午前I問題

公開鍵暗号方式の鍵長と安全性に関する記述のうち、適切なものはどれか。

ア）RSA暗号と楕円曲線暗号（ECC）は、同じビット長の鍵を用いれば同等の安全性が得られる　イ）楕円曲線暗号は、RSAと比較して短い鍵長で同等の安全性を実現できるため、モバイル端末やICカードなど計算資源が限られる環境に適している　ウ）鍵長を長くすることは計算コストの増加を伴わないため、常に最大の鍵長を選択すべきである　エ）共通鍵暗号方式の鍵長と公開鍵暗号方式の鍵長は、同じビット数であれば常に同等の安全性を持つ

午前I の解答・解説を見る

正解： イ

解説：

  • ア）不正解。RSAとECCは安全性の数学的根拠（素因数分解問題 vs 楕円曲線離散対数問題）が異なるため、同じビット長でも安全性は同等になりません。むしろECCの方が短い鍵長で高い安全性を実現します。
  • イ）正解。ECCは楕円曲線上の離散対数問題の困難性に基づいており、RSAの素因数分解問題よりも解読に必要な計算量の増加率が大きいため、短い鍵長（例: 256bit）でRSAの長い鍵長（例: 3072bit）と同等の安全性を実現できます。これにより計算負荷・鍵サイズ・通信量を削減でき、リソース制約のある環境に適しています。
  • ウ）不正解。鍵長を長くすると暗号化・復号・鍵生成にかかる計算コストは増加します。安全性と性能のバランスを踏まえた適切な鍵長選定が必要です。
  • エ）不正解。共通鍵暗号（対称鍵暗号）と公開鍵暗号（非対称鍵暗号）は安全性の根拠がまったく異なるため、同じビット数でも安全性は同等になりません。一般に公開鍵暗号は同等の安全性を得るために共通鍵暗号よりもはるかに長い鍵長が必要です（例: AES-128 ≈ RSA-3072 ≈ ECC-256）。

午前II問題

ECDHE（Elliptic Curve Diffie-Hellman Ephemeral）鍵交換に関する記述のうち、最も適切なものはどれか。

ア）ECDHEは、サーバの秘密鍵を用いて共通鍵そのものを暗号化してクライアントに送信する鍵配送方式である　イ）ECDHEでは通信のたびに一時的な鍵ペア（エフェメラル鍵）を生成するため、サーバの長期秘密鍵が漏洩しても過去の通信の共通鍵を復元できない、Perfect Forward Secrecy（PFS）を実現する　ウ）ECDHEはRSA鍵交換と同様に、サーバの長期秘密鍵が漏洩すると過去に記録された暗号化通信をすべて復号できてしまう　エ）TLS1.3ではECDHEを含む静的な（エフェメラルでない）鍵交換方式のみがサポートされている

午前II の解答・解説を見る

正解： イ

解説：

  • ア）不正解。ECDHEは鍵配送方式ではなく、Diffie-Hellman鍵交換の楕円曲線版です。クライアントとサーバはそれぞれ一時的な鍵ペアを生成し、公開鍵を交換した上で、双方が同一の共有秘密（共通鍵の元）を計算します。秘密鍵で共通鍵を暗号化して送信するわけではありません。
  • イ）正解。ECDHEの”E”（Ephemeral：一時的）が示す通り、鍵交換のたびに新しい一時鍵ペアを生成して破棄します。このため、仮にサーバの長期秘密鍵（証明書に対応する秘密鍵）が将来漏洩しても、過去の通信で使われた一時鍵はすでに破棄されているため、過去の通信内容を復号することはできません。これがPFS（Perfect Forward Secrecy、前方秘匿性）です。
  • ウ）不正解。これはRSA鍵交換（静的鍵交換）の弱点の説明であり、ECDHEには当てはまりません。RSA鍵交換ではクライアントがサーバの公開鍵で共通鍵を暗号化して送るため、サーバの秘密鍵が漏洩すると過去のすべての通信が復号可能になりますが、ECDHEはこの問題を解消します。
  • エ）不正解。TLS1.3では逆に、PFSを提供しない静的なRSA鍵交換は廃止され、ECDHEやDHEなどエフェメラルな（前方秘匿性を持つ）鍵交換方式のみがサポートされています。

午後問題

金融系Webサービスを提供するD社は、TLS通信の暗号設定を見直すプロジェクトを立ち上げた。セキュリティ診断の結果、以下が判明した。

（事象1）現行のTLS設定では、鍵交換方式として静的RSA鍵交換とECDHEの両方が有効になっており、古いクライアント（一部の業務用組み込み端末）との互換性を理由に静的RSA鍵交換が残されていた。

（事象2）過去のインシデント対応の記録を確認したところ、3年前にサーバのTLS秘密鍵が誤って外部リポジトリにコミットされ、数時間後に削除・鍵の再発行を行った事案があった。当時は「鍵は速やかに失効・再発行したため影響なし」と結論づけられていたが、社内で保存されている過去の通信パケットキャプチャ（トラブルシュート目的で保存）への影響評価は行われていなかった。

（事象3）楕円曲線の選定について、開発チームから「NISTが標準化したP-256とP-384のどちらを採用すべきか」という相談があり、あわせて量子コンピュータの進展を見据えた将来的な移行計画についても検討してほしいとの要望が出された。

設問1

事象1について、静的RSA鍵交換を無効化し、ECDHEのみを有効にすべきセキュリティ上の理由を述べなさい。また、事象2の過去のパケットキャプチャについて、鍵交換方式がECDHEであった場合と静的RSA鍵交換であった場合とで、影響がどのように異なるかを説明しなさい。（220字程度）

設問1の解答・解説を見る

正解例： 静的RSA鍵交換はサーバの長期秘密鍵が漏洩すると、その鍵を用いて過去に記録されたすべての暗号化通信を復号できてしまい、Perfect Forward Secrecyを持たない。ECDHEは通信ごとに一時鍵ペアを生成・破棄するため、長期秘密鍵が漏洩しても過去の通信の復号は不可能である。事象2について、鍵交換方式が静的RSAであった場合、漏洩した秘密鍵を用いて過去のパケットキャプチャ内の通信を復号できてしまう深刻なリスクがあるが、ECDHEであった場合は一時鍵が既に破棄されているため、当該キャプチャの復号は不可能であり影響はない。

解説・採点基準（計15点）：

採点項目キーワード配点
ECDHE推奨の理由（PFS）Perfect Forward Secrecy・一時鍵・長期秘密鍵漏洩時の耐性6点
静的RSAのリスク説明長期秘密鍵漏洩で過去通信が復号可能4点
事象2への影響の違いの説明ECDHEなら復号不可・静的RSAなら復号可能というコントラスト5点

部分点： PFSという用語を使わず概念のみ説明できていれば4点（満点は用語+説明で6点）。

設問2

事象3について、P-256とP-384のどちらを選定すべきかについて、判断基準を含めて助言しなさい。また、量子コンピュータの進展がECCに与える影響と、将来的に検討すべき対応の方向性を述べなさい。（200字程度）

設問2の解答・解説を見る

正解例： P-256は128bit相当、P-384は192bit相当の安全性を提供する。一般的な金融Webサービスでは、業界標準・処理性能・相互運用性の観点からP-256で十分な安全性が確保できるため、性能要件やクライアント互換性に特段の制約がなければP-256を推奨する。より長期の機密性が求められるデータや高い安全性要件がある場合はP-384を検討する。量子コンピュータの進展については、Shorのアルゴリズムにより楕円曲線離散対数問題が効率的に解かれる可能性があり、ECC（ECDHEを含む）は量子コンピュータに対して脆弱である。将来的にはCRYSTALS-Kyber等の耐量子暗号（PQC）への移行、または当面はECDHEとPQCを組み合わせたハイブリッド鍵交換の採用を検討すべきである。

解説・採点基準（計15点）：

採点項目キーワード配点
P-256/P-384の選定基準128bit/192bit相当の安全性・性能とのトレードオフ5点
量子コンピュータの影響説明Shorのアルゴリズム・楕円曲線離散対数問題を解読可能5点
将来対応の方向性PQCへの移行・ハイブリッド鍵交換5点

部分点： 量子コンピュータの影響について「ECCも危殆化する」とだけ述べ、Shorのアルゴリズムへの言及がない場合は3点。

重要キーワード

用語説明
ECC（楕円曲線暗号）楕円曲線上の離散対数問題の困難性に基づく公開鍵暗号。RSAより短い鍵長で同等の安全性を実現し、モバイル・IoT環境に適する
ECDHE（Elliptic Curve Diffie-Hellman Ephemeral）楕円曲線上で行うDiffie-Hellman鍵交換のエフェメラル（一時鍵）版。TLSにおけるPFS実現の中核技術
PFS（Perfect Forward Secrecy／前方秘匿性）長期秘密鍵が将来漏洩しても、過去に記録された通信の復号ができない性質。ECDHEやDHEなどエフェメラルな鍵交換方式で実現される
P-256 / P-384NISTが標準化した楕円曲線パラメータ。それぞれ128bit相当・192bit相当の安全性強度を提供し、TLS実装で広く利用される
Shorのアルゴリズム量子コンピュータ上で素因数分解・離散対数問題を効率的に解くアルゴリズム。実用化されればRSA・ECCともに危殆化するとされる
耐量子暗号（PQC）量子コンピュータでも効率的に解読できないと考えられる数学的問題に基づく暗号方式。将来的なECC/RSAからの移行先として研究・標準化が進む

まとめ

  • 午前I視点： ECCとRSAは安全性の数学的根拠が異なり、同一鍵長でも安全性は同等ではない。ECCが短い鍵長で高い安全性を実現できる点、リソース制約環境への適性が基本知識。
  • 午前II視点： ECDHEの”E”（Ephemeral）がPFSの根拠であること、静的RSA鍵交換との違い、TLS1.3でエフェメラルな鍵交換のみがサポートされることが頻出ポイント。
  • 午後視点： PFSの有無が過去の記録済み通信の安全性に与える影響を具体的に説明できることが重要。鍵長選定の判断基準、量子コンピュータによるECCへの脅威（Shorのアルゴリズム）とPQC移行の方向性まで一貫して論じられるよう準備する。