後者へスカウトされる俺。安全性を評価・監視し、暗号技術の適切な実装法・運用法を調査・検討している。総務省と経済産業省が所管します。暗号化技術は色々あるものの、解読されているものも多く、どれが安全なのか評価が必要になります。*1それを日本で担っているのがCRYPTRECです。†CRYPTRECが推奨する暗号リスト*2。SSL/TLSアプライアンス製品の暗号設定方法等の調査報告書」で、代表的な製品の暗号化対応状況を解説しています。出荷時に「高セキュリティ」といえる製品は、皆無。セキュリティ対策は(設置~保守など)コストがかかりますので、理想と現実、各組織がどこでバランスをとるのかが難しい事を改めて考えさせられます。SHA-1による証明書のサポートを止めるそうです。期限は2017年1月末。上記を踏まえると(2013年3月時点で推奨されてはいないことを踏まえると)、より早い対応がベターなのでしょうが、現実問題として、何でもかんでも最新にできないものなんですね。安全ではない(証明書が古い)所が結構あるOpenSSLなんかも、最新版が次々にでるけど、それを使うパッケージ側が最新のOpenSSLに対応できてない今回のChromeの件も、対応できてないWebサイト側が結構あるみたいなのでなんでしょう、セキュリティってコストとのバランスが難しい事を改めて感じます。暗号文自体は時間さえ(無限に)あれば解読可能で、コンピュータの計算速度の向上によって暗号の強度は下がります(これを「危殆化」といいます)。常に最新の暗号化技術を評価、利用していく必要があります。今後使う可能性のある「推奨候補暗号リスト」ってのもあります。MISTY(共通鍵参照)なんかはこっちにありましたね。使用して作成しています。使用しています(このサイトについて)。