FlashLabs、OrcaRouter全ログに耐量子暗号を標準搭載

FrontJournalの解説

この分野について

公開鍵暗号方式（RSAや楕円曲線暗号）は、現在のコンピュータでは解くのが難しい計算問題を安全性の根拠にしています。ところが、十分な性能の量子コンピュータが実用化されると、これらの方式は短時間で解読できる可能性があると指摘されています。この想定リスクに備えるのが耐量子暗号（PQC：Post-Quantum Cryptography）です。米国のNISTは2024年にML-KEM（鍵カプセル化）とML-DSA（デジタル署名）を含む標準の初版を確定しており、通信・ストレージ分野で段階的な導入が進んでいます。

特にログや監査証跡のような長期保存されるデータは、現在は盗まれても解読できなくても、将来の量子計算機で解かれる「Harvest Now, Decrypt Later（先に収集し、後で解読する）」攻撃の対象になり得るとされています。ログ保護へのPQC適用はこの観点から議論されてきた領域です。

①ハイブリッド構成とAES-256-GCMの組み合わせ

今回の実装は、ログ本文そのものをAES-256-GCMで暗号化し、その鍵をML-KEM-768（NISTが標準化したPQCアルゴリズム）とX25519（既存の楕円曲線暗号）の2方式で二重に包んで保管する「ハイブリッド構成」をとっています。将来PQCに不具合が見つかっても既存の暗号で守られ、既存の暗号が量子計算機で破られてもPQCで守られる、という多層防御の設計です。ハイブリッドはNISTやIETFも移行過渡期の推奨方式として挙げている考え方で、他社の実装例でもしばしば採用されます。

②書き込み専用と鍵世代管理

もう一つの特徴は、ログ保護を書き込み専用に設計した点です。運用側では公開のキャプチャ鍵のみを配布し、復号に使う秘密鍵は分離して管理します。この構成により、新しいログの暗号化は常にできる一方で、過去のログを運用側から復号することはできません。あわせて鍵世代管理を行い、新しい記録には新しい鍵、過去の記録にはその時点の鍵を割り当てます。ある時点の鍵が漏れても、それ以外の時期のログに影響を及ぼしにくい構造となります。

編集部からひとこと

注意しておきたいのは、発表資料に「バージョン0であり第三者機関による監査は未実施」と明記されている点です。公表された数千万回規模のファジングテストや内部レビューで発見された不具合は2件とされ、公開前に修正済みとされていますが、本格導入にあたっては今後の第三者監査の結果や、他のPQC実装との相互運用性を確認する必要があります。実装層scuttleがApache-2.0で公開されたことで、第三者が同じ仕様を検証したり、別の製品に組み込んだりしやすい状況にはなりました。詳細はFlashLabsのプレスリリース原文をご参照ください。

FrontJournal編集部