暗号 / 電子署名 / ブロックチェーン

2024.09.16

金融庁 「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」(第1回)議事要旨 (会議は2024.07.18)

こんにちは、丸山満彦です。

2024.07.18に金融庁が、「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」(第1回)議事要旨が公表されていますね。。。


  • 金融機関が既存のシステムについて対応が求められるという観点だけではなく、新たなビジネスを展開するうえでPQCを考慮する意義があるという観点が必要である。
  • データの保秘が求められる年数に基づいて逆算して対応する必要がある。量子コンピュータの実用化が2030年と決まっているわけではないが、例えば、ATM一つをとっても移行には10年、20年という時間を要する可能性があるため、リードタイムを考慮して計画する必要がある。
  • 本件は自助・公助・共助の観点で進めていく必要がある。また、2030年の時点でどのような状況となることを想定し、いつからハーベスト攻撃が行われるかといった点や、NISTが推奨する方式が実現可能な状況となったときに、金融業界としてなぜ対応できないのかが問われるようになるといった点も考慮する必要がある。
  • 座長資料の論点案で、本成果物をもとに、業態にあわせて概要版を各業態で作成することが言及されているが、本件は業態で対応論点が異なるものではないと思われる。可能であれば検討会でまとめてほしい。
  • 業態ごとに書き分ける必要がなければ、預金取扱金融機関全体でひとつでもよいと考える。
  • 成果物のまとめ方として、各金融機関で取り組むべき課題と、金融機関が共同で取り組むべきものを分けてまとめるべき。共同で取り組むものについては、リソースの共有・分担等のアイデアを、成果物にうまく反映できることが望ましい。
  • 金融機関が単独で対応できることもあれば、取引所などを含め、全員に影響があるファシリティを提供しているところもあり、その場合は参加者等が共同で対応すべきこともあるだろう。検討会では、次のステップとして、成果物公表後の対応についても議論できるとよい。
  • 2030年を量子コンピュータが実現する年として置いているが、情報の保管期限と移行期間の両方を勘案したうえで、優先順位を決めていくことが必要である。金融業界は、電力などに依存しているが、金融業界以外に同様の動きはあるのか、あるいは、金融業界が先陣を切っているのか。また、国外の状況はどうか。
  • (事務局)金融は重要インフラの一つであることを踏まえると、他分野の状況如何にかかわらず、検討を進めていければと思う。
  • 欧州では、PQCへの移行のためのR&Dプロジェクトが複数立ち上がっている。
  • ITベンダー・SIerにどう働きかけるべきか、PQC移行を念頭に置いた暗号アジリティを確保した調達をどう考えるかも考慮すべき。
  • SIerだけではなく、製品の調達面もある。
  • 欧米の金融機関ではインベントリ作成のための棚卸に2年かかったと聞く。また、ITインベントリを作成して資産を管理していても、暗号方式を改めて調べる必要があったとも聞いている。相応の準備期間を要するため、今から開始して早過ぎるということはないのではないか。
  • 日本の金融機関の場合、インベントリをしっかり整備できているところは少ないと想像する。クリプトインベントリを作成するとなると苦戦するだろう。このため、欧米のやり方をそのまま採用するというよりも、日本では、先に優先度に応じてターゲットを絞った上で整備するという方法も考えうる。
  • 高齢者、中小企業ユーザを含め、顧客に働き掛けていかなければならない部分もありうる。例えば、TLS1.0の使用を廃止する際、ガラケーの顧客への配慮から、使用を継続すべきとの考えもありえたが、セキュリティを考えると使用継続は顧客のためにならないため廃止に踏み切った。同じようなことがPQC対応でも出てくるだろう。利用者の環境をいかにアップデートしていくか、必要性を理解していただくかといった観点がPQC移行を円滑に進めていくうえで重要。
  • 顧客に伝えていくという点では、金融機関が同じタイミングに同じ言葉で語り掛けないと理解されにくい。サードパーティ・取引先に対してもそのような調整ができればよい。
  • 海外では、PQCに関するホワイトペーパーも出ているが、日本では出ておらず、インパクトがあまり知られていない。CRYPTRECの取り組みがあるくらいか。
  • NISCの重要インフラレターのなかに、PQCに関する内容も出始めているが、当局からの情報発信も、バラバラではなく統一感を持って取り組んだ方がよいと思われる。
  • 政府がどのようにメッセージを発信していくのかという点も踏まえる必要がある。
  • 成果物の想定読者は、IT関係者だと思うが、経営へのメッセージも盛り込んではどうか。CIO、企画部門など、組織の上のレイヤーとの関係も考える必要がある。
  • 顧客に対してどう対処するか等を含め、様々なところで本件を共有することになるので、業界内でも共助の組織も含めて課題として考えていくことが必要。
  • 相当に長い期間取り組むことになるので、経営へのメッセージは盛り込みたい。
  • 当局の指示で対応するというより、共助の一環として取り組む方が効率的である。
  • (事務局)金融機関の経営者に発すべきメッセージは、業態によって異なる可能性がある。例えば、業態共通のシステムの運営を担っている組織がある場合、その組織が対応する部分と、個々の金融機関が対応する部分があり得るので、業態ごとに各主体が対応すべき範囲が異なることが考えられる。
  • PQCに移行と書かれているが、どのPQCに移行するかまで決めないと、相互接続などの問題で使用できないということも考えうる。NISTについても、複数の方式が選定されており、その中のどの方式が主流になるかは現時点では不明であり、注意すべき。
  • PQCは、暗号の中でも新しい技術であり、まだ知られていない攻撃手法やPQCを破る特有の攻撃手法が出てくる可能性がある。素因数分解型の暗号(RSA)などのように長い蓄積がないので、そういう可能性があるということも認識しておくことが必要。また、実装物が少なく、実装攻撃に対する耐性が不明であるため、アルゴリズムとしては安全だが、モノになった瞬間に破られる可能性があり、そういう点も含めてリスク管理を検討することが必要。
  • PQC暗号導入後に脆弱性が見つかる可能性があり、暗号入替を前提としたシステム実装が必要であるため、暗号アジリティの観点は重要である。
  • 初期段階は既存暗号とPQCとのハイブリッド方式での実装も想定され、最終的にPQCだけに移行するため、その観点でも暗号アジリティが重要である。  

 

金融機関における耐量子暗号への移行問題は、どう考えても業務継続の観点で考えるのが重要で、それ以外については別途の委員会で検討をしたほうがよいのではないでしょうかね...

あと、戦略とその戦略を実現するためのロードマップを作成し、その過程で利害関係者と共通認識をもてるようにするのがよいと思います。

 

金融庁

「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」(第1回)議事要旨

1_20240916091401

 

 

| | Comments (0)

2024.09.14

米国 NIST IR 8459 NIST SP 800-38シリーズにおけるブロック暗号利用モードに関する報告書 (2024.09.10)

こんにちは、丸山満彦です。

NISTが、IR 8459 NIST SP 800-38シリーズにおけるブロック暗号利用モードに関する報告書を公表していますね...

SP800-38A-Fの暗号利用モードについてのアルゴリズムと実装についての簡単な調査の結果とその結果に基づく標準の改善提言を示したもののようですね...SP800-38Gは現在改訂中...(といっても、2019年2月にドラフトの意見募集してから5年...)

 

NIST - ITL

・2024.09.10 NIST IR 8459 Report on the Block Cipher Modes of Operation in the NIST SP 800-38 Series

NIST IR 8459 Report on the Block Cipher Modes of Operation in the NIST SP 800-38 Series NIST IR 8459 NIST SP 800-38シリーズのブロック暗号利用モードに関する報告書
Abstract 概要
This report focuses on the NIST-recommended block cipher modes of operation specified in NIST Special Publications (SP) 800-38A through 800-38F. The goal is to provide a concise survey of relevant research results about the algorithms and their implementations. Based on these findings, the report concludes with a set of recommendations to improve the corresponding standards. 本報告書は、NIST 特別刊行物(SP)800-38A から 800-38F で指定されている NIST 推奨のブロック暗号利用モードに焦点を当てる。その目的は、アルゴリズムとその実装に関する関連研究結果の簡潔なサーベイを提供することである。これらの知見に基づき、本報告書は、対応する標準を改善するための一連の提言で締めくくられている。

 

・[PDF] NIST.IR.8459

20240914-103255

目次...

1. Introduction 1. 序文
2. Scope 2. 適用範囲
3. Modes of Operation 3. 運用モード
4. NIST SP 800-38A: Five Confidentiality Modes 4. NIST SP 800-38A: 5つの機密保持モード
 4.1. Initialization Vector (IV)  4.1. 初期化ベクトル(IV)
 4.2. Plaintext Length  4.2. 平文の長さ
 4.3. Block Size  4.3. ブロックサイズ
5. NIST SP 800-38B: The CMAC Mode for Authentication 5. NIST SP 800-38B: 認証のためのCMACモード
6. NIST SP 800-38C: The CCM Mode for Authentication and Confidentiality 6. NIST SP 800-38C:認証と機密性のためのCCMモード
7. NIST SP 800-38D: Galois/Counter Mode (GCM) and GMAC 7. NIST SP 800-38D:ガロア/カウンタ・モード(GCM)と GMAC
8. NIST SP 800-38E: The XTS-AES Mode for Confidentiality on Storage Devices 8. NIST SP 800-38E: ストレージ・デバイスにおける機密性のための XTS-AES モード
9. NIST SP 800-38F: Methods for Key Wrapping 9. NIST SP 800-38F: キーラッピングの方法
10. Implementation Considerations 10. 実装上の考慮事項
11. Editorial Comments 11. 編集コメント
12. Recommendations 12. 提言事項
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書 A. 記号、略語、頭字語のリスト
Appendix B. Glossary 附属書B. 用語集

 

序文...

1. Introduction  1. 序文 
NIST Interagency or Internal Report (NIST IR) 8319 [55] focuses on the Advanced Encryption Standard (AES) [22] that was standardized in FIPS 197 [58]. AES is one of only two block ciphers that are currently standardized by NIST. The other is the Triple Data Encryption Algorithm (TDEA) [10], also known as Triple-DES (Data Encryption Standard). Triple-DES is deprecated and will be disallowed after 2023 [11].  NIST 省庁間報告書または内部報告書 (NIST IR) 8319 [55]は、FIPS 197 [58]で標準化された高度暗号化標準 (AES) [22]に焦点を当てている。AES は、現在 NIST によって標準化されている 2 つのブロック暗号のうちの 1 つである。もう1つはTDEA(Triple Data Encryption Algorithm)[10]で、Triple-DES(Data Encryption Standard)としても知られている。トリプルDESは非推奨であり、2023年以降は使用できなくなる[11]。
A block cipher can only process inputs of a specific length, known as the block size. AES has a block size of 128 bits, and Triple-DES has a block size of 64 bits. To process inputs of other lengths, it is necessary to use a mode of operation. A mode of operation can process shorter or larger inputs by performing one or more calls to an underlying block cipher.  ブロック暗号は、ブロックサイズとして知られる特定の長さの入力のみを処理できる。AES のブロックサイズは 128 ビットであり、Triple-DES のブロックサイズは 64 ビットである。それ以外の長さの入力を処理するには、動作モードを使用する必要がある。ブロック暗号利用モードでは、基礎となるブロック暗号を 1 回または複数回呼び出すことで、より短い入力やより大きな入力を処理することができる。
In fact, it is possible to claim that a block cipher is always used in combination with a mode of operation: using a block cipher “directly” is equivalent to using it in the Electronic Codebook (ECB) mode with the restriction that the input must be exactly one block in length (e.g., 128 bits in the case of AES). Therefore, the real-world applications of the NIST-recommended modes of operation overlap with the applications of the underlying block cipher and include virtually all web browsers, Wi-Fi and cellular devices, and contact and contactless chip cards, as described in NIST IR 8319 [55].  ブロック暗号を 「直接 」利用することは、入力が正確に1ブロック長(例えばAESの場合は128ビット)でなければならないという制約の下、ECB(Electronic Codebook)モードで利用することと同じである。そのため、NIST が推奨するブロック暗号利用モードの実世界での用途は、基礎となるブロック暗号の用途と重複しており、NIST IR 8319 [55]に記載されているように、事実上すべてのウェブブラウザ、Wi-Fi およびセルラーデバイス、接触型および非接触型のチップカードが含まれる。
Therefore, a logical next step after NIST IR 8319 is to analyze the recommended modes of operation. This report analyzes the block cipher modes of operation that are standardized in NIST Special Publication (SP) 800-38A through 800-38F. More specifically:  従って、NIST IR 8319 の次の論理的なステップは、推奨される動作モードを分析することである。本報告書では、NIST 特別刊行物(SP)800-38A から 800-38F で標準化されているブロック暗号利用モードを分析する。具体的には以下の通りである: 
・NIST SP 800-38A [25] defines the Electronic Codebook (ECB), Cipher Block Chaining (CBC), Cipher Feedback (CFB), Output Feedback (OFB), and Counter (CTR) modes, which will be referred to collectively as the “five confidentiality modes.”  NIST SP 800-38A [25]は、電子符号表(ECB)暗号ブロック連鎖(CBC)暗号フィードバック (CFB)出力フィードバック(OFB)カウンタ(CTR)の5つのモードを定義している。
・The Addendum to NIST SP 800-38A [26] defines three variants of the CBC mode: the CBC-CS1, CBC-CS2, and CBC-CS3 modes, where “CS” indicates “ciphertext stealing.”  NIST SP 800-38A [26]の補遺は、CBC モードの 3 つのバリエーション、CBC-CS1、CBC-CS2、 CBC-CS3 モードを定義している。
・NIST SP 800-38B [27] defines the Cipher-based Message Authentication Code (CMAC) mode.  NIST SP 800-38B [27]は、暗号ベースのメッセージ認証コード(CMAC)モードを定義している。
・NIST SP 800-38C [28] defines the Counter with Cipher Block Chaining-Message Authentication Code (CCM) mode.  NIST SP 800-38C [28]は、暗号ブロック連鎖によるカウンター-メッセージ認証コード(CCM

 

モードを定義している。
・NIST SP 800-38D [29] defines the Galois/Counter Mode (GCM) and its specialization GMAC to generate a Message Authentication Code (MAC).  NIST SP 800-38D [29]は、メッセージ認証コード(MAC)を生成するためのガロア/カウンタモード(GCM)その特殊化 GMAC を定義している。
・NIST SP 800-38E [30] defines the XTS-AES mode, where XTS stands for “XEX Tweakable block cipher with ciphertext Stealing,” and XEX stands for “eXclusive-or Encrypt eXclusive-or.”  NST SP800-38E[30]は、XTS-AESを定義している。XTS は 「XEX 暗号文ステアリンによる微調整可能なブロック暗号
」の略であり、XEX は 「排他的論理和あるいは暗号排他的論理和 」の略である。
・NIST SP 800-38F [31] defines the AES Key Wrap (KW) mode, the AES Key Wrap with Padding (KWP) mode, and the TDEA Key Wrap (TKW) mode.  NIST SP 800-38F [31]は、AESキーラップ(KW)モード、パディング付きAESキーラップ(KWP)モード、 TDEAキーラップ(TKW)モードを定義している。
Note that NIST SP 800-38G [32], which defines the Format-Preserving Encryption (FPE) modes FF1 and FF3, is currently undergoing a revision that is proposed in Draft NIST SP 80038G, Rev. 1 [33].    なお、NIST SP 800-38G [32]は、フォーマット保持暗号化(FPE)モード FF1 および FF3 を定義しているが、現在改訂中であり、ドラフト NIST SP 80038G, Rev. 1 [33]で提案されている。  

 

NIST SP800-38シリーズ...

2010.10.21 SP800-38A Final Recommendation for Block Cipher Modes of Operation: Three Variants of Ciphertext Stealing for CBC Mode ブロック暗号利用モードの推奨:CBCモードにおける暗号文盗用の3つのバリエーション
2001.12.01 SP800-38A Final Recommendation for Block Cipher Modes of Operation: Methods and Techniques ブロック暗号利用モードの推奨:方法と技術
2016.10.06 SP800-38B Final Recommendation for Block Cipher Modes of Operation: the CMAC Mode for Authentication ブロック暗号利用モードの推奨:認証のためのCMACモード
2007.07.20 SP800-38C Final Recommendation for Block Cipher Modes of Operation: the CCM Mode for Authentication and Confidentiality ブロック暗号利用モードの推奨:認証と機密性のためのCCMモード
2007.11.28 SP800-38D Final Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC ブロック暗号利用モードの推奨:ガロア/カウンタ・モード(GCM)とGMAC
2010.01.18 SP800-38E Final Recommendation for Block Cipher Modes of Operation: the XTS-AES Mode for Confidentiality on Storage Devices ブロック暗号利用モードの推奨:XTS-AESモード(ストレージデバイス上の秘匿用
2012.12.13 SP800-38F Final Recommendation for Block Cipher Modes of Operation: Methods for Key Wrapping ブロック暗号利用モードの推奨:キーラッピングの方法
2016.08.04 SP800-38G Final Recommendation for Block Cipher Modes of Operation: Methods for Format-Preserving Encryption ブロック暗号利用モードの推奨:フォーマット保持暗号化の方法
2019.02.28 SP800-38G Rev. 1 Draft Recommendation for Block Cipher Modes of Operation: Methods for Format-Preserving Encryption ブロック暗号利用モードの推奨:フォーマット保持暗号化の方法

 

FIPS197とIR8319

2023.05.09 FIPS197 Final Advanced Encryption Standard (AES) 高度暗号化標準 (AES)
2021.07.23 IR8319 Final Review of the Advanced Encryption Standard 高度暗号化標準の見直し

 

 

| | Comments (0)

2024.09.05

米国 FBI 巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮 (2024.09.03)

こんにちは、丸山満彦です。

FBI、IC3が一般向けに北朝鮮によるソーシャルエンジニアリング攻撃をつかった暗号資産の窃取についての注意喚起を行っていますね...

ターゲットを決めて、個別化したメール等を使い、何度もやりとりをしながら信頼を得て...

ということで、大口顧客には、本気で取り組んできているようですね...

暗号資産をたくさんお持ちの方は、気をつけてくださいませ...

 

 Internet Crime Complaint Center; IC3

Alert Number: I-090324-PSA

20240905-154100

・2024.09.03 North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks

North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks 巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮
The Democratic People's Republic of Korea ("DPRK" aka North Korea) is conducting highly tailored, difficult-to-detect social engineering campaigns against employees of decentralized finance ("DeFi"), cryptocurrency, and similar businesses to deploy malware and steal company cryptocurrency. 朝鮮民主主義人民共和国(「DPRK」、通称北朝鮮)は、分散型金融(「DeFi」)、暗号通貨、および類似の事業に従事する従業員を標的に、高度にカスタマイズされた検知が困難なソーシャルエンジニアリングキャンペーンを実施し、マルウェアを展開して企業の暗号通貨を盗んでいる。
North Korean social engineering schemes are complex and elaborate, often compromising victims with sophisticated technical acumen. Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets. 北朝鮮のソーシャルエンジニアリングの手法は複雑かつ巧妙で、高度な技術的洞察力を駆使して被害者を陥れることが多い。この悪質な活動の規模と持続性を考えると、サイバーセキュリティの実践に精通している人でも、暗号資産に接続されたネットワークを侵害しようとする北朝鮮の決意に対して脆弱性がある可能性がある。
North Korean malicious cyber actors conducted research on a variety of targets connected to cryptocurrency exchange-traded funds (ETFs) over the last several months. This research included pre-operational preparations suggesting North Korean actors may attempt malicious cyber activities against companies associated with cryptocurrency ETFs or other cryptocurrency-related financial products. 北朝鮮の悪意あるサイバー犯罪者は、過去数か月にわたり、暗号通貨上場投資信託(ETF)に関連するさまざまなターゲットについて調査を行っていた。この調査には、北朝鮮の行為者が暗号通貨ETFやその他の暗号通貨関連金融商品に関連する企業に対して悪意のあるサイバー活動を試みる可能性を示唆する、事前活動準備が含まれていた。
For companies active in or associated with the cryptocurrency sector, the FBI emphasizes North Korea employs sophisticated tactics to steal cryptocurrency funds and is a persistent threat to organizations with access to large quantities of cryptocurrency-related assets or products. 暗号通貨部門で活動している、または関連している企業に対して、FBIは、北朝鮮が高度な戦術を用いて暗号通貨資金を盗み、大量の暗号通貨関連資産または製品にアクセスできる組織に対して持続的な脅威となっていることを強調している。
This announcement includes an overview of the social engineering tactics North Korean state-sponsored actors use against victims working in DeFi, cryptocurrency, and related industries; potential indicators of North Korean social engineering activity; mitigation measures for those most at risk; and steps to take if you or your company may have been victimized. この発表では、北朝鮮の国家支援を受けた攻撃者が、DeFi、暗号通貨、および関連業界で働く被害者に対して使用するソーシャルエンジニアリング戦術の概要、北朝鮮のソーシャルエンジニアリング活動の潜在的な兆候、最もリスクの高い人向けの低減策、そして、ご自身またはご所属の企業が被害に遭った可能性がある場合の対応手順が含まれている。
North Korean Social Engineering Tactics 北朝鮮のソーシャルエンジニアリング戦術
Extensive Pre-Operational Research 広範な事前調査
Teams of North Korean malicious cyber actors identify specific DeFi or cryptocurrency-related businesses to target and attempt to socially engineer dozens of these companies' employees to gain unauthorized access to the company's network. Before initiating contact, the actors scout prospective victims by reviewing social media activity, particularly on professional networking or employment-related platforms. 北朝鮮の悪意あるサイバー犯罪者グループは、標的とする特定の DeFi または暗号通貨関連企業を識別し、その企業のネットワークに不正アクセスするために、それらの企業の従業員数十名に対してソーシャルエンジニアリングを試みる。接触を開始する前に、犯罪者グループは、特にプロフェッショナルネットワークや雇用関連のプラットフォーム上のソーシャルメディアのアクティビティを調査し、潜在的な被害者を偵察する。
Individualized Fake Scenarios 個別化された偽のシナリオ
North Korean malicious cyber actors incorporate personal details regarding an intended victim’s background, skills, employment, or business interests to craft customized fictional scenarios designed to be uniquely appealing to the targeted person. 北朝鮮の悪意あるサイバー犯罪者は、標的となる人物の経歴、スキル、雇用、またはビジネス上の関心など、個人に関する詳細情報を盛り込み、標的となる人物に特別に魅力的に思えるようカスタマイズされた架空のシナリオを作成する。
North Korean fake scenarios often include offers of new employment or corporate investment. The actors may reference personal information, interests, affiliations, events, personal relationships, professional connections, or details a victim may believe are known to few others. 北朝鮮の偽装シナリオには、新しい雇用や企業投資のオファーが含まれることが多い。犯罪者は、個人情報、関心事、所属、イベント、個人的な関係、職業上のつながり、または被害者が「他のほとんどの人は知らないだろう」と考えるような詳細情報を参照することがある。
The actors usually attempt to initiate prolonged conversations with prospective victims to build rapport and deliver malware in situations that may appear natural and non-alerting. If successful in establishing bidirectional contact, the initial actor, or another member of the actor’s team, may spend considerable time engaging with the victim to increase the sense of legitimacy and engender familiarity and trust. 攻撃者は通常、見込みのある被害者と長時間にわたる会話を試み、信頼関係を築き、自然で警戒心を抱かせない状況でマルウェアを配信しようとする。双方向の接触に成功した場合、最初の攻撃者、または攻撃者のチームの別のメンバーは、被害者とかなりの時間を費やして、正当性を高め、親近感と信頼感を醸成する可能性がある。
The actors usually communicate with victims in fluent or nearly fluent English and are well versed in the technical aspects of the cryptocurrency field. 攻撃者は通常、流暢な、またはほぼ流暢な英語で被害者とコミュニケーションを図り、暗号通貨分野の技術的側面にも精通している。
Impersonations なりすまし
North Korean malicious cyber actors routinely impersonate a range of individuals, including contacts a victim may know personally or indirectly. Impersonations can involve general recruiters on professional networking websites, or prominent people associated with certain technologies. 北朝鮮の悪意あるサイバー犯罪者は、被害者が個人的に、または間接的に知っている可能性のある人物を含む、さまざまな個人になりすますことを常としている。なりすましには、専門職向けネットワーキングサイト上の一般的なリクルーターや、特定のテクノロジーに関連する著名人が含まれる場合がある。
To increase the credibility of their impersonations, the actors leverage realistic imagery, including pictures stolen from open social media profiles of the impersonated individual. These actors may also use fake images of time sensitive events to induce immediate action from intended victims. なりすましの信憑性を高めるため、犯罪者は、なりすまし対象者の公開されているソーシャルメディアプロフィールから盗んだ写真など、現実味のある画像を活用している。また、犯罪者は、緊急性のある出来事の偽の画像を使用して、標的となる被害者に即時の行動を促す場合もある。
The actors may also impersonate recruiting firms or technology companies backed by professional websites designed to make the fake entities appear legitimate. Examples of fake North Korean websites can be found in affidavits to seize 17 North Korean domains, as announced by the Department of Justice in October 2023. また、偽装事業体を本物らしく見せるために作られた専門ウェブサイトを背景に、採用企業やテクノロジー企業を装うこともある。北朝鮮の偽装ウェブサイトの例は、2023年10月に司法省が発表した北朝鮮の17のドメインの差し押さえに関する宣誓供述書で見ることができる。
Indicators 兆候
The FBI has observed the following list of potential indicators of North Korean social engineering activity: FBIは、北朝鮮によるソーシャルエンジニアリング活動の兆候として、以下の可能性を指摘している。
・Requests to execute code or download applications on company-owned devices or other devices with access to a company’s internal network. ・企業所有のデバイスや、企業の内部ネットワークにアクセスできるその他のデバイス上で、コードの実行やアプリケーションのダウンロードを要求する。
・Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories. ・標準外または未知の Node.js パッケージ、PyPI パッケージ、スクリプト、GitHub リポジトリの実行を伴う「採用前のテスト」やデバッグ作業を要求する。
・Offers of employment from prominent cryptocurrency or technology firms that are unexpected or involve unrealistically high compensation without negotiation. ・著名な暗号通貨企業やテクノロジー企業から、予期せぬ、または交渉なしに非現実的な高額報酬を伴う雇用オファーを受ける。
・Offers of investment from prominent companies or individuals that are unsolicited or have not been proposed or discussed previously. ・著名な企業または個人からの投資の申し出で、依頼していないもの、または以前に提案または協議されていないもの。
・Insistence on using non-standard or custom software to complete simple tasks easily achievable through the use of common applications (i.e. video conferencing or connecting to a server). ・一般的なアプリケーション(ビデオ会議やサーバーへの接続など)を使用すれば簡単に達成できる簡単なタスクを、標準外またはカスタムのソフトウェアを使用して完了させようとする。
・Requests to run a script to enable call or video teleconference functionalities supposedly blocked due to a victim's location. ・被害者の所在地によりブロックされていると思われる通話またはビデオ電話の機能を有効にするためにスクリプトを実行するよう要求する。
・Requests to move professional conversations to other messaging platforms or applications. ・専門的な会話は他のメッセージングプラットフォームまたはアプリケーションに移動するよう要求する。
・Unsolicited contacts that contain unexpected links or attachments. ・予期せぬリンクや添付ファイルを含む、望ましくない連絡。
Mitigations リスクの低減
To lower the risk from North Korea’s advanced and dynamic social engineering capabilities, the FBI recommends the following best practices for you or your company: 北朝鮮の高度でダイナミックなソーシャルエンジニアリング能力によるリスクを低減するために、FBIは、個人または企業に対して、以下のベストプラクティスを推奨している。
・Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms. For example, if an initial contact is via a professional networking or employment website, confirm the contact's request via a live video call on a different messaging application ・連絡者の身元を確認するために、関連性のない別のコミュニケーションプラットフォームを使用する独自の方法を開発する。例えば、最初の連絡がビジネスネットワークや就職情報サイト経由であった場合、別のメッセージングアプリケーションでライブビデオ通話を使用して連絡者の要求を確認する
・Do not store information about cryptocurrency wallets — logins, passwords, wallet IDs, seed phrases, private keys, etc. — on Internet-connected devices. ・インターネットに接続されたデバイスに、暗号通貨のウォレットに関する情報(ログイン、パスワード、ウォレットID、シードフレーズ、プライベートキーなど)を保存しない。
・Avoid taking pre-employment tests or executing code on company owned laptops or devices. If a pre-employment test requires code execution, insist on using a virtual machine on a non-company connected device, or on a device provided by the tester. ・入社前のテストや、会社所有のラップトップやデバイスでのコード実行は避ける。入社前のテストでコード実行が必要な場合は、会社に接続されていないデバイス上、またはテスト担当者から提供されたデバイス上で仮想マシンを使用するように要求する。
・Require multiple factors of authentication and approvals from several different unconnected networks prior to any movement of your company's financial assets. Regularly rotate and perform security checks on devices and networks involved in this authentication and approval process. ・会社の金融資産を移動させる前に、複数の異なる非接続ネットワークからの認証と承認を必要とする。この認証と承認プロセスに関わるデバイスとネットワークの定期的なローテーションとセキュリティチェックを行う。
・Limit access to sensitive network documentation, business or product development pipelines, and company code repositories. ・機密性の高いネットワーク文書、事業や製品開発のパイプライン、および企業コードのリポジトリへのアクセスを制限する。
・Funnel business communications to closed platforms and require authentication — ideally in person — before adding anyone to the internal platform. Regularly reauthenticate employees not seen in person. ・社内プラットフォームに誰かを追加する前に、ビジネスコミュニケーションをクローズドなプラットフォームに集約し、理想的には直接対面して認証を行う。直接対面できない従業員については、定期的に再認証を行う。
・For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company’s network from downloading or executing files except specific whitelisted programs and disabling email attachments by default. ・大量の暗号通貨にアクセスする企業に対しては、FBIは、ホワイトリストに記載された特定のプログラムを除き、企業のネットワークに接続されたデバイスによるファイルのダウンロードや実行をブロックし、デフォルトで電子メールの添付ファイルを無効にすることを推奨している。
Response 対応
If you suspect you or your company have been impacted by a social engineering campaign similar to those discussed in this announcement, or by any potential North Korea-related incident, the FBI recommends the following actions: この発表で取り上げたようなソーシャルエンジニアリングキャンペーン、または北朝鮮に関連する可能性のあるインシデントの影響を受けた可能性がある場合、FBIは以下の対応を推奨している。
・Disconnect the impacted device or devices from the Internet immediately. Leave impacted devices powered on to avoid the possibility of losing access to recoverable malware artifacts. ・影響を受けたデバイスを直ちにインターネットから切断する。影響を受けたデバイスは電源を入れたままにしておき、回復可能なマルウェアの痕跡へのアクセスを失う可能性を回避する。
・File a detailed complaint through the FBI Internet Crime Complaint Center (IC3) at www.ic3.gov. ・FBIのインターネット犯罪苦情センター(IC3)www.ic3.govに詳細な苦情を提出する。
・Provide law enforcement as many details as you can regarding the incident, including screenshots of communications with the malicious cyber actors. If possible, take screenshots of (or otherwise save) identifiers, usernames, online accounts, and any other details about the actors involved. ・悪意のあるサイバー犯罪者とのコミュニケーションのスクリーンショットを含め、インシデントに関する詳細をできるだけ多く法執行機関に提供する。可能であれば、識別子、ユーザー名、オンラインアカウント、および関係者のその他の詳細をスクリーンショット(または保存)する。
・Discuss options for incident response and forensic examination of impacted devices with law enforcement. In some situations, law enforcement may recommend taking advantage of private incident response companies. ・インシデント対応および感染したデバイスのフォレンジック調査のオプションについて、法執行機関と話し合う。状況によっては、法執行機関が民間のインシデント対応企業の利用を推奨する場合がある。
・Share your experience with colleagues, if appropriate, to raise awareness and broaden the public's understanding of the significant malicious cyber threat emanating from North Korea. ・必要に応じて、同僚と経験を共有し、北朝鮮から発信される重要な悪意のあるサイバー脅威に対する認識を高め、一般の人々の理解を広める。
For related information and additional details on North Korea's malicious cyber activity, see FBI press releases from September 2023August 2023, and January 2023, as well as Joint Cybersecurity Advisories released in June 2023 and April 2022
.
北朝鮮の悪意のあるサイバー活動に関する関連情報および追加の詳細については、2023年9月、2023年8月、2023年1月のFBIプレスリリース、および2023年6月と2022年4月に発表された共同サイバーセキュリティ勧告を参照のこと。

 

 

| | Comments (0)

2024.08.15

米国 耐量子暗号の標準化が発表されたことは、ホワイトハウスのONCD、OSTP、OMBからもプレスされていました...

こんにちは、丸山満彦です。

  • ONCDは、Office of the National Cyber Director。国家サイバー長官局。
  • OSTPは、Office of Science and Technology Policy。科学技術局。
  • OMBは、Office of Management and Budget。行政管理予算局。

となりますが、ホワイトハウスのこの3つの部局が、耐量子暗号の標準が公表されたことをプレス発表していました。。。

米国の科学技術、耐量子暗号にかける思い入れが感じられますね...

 

U.S. White House - ONCD

・2024.08.13 Fact Sheet: Biden-Harris Administration Continues Work to Secure a Post-Quantum Cryptography Future

Fact Sheet: Biden-⁠Harris Administration Continues Work to Secure a Post-Quantum Cryptography Future ファクトシート:バイデン=ハリス政権はポスト量子暗号化の未来を確保するための取り組みを継続
The Biden-Harris Administration is committed to investing in science and technology innovation to solve future problems for our nation, generate jobs and new economic engines, and advance U.S. leadership around the world. While quantum information science (QIS) holds the potential to drive innovations across the American economy, from fields as diverse as materials science and pharmaceuticals to finance and energy, future quantum computers may also have the ability to break some of today’s most common forms of encryption.  バイデン=ハリス政権は、米国の将来の問題を解決し、雇用と新たな経済的推進力を生み出し、米国のリーダーシップを世界中で推進するために、科学技術革新への投資に尽力している。量子情報科学(QIS)は、材料科学や製薬から金融やエネルギーに至るまで、アメリカ経済全体にわたるイノベーションを推進する可能性を秘めているが、将来の量子コンピューターは、現在最も一般的な暗号化方式の一部を破る能力も有している可能性がある。
Though a quantum computer powerful enough to break current forms of cryptography does not yet exist, the Biden-Harris Administration is preparing for and mitigating the risks to government and critical infrastructure systems posed by a potential future quantum computer and promoting U.S. and allied leadership in quantum technology.  現在の暗号化方式を破るほどの強力な量子コンピューターはまだ存在していないが、バイデン=ハリス政権は、将来の量子コンピューターがもたらす可能性のある政府および重要なインフラシステムへのリスクに備え、そのリスクを低減するとともに、量子技術における米国および同盟国のリーダーシップを推進している。
To protect against the potential risks to the economic and national security of the United States and our partners, this Administration has remained laser focused—as outlined in President Biden’s National Security Memorandum 10 (NSM-10)—on post-quantum cryptography. Post-quantum cryptography is a foundational tool for assuring data safety and security for the nation and for our future.   米国およびパートナー諸国の経済および国家安全保障に対する潜在的なリスクを防御するため、この政権は、バイデン大統領の国家安全保障覚書10(NSM-10)で概説されているように、ポスト量子暗号化に焦点を絞っている。ポスト量子暗号化は、国家および将来のデータ安全性とセキュリティを確保するための基盤となるツールである。 
Today, the White House convened government and industry leaders to unveil new Post-Quantum Cryptographic standards from the National Institute of Standards and Technology (NIST). These standards represent a key milestone in the achievements of the Biden-Harris Administration’s NSM-10 to assure the safety and security of quantum computing for the nation and for our future. These are the first global standards to be released for post-quantum cryptography, underscoring U.S. leadership in quantum technology.  本日、ホワイトハウスは政府および産業界のリーダーたちを集め、国立標準技術研究所(NIST)による新しいポスト量子暗号標準を発表した。この標準は、国家および将来の量子コンピューティングの安全性とセキュリティを確保するという、バイデン=ハリス政権のNSM-10の達成における重要なマイルストーンとなる。これはポスト量子暗号化技術に関する初めての世界標準であり、量子技術における米国のリーダーシップを強調するものである。
NIST’s new standards are designed for two essential tasks for which encryption is typically used: general data encryption, used to protect information exchanged across a network or sitting at rest on a computer; and digital signatures, used for identity authentication. These standards replace current cryptographic standards that could be vulnerable to a future quantum computer. These standards allow federal agencies and industry to adopt and integrate these new tools into systems and products. A full description is available here. NISTの新しい標準は、暗号化が一般的に使用される2つの重要なタスク向けに設計されている。1つは、ネットワーク上でやり取りされる情報や、コンピュータに保存されている情報を防御するために使用される「一般データ暗号化」、もう1つは、ID認証に使用される「デジタル署名」である。これらの標準は、将来的な量子コンピュータに対して脆弱性がある可能性がある現在の暗号化標準に取って代わる。これらの標準により、連邦政府機関と産業界は、これらの新しいツールをシステムや製品に採用し、統合することが可能になる。詳細はこちらでご覧いただけます。
This effort builds on other Administration actions to ensure we maintain a competitive economic and security advantage for generations to come, including: この取り組みは、次世代にわたって経済的および安全保障上の競争優位性を維持することを目的とした、他の行政措置を基盤としている。
・In 2022, President Biden issued an executive order elevating the National Quantum Initiative Advisory Committee (NQIAC) to a Presidential Advisory Committee. The NQIAC consists of leaders in the field from industry, academia and the Federal Laboratories, and highlights the importance of a whole-of-government approach to QIS
.
・2022年、バイデン大統領は、国家量子イニシアティブ諮問委員会(NQIAC)を大統領諮問委員会に昇格させる大統領令に署名した。NQIACは産業界、学術界、連邦研究所の各分野のリーダーで構成されており、QISに対する政府一体となったアプローチの重要性を強調している。
The Office of Management & Budget (OMB) issued Memorandum M-23-02, Migrating to Post-Quantum Cryptography, which lays out clear steps for agencies to follow in preparation for migrating to these new NIST cryptography standards. Those steps include conducting a comprehensive and ongoing cryptographic inventory and prioritizing critical and sensitive systems for migration. The approach allows agencies to stay ahead of technological advances and keep their information safe and secure. ・行政管理予算局(OMB)は、メモランダムM-23-02「ポスト量子暗号への移行」を発行し、政府機関がNISTの新しい暗号化標準への移行に備えるための明確な手順を示した。これらの手順には、包括的かつ継続的な暗号化資産の棚卸しを実施し、移行に際して重要な機密システムを優先することが含まれる。このアプローチにより、政府機関は技術の進歩に先んじ、情報を安全かつ確実に保護することができる。
OMB released a report on Post-Quantum Cryptography outlining the strategy for migrating systems to post-quantum cryptography to mitigate risks while harnessing the full potential of quantum innovations. ・OMBは、量子暗号化後の暗号化への移行戦略を概説した報告書を発表し、量子技術の革新の可能性を最大限に活用しながらリスクを低減する方法を提示した。
OMB and the Office of Science and Technology Policy held a roundtable with cryptographers, industry, and government agencies to discuss best practices for the adoption of post-quantum cryptography standards. ・OMBと米国科学技術政策局は、暗号化技術者、産業界、政府機関を集めた円卓会議を開催し、量子暗号化標準の採用に関するベストプラクティスについて議論した。
・The Office of the National Cyber Director (ONCD): Through the Biden-Harris Administration’s National Cybersecurity Strategy released in March 2023, ONCD is working to prepare for the post-quantum future. This includes supporting the implementation of NSM-10 by conducting an inventory of government systems. This inventory will identify where there is vulnerable cryptography and what needs to be prioritized. ONCD is also working internationally with allies to create a cohesive message on the need to implement post-quantum cryptography. This work seeks to drive a collective call to action for government leaders and financial decisionmakers and start the cryptographic transition today
.
・国家サイバー長官室(ONCD): 2023年3月に発表されたバイデン=ハリス政権の国家サイバーセキュリティ戦略を通じて、ONCDは量子コンピューター時代への準備を進めている。これには、政府システムのインベントリを実施することでNSM-10の導入を支援することが含まれる。このインベントリにより、脆弱性のある暗号化がどこにあるか、何を優先すべきかが識別される。ONCDはまた、同盟国と協力して、量子コンピューター時代への移行の必要性を訴える統一的なメッセージを作成している。この取り組みは、政府指導者や金融の意思決定者に対して行動を促すよう働きかけ、暗号の移行を今日から開始することを目指している。

 

・2024.08.13 Remarks: National Cyber Director Coker Remarks at White House Event on Post-Quantum Cryptography

Remarks: National Cyber Director Coker Remarks at White House Event on Post-Quantum Cryptography 発言:ポスト量子暗号化に関するホワイトハウスイベントにおける国家サイバーディレクター、コーカー氏の発言
Remarks as Prepared for Delivery 発言原稿
Good afternoon. Thank you, Clare, Anne and Steve for the ongoing partnerships. こんにちは。クレア、アン、スティーブ、現在進行中のパートナーシップに感謝します。
And thank you to the Office of Science and Technology Policy for bringing us together to recognize the achievement of NIST, the algorithms teams, and the global testing partners who all enabled this new standard. また、米国科学技術政策局には、NIST、アルゴリズムチーム、そしてこの新しい標準を可能にした世界的な試験パートナーの功績を称えるために、私たちを一堂に集めていただき感謝いたします。
Today, we stand at a critical juncture in our efforts to secure the future of our Nation and our allies.  今日、私たちは、米国および同盟国の未来を確保するための取り組みにおいて、重要な岐路に立っています。
As we celebrate the profound gifts of technological progress, it’s important to consider the level of vulnerability quantum computing potentially exposes us to. These capabilities are projected to break much of our current encryption, leaving significant impacts on our national and economic security and every individual’s right to privacy.  技術進歩の多大な恩恵を祝うと同時に、量子コンピューティングが潜在的に私たちをさらす脆弱性のレベルを考慮することが重要です。量子コンピューティングの能力は、現在の暗号化技術の多くを破ることが予測されており、国家および経済の安全保障、そして個人のプライバシーの権利に重大な影響を及ぼすことになる。
Currently, a large portion of our daily internet communications rely on public-key cryptography to protect everything from email authentication to secure payment protocols to establishing internet connections. 現在、私たちの日常的なインターネット通信の大部分は、電子メール認証から安全な支払いプロトコル、インターネット接続の確立に至るまで、すべてを防御するために公開鍵暗号方式に依存している。
Once a quantum computer of significant and sufficient size and sophistication to pose a threat to cryptography is developed, public-key cryptography will be at risk. Breaking encryption threatens the three essential pillars of cybersecurity: confidentiality, integrity, and availability. 暗号化技術に脅威をもたらすのに十分な規模と高度な性能を備えた量子コンピューターが開発されれば、公開鍵暗号方式はリスクにさらされることになる。暗号解読は、サイバーセキュリティの3つの重要な柱である機密性、完全性、可用性を脅かす。
・First, breaking encryption would undermine the confidentiality of data as it would expose the most sensitive and classified government communications for our adversaries to exploit to their strategic advantage. This also has profound implications for Americans’ privacy, as personal communications and private information would be exposed for anyone to see. ・第一に、暗号解読により、最も機密性の高い政府のコミュニケーションが敵対者に公開され、戦略的に悪用される可能性があるため、データの機密性が損なわれる。また、個人間のコミュニケーションや個人情報が誰でも見られる状態になるため、これは米国人のプライバシーにも重大な影響を及ぼす。
・Second, breaking encryption would undermine integrity, as it would allow attackers to invalidate digital signatures. This means hackers would be able to issue fake government communications, causing widespread misinformation and operational disruptions. ・第二に、暗号解読により、攻撃者がデジタル署名を無効にできるため、完全性が損なわれる。つまり、ハッカーが偽の政府コミュニケーションを発行できるようになり、広範囲にわたる誤情報や業務中断を引き起こす可能性があるということだ。
・Third, breaking encryption would undermine availability, as it would allow adversaries to impact the delivery of critical infrastructure services such as energy grids and healthcare systems. ・第三に、暗号化を解除することで、敵対者がエネルギー網や医療システムなどの重要なインフラサービスの提供に影響を与えることが可能になるため、可用性が損なわれる。
The Biden-Harris Administration’s National Cybersecurity Strategy recognizes the need to prepare for revolutionary changes brought on by quantum computing. This is one of the reasons we’ve made investing in a resilient future a core pillar of that strategy. Investments in cybersecurity and resiliency have long trailed the threats and challenges they seek to mitigate. バイデン=ハリス政権の国家サイバーセキュリティ戦略では、量子コンピューティングがもたらす革命的な変化に備える必要性を認識している。これが、レジリエントな未来への投資を戦略の柱のひとつとしている理由のひとつだ。サイバーセキュリティとレジリエンスへの投資は、低減を目指す脅威や課題に長らく遅れをとってきた。
And in the case of quantum computing, the threat isn’t just on the horizon; it’s here now. As you heard from NIST Director Dr. Locascio, malicious actors are already using a “store-now, break-later” strategy, gathering encrypted data today with the intention to decrypt it once they have the quantum capabilities. This endangers our national secrets and future operations. そして量子コンピューティングの場合、脅威はまだ見えない未来にあるのではなく、すでに現実のものとなっている。NISTのロカシオ所長から聞いたように、悪意のある行為者はすでに「今すぐ保存し、後で破る」戦略を採用しており、量子コンピューティング能力を手に入れたら暗号化データを解読するつもりで、今日すでに暗号化データを収集している。これは、国家機密や将来の活動に危険をもたらす。
Also, it should come as no surprise that nations are investing heavily in quantum computing research, which could pose a massive security threat as they aim to gain strategic advantages and dominate cyberspace. また、国家が量子コンピューティングの研究に多額の投資を行っていることは驚くことではない。国家は戦略的な優位性を獲得し、サイバー空間を支配することを目指しており、それは重大なセキュリティ上の脅威となり得る。
Given the magnitude and potential impact of the threat, we must act with urgency. 脅威の規模と潜在的な影響を考慮すると、私たちは緊急に対応しなければならない。
Those who have spoken before me have talked about our plan for migrating to post-quantum cryptography. It’s a good plan that hinges on taking decisive action now. 私の前に発言した人々は、量子暗号化以降への移行計画について語った。それは、今こそ断固とした行動を取るべきであるという、優れた計画である。
We must marry the actions laid out today with the speed and attention to detail this threat demands. As the saying goes, “the best way to predict the future is to create it.”  今日発表した対策を、この脅威が要求するスピードと細部への注意をもって実行しなければならない。「未来を予測する最善の方法は、それを自ら作り出すことだ」という言葉がある。
This brings me to the commendable work of NIST.  ここで、NISTの素晴らしい取り組みについて触れたい。
For the past eight years, NIST has led the development of post-quantum algorithms, ensuring they are robust and capable of withstanding quantum attacks. 過去8年間、NISTは量子攻撃に耐える強固なポスト量子アルゴリズムの開発を主導してきた。
Today’s release of these standards marks a critical milestone. 本日発表されたこれらの標準は、重要なマイルストーンとなる。
Since the President signed National Security Memorandum 10 in May of 2022, we’ve worked with Office of Management and Budget, the National Security Council, and the National Security Agency, amongst others to ensure Departments and Agencies are inventorying their systems for instances of vulnerable cryptography. 2022年5月に大統領が国家安全保障覚書10に署名して以来、私たちは行政管理予算局、国家安全保障会議、国家安全保障局などと協力し、省庁が脆弱な暗号化の事例についてシステムを棚卸しすることを確保してきた。
We want to thank the Departments and Agencies for their commendable work to identify high-value assets that will be prioritized within the cryptographic transition and help us better understand our collective level of risk. Because of this work, we are much better prepared than ever to implement these newly standardized algorithms. 暗号化の移行において優先される高価値資産を識別し、私たちがリスクの全体的なレベルをよりよく理解するのを助けるという、省庁の素晴らしい取り組みに感謝したい。この取り組みにより、新たに標準化されたアルゴリズムを実装するための準備がこれまで以上に整った。
Now, the real work of migration must begin. 今こそ、移行の真の作業を開始すべき時である。
The encryption transition will require substantial resources to ensure its success. Resources will be an investment in the future security, reliability, and stability of the internet to ensure our digital ecosystem flourishes for all of society.  暗号化の移行を成功させるには、相当なリソースが必要となる。リソースは、社会全体におけるデジタルエコシステムの繁栄を確実にするために、インターネットの将来のセキュリティ、信頼性、安定性への投資となる。 
These resources include the people needed to implement the post-quantum algorithms. これらのリソースには、量子アルゴリズムの実装に必要な人材も含まれる。
Through the Administration’s National Cyber Workforce and Education Strategy, we are focusing on skills to strengthen and future-proof our domestic workforce. 政権の国家サイバー人材および教育戦略を通じて、私たちは国内の労働力を強化し、将来に備えるスキルに重点的に取り組んでいる。
This operates in tandem with the excellent work by the National Science & Technology Council’s Quantum Information Science and Technology Workforce Development National Strategic Plan, which identifies the specific actions necessary to strengthen our domestic quantum-skilled workforce. これは、国内の量子技術に精通した労働力を強化するために必要な具体的な行動を識別する、国家科学技術会議の量子情報科学技術人材開発国家戦略計画による優れた取り組みと並行して実施されている。
Together, these efforts will ensure we are well-equipped to transition to a post-quantum world and then defend it. これらの取り組みを併せて行うことで、私たちは量子コンピューティング後の世界への移行に十分な備えをし、その世界を守ることができるだろう。
However, our networks do not operate in isolation. They are interconnected with commercial vendors and international partners. Therefore, this is a challenge that transcends borders. しかし、私たちのネットワークは孤立して機能しているわけではない。それらは商業ベンダーや国際パートナーと相互接続されている。したがって、これは国境を越えた課題である。
To be truly effective, our transition must occur in tandem with our friends and allies abroad. 真に効果的な移行を実現するには、海外の友人や同盟国と歩調を合わせて行う必要がある。
・In concert with State’s Bureau of Cyberspace & Digital Policy, we are working closely with international partners to learn where we can and share our own experiences. ・国務省のサイバー空間・デジタル政策局と連携し、私たちは国際的なパートナーと緊密に協力しながら、どこで私たちが貢献できるか、また私たちの経験を共有できるかを学んでいる。
・We are particularly grateful to the governments of the United Kingdom, France, and Singapore for their respective leadership in advancing PQC globally. ・私たちは、PQCの推進において世界的なリーダーシップを発揮している英国、フランス、シンガポールの政府に特に感謝している。
・ONCD, as well as the offices represented here, recognize the importance of working alongside our international partners, including Governments, civil society organizations and research institutions. ・ONCDおよびここに代表者が出席している各機関は、政府、市民社会組織、研究機構を含む国際的なパートナーと協力することの重要性を認識している。
・By speaking at today’s event, we each hope to not only educate the broad populace on what some may consider a distant, complex, technical issue, but more importantly, enable us to build a coalition of advocates that can spur the momentum necessary to execute this transition globally. ・本日、このイベントで講演することで、一部の人々にとっては遠大で複雑な技術的問題とみなされる可能性がある問題について、幅広い人々を教育するだけでなく、さらに重要なこととして、この移行を世界的に実行するために必要な勢いを生み出すことができる支援者の連合を構築することを目指している。
・By sharing knowledge, strategies, and innovations, we can create a resilient global defense against those who intend to use quantum computing to compromise the security of our systems. ・知識、戦略、イノベーションを共有することで、量子コンピューティングを利用して我々のシステムのセキュリティを侵害しようとする者に対して、レジリエントなグローバルな防御を構築することができる。
We also recognize the vital role of the private sector in making this transition. We will continue to support NIST’s work with industry to understand obstacles to post-quantum deployment and opportunities to share lessons learned to streamline the transition for the entire U.S. ecosystem. また、この移行において民間部門が重要な役割を果たすことも認識している。NISTが産業界と協力して、ポスト量子暗号化の展開における障害と、米国のエコシステム全体の移行を効率化するために得られた教訓を共有する機会を理解する取り組みを、今後も支援していく。
Transitioning to post-quantum cryptography is a cornerstone of all we’re trying to achieve in cyberspace. Our mission – to shape and secure cyberspace to advance national security, economic prosperity, and technological innovation – hinges on trust in our systems and data. By committing ourselves fully to this transition, the Biden Harris Administration will be able to continue providing the high-quality services the public demands of its Government. Architecting digital systems of trust are built through each of those discrete, daily transactions between our people and our Government. 量子コンピューティング以降の暗号化への移行は、サイバー空間で達成しようとしていることの基盤となる。国家の安全保障、経済的繁栄、技術革新を促進するためにサイバー空間を形作り、安全を確保するという我々の使命は、システムとデータへの信頼に依存している。この移行に全力で取り組むことで、バイデン・ハリス政権は、国民が政府に求める高品質なサービスを継続的に提供できるようになる。信頼できるデジタルシステムの構築は、国民と政府間の個々の日常的な取引を通じて行われる。
Securing against quantum threats is therefore not just an option, but a necessity for the future of our national security, economic stability, and foundational civil liberties—and more broadly to maintain trust in Government. したがって、量子脅威への対策は単なる選択肢ではなく、国家安全保障、経済安定性、基本的な市民の自由、そしてより広義には政府への信頼を維持するための必要条件である。
The stakes are high, and the time to act is now. NIST has done their part, and now it’s up to the rest of us to build on NIST’s stellar work. We must continue to drive our Government and private sector, as well as encourage our friends and allies abroad, to initiate deployment efforts.  リスクは高く、行動を起こすべき時が今である。NISTは自らの役割を果たした。今こそ、残された我々がNISTの素晴らしい業績を基に構築する番である。我々は、政府および民間部門を牽引し続け、海外の友人や同盟国にも展開努力を促さなければならない。
Together, with our domestic and international partners, we must rise to meet this challenge and safeguard our digital future. 国内および国際的なパートナーと協力し、この課題に立ち向かい、デジタルの未来を守らなければならない。
Thank you all for your dedication to this work. この取り組みに尽力してくださった皆さまに感謝する。

 

 

・U.S. White House - OSTP

・2024.08.13 FACT SHEET: Biden-⁠Harris Administration Continues Work to Secure a Post-Quantum Cryptography Future

内容は、ONCDの発表と同じですね...

 

● U.S. White House - OMB

・2024.08.13 Readout of White House Roundtable on Protecting Our Nation’s Data and Networks from Future Cybersecurity Threats

Readout of White House Roundtable on Protecting Our Nation’s Data and Networks from Future Cybersecurity Threats 将来のサイバーセキュリティの脅威から国家のデータとネットワークを防御するためのホワイトハウス円卓会議の要旨
In January, the Office of Management and Budget (OMB) and the Office of Science and Technology Policy (OSTP) convened leaders from government, industry, and academia at a roundtable to discuss plans for addressing the requirements of National Security Memorandum 10 (NSM-10) on Promoting United States Leadership in Quantum Computing While Mitigating Risks to Vulnerable Cryptographic Systems and the Quantum Computing Cybersecurity Preparedness Act of 2022. 1月、行政管理予算局(OMB)と米国科学技術政策局(OSTP)は、政府、産業界、学術界のリーダーを招集し、 量子コンピューティングにおける米国のリーダーシップを促進しつつ、脆弱な暗号システムへのリスクを低減することに関する国家安全保障覚書10(NSM-10)および2022年の量子コンピューティング・サイバーセキュリティ準備法の要件に対応するための計画について話し合うためである。
Unlike conventional computers, quantum computers leverage the collective properties of quantum states to process information. Accordingly, quantum computers have the ability to perform some calculations much faster than regular computers. Quantum computers of sufficient size and scale may offer enormous benefits to society, but they may also incidentally have the ability to break many commonly used forms of modern encryption therefore posing a cybersecurity risk to our nation’s digital infrastructure. While quantum computing technology brings opportunity, the United States must ensure it is ready to mitigate the risk that quantum computers present to protect our nation’s most sensitive information.   従来のコンピューターとは異なり、量子コンピューターは量子状態の集合的特性を活用して情報を処理する。そのため、量子コンピューターは通常のコンピューターよりもはるかに高速に計算を実行できる能力を備えている。十分な規模と能力を備えた量子コンピューターは、社会に多大な利益をもたらす可能性があるが、同時に、現在一般的に使用されている多くの暗号化方式を解読する能力も備えている可能性があり、そのため、米国のデジタルインフラにサイバーセキュリティリスクをもたらす可能性がある。量子コンピューティング技術は新たな機会をもたらす一方で、米国は、量子コンピューターがもたらすリスクを低減し、国家の最も機密性の高い情報を防御する準備を整えておく必要がある。 
At the roundtable, several senior officials delivered remarks emphasizing the importance of encryption technology to privacy and security in delivery of critical government services. In addition, they underscored the need for implementation of zero trust cybersecurity defenses on Federal and critical infrastructure networks. この円卓会議では、政府高官数名が、重要な政府サービスの提供におけるプライバシーとセキュリティに対する暗号化技術の重要性を強調する発言を行った。また、連邦政府および重要なインフラストラクチャのネットワークにおけるゼロトラスト・サイバーセキュリティ防御の実施の必要性を強調した。
Federal Chief Information Officer Clare Martorana said, “Strong encryption is a foundational technology that underpins safety, privacy, trust, and competitiveness across the digital economy and our society. It unlocks innovation by securing it.” 連邦政府CIO(最高情報責任者)のクレア・マルトラナ氏は、次のように述べた。「強力な暗号化は、デジタル経済と社会全体の安全性、プライバシー、信頼性、競争力を支える基盤技術である。暗号化は、イノベーションを安全に実現するものである」。
“Quantum computers have the potential to drive innovation across the American economy,” said Gretchen Campbell, Deputy Director of the National Quantum Coordination Office. “While the full range of applications of quantum computers is still unknown, it is nevertheless clear that America’s continued technological and scientific leadership will depend, at least in part, on the Nation’s ability to maintain a competitive advantage in quantum computing and quantum information science.” 米量子調整室のグレッチェン・キャンベル副室長は次のように述べた。「量子コンピュータは、米国経済全体のイノベーションを推進する可能性を秘めている。量子コンピュータの幅広い用途はまだ不明ですが、米国が技術面および科学面で引き続きリーダーシップを発揮するには、少なくとも部分的には、量子コンピューティングおよび量子情報科学における競争優位性を維持する能力が不可欠であることは明らかである。」
Special Assistant to the President and National Security Council Senior Director for Cybersecurity and Emerging Technology Caitlin Clarke said, “NSM-10 underscores our commitment to ensuring that our Nation’s cyber defenses remain resilient in the coming era of quantum computing” and highlighted the Biden-Harris Administration’s commitment to improving Federal Government and critical infrastructure cybersecurity. 大統領特別補佐官兼国家安全保障会議サイバーセキュリティ・新技術担当上級部長ケイトリン・クラーク氏は、「NSM-10は、量子コンピューティングの時代が到来しても、わが国のサイバー防衛のレジリエンスを維持するという我々の決意を明確に示している」と述べ、連邦政府および重要インフラのサイバーセキュリティ改善に対するバイデン=ハリス政権の取り組みを強調した。
Participants echoed the importance and timeliness of the discussion, and stressed the need for continued collaboration. 参加者は、この議論の重要性と時宜を得たものであることを繰り返し、継続的な協力の必要性を強調した。
At the close of the roundtable, Federal Chief Information Security Officer and Deputy National Cyber Director for Federal Chris DeRusha delivered remarks, saying, “Continuing to promote strong encryption standards and methodologies is a key underpinning of our cyber defenses.  And in many cases encryption is our first and last defense against advanced malicious cyber actors.  Mitigating the risk of quantum capabilities will require a whole-of-government approach and we will continue to engage with stakeholders from industry and academia to inform migration efforts.”   ラウンドテーブルの閉会にあたり、連邦政府の最高情報セキュリティ責任者であり、連邦政府の副国家サイバーディレクターであるクリス・デルーシャ氏は次のように述べた。「強力な暗号化標準と手法の推進を継続することは、サイバー防御の重要な基盤となる。そして、多くの場合、暗号化は高度な悪意のあるサイバー攻撃に対する最初で最後の防御策である。 量子能力のリスクを低減するには政府全体のアプローチが必要であり、私たちは業界や学術界の関係者と連携し、移行に向けた取り組みを継続していく。」 
OMB, OSTP, and members of the interagency post-quantum cryptography (PQC) migration working group will continue to engage with experts both inside and outside government as agencies plan for PQC migration consistent with NSM-10 and the Quantum Computing Cybersecurity Preparedness Act of 2022. OMB、OSTP、および省庁間ポスト量子暗号(PQC)移行作業部会のメンバーは、NSM-10および2022年量子コンピューティング・サイバーセキュリティ準備法に準拠したPQC移行計画を策定するにあたり、政府内外の専門家と引き続き連携していく。

 

Fig1_20210802074601

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

・2023.08.25 米国 NIST パブコメ FIPS 203 モジュール・ラティス・ベースの鍵カプセル化メカニズム標準, FIPS 204 モジュール-格子ベース電子署名標準, FIPS 205 ステートレス・ハッシュベース・デジタル署名標準

 

 

| | Comments (0)

2024.08.14

米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

こんにちは、丸山満彦です。

NISTが、量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定し、発表していますね...量子コンピュータがさらに発展し、現在の暗号アルゴリズムによる暗号が、量子コンピュータで解けるようになってしまうと、暗号により支えられているさまざまな制度が崩壊するので、それは避けないといけないですよね...

現在実装されている暗号アルゴリズムを新しいものに無理なく変えていくにはそれなりの時間もかかるということで、いまから耐量子暗号については、標準化をしておくのが重要ですよね...ということで、米国はそれなりにパワーがありますよね...

 

FIPS 203 Module-Lattice-Based Key-Encapsulation Mechanism Standard FIPS 203 モジュール格子基盤・鍵カプセル化メカニズム標準
FIPS 204 Module-Lattice-Based Digital Signature Standard FIPS 204 モジュール格子基盤・デジタル署名標準
FIPS 205 Stateless Hash-Based Digital Signature Standard FIPS 205 ステートレスバッシュ基盤・デジタル署名標準

 

 

NIST - ITL

・2024.08.13 NIST Releases First 3 Finalized Post-Quantum Encryption Standards

NIST Releases First 3 Finalized Post-Quantum Encryption Standards NIST、耐量子暗号化標準の最初の3つを確定
・NIST has released a final set of encryption tools designed to withstand the attack of a quantum computer. ・NISTは、量子コンピューターの攻撃に耐えるよう設計された暗号化ツールの最終セットをリリースした。
・These post-quantum encryption standards secure a wide range of electronic information, from confidential email messages to e-commerce transactions that propel the modern economy. ・これらの耐量子暗号化標準は、機密性の高い電子メールから現代経済を牽引する電子商取引まで、幅広い電子情報を保護する。
・NIST is encouraging computer system administrators to begin transitioning to the new standards as soon as possible. ・NISTは、コンピュータシステム管理者に対して、できるだけ早く新しい標準への移行を開始するよう促している。
GAITHERSBURG, Md. — The U.S. Department of Commerce’s National Institute of Standards and Technology (NIST) has finalized its principal set of encryption algorithms designed to withstand cyberattacks from a quantum computer メリーランド州ゲイザースバーグ発 — 米商務省国立標準技術研究所(NIST)は、量子コンピュータによるサイバー攻撃に耐えることを目的とした暗号化アルゴリズムの主要なセットを確定した。
Researchers around the world are racing to build quantum computers that would operate in radically different ways from ordinary computers and could break the current encryption that provides security and privacy for just about everything we do online. The algorithms announced today are specified in the first completed standards from NIST’s post-quantum cryptography (PQC) standardization project, and are ready for immediate use. 世界中の研究者が、通常のコンピュータとは根本的に異なる方法で動作し、オンラインで行うほぼすべての行為のセキュリティとプライバシーを確保する現在の暗号化を破ることができる量子コンピュータの開発を競っている。本日発表されたアルゴリズムは、NISTの耐量子暗号(PQC)標準化プロジェクトで完成した最初の標準に規定されており、即時利用が可能である。
The three new standards are built for the future. Quantum computing technology is developing rapidly, and some experts predict that a device with the capability to break current encryption methods could appear within a decade, threatening the security and privacy of individuals, organizations and entire nations 3つの新しい標準は、将来を見据えて策定された。量子コンピューティング技術は急速に発展しており、一部の専門家は、現在の暗号化方式を破る能力を持つ装置が10年以内に登場し、個人、組織、国家全体のセキュリティとプライバシーを脅かす可能性があると予測している。
“The advancement of quantum computing plays an essential role in reaffirming America’s status as a global technological powerhouse and driving the future of our economic security,” said Deputy Secretary of Commerce Don Graves. “Commerce bureaus are doing their part to ensure U.S. competitiveness in quantum, including the National Institute of Standards and Technology, which is at the forefront of this whole-of-government effort. NIST is providing invaluable expertise to develop innovative solutions to our quantum challenges, including security measures like post-quantum cryptography that organizations can start to implement to secure our post-quantum future. As this decade-long endeavor continues, we look forward to continuing Commerce’s legacy of leadership in this vital space.” ドン・グレイブス商務次官は次のように述べた。「量子コンピューティングの進歩は、米国が世界的な技術大国としての地位を再確認し、経済的安定の未来を推進する上で重要な役割を果たす。商務省は、政府全体で取り組むこの活動の最前線に立つ国立標準技術研究所をはじめ、量子技術における米国の競争力を確保するために、その役割を果たしている。NISTは、量子技術の課題に対する革新的なソリューションの開発に貴重な専門知識を提供している。その中には、量子コンピュータ時代以降の未来を確保するために企業が導入を開始できる耐量子暗号化のようなセキュリティ対策も含まれる。この10年にわたる取り組みが継続する中、この重要な分野における商務省のリーダーシップの伝統が今後も継続することを期待している。」
The standards — containing the encryption algorithms’ computer code, instructions for how to implement them, and their intended uses — are the result of an eight-year effort managed by NIST, which has a long history of developing encryption. The agency has rallied the world’s cryptography experts to conceive, submit and then evaluate cryptographic algorithms that could resist the assault of quantum computers. The nascent technology could revolutionize fields from weather forecasting to fundamental physics to drug design, but it carries threats as well 暗号化アルゴリズムのコンピュータコード、その実装方法の指示、およびその用途を含むこの標準は、暗号化開発の長い歴史を持つNISTが8年間にわたって管理してきた成果である。 同機関は、量子コンピュータの攻撃に耐える暗号化アルゴリズムを考案し、提出し、評価するために、世界中の暗号化の専門家を集結させた。この新しい技術は、天気予報から基礎物理学、薬剤設計に至るまで、さまざまな分野に革命をもたらす可能性があるが、同時に脅威もはらんでいる。
“Quantum computing technology could become a force for solving many of society’s most intractable problems, and the new standards represent NIST’s commitment to ensuring it will not simultaneously disrupt our security,” said Under Secretary of Commerce for Standards and Technology and NIST Director Laurie E. Locascio. “These finalized standards are the capstone of NIST’s efforts to safeguard our confidential electronic information.” 商務省標準技術局次官でNIST局長のローリー・E・ロカシオ氏は次のように述べた。「量子コンピューティング技術は、社会が抱える最も困難な問題の多くを解決する力となる可能性があり、この新しい標準は、同時にセキュリティを破壊することのないよう保証するというNISTの取り組みを象徴するものである。この最終版の標準は、NISTが機密電子情報を保護するための取り組みの集大成である。」
The Journey Towards Quantum Resistant Algorithms: NIST's Initiative 量子耐性アルゴリズムへの道のり:NISTのイニシアティブ


In 2015, NIST initiated the selection and standardization of quantum-resistant algorithms to counter potential threats from quantum computers. After assessing 82 algorithms from 25 countries, the top 15 were identified with global cryptographers' assistance. These were categorized into finalists and alternative algorithms, with draft standards released in 2023. Cybersecurity experts are now encouraged to incorporate these new algorithms into their systems. 2015年、NISTは量子コンピュータから潜在的な脅威に対抗するための量子耐性アルゴリズムの選定と標準化を開始した。25カ国から82のアルゴリズムをアセスメントした結果、世界中の暗号技術者の協力を得て、上位15のアルゴリズムが識別された。これらは最終候補と代替アルゴリズムに分類され、2023年にドラフト標準が発表された。現在、サイバーセキュリティの専門家は、これらの新しいアルゴリズムをシステムに組み込むことが推奨されている。
Encryption carries a heavy load in modern digitized society. It protects countless electronic secrets, such as the contents of email messages, medical records and photo libraries, as well as information vital to national security. Encrypted data can be sent across public computer networks because it is unreadable to all but its sender and intended recipient.  暗号化は、現代のデジタル化社会において大きな役割を担っている。電子メールのメッセージ内容、医療記録、写真ライブラリなど、数え切れないほどの電子上の秘密や、国家安全保障に不可欠な情報を保護している。暗号化されたデータは、送信者と取得者以外には解読できないため、公共のコンピューターネットワークを通じて送信することができる。
Encryption tools rely on complex math problems that conventional computers find difficult or impossible to solve. A sufficiently capable quantum computer, though, would be able to sift through a vast number of potential solutions to these problems very quickly, thereby defeating current encryption. The algorithms NIST has standardized are based on different math problems that would stymie both conventional and quantum computers. 暗号化ツールは、従来のコンピューターでは解読が困難または不可能な複雑な数学問題に依存している。しかし、十分な能力を持つ量子コンピューターであれば、これらの問題の膨大な数の潜在的な解決策を非常に迅速に洗い出すことができ、現在の暗号化を破ることができる。NISTが標準化したアルゴリズムは、従来のコンピューターと量子コンピューターの両方を妨げるさまざまな数学問題に基づいている。
“These finalized standards include instructions for incorporating them into products and encryption systems,” said NIST mathematician Dustin Moody, who heads the PQC standardization project. “We encourage system administrators to start integrating them into their systems immediately, because full integration will take time.” PQC標準化プロジェクトを率いるNISTの数学者、ダスティン・ムーディ氏は次のように述べた。「これらの最終標準には、製品や暗号化システムへの組み込みに関する指示が含まれている。完全な統合には時間がかかるため、システム管理者には直ちにシステムへの統合を開始することを推奨する。」
Moody said that these standards are the primary tools for general encryption and protecting digital signatures.  ムーディ氏は、これらの標準は一般的な暗号化とデジタル署名の保護のための主要なツールであると述べた。 
Want to learn more about post-quantum cryptography? Check out our explainer 耐量子暗号化についてもっと知りたいですか? こちらの解説記事をご覧ください。
NIST also continues to evaluate two other sets of algorithms that could one day serve as backup standards.  NISTは、いずれバックアップ標準として役立つ可能性がある、他の2つのアルゴリズムセットの評価も継続している。
One of these sets consists of three algorithms designed for general encryption but based on a different type of math problem than the general-purpose algorithm in the finalized standards. NIST plans to announce its selection of one or two of these algorithms by the end of 2024. そのうちの1つは、一般的な暗号化用に設計された3つのアルゴリズムで構成されているが、最終標準の汎用アルゴリズムとは異なる種類の数学問題に基づいている。NISTは、2024年末までにこれらのアルゴリズムのうち1つまたは2つを選択する予定である。
The second set includes a larger group of algorithms designed for digital signatures. In order to accommodate any ideas that cryptographers may have had since the initial 2016 call for submissions, NIST asked the public for additional algorithms in 2022 and has begun a process of evaluating them. In the near future, NIST expects to announce about 15 algorithms from this group that will proceed to the next round of testing, evaluation and analysis.
2つ目のセットには、デジタル署名用に設計されたより大規模なアルゴリズム群が含まれる。暗号学者たちが2016年の最初の提出要請以降に考え出したアイデアをすべて取り入れるため、NISTは2022年に一般から追加のアルゴリズムを募集し、それらの評価プロセスを開始した。近い将来、NISTは次のテスト、評価、分析の段階に進む15個ほどのアルゴリズムをこのグループから発表する予定である。
While analysis of these two additional sets of algorithms will continue, Moody said that any subsequent PQC standards will function as backups to the three that NIST announced today.  この2つの追加アルゴリズムセットの分析は継続されるが、ムーディ氏は、その後のPQC標準は、NISTが本日発表した3つの標準のバックアップとして機能するだろうと述べた。
“There is no need to wait for future standards,” he said. “Go ahead and start using these three. We need to be prepared in case of an attack that defeats the algorithms in these three standards, and we will continue working on backup plans to keep our data safe. But for most applications, these new standards are the main event.”  「今後の標準を待つ必要はありません。この3つを今すぐ使い始めてください。この3つの標準のアルゴリズムを破る攻撃に備える必要があります。そして、データを安全に保つためのバックアップ計画の策定を継続していきます。しかし、ほとんどのアプリケーションでは、これらの新しい標準がメインとなる。」
More Details on the New Standards 新しい標準の詳細
Encryption uses math to protect sensitive electronic information, including secure websites and emails. Widely used public-key encryption systems, which rely on math problems that computers find intractable, ensure that these websites and messages are inaccessible to unwelcome third parties. Before making the selections, NIST considered not only the security of the algorithms’ underlying math, but also the best applications for them 暗号化は、安全なウェブサイトや電子メールなどの機密性の高い電子情報を保護するために数学を使用する。広く使用されている公開鍵暗号化システムは、コンピュータが解読できない数学の問題に依存しており、これらのウェブサイトやメッセージが望ましくないサードパーティにアクセスされないことを保証する。NISTは、選択を行う前に、アルゴリズムの基礎となる数学のセキュリティだけでなく、それらの最適な用途についても検討した。
The new standards are designed for two essential tasks for which encryption is typically used: general encryption, used to protect information exchanged across a public network; and digital signatures, used for identity authentication. NIST announced its selection of four algorithms — CRYSTALS-Kyber, CRYSTALS-Dilithium, Sphincs+ and FALCON — slated for standardization in 2022 and released draft versions of three of these standards in 2023. The fourth draft standard based on FALCON is planned for late 2024.   新しい標準は、暗号化が一般的に使用される2つの重要なタスク、すなわち、公開ネットワーク上でやり取りされる情報の保護に使用される「一般暗号化」と、身元認証に使用される「デジタル署名」のために設計されている。NISTは、2022年に標準化が予定されている4つのアルゴリズム、すなわち、CRYSTALS-Kyber、CRYSTALS-Dilithium、Sphincs+、FALCONの選定を発表し、2023年にはこれらの標準の3つのドラフト版を公開した。FALCONに基づく4つ目のドラフト標準は2024年後半に予定されている。 
While there have been no substantive changes made to the standards since the draft versions, NIST has changed the algorithms’ names to specify the versions that appear in the three finalized standards, which are:  ドラフト版以降、標準に実質的な変更は加えられていないが、NISTはアルゴリズムの名称を変更し、3つの最終標準に含まれるバージョンを特定している。
・Federal Information Processing Standard (FIPS) 203, intended as the primary standard for general encryption. Among its advantages are comparatively small encryption keys that two parties can exchange easily, as well as its speed of operation. The standard is based on the CRYSTALS-Kyber algorithm, which has been renamed ML-KEM, short for Module-Lattice-Based Key-Encapsulation Mechanism. 連邦情報処理規格(FIPS)203は、一般暗号化の主要標準として意図されている。その利点には、2つの当事者が容易に交換できる比較的小さな暗号化キーや、処理速度の速さなどが挙げられる。この標準は、CRYSTALS-Kyberアルゴリズムをベースとしているが、このアルゴリズムは、モジュール格子ベース鍵カプセル化メカニズム(Module-Lattice-Based Key-Encapsulation Mechanism)の略称であるML-KEMに名称変更されている。
・FIPS 204, intended as the primary standard for protecting digital signatures. The standard uses the CRYSTALS-Dilithium algorithm, which has been renamed ML-DSA, short for Module-Lattice-Based Digital Signature Algorithm. FIPS 204は、デジタル署名の保護を主な目的とする標準である。この標準では、CRYSTALS-Dilithiumアルゴリズムが使用されており、これはML-DSA(Module-Lattice-Based Digital Signature Algorithmの略)と改名されている。
・FIPS 205, also designed for digital signatures. The standard employs the Sphincs+ algorithm, which has been renamed SLH-DSA, short for Stateless Hash-Based Digital Signature Algorithm. The standard is based on a different math approach than ML-DSA, and it is intended as a backup method in case ML-DSA proves vulnerable. FIPS 205もまたデジタル署名用に設計された標準である。この標準では、Sphincs+アルゴリズムが使用されており、これはSLH-DSA(Stateless Hash-Based Digital Signature Algorithmの略)と改名されている。この標準は、ML-DSAとは異なる数学的アプローチに基づいており、ML-DSAに脆弱性が認められた場合のバックアップ手段として意図されている。
Similarly, when the draft FIPS 206 standard built around FALCON is released, the algorithm will be dubbed FN-DSA, short for FFT (fast-Fourier transform) over NTRU-Lattice-Based Digital Signature Algorithm.  同様に、FALCONをベースとしたFIPS 206標準のドラフトが発表された際には、このアルゴリズムは「FFT(高速フーリエ変換) over NTRU-Lattice-Based Digital Signature Algorithm」の略称である「FN-DSA」と呼ばれることになる。

 

 


FIPS 203 モジュール格子基盤・鍵カプセル化メカニズム標準

・2024.08.13 FIPS 203 Module-Lattice-Based Key-Encapsulation Mechanism Standard

FIPS 203 Module-Lattice-Based Key-Encapsulation Mechanism Standard FIPS 203 モジュール格子基盤・鍵カプセル化メカニズム標準
Abstract 概要
A key-encapsulation mechanism (KEM) is a set of algorithms that, under certain conditions, can be used by two parties to establish a shared secret key over a public channel. A shared secret key that is securely established using a KEM can then be used with symmetric-key cryptographic algorithms to perform basic tasks in secure communications, such as encryption and authentication. This standard specifies a key-encapsulation mechanism called ML-KEM. The security of ML-KEM is related to the computational difficulty of the Module Learning with Errors problem. At present, ML-KEM is believed to be secure, even against adversaries who possess a quantum computer. This standard specifies three parameter sets for ML-KEM. In order of increasing security strength and decreasing performance, these are ML-KEM-512, ML-KEM-768, and ML-KEM-1024. 鍵カプセル化メカニズム(KEM)は、特定の条件下で、2つの当事者が公開チャネル上で共有秘密鍵を確立するために使用できるアルゴリズムのセットである。KEMを使用して安全に確立された共有秘密鍵は、その後、暗号化や認証などの安全なコミュニケーションにおける基本的なタスクを実行するために、対称鍵暗号化アルゴリズムと併用することができる。本標準規格は、ML-KEMと呼ばれる鍵カプセル化メカニズムを規定する。ML-KEMの安全性は、モジュール学習におけるエラー問題の計算上の難易度に関連している。現在、量子コンピュータを所有する敵対者に対しても、ML-KEMは安全であると考えられている。この標準規格では、ML-KEM に対して3つのパラメータセットを規定している。セキュリティ強度が増加し、パフォーマンスが低下する順に、ML-KEM-512、ML-KEM-768、ML-KEM-1024である。

 

・[PDF] NIST.FIPS.203

20240814-84039

 

目次...

1 Introduction 1 序文
1.1 Purpose and Scope 1.1 目的と適用範囲
1.2 Context 1.2 背景
2 Terms, Acronyms, and Notation 2 用語、略語、表記
2.1 Terms and Definitions 2.1 用語と定義
2.2 Acronyms 2.2 略語
2.3 Mathematical Symbols 2.3 数学記号
2.4 Interpreting the Pseudocode 2.4 擬似コードの解釈
2.4.1 Data Types 2.4.1 データ型
2.4.2 Loop Syntax 2.4.2 ループ構文
2.4.3 Arithmetic With Arrays of Integers 2.4.3 整数の配列の演算
2.4.4 Representations of Algebraic Objects 2.4.4 代数オブジェクトの表現 オブジェクトの表現
2.4.5 Arithmetic With Polynomials and NTT Representations 2.4.5 多項式および NTT 表現を用いた算術演算
2.4.6 Matrices and Vectors 2.4.6 行列およびベクトル
2.4.7 Arithmetic With Matrices and Vectors 2.4.7 行列およびベクトルを用いた算術演算
2.4.8 Applying Algorithms to Arrays, Examples 2.4.8 アルゴリズムの配列への適用、例
3 Overview of the ML-KEM Scheme 3 ML-KEM スキームの概要
3.1 Key-Encapsulation Mechanisms 3.1 キーカプセル化メカニズム
3.2 The ML-KEM Scheme 3.2 ML-KEM スキーム
3.3 Requirements for ML-KEM Implementations 3.3 ML-KEM 実装の要件 4 補助アルゴリズム
4 Auxiliary Algorithms 4 補助アルゴリズム
4.1 Cryptographic Functions 4.1 暗号機能
4.2 General Algorithms 4.2 一般アルゴリズム
4.2.1 Conversion and Compression Algorithms 4.2.1 変換および圧縮アルゴリズム
4.2.2 Sampling Algorithms 4.2.2 サンプリングアルゴリズム
4.3 The Number-Theoretic Transform 4.3 数論変換
4.3.1 Multiplication in the NTT Domain 4.3.1 NTT ドメインにおける乗算
5 The K-PKE Component Scheme 5 K-PKE コンポーネントスキーム
5.1 K-PKE Key Generation 5.1 K-PKE 鍵生成
5.2 K-PKE Encryption 5.2 K-PKE 暗号化
5.3 K-PKE Decryption 5.3 K -PKE 復号
6 Main Internal Algorithms 6 主な内部アルゴリズム
6.1 Internal Key Generation 6.1 内部鍵生成
6.2 Internal Encapsulation 6.2 内部カプセル化
6.3 Internal Decapsulation 6.3 内部カプセル化解除
7 The ML-KEM Key-Encapsulation Mechanism 7 ML-KEM 鍵カプセル化メカニズム
7.1 ML-KEM Key Generation 7.1 ML-KEM 鍵生成
7.2 ML-KEM Encapsulation 7.2 ML-KEM カプセル化
7.3 ML-KEM Decapsulation 7.3 ML-KEM カプセル化解除
8 Parameter Sets 8 パラメータセット
References 参考文献
Appendix A — Precomputed Values for the NTT 附属書 A — NTT 用の事前計算値
Appendix B — SampleNTT Loop Bounds 附属書 B — サンプル NTT ループ境界値のサンプル
Appendix C — Differences From the CRYSTALS-KYBER Submission 附属書 C — CRYSTALS-KYBER 提出書類との相違点

 

 


 

FIPS 204 モジュール格子基盤・デジタル署名標準

・2024.08.13 FIPS 204 Module-Lattice-Based Digital Signature Standard

FIPS 204 Module-Lattice-Based Digital Signature Standard FIPS 204 モジュール格子基盤・デジタル署名標準
Abstract 概要
Digital signatures are used to detect unauthorized modifications to data and to authenticate the identity of the signatory. In addition, the recipient of signed data can use a digital signature as evidence in demonstrating to a third party that the signature was, in fact, generated by the claimed signatory. This is known as non-repudiation since the signatory cannot easily repudiate the signature at a later time. This standard specifies ML-DSA, a set of algorithms that can be used to generate and verify digital signatures. ML-DSA is believed to be secure, even against adversaries in possession of a large-scale quantum computer. デジタル署名は、データの不正な変更を検知し、署名者の身元を認証するために使用される。さらに、署名されたデータの取得者は、デジタル署名を証拠として使用し、その署名が実際に主張された署名者によって生成されたことをサードパーティに証明することができる。これは、署名者が後になって署名を簡単に否認できないことから、否認防止として知られている。この標準では、デジタル署名の生成と検証に使用できるアルゴリズムのセットであるML-DSAを規定している。ML-DSAは、大規模な量子コンピュータを所有する敵対者に対しても安全であると考えられている。

 

・[PDF] NIST.FIPS.204

20240814-84045

 

目次...

1 Introduction 1 序文
1.1 Purpose and Scope 1.1 目的および適用範囲
1.2 Context 1.2 背景
2 Glossary of Terms, Acronyms, and Symbols 2 用語、略語、および記号の一覧
2.1 Terms and Definitions 2.1 用語と定義
2.2 Acronyms 2.2 略語
2.3 Mathematical Symbols 2.3 数学記号
2.4 Notation 2.4 表記
2.4.1 Rings 2.4.1 環
2.4.2 Vectors and Matrices 2.4.2 ベクトルと行列
2.5 NTT Representation 2.5 NTT 表記
3 Overview of the ML-DSA Signature Scheme 3 ML-DSA署名スキームの概要
3.1 Security Properties 3.1 セキュリティ特性
3.2 Computational Assumptions 3.2 計算上の前提条件
3.3 ML-DSA Construction 3.3 ML-DSAの構築
3.4 Hedged and Deterministic Signing 3.4 ヘッジ付き決定性署名
3.5 Use of Digital Signatures 3.5 デジタル署名の使用
3.6 Additional Requirements 3.6 追加要件
3.6.1 Randomness Generation 3.6.1 ランダム性の生成
3.6.2 Public-Key and Signature Length Checks 3.6.2 公開鍵と署名の長さの確認
3.6.3 Intermediate Values 3.6.3 中間値
3.6.4 No Floating-Point Arithmetic 3.6.4 浮動小数点演算の禁止
3.7 Use of Symmetric Cryptography 3.7 対称暗号の使用
4 Parameter Sets 4 パラメータセット
5 External Functions 5 外部機能
5.1 ML-DSA Key Generation 5.1 ML-DSA 鍵生成
5.2 ML-DSA Signing 5.2 ML-DSA 署名
5.3 ML-DSA Verifying 5.3 ML-DSA 検証
5.4 Pre-Hash ML-DSA18 5.4 Pre-Hash ML-DSA18
5.4.1 HashML-DSA Signing and Verifying 5.4.1 HashML-DSA 署名および検証
6 Internal Functions 6 内部機能
6.1 ML-DSA Key Generation (Internal) 6.1 ML-DSA 鍵生成(内部
6.2 ML-DSA Signing (Internal) 6.2 ML-DSA 署名(内部
6.3 ML-DSA Verifying (Internal) 6.3 ML-DSA 検証( 内部)
7 Auxiliary Functions 7 補助機能
7.1 Conversion Between Data Types 7.1 データタイプの変換
7.2 Encodings of ML-DSA Keys and Signatures 7.2 ML-DSA 鍵および署名のエンコード
7.3 Pseudorandom Sampling 7.3 擬似ランダムサンプリング
7.4 High-Order and Low-Order Bits and Hints 7.4 高次および低次ビットとヒント
7.5 NTT and NTT−1 7.5 NTT および NTT-1
7.6 Arithmetic Under NTT 7.6 NTT に基づく算術演算
References 参考文献
Appendix A — Montgomery Multiplication 附属書 A — モンゴメリ乗算
Appendix B — Zetas Array 附属書 B — ゼータ配列
Appendix C — Loop Bounds 附属書 C — ループ境界
Appendix D — Differences from the CRYSTALS-DILITHIUM Submission 附属書 D — CRYSTALS-DILITHIUM 提出物との相違点
D.1 Differences Between Version 3.1 and the Round 3 Version of CRYSTALS-DILITHIUM D.1 CRYSTALS-DILITHIUM のバージョン 3.1 とラウンド 3 との相違点 ALS-DILITHIUM
D.2 Differences Between Version 3.1 of CRYSTALS-DILITHIUM and FIPS 204 Initial Public Draft D.2 CRYSTALS-DILITHIUM バージョン 3.1 と FIPS 204 初期公開ドラフトとの相違点
D.3 Changes From FIPS 204 Initial Public Draf D.3 FIPS 204 初期公開ドラフトからの変更点

 

 

 


 

FIPS 205 ステートレスバッシュ基盤・デジタル署名標準

・2024.08.31 FIPS 205 Stateless Hash-Based Digital Signature Standard

FIPS 205 Stateless Hash-Based Digital Signature Standard FIPS 205 ステートレスバッシュ基盤・デジタル署名標準
Abstract 概要
This standard specifies the stateless hash-based digital signature algorithm (SLH-DSA). Digital signatures are used to detect unauthorized modifications to data and to authenticate the identity of the signatory. In addition, the recipient of signed data can use a digital signature as evidence in demonstrating to a third party that the signature was, in fact, generated by the claimed signatory. This is known as non-repudiation since the signatory cannot easily repudiate the signature at a later time. SLH-DSA is based on SPHINCS+, which was selected for standardization as part of the NIST Post-Quantum Cryptography Standardization process. 本標準は、ステートレスバッシュ基盤・デジタル署名アルゴリズム(SLH-DSA)を規定する。デジタル署名は、データの不正な変更を検知し、署名者の身元を認証するために使用される。さらに、署名されたデータの取得者は、デジタル署名を証拠として使用し、その署名が実際に主張された署名者によって生成されたことをサードパーティに証明することができる。これは、署名者が後になって署名を簡単に否認できないことから、否認防止として知られている。SLH-DSAは、NISTの耐量子暗号標準化プロセスの一部として標準化が選定されたSPHINCS+をベースとしている。

 

・[PDF] NIST.FIPS.205

20240814-84053

 

目次...

1 Introduction 1 序文
1.1 Purpose and Scope 1.1 目的と範囲
1.2 Context 1.2 背景
2 Glossary of Terms, Acronyms, and Symbols 2 用語、略語、および記号の一覧
2.1 Terms and Definitions 2.1 用語と定義
2.2 Acronyms 2.2 略語
2.3 Mathematical Symbols 2.3 数学記号
3 Overview of the SLH-DSA Signature Scheme 3 SLH-DSA署名スキームの概要
3.1 Additional Requirements 3.1 追加要件
3.2 Implementation Considerations 3.2 実装に関する考慮事項
4 Functions and Addressing 4 機能とアドレス指定
4.1 Hash Functions and Pseudorandom Functions 4.1 ハッシュ関数と擬似ランダム関数 機能
4.2 Addresses 4.2 アドレス
4.3 Member Functions 4.3 メンバー機能
4.4 Arrays, Byte Strings, and Integers 4.4 配列、バイト文字列、および整数
5 Winternitz One-Time Signature Plus Scheme 5 Winternitz One-Time Signature Plus スキーム
5.1 WOTS+ Public-Key Generation 5.1 WOTS+ 公開鍵生成
5.2 WOTS+ Signature Generation 5.2 WOTS+ 署名生成
5.3 Computing a WOTS+ Public Key From a Signature 5.3 署名から WOTS+ 公開鍵を計算する
6 eXtended Merkle Signature Scheme (XMSS) 6 拡張メルクル署名スキーム (XMSS) 
6.1 Generating a Merkle Hash Tree 6.1 メルクルハッシュツリーの生成
6.2 Generating an XMSS Signature 6.2 XMSS署名の生成
6.3 Computing an XMSS Public Key From a Signature 6.3 署名からXMSS公開鍵を計算する
7 The SLH-DSA Hypertree 7 SLH-DSAハイパーツリー
7.1 Hypertree Signature Generation 7.1 ハイパーツリー署名の生成
7.2 Hypertree Signature Verification 7.2 ハイパーツリー署名の検証
8 Forest of Random Subsets (FORS) 8 ランダムサブセットのフォレスト(FORS)
8.1 Generating FORS Secret Values 8.1 FORS秘密値の生成 秘密値の生成
8.2 Generating a Merkle Hash Tree 8.2 メルクルハッシュツリーの生成
8.3 Generating a FORS Signature 8.3 FORS署名の生成
8.4 Computing a FORS Public Key From a Signature 8.4 署名からFORS公開鍵の計算
9 SLH-DSA Internal Functions 9 SLH-DSA内部機能
9.1 SLH-DSA Key Generation 9.1 SLH-DSA鍵生成
9.2 SLH-DSA Signature Generation 9.2 SLH-DSA署名生成
9.3 SLH-DSA Signature Verification 9.3 SLH-DSA署名検証
10 SLH-DSA External Functions 10 SLH-D SA の外部機能
10.1 SLH-DSA Key Generation 10.1 SLH-DSA 鍵生成
10.2 SLH-DSA Signature Generation 10.2 SLH-DSA 署名生成
10.2.1 Pure SLH-DSA Signature Generation 10.2.1 純粋な SLH-DSA 署名生成
10.2.2 HashSLH-DSA Signature Generation 10.2.2 HashSLH-DSA 署名生成
10.3 SLH-DSA Signature Verification 10.3 SLH-DSA 署名検証
11 Parameter Sets 11 パラメータセット
11.1 SLH-DSA Using SHAKE 11.1 SLH-DSA における SHAKE
11.2 SLH-DSA Using SHA2 11.2 SLH-DSA におけるSHA2
11.2.1 SLH-DSA Using SHA2 for Security Category 1 11.2.1 セキュリティカテゴリー1用のSHA2を使用するSLH-DSA
11.2.2 SLH-DSA Using SHA2 for Security Categories 3 and 5 11.2.2 セキュリティカテゴリー3および5用のSHA2を使用するSLH-DSA
References 参考文献
Appendix A — Differences From the SPHINCS+ Submission 附属書A — SPHINCS+提出物との相違点
A.1 Changes From FIPS 205 Initial Public Draft A.1 FIPS 205の最初の公開ドラフトからの変更点

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.25 米国 NIST パブコメ FIPS 203 モジュール・ラティス・ベースの鍵カプセル化メカニズム標準, FIPS 204 モジュール-格子ベース電子署名標準, FIPS 205 ステートレス・ハッシュベース・デジタル署名標準

 

 

| | Comments (0)

2024.08.01

IPA 情報セキュリティ白書 2024

こんにちは、丸山満彦です。

2024.07.30から書籍版が販売ということのようです。。。

情報セキュリティ白書は2008年から続いていますから、今年で17周年ですね。。。

サブタイトルが、「変革の波にひそむ脅威:リスクを見直し対策を」となっていますね。。。

 

IPA

・2023.07.25 情報セキュリティ白書2024 7月30日発売

PDF版は、アンケートに答えるとダウンロードできますね...

アンケートに回答する

20240801-02403_20240801002401

 


情報セキュリティ分野の動向を反映した最新刊のおすすめトピックは以下の通りです。

  • 国家の支援が疑われる攻撃者グループによるゼロデイ脆弱性を悪用した攻撃の観測を発表:2023年5月
  • ファイル転送ソフトウェアに対するゼロデイ攻撃により情報漏えいやランサムウェア被害が発生:2023年6月
  • 名古屋港のコンテナターミナルで利用しているシステムがランサムウェア攻撃を受けて停止:2023年7月
  • 「政府機関等のサイバーセキュリティ対策のための統一基準群」が全面改訂:2023年7月
  • 福島第一原発処理水放出に関する偽・誤情報拡散:2023年8月
  • 元派遣社員による顧客情報約928万件の不正持ち出しを大手通信会社グループ企業が公表:2023年10月
  • 能登半島地震が発生、SNSで偽・誤情報拡散:2024年1月
  • NISTが「サイバーセキュリティフレームワーク(CSF)」を10年ぶりに改訂し2.0版を公開:2024年2月

 

目次...

  • 序章 2023年度の情報セキュリティの概況
  • 第1章 情報セキュリティインシデント・脆弱性の現状と対策
    • 1.1 2023年度に観測されたインシデント状況
    • 1.2 情報セキュリティインシデント別の手口と対策
    • 1.3 情報システムの脆弱性の動向
  • 第2章 情報セキュリティを支える基盤の動向
    • 2.1 国内の情報セキュリティ政策の状況
    • 2.2 国外の情報セキュリティ政策の状況
    • 2.3 情報セキュリティ人材の現状と育成
    • 2.4 国際標準化活動
  • 第3章 情報セキュリティ対策強化や取り組みの動向
    • 3.1 組織・個人に向けた情報セキュリティ対策の普及活動
    • 3.2 製品・サービス認証制度の動向
    • 3.3 暗号技術の動向
    • 3.4 制御システムのセキュリティ
    • 3.5 IoTのセキュリティ
    • 3.6 クラウドのセキュリティ
  • 第4章 注目のトピック
    • 4.1 虚偽を含む情報拡散の脅威と対策の動向
    • 4.2 AIのセキュリティ
  • 付録 資料・ツール
  • 資料A 2023年のコンピュータウイルス届出状況
  • 資料B 2023年のコンピュータ不正アクセス届出状況
  • 資料C ソフトウェア等の脆弱性関連情報に関する届出状況
  • 資料D 2023年の情報セキュリティ安心相談窓口の相談状況
  • 第19回 IPA「ひろげよう情報セキュリティコンクール」2023 受賞作品
  • IPAの便利なツールとコンテンツ

 

 

情報セキュリティ白書

過去のバックアップ

年度 サブタイトル 全文
2024 変革の波にひそむ脅威:リスクを見直し対策を  
2023 進む技術と未知の世界:新時代の脅威に備えよ PDF
2022 ゆらぐ常識、強まる脅威:想定外に立ち向かえ PDF
2021 進むデジタル、広がるリスク:守りの基本を見直そう PDF
2020 変わる生活、変わらぬ脅威:自らリスクを考え新しい行動を PDF
2019 新しい基盤、巧妙化する攻撃:未知のリスクに対応する力 PDF
2018 深刻化する事業への影響:つながる社会で立ち向かえ PDF
2017 広がる利用、見えてきた脅威:つながる社会へ着実な備えを  
2016 今そこにある脅威:意識を高め実践的な取り組みを  
2015 サイバーセキュリティ新時代:あらゆる変化へ柔軟な対応を  
2014 もはや安全ではない:高めようリスク感度  
2013 つながる機器に広がる脅威:求められる一人ひとりの意識の向上  
2012 狙われる機密情報:求められる情報共有体制の整備  
2011 広がるサイバー攻撃の脅威:求められる国際的な対応  
2010 広まる脅威・多様化する攻撃:求められる新たな情報セキュリティ対策  
2009 岐路に立つ情報セキュリティ対策:求められるIT活用との両立  
2008 脅威が見えない脅威-求められるプロアクティブな対策  

 

 


 

情報セキュリティ気まぐれ日記

・2023.07.27 IPA 情報セキュリティ白書 2023

・2022.07.12 IPA 情報セキュリティ白書2022

・2020.09.06 IPA 情報セキュリティ白書2020 + 10大脅威 ~セキュリティ対策は一丸となって、Let's Try!!~

ちょっと遡って...

・2009.03.28 IPA 情報セキュリティ白書2009 10大脅威 攻撃手法の『多様化』が進む

・2008.05.28 IPA 情報セキュリティ白書2008 第II部「10大脅威 ますます進む『見えない化』」を公開

・2007.03.12 IPA 情報セキュリティ白書2007 - 10大脅威 「脅威の“見えない化”が加速する!」 -

・2006.03.23 IPA 情報セキュリティ白書2006年版発行

 

 

| | Comments (0)

2024.07.26

バーゼル銀行監督委員会 「暗号資産に係る基準の改訂」と「暗号資産エクスポージャーに係る開示」 (2024.07.17)

こんにちは、丸山満彦です。

バーゼル銀行監督委員会が「暗号資産に係る基準の改訂」と「暗号資産エクスポージャーに係る開示」を公表しています...

暗号資産と一言にいっても、ボラティリティがさまざまであるので、投資家等にもわかりやすくエクスポージャーにかかる開示は重要となりますね...

 

 Basel Committee on Banking Supervision

プレス...

・2024.07.17 Basel Committee publishes final disclosure framework for banks' cryptoasset exposures and targeted amendments to its cryptoasset standard

Basel Committee publishes final disclosure framework for banks' cryptoasset exposures and targeted amendments to its cryptoasset standard バーゼル委員会、銀行の暗号資産エクスポージャーに関する最終的な開示フレームワークと暗号資産標準の目標修正を公表
Basel Committee has published its final disclosure framework for banks' cryptoasset exposures. バーゼル委員会は、銀行の暗号資産エクスポージャーに関する最終的な開示枠組みを公表した。
The Committee has also published targeted amendments to its cryptoasset standard to tighten the criteria for certain stablecoins to receive a preferential regulatory treatment. 同委員会はまた、特定のステーブルコインが規制上の優遇措置を受けるための基準を厳格化するため、暗号資産標準の的を絞った改正も公表した。
Both standards are to be implemented by 1 January 2026. 両基準は2026年1月1日までに実施される。
The Basel Committee on Banking Supervision today published its final disclosure framework for banks' cryptoasset exposures and targeted amendments to its cryptoasset standard published in December 2022. Both standards have an implementation date of 1 January 2026. バーゼル銀行監督委員会は本日、銀行の暗号資産エクスポージャーに関する最終的な開示枠組みと、2022年12月に公表した暗号資産基準の的を絞った改正を公表した。両基準の実施日は2026年1月1日である。
The final disclosure framework includes a set of standardised tables and templates covering banks' cryptoasset exposures. These require banks to disclose qualitative information on their cryptoasset-related activities and quantitative information on the capital and liquidity requirements for their cryptoasset exposures. The use of common disclosure requirements aims to enhance information availability and support market discipline. 最終的な開示枠組みには、銀行の暗号資産エクスポージャーをカバーする標準化された表とテンプレートが含まれる。これらにより、銀行は暗号資産関連の活動に関する定性的情報と、暗号資産エクスポージャーの資本要件および流動性要件に関する定量的情報を開示することが求められる。共通の開示要件の使用は、情報の利用可能性を高め、市場規律をサポートすることを目的としている。
The targeted amendments to the cryptoasset prudential standard aim to further promote a consistent understanding of the standard, particularly regarding the criteria for stablecoins to receive a preferential "Group 1b" regulatory treatment. Various other technical amendments clarify other aspects of the standard. 暗号資産プルデンシャル基準の的を絞った改正は、特にステーブルコインが「グループ1b」の規制上の優遇措置を受けるための基準について、基準の一貫した理解をさらに促進することを目的としている。その他、様々な技術的修正により、標準の他の側面が明確化されている。
The Committee will continue to monitor developments in cryptoasset markets and the need to mitigate new risks. 委員会は、暗号資産市場の発展と新たなリスク軽減の必要性を引き続き監視していく。

 

・2024.07.17 Cryptoasset standard amendments

Cryptoasset standard amendments 暗号資産標準の改正
The Basel Committee on Banking Supervision has finalised targeted amendments to its prudential standard on banks' exposures to cryptoassets. バーゼル銀行監督委員会は、銀行の暗号資産エクスポージャーに関するプルデンシャル標準の的を絞った改正を最終決定した。
The targeted amendments to the cryptoasset prudential standard aim to further promote a consistent understanding of the standard, particularly regarding the criteria for stablecoins to receive a preferential "Group 1b" regulatory treatment. Various other technical amendments clarify other aspects of the standard. 暗号資産に関するプルデンシャル・スタンダードの対象的な改正は、特にステーブルコインが「グループ1b」の規制上の優遇措置を受けるための基準について、標準の一貫した理解をさらに促進することを目的としている。その他の様々な技術的修正により、標準の他の側面が明確化された。
The Committee has agreed to implement the final revised standard by 1 January 2026. 委員会は、2026年1月1日までに最終改訂標準を導入することに合意した。

 

・[PDF]

20240725-205934

 

・2024.07.17 Disclosure of cryptoasset exposures

Disclosure of cryptoasset exposures 暗号資産エクスポージャーの開示
The Basel Committee on Banking Supervision has finalised its disclosure framework for banks' cryptoasset exposures. バーゼル銀行監督委員会は、銀行の暗号資産エクスポージャーに関する開示枠組みを最終決定した。
The disclosure framework has been developed based on the disclosure requirements contained in the final prudential standard on banks' cryptoasset exposures published in December 2022. It includes a standardised table and templates that cover the disclosure of both qualitative and quantitative information. この開示フレームワークは、2022年12月に公表された銀行の暗号資産エクスポージャーに関するプルデンシャル・スタンダードの最終版に含まれる開示要件に基づいて策定された。これには、定性的および定量的情報の開示をカバーする標準化された表とテンプレートが含まれる。
The use of the common disclosure table and templates will support the exercise of market discipline and help to reduce information asymmetry amongst banks and market participants. 共通の開示表とテンプレートの使用は、市場規律の行使をサポートし、銀行と市場参加者間の情報の非対称性を低減するのに役立つ。
The Committee has agreed to implement the standard by 1 January 2026. 委員会は、この標準を2026年1月1日までに実施することで合意している。

 

・[PDF]

20240725-210338

 

これは、金融庁でも公表されていますね...

● 金融庁 

・2024.07.24 バーゼル銀行監督委員会による「暗号資産に係る基準の改訂」の公表について

・2024.07.24 バーゼル銀行監督委員会による「暗号資産エクスポージャーに係る開示」の公表について

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2022.07.08 バーゼル銀行監督委員会:(パブコメ)銀行の暗号資産エクスポージャーのプルデンシャルな取り扱いに関する第2回協議文書を公表 (2022.06.30)

 

・2023.06.21 世界経済フォーラム (WEF) 暗号資産規制への道筋: グローバルアプローチ (2023.05.25)

・2023.05.09 デジタル庁 Web3.0研究会(フォローアップ会議)資料等...

・2022.10.12 金融安定理事会 (FSB) 暗号資産活動の国際的規制の枠組みの提案

| | Comments (0)

2024.07.21

世界経済フォーラム (WEF) スマートコントラクトの台頭とサイバーリスクおよび法的リスクを軽減する戦略 (2024.07.16)

こんにちは、丸山満彦です。

世界経済フォーラム (WEF)が、スマートコントラクトの台頭とサイバーリスクおよび法的リスクを軽減する戦略という文書を書いていますね...

スマートコントラクトの普及はセキュリティ、法的な安定を含み、安全・安心の確保が重要ということですかね...まぁ、第三者を介さずに信用が担保されたトランザクションを自動処理しようという話なので、当然といえば、当然なのですが...

 

World Economic Forum

1_20240721031101

・2024.07.16 The rise of smart contracts and strategies for mitigating cyber and legal risks

 

The rise of smart contracts and strategies for mitigating cyber and legal risks スマートコントラクトの台頭とサイバーリスクおよび法的リスクを軽減する戦略
This article is part of:Centre for the Fourth Industrial Revolution この記事は:第4次産業革命センターの一部である。
・Smart contracts – self-executing agreements embedded in blockchain – offer the promise of seamless execution without human intervention. ・スマートコントラクト(ブロックチェーンに組み込まれた自己実行契約)は、人間の介入なしにシームレスに実行できることを約束している。
・However, the rapid adoption of this revolutionary technology comes with significant technological, legal and cybersecurity-related risks. ・しかし、この革命的なテクノロジーの急速な導入には、技術的、法的、サイバーセキュリティ関連の重大なリスクが伴う。
・Here's why adopting a multi-faceted approach is essential to addressing these risks and enhancing the security and reliability of smart contracts. ・こうしたリスクに対処し、スマート・コントラクトのセキュリティと信頼性を高めるためには、多面的なアプローチの採用が不可欠である理由を説明しよう。
Imagine a world where contracts are executed seamlessly without human intervention, reducing costs and enhancing efficiency across industries – from finance to real estate. This is the promise of smart contracts, self-executing agreements embedded in blockchain technology. 人間の介入なしに契約がシームレスに実行され、コストを削減し、金融から不動産まで、業界全体の効率を高める世界を想像してみてほしい。これがスマート・コントラクトの約束であり、ブロックチェーン技術に組み込まれた自己実行契約である。
However, the rapid adoption of this revolutionary technology comes with significant risks. In 2016, a coding flaw in the Decentralized Autonomous Organization (DAO) smart contract on the Ethereum platform led to a theft of $50 million worth of ether, illustrating the potential vulnerabilities. しかし、この革命的な技術の急速な普及には大きなリスクが伴う。2016年、イーサリアム・プラットフォーム上の分散型自律組織(DAO)スマート・コントラクトにコーディング上の欠陥があり、5,000万ドル相当のエーテルが盗まれるという事件が発生したが、これは潜在的な脆弱性を示している。
DISCOVER 発見
How is the World Economic Forum promoting the responsible use of blockchain? 世界経済フォーラムはブロックチェーンの責任ある利用をどのように推進しているのか?
The World Economic Forum's Platform for Shaping the Future of Blockchain and Digital Assets ensures equity, interoperability, transparency, and trust in the governance of this technology for everyone in society to benefit from blockchain’s transformative potential. 世界経済フォーラムの「ブロックチェーンとデジタル資産の未来を形作るためのプラットフォーム」は、社会のすべての人がブロックチェーンの変革の可能性から恩恵を受けることができるよう、このテクノロジーのガバナンスにおける公平性、相互運用性、透明性、信頼を保証する。
・The Forum helped central banks build, pilot and scale innovative policy frameworks to guide the implementation of blockchain, with a focus on central bank digital currencies. ・同フォーラムは、中央銀行のデジタル通貨を中心に、中央銀行がブロックチェーンの導入を導くための革新的な政策フレームワークを構築し、試験的に運用し、規模を拡大するのを支援した。
・The Redesigning Trust with Blockchain in the Supply Chain initiative is helping supply chain decision-makers implement blockchain, while ensuring that this technology is utilized in a secure, responsible and inclusive way. ・サプライチェーンにおけるブロックチェーンによる信頼の再設計」イニシアチブは、サプライチェーンの意思決定者がブロックチェーンを導入し、この技術が安全で責任ある包括的な方法で活用されるよう支援している。
・The Centre for the Fourth Industrial Revolution UAE is testing the application of digital assets and tokenization to improve financial systems. ・第4次産業革命アラブ首長国連邦センター(Centre for the Fourth Industrial Revolution UAE)は、金融システムを改善するためのデジタル資産とトークン化の応用をテストしている。



Contact us for more information on how to get involved.
With the smart contracts market projected to reach $73 billion by 2030, expanding at a compound annual growth rate (CAGR) of 82.2% as reported by Grand View Research, the urgency to address these risks is paramount. グランド・ビュー・リサーチの報告によると、スマート・コントラクト市場は2030年までに730億ドルに達し、年平均成長率(CAGR)82.2%で拡大すると予測されており、こうしたリスクへの対応が急務となっている。
Smart contracts are playing an increasingly important role and being more widely adopted across various sectors. As platforms like Ethereum continue to dominate the market, ensuring their security and reliability is crucial for the broader adoption and trust in smart contracts. スマートコントラクトはますます重要な役割を果たすようになり、様々な分野でより広く採用されるようになっている。イーサリアムのようなプラットフォームが市場を席巻し続ける中、そのセキュリティと信頼性を確保することは、スマートコントラクトをより広く採用し、信頼されるために極めて重要である。
Technical risks of smart contracts スマート・コントラクトの技術的リスク
Smart contracts are highly dependent on the precision of their code and the security of the blockchain infrastructure they operate on. スマートコントラクトは、そのコードの正確さと、運用するブロックチェーンインフラストラクチャのセキュリティに大きく依存する。
Even minor flaws or oversights can lead to severe consequences such as unauthorized access, fund misappropriation or unintentional legal disputes. To enhance the security and reliability of smart contracts, adopting a multi-faceted approach is essential. 些細な欠陥や見落としでも、不正アクセスや資金の横領、意図しない法的紛争といった深刻な結果を招く可能性がある。スマートコントラクトのセキュリティと信頼性を高めるには、多面的なアプローチを採用することが不可欠だ。



Formal verification tools are critical for checking the correctness of code before deployment. Following established best practices and standards in smart contract development, along with comprehensive auditing processes, can further minimize vulnerabilities. 正式な検証ツールは、デプロイ前にコードの正しさをチェックするために不可欠である。スマートコントラクト開発において確立されたベストプラクティスと標準に従うことは、包括的な監査プロセスとともに、脆弱性をさらに最小化することができる。
Additionally, employing advanced encryption techniques and stringent access controls can safeguard sensitive contract data and transactions from malicious attacks. Implementing these measures can help mitigate technical risks and enhance the trustworthiness of smart contracts. さらに、高度な暗号化技術と厳格なアクセス制御を採用することで、機密性の高い契約データとトランザクションを悪意のある攻撃から守ることができる。これらの対策を実施することで、技術的リスクを軽減し、スマートコントラクトの信頼性を高めることができる。
Evolving crypto threats and legal risks 進化する暗号の脅威と法的リスク
Despite improvements in blockchain security, vulnerabilities in smart contracts continue to be exploited, leading to significant losses. ブロックチェーンのセキュリティが向上しているにもかかわらず、スマートコントラクトの脆弱性が悪用され続け、大きな損失に繋がっている。
In 2023, the value lost in decentralized finance (DeFi) hacks declined by more than 63%, showing a positive trend in reducing the impact of these incidents, as reported by Chainalysis. However, the overall number of crypto hacks increased, indicating that the threat landscape is evolving and remains a significant concern. Chainalysisが報告したように、2023年には、分散型金融(DeFi)のハッキングで失われた価値は63%以上減少し、これらのインシデントの影響を減らすというポジティブな傾向を示している。しかし、暗号ハッキングの全体的な件数は増加しており、脅威の状況は進化しており、依然として重大な懸念事項であることを示している。
These developments highlight a critical challenge: as the adoption of smart contracts grows, so does the sophistication of attacks targeting them. スマート・コントラクトの普及が進むにつれて、スマート・コントラクトを標的にした攻撃の高度化も進んでいる。
Have you read? 読んだことがあるか?
This is the path toward smart financial contracts and more resilient banking これがスマート金融契約とよりレジリエントなバンキングへの道だ
How women are staking out a space in the blockchain world 女性がブロックチェーンの世界でどのように居場所を確保しているか
One of the biggest challenges with smart contracts is that the rules aren't always clear. It's like playing a board game where the rules differ from one place to another; what's acceptable in one country might be illegal in another. This can create confusion about how secure these contracts are and what happens if things go wrong. スマート・コントラクトの最大の課題のひとつは、ルールが必ずしも明確ではないということだ。ある国では容認されていても、別の国では違法かもしれない。このため、契約の安全性や、問題が起きた場合の対応に混乱が生じる可能性がある。
Let's say a smart contract is supposed to pay you when you deliver a project, but the payment never arrives due to a flaw in the programme. Who do you call? Usually, you might take legal action, but with smart contracts, it's not always clear how you can enforce your rights. The laws that apply to traditional contracts don't always match up with how smart contracts work. 例えば、スマート・コントラクトが、あるプロジェクトを納品したときに報酬を支払うことになっているが、プログラムの欠陥のために報酬が支払われなかったとしよう。誰に連絡する?通常は法的措置を取るかもしれないが、スマート・コントラクトでは、権利を行使する方法が必ずしも明確ではない。従来の契約に適用される法律は、スマート・コントラクトの仕組みと必ずしも一致しないのだ。
Economic risks and security concerns 経済的リスクとセキュリティ上の懸念
Think of a smart contract like a vending machine. You pick a snack, pay the money, and the snack comes out. Everything usually works smoothly unless the machine jams. Now, imagine if the price of the snacks suddenly changed while your money was still inside because of a rapid market shift. スマート・コントラクトを自動販売機のように考えてみよう。あなたはスナックを選び、お金を払い、スナックが出てくる。自動販売機がジャムらない限り、通常はすべてがスムーズに機能する。では、急激な市場の変化により、あなたのお金が中に入っている間にスナックの値段が突然変わってしまったとしよう。
That happened to a digital platform called MakerDAO during a major market crash. When the market fell abruptly, the digital contracts couldn't adapt quickly enough, causing people to lose money unexpectedly. This incident shows how sudden changes in market conditions can make these automated systems unreliable, a bit like a vending machine that takes your money without giving you the snack. MakerDAOと呼ばれるデジタル・プラットフォームでは、市場の大暴落の際にそのようなことが起こった。市場が急落したとき、デジタル契約は十分に素早く適応することができず、人々は予想外の損失を被った。この事件は、市場環境の急激な変化が、こうした自動システムをいかに信頼性のないものにしてしまうかを示しており、スナックを与えずにお金を奪う自動販売機のようなものだ。



In November 2017, a seemingly innocent game involving digital cats, CryptoKitties, became so popular that it clogged the Ethereum network. This cute overload caused a significant slowdown across the network, delaying transactions and escalating fees. 2017年11月、CryptoKittiesという一見何の変哲もないデジタル猫のゲームが大人気となり、イーサリアムのネットワークを詰まらせた。このキュートな過負荷はネットワーク全体の大幅な減速を引き起こし、トランザクションを遅延させ、手数料を高騰させた。
This incident is a textbook example of how scalability challenges can lead to economic inefficiencies, which in turn compromise the security of all operations on the network, making every transaction, not just game-related, vulnerable to attacks and failures. この事件は、スケーラビリティの課題がいかに経済的非効率につながり得るかの教科書的な例であり、その結果、ネットワーク上のすべてのオペレーションのセキュリティが損なわれ、ゲーム関連だけでなく、すべてのトランザクションが攻撃や障害に脆弱になる。
The Infrastructure Investment and Jobs Act passed in the US in 2021 shook the foundations of many blockchain projects. This legal shake-up illustrated how swiftly changing regulations could destabilize the smart contract landscape, forcing projects to adapt or perish. 2021年に米国で成立したインフラ投資・雇用法は、多くのブロックチェーン・プロジェクトの基盤を揺るがした。この法的揺り戻しは、規制の迅速な変更がいかにスマートコントラクトの状況を不安定にし、プロジェクトに適応するか滅びるかを迫るかを示している。
This regulatory unpredictability doesn't just affect the economics of projects; it poses serious security risks, as projects rush to comply with new laws, potentially overlooking vulnerabilities or making hasty changes to their infrastructure. このような規制の予測不可能性は、プロジェクトの経済性に影響を与えるだけでなく、プロジェクトが新しい法律への準拠を急ぐあまり、脆弱性を見落としたり、インフラを性急に変更したりする可能性があるため、深刻なセキュリティリスクをもたらす。
Smart contracts will be revolutionary スマート・コントラクトは革命的になる
Smart contracts are poised to revolutionize how we conduct transactions, promising more efficient and secure ways to manage agreements digitally. スマート・コントラクトは、私たちの取引方法に革命をもたらし、より効率的で安全なデジタル契約管理方法を約束する。
DISCOVER 発見する
What is the World Economic Forum doing about the Fourth Industrial Revolution? 世界経済フォーラムは第4次産業革命について何をしているのか?
The World Economic Forum was the first to draw the world’s attention to the Fourth Industrial Revolution, the current period of unprecedented change driven by rapid technological advances. Policies, norms and regulations have not been able to keep up with the pace of innovation, creating a growing need to fill this gap. 世界経済フォーラムは、急速な技術進歩がもたらす前例のない変化の時代である第4次産業革命に、世界で初めて注意を喚起した。政策、規範、規制はイノベーションのペースに追いついておらず、このギャップを埋める必要性が高まっている。
The Forum established the Centre for the Fourth Industrial Revolution Network in 2017 to ensure that new and emerging technologies will help—not harm—humanity in the future. Headquartered in San Francisco, the network launched centres in China, India and Japan in 2018 and is rapidly establishing locally-run Affiliate Centres in many countries around the world. 同フォーラムは、2017年に第4次産業革命センター・ネットワークを設立し、新たなテクノロジーや新興のテクノロジーが、将来人類に害を与えるのではなく、人類を助けることを確実にすることを目指している。サンフランシスコに本部を置くこのネットワークは、2018年に中国、インド、日本でセンターを立ち上げ、世界各国で現地運営のアフィリエイト・センターを急速に設立している。



The global network is working closely with partners from government, business, academia and civil society to co-design and pilot agile frameworks for governing new and emerging technologies, including artificial intelligence (AI)autonomous vehiclesblockchaindata policydigital tradedronesinternet of things (IoT)precision medicine and environmental innovations. このグローバル・ネットワークは、政府、企業、学界、市民社会のパートナーと緊密に連携し、人工知能(AI)、自律走行車、ブロックチェーン、データ政策、デジタル貿易、ドローン、モノのインターネット(IoT)、精密医療、環境イノベーションなど、新しく出現するテクノロジーを管理するためのアジャイルなフレームワークを共同設計し、試験的に運用している。
Learn more about the groundbreaking work that the Centre for the Fourth Industrial Revolution Network is doing to prepare us for the future. 第4次産業革命ネットワークセンターが未来に向けて行っている画期的な取り組みについてもっと知る。
Want to help us shape the Fourth Industrial Revolution? Contact us to find out how you can become a member or partner. 第4次産業革命の形成に貢献したい。メンバーやパートナーになる方法については、こちらまでお問い合わせを。
Yet, the journey toward widespread adoption is laden with hurdles – technical glitches, legal ambiguities and economic fluctuations. Overcoming these challenges requires not just innovative technology but a comprehensive strategy that includes robust security measures, clear legal standards and adaptive economic policies. しかし、普及に向けた道のりには、技術的な不具合、法的な曖昧さ、景気の変動といったハードルが山積している。これらの課題を克服するには、革新的な技術だけでなく、強固なセキュリティ対策、明確な法的基準、適応力のある経済政策を含む包括的な戦略が必要だ。
As we continue to navigate this complex landscape, the success of smart contracts will hinge on our ability to secure and stabilize them against an ever-evolving backdrop of risks. 私たちがこの複雑な状況を乗り越え続ける中で、スマート・コントラクトの成功は、進化し続けるリスクを背景に、スマート・コントラクトを安全かつ安定させる私たちの能力にかかっている。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.04.13 米国 NIST IR 8475(初期公開ドラフト) Web3パラダイムに関するセキュリティの視点

・2024.03.09 米国 NIST IR 8472 非代替性トークンのセキュリティ

・2023.09.08 NIST IR 8408 ステーブルコイン技術と関連するセキュリティ上の考慮事項の理解

・2023.09.04 NIST IR 8472(初期公開ドラフト) 非代替性トークン (NFT) のセキュリティ (2023.08.31)

・2023.04.29 米国 NISTIR 8460 (ドラフト) 状態機械複製とビザンチン敵対者のコンセンサス

・2022.12.30 Belfer Center: Web3関連のイベント(構築、投資、政策立案)(2022.10.20-12.01)

・2022.09.14 米国 MITRE Web3のセキュリティ確保とインターネットの未来への挑戦

・2022.08.19 世界経済フォーラム (WEF) 暗号通貨とステーブルコインがもたらすマクロ経済への影響  (2022.07.22)

・2022.07.19 インド データセキュリティ評議会 Web 3.0 - The Internet of the New Era (2022.07.06)

・2022.06.28 欧州議会 Think Tank メタバース:機会、リスク、政策への影響

・2022.05.30 NISTIR 8403 アクセス制御システムのためのブロックチェーン

・2022.03.29 米国 GAO ブロックチェーン:新たな技術がもたらす利点と課題

・2022.03.01 欧州委員会 データ法の提案

・2022.02.24 Cloud Security Alliance ブロックチェーン/分散型台帳技術(DLT)のリスクとセキュリティに関する考察 (2022.02.16)

・2021.12.21 NIST 意見募集 NISTIR 8403(ドラフト)アクセス制御システムのためのブロックチェーン

・2021.07.20 Cloud Security Alliance ヘルスケアにおけるブロックチェーンの利用

・2021.05.04 ISACA, AICPA&CIMAが共同でブロックチェーンのリスクに関する白書を公開していますね。。。

・2021.02.11 NIST NISTIR 8301 Blockchain Networks: Token Design and Management Overview(ブロックチェーンネットワーク:トークンのデザインと管理の概要)

・2021.02.10 ENISA 暗号に関する2つの報告書 「ポスト量子暗号:現状と量子緩和」と「暗号資産:デジタル通貨と分散型台帳技術の概要」

・2020.09.30 NIST NISTIR 8301 (Draft) Blockchain Networks: Token Design and Management Overview

・2020.09.30 NIST NISTIR 8235 (Draft) Security Guidance for First Responder Mobile and Wearable Devices

 

| | Comments (0)

2024.07.17

米国 NIST SP 800-78-5 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズ

こんにちは、丸山満彦です。

NISTが、SP 800-73-5 個人アイデンティティ検証用インタフェース Part1-3と、NIST SP 800-78-5 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズを公表していますね...

● NIST- ITL 

プレス...

・2024.07.15 Personal Identity Verification (PIV) Interfaces, Cryptographic Algorithms, and Key Sizes: NIST Revises SP 800-73 and SP 800-78

Personal Identity Verification (PIV) Interfaces, Cryptographic Algorithms, and Key Sizes: NIST Revises SP 800-73 and SP 800-78 個人アイデンティティ検証(PIV)インタフェース、暗号アルゴリズム、および鍵サイズ: NIST は SP 800-73 および SP 800-78 を改訂する。
In January 2022, NIST revised Federal Information Processing Standard (FIPS) 201, which establishes standards for the use of Personal Identity Verification (PIV) credentials, including those on PIV Cards. NIST Special Publication (SP) 800-73-5: Parts 1–3 and SP 800-78-5 have subsequently been revised to align with FIPS 201. 2022 年 1 月、NIST は、PIV カード上のものを含む個人識別検証(PIV)クレデンシャルの使 用標準を確立する連邦情報処理標準(FIPS)201 を改訂した。NIST 特別刊行物(SP)800-73-5: パート 1-3 および SP 800-78-5 は、その後 FIPS 201 と整合するように改訂された。
SP 800-73-5: Parts 1–3  SP 800-73-5: パート 1-3 
SP 800-73-5: Parts 1–3, Interfaces for Personal Identity Verification, describe the technical specifications for using PIV Cards. The three parts cover the PIV data model (Part 1), the card edge interface (Part 2), and the application programming interface (Part 3). Major changes to the documents include:  SP 800-73-5: パート1~パート3、個人アイデンティティ検証用インタフェースは、PIV カードを使用するための技術仕様 を記述している。この 3 部は、PIV データ・モデル(パート1)、カード・エッジ・インタフェース (パート2)、およびアプリケーション・プログラミング・インタフェース(パート3) を対象としている。文書の主な変更点は以下のとおりである:
・Removal of the previously deprecated CHUID authentication mechanism ・以前は非推奨であった CHUID 認証メカニズムの削除。
・Deprecation of the SYM-CAK and VIS authentication mechanisms ・SYM-CAK および VIS 認証メカニズムの廃止。
・Addition of an optional 1-factor secure messaging authentication mechanism (SM-Auth) for facility access applications ・施設アクセス・アプリケーション用のオプションの 1 要素セキュア・メッセージング認証 (SM-Auth)の追加
・Additional use of the facial image biometric for general authentication via BIO and BIO-A authentication mechanisms ・BIOおよびBIO-A認証メカニズムによる一般認証への顔画像バイオメトリックの追加使用
・Addition of an optional Cardholder identifier in the PIV Authentication Certificate to identify a PIV credential holder to their PIV credential set issued during PIV eligibility ・PIV 認証証明書にオプションのカード保持者識別子を追加して、PIV クレデンシャル保持 者を PIV 資格認定中に発行された PIV クレデンシャル・セットに識別する。
・Restriction on the number of consecutive activation retries for each of the activation methods (i.e., PIN and OCC attempts) to be 10 or less ・各アクティベーション方法(すなわち、PIN および OCC 試行)の連続アクティベーショ ン再試行回数を 10 回以下に制限する。
・SP 800-73-5: Part 3 on PIV Middleware specification marked as optional to implement ・SP 800-73-5: PIV ミドルウェア仕様の第 3 部は、実装のオプションとされた。
SP 800-78-5 SP 800-78-5
SP 800-78-5, Cryptographic Algorithms and Key Sizes for Personal Identity Verification, defines the requirements for the cryptographic capability of the PIV Card and supporting systems in coordination with FIPS 201-3. It has been modified to add additional algorithm and key size requirements and to update the requirements for Cryptographic Algorithm Validation Program (CAVP) validation testing, including: SP 800-78-5「個人 ID 検証のための暗号アルゴリズムおよび鍵サイズ」は、FIPS 201-3 と連携して、PIV カードおよび支援システムの暗号機能の要件を定義している。追加アルゴリズムおよび鍵サイズ要件を追加し、暗号化アルゴリズム検証プログラム(CAVP) 検証テストの要件を更新するために、以下のように修正されている:
Deprecation of 3TDEA algorithms with identifier ‘00’ and ‘03’ 識別子が'00'および'03'の3TDEAアルゴリズムの廃止。
Removal of the retired RNG from CAVP PIV component testing where applicable 該当する場合、CAVP PIV コンポーネント・テストから引退した RNG を削除する。
Removal of retired FIPS 186-2 key generation from CAVP PIV component testing where applicable 該当する場合、CAVP PIV コンポーネント・テストからの引退した FIPS 186-2 鍵生成の削除。
Accommodation of the Secure Messaging Authentication key Secure Messaging 認証鍵の収容
Update to Section 3.1 and Table 1 to reflect additional higher strength keys with at least 128-bit security for use in authentication beginning in 2031 セクション 3.1 および表 1 を更新し、2031 年から認証に使用される、少なくとも 128 ビットのセ キュリティを持つ、より強度の高い鍵を追加する。

 

 

こちらは、SP800-78-5...

・2024.07.15 NIST SP 800-78-5 Cryptographic Algorithms and Key Sizes for Personal Identity Verification

NIST SP 800-78-5 Cryptographic Algorithms and Key Sizes for Personal Identity Verification NIST SP 800-78-5 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズ
Abstract 概要
Federal Information Processing Standard 201-3 (FIPS 201-3) defines the requirements for Personal Identity Verification (PIV) life cycle activities, including identity proofing, registration, PIV Card issuance, and PIV Card usage. FIPS 201-3 also defines the structure of an identity credential that includes cryptographic keys. This document contains the technical specifications needed for the mandatory and optional cryptographic keys specified in FIPS 201-3, as well as the supporting infrastructure specified in FIPS 201-3 and the related NIST Special Publication (SP) 800-73, Interfaces for Personal Identity Verification, and SP 800-76, Biometric Specifications for Personal Identity Verification, which rely on cryptographic functions. 連邦情報処理標準 201-3(FIPS 201-3)は、身元確認、登録、PIV カード発行、および PIV カード使用を含む、個人アイデンティティ検証(PIV)のライフサイクル活動の要件を定義している。FIPS 201-3 は、暗号鍵を含む ID クレデンシャルの構造も定義している。この文書には、FIPS 201-3 で指定された必須およびオプションの暗号鍵に必要な技術仕様、ならびに FIPS 201-3 および関連する NIST 特別刊行物(SP)800-73「個人識別検証のためのインタフェース」、および SP 800-76「個人アイデンティティ検証のためのバイオメトリクス仕様」で指定されたサポート・インフラストラ クチャが含まれており、これらは暗号機能に依存している。

 

・[PDF] NIST.SP.800-78-5

20240717-64558

 

目次と図表

1. Introduction 1. 序文
1.1. Purpose 1.1. 目的
1.2. Scope 1.2. 適用範囲
1.3. Audience and Assumptions 1.3. 想定読者および前提
1.4. Document Overview 1.4. 文書の概要
2. Application of Cryptography in FIPS 201-3 2. FIPS 201-3 における暗号の適用
3. On-Card Cryptographic Requirements 3. オンカード暗号要件
3.1. PIV Cryptographic Keys 3.1. PIV 暗号鍵
3.2. Authentication Information Stored on the PIV Card 3.2. PIV カードに格納される認証情報
3.2.1. Specification of Digital Signatures on Authentication Information 3.2.1. 認証情報に対するデジタル署名の仕様
3.2.2. Specification of Public Keys In X.509 Certificates 3.2.2. X.509 証明書内の公開鍵の仕様
3.2.3. Specification of Message Digests in the NIST SP 800-73-4 Security Object 3.2.3. NIST SP 800-73-4 セキュリティ・オブジェクトにおけるメッセージ・ダイジェストの仕様
4. Certificate Status Information 4. 証明書ステータス情報
5. PIV Card Application Administration Keys 5. PIV カード・アプリケーション管理鍵
6. Identifiers for PIV Card Interfaces 6. PIV カード・インタフェースの識別
6.1. Key Reference Values 6.1. 鍵参照値
6.2. PIV Card Algorithm Identifiers 6.2. PIV カード・アルゴリズム識別
6.3. Algorithm Identifiers for PIV Key Types 6.3. PIV 鍵タイプのアルゴリズム識別子
7. Cryptographic Algorithm Validation Testing Requirements 7. 暗号化アルゴリズム検証テスト要件
References 参考文献
Appendix A 附属書 A
Appendix B 附属書 B
List of Symbols, Abbreviations, and Acronyms 記号、略語、頭字語のリスト
Change Log 変更履歴
List of Tables 表一覧
Table 1. Algorithm and key size requirements for PIV key types 表 1. PIV 鍵タイプのアルゴリズムおよび鍵サイズの要件
Table 2. Signature algorithm and key size requirements for PIV information 表 2. PIV 情報に対する署名アルゴリズムおよび鍵サイズ要件
Table 3. FIPS 201-3 signature algorithm object identifiers 表 3. FIPS 201-3 署名アルゴリズム・オブジェクト識別子
Table 4. Public key object identifiers for PIV key types 表 4. PIV 鍵タイプの公開鍵オブジェクト識別子
Table 5. ECC parameter object identifiers for approved curves 表 5. 承認済み曲線のECCパラメータ・オブジェクト識別子
Table 6. Hash algorithm object identifiers 表 6. ハッシュ・アルゴリズム・オブジェクト識別子
Table 7. Algorithm and key size requirements for PIV Card application administration keys 表 7. PIV カード・アプリケーション管理鍵のアルゴリズムおよび鍵サイズ要件
Table 8. Key references for PIV Key Types 表 8. PIV 鍵タイプの鍵参照
Table 9. Identifiers for supported cryptographic algorithms 表 9. サポートされる暗号アルゴリズムの識別。
Table 10. PIV Card keys: Key references and algorithms 表 10. PIV カード鍵: 鍵参照およびアルゴリズム
Table 11. Cryptographic Algorithm Validation Program (CAVP) validation requirements 表 11. 暗号アルゴリズム検証プログラム(CAVP)検証要件

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.07.17 米国 NIST SP 800-78-5 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズ

・2024.07.17 米国 NIST SP 800-73-5 個人アイデンティティ検証用インタフェース Part1-3

・2023.12.16 NIST SP 800-79 Rev.3(初期公開ドラフト)PIV カードおよび派生 PIV クレデンシャル発行者の認可に関するガイドライン

・2023.09.30 NIST SP 800-73-5(初期公開ドラフト) 個人 ID 検証のためのインタフェース:パート 1 - PIV データ・モデル、パート 2 - カード・エッジ・インタフェース、パート 3 - アプリケーション・プログラミング・ インタフェース

・2023.09.30 NIST SP 800-78-5(初期公開ドラフト) 個人識別検証の暗号アルゴリズムおよび鍵サイズ

・2022.01.25 NIST FIPS 201-3 連邦職員および委託業者のアイデンティティの検証(PIV)

 

 

| | Comments (0)

米国 NIST SP 800-73-5 個人アイデンティティ検証用インタフェース Part1-3

こんにちは、丸山満彦です。

NISTが、SP 800-73-5 個人アイデンティティ検証用インタフェース Part1-3と、NIST SP 800-78-5 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズを公表ていますね...

● NIST- ITL 

プレス...

・2024.07.15 Personal Identity Verification (PIV) Interfaces, Cryptographic Algorithms, and Key Sizes: NIST Revises SP 800-73 and SP 800-78

Personal Identity Verification (PIV) Interfaces, Cryptographic Algorithms, and Key Sizes: NIST Revises SP 800-73 and SP 800-78 個人アイデンティティ検証(PIV)インタフェース、暗号アルゴリズム、および鍵サイズ: NIST は SP 800-73 および SP 800-78 を改訂する。
In January 2022, NIST revised Federal Information Processing Standard (FIPS) 201, which establishes standards for the use of Personal Identity Verification (PIV) credentials, including those on PIV Cards. NIST Special Publication (SP) 800-73-5: Parts 1–3 and SP 800-78-5 have subsequently been revised to align with FIPS 201. 2022 年 1 月、NIST は、PIV カード上のものを含む個人アイデンティティ検証(PIV)クレデンシャルの使 用標準を確立する連邦情報処理標準(FIPS)201 を改訂した。NIST 特別刊行物(SP)800-73-5: パート 1-3 および SP 800-78-5 は、その後 FIPS 201 と整合するように改訂された。
SP 800-73-5: Parts 1–3  SP 800-73-5: パート 1-3 
SP 800-73-5: Parts 1–3, Interfaces for Personal Identity Verification, describe the technical specifications for using PIV Cards. The three parts cover the PIV data model (Part 1), the card edge interface (Part 2), and the application programming interface (Part 3). Major changes to the documents include:  SP 800-73-5: パート1~パート3、個人アイデンティティ検証用インタフェースは、PIV カードを使用するための技術仕様 を記述している。この 3 部は、PIV データ・モデル(パート1)、カード・エッジ・インタフェース (パート2)、およびアプリケーション・プログラミング・インタフェース(パート3) を対象としている。文書の主な変更点は以下のとおりである:
・Removal of the previously deprecated CHUID authentication mechanism ・以前は非推奨であった CHUID 認証メカニズムの削除。
・Deprecation of the SYM-CAK and VIS authentication mechanisms ・SYM-CAK および VIS 認証メカニズムの廃止。
・Addition of an optional 1-factor secure messaging authentication mechanism (SM-Auth) for facility access applications ・施設アクセス・アプリケーション用のオプションの 1 要素セキュア・メッセージング認証 (SM-Auth)の追加
・Additional use of the facial image biometric for general authentication via BIO and BIO-A authentication mechanisms ・BIOおよびBIO-A認証メカニズムによる一般認証への顔画像バイオメトリックの追加使用
・Addition of an optional Cardholder identifier in the PIV Authentication Certificate to identify a PIV credential holder to their PIV credential set issued during PIV eligibility ・PIV 認証証明書にオプションのカード保持者識別子を追加して、PIV クレデンシャル保持 者を PIV 資格認定中に発行された PIV クレデンシャル・セットに識別する。
・Restriction on the number of consecutive activation retries for each of the activation methods (i.e., PIN and OCC attempts) to be 10 or less ・各アクティベーション方法(すなわち、PIN および OCC 試行)の連続アクティベーショ ン再試行回数を 10 回以下に制限する。
・SP 800-73-5: Part 3 on PIV Middleware specification marked as optional to implement ・SP 800-73-5: PIV ミドルウェア仕様の第 3 部は、実装のオプションとされた。
SP 800-78-5 SP 800-78-5
SP 800-78-5, Cryptographic Algorithms and Key Sizes for Personal Identity Verification, defines the requirements for the cryptographic capability of the PIV Card and supporting systems in coordination with FIPS 201-3. It has been modified to add additional algorithm and key size requirements and to update the requirements for Cryptographic Algorithm Validation Program (CAVP) validation testing, including: SP 800-78-5「個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズ」は、FIPS 201-3 と連携して、PIV カードおよび支援システムの暗号機能の要件を定義している。追加アルゴリズムおよび鍵サイズ要件を追加し、暗号化アルゴリズム検証プログラム(CAVP) 検証テストの要件を更新するために、以下のように修正されている:
Deprecation of 3TDEA algorithms with identifier ‘00’ and ‘03’ 識別子が'00'および'03'の3TDEAアルゴリズムの廃止。
Removal of the retired RNG from CAVP PIV component testing where applicable 該当する場合、CAVP PIV コンポーネント・テストから引退した RNG を削除する。
Removal of retired FIPS 186-2 key generation from CAVP PIV component testing where applicable 該当する場合、CAVP PIV コンポーネント・テストからの引退した FIPS 186-2 鍵生成の削除。
Accommodation of the Secure Messaging Authentication key Secure Messaging 認証鍵の収容
Update to Section 3.1 and Table 1 to reflect additional higher strength keys with at least 128-bit security for use in authentication beginning in 2031 セクション 3.1 および表 1 を更新し、2031 年から認証に使用される、少なくとも 128 ビットのセ キュリティを持つ、より強度の高い鍵を追加する。

 

 

こちらは、SP800-73-5...

・2024.07.15 NIST SP 800-73-5 Interfaces for Personal Identity Verification:

Part 1 – PIV Card Application Namespace, Data Model and Representation パート 1 - PIV カードアプリケーション名前空間、データモデルおよび表現
Part 2 – PIV Card Application Card Command Interface パート 2 - PIV カードアプリケーション・カード・コマンド・インタフェース
Part 3 – PIV Client Application Programming Interface パート 3 - PIV クライアント・アプリケーション・プログラミング・インターフェイス

 

Abstract 概要
FIPS 201 defines the requirements and characteristics of government-wide interoperable identity credentials. It specifies that these identity credentials must be stored on a smart card and that additional common identity credentials, known as derived PIV credentials, may be issued by a federal department or agency and used when a PIV Card is not practical. This document contains the technical specifications to interface with the smart card to retrieve and use the PIV identity credentials. The specifications reflect the design goals of interoperability and PIV Card functions. The goals are addressed by specifying a PIV data model, card edge interface, and application programming interface. Moreover, this document enumerates requirements for the options and branches in international integrated circuit card standards [ISO7816]. The specifications go further by constraining interpretations of the normative standards to ease implementation, facilitate interoperability, and ensure performance in a manner tailored for PIV applications. FIPS 201 は、政府全体で相互運用可能な ID クレデンシャルの要件および特性を定義して いる。FIPS 201 は、政府全体で相互運用可能な ID クレデンシャルの要件および特性を定義する。 FIPS 201 は、これらの ID クレデンシャルがスマート・カードに格納されなければならず、派生 PIV クレデンシャルと呼ばれる追加の共通 ID クレデンシャルが連邦省庁によって発行され、PIV カードが実用的でない場合に使用される可能性があることを規定する。本文書には、PIV ID クレデンシャルを取得して使用するためにスマート・カードとインタ ーフェースする技術仕様が含まれている。この仕様は、相互運用性および PIV カード機能の設計目標を反映している。目標は、PIV データ・モデル、カード・エッジ・インタフェース、およびアプリケーショ ン・プログラミング・インタフェースを規定することで対処される。さらに、本文書は、国際集積回路カード標準[ISO7816]のオプションおよび分岐に対する要 件を列挙している。この仕様は、実装を容易にし、相互運用性を促進し、PIV アプリケーションに合わせた方法でパ フォーマンスを確保するために、標準の解釈を制約することによって、さらに進む。

 

・[PDF] NIST.SP.800-73pt1-5

20240717-64539

目次...

1. Introduction 1. 序文
1.1. Purpose 1.1. 目的
1.2. Scope 1.2. 適用範囲
1.3. Effective Date 1.3. 発効日
1.4. Audience and Assumptions 1.4. 想定読者および前提条件
1.5. Document Overview and Structure  1.5. 文書の概要と構成 
2. PIV Card Application Namespaces 2. PIV カード・アプリケーション名前空間
2.1. Namespaces of the PIV Card Application 2.1. PIV カード・アプリケーションの名前空間
2.2. PIV Card Application AID 2.2. PIV カード・アプリケーション AID
3. PIV Data Model Elements 3. PIV データ・モデル要素
3.1. Mandatory Data Elements 3.1. 必須データ要素
3.2. Conditional Data Elements 3.2. 条件付きデータ要素
3.3. Optional Data Elements 3.3. オプションのデータ要素
3.4. Inclusion of Universally Unique Identifiers (UUIDs) 3.4. 汎用一意識別子(UUID)のインクルード
3.5. Data Object Containers and Associated Access Rules and Interface Modes 3.5. データ・オブジェクト・コンテナおよび関連するアクセス・ルールとインターフェイス・モード
4. PIV Data Objects Representation 4. PIV データ・オブジェクトの表現
4.1. Data Objects Definition 4.1. データ・オブジェクト定義
4.2. OlDs and Tags of PIV Card Application Data Objects 4.2. PIV カード・アプリケーション・データ・オブジェクトの OlDs とタグ
4.3. Object Identifiers  4.3. オブジェクト識別子 
5. Data Types and Their Representation  5. データ型とその表現 
5.1. Key References 5.1. キー参照
5.2. PIV Algorithm Identifier 5.2. PIV アルゴリズム識別子
5.3. Cryptographic Mechanism Identifiers 5.3. 暗号メカニズム識別子
5.4. Secure Messaging and Authentication Using a Secure Messaging Key (SM-AUTH) 5.4. セキュア・メッセージング鍵(SM-AUTH)を使用するセキュア・メッセージングおよび認証
5.5. Virtual Contact Interface 5.5. バーチャル・コンタクト・インターフェース
5.6. Status Words 5.6. ステータスワード
References 参考文献
Appendix A. PIV Data Model  附属書A. PIV データモデル 
Appendix B. PIV Authentication Mechanisms 附属書B. PIV 認証メカニズム
Appendix C. PIV Algorithm Identifier Discovery 附属書C. PIV アルゴリズム識別子の発見
Appendix D. List of Symbols, Abbreviations, and Acronyms 附属書D. 記号、略語、および頭字語のリスト
Appendix E. Glossary 附属書E. 用語集
Appendix F. Notation 附属書F. 表記法
Appendix G. Revision History 附属書G. 改訂履歴

 

 

・[PDF] NIST.SP.800-73pt2-5

20240717-64546

 

目次...

1. Introduction 1. 序文
1.1. Purpose 1.1. 目的
1.2. Scope 1.2. 適用範囲
1.3. Audience and Assumptions 1.3. 想定読者および前提
1.4. Content and Organization 1.4. 内容と構成
2. Overview: Concepts and Constructs 2. 概要 概念と構成要素
2.1. Platform Requirements 2.1. プラットフォーム要件
2.2. Namespaces of the PIV Card Application 2.2. PIV カード・アプリケーションの名前空間
2.3. Card Applications 2.3. カード・アプリケーション
2.3.1. Default Selected Card Application 2.3.1. デフォルト選択カード・アプリケーション
2.4. Security Architecture 2.4. セキュリティ・アーキテクチャ
2.4.1. Access control kule 2.4.1. アクセス管理クレ
2.4.2. Security Status 2.4.2. セキュリティ・ステータス
2.4.3. Authentication of an Individual 2.4.3. 個人の認証
2.5. Current State of the PIV Card Application 2.5. PIV カード・アプリケーションの現状
3. PIV Card Application Card Command Interface 3. PIV カード・アプリケーション・カード・コマンド・インタフェース
3.1. PIV Card Application Card Commands for Data Access 3.1. データ・アクセスのための PIV カード・アプリケーション・カード・コマンド
3.1.1. SELECT Card Command  3.1.1. SELECT カード・コマンド 
3.4.2. Oll DalA Laro Command 3.4.2. Oll DalA Laro コマンド
3.2. PIV Card Application Card Commands for Authentication 3.2. 認証のための PIV カード・アプリケーション・カード・コマンド
3.2.1. VERIFY Card Command 3.2.1. VERIFY カード・コマンド
3.2.2. CHANGE REFERENCE DATA Card Command 3.2.2. CHANGE REFERENCE DATA カード・コマンド
3.2.3. REStT RETRY COUNTER Card command  3.2.3. REStT RETRY COUNTER カード・コマンド 
3.2.4. GENERAL AUTHENTICATE Card Command 3.2.4. GENERAL AUTHENTICATE カード・コマンド
3.3. PIV Card Application Card Commands for Credential Initialization and Administration 3.3. クレデンシャル初期化および管理のための PIV カードアプリケーションカードコマンド
3.3.1. PUT DATA Card Command  3.3.1. PUT DATA カード・コマンド 
3.3.2. GENERATE ASYMMETRIC KEY PAIR Card Command 3.3.2. GENERATE ASYMETRIC KEY PAIR カード・コマンド
4. Secure Messaging 4. セキュア・メッセージング
4.1. Key Establishment Protocol, 4.1. 鍵確立プロトコル
4.1.1. Client Application Steps 4.1.1. クライアント・アプリケーションの手順
4.1.2. PIV Card Application Protocol Steps 4.1.2. PIV カード・アプリケーション・プロトコル・ステップ
4.1.3. Notations 4.1.3. 表記
4.1.4. Cipher Suite 4.1.4. 暗号スイート
4.1.5. Card Verifiable Certificate  4.1.5. カード検証可能証明書 
4.1.6. Key Derivation  4.1.6. 鍵の導出 
4.1.7. Key Confirmation 4.1.7. 鍵の確認
4.1.8. Command Interface 4.1.8. コマンド・インターフェース
4.2. Secure Messaging 4.2. セキュア・メッセージング
4.2.1. Secure Messaging Data Objects 4.2.1. セキュア・メッセージング・データ・オブジェクト
4.2.2. Command and Response Data Confidentiality 4.2.2. コマンドとレスポンス・データの機密性
4.2.3. Command Integrity 4.2.3. コマンドの完全性
4.2.4. Command With PIV Secure Messaging 4.2.4. PIV セキュア・メッセージングを使用したコマンド
4.2.5. Response Integrity 4.2.5. 応答の完全性
4.2.6. Response With PIV Secure Messaging 4.2.6. PIV セキュア・メッセージングを使用した応答
4.2.7. Error Handling 4.2.7. エラー処理
4.3. Session Key Destruction 4.3. セッション鍵の破棄
References 参考文献
Appendix A. Examples of the Use of the GENERAL AUTHENTICATE Command 附属書A. GENERAL AUTHENTICATEコマンドの使用例
Appendix B. List of Symbols, Abbreviations, and Acronyms 附属書B. 記号、略語、頭字語のリスト
Appendix C. Glossary 附属書C.用語集
Appendix D. Notation 附属書D.表記

 

 

・[PDF] NIST.SP.800-73pt3-5

20240717-64552

 

目次...

1. Introduction 1. 序文
1.1. Purpose 1.1. 目的
1.2. Scope 1.2. 適用範囲
1.3. Audience and Assumptions 1.3. 想定読者および前提
1.4. Content and Organization 1.4. 内容と構成
2. Overview: Concepts and Constructs 2. 概要 概念と構成要素
3. Client Application Programming Interface 3. クライアント・アプリケーション・プログラミング・インターフェイス
3.1. Entry Points for Communication  3.1. コミュニケーションのエントリーポイント 
3.2. Entry Points for Data Access 3.2. データアクセスのエントリーポイント
3.3. Entry Points for Cryptographic Operations 3.3. 暗号操作のエントリーポイント
3.4. Entry Points for Credential Initialization and Administration 3.4. クレデンシャルの初期化および管理のエントリポイント
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書A. 記号、略語、および頭字語のリスト 
Appendix B. Glossary 附属書B. 用語集
Appendix C. Notation 附属書C. 表記法

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.07.17 米国 NIST SP 800-78-5 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズ

・2024.07.17 米国 NIST SP 800-73-5 個人アイデンティティ検証用インタフェース Part1-3

・2023.12.16 NIST SP 800-79 Rev.3(初期公開ドラフト)PIV カードおよび派生 PIV クレデンシャル発行者の認可に関するガイドライン

・2023.09.30 NIST SP 800-73-5(初期公開ドラフト) 個人 ID 検証のためのインタフェース:パート 1 - PIV データ・モデル、パート 2 - カード・エッジ・インタフェース、パート 3 - アプリケーション・プログラミング・ インタフェース

・2023.09.30 NIST SP 800-78-5(初期公開ドラフト) 個人識別検証の暗号アルゴリズムおよび鍵サイズ

・2022.01.25 NIST FIPS 201-3 連邦職員および委託業者のアイデンティティの検証(PIV)

 

| | Comments (0)

より以前の記事一覧