ポスト量子標準への移行計画

暗号基盤の移行は短期的なプロジェクトではありません。大規模な組織がすべてのシステムを更新し終えるまでには、10～15年かかります。NISTは、RSA-2048を破る能力を持つ量子コンピューターが10～30年以内に実現する可能性があると見積もっています。harvest-now-decrypt-laterの脅威と長期にわたる移行期間を考慮すると、差し迫った量子脅威が遠いように見える場合でも、組織は今すぐ計画を始める必要があります。

暗号アジリティとは、アーキテクチャ全体を再設計せずに暗号アルゴリズムを置き換えられるよう、システムを設計することです。暗号アジリティの高いシステムでは、アルゴリズムの選択を設定に集約し、抽象化された鍵型を使用し、プロトコルロジックと特定の暗号実装を分離します。プロトコルロジックにRSAやECDHをハードコードしたシステムでは、暗号アジリティの高いシステムよりもはるかにコストの高い移行が必要になります。

移行の最初のステップは、システム内のすべての暗号プリミティブを一覧化することです。RSA、ECDH、ECDSA、対称アルゴリズムがどこで使われ、どのようなコンテキスト（TLS、コード署名、保存データの暗号化、認証トークン）で使用されているか、またデータの保持期間がどの程度かを確認します。NIST IR 8547とCISAのガイダンスでは、コードベースや設定からハードコードされた鍵やアルゴリズム識別子を見つけるために、自動検出ツールを使用することが推奨されています。

TLS 1.3は、IETFのdraft-ietf-tls-hybrid-designで規定されている、X25519とML-KEM-768を組み合わせたハイブリッド鍵交換をサポートしています。ハイブリッドNamedGroupであるX25519MLKEM768は、ClientHelloで従来型とPQCの両方の鍵共有を送信します。共有秘密は、両方の出力をハッシュ化したものです。新しいNamedGroupをサポートするサーバーではプロトコルを変更する必要がなく、対応していないクライアントとも後方互換性があります。

NIST IR 8413（2022年）は、耐量子暗号への移行に関するガイダンスを提供しています。システムを3つのゾーンに分類しており、直ちに対応が必要なもの（長期間有効な秘密で、harvest-now-decrypt-laterのリスクにさらされるもの）、中期的なもの（5～10年間機密性が必要なデータ）、低優先度のもの（一時的または短期間しか有効でないデータ）に分けています。NISTはPKIと証明書インフラストラクチャを優先することを推奨しています。ルート証明書を変更すると、信頼チェーン全体に影響するためです。

harvest-now-decrypt-later（HNDL）の脅威は、量子コンピューターがまだ存在していない段階でも、耐量子暗号化を直ちに導入すべき最も緊急性の高い理由です。攻撃者（国家主体）は、量子コンピューターが利用可能になった時点で復号することを見込んで、現在の暗号化通信を記録しています。長期的に機密性が必要なデータ（医療記録、国家機密、数十年にわたって価値を持つ金融データ）は、この攻撃によって直ちに危険にさらされます。

HNDLの脅威を踏まえると、耐量子移行で最優先すべきなのは、長期間の機密性要件があるデータを保護することです。TLSの一時鍵交換（ECDHE）は、直ちにハイブリッドX25519+ML-KEMへアップグレードする必要があります。長期間有効なRSA秘密鍵（証明書の署名や暗号化されたデータの保存に使用されるもの）は、耐量子方式で再暗号化する必要があります。ストリーミング動画の一時的なセッション鍵は長期的な価値がないため、優先度は低くなります。

PQCを導入する前に、組織は固有のワークロードに対するパフォーマンスへの影響をベンチマークする必要があります。ML-KEMは高速で、最新のハードウェアでは鍵生成とカプセル化にかかる時間が20マイクロ秒未満です。ただし、鍵と暗号文のサイズが大きくなるため（ML-KEM-768：1184 + 1088バイト、X25519：32 + 32バイト）、TLSハンドシェイクのサイズは増加します。毎秒数百万件の接続を処理するような高トラフィックのTLSサーバーでは、この帯域幅のオーバーヘッドを測定する必要があります。

Open Quantum Safe（OQS）プロジェクトは、NISTのすべての標準を含むPQCアルゴリズムを実装したオープンソースライブラリ、liboqsを提供しています。OQSは、PQCを追加したOpenSSLとBoringSSLのフォーク版や、test.openquantumsafe.orgにあるテストサーバーも提供しています。組織は、上流ライブラリが対応するのを待つことなく、liboqsを使って本番環境への導入前にPQC統合のプロトタイプ作成とテストを行えます。

米国の連邦機関と規制対象業界は、FIPS検証済みの暗号モジュールを使用する必要があります。NIST FIPS 203、204、205はすでに公開されていますが、検証済みの実装（CMVP証明書付き）が登場するまでにはさらに時間がかかります。NISTはPQC向けの迅速な検証プログラムを実施しています。規制環境にある組織は、CMVPの検証状況を追跡し、ハイブリッドな従来型暗号+PQCの導入期間には、FIPS検証済みの従来型アルゴリズムと検証済みのPQC実装を併用する計画を立てる必要があります。

PKIの移行は特に複雑です。ルート証明書と中間CAは、ML-DSAまたはハイブリッド鍵を使って再発行する必要があります。証明書チェーンは大きくなります（ML-DSA-65証明書は約4 KBで、RSA-2048は1 KBです）。ブラウザーのトラストストア、モバイルOSのトラストストア、組み込みデバイスのトラストストアは、すべて更新する必要があります。移行期間中の後方互換性を維持するため、一部の組織ではデュアルアルゴリズム証明書（ハイブリッドPKI）の導入を検討しています。

harvest-now-decrypt-laterの脅威を理由に、耐量子暗号への移行で最も優先度が高いデータはどれですか。

PQCへの移行には、暗号アジリティ、暗号プリミティブの完全な一覧化、そしてデータの保持期間に基づく優先順位付けが必要です。harvest-now-decrypt-laterの脅威により、長期間有効な秘密に対してハイブリッドTLS（X25519+ML-KEM-768）を直ちに導入することが急務となっています。ほとんどのワークロードでは、パフォーマンスのオーバーヘッドは許容範囲に収まります。liboqsを使えば、上流ライブラリが対応する前にテストを実施できます。FIPS準拠には、PQC実装のCMVP検証状況を追跡することが必要です。