CRYPTREC暗号リスト｜情報処理安全確保支援士 平成31年 春期午前Ⅱ試験 問9
出典：平成31年春期 午前Ⅱ 問9
分野：セキュリティ ／ 情報セキュリティ
総務省及び経済産業省が策定した"電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）"に関する記述のうち，適切なものはどれか。
- ア：CRYPTREC暗号リストにある運用監視暗号リストとは，運用監視システムにおける利用実績が十分であると判断され，電子政府において利用を推奨する暗号技術のリストである。
- イ：CRYPTREC暗号リストにある証明書失効リストとは，政府共用認証局が公開している，危殆化した暗号技術のリストである。
- ウ：CRYPTREC暗号リストにある推奨候補暗号リストとは，安全性及び実装性能が確認され，今後，電子政府推奨暗号リストに掲載される可能性がある暗号技術のリストである。
- エ：CRYPTREC暗号リストにある電子政府推奨暗号リストとは，互換性維持目的に限った継続利用を推奨する暗号技術のリストである。
TSUNAGARU-ADVICE
まず押さえたいこと
CRYPTREC暗号リストは、電子政府で調達時に参照すべき暗号技術を整理したリストです。この中の推奨候補暗号リストは、安全性及び実装性能が確認され、今後、電子政府推奨暗号リストに掲載される可能性がある暗号技術を示します。つまり、将来の推奨候補として評価された暗号技術です。
迷ったときの判断軸
電子政府での利用を推奨するものは電子政府推奨暗号リスト、互換性維持などの目的で継続利用を監視するものは運用監視暗号リストです。証明書失効リストはCRLのことであり、危殆化した暗号技術のリストではありません。推奨候補暗号リストは、今後推奨リストに入る可能性がある候補と判断しましょう。
科目Bにつなげるために
科目Bでは、暗号方式の選定・旧方式からの移行・システム間の互換性・調達時のセキュリティ要件などと絡めて問われることがあります。CRYPTREC暗号リストは、単なる暗号名の一覧ではなく、安全性・実装性能？利用実績・移行方針を踏まえて暗号技術を選ぶための基準として整理しておきましょう。
CRYPTREC暗号リストは、電子政府推奨暗号リスト・推奨候補暗号リスト・運用監視暗号リストの三つで構成されます。
推奨候補暗号リストには、安全性及び実装性能が確認されているものの、利用実績などの点から現時点では電子政府推奨暗号リストに掲載されておらず、今後掲載される可能性がある暗号技術が記載されます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：CRYPTREC暗号リストにある運用監視暗号リストとは，運用監視システムにおける利用実績が十分であると判断され，電子政府において利用を推奨する暗号技術のリストである。
⇒運用監視暗号リストは、実際に解読されるリスクが高まるなど、推奨すべき状態ではなくなった暗号技術のうち、互換性維持のために継続利用を容認するものを掲載したリストです。互換性維持以外の目的での利用は推奨されません。
イ：CRYPTREC暗号リストにある証明書失効リストとは，政府共用認証局が公開している，危殆化した暗号技術のリストである。
⇒CRYPTREC暗号リストに「証明書失効リスト」という区分はありません。証明書失効リストであるCRLは、有効期限内に失効したデジタル証明書のシリアル番号などを掲載するものであり、危殆化した暗号技術の一覧ではありません。
エ：CRYPTREC暗号リストにある電子政府推奨暗号リストとは，互換性維持目的に限った継続利用を推奨する暗号技術のリストである。
⇒互換性維持のために継続利用を容認する暗号技術を掲載するのは、運用監視暗号リストです。電子政府推奨暗号リストには、CRYPTRECによって安全性及び実装性能が確認され、政府情報システムでの利用が推奨される暗号技術が掲載されます。