Key Management Service:GVSM 耐量子暗号マシン（ベータ版）

耐量子暗号マシンとは

耐量子暗号（PQC）とは、量子コンピュータからの攻撃に耐えることができる暗号化技術のことです。量子コンピューティングの急速な発展に伴い、量子コンピュータが成熟すると、RSA や ECC などの広く使用されている公開鍵暗号アルゴリズムを解読する能力を持つようになり、グローバルなデジタルインフラストラクチャに重大な脅威をもたらします。「今すぐ収集し、後で復号する（Harvest Now, Decrypt Later）」攻撃モデルは、今日暗号化されたデータでさえ、将来復号される可能性があることを意味します。したがって、量子攻撃に耐えることができる暗号マシンにビジネスを移行することは、将来の量子コンピューティングの脅威に対処するための重要な対策です。

Alibaba Cloud は、GVSM 耐量子暗号マシンのベータ版製品（GVSM PQC バージョンと呼びます）を提供しています。これは、既存の HSM セキュリティ機能を継承し、米国国立標準技術研究所（NIST）主導の耐量子暗号標準化プロジェクトの高度なアルゴリズムと、その他の成熟したハッシュベースの署名スキームを統合しています。

• NIST PQC 標準アルゴリズム

  • FIPS-203 ML-KEM（CRYSTALS-Kyber）: データ伝送と通信の機密性を確保するために、量子耐性のある共有鍵を確立するために使用される格子ベースの鍵カプセル化メカニズム（KEM）です。

  • FIPS-204 ML-DSA（CRYSTALS-Dilithium）: 量子耐性のあるデータ整合性検証と身元認証を提供するために使用される格子ベースのデジタル署名アルゴリズム（DSA）です。

  • FIPS-205 SLH-DSA（SPHINCS+）: 強力なセキュリティ保証を提供するハッシュベースのステートレスデジタル署名アルゴリズムであり、NIST によって推奨されるもう 1 つの署名スキームです。

• その他のハッシュベースの署名スキーム

  • LMS（Leighton-Micali Signature Scheme）: RFC 8554 で標準化されたステートフルハッシュベースの署名スキームであり、ファームウェアの署名など、非常に高いセキュリティ保証が必要なシナリオに適しています。

  • XMSS（eXtended Merkle Signature Scheme）: RFC 8391 で標準化されたステートフルハッシュベースの署名スキームであり、LMS と比較してより高い柔軟性と機能を提供します。

  重要

  LMS と XMSS はステートフルハッシュベースの署名スキームです。これらを使用する場合は、セキュリティを確保するために署名キーの状態を適切に管理する必要があります。

メリット

• 将来を見据えたセキュリティ保護: PQC アルゴリズムを率先して採用することで、量子コンピューティングによる復号リスクに積極的に対抗し、資産とデータの長期的なセキュリティを確保します。

• 国際標準への準拠: NIST などの権威ある機関の PQC 標準化プロセスに厳密に準拠することで、ソリューションの信頼性と相互運用性を確保します。

• 強化された信頼のルート: PKI システム、コード署名、データベース暗号化、およびデジタルID のコアとなるシナリオに、量子耐性のある信頼のルートを提供します。

• 長期的なデータ保護: 耐量子暗号化技術により、量子時代において長期アーカイブが必要な機密データの永続的なセキュリティを確保します。

• シームレスな統合: PKCS#11/JCE/CNG などの主要なインターフェース標準と互換性があり、従来のシステムから耐量子アーキテクチャへのスムーズな移行を可能にします。

シナリオ

• 機密データ暗号化の長期保護: ML-KEM（Kyber）を鍵カプセル化とデータ暗号化に使用し、長期的な機密データストレージとリアルタイム通信に耐量子保護を提供します。

• 将来にわたって安全なデジタル署名: ML-DSA（Dilithium）または SLH-DSA（SPHINCS+）署名アルゴリズムを使用して、ソフトウェアアップデート、ファームウェアのスペックアップ、法的契約、トランザクション資格情報などの重要なデータが、将来の量子コンピューティング環境においても改ざん防止と整合性検証機能を維持できるようにします。

• 耐量子証明書のセキュリティ: PQC アルゴリズムに基づいて耐量子 CA を展開することにより、証明書の署名と検証に量子セキュリティを実装し、量子時代においてもデジタル証明書の改ざん防止と権限を維持します。

• IoT デバイスのセキュリティ: ライフサイクルの長い IoT デバイスに耐量子の身元認証と安全なファームウェアアップデートメカニズムを提供し、将来の脅威に対抗します。

• ブロックチェーンとデジタル資産の保護: ブロックチェーンは、トランザクションとウォレットのセキュリティを確保するために公開鍵暗号技術に依存していますが、量子コンピューティングは従来のアルゴリズムを破る可能性があります。PQC を展開して既存の署名アルゴリズムを置き換えることで、量子時代においてもデジタル資産の改ざん防止と所有権認証機能を維持し、次世代のブロックチェーンプロトコルとウォレットシステムに長期的なセキュリティ保護を提供できます。

GVSM PQC バージョンのパフォーマンスデータ

GVSM PQC バージョンでサポートされているアルゴリズムとそのパフォーマンスを以下に示します。

GVSM PQC バージョンを購入する

まず、中国本土で GVSM（中国暗号規格）暗号マシンを購入し、次にテクニカルサポートに連絡して GVSM PQC バージョンにスペックアップできます。

リスクに関する注意事項

PQC 暗号操作はパフォーマンスに影響を与える可能性があるため、ビジネス移行前にストレステストを実施し、システムの安定性と業務継続性を確保するために、ビジネスを GVSM PQC バージョンに徐々に移行することをお勧めします。