Googleクラウド、耐量子セキュリティの最初の主要マイルストーンを2027年に設定

Googleクラウドは、耐量子移行計画をいくつかの中間期限に分割しており、最初の主要リスク領域については2027年末までの完了を目標としています。

8月12日に公開されたロードマップでは、Google独自の量子脅威モデルから導き出された3つのリスク領域に作業が整理されています。

現在収集されたデータが将来の量子コンピューターによって復号されるおそれがある「先収集・後復号（SNDL: store-now-decrypt-later）」リスクの緩和については、2027年末が目標とされています。

デジタル署名の偽造耐性強化と、暗号アジリティ確保のための鍵管理体制の再構築については、いずれも2028年末までに完了する予定です。これは、GoogleがCloudflareおよびMicrosoftとともに設定した2029年という期限よりも前倒しとなっています。

すでに実装済みの対策

google.comや*.googleapis.comを含むGoogleクラウドのAPIエンドポイントでは現在、NISTで標準化されたML-KEMを用いたハイブリッド方式による量子耐性のある鍵交換を提供しています。

アプリケーションロードバランサーおよびプロキシロードバランサーは、TLS 1.3向けのハイブリッド鍵交換に対応しています。既存のアプリケーションに支障をきたさないよう、当初はオプトイン方式とし、顧客側で検証できるようにしています。

Cloud KMSはML-KEM、ML-DSA、SLH-DSAについて一般提供(GA)に達しており、Google内部のトラフィック保護プロトコルである量子機密ALTSについても2025年に対応が完了しています。

今後の予定としては、Cloud VPNおよびInterconnectが2026年から2027年にかけて、Private CAが2027年に、Cloud IAMと量子耐性のあるCloud HSMが2028年に対応する見込みです。

証明書については、さらなる制約が存在します。耐量子署名はサイズが大きく、証明書チェーンの検証性能に影響を及ぼす可能性があるため、Googleはこの問題に「Merkle Tree Certificates」という手法で対応しています。

証明書ライフサイクル管理ベンダーであるSectigoのシニアフェロー、Jason Soroko氏は、この手法によって複数の大きな署名が1つのコンパクトな包含証明(inclusion proof)に置き換えられ、オーバーヘッドを現行水準に近いレベルに抑えられると述べています。

また、この手法は透明性ロギングを後付けで追加するのではなく、発行プロセス自体に組み込む形になっているとも同氏は指摘しています。「ある証明書がツリーに含まれていなければ、その証明書は単純に存在しないものとして扱われます」と同氏は述べています。

Googleは、負担の一部は顧客側にもあると明確に述べています。クライアント側のソフトウェアを更新して耐量子ハンドシェイクに対応させ、自らの非対称鍵のライフサイクルを管理する必要があるとしています。

ハードウェアについては、一部の物理コンポーネントの移行完了時期が2029年以降にずれ込む可能性があるとしています。これは、移行が機器の自然な更新サイクルに一部依存しているためです。

同社は3月に、暗号解読に十分な性能を持つ量子コンピューターが早ければ2029年にも登場する可能性があると警告していました。