PQCへの移行：ハイブリッド方式

古典暗号から耐量子暗号へ移行することは、暗号技術の歴史上最大の移行作業です。2048ビットRSAへのアップグレードやSHA-1の廃止よりも複雑で、プロトコル、ライブラリ、HSM、証明書、コードを同時に更新する必要があります。

ハイブリッドKEM = 古典KEM + PQC KEMです。共有秘密 = KDF(classical_secret || pqc_secret)となります。安全性を確保するには両方を破る必要があります。量子的な攻撃者はECDHを破れますがKyberは破れず、古典的な攻撃者はどちらも破れません。移行期間中の多層防御を実現します。

Google ChromeとCloudflareは2023年に、TLS 1.3でX25519Kyber768（ECDH X25519とKyber-768の組み合わせ）を導入しました。フレーミングはIETFのドラフトdraft-ietf-tls-hybrid-designで定義されています。両側は、既存のTLS ClientHello拡張で結合されたkey shareをネゴシエーションします。

X.509証明書では、現在RSAまたはECDSAの公開鍵が使用されています。移行手順は次のとおりです。(1) 2種類のアルゴリズム（古典方式とPQC）に対応する証明書を発行します。(2) 中間CAでPQC鍵を使用します。(3) ルートCAは最後に移行します。CA/Browser ForumはPQC証明書プロファイルを策定中です。

多くのHSMは、PQCアルゴリズムをサポートするようにファームウェアを更新できません。ハードウェアの更新サイクルは5～10年です。組織はHSMのファームウェアロードマップを監査し、ハードウェアの交換を計画し、移行期間中はレガシーHSM向けのソフトウェアベースPQCブリッジを検討する必要があります。

ステップ1は、暗号資産の棚卸しを実施することです。すべてのRSA/ECC鍵と証明書、すべてのDH鍵交換、すべてのプロトコルバージョンを特定します。使用するツールには、暗号スイートスキャナー、証明書インベントリーツール、暗号API呼び出しを検出する静的コード解析があります。すべての資産の有効期間を記録してください。

最も緊急性が高いのは、長期保存されるデータ（機密情報、医療記録）です。これは現在すでに「今収集し、後で復号する」攻撃の危険にさらされています。次は、プロトコル（TLS、SSH、VPN）における鍵交換です。ハイブリッドKEMを使って、まず移行します。最も緊急性が低いのは、短期間しか使われないデータ（セッショントークン）に対する署名です。

Pythonでは、ML-KEMにliboqsバックエンドを使用するpyca/cryptographyを使います。JavaではBouncyCastle PQC module、Rustではpqcrypto cratesを使います。次のように置き換えます: rsa.generate_private_key() → ML-KEM keygen; ecdh_key_agreement() → ML-KEM encap/decap。暗号アジリティ層を介して抽象化します。

暗号アジリティとは、コードを変更せずにアルゴリズムを交換できるようシステムを設計することです。アルゴリズム識別子フィールド、鍵タイプのレジストリ、プラuggableなバックエンドを使用します。シリアライズ形式にアルゴリズム名をハードコードすることは避けてください。これによりSHA-1からSHA-256への移行が可能になり、RSAからPQCへの移行も可能になります。

NIST PQCのリファレンス実装に含まれる既知解テストベクトルを使ってテストします。OQS-OpenSSLの相互運用性テストスイートに対して検証します。OpenSSLのoqs-providerを使って、ハイブリッドTLSをテストします。実装に関するガイダンスの更新については、NIST FIPS 203/204/205/206の正誤表ページを監視します。

NIST/NSAの推奨事項: (1) 今すぐ新しいRSA/ECCシステムの導入を停止します。(2) 2025～2026年までにTLSとVPNでハイブリッド鍵交換を導入します。(3) 2028～2030年までに証明書をPQCへ移行します。(4) CRQCのリスクが現実化する前の2035年までに、HSMを含む完全な移行を完了します。

量子コンピューターがまだ存在していない段階でも、現在RSA/ECDHを使って暗号化されているデータが危険にさらされるのはなぜですか。

PQCへの移行では、移行期間中にハイブリッドKEM（従来暗号 + PQC）を使用します。長期保存データと鍵交換を優先してください。暗号資産の棚卸しを行い、ハードウェアを更新し、暗号アジリティを徹底します。NISTは2035年までの完全な移行を推奨しています。次は、ブロックチェーンの暗号技術（MerkleツリーとPoW）です。