レポート

書類手続きの壁

by Simon McCorkindale

スタンドファースト： 認定されたハードウェアセキュリティモジュール、電力グリッドを対象とした法案、そして証明書レイヤーを指摘するフィンランドの研究プログラム。1週間に生じた3つの動きが同じことを示している——ポスト量子移行における困難な部分は、もはや暗号技術そのものではない。4つ目——再び出回っているベンダーブログ——は、議論を読む前に著者を確認すべきだという教訓だ。

アルゴリズムは2年前に確定している。FIPS 203、204、205は2024年8月に公開され、FN-DSAはFIPS 206として策定中であり、HQCはコードベースの第2の鍵カプセル化メカニズムとして選定された——これにより、世界の主要なKEMが唯一の選択肢でなくなった。どの数学を使うかについて、今や真剣に議論している者はいない。

2026年8月21日までの1週間に起きた動きは、その数学の周辺にある。ハードウェアセキュリティモジュール（秘密鍵を生成・保管し、鍵素材が通常のソフトウェア上に存在しないよう内部で処理を行う耐タンパー性アプライアンス）が検証基準を通過した。米国の2人の上院議員が量子リスクを規制当局の管轄に含める法案を提出した。フィンランドの研究プログラムが、移行がどこで行き詰まるかについての見解を公表した。証明書、法令、インベントリ——文書の層こそが、移行の現在地だ。

製品発表ではなく、認定

カナダ企業Crypto4Aは、QxHSMハードウェアセキュリティモジュール（HSM）プラットフォームのコアであるQASM暗号モジュールが、NIST FIPS 140-3レベル3の検証を取得したと発表した。同社の主張によれば、NISTが標準化したポスト量子アルゴリズムの完全なセットをサポートするHSMとして、レベル3で検証を受けた初の製品だという。このモジュールはML-KEM（FIPS 203）、ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）を実行し、さらにファームウェアおよびコード署名において重要なステートフルハッシュベース方式LMSも対応している。

業界報道は同社プレスリリースの再掲載であり、執筆時点ではFIPS 140-3証明書番号はNISTの検証データベース上で確認できなかった——QASMのエントリとして表示されているのは、依然として2022年のFIPS 140-2のものだ。発表ではなく、証明書そのものを確認すること。

レベル3は物理的・論理的な保護に関するものだ：身元確認ベースの認証、重要セキュリティパラメータがモジュールに出入りするインターフェースの物理的または論理的な分離、そして改ざん検知時の鍵素材のゼロ化。これにより、この認定は技術的な出来事というよりも、調達上の出来事となる。HSMはPKI（公開鍵基盤——鍵と身元を結びつける認証局、証明書、信頼チェーン）、決済、デバイス識別子を支える鍵が物理的に存在する場所であり、政府・防衛・規制対象の調達者にとってFIPS検証は、製品を検討対象に入れられるかどうかを決める契約上の基準線だ。

懐疑的な注記：検証されたモジュールが検証するのは、あくまでそのモジュールだ。自分がどれだけの秘密鍵を保有しているか把握できているかどうか、あるいは2014年に生成したRSAルートが今も忘れられた何かへの署名に使われていないかどうかについては、何も示さない。アプライアンスにおけるクリプトアジリティは一つの能力であり、組織におけるそれは一つの規律だ。

議会が電力グリッドへ手を伸ばす

8月18日、Chris Coons上院議員とMike Rounds上院議員はQuantum Grid Utility Assurance and Resilient Defense Act——Quantum-GUARD法を提出した。Rounds議員は、これを6月に署名された大統領令14412「高度暗号攻撃から国家を守る」の要素を法制化するものとして一部位置づけた。この法案は連邦エネルギー規制委員会に対し、グリッドの信頼性に関する既存の権限の範囲内で量子コンピューティングのサイバーセキュリティリスクを考慮するよう求め、エネルギー省サイバーセキュリティ・エネルギーセキュリティ・緊急対応局を通じてテスト環境を整備し、情報技術と運用技術の両方にわたる電力システム全体の量子リスク調査を同局に義務付けるものだ。

法案に添付されたいくつかの支持表明は、異なる言葉で同じ点を述べていた：暗号技術が困難な部分ではなく、すでに現場に存在する機器を移行させることが困難なのだ。これは法案であり、法律ではない。注目すべきはその仕組みだ——新たな量子法令を作るのではなく、量子リスクを既存の信頼性規制当局の視野に組み込む形をとっている。

フィンランドの見解：PKIが分岐点

フィンランドの国立技術研究センターVTTは、8月18日にBLimPQCプロジェクトの調査結果を公表した。研究成果としては珍しいほど率直な言葉が使われている：PQC移行はアルゴリズムの置き換えではなく、依存関係によって形作られる長期的なインフラ変革だ。

PKIがボトルネックだ。量子安全なPKIは、ECDSA署名をML-DSAに差し替えるだけでは実現しない。ハイブリッド方式と並行証明書チェーンのどちらを選ぶかの決断が必要であり、まだ移行していないシステムへの接続を壊さずにチェーンを更新する方法、信頼アンカーがPQC鍵をどう扱うか、そして複数のアルゴリズムが数年にわたって共存する中で発行・更新・失効・監査をどう機能させるかを検討しなければならない。その根底にはサイズの問題がある：PQC署名と公開鍵は古典的な等価物よりも大幅に大きく、ハンドシェイクのレイテンシと接続の安定性に影響を与え、制約のあるデバイスや損失の多いリンクでは特に深刻だ。

VTTはMerkle Tree CertificatesをウェブPKIの一つの対応策として挙げている。認証局がそれぞれの証明書に大きなPQC署名で署名する代わりに、大量の証明書をツリー構造にまとめ、そのルートに一度だけ署名し、各証明書は署名済みセットに属することを証明するコンパクトな証明とともに送付される。これは思考実験ではない：Cloudflareの公表ロードマップは、2027年半ばまでに訪問者向け接続へのMTC適用を目標としている。これはまた、レポートのより広い主張を凝縮したものでもある——既存のアーキテクチャに大きな署名を入れるだけでは問題を解決できないことがあり、信頼アーキテクチャ自体を変える必要がある。

VTTが示す手順は、私たちがクライアントに伝えるものと同じだ：まずインベントリを作り、データがどれだけ長く機密性を保つ必要があるかで優先順位をつけ、ハードコードされたアルゴリズム選択が次の移行の足かせにならないようにアジリティを組み込む。また、ソフトウェアに対するSBOMと同様に暗号依存関係を扱うCryptographic Bill of Materials（CBOM）にも言及している。EUにはPQC固有の規制手段はないが、NIS2、DORA、サイバーレジリエンス法、GDPRが間接的な要件を生み出しており、ロードマップの期日は書き留めておく価値がある：2026年末までに各国の移行戦略を策定し、2030年末までに高リスクユースケースの移行を完了し、2035年末までに実現可能な範囲で広範な移行を完了する。

あるベンダー投稿、注意深く読む

4つ目は、Quantum XChangeによる投稿で、RFC 9370——IKEv2セキュリティアソシエーション設定中に複数の鍵交換を可能にするIETF仕様であり、ハイブリッドポスト量子鍵確立をIPsecに組み込む方法——で十分かどうかを問うものだ。その答えはノーであり、今すぐ保護を提供する製品を検討すべきだとしている。

2つの異議は妥当だ。IPsecシステム上のアルゴリズム変更は一般的に協調したダウンタイムを必要とし、RFC 9370はそれを解決しない。また、FIPS検証済み実装の欠如は、最も緊急性の高い調達者にとって障害となる。

3つの主張は流布されるべきではない。

断片化への異議は誇張されている。 64KBの制約は実在する——RFCは、IKEペイロード形式がそれを超える鍵交換ペイロードを扱えないため、64KBを超えるものへの対処は試みないと明示しており、Classic McEliece公開鍵はそれを大幅に超える。しかしこの投稿は断片化を未解決の問題として提示しているが、それを回避することこそがこのメカニズムの設計根拠だ：RFC 9370が大きな鍵交換をIKE_INTERMEDIATE（RFC 9242）を通して処理するのは、まさにそれらが暗号化され、IKEレイヤーの断片化（RFC 7383）——IKE_SA_INITでは利用できない——を使えるようにするためだ。これにより問題はIPレイヤーから移り、そこがミドルボックスによるパケットドロップへの懸念が存在する場所だ。

RFC 9370は策定待ちの標準ではない。 投稿は業界が今後数年で正式化されるのを待っていると述べているが、これは2023年5月からIETF標準化トラック文書となっている。

いかなる法域もFrodoKEMを義務付けていない。 投稿の地域的分断の例として、米国の組織はML-KEMを、英国の組織はFrodoKEMを使用するよう求められているとしている。NCSCのガイダンスはML-KEM-768とML-DSA-65を推奨しており、NISTの選定に沿っている。FrodoKEMを支持しているのはドイツのBSIであり、長期的な機密性に適していると評価しており、フランスのANSSIは高保証用途の保守的な選択肢として奨励している——評価と奨励であって、義務ではない。例は国と様式の両方で誤っている。根本的な主張——乖離は現実であり、クリプトアジリティが答えだ——は依然として成立する。

負荷時のハイブリッド鍵交換がセットアップ時間を最大30%延長するという出典不明の数字も、ビジネスケースに含まれるべきではない。この記事は、オープン標準が不十分であり自社の製品カテゴリが暫定的な答えだと主張するベンダーの文書だ。

NZの視点

電力グリッドの話題が最も重要だ。 Quantum-GUARDは電力インフラを明確なターゲットとしており、私たちが6月に実施した118のNZ重要インフラ事業者の再スキャンでは、Transpower、Vector、Mercury、Genesisがいずれも依然として古典的な鍵交換をそのオリジンで使用していることが判明した。水道・下水道はオリジンのPQCがゼロのままだ。輸送もゼロであり、KiwiRailがPQCを提供していたImperva WAFを失ったことでネットPQCは11から10に減少した——CDN契約が変わったためであり、誰かが設定を変更したからではない。ポスト量子の立場が他者のインフラ決定に依存しているなら、それは立場とは言えない。

米国はFERCの管轄に量子リスクを組み込むことを検討しており、EUには3つの期日付きマイルストーンがある；ニュージーランドはファイブアイズ加盟国の中で唯一、正式なPQC移行期限を持たない国であり続けている。DPMCの重要インフラ協議では暗号技術について実質的な言及がなかった——私たちは提出書類でその旨を述べた——そしてNZISMセクション2.4には公的な執行メカニズムが付随していない。重要インフラ法案は今年後半に予定されている。

HSM認証は調達上のレバレッジである。 次回のハードウェア更新時に問われるのは、もはや「ロードマップ上でPQCをサポートしているか」ではなく、「そのモジュールは認証されているか、どのレベルで、どのアルゴリズムに対して認証されているか」である。ニュージーランドの大手4行にとって、暗号およびPKIに関する決定は実質的にシドニーとメルボルンにおいて、オーストラリアの更新サイクルに基づいて行われている。ANZは自行の起点においてPQCを運用している唯一の銀行であり続けている。

VTTのシーケンスこそが取り組むべき課題である。 4月に計測した古典的起点のうち、49件は6月時点でもまだ古典的なままであり――変化はなく、猶予期間がさらに4か月消費された。2029年という期限はもはやGoogleとCloudflareだけのものではない。Microsoftは6月末に自社の完了目標を2033年から2029年に前倒しした。9件はいまだTLS 1.2のみであり、これはPQCの問題というよりも前提条件の問題である。X25519MLKEM768はTLS 1.3を必要とするため、他のすべてが整っていたとしても、これら9件はポスト量子鍵交換をネゴシエートできない。AML/CFTのもとで保持義務が7年に及ぶ場合、あるいは医療・法的記録において事実上無期限となる場合、インベントリは早すぎるどころか既に遅れているといえる。

暗号技術は完成している。証明書、契約書、認証証明書、そして法令は――まだそうではなく、それらのリードタイムは年単位で計られる。

長命であれば、守れ。

Kaysecは、ニュージーランドに拠点を置く量子技術企業Spinsphereのポスト量子セキュリティ部門です。私たちはNZの組織に対し、暗号インベントリ、HNDLリスク評価、TLS設定監査、PQC移行計画、およびNZISMセクション2.4への整合支援を提供しています。お問い合わせ。

参考文献