インターネットの暗号基盤は、もはや存在しない世界、より正確には、静かに残された時間が尽きつつある世界のために構築された。Q-Day、すなわち量子コンピュータが現代の公開鍵暗号を破れるほど強力になる時点は、もはや理論上の地平線ではない。暗号分野の多くのベテランによれば、それは2020年代後半の問題だという。これは多くの機関のロードマップが示すよりも近く、平均的な暗号資産ユーザーが想定しているよりもはるかに近い。

そこで問題となるのは、1994年に公表されたShor’s algorithmである。十分に大規模で誤り訂正された量子機械であれば、RSAや楕円曲線暗号の背後にある秘密鍵を導き出せる可能性がある。これらの方式は、ほとんどのインターネット通信と事実上すべての暗号資産を保護している。現在存在するどのコンピュータも、その規模でこのアルゴリズムを実行することはできないため、専門家の議論は基礎となる数学ではなく、いつ到来するかに集中している。

QuantusのCOOで、ポスト量子暗号をハードウェアウォレット基盤に統合しているJoseph Gabriel Mattia IIIは、この移行がプロトコル層、保管管理層、そしてハードウェアウォレットの箱からセキュリティについて学んだ一般保有者にとって、実際にはどのように見えるのかを考えてきた。彼の答えは、業界の現在の姿勢が示すほど安心できるものではない。彼にとっては、サトシのウォレットよりもステーブルコインの管理鍵のほうが懸念材料だ。彼は、マルチシグは量子攻撃者に対して実質的な抵抗を提供しない、壊れた同じ仕組みの鍵が増えるだけだと主張する。そして、公開の準備状況トラッカーであるmigration.failで追跡されている主要な暗号資産は、いずれも現在、署名レベルで脆弱とされている。

以下は、業界がまだ十分に深刻視していない脅威、なぜ概念実証を待つのでは遅すぎる可能性があるのか、そして量子対応が実際には何を意味するのかについての対話である。そこでは、マーケティング上のラベルではなく、検証可能で監査可能であり、デフォルトでスタックに組み込まれていることが求められる。

「Q-Day」はいつ到来すると見ていますか。つまり、量子コンピュータが現代の公開鍵暗号を破れる閾値です。攻撃者は最初にどのシステム、データ、資産、プロトコル、インフラを狙うでしょうか。理由も教えてください。

おそらく2020年代後半のどこかでしょう。正確な年についてはまだ議論がありますが、多くの暗号技術のベテランは今後4年以内に起こると考えています。

最初の標的については、多くの人が思い浮かべるかもしれないSatoshi’s Bitcoinは、私は対象にならないと見ています。

もし攻撃者がその能力を持っていたとして、目立つものを狙えば世界中にその事実を知らせることになり、巨大な戦略上の優位を失います。彼らは、おそらく最も支配力や価値を得られ、かつできるだけ注目を集めない鍵に集中するでしょう。

暗号資産の世界では、たとえば大手ステーブルコインの管理鍵のほうが私にはより懸念されます。ひとつの侵害された鍵がエコシステム全体に影響し得るため、単一のウォレットよりはるかに大きな標的になります。

暗号資産の外では、公開鍵暗号が破られることで極めて機微なデータが露出し得る、機密性の高い政府通信、軍事ネットワーク、諜報システムを見ます。

今日、多くのプロジェクトが「量子耐性」をうたっていますが、統一された監査可能なチェックリストがなければ、それらの主張は検証できません。あなたの見解では、量子対応の最低基準とは何でしょうか。

私にとって最低基準とは、プロジェクトが、スタックのどこに量子脆弱な暗号がまだ残っているかを正確に示せることです。ポスト量子対応の認証方式を使うことは良い出発点ですが、それだけでネットワーク全体が量子対応になるわけではありません。

トランザクションの認証は、認知されたポスト量子対応の仕組みに依拠すべきであり、プロジェクトは、P2P接続、コンセンサス、ゼロ知識システム、プライバシーレイヤー、ブリッジ、その他の重要インフラを何が保護しているのかを公開文書で示す必要があります。

さらに、現時点で稼働しているものと、ロードマップ上にあるだけのものを明確に区別しなければなりません。

最も重要なのは、それらの主張が監査可能であることです。誰でも、どのアルゴリズムとパラメータセットが使われているのかを確認し、実装を精査し、セキュリティが不透明または検証不能な方式やマーケティング上のラベルに依存していないことを確かめられる必要があります。

システムの各重要部分を守る暗号を正確に指し示せないなら、「量子対応」という言葉にはほとんど意味がないと私は考えます。

統一され、検証可能な量子対応基準は誰が整備すべきでしょうか。そこには何を含める必要がありますか。

暗号そのものについては、NISTを基準点として維持したいです。NISTのポスト量子プロセスは世界中の研究者を巻き込み、いずれか一つの政府や企業が結果を左右しにくくしました。そのプロセス――2016年に始まった公開の複数年競争――は、2024年8月に最初の確定標準を生みました。鍵共有向けのML-KEMと、署名方式のML-DSAおよびSLH-DSAです。

ブロックチェーンについては、次の層は公開の場で活動するプロトコルチームが構築すべきであり、研究者や監査人が設計とその結果を厳密に検証できる余地が必要です。

その基準は、ネットワークが現在どのように動いているかを反映する必要があります。出発点は、トランザクション認証に使われる暗号と、ポスト量子保護がデフォルトになっているかどうかです。脆弱な署名にまだ依存している部分があれば、それを明確に開示しなければなりません。

移行もその一部でなければなりません。ネットワークがポスト量子鍵をサポートしていても、多くのユーザーが古い鍵を使い続けている場合があるからです。

ハードウェアウォレットは物理的な盗難から鍵を守りますが、公開鍵に対する量子攻撃からは守れません。この違いについて、現在のユーザー認識をどう評価しますか。一般ユーザーが今使える安全な保管モデルはありますか、それとも業界には新しいウォレットのパラダイムが必要でしょうか。

ハードウェアウォレットが何から守ってくれるのかについては、まだ大きな誤解があります。これは、秘密鍵をノートパソコンやスマートフォンから隔離してくれるので、非常に有用です。しかし、量子攻撃者はそのデバイスに触れる必要がありません。脆弱な公開鍵が一度露出すれば、量子攻撃者はハードウェアウォレットに触れることなく、暗号そのものを直接攻撃できます。

ただし、それでハードウェアウォレットが時代遅れになるわけではありません。私たちはすでにQuantus向けのKeystoneにポスト量子対応を組み込んでおり、ハードウェアのモデルは進化できます。制約は、ウォレット単体ではBitcoinやEthereumをポスト量子化できないことです。基盤となるネットワーク側も新しい署名方式をサポートしなければなりません。

より良いモデルは、ウォレットとネットワークの両方にデフォルトでポスト量子保護を組み込みます。ユーザーは、自分の下にある暗号がいつ古くなったのかを知る必要があってはなりません。

マルチシグ方式は攻撃の複雑さを指数関数的ではなく線形にしか増やしません。これは、マルチシグを基盤とする機関投資家向け保管アーキテクチャが、偽の安心感を生み出すことを意味しますか。

マルチシグは依然として非常に有用であり、機関がそれをやめるべきだとは思いません。単一の鍵の盗難や単一の署名者の侵害など、今日の保管システムが直面する脅威から守ってくれます。

危険になるのは、より多くの鍵が量子攻撃への保護だと見なされ始めたときです。同じ脆弱な署名方式の上に構築された3-of-5構成でも、根本的な弱点は同じです。量子攻撃者は複数の鍵を回収する必要があるかもしれませんが、毎回同じ種類の問題を解いているにすぎません。5つの鍵があっても、すべて同じ脆弱な仕組みを共有していれば大きな助けにはなりません。

したがって、機関が冗長性＝量子耐性だと考えるなら、マルチシグは偽の安心感を生み出し得ます。より良い道は、分散型保管は維持しつつ、その下にある脆弱な認証方式を、量子攻撃者に耐えられるものに置き換えることです。

大手取引所やカストディアンは、量子コンピュータが数分で公開鍵から秘密鍵を導出できるシナリオに備えていますか。一般ユーザーはどうでしょうか。

大手取引所の多くは、現在知られている攻撃に対しては防御に長けています。しかし、インフラに一切触れずに秘密鍵を再構築できる攻撃への準備ができていることを示す証拠は、あまり見ていません。

私たちはこれをmigration.failで追跡しています。これは主要なブロックチェーンネットワークがいまだに量子脆弱な暗号に依存しているかどうかを評価する公開の準備状況トラッカーです。現時点では、対象となっている上位20の暗号資産はすべて、署名レベルで脆弱とされています。

真剣な対応計画には、どの運用鍵が露出しているのか、ひとつが疑わしくなったときにどれだけ早く資金を移動できるのかを織り込む必要があります。悪意のあるトランザクションでも、オンチェーン上では完全に正当なものに見える可能性があり、初動対応を難しくします。

一般ユーザーはさらに遅れています。多くの人は、ウォレットや取引所から移行が必要だと告げられて初めて知ることになるでしょう。したがって、現実的な計画では、その移行を安全に完了できるほど簡単にする必要があります。

大規模な量子コンピュータの到来のはるか前から、「今収集して後で解読する」脅威が、なぜ今日関連性を持つのでしょうか。

まず、これをブロックチェーン署名への量子脅威と分けて考えるべきです。両者はしばしば一括りにされますが、Bitcoinのトランザクションはすでに公開されています。攻撃者が今日記録して10年後に解読する必要があるものはありません。

しかし、銀行、政府、その他の機関についてはそう言えません。暗号化されたデータが、数年後にも、そしておそらくその時点でもなお機密である可能性があるからです。誰かが今日その通信を収集し、技術が追いつくまで保存しておくことができます。

Signal、iMessage、Cloudflareはすでにシステムの一部をポスト量子保護へ移行しており、多くのユーザーはほとんど気づいていません。おそらく、それがこの移行のあるべき姿です。

機密データは、量子コンピュータが破れることが証明されるまで、量子脆弱な暗号のままであってはなりません。その時点では、数年分の通信がすでに誰かのアーカイブに保存されているかもしれません。

ブロックチェーンのデータは改ざん不能で公開されています。すでに記録された取引について何かできることはありますか、それともそのデータは永遠に危険にさらされたままなのでしょうか。

記録されたブロックチェーンデータは永続的です。しかし、永続であることは、Q-Day後にすべての古い取引が突然危険になることを意味しません。ほとんどは、そもそも透明なチェーン上で既に公開されていました。

例外は公開鍵です。Bitcoinでは、露出した公開鍵がすでに永続的に記録されているからです。標準的なBitcoinアドレスは、そこからコインが使われるまでは公開鍵のハッシュだけを公開しますが、ネットワーク最初期のpay-to-public-key出力、そして再利用された、または既に使用済みのアドレスは、公開鍵そのものを表示します。攻撃者は、今日、私的なアーカイブを作ったり、事前に何かを傍受したりする必要はありません。数年後、同じ公開台帳をたどって、いまだに価値のあるものを支配している露出した鍵を狙えばよいのです。

資金をポスト量子鍵へ移せば、その古い露出から価値を取り除くことはできますが、歴史記録そのものを消すことはできません。

プライベートな取引では、問題は少し異なります。データは数年後もチェーン上に残り続けるため、それを保護している暗号が最終的に破られれば、当時は隠されていた情報が後から見えるようになる可能性があります。

今後12〜24か月以内に、業界はどのような測定可能で強制力のある量子対応基準を確立すべきでしょうか。

有用な基準の一つは、現在の米国政府の対応です。連邦機関には、自らの暗号リスクを把握し、移行責任者を明確に置くことが求められています。これらの要件はNational Security Memorandum 10とそれに続く予算当局の指針に由来し、NISTの移行ドラフト計画では、RSA-2048と楕円曲線暗号を2030年までに段階的廃止し、2035年までに完全に禁止することが提案されています。高価値システムにはポスト量子暗号への移行期限が定められており、それらの依存関係を追跡しやすくするため、cryptographic bill of materialsの作成も進んでいます。

暗号資産業界も、今後12〜24か月で同様の規律を持つ必要があります。主要プロトコルは、脆弱な暗号がまだ使われている箇所を公開し、それを廃止する移行完了日を付けるべきです。取引所とカストディアンは、旧式の鍵の背後にどれだけの価値が保管されているかを開示すべきです。

そうした数値が公開されれば、上場審査やセキュリティ監査でも利用できるようになります。それにより、業界は実際に測定できるものを得られます。

そのような基準を大規模に実装するうえでの最大の障害は何でしょうか。直近では業界はどう対処すべきですか。

最も難しいのは、誰も中央のスイッチを入れられない状況で、何百万もの個々の保有者を動かすことです。プロトコルはポスト量子対応を追加できますが、何年もコールドストレージに置かれたコインは、所有者自身が移さなければなりません。

当面は、移行をできるだけ簡単にすることに集中すべきです。ウォレットには、最小限の摩擦でより安全な鍵へ案内するフローが必要であり、取引所とカストディアンには、負荷のかかる状況で既にテスト済みの手順が必要です。プロトコル層では、単に脆弱なシステムを、帯域幅、ストレージ、プライバシー面で受け入れがたいコストを生む別のものに置き換えるだけであってはなりません。その制約は抽象的なものではありません。NISTのML-DSA署名は数キロバイト規模で、今日のブロックチェーンで一般的な64〜72バイトの楕円曲線署名の数十倍の大きさですし、ハッシュベースの代替方式にも独自の署名サイズや状態管理のトレードオフがあります。脅威が差し迫ってから設計を始めるのでは、失敗の余地がほとんど残りません。

休眠資産はこの問題をさらに難しくします。一部の所有者は移行に現れないでしょう。そのため、ネットワークは残された脆弱なコインをどう扱うかも決めなければなりません。