全ノード一斉移行を避けるポスト量子セキュリティへの現実的な道筋

暗号移行は、ホワイトボード上では単純です。新しいアルゴリズムを選び、すべてのシステムを更新し、古いものを廃止すれば済みます。しかし、配備済みのC2フリートでは、そのような理想的な条件は得られません。

毎日接続されるノードもあれば、制約の大きい回線で運用されるノード、数週間にわたり隔離されるノード、フリートの大半が更新された後にようやく任務から戻るノードもあります。すべてのノードが同時に切り替わることを前提にしなければ安全性を確保できないなら、その移行計画は初めから脆弱です。

AGELAIOSは異なるアプローチを採ります。現在のメッシュ通信の機密性をハイブリッドなポスト量子鍵交換で保護しつつ、自己記述型の署名スイートとローカル検証ポリシーによって、運用者が成果物の検証をノード単位で強化できるようにします。これは、即時に量子攻撃への耐性を得られるという約束ではありません。異種ノードから成るフリートの運用実態に合わせて設計した、管理可能な移行経路です。

量子コンピューターの登場前からリスクは始まる

現在、現代の運用システムで使われている非対称暗号を破れる量子コンピューターが公に確認されているわけではありません。しかし、その事実によって当面のリスクがなくなるわけではありません。

「今収集し、後で復号する」攻撃では、敵対者が暗号化通信を記録して保存し、機会を待ちます。将来、暗号解読に十分な量子コンピューターが利用可能になれば、脆弱な公開鍵方式だけで保護された通信は、その時点で露出する可能性があります。CISA、NSA、NISTはこのシナリオを明示し、そのような計算機が登場する前に移行準備を進めるよう勧告しています [6]。

C2システムでは、情報が価値を持ち続ける期間が移行期限を決めます。位置履歴、作戦命令、周波数計画は、送信から長期間を経ても機密性を失わない場合があります。したがって、量子技術の突破が確認されるまで待つことは、価値ある通信がすでに収集された後から対策を始めることを意味します。

これにより、移行の優先順位も明確になります。記録された通信は後から攻撃され得るため、長期的な機密性を最優先します。システムイメージやモジュールは作成から何年後にも検証される可能性があるため、成果物の署名も進化させる必要があります。一方、ライブセッション認証のリスクは異なり、攻撃者がピアになりすますには、接続時点で量子能力を持っていなければなりません。

AGELAIOSはこの違いに基づき、最も早く露出が始まる領域から先に投資します。

メッシュ通信をハイブリッド方式で機密化する

AGELAIOSは、X25519MLKEM768でメッシュセッションを確立します。このTLS 1.3ハイブリッド鍵合意は、X25519と、NISTがFIPS 203で標準化したポスト量子鍵カプセル化メカニズムML-KEM-768を組み合わせます [2]。この組み合わせはIETF TLSワーキンググループが仕様化しています [5]。

2つの構成要素は相補的な役割を担います。X25519は、広く配備された従来方式として蓄積された保証と相互運用性を維持します。ML-KEM-768は、楕円曲線鍵交換を脅かす種類の量子攻撃への保護を追加します。TLSの共有秘密には両方の素材が組み込まれます。

現場のノードが今日、作戦状況図を送信する場面を考えてみます。観測者は暗号化セッション全体を取得できるかもしれません。ハイブリッド交換のセキュリティ構成では、後からそのセッションを復元するには、X25519だけが脆弱になるのを待つのではなく、両方の構成要素を破る必要があります。これがハイブリッド化の実務上の価値です。実績ある従来暗号への信頼を捨てずに、ポスト量子保護を追加できます。

この主張には明確な境界があります。プロトコルと実装が仕様どおりに動作し、少なくとも一方の構成要素が安全である限り、ハイブリッド鍵交換はメッシュセッションの機密性を将来の復号から保護します。製品内のすべての暗号機能をポスト量子化するものではありません。

フリート全体の一斉切替を不要にする署名アジリティ

機密性は移行の一側面にすぎません。AGELAIOSは、システムイメージ、モジュール、更新リポジトリのメタデータも検証します。これらの成果物には、複数の配備サイクルにまたがる移行期間を通じて解釈可能な署名が必要です。

このため、署名形式は各署名の生成に使用したスイートを識別します。検証側は、文脈からアルゴリズムを推測したり、帯域外の取り決めに依存したりする必要がありません。スイート識別子を読み、対応する検証手順を適用した上で、ローカルの受入ポリシーを強制します。

3つのスイートが定義されています。

Ed25519は、RFC 8032で定義されたコンパクトな従来方式です [7]。
ML-DSA-65は、FIPS 204で標準化されたポスト量子署名です [1]。
ハイブリッドスイートは、同一内容にEd25519とML-DSA-65の両方を適用し、両方の署名が検証に成功することを要求します。

この自己記述により、互換性とポリシーを分離できます。ノードは複数のスイートを理解しつつ、そのすべてを受け入れる必要はありません。ソフトウェア版、任務上の制約、接続状況がノードごとに異なるフリートでは、この区別が不可欠です。

ハイブリッド署名は、リスクの集中を別の方式へ置き換えることも避けます。Ed25519には豊富な運用実績がありますが、十分な能力を持つ量子コンピューターには耐えられません。ML-DSA-65はこの脅威に対応しますが、アルゴリズムと実装の運用履歴はまだ短いものです。移行中に両方の署名を要求することで、従来方式の保証を維持しながらポスト量子要素を追加できます。このアプローチは、短中期のポスト量子配備にハイブリッド化を強く推奨するANSSIの指針とも整合します [4]。

ノード単位の移行はどのように進むか

運用条件が3種類に分かれるフリートを想定します。司令部ノードは常時接続されています。車両は週に一度基地へ戻ります。遠隔ノードは1か月にわたり到達不能になることがあります。

一斉切替では、最後のノードが全体のスケジュールを決めます。ポリシーを早く厳格化しすぎれば、そのノードを孤立させかねません。そのノードを待てば、残りのフリートを古い態勢に留めることになります。どちらも望ましい選択ではありません。

AGELAIOSでは、各ノードがローカルの検証しきい値を強制できます。互換フェーズでは、Ed25519、ML-DSA-65、ハイブリッド署名を受け入れられます。ソフトウェアと成果物の供給態勢が整ったノードでは、ポリシーにポスト量子要素を必須とすることで、Ed25519のみの成果物を除外できます。その後、運用者は移行中のハイブリッド検証を維持するか、保証枠組みが認めた時点で承認済みのポスト量子専用ポリシーへ移れます。

ハイブリッド署名済み成果物を早期に公開することで、これらの状態をつなぐ橋ができます。互換モードのノードも検証でき、ポスト量子要件を持つノードも受け入れられます。したがって、暗号移行の一斉決行日を設定せずにフリートを前進させられます。

このモデルには3つの運用上の利点があります。

継続性。 一時的に隔離されたノードが、フリート全体のセキュリティ強化を凍結させません。
統制。 強化済みノードは、設定された要件を下回る成果物を安全側に拒否します。
可視性。 各ノードが受け入れるスイートと適用ポリシーを、名目上の移行計画から推測せずに確認できます。

移行が無労力になるわけではありません。鍵管理、ソフトウェア配布、ロールバック計画、保証作業は引き続き必要です。その価値は、これらをフリート規模で段階化し、観測可能かつ可逆的にできることにあります。

TLS認証に意図的な境界を設ける

AGELAIOSは現在、メッシュTLS証明書とハンドシェイク署名の認証に従来方式のEd25519またはECDSAを使用しています。この制限はPQC_MIGRATION.mdに明記されています。

この判断は、リスクとコストのトレードオフに基づきます。ハイブリッド鍵合意は、セッション機密性に対する「今収集し、後で復号する」という当面の脅威にすでに対処しています。一方、将来、従来方式の認証鍵が破られても、過去に記録されたハイブリッドセッションを遡って復号することはできません。残る重要な脅威は、攻撃者が十分な量子能力を得た後のリアルタイムななりすましです。

回線に対する具体的なコストもあります。ML-DSA-65の生署名は3,309バイトで、Ed25519の64バイトと比べて大きくなります [1] [7]。証明書チェーンとプロトコル符号化は、さらにオーバーヘッドを加えます。1バイトごとの送信と再送が問題になる無線回線では、ハンドシェイク認証の変更をデータセンターネットワークの前提で判断せず、代表的なベアラで測定する必要があります。

TLS認証をロードマップから外したわけではありません。ポスト量子証明書とプロトコルのエコシステムが成熟するまで、未完の移行領域として明示しています。購入者と評価者は、配備後に発見するのではなく、この境界を直接評価できます。

標準は設計を導くが、証拠の代わりにはならない

AGELAIOSは公開標準に基づいて方式を選択し、特定の外部プロファイルと異なる点を明示します。

FIPS 203は、ML-KEM-768を含むML-KEMを標準化しています [2]。FIPS 204は、ML-DSA-65を含むML-DSAを標準化しています [1]。ハイブリッドECDHE・ML-KEM鍵合意のIETF仕様は、TLS 1.3向けのX25519MLKEM768を定義しています [5]。

ANSSIは、新しいアルゴリズムによって確立済みの従来暗号より安全性が後退しないよう、移行期間中のハイブリッドなポスト量子保護を推奨しています [4]。AGELAIOSのハイブリッドKEMと署名スイートは、この設計原則に従います。

CNSA 2.0は、米国国家安全保障システムでML-KEMとML-DSAへ移行する戦略的方向性を裏付けています [3]。同プロファイルは、より高いML-DSA-87パラメータセットを選定しています。AGELAIOSは、制約回線におけるセキュリティマージンと署名サイズの均衡を取るため、NISTセキュリティカテゴリー3のML-DSA-65を使用します。これは明示的な設計判断であり、CNSA 2.0準拠を主張するものではありません。

標準への整合は重要ですが、機能一覧に名称を並べることは証拠になりません。問うべきは、どのパラメータセットを、どこで使用し、何が従来方式のままで、ポリシーをどう強制するかです。その答えは実装上で確認できなければなりません。

約束を買う前に移行経路を評価する

参照リポジトリでは、3つの署名スイート、各署名に含まれる識別子、検証ポリシー、TLS認証に残る作業をPQC_MIGRATION.mdに記載しています。Apache-2.0で公開され、約930件の自動テストが成功していると報告されています。

したがって、有意義な評価はプレゼンテーションを超えて実施できます。移行文書を確認し、ポリシーチェックを調べ、同じ成果物を各スイートで署名してください。各受入モードで検証し、ポスト量子要素が必須の場合にEd25519のみの成果物が拒否されることを確認します。その上で、想定する配備環境を代表する回線上でハイブリッドTLS交換を試験します。

これが実務面でのAGELAIOSの提案です。ポスト量子への準備を、フリート全体で一度に飛躍する賭けではなく、検証可能な運用判断の連続へ変えます。

参考文献

NIST, “FIPS 204 Module-Lattice-Based Digital Signature Standard”, 2024, https://csrc.nist.gov/pubs/fips/204/final
NIST, “FIPS 203 Module-Lattice-Based Key-Encapsulation Mechanism Standard”, 2024, https://csrc.nist.gov/pubs/fips/203/final
NSA, “Announcing the Commercial National Security Algorithm Suite 2.0”, 2022, https://media.defense.gov/2022/Sep/07/2003071834/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF
ANSSI, “ANSSI views on the Post-Quantum Cryptography transition”, 2022, updated in 2023, https://messervices.cyber.gouv.fr/documents-guides/follow_up_position_paper_on_post_quantum_cryptography.pdf
IETF TLS Working Group, “Post-quantum hybrid ECDHE-MLKEM Key Agreement for TLSv1.3”, 2026, https://datatracker.ietf.org/doc/draft-ietf-tls-ecdhe-mlkem/
CISA, NSA and NIST, “Quantum-Readiness Migration to Post-Quantum Cryptography”, 2023, https://media.defense.gov/2023/Aug/21/2003284212/-1/-1/0/CSI-QUANTUM-READINESS.PDF
IETF, “RFC 8032 Edwards-Curve Digital Signature Algorithm”, 2017, https://datatracker.ietf.org/doc/html/rfc8032