耐量子コンピューター暗号（PQC）の登場が近づくにつれ、暗号の専門家にとって既知の事柄、つまり、暗号は今日あらゆるものに使用されていることが再認識されています。デジタル接続するほぼすべてのものは、デジタルトラストを構築するために暗号と公開鍵基盤（PKI）を利用しています。

暗号に関連する量子コンピューター（CRQC）は、RSA や ECC など従来の非対称アルゴリズムにとって脅威となるほど強力な量子コンピューターです。これに対する解決策は耐量子コンピューター暗号です。これは、耐量子コンピューターでも解くのが難しい数学の問題を慎重に選択して作成された暗号化アルゴリズムです。暗号解読に適した量子コンピュータ(CRQC: Cryptanalytically Relevant Quantum Computer) は、今日存在する初期の量子コンピューターよりもはるかに大規模かつ強力である必要がありますが、間もなく登場しようとしています。今こそ、新しいアルゴリズムへの移行の準備をするべき時です。

PQC への移行は、私たちがこの数十年にわたって構築してきたすべての通信インフラに、複雑なアップグレードが必要となることを意味します。幸い、私たちには時間があります。しかし、組織はこの移行が自分たちにとってどのような意味があるかを見極めるプロセスを開始する必要があります。この移行の幅広さと規模の大きさから、大変な取り組みとなるでしょう。

米国連邦政府機関は今年 5 月までに暗号化システムの目録作成を求められている

プロセスは進行中です。米国では連邦政府機関にも対応が求められています。昨年秋、Office of the National Cyber Director（ONCD）は、ホワイトハウスの国家安全保障覚書 10 に基づき、連邦政府機関に対し、耐量子コンピューター暗号分野への移行の準備をするにあたり暗号化システムの目録を作成するよう、具体的な指示を発表しました。ガイドラインでは、政府機関が最もクリティカルな暗号化システムの目録を作成する方法について指示が与えられ、暗号化システムの目録の優先順位付けリストの提出期限が 2023 年 5 月 4 日に設定されました。

しかし、一部の政府機関は期限を守るのに苦労したかもしれません。政府機関の暗号化システムの特定が、困難で複雑なプロセスになり得るのは当然です。あらゆる種類の組織で、同じことが言えます。プロセスは、今日あらゆるものに用いられている暗号に遡ります。組織が認識すらしていないものを追跡することは、実に難しい課題となります。

しかし、企業においてはどうでしょうか? 企業には 5 月 4 日の期限がなかったとはいえ、事前予防的に暗号化資産を特定および管理することは、企業にとっても同様に重要です。したがって、暗号化資産を扱う企業、政府機関、その他の組織は、今こそ  PQC への移行を開始するべきです。

暗号化資産の目録を作成する

まず、証明書とアルゴリズムを含む、すべての暗号化システムの目録を作成し、重要度に基づき優先順位を付ける必要があります。そこから、耐量子コンピューター暗号の時代にシステムのセキュリティを確保するためにアップグレードまたは交換が必要なものを判断できます。

環境内にどのような暗号化資産があるか、証明書がどのアルゴリズムを使用しているか、証明書の発行者は誰か、証明書の有効期限はいつか、保護されるドメインは何かを理解すること、そして、どのソフトウェアがどの鍵で署名されるかを判断することも、必要となる複雑な作業のほんの一部にすぎません。使用しているソフトウェアパッケージやデバイスはアップデートを自動的にダウンロードしますか? バックエンドサーバに接続しますか? ウェブサイトまたはポータルに関連付けられていますか? そのウェブサイトまたはポータルは第三者またはクラウドプロバイダーによって運営されていますか? これらすべての質問に対する答えは、昨今のほぼすべてのものについて基本的に「イエス」なので、それらのプロバイダーすべてに連絡を取り、依存先を突き止める必要があります。彼らはどのようなソフトウェアパッケージを使用していますか? 彼らはどのようなサービスに依存していますか? どのようなバックエンドプロバイダーが関与していますか? 何度も繰り返してください。

組織のデジタルアイデンティティを特定することは骨の折れる作業ですが、今日の相互につながった社会において、それは不可欠です。組織の暗号化資産をどのように守るべきかについては、それらの資産を理解する中で答えが見つかります。

長期的に信頼される必要がある暗号を優先する

暗号化アルゴリズムの切り替えは、長期的に信頼される必要がある署名を生成する暗号から着手してください。ルートオブトラスト、寿命の長いデバイスのファームウェアなどが考えられます。そして、ソフトウェアとデバイス、それらで使用される暗号の発行者について目録を作成してください。米国の国家安全保障覚書 10 で強調されているように、暗号化されたデータは、今すぐ記録し、将来の量子コンピューターのオペレーターが後で復号することができます。これは“harvest now, decrypt later”（今から収集し、後で復号する）という手法です。したがって、長期的に使用される暗号化は最優先です。

PQC アルゴリズムを組み込む方法を探り、テストする

昨年、米国商務省標準化技術研究所（NIST）は PQC 標準化のための最終的なアルゴリズムを選定しました。しかし NIST は現在も、これらのアルゴリズムをセキュアに実装、テスト、デプロイする方法の標準化と文書化に取り組んでいます。これらのアルゴリズムが実用化されるまで、あと 2 年はかかる可能性があります。ただし、暗号化ライブラリとセキュリティソフトウェアのメーカーは、製品にこれらのアルゴリズムを組み込む作業に今すぐ着手する必要があります。さらに、組織は、選定された PQC アルゴリズムを組み込む方法を探り始めることができます。対応するために、ある程度の労力が必要となるからです。

暗号化の専門家の支援を得る

暗号化資産を特定および管理するために支援が必要な場合は、デジサートのような信頼できるプロバイダーに依頼することをご検討ください。例えば、デジサートは PQC ツールキットでテスト用のハイブリッド RSA/PQC 証明書を提供しています。ツールキットのご利用については、デジサート営業担当者にお問い合わせください。

結論として、連邦政府機関の暗号化システムのインベントリ提出期限は過ぎましたが、すべての組織が事前予防的に暗号化資産を特定および管理する必要があることに変わりはありません。耐量子コンピューター暗号への移行は大仕事です。しかし、暗号化資産を特定および管理することにより、組織はセキュアで信頼できるデジタルの未来のための基盤を築くことができます。