💻 computer science

Three Axes of Quantum Risk: A Unified Observability Model for PQC, QKD, and Crypto-Agility

本論文は、現在の単一軸のディスカバリーツールの限界に対処するため、アルゴリズム耐性、チャネル保護、およびクリプト・アジリティに基づいて資産を評価する、量子リスクのための統一された三軸オブザーバビリティモデルを導入し、オープンソースの実装（Sezar）と、TLS、QKD、およびアジリティのシナリオにわたる実証的な検証によってこれを裏付けている。

原著者： Aleaddin Ozer, Murat Aydos

公開日 2026-07-07

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Aleaddin Ozer, Murat Aydos

原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

あなたは、巨大な艦隊（あなたの会社のデジタル資産）の船長であり、嵐の地平線に向かって航海していると想像してください。その嵐とは「量子コンピュータ」であり、それが到来すれば、あなたの船の荷物につけられたほとんどすべての錠前を破壊できてしまいます。

長い間、セキュリティの専門家たちは、シンプルな問いを投げかけてきました。「あなたの錠前は、新しい嵐耐性のある金属で作られていますか？」（これは、ポスト量子暗号（PQC）を使用しているかどうかを確認するものです）。

しかし、この論文の著者である Aleaddin Ozer と Murat Aydos は、この問いは単純すぎると主張しています。彼らは、単に新しい錠前を持っているだけでは不十分であると言います。真に安全であるためには、3つの異なる要素を見る必要があると考えています。彼らはこれを 「量子リスクの3つの軸（Three Axes of Quantum Risk）」 と呼んでいます。

以下に、日常的な比喩を用いてその内訳を説明します。

リスクの3つの軸

1. 軸A：錠前そのもの（アルゴリズムの耐性）

比喩: あなたのドアは木製ですか、それともスチール製ですか？
論文のポイント: これは暗号化の背後にある実際の数学的性質をチェックします。それは、量子コンピュータによって簡単に粉砕されてしまう古い脆弱な木材（RSAなど）ですか？それとも、新しい超強力なスチール（NISTの新しい標準である ML-KEM など）ですか？
落とし穴: たとえ最高のスチール製の錠前を持っていても、ドアが大きく開け放たれていれば意味がありません。

2. 軸C：配送トラック（チャネル保護）

比喩: 鍵はどのようにして錠前まで届けられましたか？
論文のポイント: たとえ強力な錠前を持っていても、その錠を開けるための鍵がリスクのある方法で届けられている場合があります。
- 古典的な配送: 鍵は、誰にでも盗まれる可能性のある通常の公道を通って送られました。
- QKD配送（量子鍵配送）: 鍵は、物理学を用いた「魔法のテレポーター」を介して送られました。これにより、盗み取られようとしても即座に検知されるため、盗むことが不可能です。
洞察: 2隻の船が全く同じスチール製の錠前（軸A）を持っていたとしても、一方は鍵が「魔法のテレポーター」（軸C = 高）によって届けられ、もう一方は「自転車に乗った泥棒」（軸C = 低）によって届けられているかもしれません。これらは全く異なる危険地帯にいます。

3. 軸G：変化の速度（クリプト・アジリティ／暗号の機敏性）

比喩: もし明日、嵐が激しくなった場合、あなたはどれほど速く錠前を交換できますか？
論文のポイント: これはセキュリティをアップグレードする際の容易さを測定します。
- アジャイル（機敏）: スイッチを切り替えたり、設定ファイルを編集したりするだけで、錠前を変更できます（スマートフォンの設定を変更するようなものです）。
- フローズン（凍結）: 錠前が船の船体に溶接されています。変更するには、船を解体してエンジンごと交換しなければなりません（ハードウェアの交換）。
洞察: もし弱い錠前を持っていても、5分で強力なものに交換できるのであれば、強力な錠前を持っているが溶接されて動かせない人よりも安全です。なぜなら、嵐が来る前に問題を修正できるからです。

「デッドライン」という要素

論文では、q(asset, t) というスコアを導入しています。これは、時間とともに変化する「危険メーター」と考えてください。

今日: もしあなたが弱い錠前を持っていても、即座に変更できる能力（高いアジリティ）があれば、あなたの危険メーターは低くなります。修正する時間があるからです。
デッドライン（例：2030年）: 嵐が近づくにつれ、「変更する能力」の重要性は低下します。もし期限が明日であれば、たとえ「5分で変更できる」能力があったとしても、それはあまり意味をなしません。危険メーターは急上昇します。

ツール：「Sezar」

これら3つの要素すべてを同時に測定するために、著者らは Sezar と呼ばれるツールを構築しました。

探偵: Sezar は、あなたの艦隊を巡回する艦隊検査官のようなものです。
3つのスキャナー:
1. 錠前を調べます（ソフトウェアをスキャンして、どのような数学的処理が行われているかを確認します）。
2. トラックをチェックします（量子鍵配送システムに接続し、鍵が安全に届けられているかを確認します）。
3. スイッチをテストします（コードをスキャンして、設定を簡単に変更できるのか、それとも固定されているのかを確認します）。
ダッシュボード: これらすべてを統合したスコアを各船に対して提示し、どの船に即座の対応が必要かを教えてくれます。

実際に判明したこと（結果）

著者らは理論を構築しただけでなく、3つの実世界の実験でテストを行いました。

ウェブスキャン: 彼らはインターネット上の上位1,000サイトをスキャンしました。その結果、約44%のサイトが新しい「スチール製の錠前」（PQC）を使用できる可能性があることが分かりましたが、そのスキャンでは、それらのサイトが「魔法のテレポーター」（QKD）を使用しているのか、あるいは錠前を素早く変更できるのかまでは判別できませんでした。これは、単一の要素（錠前）だけを見ても、不完全な全体像しか得られないことを証明しました。
シミュレーション: 彼らは、接続の切断をテストするために、偽の量子鍵配送システム（シミュレーター）を構築しました。その結果、Sezar は、異なる部分が異なる挙動を示している状況下でも、「接続不良」と「完全な故障」を正しく区別できることが分かりました。
コードチェック: 彼らは「変化の速度」スキャナーを11の有名なオープンソースソフトウェアプロジェクトに対してテストしました。その結果、ソフトウェアが更新しやすいか、あるいは「固定（フローズン）」されているかを91%の精度で特定できました。

結論

この論文は、私たちは「あなたの暗号は量子耐性がありますか？」と問うのをやめ、「あなたの錠前はどうなっており、鍵はどのように配送され、どれほど速く変更できるのか？」と問い始める必要があると主張しています。

これら3つの軸を同時に見ることで、運用者は業務の優先順位をより適切に付けることができます。彼らは、単に「弱い」だけの船ではなく、「弱くて、かつ修正が困難な」船を優先的に修理できるようになります。逆に、弱いが簡単に修理できる船や、強力だが鍵の配送手段がない船に時間を浪費することはありません。

注記: この論文は、このツール自体が量子脅威を解決すると主張しているわけでも、すべてのサイバーセキュリティの問題を解決すると主張しているわけでもありません。単に、人間がより良い意思決定を行えるよう、リスクを「測定」し「優先順位付け」するためのより優れた方法を提供しているのです。

技術要約：量子リスクの3軸モデル

1. 問題提起

ポスト量子移行（Post-Quantum Migration）は、NISTによるFIPS 203/204/205の最終化およびNSAのCNSA 2.0デッドライン（2025年〜2033年）に後押しされ、研究段階から運用上の必要性へと移行した。しかし、現在の暗号オブザーバビリティ（観測性）ツールには決定的な限界がある。それは、各アセットに対して「そのプリミティブはポスト量子（PQ）耐性があるか？」という単一の問いしか答えていないことである。

この単一軸のアプローチでは、以下の理由により、完全な量子リスク態勢を捉えることができない：

チャネル保護が無視されている： 同一のアルゴリズム（例：ECDSA-P256）を使用している2つのアセットであっても、一方が保護されていないリンク上で動作し、もう一方が量子鍵配送（QKD）リンク上で動作している場合、そのリスクプロファイルは大きく異なる。
クリプト・アジリティ（暗号の機敏性）が不可視である： 設定変更によってアルゴリズムを変更可能なアセットは、アルゴリズムがファームウェアにハードコードされているアセットとは異なるリスク状態にある。現在のツールは、「移行の機敏性」を第一級のテレメトリ指標として表面化させることができない。
統一モデルの欠如： 文献ではPQC（ポスト量子暗号）とQKDはしばしば相互排他的な代替案として扱われるが、運用者はハイブリッド展開が現実となる環境において、それらを統合したモデルを必要としている。

その結果、運用者は「我々は期限内にPQ対応が可能か？」という問いに正確に答えることができない。なぜなら、彼らはアルゴリズムの耐性、チャネルのセキュリティ、そして移行速度を統合した視点を欠いているからである。

2. 手法

著者らは、リスクを多次元の観測問題として扱う**「3軸量子リスク態勢モデル（Three-Axis Quantum-Risk Posture Model）」**を提案する。各アセットは3つの独立した軸に基づいて格付けされ、それらは単一のデッドライン調整済みスコア $q(asset, t)$ に集約される。

3つの軸

軸A（アルゴリズム耐性 / Algorithmic Resistance）： 暗号プリミティブを[0, 1]のスケールでスコアリングする。
- 1.0: PQ耐性あり（例：ML-KEM, ML-DSA）。
- 0.9: PQハイブリッド（例：X25519 + ML-KEM）。
- 0.3: 古典的（例：RSA-2048, ECDSA）。
- 0.0: 非推奨・脆弱（例：SHA-1, RC4）。
  スコアは役割（署名、鍵交換、暗号化、ハッシュ）によって重み付けされる。
軸C（チャネル保護 / Channel Protection）： 鍵配送メカニズムを[0, 1]のスケールでスコアリングする。
- 1.0: QKDのみ。
- 0.7: QKD-ハイブリッドPSK（QKD由来の鍵をハイブリッドモードで使用）。
- 0.0: 古典的のみ。
  この軸は、リンクの劣化（例：高い量子ビットエラー率）を考慮し、スコアを比例的に減衰させる。
軸G（移行アジリティ / Migration Agility）： プリミティブを変更できる能力を[0, 1]のスケールでスコアリングする。
- 1.0 (交渉型 / Negotiated): セッションごとにアルゴリズムが選択される（例：TLS 1.3）。
- 0.75 (設定可能 / Configurable): 設定ファイルを通じて変更可能。
- 0.50 (固定型 / Pinned): ソースコードにハードコードされているが、ソフトウェアアップグレードにより変更可能。
- 0.20 (ロック型 / Locked): ファームウェアまたはFIPS検証済みモジュール内に固定。
- 0.0 (凍結型 / Frozen): シリコンまたはROM内に固定。

統合スコア

モデルは、デッドライン調整済みのリスクスコア $q(asset, t)$ を算出する：
$q(asset, t) = 1 - (\alpha \cdot A + \beta \cdot C + \gamma(\tau) \cdot G)$
ここで、 $\tau$ は「デッドラインの緊張（deadline tension）」、すなわち現在時刻 $t$ が運用者のデッドライン $D$ にどれだけ近いかを表す。デッドラインが近づくにつれ、アジリティに割り当てられる重み $\gamma$ は縮小し、時間が不足している状況では高いアジリティも寛容ではないことを反映する。アジリティが低く、期限内に移行できないアセットに対しては、**BLOCKED（ブロック済み）**フラグが立てられる。

実装：Sezar

著者らは、このモデルを運用化するために、Rustで記述されたオープンソースのオブザーバビリティ・プラットフォームであるSezarを実装した。主なコンポーネントは以下の通りである：

スキーマ拡張： channel_protection および agility フィールドを含めるために crypto_inventory_event v1 スキーマを拡張した。
5つのエージェント：
1. sezar-net: eBPFベースのTLS/SSH/IPsec観測。
2. sezar-qkd: ETSI GS QKD 014 コレクター、およびテスト用の合成KMEエミュレータ。
3. sezar-agility: ソースコードやバイナリを分析してアジリティレベルを特定する、Semgrepルールを用いた静的スキャナー。
4. sezar-cert: CTログおよびホストスキャンによるX.509インベントリ。
5. sezar-chain: パブリックブロックチェーンの観測。
ロールアップエンジン： イベントを取り込み、運用者が設定した重みとデッドラインに基づいて統合スコアを計算する純関数。

3. 主な貢献

3軸モデル： アルゴリズムの耐性、チャネルの保護、および移行のアジリティを分離し、PQCとQKDが補完的な観測対象であることを認める正式なフレームワーク。
スキーマ拡張： QKDとアジリティのための相互運用可能なテレメトリを可能にする、crypto_inventory_event スキーマ（v1.1）への厳密な加法的アップデート。
Sezar リファレンス実装： eBPFネットワーク観測、RESTベースのQKDテレメトリ、および静的コード解析を統合する完全なオープンソーススタック（エージェント、コレクター、ダッシュボード）。
QKDエミュレータ： 実機のハードウェアなしでQKD対応ソフトウェアをテストするための、オープンなETSI GS QKD 014 Key Management Entity (KME) エミュレータ。
アジリティの評価基準とコーパス： 5段階の順序スコアリングシステムをSemgrepルールパックを通じて運用化し、手動で採点された50のオープンソースサーバープロジェクトのグラウンドトゥルース（正解データ）を用いて検証。

4. 実証結果

本論文は、3つの再現可能な研究を通じてモデルを検証している：

研究 1 (軸A - Tranco Top-1k):
- Tranco top-1kの724の応答可能なホストをスキャン。
- 結果： ハイブリッドPQ鍵交換（X25519MLKEM768）が提示された際、43.8%のホストがこれを交渉した。しかし、16.9%は依然としてTLS 1.2（構造的にPQ適用外）を交渉しており、証明書の署名分布はRSAが支配的（64.9%）であった。
- 洞察： 単一軸のスキャンでは、構造的な制約（TLSバージョン）や証明書のアジリティの欠如を見逃してしまう。
研究 2 (軸C - QKDエミュレータ):
- 5つの失敗シナリオ（定常状態、劣化、ハード故障、古いPSK、分岐したSAE）における13の誘導された状態遷移に対してテストを実施。
- 結果： 13/13の状態変化が正しく分類された。システムは、リンクレベルの故障と、セッションごとの属性問題（例：一つのSAEは失敗したが他は成功した）を正しく区別できた。
- 洞察： リンクレベルのテレメトリだけでは不十分であり、正確なチャネル保護のスコアリングにはセッションごとの属性付けが必要である。
研究 3 (軸G - アジリティ・パイロット):
- sezar-agility スキャナーを、50プロジェクトのコーパスから抽出した11プロジェクトのサブセットの手動採点と比較。
- 結果： 91%の一致率（10/11プロジェクト）。唯一の不一致は chrony であり、静的証拠が「設定可能」と「固定型」の間で曖昧であった。
- 洞察： 静的解析は人間による採点と実質的な一致を得られるが、Goエコシステムのカバー範囲の欠落（当初、crypto/tls のパターンが漏れていた）によりルールの更新が必要となった。

5. 意義と主張

本論文は、「単一ビット」のPQ準備完了指標は、2030年〜2033年のデッドラインに直面している運用者にとって不十分であると主張している。本研究の意義は以下の点にある：

包括的なリスク評価： アセットのリスクは、使用するアルゴリズムだけでなく、鍵がどのように配送され、いかに迅速にアルゴリズムを入れ替えられるかによって決まることを示した。
運用の実現可能性： PQC、QKD、およびアジリティをカバーする統合されたオブザーバビリティモデルが、専用の商用スタックを必要とせず、汎用ハードウェアとオープンソースツールを用いて構築可能であることを証明した。
実行可能な優先順位付け： 3つの軸をデッドライン調整済みスコアに集約することで、単なる「現在の脆弱性」ではなく、現実的な「修正までの時間」に基づいた移行努力の優先順位付けを可能にする。
再現性： 著者らは、スコアリングの定数や重みを絶対的な真理として受け入れるのではなく、コミュニティが検証、批判、および洗練できるように、完全なスキーマ、エミュレータ、ルールセット、およびグラウンドトゥルース・コーパスを提供している。

著者らは、このモデルは移行に関する経済的または政治的な制約を解決するものではなく、意思決定を情報に基づいたものにするための必要なテレメトリ層を提供するものであると明言している。貢献はモデルとツールであり、数値的なスコア自体は、運用者が設定可能なものである。