耐量子暗号への移行と秘匿計算の導入が、安全性以外にもたらす費用の測定
研究計画。耐量子暗号への移行と、中身を隠したまま動かす計算。どちらも安全性ではなく、入れた後に何が変わるかを測る
暗号まわりの新しい基盤を二つ扱う。一つは耐量子暗号への移行で、鍵と署名が大きくなることが通信にどう出るかを測る。もう一つは、中身を守ったまま計算する環境の上で AI を動かしたときに、安全の監視に必要な記録がどこまで取れるかを調べる。どちらも暗号方式そのものの安全性を証明し直す研究ではない。実際のシステムに入れたときに、どこが詰まり、何が見えなくなるかを測る研究である。分類器を作らないので、この回では適合率や再現率は使わない。本ページは計画であり、実験はまだ行っていない。以下に実測値は無い。
| 方法 | 耐量子暗号では、縦を暗号の構成、横をネットワークの条件にした表を作り、各ますを多数回繰り返す。暗号の構成は従来方式、耐量子方式、移行中の併用、切り替えやすい構成の四つ。ネットワークの条件は往復時間が短い場合と長い場合、損失がある場合、帯域が限られる場合。各ますで握手にかかる時間、やり取りしたバイト数、CPU の時間、記憶の使用量、再送、接続の成功率を記録する。加えて、経路上で通せる最大の大きさを変え、握手の電文が大きくなったことでどの条件から追加の往復や再送が増えるかを、パケットの記録と端末の記録の両方から確かめる。中身を隠す計算では、その機能が使える環境では正式な機能を用い、使えない場合はまず接点だけを模擬した環境で研究の設計そのものを検証する。秘密の入力と出力そのものではなく、状態の証明、仕事の身元、通信のメタデータ、操作の分類を扱う。 |
|---|---|
| 結果 | 実験前である。本ページに実測値は無い。「予想」として書いたものは検証前の仮説であって、測定の結果ではない。 |
| 知見 | 二つに共通するのは、暗号が強くなる方向の変更が、必ず別のところに費用を発生させるという点である。耐量子暗号では、その費用は電文の大きさとして現れ、経路の条件によって増幅される。中身を隠す計算では、費用は見えなさとして現れ、監視する側の手札が減る。どちらも平均を見ているだけでは分からない。条件を変えたときにどこから現れるかを探す。 |
| 限界 | 使うライブラリと版に結果が強く左右されること。小さなテスト環境と実環境の差。中身を隠す計算の機能が使えない場合、模擬した接点が実物を代表しているとは限らないこと。標準そのものが今後更新されうること。移行の運用コストを短い実験で測ることの難しさ。研究チームが2名であるため、初めに扱う構成を絞る必要があること。 |
状態：実験前。この記事は研究の目的と方法を先に公開するための記録である。数値はまだ一つも出ていない。以下に「予想」と書いたものはすべて検証前の仮説であり、実測値として扱わない。
安全性は証明し直さない
最初にはっきりさせておく。この計画は、耐量子暗号の暗号学的な安全性を独自に証明する研究ではない。中身を隠して計算する仕組みの安全性を再評価する研究でもない。標準として定まったものを実際のシステムに入れたときに、何が起きるかだけを測る。
暗号を強くする方向の変更は、必ずどこかに費用を発生させる。耐量子暗号では鍵と署名が大きくなり、その費用は電文の大きさとして現れる。中身を隠す計算では、守りが強くなる代わりに外から見える情報が減り、その費用は監視する側の手札の減りとして現れる。どちらも、平均を眺めているだけでは分からない。条件を変えたときに初めて現れる。
耐量子暗号：どの条件で差が出るか
縦を暗号の構成、横をネットワークの条件にした表を作る。
| 暗号の構成 \ 条件 | 往復が短い | 往復が長い | 損失あり | 帯域が狭い |
|---|---|---|---|---|
| 従来方式 | ||||
| 耐量子方式 | ||||
| 移行中の併用 | ||||
| 切り替えやすい構成 |
ますはまだ一つも埋まっていない。埋めるのは実験を回す仕組みで、レポートの表はその出力から生成する。
経路に通せる大きさが効いてくる
平均の遅さだけを見ると、耐量子暗号の影響は小さく見えることがある。効いてくるのは、握手の電文が大きくなって経路上で通せる最大の大きさを超えるときである。そこから先は、追加の往復や再送が増える。だから通せる大きさを変えた条件を用意し、どこから増えるかをパケットの記録と端末の記録の両方から確かめる。
「変えられること」自体を測る
もう一つ、暗号の方式を変えられること自体を研究の対象にする。設定をプログラムに埋め込んだ構成と、暗号方式の選択を外の設定として切り替えられる構成を比べ、変更にかかる時間、元に戻せるか、試験がどこまで届いているか、設定の誤りの起きやすさを測る。
この回では適合率も再現率も使わない
ここで分類器を評価しているわけではない。分類していないのに F 値を出し始めたら、それは研究ではなく儀式である。測るのは、握手にかかる時間の分布、握手のバイト数、接続あたりの CPU 時間、記憶の使用の山、再送、接続の成功率、通せる大きさへの敏感さ、暗号を移行するのにかかった時間、元に戻せた割合、設定の複雑さである。
再現できるように、使ったライブラリ、その版、コンパイラ、CPU、OS、ネットワークを模した設定、暗号の組み合わせ、証明書の条件をすべて記録する。数値は必ず実験を回す仕組みが CSV か JSON へ出力し、表はそこから作る。
中身を隠したまま、どこまで見えるか
守られた領域の中で AI の仕事を動かす環境について、使っている最中のデータを守ったまま、ネットワークの安全に必要な記録をどこまで取れるかを調べる。守りが強くなるほど、監視する側から見える内部の様子は減る。この隙間をどう埋めるかが問いである。
- 仕事の中の秘密のデータを出さずに、安全に関わるメタデータだけを渡せる。
- 領域が正しい状態であることの証明とネットワークの記録を組み合わせると、ふつうのネットワーク上の身元より強い文脈が得られる。
- 記録を最小にすることと、異常に気づけることの間には交換がある。
比べるのは、ネットワークの記録だけ、状態の証明だけ、仕事の側の最小限の記録だけ、そして三つを合わせたものの四つである。扱うのは秘密の入力と出力そのものではなく、状態の証明、仕事の身元、通信のメタデータ、操作の分類にとどめる。
一次根拠として固定するもの
この研究では、測っているものが「標準そのもの」なのか「ある実装の出来」なのかを混ぜないようにする。そこで、次の二つを別の軸として記録する。
| 軸 | 固定するもの |
|---|---|
| 標準 | 鍵を配る方式は FIPS 203、署名は FIPS 204。版を明記する |
| 実装 | ライブラリ、その版、コンパイラ、CPU、OS、暗号の組み合わせ |
鍵や署名が大きくなること自体は標準から決まる。しかし、それが握手の時間にどう出るかは実装に強く左右される。実装の差を標準の性質として語らないために、同じ標準を複数の実装で測れる場合は測り、測れない場合はその旨を結果に書く。
予想（まだ測っていない）
耐量子暗号の影響は、平均の遅さではなく、帯域が狭く往復が長い条件で増幅されると考えている。移行の設計では、性能よりも互換性、見えること、方式を切り替えられることのほうが主要な課題になる可能性もある。
中身を隠す計算では、最小限の記録でも一定の見通しは保てる一方、細かいアプリケーションの異常には限界が残ると予想している。成果は、どこまでを守られた領域の中に置き、どこから外へ出すのかという観測の境界の設計になる。
この節は仮説である。実験の後に、実測値、図表、区間推定、誤りの分析へ置き換える。
思った通りにならなくても価値がある結果
耐量子暗号の影響がどの条件でも小さかった場合、それは移行を先送りする理由が一つ減ったという結果になる。逆に、切り替えやすい構成にしても移行の手間がまったく減らなかった場合、その作りに投資する根拠が弱いという結果になる。どちらも「速い/遅い」という雑な結論よりは役に立つ。
限界
- 使うライブラリと版に結果が強く左右されること
- 小さなテスト環境と実環境の差
- 中身を隠す計算の機能が使えない場合、模擬した接点が実物を代表しているとは限らないこと
- 標準そのものが今後更新されうること
- 移行にかかる運用の費用を、短い実験で測ることの難しさ
- 研究チームが2名であるため、初めに扱う構成を絞る必要があること
参考文献
- NIST. Module-Lattice-Based Key-Encapsulation Mechanism Standard. FIPS 203, 2024. DOI: 10.6028/NIST.FIPS.203.
- NIST. Module-Lattice-Based Digital Signature Standard. FIPS 204, 2024. DOI: 10.6028/NIST.FIPS.204.
- NIST. Considerations for Achieving Crypto Agility: Strategies and Practices. CSWP 39, 2025. DOI: 10.6028/NIST.CSWP.39.
- NIST SP 1800-38, Migration to Post-Quantum Cryptography（NCCoE）。草案であり確定版は確認できていないため、指針として参照するにとどめる。
- NIST IR 8320E ipd, Hardware-Enabled Security: Confidential Computing of Data in Cloud Workloads（意見募集用の草案）。確定版は確認できていない。
上の三件は実物の書誌を確認した。下の二件は草案のため、確定版が出た時点で差し替える。