Measuring Post-Quantum TLS Deployment Across UK Internet Sectors
4,665の英国企業を対象としたこの研究は、観測可能な耐量子計算機暗号の導入状況が極めて不均衡かつ断片化されており、それが組織のセクターではなく主にインフラプロバイダーの決定によって左右されていること、ならびにSMTPと比較してHTTPSでの採用が著しく高いこと、そして耐量子証明書署名の顕著な欠如を明らかにしている。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
インターネットを、あらゆる建物がウェブサイトやメールサーバー、クラウドサービスである、巨大で賑やかな都市だと想像してみてください。ドアに鍵をかけ、秘密を守るために、これらの建物は「暗号技術」と呼ばれる特別なデジタルキーを使用しています。数十年にわたり、これらの鍵は非常に強力なものでしたが、科学者たちは、これらすべてを破ってしまう可能性のある「スーパーキー」の出現を懸念してきました。このスーパーキーは、量子コンピュータと呼ばれる新しい種類のコンピュータから生まれるものです。これは現在も開発中ですが、現在の鍵を解読できるほど強力なものになると予想されています。これに備えるため、専門家たちは「耐量子計算機暗号（PQC）」と呼ばれる、新しい量子耐性を持つ鍵を設計しています。政府や企業にとっての大きな疑問は、「私たちは実際にこれらの新しい鍵をドアに取り付けているのだろうか、それとも単に口にしているだけなのだろうか？」ということです。この論文は、イギリス国内のどれだけの建物が、実際にこれらの新しい、未来的な鍵をフロントドアに設置したのかを正確に調査する、都市規模の点検のようなものです。
著者であるニューカッスル大学のコンスタンティノス・ロイツォ氏とエッサム・ガダフィ氏は、この問題に対して非常に具体的かつ巧妙なアプローチを取りました。単に最も人気のあるウェブサイトをスキャンする（街の中心部にある高層ビルだけをチェックするようなもの）のではなく、銀行、病院、大学、政府機関など、10の異なるセクターにわたる4,665の異なる組織からなるバランスの取れたマップを作成しました。彼らは2つの主要な「ドア」をチェックしました。ウェブ（HTTPS：ウェブサイトを訪問する際に目にする鍵）と、メール（SMTP：メッセージを送信・受信するために使用される鍵）です。彼らは、これらの組織が新しい量子耐性を持つ鍵交換メソッドを実際に使用しているかどうかを確認しようとしました。
以下に彼らの発見結果を示しますが、それは少し複雑な状況です。まず、新しい鍵は見え始めていますが、主にウェブ上で確認されました。彼らがチェックした到達可能なウェブサイトのうち、約44%に、少なくとも1つの新しい量子耐性を持つ鍵がインストールされていました。しかし、メールサーバーに目を向けると、状況ははるかに深刻でした。新しい鍵を備えていたメールサービスは、わずか約6.4%に過ぎませんでした。ある組織がウェブサイトに新しい鍵を備えている場合、そうでない場合に比べて、メールサーバーにもその鍵を備えている確率が約17倍高いことが分かりました。それでもなお、ほとんどのメールサーバーは、依然として解読される可能性のある古い鍵を使用しています。
この物語で最も驚くべき展開は、「誰が」これらの鍵を設置しているかという点です。銀行とテック企業では、アップグレードの速さに大きな違いがあると思うかもしれませんが、研究によれば、組織の業種はそれほど重要ではなく、その建物を誰が運営しているかの方が重要であることが分かりました。それは、家が新しいセキュリティシステムを備えているかどうかは、家族ではなく大家次第であると気づくようなものです。研究者たちは、ごく少数の大規模なインフラプロバイダー（Cloudflare、Google、Amazonのような企業）が、見られた新しい鍵のほとんどを担っていることを発見しました。例えば、Cloudflareがホストしているウェブサイトの95%には新しい鍵がありました。一方で、Microsoftがホストするメールサーバーには一つもありませんでした。実際、メールに関しては、Googleが新しい鍵を備えた唯一の主要プロバイダーであり、彼らが見つけた採用事例のほぼすべてを占めていました。
また、この論文は証明書（その建物が間違いなく本人であることを証明するデジタルIDカード）の「署名」についても調査しました。その結果、ドアの「鍵」は量子耐性を持ち始めている一方で、「IDカード」は依然として古い古典的な署名を使用していることが判明しました。まだ誰も新しい量子耐性を持つIDカードに切り替えていません。これは、フロントドアは強化されつつあるものの、そこに立っている人物が誰であるかを検証する方法は変わっていないことを示唆しています。
要約すると、この研究は、私たちが量子耐性を持つ鍵を備えたウェブサイトを目にしたとき、それは多くの場合、そのウェブサイトを運営している特定の組織が特別な計画を立てたからではなく、そのサイトをホストしている大手テック企業がアップグレードを決めたからである、ということを示唆しています。つまり、単にウェブサイトを見て新しい鍵があるのを確認したとしても、それが組織全体の準備ができていることを意味するわけではありません。それは単に、彼らの「大家」が時代の先を行っているだけかもしれないのです。研究者たちは、これらの目に見えるアップグレードを、組織全体にわたる移行と混同しないよう注意する必要があると結論付けています。なぜなら、メールシステムやデジタルIDカードは、まだ後方で待機している状態だからです。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。