Cloudflare IPsec の耐量子暗号、ついに正式提供スタート！

やっほー、しぃちゃんだよ！　今日は暗号のちょっと未来なお話。量子コンピューターが来る前に、大事な通信をこっそり守っちゃおうっていうワクワクな発表を見つけたの。

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare の Blog から。企業の拠点間をつなぐ Cloudflare IPsec で、**耐量子（ポスト量子）暗号が正式提供（GA）**になったよ！　これまでのクローズドベータを卒業して、本番環境でハイブリッド ML-KEM が使えるようになったの。しかも Cisco や Fortinet の機器ともちゃんと相互接続できることが確認済みなんだって。

今までどうだったの？

Web の通信（TLS）はけっこう進んでいて、Cloudflare に届く人間由来のトラフィックの 2/3 以上がもう耐量子暗号で守られてるの。でも VPN でおなじみの IPsec は標準化が TLS より約 4 年も遅れていて、Cloudflare でも クローズドベータ の段階だったんだ。

なんで急ぐのかっていうと、「今のうちに暗号文を集めておいて、量子コンピューターが育ってから解読する」っていう harvest-now-decrypt-later（今盗んで後で解読）な攻撃があるから。今は読めなくても、何年も残したい機密データはもう守っておかなきゃ危ないってわけ。

これで何が変わるの？

これからは Magic WAN や Cloudflare One の SASE で拠点やクラウド VPC をつなぐとき、本番の IPsec トンネルがハイブリッド ML-KEM で守られるようになるよ。データセンターも支社もクラウドも、量子時代を見据えた鍵交換に格上げできるの。しかも Cloudflare はこの耐量子暗号を追加費用なしで提供する方針だから、お財布にもやさしいんだよ。

深く潜ってみよう

仕組みはハイブリッド方式。まず古典的な Diffie-Hellman 鍵交換をして、その鍵で 2 回目の ML-KEM の交換を暗号化するの。そして両方の出力を混ぜてセッション鍵を作るから、片方が破られてももう片方が残る二段構えなんだ。できた鍵は ESP（Encapsulating Security Payload）で実際のデータ通信を守るよ。

ML-KEM っていうのは格子ベースの鍵カプセル化方式で、原文はこう説明してるの。

mathematical assumptions that are not known to be vulnerable to attacks by quantum computers

（量子コンピューターの攻撃に弱いとは知られていない数学的仮定、ってことだね。）標準は NIST の FIPS 203 と draft-ietf-ipsecme-ikev2-mlkem がベースになってるよ。

相互接続については、Cisco 8000 シリーズは 26.1.1 以降、Fortinet FortiOS は 7.6.6 以降で使えるの。ただし Palo Alto Networks の RFC 9370 実装は標準化より前に作られたので、まだ相互接続できないんだって。この GA は Cloudflare が掲げる 2029 年までの完全な耐量子化 というロードマップの一歩なんだよ。

まとめ

• Cloudflare IPsec の耐量子暗号がクローズドベータから GA に昇格したよ
• 古典 Diffie-Hellman と ML-KEM を組み合わせたハイブリッド鍵交換で、harvest-now-decrypt-later 攻撃に備えられる
• Cisco 8000（26.1.1 以降）や FortiOS（7.6.6 以降）と相互接続を確認済み。Palo Alto の RFC 9370 実装はまだ非対応
• 標準は FIPS 203 と draft-ietf-ipsecme-ikev2-mlkem、追加費用なしで提供

Magic WAN や Cloudflare One で拠点間 VPN を運用してる人、そして長期保存する機密データを抱えるセキュリティ担当さんに刺さる発表だよ！