21 OpenPGPとPKI COMM Internal Note 007 / PGP-001 22

なお，本文では一般的仕様に関してはOpenPGPと呼び，個々の実装をPGPあるいは GnuPGと呼んで区別する．

ソフトウェアとしてのPGPは， Pretty Good Privay, Inc.社が販売，開発，そして無料ソフトウェアとしての配付を行なっていたが，後に同社を買収した Network Associates, Incが作業を引き継いだ．しかしながら，PGPは今後のバージョンアップが困難な状態にある． 2001年10月にNetwork Associates,IncはPGP事業部門を再統合することを発表し，PGPおよび関連製品ラインはそれ以降メンテナンスモード(開発停止)になっている (NAIの発表は http://www.nai.com/other/jump/pgp-integrated.asp, 日本法人の発表は http://www.nai.com/japan/pgp/ を参照)．売却先が見つかるまでは，PGPの保守やサポートは続けられるが開発が継続される予定はない．

2002年2月の時点でPGP製品版の最新バージョンはPGP Desktop Security 7.1.1である．無料配付版であるPGP Freewareはバージョン7.1のWindows 版およびMac版が公開されている． UNIX用コマンドライン版の最新版としてはPGP 6.5.8がバイナリ/ソースコードともに無料で公開されている．これらの無料公開版は非商用という条件下で無料で利用できる．無料版の詳しい利用条件はLISENCEファイルに入っているPGP Network Associates Freeware End User License Agreementに記述されている．

GNU Pairvacy Guard

メールの暗号化だけではないOpenPGP

本章では，このOpenPGPの広い用途の中でも，特にインターネットの認証基盤としての役割に注目する．

PKIの標準化動向

大規模分散ネットワークであるインターネット上でこれらの機能を実現するインターネットPKIの仕組みは，現在も開発途上である．その中でも活発な活動が進められているプロジェクトとして，X.509とOpenPGPをあげることができる． X.509とOpenPGPの両者はまったく異なる思想にもとづいたシステムであり，現在のところ相互運用性はない．そしてしばしばX.509とPKIとは同一視されているために，「PKIとPGPは両極の方式である」[2]と紹介されることもあるが，この表現は正確ではない．正しくは「PKIを実現する技術標準としてX.509とOpenPGPの標準化活動が活発に進められており，その両者はまったく異なる考え方に基づいてつくられている」と言い直すことができる．

本章では，これらの異なるモデルの比較検討という点からPKIを考察する．また，その他のPKIのモデルや今後のPKIの将来像についても報告する．

X.509のPKI

X.509 Public Key Infrastructure

X.509の認証においては，認証局すなわちCA(Certificate Authority)と呼ばれる発行機関が管理機能を与えられている． CAは電子署名の証明書を利用者に発行する．さらにそれぞれのCAは階層構造をなしており， CA同士が相互認証することによって証明書の連鎖を形成している． CAの機能には登録機能も含まれるが，その機能は登録機関(RA)に委託される場合もあり，必ずしもCA自らが登録を行なう必要はないとされる．

X.509はOSIのX.500 ディレクトリシステムを前提としたオンライン認証全般についての規格だったが，柔軟な運用を行なうための改訂が行なわれている． X.509v3(Version 3)では，公開鍵証明書に任意の情報を埋め込むための拡張項目が追加された(表1参照)．後述するインターネット公開鍵インフラストラクチャおいても，X.509はX.500ディレクトリを前提せずに標準化する議論が進められている．

X.509とインターネット標準化

Netscape社のブラウザに採用され，インターネットで爆発的に普及したRSA社(RSA Data Security, Inc.)のSSLは，公開鍵証明書のための規格としてX.509v3に準拠した方式を採用している[11]． RSA社は電子メールにおいても同様のデータフォーマットを S/MIME(Secure/Multipurpose Internet Mail Extensions)として提案した．このS/MIMEはIETFの S/MIME Working Group (http://www.ietf.org/html.charters/smime-charter.html)にて検討されている．

さらに，インターネットの総合的なPKIとしてX.509を採用する議論が IETFのPublic-Key Infrastructure (X.509) (pkix) Working Group (http://www.ietf.org/html.charters/pkix-charter.html) にて行なわれている．S/MIMEの認証機構はPKIX Working Groupの作業に基づいて行なわれることになっており，両グループは密接な関係にある．

インターネットでのX.509についてはRFC 2459に, S/MIMEについてはRFC 2311, 2312にて規格化されている．それらはIPA(情報処理振興事業協会)セキュリティセンターにて日本語訳も公開されている(http://www.ipa.go.jp/security/pki/pki.html)．

OpenPGPのPKI

OpenPGP の Web of Trust

OpenPGPとインターネット標準化

X.509とOpenPGPの比較

X.509およびとOpenPGPはたとえ同じ暗号アルゴリズムを採用していても，これまでまったく別々に標準化を進めており，相互接続性はない．たとえば，S/MIME準拠の電子署名メールとOpenPGP準拠の電子署名メールとは別々のアプリケーションによって処理される．これは両者のPKIのモデルが異なっているためである．

相違点

先にOpenPGPの認証システムを ``Web of Trust''と呼んだが，別の呼び方としては，利用者がCAに問い合わせず自分で認証を行ない，手元の認証ファイルを元にして相手を信頼するためにtrust-file PKIとも呼ばれ，それに対して階層化されたCAによって認証を行なうX.509はhierarchical PKIとも呼ばれる[13]．

このために，OpenPGPは通信したい相手の公開鍵をCAから入手するのではなく，末端利用者が自力で入手しなければならない．これは認証システム構築において問題となる可能性がある．これでは大規模な認証システムの運営には不向きだと言えるかもしれない．しかしながら，PGP/GnuPGPは全世界規模のインターネットコミュニティにおいて利用されてきた．

たとえば，ニュースグループで配信されるコントロールメッセージへのPGP署名は 1990年代からすでに実用化されている[9]. これは，メッセージを中継する世界各地の無数のニュースサーバがコントロールメッセージ(ニュースグループ管理に関わる特定のメッセージ)への署名を自動的に検証する仕組みである．ニュースグループへの配信受信には第三者機関の登録は必要なく，ニュースサーバとPGP/GnuPGを導入してコントロールメッセージ用の公開鍵情報を設定すれば誰もがこの電子署名システムを利用可能である．このシステムが実用化された理由として，ソースコードおよびドキュメントがすべて無料で公開されている点もあげられる． INN, C News, DNews, ANU Newsといった主要ニュースサーバが速やかにこの機構を実装できたのも，このオープンソースの利点を生かしたためだと考えられる．

このように見ると，OpenPGPに適しているのは， (ニュースグループのように) 利用に際して第三者機関の登録認証を必要としないシステムであり，末端同士が随時メッセージを交換し認証を行なうアドホックなシステムである．このようなシステムは，近年peer-to-peerシステムとして注目を集めている[12]．今後さらなる開発および実用化が見込まれるpeer-to-peerシステムでは，セキュリティやアカウンタビリティを保証するためにOpenPGPの ``Web of Trust''の利用が進むと考えられる．

また，低コストでPKIを構築する場合にもOpenPGPおよび関連するオープンソースソフトウェアの利用は有効だと考えられる．

それに対して，X.509のPKIは，アドホックな登録/認証作業には適していないが，継続的つ安定した認証サービスに適している．

OpenPGPの問題

今後の展望

SPKI

SPKI Working Groupでの議論はRivestとLampsonによるSDSI(Simple Distributed Security Infrastructure)の研究(http://theory.lcs.mit.edu/~cis/sdsi.html)をベースとしている．このため，研究分野ではSPKI/SDSIと呼ばれる場合が多い．技術標準としては， 1999年に出されたRFC 2692[7]において背景の概念が述べられ， RFC 2693では証明書フォーマットや実装に必要な処理規則が規定されている．

現在のところ，SPKIはX.509やOpenPGPのようには普及していないため，今後の普及の見通しの見込みは立っていない[1]．

表 3: 技術的な観点からのX.509, OpenPGP, SPKI/SDSIの比較．Clarke[6]の表を参考にした．

X.509	ネームスペース:	グローバル
	証明タイプ	本人性の証明
	識別名と鍵との結合:	単一値関数: グローバルな識別名はそれぞれ唯一の
		鍵ペアと一対一対応している．
		(ユーザはただひとつの公開鍵秘密鍵ペアを持っていると仮定する)
	CA の特徴:	グローバルな階層．コマーシャルのX.509 CAも存在する
		X.509のコミュニティはトップダウンによって構築される．
	信用モデル:	階層型の信用モデル．信用は「信用できる」CAがつくる．
	電子署名:	それぞれの証明書は証明書発行者によって電子署名されている．
	証明書の失効:	CAがCRL(Certificate Revocation List)を配布する．
PGP	ネームスペース:	グローバル
	認証タイプ:	本人性の認証
	識別名と鍵との結合:	単一値関数: グローバルな識別名はそれぞれ唯一の
		鍵ペアと一対一対応している．
		(ユーザはただひとつの公開鍵秘密鍵ペアを持っていると仮定する)
	CA の特徴:	平等主義的なデザイン．それぞれの鍵で証明書を発行できる．
		PGPのコミュニティは分散構造のボトムアップによって構築され
		る．
	信用モデル:	Web of Trust(信用の輪)
	電子署名:	それぞれの証明書は複数の署名を含むことができる．最初の署名は
		証明書発行者による署名である．
	証明書の失効	利用者が破棄証明書をPGP公開鍵サーバに登録することで，
		無効になった公開鍵を手元に持っている相手に配布する．
SPKI/	ネームスペース:	ローカル
SDSI	証明タイプ:	本人性の証明または認証の証明
	識別名と鍵との結合:	多値関数: ローカルな名前はゼロ，1，それ以上の鍵と結合される．
		(ユーザはただひとつの公開鍵秘密鍵ペアを持っていると仮定する)
	CAの特徴:	平等主義的なデザイン．それぞれの鍵は証明書を発行できる．
		SPKI/SDSIのコミュニティは分散構造のボトムアップによって構
		築される．
	信用モデル:	chain of authorizationの提供
		グループを定義し認証を委任するためにインフラストラクチャは
		明快でスケーラブルなモデルを持つ．
	電子署名:	それぞれの証明書は証明書の発行者による署名を一つ含んでいる．
	証明書の失効:	短い有効期限と生存証明書を用いる

OpenPGPの今後の展望と鍵サーバの意義

利用者個人が認証に責任を持つOpenPGPのPKIは，鍵サーバの機能を組み合わせることによってさらに有効なPKIとなると言える．

本章のまとめ

本章では，PKIの視点からX.509およびOpenPGPをとりあげ，両者が異なるモデルの実現を目指していること，および両者の特長を示した．また，それ以外のPKIの提案として SPKI/SDSIについても紹介した． PKIには唯一のモデルは存在しない．したがって PKIを構築するにあたってどのモデルを採用するのかという視点が必要となる．

PKIとしてのOpenPGPは，認証局及び登録機関を介することなくpeer-to-peerの認証を行なえるという特長がある．しかしながら，「通信したい相手の公開鍵をどうやって手にいれるか」そして「公開鍵の破棄証明をどうやって通知するか」という点が不十分である．この問題点への取り組みとして，鍵サーバの役割をあげた．

備考: ドイツ政府のGnuPGへの取り組み

GnuPGの初期バージョンのリリースと前後してドイツ政府はソースコードを公開にすることでシステムの安全性を確保するために，暗号の配布/輸出に対して制限を設けない方針を発表しているが， GnuPGの支援はその延長として考えられる．

さらに，GnuPGおよびソースコード公開の暗号システムを政府の情報基盤として位置づける方針も打ち出されている． 2001年10月1日に，ドイツ内務省の情報技術保安局(BSI, Bundesamt fur Sicherheit in der Informationstechnik)[10]は政府標準メーラ Sphinx(スフィンクス)プロジェクトを発表した．このSphinxメーラの仕様には X.509v3に準拠したS/MIMEの実装が含まれているが，注目されるのはこの計画に採用されたAgypten(エジプテン)プロジェクトである．

Agyptenプロジェクトでは，Sphinxメーラをフリーソフトウェアで作成し，その成果をGNU Public Licenseのもとに公開することが計画されている．そして，さらに注目すべきことに， GnuPGのWerner Kochも参画しているこのプロジェクトは Sphinxの仕様にOpenPGPを追加し，S/MIMEとOpenPGPの両者を併存させる予定である(http://www.gnupg.org/aegypten/)．

このように，政府向けPKIとソースコード公開の重要性，そして OpenPGPの関わりを考える上でドイツ政府は斬新な試みを行なっており，2002年に予定されているSphinxメーラの発表が注目される．

参考文献

本ドキュメントは、GNU Free Documentation License 1.1(GNU フリー文書利用許諾契約書)の条件下で自由に利用可能である。詳細については http://www.gnu.org/copyleft/fdl.html から入手可能である．

OpenPGPとPKI
COMM Internal Note 007 / PGP-001

全体の構成

本章の目次

はじめに

本章の目的: OpenPGPとPKI

OpenPGPとは

Pretty Good Privacy