第29回ネットワーク情報通信ネットワーク情報セキュリティ会議2023（NETSec-KR 2023）において、暗号化技術の検証と活用について発表が行われました。 韓国インターネット振興院 (KISA) のキム・ジュンソプ主任研究員は、「国内外の暗号モジュール検証システムの動向」についてプレゼンテーションを行いました。

National Cryptographic Module Verification System (KCMVP) は、暗号モジュールのセキュリティを検証して、国、公共機関、および企業で通信および保存される商用データを保護するシステムです。 ソフトウェア、ハードウェア、ファームウェア、またはそれらの組み合わせとして検証でき、検証基準に応じて、セキュリティ レベルがセキュリティ 1 から最高のセキュリティ レベルであるセキュリティ 4 に割り当てられます。

KCMVP のモジュール検証システムは、合計 7 つのステップで行われます。 まず、暗号モジュール開発者が開発した暗号モジュールは、試験機関による検証を受ける必要があります。 次に、KISA、国家安全保障研究所 (NSR)、または民間の試験機関が、検証済みの暗号モジュールの試験を請け負います。

▲ 暗号モジュール試験依頼プロセス（KCMVP）[자료제공=KISA/출처=국가정보원]

ただし、民間の暗号モジュール試験機関としての資格を得るには、機関が韓国にあること、専門家の数などの関連要件を満たし、選択プロセスを経る必要があります。 また、キム・ジュンソプ研究員は、「テスト機関の資格と検証機関の役割は異なり、セキュリティテスト機関として定期的に審査プロセスを実施し、準拠しているかどうかを確認します。 彼らの義務とともに。 »

一方で、開発者が暗号モジュールのコンプライアンステスト調査や事前審査を依頼するには数か月かかり、不便です。 これについてKISAのキム・ジュンソプ研究員は、「これまで予備審査を受ける過程で、お互いにメールで連絡を取り合っていたため、透明性と時間の面で妨げられてきた」と述べた。 するだろう」と彼は言った。

テストされた暗号モジュールは、検証機関である National Intelligence Service (NIS) にテスト結果レポートを提出します。 その後、認証機関のパスワード認証委員会で審議・審査・認証結果の請求というプロセスを経ます。 その後、検証者が試験機関に結果を通知し、検証済みの暗号リストを公開するという順序で、KCMVP のモジュール検証が進められます。

また、KCMVP の検証対象となるアルゴリズムの種類には、△ブロック暗号の動作モード△ハッシュ関数△メッセージ認証△乱数生成器△公開鍵暗号化△デジタル署名△鍵設定△鍵の導出が含まれます。 アルゴリズムの検証は、KCAVS（暗号モジュールに実装されている検証対象のアルゴリズムが正しく実装されているかを確認するツール）を介して行われます。 テスト機関には、アルゴリズムに関する情報が保存されている「リクエスト」ファイル、対応する出力データと実装適合性テストの結果を含む「ファクト」ファイル、および暗号化を実行する開発者によって導出された応答のデータが含まれています。リクエストのモジュール。 「Respons」ファイルを調べます。

▲国内の暗号モジュール検証システムの検証事例数[자료=KISA]

2009年から2022年までに合計235社のKCMVPが検証され、2023年3月31日現在、90社の有効な検証が確認されています。 モジュールの種類では、ソフトウェアが173件と最も多い。 253件の暗号モジュール検証事例のうち、247件がセキュリティレベル1、6件がセキュリティレベル2であり、韓国にはレベル3または4の企業は存在しないことが確認されました。

同様に、米国と日本も暗号モジュール検証システムを受けます。 国内の KCMVP も、米国の CMVP (Cryptographic Module Validation Program) を参考にして作成されました。 米国の場合、1995 年から 2023 年までに合計 4,462 件の暗号モジュールのチェックが行われ、2023 年 3 月 31 日時点で 914 件が有効であることが判明しています。

また、米国の場合、資料が2,700件と最も重要であり、セキュリティレベル1と2、および3と4の暗号モジュールの検証が683件確認されました。 一方、日本は2007年から2020年までに日本暗号モジュール検証プログラム（JCMVP）を通じて合計23個の暗号モジュールの検証を完了しており、2023年3月31日時点で有効なものは2つだけでした。
[박은주 기자([email protected])]