情報技術研究センター情報技術研究グループ
情報セキュリティ・セミナー

耐量⼦計算機暗号（PQC）への暗号移⾏に向けた技術動向
2023年9⽉21⽇

菅野 哲
GMOサイバーセキュリティ byイエラエ株式会社
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

1

⾃⼰紹介
• 名前
• 菅野 哲（かんの さとる）
• 所属
• GMOサイバーセキュリティ byイエラエ株式会社• 取締役CTO of Development• どんなことやっていた／やっているの︖• 学⽣時代• 暗号プロトコルの研究、セキュリティベンチャーで技術担当/営業担当• 社会⼈時代• 暗号ライブラリや情報セキュリティ関連システム開発• IETFなどでブロック暗号Camelliaに関する標準化活動• 外部活動• CRYPTREC 暗号鍵管理ガイダンスWG 委員• Trusted Computing Group Invited Expert（2018年10⽉〜）
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

2

会社紹介
• 「誰もが犠牲にならない社会を創る」がミッション• デジタルネイティブの時代に⽣きるすべての⼈が安全に暮らせるインターネッ
ト社会創りに貢献します。

https://gmo-cybersecurity.com/
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

3

本講演の概要を確認する

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

4

今回の講演のポイントを整理する• 暗号の危殆化とは︖• 耐量⼦計算機暗号（PQC）とは︖• 暗号移⾏とは︖
Ø 暗号移⾏というイベントは未体験なのか︖
Ø 暗号移⾏とハイブリッドモードの関係は︖• 2023年現在、我々を取り巻くPQCに関する環境とは︖
Ø 標準化仕様、OSSなど

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

5

Agenda• 暗号の危殆化• 暗号移⾏• 我々を取り巻く環境

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

6

Agenda• 暗号の危殆化• 暗号移⾏• 我々を取り巻く環境

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

7暗号の危殆化とは• 「暗号アルゴリズムへの攻撃の進歩やコンピュータの性能向上によって、設計時に想定された「セキュリティ上の性質」がより低いコストで確保できない状態」のこと• 暗号を危殆化させる脅威/要因• 暗号解析⼿法（攻撃）の進歩• 計算量的な脅威

︓差分解読法、線形解読法など
︓ムーアの法則、量⼦計算機など• 過去に危殆化した主な暗号アルゴリズム• ハッシュ関数（MD5）、共通鍵暗号（DES）、公開鍵暗号（RSA-512）

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

8暗号の危殆化への対処⽅法とは「危殆化した暗号アルゴリズムを安全なアルゴリズムに差し替える」のみ︕
実施することは明確ではあるけど・・・「移⾏コスト」や「社会的インパクト」が⼤きい
影響範囲の例︓
仮想通貨、ブロックチェーン、情報家電製品、 OS、アプリケーション、ネットワーク機器、 ATM/レジスターなど
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

9Agenda• 暗号の危殆化• 暗号移⾏• 我々を取り巻く環境

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

10暗号の「2010年問題」とは︖• 2010年問題のきっかけ ⇨“NISTʻs Policy on Hash Functions - March 2006”

https://csrc.nist.gov/projects/hash-functions/nist-policy-on-hash-functions「2010年末でSHA-1の利⽤停⽌、SHA-2への全⾯移⾏」という声明※背景: SHA-1を含む複数アルゴリズムへの攻撃が公開された
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

11暗号移⾏の事例: TLS 1.2• 2008年発⾏RFC5246「TLS1.2」に注⽬。2014年の利⽤率 ⇨ 28%
2011年頃から様々な攻撃が公表された状況だが時間はかかった...
100.0
90.0
対応実績（%）

80.0
70.0
60.0
50.0
40.0

SSL 2.0

30.0

SSL 3.0

20.0

TLS 1.0

10.0
0.0

TLS 1.1
2012.05 2013.02 2014.02 2015.02 2016.02 2017.02 2018.02 2019.02 2020.02 2021.02 2022.01 2023.05

SSL 2.0

32.7

28.3

24.2

14.4

9.1

5.4

3.4

2.0

1.3

0.6

0.4

0.2

SSL 3.0

99.9

99.8

99.447.3

28.2

17.9

12.7

8.2

6.0

3.8

3.1

1.9

TLS 1.0

99.4

99.4

99.3

99.7

98.4

95.2

89.6

70.0

61.5

48.7

44.0

31.6

TLS 1.1

1.0

9.4

25.7

51.5

70.7

81.5

84.9

78.5

71.5

54.5

48.1

34.3

TLS 1.2

1.4

11.9

28.2

54.5

72.9

84.2

90.1

94.7

96.8

99.3

99.6

99.9

11.6

25.0

42.9

51.4

62.1

TLS 1.3
年数Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

TLS 1.2
TLS 1.3

SSL Labs Pulseのデータにより講演者がグラフ化

12PQCへの移⾏は「暗号の2030年問題」• 「PQCへの暗号移⾏」の期⽇が2030年 ⇨ 「暗号の2030年問題」• NISTが2024年にPQCに関する標準仕様を公開• 2030年までに暗号移⾏を実⾏（あと6年︕︕）• 守るべきデータは︖ 移⾏するシステムの順番は︖ セキュリティ
レベルは︖ など決定する必要ある
イマココ

DHS「Preparing for Post-Quantum Cryptography: Infographic」より
https://www.dhs.gov/sites/default/files/publications/post-quantum_cryptography_infographic_october_2021_508.pdf
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

13

NIST PQC標準化• 2016年にNISTがPQC標準化計画の発表を⾏い、2022年7⽉にRound 3の結果として4つのアルゴリズムが選定• Round 4として標準化が⾒送られた4⽅式に対して追加評価が⾏わられており、少なくとも１⽅式は選定される⽅針。
選定アルゴリズム（2022年）

公開鍵暗号/鍵共有

デジタル署名• CRYSTALS-KYBER• CRYSTALS-DILITHIUM• FALCON• SPHINCS+

Round 4（追加評価） ••••BIKE
Classic McEliece
HQCSIKE• 現在、上記に加えて「 Additional Digital Signature Schemes Round 1 」が実施されている。
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

14

いきなり「PQCへの移⾏」実施する︖• 4つのアルゴリズムが存在するので「PQCへの完全移⾏」ができるのでは︖ という疑問が残る

PQCの安全性

製品/実装の準備
モヤモヤする点

既存環境への影響
このモヤモヤを解決するのが「ハイブリッドモード」
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

15

ハイブリッドモードとは• 多くの標準化団体等でPQCへの暗号移⾏に関連して、ハイブリッドモードが取り上げられているが、統⼀された定義は存在しない。
• NISTØ 「利⽤されるコンポーネントが⼀つでも壊れていない限り、期待されたセキュリティプロパティを確保すること」と「Backwards compatibility（下位互換性）」が⼤事• IETFØ 現⾏暗号によって達成される安全性にPQC の性質を付与し、それぞれのアルゴリズムで独⽴した処理するのではなく、どちらかが安全ではない状態になっても、いずれかのアルゴリズムによって守られることが担保されるような構成法
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

16

ハイブリッドモードの構成法︓鍵交換• 概念的には「現⾏暗号」と「PQC」をシンプルに組合わせる
現⾏暗号
鍵交換

PQC
鍵交換

鍵導出
暗号化鍵

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

例えば、次のようなケースを考える＜量⼦計算機が登場︕＞• 現⾏暗号は解読されるが、PQCは安全なので守られる＜PQCに脆弱性が発⾒︕＞• PQCは機能しないが、⻑年利⽤されている現⾏暗号は安全なので守られる
ハイブリッドモードのメリット• 新技術であるPQCを実社会で運⽤することができ、改善を⾏える。
17

実社会でのハイブリッドモード
実社会での利⽤法は「ハイブリッド暗号」が主流。
• 「共通鍵暗号」と「公開鍵暗号」を組み合わせた暗号利⽤⽅法• 構成技術の特徴は以下のとおり
Ø 共通鍵暗号︓処理が⾼速だが、安全な鍵交換（配布）が困難
Ø 公開鍵暗号︓処理は低速だが、鍵交換（配布）が容易• 具体的な事例︓SSL/TLS
データ

A

B
PQCを追加鍵交換（公開鍵暗号）

暗号化
データ

暗号化（共通鍵暗号）

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

18

Agenda• 暗号の危殆化• 暗号移⾏• 我々を取り巻く環境

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

19

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

20

IETF概要（1/5）• Internet Engineering Task Force• インターネットに関する技術の国際標準を策定する組織

1986 年1⽉が第1回︕︕• 理念• “We reject kings, presidents and voting. We believe in rough consensus
and running code.” David Clark (1992)• ⽣産物• RFC （Request for Comments）を発⾏• インターネットを技術的な側⾯を⽀えている• 活動• 年3回開催（3⽉、7⽉、11⽉）で１週間• 参加者数︓1500〜2000⼈• 参加費︓右図参照⇨• 参加資格︓誰でもOK
https://registration.ietf.org/118/
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

21

IETF概要（2/5）
Open Standard

ISOC

IETF
IRTF

＜IETF/IRTF以外の標準化団体＞
••
•
•
•

ITU-TIEEE
ISOC （Internet SOCiety）
インターネットのオープンな開発・利⽤等を保証する国際組織
W3C
IRTF （Internet Research Task Force） ︓
インターネットの未来において重要と思われる研究を推進する組織
ITU-T :
国際電気通信連合において通信分野の標準化策定を担当する電気通信標準化部⾨IEEE :
アメリカに本部を持つ電気電⼦技術学会
W3C :World Wide Webで使⽤される各種技術の標準化の推進を⽬的に設⽴された団体
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

22

IETF概要（3/5）
標準化スタイルはITU-Tはトップダウン、IETFはボトムアップ
IETF

Specification Oriented（まず仕様を決める）

Implementation Oriented（まずは実装をする）

Hard Specification（仕様は変わらない）

Soft Specification（仕様は変わっていく）

Quality of Service

Connectivity

Voting

Running Code & RoughConsensus
Volunteer

Membership

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

ボトムアップ

トップダウン

ITU-T

23

IETF概要（4/5）
IETF
ART
WG

WG

WG

7 Area145 WGs
15 RGs(2023.9現在)

INT
WG

WG

IRTF
SEC

WG WG

WG

TSV
WG

WG

WG

WG

RG

RG

RG

GEN （General） : 2
ART （Applications and Real-Time） :37
INT （Internet） : 16
OPS （Operations and Management） : 15
RTG （Routing） : 25
SEC （Security）︓25TSV （Transport and Services） : 10https://datatracker.ietf.org/wg/
https://datatracker.ietf.org/rg/
IRTF ︓ 15

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

24

IETF概要（5/5）• IETF/IRTFで主にPQCが関係するWG/RGは以下のとおり
エリア
IETF

IRTF

GEN
ART
INT
OPS
RTG
SEC
TSV

代表的なWG
gendispatch, shmoo
httpbis, satp, uta, cbor etc.
6man, 6lo, lpwan, lwig etc.
iotops, dnsop, v6ops etc.
PQC移⾏を検討
idr, manet, ospf, roll etc.
privacypass, tls, rats, mls, lake, pquip etc.
quic, tcpm etc.
pearg, t2trg, ufmrg, cfrg etc.
PQC⾃体を検討

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

25

cfrg (Crypto Forum)• 将来のインターネットで利⽤する暗号技術を検討
Ø いくつかPQCに関する検討が実施

https://datatracker.ietf.org/rg/cfrg/about/
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

26

pquip (Post-Quantum Use In Protocols)• 2023年3⽉開始。PQC移⾏の問題、IETFでのPQC対応について議論
Ø PQCへの移⾏をサポートするための運⽤や設計ガイドラインを作成

https://datatracker.ietf.org/wg/pquip/about/
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

27

pquipにおける技術動向• IETF117（2023年7⽉開催）での発表をご紹介

https://datatracker.ietf.org/meeting/117/materials/slides-117-pquip-pqt-hybridterminology-00

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

https://github.com/ietf-wg-pquip/state-of-protocols-and-pqc

28ハイブリッドモードに関する標準化の進捗

多くのInternet Draftは鍵交換が対象となっている• X25519Kyber768Draft00 hybrid post-quantum key agreement
Ø https://datatracker.ietf.org/doc/draft-tls-westerbaan-xyber768d00/• Combiner function for hybrid key encapsulation mechanisms(Hybrid KEMs)

Ø https://datatracker.ietf.org/doc/draft-ounsworth-cfrg-kem-combiners/• Hybrid Streamlined NTRU Prime sntrup761 and X25519 withSHA-512
Ø https://datatracker.ietf.org/doc/draft-josefsson-ntruprime-hybrid/など他多数

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

29

ハイブリッドモードに関するOSSの進捗

いくつかのプロジェクトが率先してOSS化を推進している• PQClean
Ø NISTのPQCプロジェクトにあるクリーンなPQC実装を提供
Ø https://github.com/PQClean/PQClean• liboqs
Ø OpenSSLやOpenSSHを通じてTLSやSSHに機能提供
Ø URL: https://github.com/open-quantum-safe/liboqs• libpqcrypto
Ø PQCRYPTOによって開発されたライブラリ（2018年が最終更新）
Ø URL: https://libpqcrypto.org/など他多数
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

30

⾝の回りにあるPQC• Google Chrome 116（2023年8⽉リリース）
Ø 現⾏暗号（X25519）とPQC（Kyber768）でハイブリッド鍵交換• 2023年4⽉に発⾏されたInternet Draft「X25519Kyber768Draf
t00 hybrid postquantum keyagreement」を実装
https://datatracker.ietf.org/doc/draft-tls-westerbaan-xyber768d00/

https://chromestatus.com/feature/5257822742249472
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

31なぜ、実社会で実証実験するのか︖

実社会で前もって発⽣する課題を抽出し解決することができる• 既存インターネットプロトコルへの影響
Ø 例︓ データサイズ増加による影響• 既存OSSへの影響
Ø 例︓ 仕様のグレー部分の実装による挙動• ネットワーク機器への影響
Ø 例︓ 机上でOKでも通信できない• PQC未対応な環境での処理
Ø 例︓ 現⾏暗号へフォールバック⽅法

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

32参考情報: CRYPTREC 外部評価報告書• ハイブリッドモードについて詳細を把握したい⽅へ• ハイブリッドモードの技術動向を整理
Ø 標準化動向Ø 利⽤可能なアルゴリズム
候補Ø ハイブリッドモードの取り扱い
Ø 安全性及び評価 など
https://www.cryptrec.go.jp/ex_reports.html
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

33

参考情報: 技術ブログ• IETFにおける最新の技術動向が気になる⽅へ• GMOイエラエの技術ブログでPQC関連の技術動向は随時発信していきます︕

https://gmo-cybersecurity.com/blog/ietf117-pquip-report/
Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

34

まとめ
• 暗号の危殆化• 耐量⼦計算機暗号（PQC）• 暗号移⾏Ø 「暗号の2010年問題」と「暗号の2030年問題」
Ø 暗号移⾏とハイブリッドモードの関係• 2023年現在、我々を取り巻くPQCに関する環境
Ø 例としてIETFのご紹介
Ø 標準化仕様、OSSなど

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

35何か気になることなどあれば・・・• E-mail• satoru.kanno@gmo-cybersecurity.com• SNS• X (旧 Twitter)• https://twitter.com/satorukanno• Facebook• https://www.facebook.com/satoru.kanno

お気軽にご連絡ください︕

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

36

Copyright © GMO Cybersecurity by Ierae, Inc. All Rights Reserved.

37