量子コンピューティングは、インターネットの安全性に対する脅威として、ますます現実味を増している。大規模な量子コンピューターは早ければ2030年にも登場する可能性があると予測する人もおり、世界の銀行業務やメッセージング、サイバーセキュリティを支える暗号技術が危険にさらされることになる。デジタル署名は、数学的アルゴリズムを使って、決済、メッセージ、ソフトウェアアップデートの送信元を確認する。

こうした保証がなければ、世界の接続性と金融を支えるシステムは機能しなくなる。この脅威が一般社会に広く意識されるようになったのは最近だが、テクノロジー業界ははるか以前からその到来に備えてきた。

米国国立標準技術研究所（NIST）は、現在の暗号標準に代わる耐量子暗号を開発するため、ほぼ10年にわたって公開コンテストを実施してきた。そのうちの1つが現在も進行中だ。今年5月には、9つのデジタル署名アルゴリズムが第3ラウンドの審査に進み、8月14日に最終的な設計変更を提出した。

Claude Mythosが有力な耐量子暗号候補HAWKを解読

この取り組みの重要性は、7月28日にAnthropicが2本の論文を発表したことで、さらに浮き彫りになった。同社は、Project Glasswingを通じてセキュリティ研究者に提供されていた非公開モデル、Claude Mythos Previewが、コンテストに提出された暗号アルゴリズムの1つに新たな攻撃ベクトルを見つけたと主張した。

同社はこれを、旗艦モデルのサイバーセキュリティ能力が一段階向上したものと位置づけた。これまで同モデルが特定できたのは、プログラマーがアルゴリズムをコードに実装する際に犯したエラーだけだった。これは、Claudeが「アルゴリズムそのものの数学的欠陥を発見できる」と主張した今回の最新発表とは異なる。

影響を受けたモデルの1つがHAWKだ。この実験的な署名方式は、残るNIST候補の中で唯一、格子に基づいている。格子とは、数百次元における点のグリッドを扱う幾何学の一分野だ。そのため、最もメモリ効率に優れた方式の1つであり、最低のセキュリティ設定ではわずか555バイトで署名を実行できる。

しかし、昨年発表された学術研究によると、このような方式は、格子に隠れた対称性に基づく脆弱性の影響を受けやすく、鍵回復の問題をおよそ半分に縮小できるという。これはClaude Mythos PreviewがHAWK-256でまさにそのような対称性を掘り起こすまで、純粋に仮説上の懸念だった。

このHAWK暗号標準の構成は、公開ストレステストを目的に開発者が公開している。Anthropicはモデルにこの脆弱性を特定させることで、秘密鍵の窃取に必要な演算回数を1800京回から2750億回に削減した。

HAWK-256の秘密鍵を最初に解読するコストは大きかった。Anthropicの実験では約100,000ドルの計算コストがかかり、約60時間を要した。しかし、手法が実行可能であることが特定された現在、以後の鍵回復処理は96コアのサーバー上で4時間未満で実行できる。

HAWKは廃止されたが、AESは影響を受けていない

改めて強調しておくと、HAWK-256はNISTに提出されたものより意図的に弱い構成だ。HAWK-512とHAWK-1024でも推定攻撃コストは低下するが、残るセキュリティマージンは依然として、現在の攻撃者の能力を大きく上回っている。それでも、元のセキュリティマージンを回復するには鍵のサイズを2倍にする必要があり、コンパクトさという利点を犠牲にすることになる。

その結果、HAWKの開発者はこれを候補から取り下げた。Googleで耐量子コンピューティングを研究するSophie Schmiegはその後、「基本的に、この論文によってHAWKは終わった」と述べた。

AnthropicはHAWKに関する発表と同時に、2つ目の暗号標準であるAESにも脆弱性を見つけたと明らかにした。AESは現在も稼働し、暗号化通信の大半を保護している暗号方式だ。Anthropicは、従来最善だった攻撃を200倍から800倍高速化したと主張しているが、いくつかの軽減要因がある。

第1に、この攻撃が標的にしたのは、完全な10ラウンドの暗号方式ではなく、簡略化された7ラウンドの研究用バージョンだった。また、攻撃者が同じ鍵で暗号化された、特別に選ばれたメッセージをおよそ400オクティリオン件入手できることを前提としていた。この明らかな実行不可能性を理由に、Anthropicは攻撃全体を実行せず、その一部だけを計算で検証し、最終結果を外挿した。

そのため、この2つ目の発見の重要性は、これまで有望視されていた耐量子署名候補を利用不能にした1つ目の発見より、実質的に低い。