ポスト量子暗号（PQC）

ポスト量子暗号（post-quantum cryptography、PQC）とは、量子コンピューター ↗ からの攻撃に耐えるよう設計された暗号アルゴリズムです。Cloudflare は 2017 年からポスト量子について 研究と執筆 ↗ を続けており、製品群全体でポスト量子に完全対応する目標年を 2029 年としています。ロードマップの全体は Cloudflare targets 2029 for full post-quantum security ↗ を参照してください。

harvest-now, decrypt-later 攻撃 ↗ のリスクから保護するため、また Web サイトやアプリケーションを Cloudflare 上に置いたときに発生するすべての 接続 を踏まえて、Cloudflare は ポスト量子ハイブリッド鍵合意 を導入し、利用範囲を広げ続けています。並行して、将来の量子攻撃から認証を守るため、ポスト量子署名 の導入も始めています。

Cloudflare へのリクエストにおける PQ 暗号化の採用状況は Cloudflare Radar ↗ を参照してください。ブラウザーが PQ 鍵合意で保護されているかは、Cloudflare Radar のブラウザーサポート確認 ↗ で確認できます。

TLS が通信を保護する前に、TLS ハンドシェイク ↗ で 3 つの暗号アルゴリズムを合意する必要があります。

• 対称暗号: データを暗号化・復号し、機密性と完全性を確保するアルゴリズムです（例: CHACHA20-POLY1305）。
• 鍵合意: クライアントとサーバーが共有鍵を安全に合意するための暗号プロトコルです（例: ECDH）。
• 署名アルゴリズム: TLS 証明書のデジタル署名を生成する暗号アルゴリズムです（例: RSA と ECDSA）。

ブログ記事 ↗ で説明しているとおり、対称暗号はすでにポスト量子耐性があります。残る移行は 2 つです。

TLS 1.3 では、楕円曲線 Diffie-Hellman（ECDH）プロトコルである X25519 ↗ が、鍵合意で最もよく使われています。ただし、量子コンピューターは Shor のアルゴリズム ↗ でこの安全性を破ることができます。

鍵合意をポスト量子アルゴリズムへできるだけ早く移行することが急務です。目的は、今日の暗号化通信を収集して保管し、将来十分強力な量子コンピューターを手に入れてから復号する攻撃者から守ることです。

これに対応して、Cloudflare は米国国立標準技術研究所（NIST）が選定したポスト量子鍵合意 ML-KEM のサポートを導入しました。製品ごとの導入状況は Cloudflare 製品における PQC を参照してください。詳しいタイムラインと背景は State of the post-quantum Internet in 2025 ↗ を参照してください。

Cloudflare が導入しているハイブリッド鍵合意は次のとおりです。

• X25519MLKEM768 ↗（推奨）
  • TLS 識別子: 0x11ec
• X25519Kyber768Draft00 ↗（廃止）
  • TLS 識別子: 0x6399

ハイブリッド鍵合意は、クライアント がポスト量子暗号を採用していく土台になると同時に、X25519 が今提供している安全性も維持します。ML-KEM のすべての亜種が突然不安全になるような想定外の突破が起きた場合にも、より安全な経路になります。

量子ハードウェアとアルゴリズムの最近の進展により、暗号学的に意味のある量子コンピューターが登場する時期が早まる可能性があります。それに伴い、認証（署名）をポスト量子アルゴリズムへ移行する優先度も上がっています。背景は Cloudflare targets 2029 for full post-quantum security ↗ を参照してください。

Cloudflare は、NIST が選定したポスト量子デジタル署名アルゴリズム ML-DSA ↗（FIPS 204）のサポートを導入しました。現時点では、Cloudflare とオリジンサーバー間の接続における認証を対象にしています（オリジン向け PQC を参照）。訪問者から Cloudflare エッジへの接続、および Cloudflare 内部接続のポスト量子認証は、まだ開発中です。現在 ML-DSA をサポートする製品は Cloudflare 製品における PQC を参照してください。

ポスト量子署名の状況については、A look at the latest post-quantum signature standardization candidates ↗ を参照してください。

flowchart LR
        accTitle: 3 つの接続 — 訪問者から Cloudflare、オリジンサーバーへ
        accDescr: キャッシュされていないリクエストの接続を示す図です。
        A[訪問者]
        subgraph Cloudflare
        X[(Cloudflare <br />サービス A)]
				B[(Cloudflare <br />サービス B)]
        end
        C[(オリジンサーバー)]

        A --1--> X
				X --2--> B
        B --3--> C

2022 年 10 月 ↗ 以降、TLS 1.3 経由で Cloudflare が配信するすべての Web サイトと API は、ポスト量子ハイブリッド鍵合意に対応しています。ただし、接続がポスト量子で保護されるのは、クライアントも PQC に対応している場合だけです。

ハイブリッド鍵合意に対応するブラウザーとその他のクライアントは、ポスト量子暗号のサポート を参照してください。

2023 年 9 月 ↗ の発表どおり、Cloudflare の製品とシステムの内部接続の多くは、PQC を使うようアップグレード済みです。

最後に、Cloudflare はオリジンへの接続でも ハイブリッド鍵合意 をサポートします。この場合、ポスト量子で保護された接続になるかは、オリジンサーバー側も PQC に対応しているかに依存します。オリジンサーバーへの接続は、PQ Cloudflare Tunnel 経由でも設定できます。

詳細は Cloudflare とオリジンサーバー間のポスト量子暗号 を参照してください。

Zero Trust を使うと、個々の業務アプリケーション、システム、ネットワーク接続を個別にアップグレードする手間なく、機密性の高いネットワーク通信を PQC にアップグレードできます。これには、Cloudflare One Appliance および検証済みのサードパーティ機器との、ポスト量子 Cloudflare IPsec トンネルも含まれます。Cisco ↗ と Fortinet ↗ は、ポスト量子鍵合意で Cloudflare IPsec との相互運用が検証された最初のサードパーティベンダーです。最新の一覧は 検証済みサードパーティベンダーの相互運用 を参照してください。Cloudflare One の設定の詳細は、Cloudflare の Zero Trust プラットフォームにおけるポスト量子暗号 を参照してください。