ML-DSAでやるしかない：より優れた耐量子署名を待てない理由

RSAとECCは、十分に高度な量子コンピュータが登場すれば終わりだ。そのことは何年も前から明らかだった。良いニュース：暗号化のML-KEMと署名のML-DSAはすでにNISTによって標準化され、大規模に展開されている。Cloudflareは、トラフィックの大部分がML-KEMを使用していると報告している。悪いニュース：ML-DSAは通信路上でかさばり、従来の方式で慣れ親しんだ暗号の柔軟性に欠ける。そして、より優れた代替案は？標準化までにはまだ何年もかかる。

詳細な投稿で、CloudflareのBas WesterbaanとChristopher Pattonは、耐量子署名アルゴリズムの現状と、組織が最初の移行の波でML-DSAに賭ける理由を説明している。結論：理想のアルゴリズムを待つことはできない。Eric Rescorlaが言ったように、

あなたは持っているアルゴリズムで戦争に行くのであって、持っていたいと思うアルゴリズムで行くのではない。

候補の状況

NISTは最近、9つの耐量子署名方式を署名オフランプの第3ラウンドに進めた。その中には、格子ベース、ハッシュベース、多変数多項式ベースの候補が含まれており、それぞれ署名サイズ、検証速度、鍵サイズにトレードオフがある。FN-DSA（旧Falcon）は近く標準化される見込みで、ML-DSAよりも小さい署名を提供するが、実装要件はより複雑である。

Cloudflare自身の分析（2021年から毎年更新）によると、これらの新しい方式は特定の側面（署名サイズの縮小や検証の高速化など）でML-DSAを改善しているものの、現在のところ本番環境で使用できる状態にはない。標準化プロセスだけでもさらに数年かかり、その後、実装、監査、エコシステムへの採用が待っている。

ML-DSAが実用的な選択肢である理由

ML-DSAは実戦で試され、標準化され、主要なTLSライブラリですでに出荷されている。完璧ではない。署名はRSA-2048の約10倍大きく、開発者が依存する暗号のトリック（署名集約やブラインド署名など）の多くをサポートしていない。しかし、それは機能する。より優れた方式を待つことは、その間、トラフィックをハーベスト・ナウ・デクリプト・レイター攻撃に対して脆弱なままにすることを意味する。

Cloudflareの目標は、2029年までにインフラ全体で完全な耐量子セキュリティを実現することだ。そのスケジュールは野心的だが、ML-DSAで達成可能である。新しいアルゴリズムは最終的には登場するだろう。署名サイズやパフォーマンスが最重要視されるユースケースでは重要になるが、最初の移行の波には間に合わない。

結論

耐量子移行はマラソンであって、スプリントではない。ML-DSAは私たちをスタートラインに立たせてくれる。次世代の署名方式はより速く走らせてくれるだろうが、それは今すぐ動き出して初めて可能になる。