RFC 10073:IETF がハイブリッド型の耐量子署名を標準化
· BehindLines 編集部
IETF が RFC 10073 を公開しました。X.509 証明書の中で、耐量子署名と従来型の署名を組み合わせる方法を定めた「提案標準(Proposed Standard)」です。RFC エディターのページと Datatracker の記載によると、この文書は LAMPS ワーキンググループの成果で、以前は draft-ietf-lamps-pq-composite-sigs というドラフトでした。著者は Entrust の M. Ounsworth 氏と J. Gray 氏、OpenCA Labs の M. Pala 氏、Bundesdruckerei の J. Klaußner 氏、Cisco の S. Fluhrer 氏です。記載上の日付は 2026 年 11 月で、最終更新は 11月6日です。
基本の考え方:署名は二つのほうが安全
この文書は、耐量子アルゴリズムの ML-DSA を、Ed25519、Ed448、ECDSA、RSASSA-PSS、RSASSA-PKCS1-v1_5 のいずれかの従来型アルゴリズムと組み合わせます。Datatracker によれば、この組み合わせは特定の地域の規制要件を満たすことも狙っています。ML-DSA が破られたり重大な欠陥が見つかったりした場合でもアプリケーションを守りつつ、既存の証明書基盤で使えるようにするのが目的です。
規格が具体的に定めること
RFC エディターのページによると、18 個のアルゴリズム識別子が登録されており、ML-DSA-44、ML-DSA-65、ML-DSA-87 と各種の従来方式との組み合わせを対象にしています。複合鍵は、証明書の通常のフィールドにそのまま格納されます。鍵用途拡張が存在する場合、そこには署名または証明書発行に関する機能を少なくとも一つ含める必要があり、暗号化や鍵合意のビットを含めてはいけません。そのため、複合鍵を二つの用途に同時に使うことはできません。構成要素の鍵は、単独の鍵や別の複合鍵で再利用してはならず、認証局には失効確認の際に各構成要素も個別に調べることが促されています。
文書自身が認める限界
この構成が提供するのは EUF-CMA の安全性で、SUF-CMA は提供しないと文書は述べており、EUF-CMA では不十分とされる用途には向かないとしています。したがって、SUF-CMA が重要なアプリケーションでの使用は推奨されないとしています。
移行の背景
同じ週の 11月5日には、米国の CISA と NSA、オーストラリア信号局のサイバーセキュリティセンターが「Post-Quantum Questions to Ask Your Vendors」という指針を公表しました。CISA の説明では、供給元が量子リスクを理解しているか、暗号実装について透明性があるか、適時の移行を支えられるかを見極めるための、ベンダー中立の質問が示されています。RFC 10073 はこの移行を支える技術要素の一つですが、時期を定めるものではありません。