量子コンピューティングの脅威が迫る中、ハードウェアメーカーが耐量子暗号を実装

量子コンピュータが現行の暗号を破る脅威が高まる中、チップメーカーは耐量子暗号(PQC)のアクセラレーション機能をハードウェアに組み込み始めています。

この技術が一般市場に普及するまでにはまだ何年もかかる見込みですが、防御側は「ハーベスト・ナウ、デクリプト・レイター」(いま収集し、後で復号する)攻撃を懸念しています。量子コンピューティングがより広く利用可能になるまでデータを蓄積し、その後悪用するという攻撃手法です。セキュリティ専門家や規制当局は、組織に対して今すぐ将来を見据えた対策を始めるよう促しており、一部の主要企業はすでに行動を起こしています。

「ハーベスト・ナウ、デクリプト・レイター型の攻撃に足をすくわれたくないなら、時間的猶予は3年後ではなく、今なのです」と、Intelでプロダクトアシュアランス・セキュリティ担当バイスプレジデント兼ゼネラルマネージャーを務めるAnand Pashupathy氏は4月のGoogle Cloud Nextカンファレンスで語りました。

Pashupathy氏によれば、Intelは量子コンピュータによる攻撃から保護するため、Xeon 6サーバー用ハードウェアチップで「PQC対応サポート」の提供を開始しているとのことです。

Intelは、すべてのチップをPQC準拠に移行するには数年単位の道のりになると見込んでいます。新しいアルゴリズムは、量子・非量子いずれのウェブトラフィックにも対応できるよう、Advanced Encryption Standard(AES)などの既存の暗号方式と共存する形になります。IntelはハンドシェイクをPQCとハードウェアアクセラレーションで保護することで、標準的なAESのインターネットトラフィックを堅牢化したい考えです。

「世代を重ねるごとに対応範囲を拡大しており、2029年までには準備が整う見込みです」とPashupathy氏は述べています。

同様に、Nvidiaも機密コンピューティングを支えるセキュリティ層に耐量子標準を統合していると、同社でソフトウェアセキュリティ担当バイスプレジデントを務めるDaniel Rohrer氏は同カンファレンスで述べました。機密コンピューティングとは、データを安全にやり取りするために信頼と証明(アテステーション)を確立する仕組みです。

「(耐量子標準には)いくつかの種類があり、承認された今、私たちはそれをハードウェアやその他の機能に着実に実装しているところです」とRohrer氏は述べています。

チップのアップグレードは始まりにすぎない

米連邦政府の国立標準技術研究所(NIST)は2024年に耐量子暗号アルゴリズムを標準化しました。これはデジタル署名を保護し、パブリックネットワーク上で転送されるデータを暗号化することを目的としたものです。

PQCは非対称暗号であり、公開鍵と秘密鍵の組み合わせを必要とするため、構造的に量子コンピューティング攻撃への耐性を持つよう設計されています。一方、他の非対称暗号技術であるRSAやECCは、量子攻撃に対して脆弱だと考えられています。

対称暗号技術であるAES-256は、インターネットトラフィックのような大量のデータを暗号化する際に単一の共有鍵を使用します。GCP Confidential Computing and Encryptionのプロダクトマネジメント担当ディレクター、Nelly Porter氏によれば、AES-256は量子耐性を備えているとのことです。

ハードウェアベースの暗号化はソフトウェア方式よりも高速ですが、ハードウェアメーカーが製品にその技術を実装するには通常数年を要します。例えば、NISTはAESを2001年に発表し、2002年に発効しましたが、AMDやIntelのチップに搭載されたのは2010年になってからでした。

IBMは、2022年にリリースされたz16メインフレームで、耐量子暗号アクセラレーターをハードウェアに実装した最初の企業となりました。同社はその後もファームウェアを更新し、NISTのPQC標準に準拠する状態を維持しています。

Porter氏はGoogle Cloud Nextカンファレンスで、企業は量子攻撃からシステムを守るための対策を、後回しにせず今すぐ検討し始める必要があると述べました。

「保護されておらず量子耐性のない機密性の高いビット・バイトはすべて、回線上で送信された時点で今のうちに保存され、そうしたコンピュータが実用化された時点で復号されてしまう可能性があります」とPorter氏は述べています。

チップにPQCを組み込むのはあくまで第一歩であり、企業は量子攻撃から身を守るためにハードウェア全体の評価を実施すべきだと、J. Gold Associatesの主席アナリストJack Gold氏は指摘します。

「暗号化機能が組み込まれたインフラの多くはアップグレードが困難な場合があり、例えば古いネットワーク機器などではアップグレード自体が不可能なケースもあるため、そうした場合には機器そのものを置き換える必要が出てきます」とGold氏は述べています。

Pashupathy氏は、AES-256はすでにIntelのハードウェアでアクセラレーションされており、ハーベスト・ナウ、デクリプト・レイター型の攻撃を防ぐために活用すべきだと述べています。

「今後も非対称暗号のアクセラレーションを提供し続けるとともに、将来世代のプラットフォームではPQCアルゴリズムのアクセラレーションについても対応範囲を拡大していきます」とPashupathy氏は述べています。