やはりRSAはNSAに協力したのか? 新論文で深まるRSAへの疑惑Dual_EC_DRBGのバックドアはやはりあった?

RSAがNSAに協力したのか否か? 同社のコビエロ会長は本誌のインタビューで疑惑を否定したが、新たな証拠が発見され、疑惑が深まる結果となっている。

2014年05月22日 08時00分 公開
[Warwick Ashford,Computer Weekly]

関連キーワード

暗号化 | セキュリティホール


Computer Weekly

 米国国家安全保障局(NSA)が開発し、セキュリティ企業の米RSAが自社製品に採用した暗号化ツールは2種類あったことが判明した。2つ目の暗号化ツールは、インターネットに流れる情報を諜報機関が傍受する能力を大幅に高めるものだったことを示す論文が公開されたのだ。

Computer Weekly日本語版 5月21日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版 5月21日号」(PDF)掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

なお、同コンテンツのEPUB版およびKindle(MOBI)版も提供しています。


 2013年12月、カナダの通信社Reutersは、NSAがRSAに1000万ドルを支払い、現在疑惑を持たれている暗号化システムをRSAのセキュリティソフトウェアに採用するように働きかけたと報じた。その記事は、(NSAがRSAに採用させた)乱数生成アルゴリズムDual Elliptic Curve Deterministic Random Bit Generation (Dual_EC_DRBG)には意図的な欠陥、すなわちNSAが暗号化された通信を解読するための「バックドア」が含まれていたと伝えていた。

 この報道の直後、RSAは同社のブログで「当社製品を弱体化する意図に基づく契約、または将来『バックドア』として誰かが利用する可能性があるものを当社製品に組み込む契約を、当社が結んだことはない」と説明した。

 しかし最近Reutersは、オランダの大学の研究者とアメリカの幾つかの大学の研究者から構成されるチームが論文を発表したことをあらためて報じた。その論文では、暗号化されたデータを解読するためにNSAが提供した2番目のツールが確認されたとされている。研究者チームが発見したのは「Extended Random」というツールの拡張機能で、セキュリティが設定されているWebサイトに対して実行する。Extended Randomを使用すると、RSAが提供しているバージョンのDual_EC_DRBG(で暗号化された通信)を解読する速度が6万5000倍になるという。

 Reutersの新たな報道によると、Extended Randomプロトコルは、米国防総省が資金を提供して2008年にまとめられた論文の中で、Dual_EC_DRBGによって生成された数字の乱数性を高める方法として推奨されていた。

 Extended Randomがツールに組み込まれた実績は多くないものの、このたび公開された論文は、NSAが暗号化製品を製造する会社に働きかけることで監視の範囲を広げた過程に焦点を当てているとReutersは伝えている。

 RSAは、「当社には製品のセキュリティを劣化させる意図はなく、Extended Randomは利用頻度も高くないことが分かったため、6カ月前に当社の製品から削除した」と説明した。

 「NSAが(特定のアルゴリズムを推奨した)本当の意図に、もっと疑いの目を向ければよかった」と、RSAの主任テクノロジストであるサム・カリー氏はReutersに対して後悔の念を明かした。「われわれはすっかりNSAを信頼していた。NSAは米国政府と米国内の重要なインフラの安全保障を担当している機関だから」(カリー氏)

 ただし、RSAが同社のセキュリティソフトウェア「BSAFE」に、Dual_EC_DRBGのみならずExtended Randomも組み込んだことに対して、政府機関が対価を支払ったかどうかについては、カリー氏はコメントを拒否した。

 2014年2月にRSAが開催したカンファレンス「RSA Conference 2014」で、RSA会長のアート・コビエロ氏は、RSAがNSAと結託していたといううわさを否定した(訳注)。同氏は、NSIT(National Institute of Standards and Technology:米国国立標準技術研究所)が新たなガイダンスを発表し、Dual_EC_DRBGアルゴリズムの使用を停止するよう勧告した際にRSAは早急に対応し、顧客に告知した上でこのアルゴリズムを製品から削除する手続きを取ったと説明した。

訳注:本誌「4月16日号:クラウドの活用を阻むIT部門」に全文を掲載している。

 またコビエロ氏は続けて次のように語った。

Copyright © ITmedia, Inc. All Rights Reserved.

隴�スー騾ケツ€郢晏ク厥。郢ァ�、郢晏現�ス郢晢スシ郢昜サ」�ス

事例 ゼットスケーラー株式会社

VPNを狙う攻撃が増加、いま必要な「従業員に意識させないセキュアな環境」とは

チョープロではVPNによるリモートアクセス環境を構築していた。しかし、VPNによるセキュリティ対策に限界を感じたことから、VPNに頼らないシステム環境の構築を目指した。同社が実現した「従業員に意識させないセキュアな環境」とは?

市場調査・トレンド ゼットスケーラー株式会社

Zscaler ThreatLabz「ランサムウェアレポート」(2024年版)

猛威を振るうランサムウェア攻撃に対抗するためには、脅威の最新動向を知ることが重要になる。そこで2024年版の「ランサムウェアレポート」から「攻撃の標的」「ランサムウェアファミリー」「効果的な防御戦略」などを紹介する。

事例 ゼットスケーラー株式会社

大和証券に学ぶゼロトラスト導入 短期間で成功させるための3つのポイントとは

多方面で事業を展開する大和証券グループでは、セキュリティを強化するためにゼロトラストへの転換を図った。そこで、あるゼロトラストセキュリティソリューションを導入し、短期間で実現したという。選定の理由や導入の効果を解説する。

製品資料 ゾーホージャパン株式会社

医療業界を襲うランサムウェアや持続的標的型攻撃、どう対処すればよいのか?

半田病院への攻撃をはじめとし、医療業界は依然マルウェア攻撃やDDoS攻撃といったサイバー脅威に頻繁にさらされている。IoTやデジタル治療も普及する中、患者の健康情報を犯罪者から守り、多様な規制にも対応するにはどうすればよいのか。

事例 キヤノンマーケティングジャパン株式会社

大手前学園の事例に学ぶ、人材不足でも強固なセキュリティを実現する方法

教育機関を狙うサイバー攻撃が増加傾向にある。教育活動の安全を守るためには、セキュリティ強化が不可欠だが、多くの教育機関でインシデントに対処できる人材が不足している。本資料では、この問題を解決した大手前学園の事例を紹介する。

アイティメディアからのお知らせ

From Informa TechTarget

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ
ネットワークの問題は「帯域幅を増やせば解決する」と考えてはいないだろうか。こうした誤解をしているIT担当者は珍しくない。ネットワークを快適に利用するために、持つべき視点とは。

繧「繧ッ繧サ繧ケ繝ゥ繝ウ繧ュ繝ウ繧ー

2025/07/24 UPDATE

  1. 縺ェ縺懊€係indows Hello縲阪�窶懊ヱ繧ケ繝ッ繝シ繝我ク崎ヲ≫€昴〒繧ゆソ。鬆シ縺ァ縺阪k縺ョ縺具シ�
  2. 蠕捺・ュ蜩。縺ョ辟。譁ュ蛻ゥ逕ィ縺梧魚縺上€後す繝」繝峨�AI縲阪〒逋コ逕溘@蠕励k窶懊→繧薙〒繧ゅ↑縺�€�4縺、縺ョ繝ェ繧ケ繧ッ縺ィ縺ッ
  3. 繝代せ繝ッ繝シ繝峨→莨シ縺ヲ縺�k縺代←螳牙�諤ァ縺悟、ァ驕輔>�溘€€縲後ヱ繧ケ繧ュ繝シ縲阪€後ヱ繧ケ繝輔Ξ繝シ繧コ縲阪→縺ッ
  4. 縺ェ縺懊€後さ繝シ繝臥函謌植I縲阪r菫。縺倥※縺ッ縺�¢縺ェ縺�シ溘€€萓ソ蛻ゥ縺輔↓貎懊�窶�5縺、縺ョ繝ェ繧ケ繧ッ窶�
  5. 縲瑚コォ莉」驥代r謾ッ謇輔≧縲堺サ・螟悶�繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「蟇セ遲悶�譛ャ蠖薙↓縺ゅk縺ョ縺具シ�
  6. 窶懊←繧後′蜊ア髯コ縺銀€昴〒縺ッ縺ェ縺上€郡aaS縺昴�繧ゅ�縺瑚�蜻ス逧�€阪€€驥題檮CISO縺瑚。晄茶縺ョ荳€螢ー
  7. 縺ェ縺懊€後Μ繝「繝シ繝医い繧ッ繧サ繧ケ縲阪�蜊ア髯コ縺ェ縺ョ縺九€€繝�Ξ繝ッ繝シ繧ォ繝シ縺梧魚縺�12縺ョ關ス縺ィ縺礼ゥエ
  8. 繝代せ繝ッ繝シ繝我ク崎ヲ√�縲後ヱ繧ケ繧ュ繝シ縲阪�繝。繝ェ繝�ヨ縺ィ窶懆ヲ矩℃縺斐○縺ェ縺�ウィ諢冗せ窶昴r隗」隱ャ
  9. 縲後ヱ繧ケ繝ッ繝シ繝峨d繧√∪縺吶€阪€€闍ア蝗ス謾ソ蠎懊′窶懊ヱ繧ケ繧ュ繝シ窶昴r菴ソ縺��縺ッ縺ェ縺懶シ�
  10. 縲係indows Hello縲阪↓繧医k窶懆┳繝代せ繝ッ繝シ繝俄€昴�繧ゅ≧蟶ク隴假シ溘€€縺昴�隱崎ィシ讖溯�縺ィ縺ッ

ITmedia マーケティング新着記事

news017.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。

news027.png

「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...