GAUGE: A Formal Framework for Measuring Cryptographic Security under Heterogeneous Adversary Cost Models

デジタル世界において、私たちの秘密の安全性は、解読が極めて困難な数学的な鍵に依存しています。何十年もの間、専門家たちはこれらの鍵の強さを、「ビット」と呼ばれる特定の数値で表される単一の数字で測定しようと試みてきました。この数字は、攻撃者がコードを破るために必要な手間（時間と計算能力の観点から）を示すためのものです。しかし、この単一の数字には決定的な複雑さが隠されています。それは、その値が「努力をどのようにカウントするか」という決定方法に完全に依存しているという点です。もしコンピュータのメモリを無料だと見なせば、ある鍵は非常に強力に見えるかもしれません。しかし、メモリの使用コストが高いと判断すれば、同じ鍵が突然弱く見えることもあります。政府の標準化機関やセキュリティ機関といった異なる組織は、それぞれ異なるコストの数え方を使用しています。その結果、どの鍵がより安全であるかについて異なる答えが出ることが多く、どのシステムを信頼し、いつ新しいものに切り替えるべきかについて混乱を招いています。

新しい研究は、「GAUGE」と呼ばれるフレームワークを導入し、この問題への向き合い方を変えました。すべてのセキュリティシステムを単一の硬直した数値に押し込めるのではなく、研究者たちはセキュリティを、ゲームのルールに応じて変化する柔軟なプロファイルとして扱っています。資源の価格によって地形が変わる地図を想像してみてください。ある価格設定の下では安全に見える経路が、別の価格設定の下では危険になるかもしれません。これらの広大な風景全体をマッピングすることで、チームは異なるセキュリティシステムがどこで、なぜ交差するのかを正確に把握できます。彼らは、将来に向けて準備されている多くの新しい高度な鍵について、「どちらがより安全か？」という問いへの答えは単純な事実ではないことを明らかにしました。それは、どの会計手法を選択するかに完全に依存する問いなのです。

研究者たちはこの新しい手法を、特に将来の量子コンピュータによる攻撃に耐えられるよう設計された最新世代の暗号標準に適用しました。彼らは、ML-KEMと呼ばれる、広く使用されている特定のシステムを取り上げ、AESと呼ばれる古典的でよく理解されているシステムと比較しました。攻撃を実行するのにかかる時間のみをカウントする米国国立標準技術研究所（NIST）の標準的なルールの下では、新しいシステムは古典的なシステムよりもわずかに弱いように見えました。しかし、研究者がメモリのコストを含めるようにルールを調整したところ（これは、一部の欧州のセキュリティ機関が重要であると考えている要素です）、新しいシステムは突如としてはるかに強力に見えるようになりました。この研究は、メモリの価値を時間に対してわずか4.5%変化させただけで、ランキングが完全に逆転することを証明しました。これは間違いや計算ミスではなく、これらのシステムがどのように振る舞うかに関する根本的な幾何学的事実です。研究者たちは、すべての人にとっての「真実」を捉える完璧な単一の数字は存在しないことを示しました。なぜなら、システムの性質自体が、視点によって互いに交差してしまうからです。

「答えが視点に依存する場合にどのように意思決定を行うか」という問題を解決するために、チームはこれらの関係を分類する方法を開発しました。彼らは、一つの鍵が他の鍵よりもあらゆるルールにおいて厳密に優れているのか、特定の条件下でのみ優れているのか、あるいは二つのシステムが単に比較不能（交差している）なのかを判別できるシステムを作り上げました。新しい量子耐性のある鍵については、それらが古典的な対応物と「比較不能」であることが多いことが研究で判明しました。これは、どちらか一方を選ぶことが、客観的に強い鍵を見つけることではなく、どのコストモデルを信頼するかという意識的な選択であることを意味しています。この研究は、これらの交差を検証できる数学的な証明を提供しており、これにより標準化機関は、自分たちの意見の相違がどこにあるのかを正確に把握し、双方の主張がそれぞれの選んだ枠組みの中で数学的に正しい可能性があることを理解できるようになります。

単に鍵を比較するだけでなく、このフレームワークは将来の計画にも役立ちます。研究者たちは、過去20年間にハッカーがコードを破る能力をどれほど向上させてきたかという歴史を調査しました。彼らは、特定の種類の数学的問題において、それを破るために必要な労力が、特定の期間、毎年セキュリティの10ビット近く減少していることを見出しました。このデータを用いて、彼らは「ハッカーがどれほど速く進化するか」という不確実性と、「どのコストモデルが正しいか」という不確実性を分離したリスクモデルを構築しました。これにより、組織は秘密を安全に保持できる期間を計算できます。例えば、ある企業が文書を5年間保護する必要がある場合、研究は、リスクを最小限に抑えるために新旧の鍵を組み合わせる具体的な戦略を示唆しています。しかし、30年間保護する必要がある場合、数学的な計算によれば、同じ戦略では不十分であり、より早い段階での新技術への切り替えが必要になることが示されます。

研究チームは、測定の正確性を確保するために、これらのアイデアを実際のハードウェア・シミュレーションでもテストしました。彼らは、コードを破るコストが、マシンの物理的なゲートをカウントする場合と、実行にかかる時間をカウントする場合でどのように変化するかを確認するために、シミュレートされた量子コンピュータ上で実験を行いました。このシミュレーションは、安全性の順序がカウント方法によって実際に逆転し得ることを確認し、理論的な予測を裏付けました。研究者たちは、すべてのツール、データ、および検証ステップを再現可能な公開ツールセットとしてパッケージ化しており、7秒足らずですべての表と知見を再現できます。この透明性は、結果が単なる理論的な演習ではなく、誰でもセキュリティの主張を監査できる実用的な道具であることを保証しています。

結局のところ、この研究はどの鍵がベストであるかを教えてくれるものではありません。むしろ、問いの立て方をより良くしてくれるものです。この研究は、異なるセキュリティ機関の間の論争が、どちらが正しいか間違っているかではなく、彼らがどのような現実のバージョンを測定しているのかについての論争であることを明らかにしています。ゲームのルールを明示することで、このフレームワークは政策立案者やエンジニアが全体像を把握できるようにします。彼らは、セキュリティレベルに関する意見の相違が、多くの場合、リソースの価値をどう見積もるかについての相違であることを理解できるようになり、その知識を持って選択を下すことができるのです。その結果、デジタル安全性の議論は、不確実性が単一の数字の背後に隠されるのではなく、明確に提示される、より明快で誠実な対話へと導かれるのです。