Let's Encrypt Post-Quantum Certificates

Let's Encryptは、将来的な暗号解読能力を持つ量子コンピュータの出現に備え、Web Public Key Infrastructure (PKI)を保護するために、耐量子計算機暗号 (PQC) の実装を進めています。この移行は、Merkle Tree Certificates (MTCs) の採用を中心に進められており、証明書発行プロセスの効率性と透明性を向上させつつ、量子耐性のある認証を提供することを目指しています。

Merkle Tree Certificates (MTCs) and Efficiency

Let's Encryptは、従来の証明書構造に代わるものとして、Merkle Tree Certificates への移行を進めています。MTCsは、TLSハンドシェイクにおける認証パスを最適化し、たとえより大きな耐量子アルゴリズムを使用する場合でも、現在のWeb PKI標準と比較して送信データ量を削減します。

一般的なMTCハンドシェイクでは、認証パスは以下で構成されます：

  • One signature
  • One public key
  • One inclusion proof

この合理化されたアプローチは、PQCアルゴリズムに伴うオーバーヘッドを軽減します。PQCアルゴリズムは、RSAやECCのような古典的なアルゴリズムよりも大きな鍵や署名を生み出すことが多いためです。

Built-in Certificate Transparency

MTCsの主な技術的利点の一つは、透明性が発行プロセスそのものの固有の特性である点です。現在のWeb PKIエコシステムでは、Certificate Transparency (CT) は「後付け」されています。証明書は認証局 (CA) によって発行され、その後別途ログに記録されるため、ログへの記録を証明するためにTLSハンドシェイクで追加の署名が必要になります。

MTCsを使用する場合、証明書はMerkle treeの外に存在することができません。これは、発行とログ記録が同一のアクションであることを意味し、システムを設計段階からより安全にし、個別のCT証明（attestation）の必要性を排除します。

The Urgency of Post-Quantum Authentication

業界の焦点の多くは、暗号化されたデータを今日キャプチャしておき、量子コンピュータが存在するようになったら解読するという「Harvest Now, Decrypt Later」(HNDL) に向けられていますが、認証（署名）への移行も同様に重要です。

認証の移行は、複雑です。なぜなら、回転（ローテーション）が困難な長期的な資産が含まれるためです：

  • Root Certificate Authorities (CAs)
  • Code-signing keys
  • Firmware update keys
  • Secure boot certificates

さらに、量子による偽造（quantum forgery）のリスクは「ダーク」です。つまり、攻撃者が量子コンピュータを使用して署名を偽造しても、被害者がその原因が量子攻撃によるものであることを知る術がないことを意味します。 コミュニティ貢献者の @tomgag が指摘するように：

"A quantum forgery is operationally indistinguishable from, e.g., key exfiltration, a library bug, or a classical break... reactive migration against an unobservable trigger is structurally impossible."

Community Perspectives and Technical Concerns

PQCへの移行は、実装と信頼に関するセキュリティ実務家たちの間で、大きな議論を呼んでいます。

Implementation Risks

一部の専門家は、MTCsへの移行には、数十年にわたり「実戦でテストされてきた」ツールや付随するインフラストラクチャを破棄することになると警告しています。パフォーマンスの向上は必要なトレードオフとして見見られますが、従来の安定性の喪失は懸念されるリスクです。

Provisioning Latency

証明書の発行（provisioning）については、「バッチ処理」によるアプローチに対して懸念が示されています。証明書がバッチで、かつ頻度が低すぎる頻度で発行される場合、新しいサーバーが最初の証明書を取得する際に遅延が生じる可能性があります。逆に、バッチの頻度が多すぎる場合、クライアント側のデータベースが肥大化する可能性があります。

Trust in New Algorithms

新しいPQCアルゴリズムの出所（provenance）の信頼性についても懐疑的な見方があります。一部のユーザーは、政府機関（NSAやEUなど）が推進するアルゴリズムにはバックドアが含まれている可能性があると懸念を表明しており、Ed25519やRSAのような古典的なアルゴリズムは現在のニーズには十分であると主張しています。

Quantum Capability Uncertainty

Pophsical observers らは、将来の量子コンピュータの正確な能力が未知である以上、PQCの実現可能性について疑問を呈しています。その議論は、もし画期的なブレイクスルーが起こった場合、現在のPQC防御の有効性やその結果を予測することは不可能であるというものです。

Sources