SHA-1、RC4 終了の足音

3月に改訂された CRYPTREC の政府推奨暗号リスト^*1から、SHA-1 や RC4 が推奨すべき状態ではなくなった暗号技術のリストに入っているということがニュースになっていたのでメモ。リストが改訂されたのは知っていましたが、推奨すべきでない暗号のリストまではチェックしていませんでした。

“日本の標準暗号”が10年ぶり大改定、国産暗号削減よりもRC4とSHA-1の監理ポスト入りが影響大：ITpro

一方、より問題が大きい暗号方式もある。「運用監視暗号リスト」に回された暗号方式だ。このリストは「推奨すべき状態ではなくなった暗号技術のうち、互換性維持のために継続利用を容認するもののリスト」。いわば監理ポストという位置付けだ。ストリーム暗号の128-bit RC4とハッシュ関数の「SHA-1」などが、このリストに回されている。

CRYPTREC の推奨暗号リストの原文はこちら。

• 電子政府における調達のために参照すべき暗号のリスト(CRYPTREC暗号リスト)(PDF)

さすに最近は MD5 を使っているのは見かけなくなりましたが、 SHA-1 はまだまだ使われている場合が多いように思います。
いろいろなものを SHA-2 に移行して行かないといけませんね。

• ^*1: CRYPTREC ｜ CRYPTREC暗号リスト(電子政府推奨暗号リスト)