」とコビエロ氏は語る。

　しかし事態は収束にはほど遠く、コビエロ氏の講演を聞いた会議の参加者たちも、同氏の真意を測りかねていた。（安全保障と情報収集の間の）線引きを曖昧にしたのはNSAなのか。NSAの誘導に乗って、RSAは道を踏み外したのか。コビエロ氏の発言の真意は何だったのか。

　本誌Computer Weeklyはこれらの点について、コビエロ氏にあらためて問いただした。同氏の答えは次のようなものだった。「私が言いたかったのは、今はまだ何も分からないということだ。現在問題視されている点は、全て推測の域を出ない。NSAが（政府組織として、自国の情報を収集しやすくする暗号化技術を暗黙のうちに普及させるために）民間企業に何か働きかけをするなら、それは問題だ。また仮にNSAが既にそんな行動を取ったとすると、それも問題だ。ただ、これはあくまで『たられば』の話だ。だから今私が答えられるのは、何も分からない、ということだけだ」

暗号と推測

　一方コビエロ氏は、理論的には攻撃があり得るという懸念から、特定のアルゴリズムの使用を停止せよという勧告をNIST（National Institute of Standards and Technology：米国国立標準技術研究所）から受けた際に、RSAは早急に対応したという。

　「そもそも2000年に、当社の暗号化製品の事業は縮小し始めたということを忘れないでいただきたい」と同氏は付け加える。

　「（2000年の時点で）暗号化事業の縮小は避けられないと認識したので、以後は政府機関に協力して暗号化標準の策定に関与する立場から少し距離を置いて、単なる協力者として活動してきた」（コビエロ氏）

　こうして存続させてきたRSAの暗号化事業とは、NISTが主体となって進めるアルゴリズム仕様の標準化にRSAが協力し、策定された仕様をRSAは自社製品に組み込むというものだった。

　暗号化の世界でのRSAの存在感は小さくなっていたし、同社の製品は主に米連邦政府に納入していたので、同社には他社がつかんでいる以上の情報を得る手段もなかったとコビエロ氏は主張し、次のように語る。

この記事の著者

新着ホワイトペーパー PR

• 製品資料
  [NTTPCコミュニケーションズ株式会社] 「回線速度不足」だけが原因ではない？　Web会議の遅延を解決する方法とは
• 製品資料
  [東京エレクトロン デバイス株式会社] 工場の可用性向上に重要な「7つの領域」と対策　OTセキュリティ強化の基礎知識
• 製品資料
  [リコージャパン株式会社] 問い合わせ対応で本来の業務が進まない、総務や情シスの負担をどう減らす？
• 製品資料
  [リコージャパン株式会社] 自社データから高精度な回答を生成、簡単に生成AIチャットボットを構築する方法
• 技術文書・技術解説
  [アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？　使い方や導入の流れは？