「今すぐ収集・後で復号」攻撃に先手を打つ:耐量子暗号への移行計画

私はこれまで数多くの役員会議室で量子コンピュータに関する議論に立ち会ってきましたが、あるパターンに気づきました。誰かがこの話題を持ち出すと、別の誰かが「それは10年先の話だ」と言い、結局その議題は来年度の予算編成まで棚上げされてしまうのです。しかし、本当に重要な時計は「量子コンピュータがいつ登場するか」を計るものではありません。その時計は、貴社が機密データを攻撃者に傍受・保存され得る通信路で初めて送信した瞬間から、すでに動き始めているのです。

国家主体や潤沢な資金を持つ犯罪グループが貴社を脅かすのに、今この瞬間に稼働する量子コンピュータは必要ありません。必要なのはストレージ容量と貴社の暗号文であり、そのどちらもすでに手中にある可能性が高いのです。彼らはそのデータを何年も保持しておき、暗号解読に十分な性能を持つ量子コンピュータが登場した日に、遡って復号することができます。数か月だけ機密性を保てばよいデータであれば、このモデルの下でもリスクは限定的です。しかし、診療記録やソースコードリポジトリ、10年単位で守るべき企業秘密、あるいは機密性の高い政府関連資料となれば話は別です。多くの組織にとって、この事態はすでに現実のものとなりつつあります。

Ashish Mishra

期限がなぜ前倒しになり続けるのか

NIST IR 8547として公表されたNISTの移行計画には、計画立案の拠り所となる具体的な日程が示されています。RSA-2048とECC P-256は2030年までに非推奨となり、2035年にはNIST標準から完全に姿を消します。このタイムラインはもはや理論上の話ではありません。NISTはここに至るまで8年を費やし、2024年8月にはついに3つのFIPS標準を確定・公開しました。ML-KEMは鍵カプセル化を担い、ML-DSAとSLH-DSAはデジタル署名をカバーしています。両者は異なる数学的アプローチを採用しており、単一の方式に全てを賭けずに済むようになっています。4番目の標準であるFN-DSA(FALCONアルゴリズムをベースとし、FIPS 206として指定)は、今年後半の公開が予定されています。

国家安全保障や防衛関連の分野で活動する組織は、さらに厳しいタイムラインの下で対応を迫られています。NSAは、2027年以降の新規調達において国家安全保障システムに耐量子暗号を採用することを義務付けています。英国も同様の枠組みで独自のペースを設定しており、NCSCのガイダンスは移行を3段階に分けています。2028年までに暗号サービスを洗い出して移行計画を策定する段階、2028年から2031年にかけて優先度の高いアップグレードを実施する段階、そして2031年から2035年の間に全システム・サービス・製品にわたる移行を完了させる段階です。

これらはもはや「将来の計画」というカテゴリーに収まる話ではありません。2030年という非推奨期限は、自社が暗号を利用している全システムに手を入れるのにかかる時間と照らし合わせてみると、決して遠い先の話ではないことがわかります。私自身、正確なインベントリを作成するだけで1年以上を要した暗号資産の棚卸しプロジェクトを手がけたことがあります。しかもその依頼主は、当初は自社環境を十分に把握していると考えていた企業でした。

タイムラインは見出しではなく数式で決める

モスカの定理は、たとえ数式そのものを目にしたことがなくても知っておく価値があります。この定理は3つの数値を天秤にかけます。移行にかかる時間(X)、データを機密に保つ必要がある期間(Y)、そして暗号解読に十分な性能を持つ量子コンピュータが登場するまでの見込み期間(Z)です。XとYの合計がZを上回った時点で、その事実にまだ気づいていなかったとしても、貴社はすでにリスクにさらされていることになります。

この比較は、業界平均ではなく自社のデータに当てはめて検証すべきです。保持期間が2年の小売取引ログと、30年間の機密保持が求められるゲノムデータやM&A関連文書、インフラ設計仕様書とでは、リスクプロファイルがまったく異なります。多くの組織にとって、この機密保持期間は2030年代以降まで及びます。医療記録や金融データ、機密情報は50年以上の保護が必要になる場合もあります。貴社のデータがこれに該当するなら、「量子コンピュータの実用化は10年先」という認識は、もはや様子見の理由にはならず、むしろすでに出遅れている証拠だと言えるでしょう。

移行に必要なこと

私が最もよく目にする誤りは、これを通常のパッチ適用サイクルと同列に扱ってしまうことです。アルゴリズムを入れ替え、アップデートを配布して終わり、という発想です。しかしこの捉え方では、関わる作業の規模を見誤ります。耐量子暗号への移行とは、あらゆるプロトコル、あらゆるデバイス、そしてサプライチェーン全体のあらゆる製品に存在する全ての暗号アルゴリズムを特定し、それぞれ独自のタイムラインで同じ移行を進めている他の全関係者との相互運用性を損なうことなく、一つひとつ置き換えていく作業なのです。

まずは発見(ディスカバリー)から始めるべきです。これはどの顧客も過小評価しがちな工程です。RSAやECCをはじめとする量子に脆弱なアルゴリズムがどこで稼働しているのか、TLS設定、コード署名プロセス、VPNトンネル、組み込みファームウェア、そして自社で開発しておらず完全には制御できないサードパーティ製ライブラリに至るまで、実態を反映したインベントリが必要です。私がこれまで携わったほぼ全てのディスカバリープロジェクトで、顧客自身が存在すら忘れていた暗号資産が発見されました。

そこから先の設計目標は、一度きりの修正ではなく「暗号アジリティ(crypto-agility)」の実現です。一度移行を終え、次の移行はもっとスムーズに進むだろうと期待するだけでは戦略とは呼べません。なぜなら、次の移行は必ずやって来るからです。アルゴリズムの入れ替えに周辺インフラの再構築を必要としないシステムを構築するには、特定のアルゴリズムをハードコードしないインターフェースの背後に暗号操作を抽象化し、移行の重複期間中は従来型アルゴリズムと耐量子アルゴリズムを並行して運用できる鍵管理基盤を整える必要があります。

優先順位付けは、利便性や実装の容易さではなく、データの機密性と露出期間を基準に決めるべきです。機密保持期間の長いデータを抱えるシステムを最優先で移行する必要があります。また、「今すぐ収集・後で復号」攻撃の標的となり得るトラフィックを扱う、外部公開型のTLSエンドポイントも早期に対応すべき対象です。こうしたトラフィックこそ、すでに何者かのストレージに保存されている可能性が最も高いからです。

ベンダーとの連携は、移行プロジェクトが数か月単位で停滞するのを何度も目にしてきたポイントです。自社の準備状況は、自社のシステムが依存する全ベンダーの暗号対応の準備状況によって左右されます。今のうちにベンダーへPQC(耐量子暗号)対応ロードマップを問い合わせておくことに、何のコストもかかりません。一方、移行の途中で自社では制御できない依存関係に突き当たってから慌てて対応すれば、予算に計上していなかった四半期分の遅延というコストを払うことになります。

Ashish Mishra

今四半期に着手すべきこと

この第一歩を踏み出すのに、取締役会の承認は必要ありません。CISA、NSA、NISTは共同で6段階の移行プレイブックを公表しており、その最初のステップである暗号資産のディスカバリーは、ベンダーや委員会の決定を待つことなく、自社の予算とスケジュールだけで今すぐ着手できるものです。

私の経験から言えば、2030年に苦境に立たされるのは、最も複雑な環境を運用している組織ではありません。標準がすでに確定し、ガイダンスもすでに公開されていたにもかかわらず、2026年を他の誰かが先に動くのを待って過ごしてしまった組織こそが、取り残されることになるでしょう。