Cloudflareが、ポスト量子署名の当面の選択肢について、標準化済みのML-DSAを使うべきだとの見解を示しました[1]。NISTが評価中の新しい署名アルゴリズム9種はまだ実用段階になく、初回の移行には間に合わない見通しです。
Cloudflareの主張 3行まとめ
今回の解説の要点を、先に3つへ整理します。
- NISTが9種の新しいポスト量子署名アルゴリズムを評価中
- いずれも初回の移行時期には実用が間に合わない見込み
- 当面は標準化済みで最良のML-DSAを使うべきと提言
本記事は公表時点の情報にもとづきます。仕様や標準化の状況、提供時期は変わる可能性があります。
導入や技術選定を判断する際は、各自の責任で公式情報の最新の内容をご確認ください。
設定変更やアップデートを行う場合は、必ず事前にバックアップを取得し、検証環境で確認したうえで実施してください。
ポスト量子署名への移行を先送りできない理由
現在広く使われるRSAやECCといった署名方式は、十分に発達した量子計算機によって破られる恐れがあります。そのためCloudflareは、ポスト量子暗号(量子計算機でも破られにくい暗号)への移行を急ぐ必要があると説明します。
同社が先送りできないと考える背景には、次のような事情があります。
- 多くの規制で移行期限が2030〜2035年に設定
- 2026年6月の米大統領令では期限を2031年に設定
- 移行期は従来方式と併用しダウングレード攻撃を防ぐ必要
- 分散システムでは従来暗号の停止に時間がかかる
署名アルゴリズム(データの真正性を証明する電子署名の方式)の入れ替えは、規模の大きなシステムほど一度に完了しません。Cloudflare自身も、完全なポスト量子対応の目標を2029年に置いています。
現時点で最良の選択肢がML-DSAである理由
Cloudflareが当面の本命に挙げるのがML-DSA(格子暗号にもとづく標準化済みの署名方式)です。標準化済みのポスト量子署名の中では各指標のバランスが最も良く、現実的な選択肢だと評価しています。
- 2024年にNISTが標準化(FIPS 204)
- 署名や検証の速度が実用的な水準
- 主要ソフトウェアが対応を開始
- 特定の指標に極端な弱点がない
弱点は署名や鍵のサイズが大きい点で、ML-DSA-44の署名は約2,420バイトと、従来のEd25519の64バイトより通信量が増えます[2]。それでもCloudflareは、今すぐ使える現実的な方式としてML-DSAを推しています。
NISTが評価中の新署名アルゴリズム9種と課題
記事では、NISTが追加公募(オンランプ)で評価する9つの新しい署名アルゴリズムを、方式ごとに比較しています[3]。いずれも特定の指標には優れる一方、他の指標に課題を抱える特化型が多い点が特徴です。
| 方式 | 候補 | 傾向 |
|---|---|---|
| 格子ベース | HAWK | 鍵と署名が小さいが安全性に懸念 |
| 同種写像ベース | SQIsign | 署名が非常に小さいが署名生成が低速 |
| 多変数多項式ベース | UOV / MAYO / SNOVA / QR-UOV | 署名が小さいが公開鍵が大きめ |
| ゼロ知識証明ベース | FAEST / MQOM / SDitH | 応用範囲が広いが署名がやや大きい |
表で挙げた9候補それぞれの最新状況や詳細は、NIST公式のデジタル署名候補一覧でご確認いただけます。
多変数多項式方式(連立方程式を解く難しさを安全性の根拠とする方式)は署名が小さい一方、UOVは公開鍵が非常に大きく、MAYOやSNOVAは構造を加えて公開鍵を抑えています。なお、格子ベースのFN-DSAやハッシュベースのSLH-DSAは、この9候補とは別に標準化や実装が進む方式です。
Ed25519(広く使われる高速な楕円曲線署名)のように全指標で優れる万能な方式は、ポスト量子署名には存在しないとCloudflareは指摘します。署名や公開鍵のサイズを小さく抑えたい用途ではSQIsign(署名・検証はいずれも低速)、公開鍵を事前配布できる用途では多変数多項式方式などが候補になり得ます。
標準化の時期はCloudflareの見立てで、早い方式でも2030年ごろ、広い製品利用は2033年から2035年ごろとされます。そのため初回の移行はML-DSAで進めつつ、サイズが課題となる用途や匿名認証などの高度な暗号のために新方式の標準化も重要だ、というのが記事の結論です。
Cloudflareの解説の概要
| 項目 | 詳細 |
|---|---|
| 発表元 | Cloudflare |
| 主題 | ポスト量子署名アルゴリズムの選択 |
| 当面の推奨 | 標準化済みのML-DSA |
| 新候補 | NISTが評価中の9アルゴリズム |
| 新候補の提供状況 | 初回移行には間に合わない見込み |
| 参考 | Cloudflare 公式ブログ |
trends編集部の一言
量子計算機の実用化は想定より早まる可能性が指摘されており、署名方式の移行を先送りする余地は小さくなっています。ML-DSAは署名サイズこそ従来方式より大きいものの、標準化と実装が先行する現実的な選択肢だといえます。
一方で、NISTが評価を続ける9候補はそれぞれ長所と課題が異なり、用途ごとに最適解が変わります。今回の記事は、どれか1つが万能なわけではないという前提を丁寧に示した点で参考になるでしょう。
開発者としては、自社の通信やソフトウェアがどの署名方式に依存しているかを棚卸しし、ML-DSA対応の状況を確認しておくことをおすすめします。新方式の標準化を待つのではなく、移行の設計を今から進める姿勢が問われます。
確認は、利用中のライブラリやサーバソフトの公式ドキュメントやリリースノートで、ML-DSA(FIPS 204)対応の記載を照合する形で進められます。
References
- ^ Cloudflare. 「Why we cannot wait for better post-quantum signature algorithms」. https://blog.cloudflare.com/ml-dsa-will-have-to-do/, (参照 26-07-10).
- ^ NIST. 「FIPS 204: Module-Lattice-Based Digital Signature Standard」. https://csrc.nist.gov/pubs/fips/204/final, (参照 26-07-10).
- ^ NIST. 「Post-Quantum Cryptography: Digital Signature Schemes」. https://csrc.nist.gov/projects/pqc-dig-sig, (参照 26-07-10).
※本記事は公式発表を基に編集しています。内容はAIで確認していますが、誤りや最新情報との差異がある場合はコメントよりご報告ください。
