RC4はなぜネットワークセキュリティで危険視されるのか？脆弱性の原因と廃止の経緯

RC4とは何か

Rivest Cipher 4（RC4）は、1987年にロナルド・リベストによってRSAセキュリティ向けに開発されたストリーム暗号です。処理速度が速く実装がシンプルであることから、かつては世界で最も広く利用されたストリーム暗号の一つでした。鍵長は可変で、64ビットや128ビットなどから選択でき、操作はバイト単位で行われます。

RC4の仕組み

RC4は、鍵スケジューリングアルゴリズム（KSA）によって初期状態を生成し、続く擬似ランダム生成アルゴリズム（ストリーム生成）でキーストリームを1バイトずつ出力します。平文はこのキーストリームとXOR演算することで暗号化されます。KSAでは、0〜255の値を持つSボックスを昇順に初期化し、一時ベクトルTを作成して状態を攪乱します。鍵長は通常40〜256ビットの範囲で指定可能です。

RC4の何が問題なのか

RC4が出力するバイト列には統計的な偏り（バイアス）があり、完全なランダムには見えません。この偏りの存在自体は長年知られていましたが、当初は深刻な問題とはみなされていませんでした。しかし研究が進むにつれ、この偏りを突いた攻撃が現実の脅威となり、RC4の安全性は大きく損なわれることになりました。

なぜRC4は脆弱なのか

RC4が特に脆弱になるのは、出力キーストリームの先頭部分を破棄せずにそのまま使用した場合です。先頭のNバイト（Nは256の倍数）を捨てる「RC4-dropN」という改良方式もありますが、根本的な解決策にはなりません。また、ランダム性のない鍵や相互に関連する鍵を使用すると、暗号プロセスが崩壊し、極めて不安定なシステムとなります。

RC4は安全なのか

結論から言えば、RC4は現在では極めて安全性の低い暗号方式です。発見された複数の脆弱性により、主要なプロトコルから除外され、対応アプリケーションもごく少数にとどまっています。他のストリーム暗号と比較しても、小規模なデータストリームへの適用は現実的ではなく、利用範囲は非常に限定的です。

RC4は破られ、廃止されたのか

RC4の弱点は広く知られるようになり、ユーザーへの警告が必要な段階に達しています。現在のTLS実装において、RC4は明らかに欠陥を抱えたunsafeな暗号とみなされています。RFC 7465により、RC4暗号スイートは正式に廃止（非推奨）されました。RC4で暗号化されたメッセージの一部を復号できるエクスプロイトが多数存在するためです。ハンドシェイク自体を悪意あるものと即断することはできませんが、RC4経由で送信されたデータは傍受・解析される恐れがあります。

現代のセキュリティシステムがRC4を避ける理由

現代の暗号設計者にとって、RC4は大きな鍵を使用しても十分な安全性を保証できないため採用されません。128ビット鍵を使っても動作の偏りが残るため、このモデルを採用するシステムはごくわずかです。かつては公開Webサイトのセキュリティで重要な役割を果たしましたが、現在ではより安全な代替手段が整備されています。

RC4の主な欠点

• 強力なMD5などを併用しない場合、ビット反転攻撃を受ける可能性がある
• 認証用途にはストリーム暗号として適さない
• 新しいシステムへ組み込むにはさらなる解析が必要
• 40MB未満の小規模データストリームの暗号化には向いていない

RC4とAESの違い

AES（Advanced Encryption Standard）とRC4は、いずれも有名な暗号方式ですが、仕組みが異なります。AESは固定長の鍵と定められた変換式を用いて、離散的なデータブロック単位で暗号化するブロック暗号です。一方、RC4はデータをブロックに分けず、連続的に処理するストリーム暗号であり、任意のビット列（出力ストリーム）を擬似ランダムに生成して平文とXOR演算することで暗号化を行います。

AESはRC4より安全か

答えはイエスです。AES-128はRC4よりも安全であると広く認められています。RC4はコンピュータ黎明期に設計されたストリーム暗号であり、キーストリームが露呈すれば平文そのものが漏洩するリスクを抱えています。現在、新規システムでRC4を採用する合理的な理由はほぼ存在しません。