[要約] RFC 5430は、TLSのためのSuite Bプロファイルに関する要約と目的を提供します。このRFCの目的は、TLSのセキュリティ要件を満たすために、Suite Bアルゴリズムスイートを使用するためのガイドラインを提供することです。
Network Working Group M. Salter
Request for Comments: 5430 National Security Agency
Category: Informational E. Rescorla
Network Resonance
R. Housley
Vigil Security
March 2009
Suite B Profile for Transport Layer Security (TLS)
輸送層のセキュリティのためのスイートBプロファイル（TLS）
Status of This Memo
本文書の位置付け
This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited.
このメモは、インターネットコミュニティに情報を提供します。いかなる種類のインターネット標準を指定しません。このメモの配布は無制限です。
Copyright Notice
著作権表示
Copyright (c) 2009 IETF Trust and the persons identified as the document authors. All rights reserved.
Copyright（c）2009 IETF Trustおよび文書著者として特定された人。全著作権所有。
This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents in effect on the date of publication of this document (http://trustee.ietf.org/license-info). Please review these documents carefully, as they describe your rights and restrictions with respect to this document.
このドキュメントは、BCP 78およびこのドキュメントの公開日（http://trustee.ietf.org/license-info）に有効なIETFドキュメントに関連するIETF Trustの法的規定の対象となります。この文書に関するあなたの権利と制限を説明するので、これらの文書を注意深く確認してください。
This document may contain material from IETF Documents or IETF Contributions published or made publicly available before November 10, 2008. The person(s) controlling the copyright in some of this material may not have granted the IETF Trust the right to allow modifications of such material outside the IETF Standards Process. Without obtaining an adequate license from the person(s) controlling the copyright in such materials, this document may not be modified outside the IETF Standards Process, and derivative works of it may not be created outside the IETF Standards Process, except to format it for publication as an RFC or to translate it into languages other than English.
このドキュメントには、2008年11月10日までに公開または公開されたIETFドキュメントまたはIETFの貢献からの資料が含まれている場合があります。IETF標準プロセスの外。そのような資料の著作権を制御する人から適切なライセンスを取得しないと、このドキュメントはIETF標準プロセスの外側に変更されない場合があり、その派生作業は、ITF標準プロセスの外側で作成されない場合があります。RFCとしての出版または英語以外の言語に翻訳する。
Abstract
概要
The United States government has published guidelines for "NSA Suite B Cryptography", which defines cryptographic algorithm policy for national security applications. This document defines a profile of Transport Layer Security (TLS) version 1.2 that is fully conformant with Suite B. This document also defines a transitional profile for use with TLS version 1.0 and TLS version 1.1 which employs Suite B algorithms to the greatest extent possible.
米国政府は、「NSA Suite B Cryptography」のガイドラインを公開しました。これは、国家安全保障アプリケーションの暗号化アルゴリズムポリシーを定義しています。このドキュメントでは、スイートBに完全に適合している輸送層セキュリティ（TLS）バージョン1.2のプロファイルを定義します。このドキュメントは、可能な限り最大の程度までスイートBアルゴリズムを使用するTLSバージョン1.0およびTLSバージョン1.1で使用するための移行プロファイルも定義します。
Table of Contents
目次
1. Introduction ....................................................2
2. Conventions Used in This Document ...............................3
3. Suite B Requirements ............................................3
4. Suite B Compliance and Interoperability Requirements ............4
4.1. Security Levels ............................................7
4.2. Acceptable Curves ..........................................8
4.3. Certificates ...............................................8
4.4. signature_algorithms Extension .............................9
4.5. CertificateRequest Message .................................9
4.6. CertificateVerify Message .................................10
4.7. ServerKeyExchange Message Signature .......................10
5. Security Considerations ........................................10
6. Acknowledgements ...............................................10
7. References .....................................................11
7.1. Normative References ......................................11
7.2. Informative References ....................................11
The United States government has posted the Fact Sheet on National Security Agency (NSA) Suite B Cryptography [NSA], and at the time of writing, it states:
米国政府は、国家安全保障局（NSA）スイートB暗号化[NSA]にファクトシートを投稿しており、執筆時点で、次のように述べています。
To complement the existing policy for the use of the Advanced Encryption Standard (AES) to protect national security systems and information as specified in The National Policy on the use of the Advanced Encryption Standard (AES) to Protect National Security Systems and National Security Information (CNSSP-15), the National Security Agency (NSA) announced Suite B Cryptography at the 2005 RSA Conference. In addition to the AES, Suite B includes cryptographic algorithms for hashing, digital signatures, and key exchange.
高度な暗号化標準（AES）を使用するための既存のポリシーを補完するために、国家安全保障基準（AES）の使用に関する国家政策で指定されている国家安全保障システムと情報を保護し、国家安全保障システムと国家安全保障情報（CNSSP-15）、国家安全保障局（NSA）は、2005 RSA会議でスイートB暗号化を発表しました。AESに加えて、スイートBには、ハッシュ、デジタル署名、キー交換用の暗号化アルゴリズムが含まれています。
Suite B only specifies the cryptographic algorithms to be used. Many other factors need to be addressed in determining whether a particular device implementing a particular set of cryptographic algorithms should be used to satisfy a particular requirement.
Suite Bは、使用する暗号化アルゴリズムのみを指定します。特定の要件を満たすために、特定の暗号化アルゴリズムのセットを実装する特定のデバイスを使用する必要があるかどうかを判断する際に、他の多くの要因に対処する必要があります。
Among those factors are "requirements for interoperability both domestically and internationally".
これらの要因の中には、「国内および国際的に相互運用性の要件」があります。
This document does not define any new cipher suites; instead, it defines two profiles:
このドキュメントは、新しい暗号スイートを定義しません。代わりに、2つのプロファイルを定義します。
o A Suite B compliant profile for use with TLS version 1.2 [RFC5246] and the cipher suites defined in [RFC5289]. This profile uses only Suite B algorithms.
o TLSバージョン1.2 [RFC5246]と[RFC5289]で定義されている暗号スイートで使用するスイートB準拠のプロファイル。このプロファイルは、スイートBアルゴリズムのみを使用します。
o A transitional profile for use with TLS version 1.0 [RFC2246] or TLS version 1.1 [RFC4346] and the cipher suites defined in [RFC4492]. This profile uses the Suite B cryptographic algorithms to the greatest extent possible and provides backward compatibility. While the transitional profile is not Suite B compliant, it provides a transition path towards the Suite B compliant profile.
o TLSバージョン1.0 [RFC2246]またはTLSバージョン1.1 [RFC4346]および[RFC4492]で定義された暗号スイートで使用する移行プロファイル。このプロファイルは、スイートB暗号化アルゴリズムを可能な限り最大限に使用し、後方互換性を提供します。遷移プロファイルはスイートBに準拠していませんが、スイートB準拠のプロファイルへの遷移パスを提供します。
The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in [RFC2119].
「必須」、「そうしない」、「必須」、「shall」、「shall "、" ingle "、" should "、" not "、" becommended "、" bay "、および「optional」は、[RFC2119]に記載されているように解釈される。
The Fact Sheet on Suite B Cryptography requires that key establishment and authentication algorithms be based on Elliptic Curve Cryptography, and that the encryption algorithm be AES [AES]. Suite B defines two security levels, of 128 and 192 bits.
スイートB暗号化のファクトシートでは、主要な確立と認証アルゴリズムは楕円曲線暗号化に基づいており、暗号化アルゴリズムがAES [AES]であることが必要です。Suite Bは、128および192ビットの2つのセキュリティレベルを定義します。
In particular, Suite B includes:
特に、スイートBには以下が含まれます。
Encryption: Advanced Encryption Standard (AES) [AES] -- FIPS 197 (with key sizes of 128 and 256 bits)
暗号化：高度な暗号化標準（AES）[AES] - FIPS 197（キーサイズは128および256ビット）
Digital Signature: Elliptic Curve Digital Signature Algorithm (ECDSA) [DSS] - FIPS 186-2 (using the curves with 256- and 384-bit prime moduli)
デジタル署名：Elliptic Curve Digital Signature Algorithm（ECDSA）[DSS] -Fips186-2（256および384ビットプライムモジュリの曲線を使用）
Key Exchange: Elliptic Curve Diffie-Hellman (ECDH) - NIST Special Publication 800-56A [PWKE] (using the curves with 256- and 384-bit prime moduli)
キーエクスチェンジ：楕円曲線diffie-hellman（ECDH）-NIST Special Publication 800-56A [PWKE]（256および384ビットプライムモジュリの曲線を使用）
The 128-bit security level corresponds to an elliptic curve size of 256 bits and AES-128; it also makes use of SHA-256 [SHS]. The 192- bit security level corresponds to an elliptic curve size of 384 bits and AES-256; it also makes use of SHA-384 [SHS].
128ビットのセキュリティレベルは、256ビットとAES-128の楕円曲線サイズに対応しています。また、SHA-256 [SHS]を使用しています。192ビットセキュリティレベルは、384ビットとAES-256の楕円曲線サイズに対応しています。また、SHA-384 [SHS]を使用しています。
Note: Some people refer to the two security levels based on the AES key size that is employed instead of the overall security provided by the combination of Suite B algorithms. At the 128-bit security level, an AES key size of 128 bits is used, which does not lead to any confusion. However, at the 192-bit security level, an AES key size of 256 bits is used, which sometimes leads to an expectation of more security than is offered by the combination of Suite B algorithms.
注：一部の人々は、スイートBアルゴリズムの組み合わせによって提供される全体的なセキュリティではなく、採用されているAESキーサイズに基づいて2つのセキュリティレベルを参照しています。128ビットのセキュリティレベルでは、128ビットのAESキーサイズが使用されていますが、混乱はありません。ただし、192ビットのセキュリティレベルでは、256ビットのAESキーサイズが使用されているため、スイートBアルゴリズムの組み合わせによって提供されるよりも多くのセキュリティが期待される場合があります。
To accommodate backward compatibility, a Suite B compliant client or server can be configured to accept a cipher suite that is not part of Suite B. However, whenever a Suite B compliant client and a Suite B compliant server establish a TLS version 1.2 session, only Suite B algorithms are employed.
後方互換性に対応するために、スイートBに準拠したクライアントまたはサーバーを設定することができます。スイートBの一部ではない暗号スイートを受け入れることができます。ただし、スイートBコンプライアンスクライアントとスイートBコンプライアントサーバーがTLSバージョン1.2セッションを確立するたびに、スイートBアルゴリズムが採用されています。
TLS version 1.1 [RFC4346] and earlier do not support Galois Counter Mode (GCM) cipher suites [RFC5289]. However, TLS version 1.2 [RFC5246] and later do support GCM. For Suite B TLS compliance, GCM cipher suites are REQUIRED to be used whenever both the client and the server support the necessary cipher suites. Also, for Suite B TLS compliance, Cipher Block Chaining (CBC) cipher suites are employed when GCM cipher suites cannot be employed.
TLSバージョン1.1 [RFC4346]以前はガロアカウンターモード（GCM）暗号スイート[RFC5289]をサポートしていません。ただし、TLSバージョン1.2 [RFC5246]以降はGCMをサポートします。スイートB TLSコンプライアンスの場合、クライアントとサーバーの両方が必要な暗号スイートをサポートするたびに、GCM暗号スイートを使用する必要があります。また、スイートB TLSコンプライアンスの場合、GCM暗号スイートを使用できない場合、暗号ブロックチェーン（CBC）暗号スイートが採用されます。
For a client to implement the Suite B compliant profile, it MUST implement TLS version 1.2 or later, and the following cipher suite rules apply:
クライアントがSuite B Compliantプロファイルを実装するには、TLSバージョン1.2以降を実装する必要があり、次のCipher Suiteルールが適用されます。
o A Suite B compliant TLS version 1.2 or later client MUST offer at least two cipher suites for each supported security level. For the 128-bit security level, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 and TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 MUST be offered in this order in the ClientHello message. For the 192-bit security level, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 and TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 MUST be offered in this order in the ClientHello message. One of these cipher suites MUST be the first (most preferred) cipher suite in the ClientHello message.
o スイートB準拠のTLSバージョン1.2以降のクライアントは、サポートされているセキュリティレベルごとに少なくとも2つの暗号スイートを提供する必要があります。128ビットのセキュリティレベルでは、tls_ecdhe_ecdsa_with_aes_128_gcm_sha256およびtls_ecdhe_ecdsa_with_aes_128_cbc_sha256は、クライアントヘロメッセージでこの順序で提供する必要があります。192ビットのセキュリティレベルでは、TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384およびTLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384は、クライアントヘロメッセージでこの順序で提供する必要があります。これらの暗号スイートの1つは、ClientHelloメッセージの最初の（最も好ましい）暗号スイートでなければなりません。
o A Suite B compliant TLS version 1.2 or later client that offers backward compatibility with TLS version 1.1 or earlier servers MAY offer an additional cipher suite for each supported security level. If these cipher suites are offered, they MUST appear after the ones discussed above. For the 128-bit security level, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA MAY be offered in the ClientHello message. For the 192-bit security level, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA MAY be offered in the ClientHello message.
o TLSバージョン1.1または以前のサーバーとの後方互換性を提供するスイートB準拠のTLSバージョン1.2以降のクライアントは、サポートされているセキュリティレベルごとに追加の暗号スイートを提供する場合があります。これらの暗号スイートが提供されている場合、上記のスイートの後に表示されなければなりません。128ビットのセキュリティレベルでは、tls_ecdhe_ecdsa_with_aes_128_cbc_shaがclienthelloメッセージで提供される場合があります。192ビットのセキュリティレベルでは、tls_ecdhe_ecdsa_with_aes_256_cbc_shaがclienthelloメッセージで提供される場合があります。
o A Suite B compliant TLS version 1.2 or later client that offers interoperability with non-Suite B compliant servers MAY offer additional cipher suites. If any additional cipher suites are offered, they MUST appear after the ones discussed above in the ClientHello message.
o スイートBに準拠したTLSバージョン1.2以降のクライアントは、非スイートBコンプライアントサーバーとの相互運用性を提供するクライアントを追加する場合があります。追加の暗号スイートが提供されている場合、clienthelloメッセージで上記のものの後に表示される必要があります。
For a client to implement the Suite B transitional profile, it MUST implement TLS version 1.1 or earlier and the following cipher suite rules apply:
クライアントがSuite B Transitionalプロファイルを実装するには、TLSバージョン1.1以前を実装する必要があり、次のCipher Suiteルールが適用されます。
o A Suite B transitional TLS version 1.1 or earlier client MUST offer the cipher suite for the 128-bit security level, the cipher suite for the 192-bit security level, or both. For the 128-bit security level, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA MUST be offered in the ClientHello message. For the 192-bit security level, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA MUST be offered in the ClientHello message. One of these cipher suites MUST be the first (most preferred) cipher suite in the ClientHello message.
o スイートBの移行TLSバージョン1.1以前のクライアントは、128ビットのセキュリティレベル、192ビットセキュリティレベルの暗号スイート、またはその両方で暗号スイートを提供する必要があります。128ビットのセキュリティレベルについては、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHAをClientHelloメッセージで提供する必要があります。192ビットのセキュリティレベルでは、tls_ecdhe_ecdsa_with_aes_256_cbc_shaをclienthelloメッセージで提供する必要があります。これらの暗号スイートの1つは、ClientHelloメッセージの最初の（最も好ましい）暗号スイートでなければなりません。
o A Suite B transitional TLS version 1.1 or earlier client that offers interoperability with non-Suite B compliant servers MAY offer additional cipher suites. If any additional cipher suites are offered, they MUST appear after the ones discussed above in the ClientHello message.
o 非スイートBコンプライアントサーバーとの相互運用性を提供するスイートBトランジショナルTLSバージョン1.1以前のクライアントまたは以前のクライアントは、追加の暗号スイートを提供する場合があります。追加の暗号スイートが提供されている場合、clienthelloメッセージで上記のものの後に表示される必要があります。
A Suite B compliant TLS server MUST be configured to support the 128- bit security level, the 192-bit security level, or both security levels. The cipher suite rules for each of these security levels is described below. If a Suite B compliant TLS server is configured to support both security levels, then the configuration MUST prefer one security level over the other. In practice, this means that the cipher suite rules associated with the cipher suites listed in Section 4.1 for the preferred security level are processed before the cipher suite rules for the less preferred security level.
スイートB準拠のTLSサーバーは、128ビットセキュリティレベル、192ビットセキュリティレベル、または両方のセキュリティレベルをサポートするように構成する必要があります。これらのセキュリティレベルのそれぞれの暗号スイートルールを以下に説明します。スイートBに準拠したTLSサーバーが両方のセキュリティレベルをサポートするように構成されている場合、構成は他のセキュリティレベルよりも1つのセキュリティレベルを優先する必要があります。実際には、これは、優先されたセキュリティレベルのセクション4.1にリストされている暗号スイートに関連する暗号スイートルールが、あまり優先されないセキュリティレベルの暗号スイートルールの前に処理されることを意味します。
For a server to implement the Suite B conformant profile at the 128- bit security level, the following cipher suite rules apply:
サーバーが128ビットセキュリティレベルでスイートBコンフォーマントプロファイルを実装するために、次の暗号スイートルールが適用されます。
o A Suite B compliant TLS version 1.2 or later server MUST accept the TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 cipher suite if it is offered.
o スイートB準拠のTLSバージョン1.2以降のサーバーは、提供されている場合は、TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 CIPHESスイートを受け入れる必要があります。
o If the preceding cipher suite is not offered, then a Suite B compliant TLS version 1.2 or later server MUST accept the TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 cipher suite if it is offered.
o 前の暗号スイートが提供されていない場合、スイートBに準拠したTLSバージョン1.2以降のサーバーは、提供されている場合はTLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 CIPHESスイートを受け入れる必要があります。
o If neither of the preceding two cipher suites is offered, then a Suite B compliant TLS version 1.2 or later server that offers backward compatibility with TLS version 1.1 or earlier clients MAY accept the TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA cipher suite if it is offered.
o 前述の2つの暗号スイートのいずれも提供されていない場合、TLSバージョン1.1または以前のクライアントとの後方互換性を提供するスイートB準拠のTLSバージョン1.2以降のサーバーは、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA CIPHES SUITEが提供されている場合に受け入れる場合があります。
o If the server is not offered any of the preceding three cipher suites and interoperability with clients that are not compliant or interoperable with Suite B is desired, then the server MAY accept another offered cipher suite that is considered acceptable by the server administrator.
o サーバーが前述の3つの暗号スイートのいずれかを提供されていない場合、スイートBに準拠していない、または相互運用できないクライアントとの相互運用性が望ましい場合、サーバーはサーバー管理者が受け入れられると見なされる別の提供される暗号スイートを受け入れる場合があります。
For a server to implement the Suite B transitional profile at the 128-bit security level, the following cipher suite rules apply:
サーバーが128ビットのセキュリティレベルでスイートBトランジショナルプロファイルを実装するために、次の暗号スイートルールが適用されます。
o A Suite B transitional TLS version 1.1 or earlier server MUST accept the TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA cipher suite if it is offered.
o Suite B Transitional TLSバージョン1.1または以前のサーバーは、提供されている場合はTLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA CIPHESスイートを受け入れる必要があります。
o If the server is not offered the preceding cipher suite and interoperability with clients that are not Suite B transitional is desired, then the server MAY accept another offered cipher suite that is considered acceptable by the server administrator.
o サーバーが前述の暗号スイートとスイートBトランジショナルではないクライアントとの相互運用性を提供していない場合、サーバーは、サーバー管理者が受け入れられると見なされる別の提供される暗号スイートを受け入れる場合があります。
For a server to implement the Suite B conformant profile at the 192- bit security level, the following cipher suite rules apply:
サーバーが192ビットセキュリティレベルでスイートBコンフォーマントプロファイルを実装するために、次の暗号スイートルールが適用されます。
o A Suite B compliant TLS version 1.2 or later server MUST accept the TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 cipher suite if it is offered.
o スイートB準拠バージョン1.2以降のサーバーは、提供されている場合は、TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 CIPHESスイートを受け入れる必要があります。
o If the preceding cipher suite is not offered, then a Suite B compliant TLS version 1.2 or later server MUST accept the TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 cipher suite if it is offered.
o 前の暗号スイートが提供されていない場合、スイートBに準拠したTLSバージョン1.2以降のサーバーは、提供されている場合はTLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 CIPHESスイートを受け入れる必要があります。
o If neither of the preceding two cipher suites is offered, then a Suite B compliant TLS version 1.2 or later server that offers backward compatibility with TLS version 1.1 or earlier clients MAY accept the TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA cipher suite if it is offered.
o 前述の2つの暗号スイートのいずれも提供されていない場合、TLSバージョン1.1または以前のクライアントとの後方互換性を提供するスイートB準拠のTLSバージョン1.2以降のサーバーは、TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA CIPHES SUITEが提供されている場合に受け入れる場合があります。
o If the server is not offered any of the preceding three cipher suites and interoperability with clients that are not compliant or interoperable with Suite B is desired, then the server MAY accept another offered cipher suite that is considered acceptable by the server administrator.
o サーバーが前述の3つの暗号スイートのいずれかを提供されていない場合、スイートBに準拠していない、または相互運用できないクライアントとの相互運用性が望ましい場合、サーバーはサーバー管理者が受け入れられると見なされる別の提供される暗号スイートを受け入れる場合があります。
For a server to implement the Suite B transitional profile at the 192-bit security level, the following cipher suite rules apply:
サーバーが192ビットセキュリティレベルでスイートBトランジショナルプロファイルを実装するために、次の暗号スイートルールが適用されます。
o A Suite B transitional TLS version 1.1 or earlier server MUST accept the TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA cipher suite if it is offered.
o Suite B Transitional TLSバージョン1.1以前のサーバーは、提供されている場合はTLS_ECDSA_WITH_AES_256_CBC_SHA CIPHESスイートを受け入れる必要があります。
o If the server is not offered the preceding cipher suite and interoperability with clients that are not Suite B transitional is desired, then the server MAY accept another offered cipher suite that is considered acceptable by the server administrator.
o サーバーが前述の暗号スイートとスイートBトランジショナルではないクライアントとの相互運用性を提供していない場合、サーバーは、サーバー管理者が受け入れられると見なされる別の提供される暗号スイートを受け入れる場合があります。
Note that these rules explicitly permit the use of CBC cipher suites in TLS version 1.2 connections in order to permit operation between Suite B compliant and non-Suite B compliant implementations. For instance, a Suite B compliant TLS version 1.2 client might offer TLS version 1.2 with both GCM and CBC cipher suites when communicating with a non-Suite B TLS version 1.2 server, which then selected the CBC cipher suites. This connection would nevertheless meet the requirements of this specification. However, any two Suite B compliant implementations will negotiate a GCM cipher suite when doing TLS version 1.2.
これらの規則は、スイートBコンプライアントと非スイートB準拠の実装間の運用を可能にするために、TLSバージョン1.2接続でCBC暗号スイートの使用を明示的に許可していることに注意してください。たとえば、Suite Bに準拠したTLSバージョン1.2クライアントは、非スイートB TLSバージョン1.2サーバーと通信し、CBC暗号スイートを選択したときに、GCMとCBCの両方の暗号スイートを使用してTLSバージョン1.2を提供する場合があります。それにもかかわらず、この接続はこの仕様の要件を満たします。ただし、TLSバージョン1.2を実行すると、2つのSuite B準拠の実装がGCM Cipherスイートを交渉します。
As described in Section 1, Suite B specifies two security levels: 128-bit and 192-bit. The following table lists the cipher suites for each security level. Within each security level, the cipher suites are listed in their preferred order for selection by a TLS version 1.2 implementation.
セクション1で説明されているように、Suite Bは、128ビットと192ビットの2つのセキュリティレベルを指定しています。次の表には、各セキュリティレベルの暗号スイートを示します。各セキュリティレベル内で、暗号スイートは、TLSバージョン1.2の実装により、選択に優先順序でリストされています。
+-----------------------------------------+----------------+
| Cipher Suite | Security Level |
+-----------------------------------------+----------------+
| TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | 128 |
| TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 | 128 |
| TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA | 128 |
| TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | 192 |
| TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | 192 |
| TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | 192 |
+-----------------------------------------+----------------+
RFC 4492 defines a variety of elliptic curves. For cipher suites defined in this specification, only secp256r1(23) or secp384r1(24) may be used. These are the same curves that appear in FIPS 186-2 [DSS] as P-256 and P-384, respectively. For cipher suites at the 128-bit security level, secp256r1 MUST be used. For cipher suites at the 192-bit security level, secp384r1 MUST be used. RFC 4492 requires that the uncompressed(0) form be supported. The ansiX962_compressed_prime(1) point formats MAY also be supported.
RFC 4492は、さまざまな楕円曲線を定義します。この仕様で定義されている暗号スイートの場合、SECP256R1（23）またはSECP384R1（24）のみを使用できます。これらは、それぞれP-256とP-384としてFIPS 186-2 [DSS]に表示される同じ曲線です。128ビットセキュリティレベルの暗号スイートの場合、SECP256R1を使用する必要があります。192ビットセキュリティレベルの暗号スイートの場合、SECP384R1を使用する必要があります。RFC 4492では、非圧縮（0）フォームをサポートする必要があります。ANSIX962_COMPRESSED_PRIME（1）ポイント形式もサポートされる場合があります。
Clients desiring to negotiate only a Suite B compliant connection MUST generate a "Supported Elliptic Curves Extension" containing only the allowed curves. These curves MUST match the cipher suite security levels being offered. Clients that are willing to do both Suite B compliant and non-Suite B compliant connections MAY omit the extension or send the extension but offer other curves as well as the appropriate Suite B ones.
スイートB準拠の接続のみを交渉したいクライアントは、許可された曲線のみを含む「サポートされている楕円曲線拡張機能」を生成する必要があります。これらの曲線は、提供されている暗号スイートセキュリティレベルと一致する必要があります。Suite B Compliantと非スイートBの両方のコンプライアント接続の両方を喜んで行うクライアントは、拡張機能を省略したり、拡張機能を送信したり、他の曲線と適切なスイートBを提供する場合があります。
Servers desiring to negotiate a Suite B compliant connection SHOULD check for the presence of the extension, but MUST NOT negotiate inappropriate curves even if they are offered by the client. This allows a client that is willing to do either Suite B compliant or non-Suite B compliant modes to interoperate with a server that will only do Suite B compliant modes. If the client does not advertise an acceptable curve, the server MUST generate a fatal "handshake_failure" alert and terminate the connection. Clients MUST check the chosen curve to make sure it is acceptable.
スイートBに準拠した接続を交渉したいサーバーは、拡張機能の存在を確認する必要がありますが、クライアントが提供されていても、不適切な曲線を交渉してはなりません。これにより、Suite B Compliantまたは非スイートBコンプライアントモードのいずれかを喜んで行うことができます。クライアントが許容可能な曲線を宣伝しない場合、サーバーは致命的な「handshake_failure」アラートを生成し、接続を終了する必要があります。クライアントは、選択した曲線を確認して、それが許容できることを確認する必要があります。
Server and client certificates used to establish a Suite B compliant connection MUST be signed with ECDSA. Digital signatures MUST be calculated using either the P-256 curve along with the SHA-256 hash algorithm or calculated using the P-384 curve along with the SHA-384 hash algorithm. For certificates used at the 128-bit security level, the subject public key MUST use the P-256 curve and be signed with either the P-384 curve or the P-256 curve. For certificates used at the 192-bit security level, the subject public key MUST use the P-384 curve and be signed with the P-384 curve.
Suite B準拠の接続を確立するために使用されるサーバーおよびクライアント証明書は、ECDSAで署名する必要があります。デジタル署名は、P-256曲線とSHA-256ハッシュアルゴリズムのいずれかを使用して計算するか、SHA-384ハッシュアルゴリズムとともにP-384曲線を使用して計算する必要があります。128ビットのセキュリティレベルで使用される証明書の場合、サブジェクトの公開キーはP-256曲線を使用し、P-384曲線またはP-256曲線のいずれかで署名する必要があります。192ビットのセキュリティレベルで使用される証明書の場合、サブジェクトの公開キーはP-384曲線を使用し、P-384曲線で署名する必要があります。
In TLS version 1.0 and TLS version 1.1, the key exchange algorithm used in the TLS_ECDHE_ECDSA-collection of cipher suites requires the server's certificate to be signed with a particular signature scheme. TLS version 1.2 offers more flexibility. This specification does not impose any additional restrictions on the server certificate signature or the signature schemes used elsewhere in the certification path. (Often such restrictions will be useful, and it is expected that this will be taken into account in practices of certification authorities. However, such restrictions are not strictly required, even if it is beyond the capabilities of a client to completely validate a given certification path, the client may be able to validate the server's certificate by relying on a trusted certification authority whose certificate appears as one of the intermediate certificates in the certification path.)
TLSバージョン1.0およびTLSバージョン1.1では、暗号スイートのTLS_ECDHE_ECDSA-COLLECTIONで使用されるキーエクスチェンジアルゴリズムには、特定の署名スキームでサーバーの証明書を署名する必要があります。TLSバージョン1.2は、より柔軟性を提供します。この仕様では、サーバー証明書の署名や、認定パスの他の場所で使用される署名スキームに追加の制限は課されません。（多くの場合、そのような制限は有用であり、これは認証当局の慣行で考慮されることが予想されます。ただし、特定の認証を完全に検証することがクライアントの能力を超えている場合でも、そのような制限は厳密に必要ではありません。パス、クライアントは、証明書が認証パスの中間証明書の1つとして表示される信頼できる認証機関に依存することにより、サーバーの証明書を検証できる場合があります。
Likewise, this specification does not impose restrictions on signature schemes used in the certification path for the client's certificate when mutual authentication is employed.
同様に、この仕様では、相互認証が採用されている場合、クライアントの証明書の認証パスで使用される署名スキームに制限を課しません。
The signature_algorithms extension is defined in Section 7.4.1.4.1 of TLS version 1.2 [RFC5246]. A Suite B compliant TLS version 1.2 or later client MUST include the signature_algorithms extension. For the 128-bit security level, SHA-256 with ECDSA MUST be offered in the signature_algorithms extension. For the 192-bit security level, SHA-384 with ECDSA MUST be offered in the signature_algorithms extension. Other offerings MAY be included to indicate the signature algorithms that are acceptable in cipher suites that are offered for interoperability with servers that are not compliant with Suite B and to indicate the signature algorithms that are acceptable for certification path validation.
Signature_Algorithms拡張機能は、TLSバージョン1.2 [RFC5246]のセクション7.4.1.4.1で定義されています。Suite Bに準拠したTLSバージョン1.2以降のクライアントには、signature_algorithms拡張子を含める必要があります。128ビットのセキュリティレベルの場合、signature_algorithms拡張機能でECDSAを搭載したSHA-256を提供する必要があります。192ビットのセキュリティレベルでは、signature_algorithms拡張機能でECDSAを搭載したSHA-384を提供する必要があります。他の製品は、スイートBに準拠していないサーバーとの相互運用性のために提供される暗号スイートで受け入れられる署名アルゴリズムを示すために含まれる場合があり、認証パス検証に許容できる署名アルゴリズムを示すことができます。
A Suite B compliant TLS version 1.2 or later server MUST include SHA-256 with ECDSA and/or SHA-384 with ECDSA in the supported_signature_algorithms field of the CertificateRequest message. For the 128-bit security level, SHA-256 with ECDSA MUST appear in the supported_signature_algorithms field. For the 192-bit security level, SHA-384 with ECDSA MUST appear in the supported_signature_algorithms field.
Suite Bに準拠したTLSバージョン1.2以降のサーバーには、ECDSAを備えたSHA-256および/またはSHA-384をsha-384 with ecdsa with ecdsa with supported_signature_algorithmsフィールドに含める必要があります。128ビットのセキュリティレベルの場合、ECDSAを搭載したSHA-256は、supported_signature_algorithmsフィールドに表示する必要があります。192ビットのセキュリティレベルの場合、ECDSAを搭載したSHA-384は、supported_signature_algorithmsフィールドに表示する必要があります。
A Suite B compliant TLS version 1.2 or later client MUST use SHA-256 with ECDSA or SHA-384 with ECDSA for the signature in the CertificateVerify message. For the 128-bit security level, SHA-256 with ECDSA MUST be used. For the 192-bit security level, SHA-384 with ECDSA MUST be used.
Suite Bに準拠したTLSバージョン1.2以降のクライアントは、ECDSAを搭載したSHA-256またはECDSAを備えたSHA-384を使用して、certifateverifyメッセージの署名を使用する必要があります。128ビットのセキュリティレベルでは、ECDSAを搭載したSHA-256を使用する必要があります。192ビットのセキュリティレベルでは、ECDSAを搭載したSHA-384を使用する必要があります。
In the TLS_ECDHE_ECDSA-collection of cipher suites, the server sends its ephemeral ECDH public key and a specification of the corresponding curve in the ServerKeyExchange message. These parameters MUST be signed with ECDSA using the private key corresponding to the public key in the server's certificate.
Cipher SuitesのTLS_ECDHE_ECDSA-COLLECTIONでは、サーバーはEPEMELALAL ECDH公開キーと、ServerKeyExchangeメッセージの対応する曲線の仕様を送信します。これらのパラメーターは、サーバーの証明書の公開キーに対応する秘密鍵を使用して、ECDSAで署名する必要があります。
A TLS version 1.1 or earlier server MUST sign the ServerKeyExchange message using SHA-1 with ECDSA.
TLSバージョン1.1以前のサーバーは、ECDSAを使用してSHA-1を使用してServerKeyExchangeメッセージに署名する必要があります。
A Suite B compliant TLS version 1.2 or later server MUST sign the ServerKeyExchange message using either SHA-256 with ECDSA or SHA-384 with ECDSA. For the 128-bit security level, SHA-256 with ECDSA MUST be used. For the 192-bit security level, SHA-384 with ECDSA MUST be used.
Suite Bに準拠したTLSバージョン1.2以降のサーバーは、ECDSAのSHA-256またはECDSAでSHA-384を使用してServerKeyExchangeメッセージに署名する必要があります。128ビットのセキュリティレベルでは、ECDSAを搭載したSHA-256を使用する必要があります。192ビットのセキュリティレベルでは、ECDSAを搭載したSHA-384を使用する必要があります。
Most of the security considerations for this document are described in "The Transport Layer Security (TLS) Protocol Version 1.2" [RFC5246], "Elliptic Curve Cryptography (ECC) Cipher Suites for Transport Layer Security (TLS)" [RFC4492], "AES Galois Counter Mode (GCM) Cipher Suites for TLS" [RFC5288], and "TLS Elliptic Curve Cipher Suites with SHA-256/384 and AES Galois Counter Mode (GCM)" [RFC5289]. Readers should consult those documents.
このドキュメントのセキュリティに関する考慮事項のほとんどは、「トランスポートレイヤーセキュリティ（TLS）プロトコルバージョン1.2」[RFC5246]、 "楕円曲線暗号化（ECC）輸送層セキュリティ（TLS）の暗号スイート」[RFC4492]、" AES "TLS用ガロアカウンターモード（GCM）暗号スイート[RFC5288]、および「SHA-256/384およびAES Galoisカウンターモード（GCM）を備えたTLS楕円曲線暗号スイート」[RFC5289]。読者はこれらの文書を参照する必要があります。
In order to meet the goal of a consistent security level for the entire cipher suite, in Suite B mode TLS implementations MUST ONLY use the curves defined in Section 4.2. Otherwise, it is possible to have a set of symmetric algorithms with much weaker or stronger security properties than the asymmetric (ECC) algorithms.
スイートBモードのTLS実装では、暗号スイート全体の一貫したセキュリティレベルの目標を達成するには、セクション4.2で定義された曲線のみを使用する必要があります。それ以外の場合は、非対称（ECC）アルゴリズムよりもはるかに弱いまたは強いセキュリティプロパティを備えた一連の対称アルゴリズムを持つことができます。
Thanks to Pasi Eronen, Steve Hanna, and Paul Hoffman for their review, comments, and insightful suggestions.
Pasi Eronen、Steve Hanna、Paul Hoffmanのレビュー、コメント、洞察に満ちた提案に感謝します。
This work was supported by the US Department of Defense.
この作業は、米国国防総省によってサポートされていました。
[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFC2119] Bradner、S。、「要件レベルを示すためにRFCで使用するためのキーワード」、BCP 14、RFC 2119、1997年3月。
[RFC4492] Blake-Wilson, S., Bolyard, N., Gupta, V., Hawk, C., and B. Moeller, "Elliptic Curve Cryptography (ECC) Cipher Suites for Transport Layer Security (TLS)", RFC 4492, May 2006.
[RFC4492] Blake-Wilson、S.、Bolyard、N.、Gupta、V.、Hawk、C.、およびB. Moeller、 "Elliptic Curve Cryptography（ECC）Cipher Suites for Transport Layer Security（TLS）"、RFC 4492、2006年5月。
[RFC5246] Dierks, T. and E. Rescorla, "The Transport Layer Security (TLS) Protocol Version 1.2", RFC 5246, August 2008.
[RFC5246] Dierks、T。およびE. Rescorla、「The Transport Layer Security（TLS）Protocolバージョン1.2」、RFC 5246、2008年8月。
[RFC5289] Rescorla, E., "TLS Elliptic Curve Cipher Suites with SHA-256/384 and AES Galois Counter Mode (GCM)", RFC 5289, August 2008.
[RFC5289] Rescorla、E。、「SHA-256/384およびAES Galoisカウンターモード（GCM）を備えたTLS楕円曲線暗号」、RFC 5289、2008年8月。
[AES] National Institute of Standards and Technology, "Specification for the Advanced Encryption Standard (AES)", FIPS 197, November 2001.
[AES]国立標準技術研究所、「高度な暗号化標準（AES）の仕様」、FIPS 197、2001年11月。
[DSS] National Institute of Standards and Technology, "Digital Signature Standard", FIPS 186-2, January 2000.
[DSS]国立標準技術研究所、「デジタル署名標準」、2000年1月、FIPS 186-2。
[PWKE] National Institute of Standards and Technology, "Recommendation for Pair-Wise Key Establishment Schemes Using Discrete Logarithm Cryptography (Revised)", NIST Special Publication 800-56A, March 2007.
[PWKE]国立標準技術研究所、「個別の対数暗号化（改訂）を使用したペアワイズの主要設立スキームの推奨」、NIST Special Publication 800-56A、2007年3月。
[SHS] National Institute of Standards and Technology, "Secure Hash Standard", FIPS 180-2, August 2002.
[SHS]国立標準技術研究所、「Secure Hash Standard」、Fips 180-2、2002年8月。
[RFC2246] Dierks, T. and C. Allen, "The TLS Protocol Version 1.0", RFC 2246, January 1999.
[RFC2246] Dierks、T。およびC. Allen、「TLSプロトコルバージョン1.0」、RFC 2246、1999年1月。
[RFC4346] Dierks, T. and E. Rescorla, "The Transport Layer Security (TLS) Protocol Version 1.1", RFC 4346, April 2006.
[RFC4346] Dierks、T。およびE. Rescorla、「The Transport Layer Security（TLS）プロトコルバージョン1.1」、RFC 4346、2006年4月。
[RFC5288] Salowey, J., Choudhury, A., and D. McGrew, "AES Galois Counter Mode (GCM) Cipher Suites for TLS", RFC 5288, August 2008.
[RFC5288] Salowey、J.、Choudhury、A。、およびD. McGrew、「AES Galois Counter Mode（GCM）TLS for TLSの暗号スイート」、RFC 5288、2008年8月。
[NSA] National Security Agency, "Fact Sheet NSA Suite B Cryptography", <http://www.nsa.gov/ia/Industry/crypto_suite_b.cfm>.
[NSA]国家安全保障局、「ファクトシートNSAスイートB暗号化」、<http://www.nsa.gov/ia/industry/crypto_suite_b.cfm>。
Authors' Addresses
著者のアドレス
Margaret Salter National Security Agency 9800 Savage Rd. Fort Meade 20755-6709 USA
マーガレット・ソルター国家安全保障局9800 Savage Rd。フォートミード20755-6709 USA
EMail: msalter@restarea.ncsc.mil
Eric Rescorla Network Resonance 2064 Edgewood Drive Palo Alto 94303 USA
Eric Rescorla Network Resonance 2064 Edgewood Drive Palo Alto 94303 USA
EMail: ekr@rtfm.com
Russ Housley Vigil Security 918 Spring Knoll Drive Herndon 21070 USA
Russ Housley Vigil Security 918 Spring Knoll Drive Herndon 21070 USA
EMail: housley@vigilsec.com