耐量子保護の価値は、将来の推測上の日付ではなく、データの機密性を保つ必要がある期間で判断しましょう。
「今収集して後で復号」、つまりHNDLとは、攻撃者が将来それを読む手段を手に入れることを期待して、暗号化されたデータを今のうちに集めることです。量子コンピューターを想定した場合、主な懸念は、十分な能力を持つ量子コンピューターの攻撃対象になり得る一部の公開鍵方式にあります。
このリスクは、今日のすべてのメッセージがすでに解読されていることや、そうなる日が確定していることを意味しません。その重要性は、暗号の種類、収集できるデータ、情報の機密性を保つ必要がある期間によって変わります。
なぜ「機密性の保持期間」が重要なのでしょうか？
日常の予定調整のメッセージは、数時間後にはほとんど価値がなくなるかもしれません。一方、契約書、個人の記録、報道の情報源の身元は、何年も機微な情報であり続ける可能性があります。保護手段の選択や移行計画では、この違いを考慮する必要があります。
NISTによるポスト量子暗号の説明でも、長期にわたり機密性が必要なデータのリスクと、移行には時間がかかることに触れています。既存の暗号を破るのに十分な量子コンピューターがいつ登場するかは不明です。不確実性を踏まえて計画することと、セキュリティが崩壊する日を断定することは別です。
| 自分のデータについて確認すること | なぜ重要なのでしょうか？ |
|---|---|
| いつまで機密性を保つ必要があるか？ | 将来の漏えいが持つ潜在的な価値を明らかにします |
| 誰がそのコピーを収集できるか？ | 攻撃者の能力とアクセス手段を評価に含めます |
| 鍵はどのように生成・保管されるか？ | AESなど、内容の暗号化方式の名前だけでは十分な答えになりません |
| バックアップや端末にどんなコピーがあるか？ | 漏えい経路の中には、量子コンピューターをまったく必要としないものもあります |
この表は判断のための道具であり、統計的なスコアでも、あなたの特定のデータが記録されたという証拠でもありません。
ML-KEMは何をするのでしょうか？
FIPS 203規格は、共有秘密を確立する仕組みとしてML-KEMを定義しています。ML-KEM-768は、そのパラメーターセットの一つです。得られた秘密は、プロトコルの中で内容の暗号化鍵を生成するために利用できます。ML-KEM自体は、映画や長い文章を直接暗号化する方式ではありません。
耐量子性があるということは、永遠に解読不可能だと証明されたという意味ではありません。安全性は、数学的な仮定、アルゴリズムの適切な組み合わせ、実装、鍵管理に依存します。製品ページにML-KEMという名前があるだけでは、メッセージアプリ全体が独立した認証を受けたことにはなりません。
なぜハイブリッド方式を使うのでしょうか？
ハイブリッド設計は、一つのアルゴリズム系統だけに依存しないよう、従来型とポスト量子型の鍵材料を所定の仕組みで組み合わせます。一方の構成要素が破られても機密性を維持することを目標にできますが、その結果は結合器の設計やプロトコルの仮定に依存します。二つの名前を並べるだけでは十分ではありません。
前方秘匿性と侵害後のセキュリティも、それぞれ別の性質です。プロトコルは、どの鍵の漏えいがどの期間に影響するのか、安全性の回復にどのような新しい入力が必要なのかを明確にする必要があります。決定論的なチェーンで鍵を更新するだけでは、端末に居続ける攻撃者を排除できません。
Livaraの利用者にはどのような意味があるのでしょうか？
Livaraのセキュリティ文書は、LVR1におけるP-256とML-KEM-768の併用と、ペアごとのセッションを通じたグループ鍵の配布を説明しています。これは開発元による説明です。評価に当たっては、製品のバージョン、会話の種類ごとの保護範囲、技術的な根拠をそれぞれ確認してください。
ある種類のメッセージが保護されるからといって、すべての機能が保護されるとは限りません。通話、バックアップ、公開チャンネル、IDの復旧には異なるルールが適用される場合があります。大まかな「量子」というラベルよりも、Livaraの脅威モデルやメッセージアプリの選び方ガイドのほうが、適切な出発点になります。
鍵を耐量子化しても解決しない問題は何でしょうか？
- マルウェアや、復号済みの内容が表示されている端末へのアクセス。
- メッセージを保存、撮影、再共有する受信者。
- 製品がルーティングのために意図的に保持するメタデータ。
- 独立した保護が施されていないバックアップ。
- すでに漏えいした内容を再び記録すること。
また、今日のアップグレードによって、攻撃者が以前に収集した通信のコピーが変わるわけではありません。内容と付随情報の違いについては、メッセージアプリのメタデータガイドをお読みください。
何から始めればよいのでしょうか？
まず、長期にわたり機密性を保つ必要があるデータを特定してください。そのうえで、どのバージョンのどの処理フローで耐量子保護が実際に有効なのか、どのような仕様や評価が公開されているのか、回復にはどのような限界があるのかを確認しましょう。同時に、端末の更新、連絡相手の確認、安全なバックアップも怠らないでください。これらに関するリスクは、今も存在します。
自分のすべてのメッセージが将来読まれると考えるべきでしょうか？
いいえ。暗号設計と攻撃者の能力を知らずに、そのような結論を正当化することはできません。HNDLは、機微なデータに応じた計画を立てる理由であって、すべてのメッセージが必ず漏えいするという意味ではありません。
エンドツーエンド暗号化は、それだけで耐量子性を持つのでしょうか？
いいえ。エンドツーエンドであることは、鍵や内容にアクセスできる場所に関する性質です。量子攻撃への耐性は、アルゴリズムとプロトコルによって決まります。
