レポート

Cloudflareはポスト量子Webへの署名を目指している。Bitcoinは署名者を見つけられずにいる。

by Simon McCorkindale

ポスト量子暗号の答えは今やほぼ合意されている。それを適用すること――特に認証への適用――が難しい部分だ。CloudflareがCA（認証局）になろうとする動きは、ウェブにおける一つの解決策を示している。Bitcoinは、同じ答えがあらゆる場所に転用できない理由を示している。そして欧州の4,750万ユーロの量子インターネット投資は、2029年以前に移行しようとする者には何の助けにもならない。

3週間の間に4つの出来事があり、合わせると一つの明確な論点を形成する。

1つ目はリストだ。Filippo Valsorda――Goの暗号メンテナーであり、この分野で最も信頼できる冷静な声の一人――が「暗号の正解」の更新版を公開した。これは2009年のColin Percivalに遡る開発者向けチートシートの伝統だ。2018年以降、非対称暗号のすべての答えが変わり、そのほとんどは2024年以降に変更された。この移行は今や3年がかりの作業だ。

2つ目はインフラだ。Cloudflareはパブリック認証局（CA）になる意向を発表した。ポスト量子証明書は2027年第1四半期に予定されており、ウェブ移行における最も困難な未解決の課題――認証――への直接的な取り組みだ。

3つ目は、そのリストをそのまま適用できない移行だ。全Bitcoinの約12%の管理者であるCoinbaseは、BitcoinのポストQ移行に何が必要かを整理した。その答えは「ML-DSAを選べ」というよりも、はるかに複雑なものだった。

4つ目はもう一つの量子セキュリティの話だ。欧州委員会はQuantum Internet Allianceに4,750万ユーロを授与し、量子ネットワークのプロトタイプ構築を支援している。また、今年初頭のStrathclydeの論文は、衛星を使った量子鍵配送がいかに困難であるかを定量的に示している。

まとめると：アルゴリズムは準備できており、鍵交換は順調に進んでいるが、認証こそが現在の課題であり、物理ベースの代替手段は研究プログラムであって移行計画ではない。

正解、2026年版

Valsordaのリストは全文を読む価値があるが、インフラ運用者にとって重要な部分は短い。

鍵交換は標準プロトコル内でX25519 + ML-KEM-768を使う。 つまり、TLSではX25519MLKEM768、SSHでは同等のもの、HPKEにはX-Wingの組み合わせ（HPKE＝Hybrid Public Key Encryption、公開鍵への暗号化のIETF標準）を使う。名前にML-KEMが入っていないものはすべて避けるべきリストに入る。彼はさらに踏み込んでいる：ハイブリッド実装によって古典的な鍵交換にさらに1ヶ月留まることになるなら、いっそML-KEM-768単体に移行すべきだと言う。今収集して後で復号する攻撃（Harvest-now-decrypt-later）は、あらゆる古典的ハンドシェイクを能動的な脆弱性にしている。

署名もML-DSA-44へと移行した。 これはより大きな変化だ。2026年1月時点でも、ポスト量子認証については様子見の姿勢が推奨されていた。Valsordaは今、移行を促しており、多くの用途でハイブリッドや「複合」署名を否定している。その理由：ML-DSAが破られた場合に古典的な鍵に戻せるなら問題なく、時間軸が長ければ古典的な半分はどのみち崩壊する。彼はまた、署名の使用自体を減らすことも提案している――HMACやランダムなセッショントークンで、署名付きトークンが担っている役割を果たせることが多い。

対称暗号は問題ない。 Groverのアルゴリズムは、AES-128はおろかAES-256を有意に脅かすものではない。暗号化バックアップについては一安心していい。非対称レイヤーこそが作業の焦点だ。

TLSスタックはアルゴリズムと同じくらい重要だ。 メモリ安全なスタック（rustls、GoのCrypto/tls）または保守が行き届いたOpenSSLフォーク（BoringSSL、AWS-LC）を推奨している。彼はOpenSSL自体の推奨を明確に避けており、OpenSSL 3.5未満ではX25519MLKEM768がサポートされていないことも指摘している。クラウドを利用しているなら、プロバイダのロードバランサーを使うべきだが、ポスト量子セキュリティポリシーを実際に選択しているか確認すること。RHEL 9系では、ポスト量子はオプトイン設定だ。

ウェブサイトについては、証明書に関するアドバイスは配管工事の話だ。 人気があり十分にサポートされたACMEクライアント（ACME＝Automated Certificate Management Environment、Let’s Encryptが標準化したプロトコル）を接続して最新の状態に保つこと。なぜなら、Merkle Tree Certificatesが2027年に展開されるため、それを受け取れる態勢を整えておく必要があるからだ。この一文が、次のセクションへの転換点となる。

小さな注記を2つ。このリストはコンプライアンス要件を前提としていない。CNSA 2.0（米国家安全保障局のポスト量子スイート）やFIPS 140-3の環境では一部を置き換えることになる。注目すべきは、CNSA 2.0がファームウェア署名向けにステートフルなハッシュベース署名（LMS/XMSS）を依然として推奨している点で、Valsordaはこれを一般的な使用の避けるべきリストに入れている。また彼の脚注には2026年のCVEが多数列挙されており、いずれも小規模なTLSライブラリの――主に証明書検証バイパスの――脆弱性だ。アルゴリズム自体が壊れることはほとんどない。

CloudflareがCAになる：ウェブスケールにおける認証問題

ポスト量子鍵交換は設定変更で済むが、ポスト量子認証はサプライチェーンの問題だ。すべてのTLS接続はCAが発行しブラウザが信頼する証明書チェーンに依存しており、ML-DSA署名は大きい――今日の楕円曲線署名の64バイトに対して約2.4 KBある。複数をすべてのハンドシェイクに含めると、10 KBと40 KBの崖という記事で解説した速度低下がまさに発生する。

Cloudflareの9月29日の発表は、Quantum Computing Reportでも取り上げられているが、これに対するCloudflareの答えだ。まだ存在しないサービスに関するベンダー発表であり、そのように読むべきだ。しかし設計上の選択は示唆に富む。

Merkle Tree Certificates（MTC）は、接続ごとに大きな署名を送信することを避ける。 各証明書を個別に署名する代わりに、CAは証明書を公開の追記専用ログにまとめ、そのログのチェックポイントだけを署名する。サーバーは短い証明――いくつかのハッシュ――を提示することで、その証明書がログに含まれることを示す。CloudflareはIETFドラフトの共同著者であり、ChromeはMTCをポスト量子ウェブ認証への優先ルートとして指定している。Cloudflareは2027年第1四半期に本番発行を計画している。Quantum Computing Reportは、MTCが中央値でクラシカルチェーンよりも若干速かったことを示すChromeベータトライアルのデータを引用しているが、これはCloudflare自身のトライアルデータであり、独立した測定ではない。

後方互換性は構築するものではなく、購入するものだ。 新しいルートが世界中のデバイスに普及するには数年かかり、更新が止まったデバイスには決して届かない。そこでCloudflareは、GlobalSignの既存ルート（2012年から信頼されている）を取得する契約を締結する一方、ChromeのQRPに向けた新しいルートに向けてChrome、Apple、Microsoft、Mozillaのルートプログラムへの申請を行っている。古いデバイスには古いルート、ポスト量子の未来には新しいルートという考え方だ。

自動化は発行の条件だ。 CloudflareはACMEファーストであり、ACME Renewal Information（ARI、RFC 9773）をサポートするクライアントにのみ発行する。ARIはCAがクライアントにいつ更新すべきかを通知する仕組みだ。目的は、インシデント時に証明書を迅速に取り消して交換できるよう更新ウィンドウを前倒しできるようにすることであり、即座の失効とユーザーサイトのオンライン維持のどちらかを選ばざるを得ない状況を避けることだ。

提案されているのは、集中リスクに対するレジリエンスだ。 Cloudflareは、無償で自動化された証明書エコシステムの多くがLet’s Encryptを通じて動いていることを指摘し、2つ目の大規模で無償かつ自動化された発行者として自らを提案している。さらに再現可能なビルド、証明されたHSM、公開の運用ダッシュボードも提供するとしている。集中リスクの軽減が、すでにグローバルウェブトラフィックの20%以上を前面に立つ企業から提案されているという皮肉は、読者への課題として残されている。

有用な示唆は、公開ウェブサイトのポスト量子認証は、CA、ブラウザ、ACMEクライアントを通じて主にもたらされるということだ――それを受け取るための自動化が整っていればの話だが。アナリスト企業Futurumは対応する指摘をしている：パブリック証明書は、エンタープライズのポスト量子リスクが最も集中している場所ではない。内部PKI――プライベートCA、VPN、デバイス証明書、サービス間認証――こそがその場所であり、誰もあなたの代わりにそれを修正してはくれない。

Bitcoin：「とりあえず展開」できない移行とはどういうものか

Cloudflareがウェブの認証問題を中央集権的に解決する姿を示しているとすれば、Coinbaseの投稿は中心が存在しない場合に何が起きるかを示している。これは明確な商業的利益を持つベンダーの投稿であり――Coinbaseのインstitutionalカストディビジネスがいくつかの要求を形成している――中立的な分析ではなくステークホルダーの立場表明として読むべきだ。それが示す制約は、暗号資産を超えて広く一般化できる。

一般的なランキングはそのまま転用できない。 Coinbaseはこの点を直接指摘している：TLSやPKIにおける署名方式のランキングはBitcoinには当てはまらない。なぜなら、すべてのBitcoin署名は永久に保存され、すべてのノードによって検証されるからだ。サイズと検証コストがTLSハンドシェイクでは決してないほど支配的になる――しかもMTCのようなトリックは使えない。なぜなら、一括処理するためのCAが存在しないからだ。「ML-DSA-44を使え」はウェブサーバーにとって正解であり、ブロックチェーンにとっては未解決の問いだ。

コンテナと署名を分離せよ。 この投稿の最も転用しやすいアイデアは、出力フォーマット（資金をロックする構造）を署名アルゴリズムから切り離すべきだというものだ。そうすることで、システムを再設計することなく、方式の追加・置換・補完が可能になる。Coinbaseは、BIP-360のP2MRやP2TRv2といった提案を支持しており、同じ資金を古典的な鍵またはポスト量子鍵のいずれかで使えるようにする「1-of-2」移行も支持している。これは合意ルールで表現されたクリプトアジリティ（システムを作り直さずにアルゴリズムを交換できる能力）だ。

状態は危険だ。 ステートフルなハッシュベース署名はよりコンパクトで高速だが、状態を再利用すると即座の偽造が可能になる。Coinbaseは、地理的に分散した署名フリート（大規模オペレーターが可用性を確保する方法）では、ステートフル署名が必要とする排他的ロックを簡単に保持できないと指摘している。ファームウェア署名にLMSやXMSSを検討している人は、その段落を2度読むべきだ。

鍵紛失問題にはすっきりした答えがない。 公開鍵が永久に露出したコイン、再利用された鍵、休眠中の保有資産、紛失したシードは、Coinbaseが正当にも別のガバナンス問題として扱うものを形成している――凍結、レート制限、サンセット、救済、それぞれに損をする者がいる。本稿は、いかなる救済メカニズムもそれ自体が量子安全であることを示すよう求めているが、これは当然のことではない。

Bitcoinは極端な例だ――中央機関なし、取引は不可逆、署名は永遠に残る。しかし「再署名できない長命の署名済み成果物」は、法的記録、工学証明書、保管された契約書にも当てはまる。

回り道：量子ネットワーク

Quantum Internet Alliance賞は量子ネットワーキングにとって真の前進だ。12のEU加盟国にまたがる50以上の機関からなるコンソーシアムは、数百キロメートルにわたる都市規模の光ファイバーで量子コンピュータを接続するプロトタイプを構築する。インスブルック大学とAQTはトラップイオンネットワークノード向けに540万ユーロを受け取る。安全な通信は分散型量子コンピューティングや精密タイミングと並んで、掲げられた用途のひとつだ。

これが何であるかを明確にしておく価値がある――量子ネットワーキングの研究プロトタイプであり、量子鍵配送（QKD）はその用途のひとつに過ぎない。2029年の期限を抱える誰かの移行経路ではない。

物理学がその理由を説明している。光ファイバー中のQKDは、まだ大規模には存在しない中継器なしでは指数関数的損失により約100kmに制限される――衛星が提案された回避策だ。そこでStrathclydeの論文が登場する。

参考文献： arXiv:2602.11833 — Sidhu, McCarthy, Paterson & Oi,「衛星量子鍵配送における絡み合いベースの運用限界」（2026年2月）

チームは、低地球軌道衛星が2つの光学地上局に同時に絡み合った光子ペアを送信するモデルを作成し（衛星を信頼する必要のないBBM92プロトコル）、1回の通過でわずか数分のデータしか得られないという統計的ペナルティを考慮した厳密な有限鍵セキュリティ解析を行った。

距離が絶対的な上限だ。 典型的な500km軌道では、2つの地上局が互いに約1,800km以内にある場合にのみモデルが鍵を生成する――衛星が実際に見渡せる距離の約37%だ。大陸規模のカバレッジには、スパンごとに少なくとも4つの地上局が必要だ。

暗闇が必要だ。 鍵の生成は夜間に機能し、慎重なデータ選択により薄明かりの時間帯も可能だ。完全な昼光はそれを抑制する。

モデルは寛大であり、現実はそうではなかった。 中国のMicius衛星に近似するよう調整すると、モデルは1回の通過で数百キロビットを予測する。Miciusは実際には複数回の通過後、最終的に数百ビット程度の鍵を報告した。著者らはそのギャップの多くを実際の通過ジオメトリと損失に帰因させ、固有誤り率の仮定が楽観的であることを認めている。

理想的な構成での年間ヘッドライン数値――500km離れた2つの地上局間で年間約870メガビット――はAES鍵としては十分な量だ。しかしQKDは鍵を配送するのであって、交換相手が誰であるかを認証するわけではない。それには依然として古典的または耐量子署名が必要だ――本稿の残りが示すように、これこそが難しい部分だ。これがNSAが国家安全保障システムにQKDを推奨しない中心的な理由であり、英国のNCSCも2020年以来同様の立場をとっている――耐量子暗号はより安価で維持管理が容易であり、いずれにせよ必要だ。

NZの読み解き

Valsordaのリストは、事実上我々のスキャンがテストするチェックリストだ。 NZの重要インフラ118事業体を対象とした2026年6月の再スキャンでは、52.2%が耐量子鍵交換をネゴシエートしていたが、自社のオリジンサーバーでそれを行っていたのは25事業体のみだった。9つのエンドポイントはまだTLS 1.2のみで、これによりX25519MLKEM768は完全に除外される――TLS 1.3が前提条件だ。49の古典的オリジンは移行していなかった。それぞれが「正しい答え」をまだ適用していない状態であり、通常の障壁はValsordaが挙げるものだ――古いOpenSSL、耐量子ポリシーが選択されていないロードバランサー、オプトインが必要なオペレーティングシステム。

耐量子ウェブ認証は自動化を通じて実現される――だから自動化があるか確認せよ。 CloudflareのモデルはACMEとARIのサポートを発行の条件とし、MTCsは証明書ツールがそれを受け取れるサイトにしか届かない。有料の手動検証証明書で一般的な、手作業で証明書を更新している組織は最後尾に並ぶことになる。各証明書がいつ期限切れになるかだけでなく、どのように更新されるかを記録する証明書インベントリは、今や移行の前提条件だ。

CDNの教訓は証明書にも当てはまる。 スキャンにおけるCloudflareフロントエンドのエンドポイント（Reserve BankやPayments NZなど）は、Cloudflareのタイムラインに従って、独自のタイムラインではなくエッジで早期に耐量子認証を利用できる可能性が高い。それは歓迎すべきことだが、鍵交換で見たのと同じトレードオフだ――KiwiRailが4月に耐量子保護を持っていたのは、Impervaがそれを提供していたためであり、それが変わるとオリジンは古典的な状態に戻った。CDNが提供するPQCは、CDN契約と同程度にしか安定しない。恒久的な立場は、鍵交換と同様に証明書においても、エッジとオリジンの両方で耐量子化することだ。

内部PKIがより大きな仕事であり、誰もそれを測定していない。 我々のスキャンは公開鍵交換をテストする――それが今日、収穫後復号攻撃が脅威となるものだからだ。プライベートCA、VPNゲートウェイ、デバイスおよびサービス証明書、コードおよびファームウェア署名はすべて独自の移行が必要であり、より長いリードタイムとより多くのベンダー依存関係がある。NZの銀行にとって、その暗号的決定の多くはオーストラリアの親会社によって行われており、その依存関係チェーンはシドニーとメルボルンを通じて延びている。

Bitcoinの教訓は一般化できる。 次のアルゴリズム交換が再び一からの再構築にならないよう、暗号敏捷性を設計に組み込め。ステートフル署名には真剣な注意を払え。そして、7年間のAML/CFT記録、工学的知的財産、法的アーカイブなど、再署名できない長命の署名済み成果物を特定してから、それらへの対処を決定せよ。

QKDは待つ理由にならない。 オークランドからシドニーまでは2,000km強あり、Strathclydeのベースラインによる単一衛星リンクのモデル上の到達範囲を超えており、ニュージーランドには欧州のような種類のQKDプログラムがない。一方でNZはファイブアイズ加盟国の中で唯一、正式なPQC移行期限を持たない国であり、業界の2029年目標――今やValsordaがコンセンサスと表現する――は3年余り先だ。Southern Cross Cablesは4月から6月にかけて、オペレーターが自社のオリジンを数週間以内に耐量子鍵交換に移行できることを示した。正しく設定された標準的なTLSライブラリと、それに追いついける証明書ツールが、今すぐ利用可能なルートだ。

参考文献

  1. Valsorda, F. (2026年10月12日). （耐量子）暗号の正しい答え. words.filippo.io/right-answers
  2. Goldsmith, S. / Cloudflare (2026年9月29日). インターネット全体のための認証局の構築. blog.cloudflare.com
  3. Abdel-Kareem, M. / Quantum Computing Report (2026年9月30日). Cloudflare、量子脅威からウェブを保護する公開認証局を開始. quantumcomputingreport.com
  4. IETF. マークルツリー証明書（インターネットドラフト、PLANTSワーキンググループ）. datatracker.ietf.org
  5. Agrawal, S. / Coinbase (2026年10月13日). Bitcoinの耐量子準備に向けた協力. coinbase.com
  6. Flint, R. / Quantum Zeitgeist (2026年10月13日). Coinbase、量子攻撃で失われたBitcoin資金の保護を目指す. quantumzeitgeist.com
  7. Quantum Zeitgeist (2026年10月14日). Quantum Internet Alliance、ネットワークプロトタイプに4,750万ユーロを獲得（AQT提供）. quantumzeitgeist.com
  8. Sidhu, J. S., McCarthy, S. E., Paterson, C., & Oi, D. K. L. (2026年2月). 衛星量子鍵配送における絡み合いベースの運用限界. arXiv:2602.11833
  9. 米国国家安全保障局. 耐量子サイバーセキュリティリソース――量子鍵配送と量子暗号. nsa.gov
  10. Kaysec (2026年6月3日). 7週間後：NZ重要インフラPQC――2026年6月アップデート. kaysec.spinsphere.xyz
  11. Kaysec (2026年4月15日). NZ重要インフラ：初の公開PQC準備度評価. kaysec.spinsphere.xyz

Kaysecは、ニュージーランドを拠点とする量子技術企業Spinsphereのポスト量子セキュリティ部門です。暗号インベントリ、HNDLリスク評価、TLS設定監査、PQC移行計画において、ニュージーランドの組織を支援しています。お問い合わせはこちら。

長く残るものは、守る必要があります。