量子時代のWeb暗号を守れ——CloudflareがポストクォンタムTLS証明書へ#
Cloudflareは、量子コンピュータによる攻撃に耐えうる「量子耐性TLS証明書」を発行する計画を正式に表明した。同社はこの分野では先駆者的な立場となり、2027年第1四半期に証明書の発行を開始する予定だ。
そもそも何が問題なのか？——現行TLSの限界#
現在のWebにおける暗号化・認証の基盤は「WebPKI（Web公開鍵インフラ）」と呼ばれる仕組みで成り立っており、X.509証明書と呼ばれる形式が広く使われている。しかし、量子コンピュータが実用化されると、Shorのアルゴリズムと呼ばれる手法によって従来の暗号署名や公開鍵が偽造される恐れがある。
問題はその対策のコストにある。既存のX.509証明書を量子耐性アルゴリズムに単純に置き換えると、TLSハンドシェイク（ブラウザとサーバーが新しい通信セッションを確立する際に必要な処理）に必要なデータ量が現在の約40倍に膨れ上がると言われている。このまま実装すれば、現在のインターネットの動作に深刻な支障をきたしかねない。
解決策：Merkle Tree Certificates#
この問題に対するブレークスルーとして、Googleが2025年2月に発表したのが「Merkle Tree Certificates（マークルツリー証明書）」だ。Merkle Treeとは、暗号学的ハッシュを使った階層型データ構造であり、大量の情報をごく少量のデータで検証できる仕組みだ。
Cloudflareはこの設計をGoogleとともに限定的なパイロットプログラムでテストしており、ハンドシェイクデータ量を約40キロバイト——現状とほぼ同等の水準——に抑えることに成功している。
具体的な仕組みとしては、証明書認証局（CA）が数百万枚の証明書を代表する「ツリーヘッド」と呼ばれる単一の要素に対してのみ署名する。ブラウザが受け取るのは「ランドマーク」と呼ばれる軽量な証明であり、対象の証明書がそのツリーのどこかに存在することを示す。これにより、量子脆弱な署名チェーンをコンパクトなMerkle Tree証明に置き換えることができる。
さらに重要な点がある。現行のPKIでは、証明書の透明性ログ（発行された証明書を記録する追記型の分散台帳）は証明書発行とは別プロセスで管理されている。しかしMerkle Tree Certificatesでは、ログが証明書発行プロセスと一体化しており、透明性の確保が「アドオン」ではなく「動作の必須要件」となる。Cloudflareのエンジニア、Mari Galicer氏はこの点を重要な進歩として強調している。
Cloudflareの具体的な取り組み#
Cloudflareは以下の要素を組み合わせて、量子耐性PKIの構築を進める。
- オープンソースプラットフォームの活用: 従来のTLS証明書とMerkle Tree Certificatesの両方を発行できるプラットフォームを使用
- GlobalSignからのルート証明書取得: 既に信頼されているルートCAをCA GlobalSignから取得し、何百万ものWebサイトが「スイッチひとつ」でポスト量子証明書に移行できる体制を整える
- 無償提供: 有料・無料ユーザー双方に対してハイブリッド証明書を無料で提供
- ACMEの採用: 証明書の発行と有効期限前の自動更新を行うオープンソースの仕組みであるACME（Automated Certificate Management Environment）を採用
- 帯域外署名配布: サーバー障害などで通常のランドマーク更新が受け取れない場合に備え、ブラウザアップデート経由での署名配布にも対応
なお、Cloudflareのエンジニア Steve Goldsmith氏は「現時点では証明書の発行はまだ行っていない」とし、今回の発表はあくまでもコミットメントの公表であり、マイルストーンを公開しながら作業を進めていくと述べている。
なぜこのニュースが重要か#
透明性ログが重要な意味を持つ背景には歴史的な事件がある。2011年、オランダのCA事業者DigiNotarがハッキングされ、GoogleをはじめとするWebサイト向けに500枚もの偽造証明書が作成された。一部はイランでのユーザー監視に悪用されたとされている。この事件を受けて、証明書透明性プログラムが業界全体で導入された経緯がある。
量子コンピュータが実用化されれば、こうした透明性ログの公開鍵や署名付きタイムスタンプまでもが偽造されるリスクが生じる。つまり、証明書が未登録にもかかわらず、登録済みとブラウザやOSに思い込ませることが可能になる。Merkle Tree CertificatesはこうしたリスクにもWebPKIレベルで対応しようとするものだ。
まとめ#
Cloudflareによる量子耐性TLS証明書の計画は、単なるアルゴリズムの置き換えではなく、WebPKI全体の根本的な構造変革を意味する。Merkle Tree Certificatesの採用により、パフォーマンスオーバーヘッドを増やすことなく量子耐性を実現する方向性が示された。2027年第1四半期に発行開始を目指すとしているが、この変革にはOS・ブラウザ・CA・インターネットインフラを手掛ける多数のエンジニアの協力が必要であり、完全移行には数年単位の時間がかかる見通しだ。
筆者の見解: 量子コンピュータの脅威は依然として将来の話だが、今からインフラを変革し始めなければ間に合わないというCloudflareの姿勢は、業界全体に対して重要なシグナルを送っていると感じる。特に「透明性をアドオンではなく必須要件にする」という設計思想は、セキュリティの本質を突いたアプローチだ。
