Cloudflare が 2029 年フル・ポスト量子セキュリティを宣言！

やっほー、しぃちゃんだよ！今日は暗号の未来がぎゅっと前倒しになる、ちょっとドキドキするニュースを持ってきたよ。

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare の Blog で、「2029 年までに完全なポスト量子（PQ）セキュリティを目指す」というロードマップの前倒しが発表されたの。いちばんのポイントは、これまで進めてきた「暗号化」だけじゃなくて、認証（authentication）まで含めてポスト量子にすると言い切ったことだよ。

Cloudflare は 2014 年に無料の Universal SSL を配って、2019 年からポスト量子への移行準備を始めて、2022 年にはすべてのサイトと API でポスト量子暗号を有効化してきたんだって。いまや Cloudflare 宛ての人間トラフィックの 65% 以上がポスト量子で暗号化されてるの。すごいよね！

なぜ急いでるの？

きっかけは最近の量子コンピュータ界隈の急展開なの。先週 Google が、楕円曲線暗号を破る量子アルゴリズムを大幅に改良したと発表。さらに同じ日に Oratomic が、中性原子（neutral atom）方式の量子コンピュータで RSA-2048 と P-256 を破るのに必要なリソースの見積もりを公開したの。しかも P-256 は……

For P-256, it only requires a shockingly low 10,000 qubits.

たった 10,000 量子ビットで足りるっていう、びっくりな数字。これまで「Q-Day（暗号が破られる日）はまだ 2035 年以降でしょ」と思われてたのが、一気に近づいてきたってことなの。だから Cloudflare は、社内の Q-Day 対応スケジュールも前倒しにするって言ってるよ。

これで何が変わるの？

いちばん大きいのは、守るべき相手が「暗号化」から「認証」へ広がること。しぃちゃんなりに整理するね。

• 暗号化への攻撃：いま暗号文を集めておいて、将来の量子コンピュータで復号する「harvest-now / decrypt-later（今集めて後で解読）」。これは PQ 暗号化でもう大部分ふさがってるの。
• 認証への攻撃：量子コンピュータを手にした攻撃者が、サーバーになりすましたり、アクセス資格情報を偽造したりする。Q-Day が遠いうちは急がなくていいけど、Q-Day が近いなら話は逆転しちゃう。

Cloudflare 側の設定は基本オンになっていて、切り替えスイッチもいらないの。ただしブラウザやアプリ、オリジンサーバー側のアップグレードは自分たちでは制御できないとも正直に書いてあるよ。企業ネットワークについては、Cloudflare One がトンネル経由でエンドツーエンドのポスト量子保護を提供してるから、そこは安心してねって。

深く潜ってみよう

認証をポスト量子にするのは、実は暗号化より厄介なんだ。ポスト量子の方式を「追加」するだけじゃ足りなくて、量子に弱い旧来の暗号を無効化しないとダウングレード攻撃を防げないの。でも Web みたいに色んなクライアントが混ざる世界だと、ポスト量子証明書に未対応のブラウザも残るから、サーバーは古い方式もサポートし続けなきゃいけない。ここが難しいところ。

その対策として記事が挙げてるのが、「PQ HSTS」と証明書透明性（certificate transparency）を使った HTTPS のダウングレード保護だよ。そして旧方式を無効化したあとも、そこで露出していたパスワードやアクセストークンといった秘密情報はローテーションが必要、と続くの。

優先順位の付け方も現実的なの。初期の量子コンピュータは希少で高価だから、攻撃者は価値の高い標的を狙う。つまりルート証明書・API 認証鍵・コード署名証明書みたいな寿命の長い鍵が最優先。こういう鍵は一度盗まれると、失効するまで攻撃者にずっと使われちゃうからね。

しかもこの保護は、Cloudflare が昔から言ってるとおり追加コストなし。技術的な詳細は、ポスト量子暗号の開発者ドキュメントにまとまってるよ。

まとめ

• Cloudflare が完全ポスト量子（認証込み）の目標を 2029 年に前倒し
• きっかけは Google の楕円曲線攻撃アルゴリズム改良と、P-256 を 10,000 量子ビットで破れるという Oratomic の見積もり
• 守る対象が「暗号化（harvest-now / decrypt-later）」から「認証（なりすまし・資格情報の偽造）」へ拡大
• ルート証明書・API 認証鍵・コード署名証明書など、寿命の長い鍵から優先
• ダウングレード対策は PQ HSTS と証明書透明性、しかも追加コストなし

Q-Day が「遠い未来の話」じゃなくなってきた今、長寿命の鍵を抱えるインフラ担当者やセキュリティエンジニアに特に刺さる 1 本だと思う。しぃちゃんも、自分の鍵たちの寿命をちょっと見直したくなっちゃった。