IPAが「認証制度」を本格運用

　暗号関連製品の品質を第三者機関がチェック、認証する「暗号モジュール試験および認証制度（JCMVP）」が来年4月から始まる。

　JCMVPは、承認された暗号アルゴリズムが、ソフトウェアやハードウェアに適切に実装されているかどうかを試験し認証するプログラム。政府は、情報システムのセキュリティ対策の一環として、暗号製品を使う際に、暗号アルゴリズムが適切に実装されているどうかの確認を要求している。そのため、政府が使う暗号製品は、JCMVP認証取得の有無で見定めていく動きが考えられる。まだ、JCMVPの認証取得の有無が政府の調達案件の条件になるか否かは決まっていない。だが、JCMVPの運用を担当する情報処理推進機構（IPA）では、「JCMVPの取得が判断基準になるよう呼びかけている」という。

　暗号化製品の品質について、第三者機関が〝お墨付き〟を与える──。暗号化製品を試験・評価する動きは、日本は海外に比べて遅かった。ある暗号ソフトメーカーの幹部は、「暗号の品質を測る技術がなかったため、国内の暗号化製品は野放し状態で開発が進んでいる。製品レベルには差がある」と打ち明ける。海外では1997年、米国の「米国技術標準局（NIST）」が、暗号モジュールがセキュリティ要件である「FIPS 140─2」に準拠しているかを判断し、準拠を確認したら認定する制度「CMVP」が始まっている。JCMVPは、CMVPのセキュリティ要件を採用しており、CMVPとの整合性を図っている。

　IPAは来年4月からの正式運用に向けて準備を進めている。今年6月から数件の暗号モジュールに限定して試行運用を開始。暗号モジュールメーカーなどからの申請を受け、実際に試験する試験機関を見定めており、来年度下期には数社を揃える計画。また、NISTとの連携も図る計画で、米国の試験機関にも申請・試験を受けられるスキームも検討している。暗号モジュールメーカーが申請し、認証を受けるまでの期間は4か月弱で、費用は試験機関により異なるが、CMVPの場合は650万円程度で、JCMVPでもほぼ同じ金額になるという。

　JCMVPが立ち上がったのは、政府機関の情報セキュリティ対策強化が背景にある。しかし、JCMVPが立ち上がることで、影響を受けるのは政府機関向けに暗号製品を販売するメーカーにとどまらないはずだ。

　IPAの近藤潤一・セキュリティセンター暗号グループ研究員はこう指摘する。「JCMVPの認証を受けていることで、ベンダーは自社製品の品質が高いことをアピールすることができる。民間企業のなかでもJCMVPの取得を調達条件にするケースも出てくるかもしれない」。

　JCMVPの取得に動き、認証を得られない場合、メーカーはチップの作り直しやソフトウェアの書き直しを余儀なくされることになる。 まだ試験運用段階で知名度も高くないJCMVPだが、国際的に浸透しているCMVPとの連携が図られることで、注目を集めるのは必至だろう。暗号関連製品のマーケットに大きな影響を与える可能性がある。