DHグループとは何ですか？

DHグループ（ディフィー・ヘルマン群）とは、2つのIKEまたはIPsecピアが、ネットワークを介して共有秘密鍵を送信することなく、それを導出するために使用する、番号が付けられたパラメータの集合（素数モジュラスまたは楕円曲線）のことです。MODPファミリー内では、グループ番号が大きいほどモジュラスも大きくなり、より強固な鍵が生成されますが、グループ番号は識別子であり、ファミリー間の強度の順位を示すものではありません。Versa では、グループ14以上を使用することを推奨しています。

主なポイント

• DHグループは、鍵交換のためのモジュラスまたは曲線の強度を設定します。
• グループ番号は強さの順位を示すものではありません。ECPグループ25・26は、グループ14よりも弱いグループです。
• IKEとIPsecは、それぞれ独自のDHグループをネゴシエートします。これらは異なる場合があります。
• グループ19～21および25～26では、モジュラスのかわりに楕円曲線が使用されています。
• Versa 新しいIKEおよびIPsecトンネルについては、DHグループ14以上を使用することを推奨します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ DHグループとVersa · よくある質問

DHグループはなぜ重要なのでしょうか？

すべてのIKEおよびIPsecトンネルは、ディフィー・ヘルマン交換から始まります。2つのピアは、それぞれの秘密値を公開数学と組み合わせて、鍵そのものをネットワーク上で送信することなく、同一の共有鍵を導出します。DHグループは、使用する数学的手法（素数のモジュラスサイズか楕円曲線か）を選択し、その選択によって、攻撃者が総当たり攻撃や事前計算によって鍵を復元するのにどれほどの労力を要するかが直接決まります。

脆弱なグループは、実際のセキュリティリスクを生み出します。かつては一般的な IKE のデフォルト設定だったグループ 1（768 ビット）とグループ 2（1024 ビット）は、現在では小さすぎると見なされています。これらは、十分なリソースを持つ攻撃者には突破可能であり、現代のコンプライアンス基準を下回っているからです。IKE と IPsec のパーフェクト・フォワード・シークレシーは、それぞれのグループを個別にネゴシエートするため、管理者が意図的に両方を設定しない限り、トンネルは一方のフェーズでは強固であっても、もう一方のフェーズでは脆弱になってしまう可能性があります。

DHグループとは何ですか？

DHグループとは、IKE内で使用されるディフィー・ヘルマン鍵交換のために標準化された、固定されたパラメータの組み合わせの一つです。各グループは、所定のビット長の素数モジュラス（MODPグループ）または所定のビット長の楕円曲線（ECPグループ）のいずれかを指定します。両ピアは、それぞれの独立した計算の結果が同じ共有秘密鍵となるよう、同じグループを選択する必要があります。

MODPファミリーでは、グループIDが大きいほどモジュラスも大きくなり、768ビットから4096ビットまであります。ECPファミリーは192ビットから521ビットまでをカバーしていますが、その番号付けは「数字が大きいほど強度が高い」という直感に反しています。 グループ19/20/21（256/384/521ビット）は、現代において強力な選択肢ですが、古いグループ25（192ビット）および26（224ビット）は、番号は大きいにもかかわらず、グループ14の約112ビットのセキュリティレベルと同等か、それ以下にとどまっています。 グループは、暗号化アルゴリズムやハッシュアルゴリズムなどと共に、IKE や IPsec トランスフォームを構成するいくつかのネゴシエーションパラメータの 1 つです。セキュリティアソシエーションを確立するには、ピア間でこれらすべてについて合意する必要があります。グループの不一致は、ネゴシエーション失敗の一般的な原因となります。

DHグループの種類

ディフィー・ヘルマン群は、数学的に2つのグループに分類されます。MODP群（グループ1、2、5、14、15、16）は、素数のモジュラスサイズによって強度が決まり、768ビットのグループ1から4096ビットのグループ16まであります。モジュラスが大きくなるほど、CPU負荷が高くなります。 一方、ECPグループ（グループ19、20、21、25、26）は楕円曲線暗号を採用しており、はるかに小さな鍵サイズで同等の強度に達します。つまり、256ビットのグループ19は、3072ビットのMODPグループ15と同等の約128ビットのセキュリティレベルを実現しつつ、計算コストはごくわずかです。 例外に注意してください。グループ25（192ビット）および26（224ビット）は、より古く、曲線の長さが短く、強度はおよそ96ビットおよび112ビット程度です。これらはグループ14の基準値以下であるため、「グループ14以上」には含まれません。

「No PFS」という特別なケースでは、IPsecのパーフェクト・フォワード・シークレシー（PFS）のための追加のディフィー・ヘルマン鍵交換が完全に無効化され、新しいセッション鍵を導出する代わりにIKEのセッション鍵素材が再利用されます。これにより処理速度は向上しますが、長期鍵が漏洩した場合でも過去のトラフィックが解読されないという保証は失われます。現在のガイダンスの多くは、グループ14を実用上の最低基準としており、楕円曲線またはそれ以上のMODPグループは、より高い保証レベルが求められる導入環境に限定されています。

DHグループ＆Versa

Versa Director では、DH グループはIPsec VPN プロファイルごとに設定されます。「IKE」タブの「Transform & DH Group」セクションでは、管理者はハッシュおよび暗号化アルゴリズムとともに、グループ 1 からグループ 26（MODP または楕円曲線）の中から 1 つ以上のグループを選択でき、デフォルトはグループ 2 です。「IPsec」タブには独自の「Perfect Forward Secrecy Group」フィールドがあり、ここにも同じグループ1～26のリストが表示されます。明示的に変更されない限り、デフォルトは「No PFS」に設定されています。

Versa のSecure Access Serviceおよびその Secure SD-WAN バリエーションを設定する際にも、同様のパターンが見られます。すなわち、「IKE/IPsec」タブには、SASE クライアントトンネルのIKEフェーズとIPsecフェーズそれぞれに対して、個別のPFSグループセレクタが表示されます。IKEとIPsecはこれらのプロファイル間でグループを独立してネゴシエートするため、Versaの公式ガイダンスでは、どちらのタブでも従来のデフォルト設定のままにせず、一貫してグループ14以上を選択するよう推奨しています。

よくある質問

MODPとECPディフィー・ヘルマン群の違いは何ですか？

MODPグループ（1、2、5、14、15、16）の強度はその素数モジュラスサイズ（768ビットから4096ビット）に基づいています。 ECPグループは楕円曲線を使用しており、同等の強度において計算速度が速いという特徴があります。グループ19/20/21（256/384/521ビット）が現代的な選択肢である一方、グループ25（192ビット）および26（224ビット）はグループ14の基準を下回っているため、数字が大きいという理由だけで選択すべきではありません。

Versa はどのDHグループを推奨していますか？

Versa 新しいIKEおよびIPsecトンネルには、DHグループ14（2048ビットのモジュラス）以上を使用することを推奨します。グループ14は、高いセキュリティと妥当なCPU負荷のバランスが取れています。また、19～21などの楕円曲線グループは、対応するピアデバイスがあれば、計算負荷を抑えつつさらに強力な鍵を提供します。

なぜIKEとIPsecには、それぞれ独自のDHグループ設定があるのでしょうか？

IKEは、初期の鍵交換ハンドシェイクを保護するためにDHグループをネゴシエートしますが、IPsecのパーフェクト・フォワード・シークレシー（PFS）グループは、その後導出されるデータプレーンのセッション鍵を保護します。これらを個別に設定することで、管理者はIKE制御チャネル全体を再ネゴシエートすることなくPFSを強化できますが、ベストプラクティスとしては、両方を強固に保つことが推奨されます。

2つのIKEピアが異なるDHグループを設定した場合、どうなるのでしょうか？

ネゴシエーションが失敗するか、複数のトランスフォームが設定されている場合は、双方がサポートするグループにフォールバックします。各側でトランスフォームが1つずつしか設定されていない場合の不一致は、トンネルが確立されない一般的な原因であり、IKEログには「プロポーザルの不一致」として記録されます。

「No PFS」とは何ですか？また、どのような場合に許容されるのでしょうか？

PFSの中には、IPsecの鍵更新に伴う追加のディフィー・ヘルマン交換を省略し、代わりにIKEから導出された鍵素材を再利用するものが存在します。これによりCPUのオーバーヘッドは軽減されますが、侵害された長期鍵によって過去のセッションが復号されないという保証が失われるため、パフォーマンスが極めて重要であり、かつそのリスクを明示的に許容できる場合にのみ許容されます。

DHグループに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

DHグループについて調べているなら、次はこれらをチェックしてみる価値があります。