Cloudflare の IPsec におけるポスト量子暗号化が一般利用可能に

Cloudflare への人間由来の TLS トラフィックの 3 分の 2 以上はすでに量子耐性暗号化によって保護されていますが、サイト間ネットワークの世界では事情が異なりました。長年にわたり、IPsec コミュニティはインターネット規模での相互運用性の高いハードルと、特殊なハードウェアに特有な要件の間で板挟みになっていました。しかし、そのギャップは現在埋まりつつあります。 今月初め、量子コンピューティングにおけるいくつかの最近の進展を背景に、Cloudflare が完全な量子耐性セキュリティの実現目標を 2029 年へと前倒ししたことを発表しました。この目標達成に向けて、私たちは Cloudflare IPsec における量子耐性暗号化を一般利用可能としました。 新しい IETF ドラフトであるハイブリッド ML-KEM（FIPS 203）を使用し、Fortinet および Cisco のブランチコネクタとの相互運用性を成功裏にテストしました。つまり、すでに保有しているハードウェアを用いて、今日から「収穫して後で復号化」攻撃に対して広域ネットワーク（WAN）を保護することが可能になります。 本記事では、新しいハイブリッド IPsec ハンドシェイクの実装方法と、その TLS 版よりも 4 年遅れて実現に至った理由、そして業界がいかにしてインターネット規模で機能する標準規格の周りにようやく収束しつつあるかについて解説します。 Cloudflare IPsec Cloudflare IPsec は、データセンター、支店、およびクラウド VPC を Cloudflare のグローバル IP Anycast ネットワークに接続することで、従来のネットワークアーキテクチャを置き換える WAN Network-as-a-Service です。顧客は、設定の簡素化、高可用性（あるデータセンターが利用不可になった場合、トラフィックは自動的に最も近い正常なデータセンターへリルートされます）、および Cloudflare のグローバルネットワーク規模によるスケーラビリティを得ることができます。これは、サイト間 WAN、アウトバウンドインターネット接続、Cloudflare One SASE プラットフォームへの接続をサポートする暗号化された IPsec トンネルを通じて実現されています。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/1y7QgyWMG5xGTtYGcwyqTX/48b625d0178c746dbdfba70ee1d2e259/image1.png) IPsec におけるポスト量子暗号化 Cloudflare IPsec は、現在、ハイブリッド ML-KEM（FIPS 203）を用いたポスト量子暗号化を採用し、「ハーベストレート・デクリプト・ラテアタック」を防いでいます。これは、敵対者が今日データを収集し、インターネット全体で使用されている古典的な公開鍵暗号方式を破ることができる強力な量子コンピュータが出現する Q-Day 後に復号化する攻撃です。Q-Day が予想よりも早く近づいているため、「ハーベストレート・デクリプト・ラテアタック」はより多くの組織にとって懸念事項となっています。 ML-KEM（モジュール格子ベース鍵カプセル化機構）は、量子コンピュータによる攻撃に対して脆弱であることが知られていない数学的仮定に基づいたポスト量子暗号アルゴリズムです。送信者と受信者の間に特別なハードウェアや専用物理リンクを必要としません。ML-KEM は意図的に標準プロセッサ上でソフトウェアとして実装できるように設計されており、ネットワークトラフィックに対するポスト量子暗号化を提供します。 Draft-ietf-ipsecme-ikev2-mlkem は、古典的な Diffie-Hellman のよく理解されたセキュリティと ML-KEM のポスト量子セキュリティを単一の規格準拠ハンドシェイクに組み合わせたハイブリッド ML-KEM を用いた IPsec 用のポスト量子暗号化を規定しています。具体的には、まず古典的な Diffie-Hellman 交換が行われ、その導出鍵が ML-KEM を実行する第 2 の交換を暗号化し、両者の出力は Encapsulating Security Payload（ESP）プロトコルを使用して送信される IPsec データプレーントラフィックを保護するセッションキーに混合されます。 私たちの相互運用可能な実装 以前、当社の Cloudflare IPsec プロダクトにおける draft-ietf-ipsecme-ikev2-mlkem の実装のクローズドベータ版を本番環境で発表し、参照実装（strongswan）に対してテストを行いました。現在、この実装が一般利用可能となったことで、Cisco や Fortinet など他のベンダーとの相互運用性も確認されており、これは新しい標準にとって大きな成果です。 Cisco: バージョン 26.1.1 以降の Cisco 8000 シリーズ セキュアルーターをブランチコネクタとして使用している顧客も、draft-ietf-ipsecme-ikev2-mlkem に基づき、ポスト量子暗号化に対応した Cloudflare IPsec トンネルを確立できるようになりました。 Fortinet: FortiOS 7.6.6 以降をブランチコネクタとして使用している顧客は、draft-ietf-ietf-ipsecme-ikev2-mlkem に基づき、Cloudflare のグローバルネットワークに対してポスト量子暗号化に対応した Cloudflare IPsec トンネルを確立できるようになりました。 相互運用性の重要性 暗号技術のアップグレードは困難であり、数年かかる可能性があるため、2029 年という完全なポスト量子暗号化への更新目標達成には集中的な取り組みが必要です。そのため、IPsec コミュニティが draft-ietf-ipsecme-ikev2-mlkem のような相互運用可能な標準規格の開発に引き続き注力することを願っています。 なぜこれらの標準規格が極めて重要なのかを説明しましょう。IPsec におけるハイブリッド ML-KEM（ML-KEM: Maximum Likelihood Key Encapsulation Mechanism）の完全な仕様である draft-ietf-ipsecme-ikev2-mlkem が利用可能になったのは、2025 年後半のことです。これは、TLS でのハイブリッド ML-KEM サポートが導入されてから約 4 年後のことです。（実際、Cloudflare は NIST が ML-KEM の標準化を確定させる前である 2022 年に、TLS を用いたハイブリッドポスト量子鍵合意機能をオンにしました。これは TLS コミュニティが迅速に単一の相互運用可能なアプローチに収束し、それを本番環境へ導入したためです。現在、Cloudflare のネットワーク宛ての人間生成による TLS トラフィックの 3 分の 2 以上が、ハイブリッド ML-KEM によって保護されています。） 4 年間の遅延は、2020 年に公開された RFC 8784 に明記されているように、IPsec コミュニティが量子鍵配送（Quantum Key Distribution: QKD）に対して引き続き関心を示していることの一因によるものと思われます。私たちは以前、なぜ QKD が当社のポスト量子戦略の一部ではないのかについて記事を書きました：QKD には専用ハードウェアと両当事者間の専用物理リンクが必要であり、これは根本的にインターネット規模での運用を不可能にします。また、QKD は認証機能を提供しないため、アクティブな攻撃者を阻止するには依然としてポスト量子暗号技術が必要です。ベンダー間で相互運用可能な QKD の実装を見つけるのは困難です。 米国国家安全保障局（NSA）、ドイツの連邦情報セキュリティ庁（BSI）、英国の国家サイバーセキュリティセンター（NCSC）は、すべて QKD への依存のみを警告しています。一方、ポスト量子暗号技術は、すでに持っているハードウェア上で動作し、両端の当事者を認証し、インターネット全体でエンドツーエンドで機能します。 2023年に公開された RFC 9370 は、IPsec におけるポスト量子暗号の扉を開き、古典的な Diffie-Hellman と並行して最大 7 つの鍵交換を実行することを可能にしました。しかし、RFC 9370 ではこれらの並列鍵交換で使用するべき暗号スイート（ciphersuites）を指定していませんでした。その仕様が欠如しているため、ハイブリッド ML-KEM のドラフトが利用可能になる前に、いくつかのベンダーは RFC 9370 に基づく早期実装を出荷し、NIST 標準化されていないものを含む独自の暗号スイートを定義しました。これはまさに NIST SP 800 52r2 が警告していた「暗号スイートの肥大化（ciphersuite bloat）」の典型例です。そして相互運用性へのリスクは実際に現れています：Cloudflare の IPsec は、まだ draft-ietf-ipsecme-ikev2-mlkem が利用可能になる前にリリースされた Palo Alto Networks の RFC 9370 ベースの実装とは現時点で相互運用できません。 幸いにも現在、RFC 9370 の隙間を埋める draft-ietf-ipsecme-ikev2-mlkem が存在し、古典的な Diffie-Hellman と並行して動作可能な鍵交換メカニズムの一つとしてハイブリッド ML-KEM を指定しています。業界が draft-ietf-ipsecme-ikev2-mlkem の周りで統合を続けるにつれ、Palo Alto Networks も相互運用可能なポスト量子ブランチコネクタのリストに加えられることを願っています。 しかし、相互運用可能なポスト量子 IPsec 標準への道のりはまだ終わっていません。draft-ietf-ipsecme-ikev2-mlkem はポスト量子暗号化をサポートしていますが、Q-Day（量子コンピュータが実用化される日）以降もライブシステムに対する量子敵対者による攻撃を防ぐためには、ポスト量子認証のための IPsec 標準が必要です。完全なポスト量子対応までの期間が短縮されていることを踏まえ、IPsec コミュニティには、QKD（量子鍵配送）のようなニッチなユースケースに焦点を移すのではなく、相互運用可能な PQC（ポスト量子暗号）実装の継続的な開発に注力していただきたいと考えています。 相互運用可能なポスト量子インターネットに向けて Cloudflare では、特別なハードウェアを必要とせず、お客様に追加費用をかけずに、誰もがアクセスできる安全でポスト量子なインターネットの実現を支援しています。ポスト量子の Cloudflare IPsec は、2029 年までの完全なポスト量子セキュリティへの道程における一歩であり、将来にわたりインターネットがオープンかつ相互運用可能であることを保証する形で取り組んでいます。

Cloudflare の IPsec におけるポスト量子暗号化が一般利用可能に

背景や根拠まで確認しますか？

このニュースを、実務の判断につなげる

調べる

選ぶ

サイト