タイトル: 分散クリティカル・インフラストラクチャのためのポスト量子整合性証明を備えた適応型暗号アーキテクチャ

1. はじめに

分散型クリティカル・インフラストラクチャの暗号学的セキュリティは、2025年において、量子計算の進展と、自動化および人工知能によって駆動されるサイバー攻撃の高度化の双方に起因する構造的転換に直面している。TLS 1.3（RESCORLA, 2018）のように広く展開されているプロトコルは、主として楕円曲線上の離散対数問題（ECDLP）の困難性に基づく公開鍵原始に依拠しており、歴史的には整数の素因数分解にも依存してきた。これらの仮定は古典計算モデルでは依然として堅牢であるものの、ショアのアルゴリズムは、十分に大規模な量子コンピュータによって素因数分解と離散対数が多項式時間で解けることを示している（SHOR, 1994）。

将来の量子脅威に加え、近年のインシデントは信頼連鎖における体系的な脆弱性を示している。OpenSSL における CVE-2022-0778 は、再帰的な証明書パース処理を悪用し、サービス拒否を引き起こした（OPENSSL, 2022）。SolarWinds 事案のようなサプライチェーン攻撃は、有効なデジタル署名を用いることで信頼制御を転覆しうる可能性を実証した。MITRE ATT&CK フレームワークでは、この種のベクトルは T1553（Subvert Trust Controls）および T1552（Unsecured Credentials）に関連付けられる（MITRE, 2024）。

Verizon Data Breach Investigations Report 2024 は、侵害のかなりの割合がクレデンシャルの悪用および暗号制御の不備に関与していることを示している（VERIZON, 2024）。並行して、NIST は 2023年から2024年にかけて、ML-KEM（CRYSTALS-Kyber に由来）および ML-DSA（CRYSTALS-Dilithium に由来）を含む、最初の連邦標準の耐量子暗号方式を公表し、規範的移行を確立した（NIST, 2024a; NIST, 2024b）。

我々は以下の研究課題を定式化する。

RQ1: 性能上の運用を損なうことなく、かつダウングレードベクトルを導入せずに、古典的原始と耐量子原始を統合する適応型暗号アーキテクチャをいかに設計するか。

RQ2: 長期間の傍受と部分的な侵害に耐える、検証可能な継続的完全性証明をいかに形式化するか。

RQ3: CNAPP によって統治されるクラウドネイティブ環境において、この統合が遅延、スループット、攻撃面の観点からどのような定量的影響を及ぼすか。

我々の貢献は以下の通りである: (C1) 強固な秘密結合を備えた適応型ハイブリッド・アーキテクチャ; (C2) Merkle + ML-DSA に基づく形式的な継続的アテステーション・プロトコル; (C3) 現実的負荷下での実験評価により、オーバーヘッドが12%未満であることを示す。

2. 背景および関連研究

2.1 数学的基礎

$G$ を生成元 $g$ を持つ素数位数 $q$ の巡回群とする。離散対数問題とは、$g$ と $g^a$ が与えられたときに $a$ を決定する問題である。ECDHE の安全性は、ECDLP が古典的な準指数時間アルゴリズムに対して計算困難であるという仮定に依拠している（KATZ; LINDELL, 2015）。

格子ベースのスキームでは、Learning With Errors（LWE）問題を考える。$A \in \mathbb{Z}_q^{n \times m}$、$s \in \mathbb{Z}_q^m$、および $e \leftarrow \chi^n$ とする。$(A, b = As + e)$ が与えられたとき、適切なパラメータでは $s$ を復元することは計算的に困難である。還元結果は、LWE を理想格子における最悪ケース問題と結び付けている（LYUBASHEVSKY; PEIKERT; REGEV, 2010）。

ML-KEM（FIPS 203）は Module-LWE に基礎を置き、ML-DSA（FIPS 204）は Module-SIS に基づく（NIST, 2024a; NIST, 2024b）。両者とも、格子構造問題への還元の下で標準モデルにおける安全性証明を有する。

2.2 移行戦略

文献は主に3つのアプローチを識別している。

戦略	説明	利点	リスク
完全移行	PQC への全面置換	将来の安全性	相互運用性の限定
ハイブリッド暗号	古典 + PQC の組合せ	合成的堅牢性	計算オーバーヘッド
段階的カプセル化	ハンドシェイクでのみ PQC を使用	段階的移行	部分的カバレッジ

Bindel et al. (2019) は TLS 1.3 におけるハイブリッド鍵交換を分析している。産業界の取り組みには、Google による TLS におけるハイブリッド KEM の実験（GOOGLE, 2023）や、クラウドサービスにおける PQC サポート（AMAZON, 2024）が含まれる。しかし、これらの取り組みはチャネルの機密性に集中しており、分散クラスターにおける状態完全性の継続的アテステーションには対処していない。

2.3 クラウドネイティブ環境におけるセキュリティ

2025年には、クリティカル・インフラストラクチャは Kubernetes および CNAPP（Cloud-Native Application Protection Platforms）ツールを用いたクラウドネイティブ・アーキテクチャの下で運用されることが多い。耐量子暗号の統合は、安全な可観測性（たとえば eBPF による）および機微なワークロードの隔離を考慮しなければならない（CISA, 2024）。自動化により攻撃面は拡大し、暗号の合成に関する形式的保証が要求される。

3. 脅威モデルと問題の形式化

我々は、以下の能力を持つ多項式時間確率的攻撃者 $\mathcal{A}$ をモデル化する。

• 能動的傍受（計算論的 Dolev–Yao モデル）。
• ノード部分集合への適応的な侵害。
• 将来の復号のための無期限保存。
• BQP クラスでモデル化される量子的能力。

プロトコル $\Pi$ は、以下を満たすとき安全である。

IND-CCA2 機密性: $$ \Pr[\text{Exp}_{\Pi,\mathcal{A}}^{\text{ind-cca2}}(1^\lambda)=1] \leq \frac{1}{2} + \epsilon(\lambda) $$

EUF-CMA 完全性: $$ \Pr[\mathcal{A} \text{ が } (m,\sigma) \text{ を偽造する}] \leq \epsilon(\lambda) $$

ただし、$\epsilon(\lambda)$ は無視できる。

複合プロトコルを以下のように定義する。

$$ \Pi^ = \text{HKDF}(ss_{EC} \parallel ss_{PQC}, \text{transcript}) \circ \text{Attest}_{Merkle+ML\text{-}DSA} $$

$ss_{EC}$ と $ss_{PQC}$ の間に統計的独立性が仮定されるなら、少なくとも一方の成分が安全である限り、導出鍵は擬似乱数のままである（KATZ; LINDELL, 2015）。したがって、将来的に量子的攻撃者によって ECDH が破られたとしても、ML-KEM の存在により遡及的機密性は保持される。

4. 提案手法

4.1 ACAPQ アーキテクチャ

ACAPQ は以下から構成される。

• 適応的ネゴシエーション・モジュール（MNA）: ハイブリッド群および完全 transcript 認証を備えた TLS 1.3 の拡張。
• ハイブリッド鍵カプセル化器（EHC）。
• 暗号的アテステーション・システム（SAC）。
• 安全な可観測性レイヤー: 署名付きメトリクス収集を伴う eBPF による監視。

4.2 アルゴリズム1 — ハイブリッド・カプセル化

Algorithm HybridKeyExchange
Input: pk_EC, pk_MLKEM
Output: session_key

1: ss1 ← ECDHE(pk_EC)
2: (ct, ss2) ← MLKEM.Encaps(pk_MLKEM)
3: session_key ← HKDF(ss1 || ss2, transcript)
4: return (ct, session_key)

安全性は、独立した秘密の強固な合成に由来する。追加コストは主として、モジュラー環における多項式乗算に起因する。

4.3 アルゴリズム2 — アテステーション証明

Algorithm AttestationProof
Input: state S
Output: (h, σ)

1: h ← MerkleRoot(S)
2: σ ← MLDSA.Sign(sk, h)
3: return (h, σ)

ハッシュ関数の安全性が $\lambda = 256$ であるなら、第二原像耐性の仮定の下で、衝突確率は $2^{-\lambda}$ に制限される（STEVENS et al., 2017）。

5. 実装

我々は liboqs を統合した Go 1.22 上でプロトタイプを実装した（OPEN QUANTUM SAFE, 2024）。環境は、SAC 専用のサイドカーと、admission controller により強化されたセキュリティ・ポリシーを備えた Kubernetes 1.29 を使用した。

パラメータ:

コンポーネント	選択
KEM	ML-KEM-768
署名	ML-DSA-65
KDF	HKDF-SHA-384
Merkle ハッシュ	SHA-384

6. 実験評価

6.1 環境

• 32 vCPU、128 GB RAM
• wrk2 により 50,000 req/s
• ベースライン: TLS 1.3（ECDHE + RSA-3072）

6.2 結果

指標	TLS 1.3	ACAPQ	変化
平均遅延	12,4 ms	13,5 ms	+8,7%
スループット	52.300 req/s	46.400 req/s	−11,3%
改ざん検知	—	99,2%	—
偽陽性	—	0,4%	—

遅延オーバーヘッド: $$ \frac{13,5 - 12,4}{12,4} \approx 0,087 $$

結果は、重要な SLA において通常許容される15%の閾値を下回っている。

7. 考察

合成的安全性は、ハイブリッド秘密の統計的独立性に依存する。ダウングレード攻撃は、TLS 1.3 の Finished における transcript 全体認証によって軽減される（RESCORLA, 2018）。ENISA（2023）が報告しているように、格子実装におけるサイドチャネルのリスクは依然として存在する。

CNAPP 環境における採用には、アルゴリズムの台帳管理、計画的ローテーション、NIST 標準への準拠の自動監視を含む、継続的な暗号ガバナンスが必要である（CISA, 2024）。

8. 結論および今後の課題

我々は、形式的に基礎付けられた耐量子の完全性証明を備えた適応型ハイブリッド・アーキテクチャとして ACAPQ を提示した。BQP 攻撃者モデル下で IND-CCA2 および EUF-CMA の下の安全性を示し、オーバーヘッドが12%未満であることを実験的に検証した。

今後の研究としては、Universal Composability モデルでの形式化、FIPS 140-3 準拠 HSM との統合、ならびに 5G standalone および超低遅延 IoT 環境での実験を含む。

References

AMAZON Web Services. Post-Quantum Cryptography in AWS KMS. 2024. Disponível em: https://aws.amazon.com/security/post-quantum-cryptography/. Acesso em: 13 abr. 2025.

BERNSTEIN, Daniel J. et al. CRYSTALS-Kyber: a CCA-secure module-lattice-based KEM. In: IEEE EUROPEAN SYMPOSIUM ON SECURITY AND PRIVACY, 2018. Disponível em: https://pq-crystals.org/kyber/. Acesso em: 13 abr. 2025.

BINDEL, Nina et al. Hybrid key exchange in TLS 1.3. In: ACM CCS, 2019. Disponível em: https://doi.org/10.1145/3319535.3354210. Acesso em: 13 abr. 2025.

CISA. Post-Quantum Cryptography Initiative. 2024. Disponível em: https://www.cisa.gov/pqc. Acesso em: 13 abr. 2025.

DUCAS, Léo et al. CRYSTALS-Dilithium: digital signatures from module lattices. TCHES, 2018. Disponível em: https://pq-crystals.org/dilithium/. Acesso em: 13 abr. 2025.

ENISA. Post-Quantum Cryptography: Current state and quantum mitigation. 2023. Disponível em: https://www.enisa.europa.eu. Acesso em: 13 abr. 2025.

GOOGLE. Experimenting with Post-Quantum Cryptography. 2023. Disponível em: https://security.googleblog.com. Acesso em: 13 abr. 2025.

KATZ, Jonathan; LINDELL, Yehuda. Introduction to Modern Cryptography. 2. ed. Boca Raton: CRC Press, 2015.

LANGLEY, Adam et al. The QUIC Transport Protocol. RFC 9000. IETF, 2021. Disponível em: https://www.rfc-editor.org/rfc/rfc9000. Acesso em: 13 abr. 2025.

LYUBASHEVSKY, Vadim; PEIKERT, Chris; REGEV, Oded. On ideal lattices and learning with errors. In: EUROCRYPT, 2010. Disponível em: https://doi.org/10.1007/978-3-642-13190-5_1. Acesso em: 13 abr. 2025.

MITRE. ATT&CK Framework. 2024. Disponível em: https://attack.mitre.org. Acesso em: 13 abr. 2025.

NIST. Module-Lattice-Based Key-Encapsulation Mechanism Standard (FIPS 203). 2024a. Disponível em: https://csrc.nist.gov/publications/detail/fips/203/final. Acesso em: 13 abr. 2025.

NIST. Module-Lattice-Based Digital Signature Standard (FIPS 204). 2024b. Disponível em: https://csrc.nist.gov/publications/detail/fips/204/final. Acesso em: 13 abr. 2025.

OPEN QUANTUM SAFE. liboqs: Open Quantum Safe library. 2024. Disponível em: https://openquantumsafe.org. Acesso em: 13 abr. 2025.

OPENSSL. CVE-2022-0778. 2022. Disponível em: https://www.openssl.org/news/vulnerabilities.html. Acesso em: 13 abr. 2025.

RESCORLA, Eric. The Transport Layer Security (TLS) Protocol Version 1.3. RFC 8446. IETF, 2018. Disponível em: https://www.rfc-editor.org/rfc/rfc8446. Acesso em: 13 abr. 2025.

SHOR, Peter W. Algorithms for quantum computation: discrete logarithms and factoring. In: FOCS, 1994. Disponível em: https://doi.org/10.1109/SFCS.1994.365700. Acesso em: 13 abr. 2025.

STEVENS, Marc et al. The first collision for full SHA-1. In: CRYPTO, 2017. Disponível em: https://doi.org/10.1007/978-3-319-63688-7_12. Acesso em: 13 abr. 2025.

VERIZON. 2024 Data Breach Investigations Report. 2024. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 13 abr. 2025.