セキュリティ責任者に対し、ポスト量子暗号（PQC）への移行計画を本格的に進めるよう求める圧力が高まっています。しかし、大半の組織はPQCに向けた準備を始める準備すら整っていません。
調査によると、今日のCISOはPQCを計画すべき優先事項と捉えています。ところが、多くの組織は暗号資産の目録（インベントリ）が不十分で、どこから着手すべきかというロードマップを描けずにいます。
「ポスト量子暗号に関しては、どの企業に話を聞いても、いわば『発見フェーズ』で足踏みしています」と、スタートアップQubitACの創業者兼CTOであるAnurag Swarnim Yadav博士は語ります。
最近の数字も、この見方を裏付けています。DigiCertが7月に発表した調査によると、PQCの計画・テスト・導入を進めていると答えた組織は87%に上る一方、移行計画を策定した、またはインベントリを作成したと答えた組織は44%にとどまりました。これは、Ponemon Instituteの調査の結果とも重なります。同調査では、自組織の暗号資産の全体像を完全に把握できている組織は43%にすぎませんでした。回答者は、こうした資産を発見して可視性を高められないことを、PQC移行における最大の懸念事項に挙げています。
暗号技術は、Webサーバー、証明書、VPN、コード署名、ベンダー製品など、あらゆる資産に組み込まれています。すべての暗号の利用場面をポスト量子時代に対応させるのは大規模な移行となります。最新の研究では、量子コンピューティングの進展は、当初の想定よりもはるかに速いペースで進んでいると示唆されています。影響を受ける暗号をすべて洗い出せない企業は、この競走でスタートラインにすら立てていないことになります。
刻一刻と迫るPQCのタイムリミット
これらすべての資産をポスト量子対応にする作業は、2000年問題（Y2K）への対応に匹敵する世代単位の取り組みになります。ただしY2Kと違い、ポスト量子には動かせる期限が設定されていません。
期限に最も近いのが「Qデー」です。これは、暗号解読に実用的な量子コンピューター（CRQC）が、鍵交換やデジタル署名を支える公開鍵暗号を破れるようになる時点を指します。危機感を広く浸透させるうえでの大きな問題は、Qデーがいつ到来するのか誰にも正確には分からないことです。
Yadav氏によると、Qデーの到来時期の予測は2030年から2040年、あるいはそれ以降まで幅があります。ただし同氏自身は、研究の動向から見て、攻撃者が2029年までに実現しうると予想しています。量子研究者が技術を磨くにつれて、Qデーまでの想定期間は縮まり続けています。昨年、Googleの研究者らは、2048ビットRSA暗号の解読に必要な量子コンピューターの規模が、2019年の自社推定の20分の1で済むと試算しました。さらに3月には、こうした研究や量子ハードウェアの最近の進展を受け、Google自身のPQC移行の目標を2029年に設定しました。
各国政府も、Qデーに先立つPQC移行の時期について、明確な期待を示し始めています。NIST（米国国立標準技術研究所）は10月下旬にPQC移行ロードマップを最終決定しました。また、6月の大統領令は、連邦政府の重要資産と影響度の高いシステムに対し、2030年までに鍵確立を、2031年までにデジタル署名をポスト量子アルゴリズムへ移行するよう求めています。英国の国家サイバーセキュリティセンター（NCSC）は、大規模組織に対し、2028年までに発見と評価を終えて初期の移行計画を策定し、2035年までに移行を完了するよう推奨しています。
Qデーがいつ訪れるか正確には分からなくても、その後に起こることの数学的な仕組みはよく理解されています。公開鍵暗号を使えば、面識のない2者が秘密を共有し、互いの身元を証明できます。これが成り立つのは、順方向には容易に計算できても、逆方向には現実的な時間で計算できない数学的問題があるためです。RSAは巨大な数の素因数分解の困難さに、楕円曲線暗号とDiffie-Hellman鍵交換は離散対数問題と呼ばれる関連した問題に依存しています。
量子コンピューターは、トランジスタの代わりに素粒子を使ってデータを表現します。これにより、計算における0と1の処理方法で優位性を持ちます。暗号の専門家は以前から、十分に高度な量子コンピューターがこの優位性を利用すれば、最先端の従来型スーパーコンピューターでも不可能な効率で、巨大な数の素因数分解や離散対数の解読ができるようになると警告してきました。
今は無価値でも、将来は貴重なデータに
もう一つ、より差し迫った期限もあります。攻撃者が今まさにQデーに備えて行っているとみられる活動が原因です。攻撃者にとって、価値の高い暗号化通信を今のうちに大量に収集しておき、後日解読できる機会に賭けることは、ごく容易です。金融情報や健康情報、企業の中核となる知的財産のように長期間価値を保つ情報の場合、この「今収集し、後で解読する」（harvest now, decrypt later：HNDL）という長期戦略は、先を見据える犯罪者にとって手間をかける価値があります。
「このデータは、攻撃者にとって今は無価値ですが、後に非常に貴重なものになります」とYadav氏は説明します。典型例がクレジットカード番号です。数年間は有効なままなので、今収集した暗号化済みの番号も、その期間内にQデーが訪れれば使える可能性があります。
NIST（米国国立標準技術研究所）は最近最終決定したロードマップで、移行が急務である主な理由の一つとしてHNDLを挙げました。NISTの数学者で暗号の専門家であるAndrew Regenscheid氏は、HNDLによって、産業界や政府系システムにおける重要な情報保管庫のPQC移行スケジュールの前提が一変すると述べています。
「こうした情報は、今後何年、場合によっては何十年も秘匿し続ける必要があるかもしれません」と、同氏は今夏のNISTのQ&Aで説明しました。「そのような情報にとって、暗号解読に実用的な量子コンピューターが登場するまで待つのでは遅すぎます」
PQCへの円滑な移行にはロードマップが不可欠
最も範囲の限られた暗号移行でさえ10年以上かかることがあります。そう考えると、Qデーを2040年とする保守的な見積もりでも、セキュリティ専門家がPQC移行の計画づくりに急ぐには十分です。必要な変更の規模は大きく、段階的に進める計画と優先順位付けに相当な労力が求められます。
「アルゴリズムの変更は、これまでにも行われてきました。ただし、何年もかかる複雑なプロセスです」とRegenscheid氏は述べます。「これまでの経験とポスト量子の世界を進む難しさを踏まえると、今回は過去最大の難題になると考えています。対象システムの広さと変更の複雑さは、これまでの取り組みをはるかに上回るでしょう」
少なくとも、到達点は定まっています。NISTは2024年に、鍵交換用の1つ（ML-KEM）とデジタル署名用の2つ（ML-DSAとSLH-DSA）の、計3つのポスト量子標準を最終決定しました。いずれも量子コンピューターに耐えると見込まれる数学に基づいています。より困難なのは、RSAや楕円曲線暗号がまだ稼働しているすべての場所を見つけ出し、各用途をいつ、どのように置き換えるかを計画することです。HNDLがあるため、NISTは、特に機微なデータや長期間安全に保つ必要のあるデータを軸に、移行の初期段階の優先順位を決めるよう提案しています。
Frost & Sullivanのアナリストは、PQC対応状況に関する9月の調査で、PQCへの備えにはこうしたリスクベースの優先順位付けが重要になると強調しました。
「価値の低いアプリケーションを支える非準拠の暗号資産は、目先のリスクが限定的かもしれません。しかし同じ技術が機微な情報や重要な業務プロセスを支えているなら、緊急の是正が必要になる可能性があります」と、同アナリストらは記しています。
ただし、すべての資産を仕分けして順位付けするには、確かなインベントリが手元にあることが前提です。だからこそ、発見（ディスカバリー）が極めて重要になります。Frost & Sullivanも、発見のプロセスが多くの人の想定より難しいことが明らかになっているという見方で一致しています。
「インベントリは、単にアルゴリズムを特定するだけでなく、暗号資産と業務上重要なアプリケーションとの依存関係を把握するところまで広げる必要があります」と、同アナリストらは説明しています。
発見に向けた無料の第一歩
商用・オープンソースを問わず、組織のPQC移行を支援するツールはすでに存在します。ツールごとにアプローチが異なり、成熟度もまちまちです。その一つがAC Scannerで、Yadav氏とQubitACの共同創業者Joseph Wilson氏が昨年8月のBlack Hat Arsenalでデモを行いました。この無料のオープンソースツールは、インベントリ作成の着手を目的に作られているとYadav氏は説明します。コマンドラインから実行できる軽量で高速なツールで、外部に公開されたTLSおよびSSHサービスをスキャンし、対象のIP範囲のインベントリを作成します。
「ドメイン名だけを用意すれば、最終的に完全な暗号部品表（CBOM）が得られます」とYadav氏は話します。CBOMは、使用中のアルゴリズム、鍵、証明書、プロトコルの一覧です。スキャナーはこれに2つのスコアを組み合わせます。1つは全体的なセキュリティの健全性、もう1つはNISTのポスト量子標準に基づくポスト量子対応度です。
このツールは、HNDLに対する露出を外部から確認する手段にもなります。暗号化されたセッションはすべて、双方が秘密を共有する鍵交換から始まります。公開エンドポイントが従来型の鍵交換を使い続けていれば、攻撃者が今日記録した通信は、将来量子コンピューターで解読されかねません。ポスト量子の数学を加えたハイブリッド方式の鍵交換なら、クライアント側も対応している限り、その通信を保護できます。スキャナーは、各エンドポイントがどちらの方式を提供しているかを報告します。
従来型のエンドポイントは、HNDLに最もさらされています。Yadav氏は、AC Scannerが、HNDLを考慮した移行計画を立てるための出発点になると見ています。
もちろん、セキュリティの専門家なら、スキャンはあくまで情報のスナップショットにすぎないとすぐに指摘するでしょう。本当に重要なのは、その情報を手にした後に何をするかです。スキャンツールは発見の糸口にはなりますが、組織は見つかった内容を踏まえて移行計画を立て、実行に移さなければなりません。NISTのRegenscheid氏は、組織がこうした計画に早く着手するほど望ましいと述べています。
「移行にかかる時間の長さを考えれば、今からポスト量子の製品やサービスへの計画と移行を始める組織が、後になって大きく優位に立つでしょう」と同氏は語り、これは多くのプロセスを刷新する好機でもあると述べます。「多くのステップは順番に進めなければならず、だからこそ早期の着手が欠かせません」
