量子コンピュータによる暗号化の危機はすでに始まっている（ので、今から気をつけようね！）

Electronic Frontier Foundation

Googleが暗号分野における量子コンピュータへの備えの想定期限を2029年に前倒しした――つまり、ほんの33ヶ月後である。これは従来の期限より早い、新たなポスト量子移行期限が提案された背景には、技術水準を大きく押し上げる2本の新しい論文がある。スケジュールの前倒しではあるのだが、まったくの予想外というわけでもない。暗号学者やエンジニアは何年も前からこの問題に取り組んでおり、期限が近づくにつれて、より精密なタイムライン予測が出てくるのは自然な流れだ。

Y2K問題と比較して、完全に相似というわけではない。Y2Kと同様に、システムの更新が間に合わなければ、十分な性能を持つ量子コンピュータを手にした者はネットワークトラフィックを観察するだけで、コンピュータの中核システムにマルウェアを容易に仕込み、認証を偽造してなりすませるようになる。今回期限が前倒しされたのは、まさにこうした脅威への対策である。

しかしY2Kと異なるのは、今のうちに第2の攻撃に備えておかなければならないという点である。暗号化メッセージプラットフォームが量子耐性暗号に移行する以前にやり取りされたメッセージを傍受し、それを何年分も保存しておけば、いずれ誕生する量子コンピュータによって復号できてしまう。この種の攻撃こそがこれまでの技術的取り組みの主な焦点である。アップグレード以前の通信がいずれ危殆化する可能性があったことはわかっているため、その対策は着実に進められている。

幸いなことに、すべての暗号が量子コンピュータによって破られるわけではない。特筆すべきは、共通鍵暗号は量子耐性を持つということだ。つまり、ディスク暗号化を有効にしていれば、鍵の長さが十分である限り、量子コンピュータにスマートフォンの中身を破られる心配はない。問題は、その暗号化に使う鍵をどうやって取得するか、そしてデバイス上やクラウド上のソフトウェアをどうやって認証するかという点にある。

エンジニアへ――今こそ本腰を入れよう

暗号のデプロイに何らかの形で関わっているなら、すでにポスト量子移行に着手していることを願いたい。まだであれば、今すぐ始めるべきだ。今回のニュースがあなたにとって何を意味するのか、詳しい情報を提供する関連記事やアップデートが数多く出ている。鍵共有システムは、「今キャプチャして後に復号する［store-now-decrypt-later］」攻撃のおそれがあるため、まだアップグレードしていなければ早急に対応すべきだ。そして今度は、偽造署名による認証攻撃への備えも進めるべき段階に来ている。

場合によっては、他者の作業が完了するのを待つ必要があるかもしれない。たとえばUbuntu上でNGINXを使ってウェブサイトをホスティングしている場合、鍵共有のアップグレードに必要なセキュリティ設定はバージョン26.04でようやくリリースされたばかりだ。アップデートは順次展開されているので、こまめに確認し、可能になり次第すぐにシステムをアップグレードしてほしい。

ユーザへ――アップデートを怠らず、チャットの安全性を確認しよう

ソフトウェアやハードウェアを更新する立場にない人でも、可能な限り自分を守るためにできることがある。ポスト量子保護が利用可能になったらすぐに入手したいところなので、ソフトウェアをこまめにアップデートする習慣がないなら、今こそそれを習慣化しよう。

利用しているウェブサイトや暗号化メッセンジャーアプリが、今トラフィックを蓄積している何者かに数年後データを漏洩してしまわないか知りたいなら、そのサービス名と「quantum」で検索してみるといい。エンジニアたちは自分の仕事を誇りに思っているもので、SignalやiMessageのように、ポスト量子対応をすでに発表しているサービスも多い。もしその情報が見つからなければ、インターネットでのやり取りの内容にいっそう注意を払うか、ツール自体の乗り換えることを検討すべきだろう。量子コンピュータが実際に登場する前の今こそ最も懸念すべき点がここにある。過去のメッセージが大量に流出する事態につながりかねないからだ。

新たな期限の前倒しにより、一部の技術は間に合わず置き去りにされることが避けられない。その一つがトラステッド実行環境（TEE：trusted execution environments ）で、ハードウェアの展開には時間がかかるためだ。TEEは、企業がクラウド上でユーザデータをプライベートに処理するための仕組みであり、特にAI関連のサービスで重要な役割を果たしている。

現時点でも、データを平文のまま処理するよりはTEEのほうが保護は手厚いものの、準同型暗号［homomorphic encryption ］やデバイス上での処理と比べるとセキュリティは劣るのが実情だ。ポスト量子時代には、TEEのセキュリティレベルは平文での計算にかなり近づき、強力なユーザコントロールがあったとしても、自分の暗号化チャットに意図せずバックドアを設けてしまうリスクが格段に高まる。暗号化チャットのメッセージ内容が漏れることを懸念するなら、最近のチャット履歴の要約や通知、返信作成の補助といった、内容を漏洩させかねないAI機能の利用は完全に避けるべきだろう。

移行の進捗はどうか

ポスト量子への世界的なアップデート作業は着実に進んでいる。NISTはポスト量子暗号アルゴリズムの標準を2024年に確定させた。大手プラットフォーム、ウェブサイト、ホスティングプロバイダはすでにアルゴリズムを更新しており、現時点でも、インターネットの一部にはポスト量子アルゴリズムを使ってアクセスしている可能性が高い。調査結果にはかなりの幅があるが、ウェブサイトの約10分の4がポスト量子鍵交換に対応している。

必要な変更をどう実現するかについては、まだ検討すべき課題が残っている。たとえば、HTTPSを実現するためにウェブサイトの秘密鍵を取得する仕組みは、より大きな署名に対応するために再設計が進められている。ちょうど市場に出始めたばかりの技術もあり、たとえば一部のChromebookで利用可能になったポスト量子ルートオブトラストがそうだ。実用的には、今後数年でデバイスの買い替えを検討する際、自分の脅威モデルにとってポスト量子対応が必要であれば、購入するハードウェアがそれをサポートしているかどうか確認しておくとよいだろう。

まだ更新が必要な分野について、新たな期限までに実際どの程度の準備が整うのか。暗号機能を持つすべてのデバイスやデプロイメントが期限に間に合うとは考えにくく、証明書がハードコードされたハードウェアの更新はおそらく最後になる。証明書がハードコードされたハードウェアが非推奨となったときにも同じことが起きたし、特にPOSシステムは対応が遅れた。量子コンピュータを持つ政府や大企業がレジの金を盗むことに興味はないかもしれないが、人々の私生活の秘密にはおおいに興味を持つだろう。だからこそ、プライベートな通信やブラウジングの詳細を守るために、一人ひとりがアップグレードに取り組むことが極めて重要だ。

そして、量子耐性アップデートを受け取れないような古いデバイスは、おそらくすでに他の攻撃に対しても脆弱なはずだ。量子コンピューティングは暗号への攻撃の一形態に過ぎず、際立っているのは求められる移行の規模の大きさと、あらゆる公開鍵暗号システムと認証スキームが対策に取り組まなければならないという点である。これは性質の違いではなく規模の違いであり、取り残されるシステムが出てくるのは避けられない。

量子コンピュータへの備えが及ぼす影響は業界やサービスによって異なるが、通信や金融情報を扱うサービスは特にリスクが高く、数十億人のプライバシーとセキュリティを守るために迅速な対応が求められる。

Yikes, Encryption’s Y2K Moment is Coming Years Early | Electronic Frontier Foundation