非対称ポスト量子暗号（PQC）の分析情報を表示する

このページでは、Google Cloud コンソールの Cloud KMS の [鍵管理の概要] ページにある [ポスト量子暗号（PQC）のインサイト] グラフを使用して、非対称鍵のインベントリを評価し、将来の暗号化のモダナイゼーションに備える方法について説明します。

量子コンピューティングの出現は、広く使用されている公開鍵暗号アルゴリズムに潜在的な脅威をもたらします。[PQC のインサイト] グラフは、従来の非対称鍵を特定してインベントリに登録するのに役立ちます。これにより、将来のモダナイゼーションを計画し、長期的な復元力を確保するために必要な可視性が得られます。

対称鍵（ENCRYPT_DECRYPT に使用される鍵など）は、一般的に量子コンピュータによる攻撃に耐性があると見なされており、このダッシュボードには含まれていません。Cloud KMS でサポートされているアルゴリズムの詳細については、鍵の目的とアルゴリズムをご覧ください。

Wiz は現在、 Google Cloud暗号化のインベントリとリスク 評価を提供しています。これにより、暗号化の準備状況を把握し、 ポスト量子アルゴリズムへの移行を計画できます。これらの機能は、Wiz のクラウドと AI のセキュリティ プラットフォームの一部として含まれており、Cloud KMS の鍵管理機能を補完します。

始める前に

PQC のインサイトを表示するために必要な権限を取得するには、プロジェクトに対するCloud KMS 閲覧者 （roles/cloudkms.viewer）の IAM ロールの付与を管理者に依頼してください。

PQC のインサイトを表示する

[非対称 PQC のインサイト] グラフは、使用されているアルゴリズムの分類に基づいて非対称鍵を可視化した概要を示します。

  1. コンソール Google Cloud で、 [**鍵管理**] ページに移動します。

    Key Management に移動

  2. [概要] タブをクリックし、[非対称 PQC のインサイト] グラフに移動します。

  3. 省略可: グラフのセグメントをクリックして、そのセグメントが表す鍵の数を表示します。セグメントの [表示] をクリックして、[非対称 PQC のインサイトの詳細] の表を表示することもできます。

このグラフでは、鍵は次の 2 つの主なグループに分類されます。

  • ポスト量子: 将来の量子コンピュータからの攻撃に耐えるように特別に設計された暗号アルゴリズムを使用する鍵。
  • 従来型: 従来型の非対称アルゴリズム（RSA や ECC など）を使用する鍵。現時点では従来型の攻撃に対して安全ですが、将来の量子コンピュータによる攻撃に対して脆弱です。

このグラフでは、鍵は暗号化の目的と暗号化の種類によってさらに分類されます。

[詳細] 表について

このページの表には、現在のプロジェクト内の非対称鍵が一覧表示され、次の情報が表示されます。

  • 鍵名: 鍵の名前。名前をクリックすると、その特定の鍵の [鍵の詳細] ページに移動します。
  • 場所: 鍵が存在する場所。
  • 保護レベル: 鍵の保護レベル。
  • 目的: 鍵の暗号化の目的（例: ASYMMETRIC_SIGN）。
  • 暗号化の種類: 鍵が PQC アルゴリズムと従来型アルゴリズムのどちらを使用しているかを示します。

表の上にあるフィルタバーを使用して、これらの属性に基づいて鍵のリストを絞り込むことができます。

将来のモダナイゼーションに向けて従来型の鍵を評価する

既存の非対称鍵で、ポスト量子代替に移行できる従来型の非対称アルゴリズムを確認する必要があります。これらの鍵は、従来型の攻撃に対して強力な保護を提供します。ただし、ポスト量子アルゴリズムを採用することで、将来の量子脅威に対する長期的な復元力を確保できます。次の表に、鍵の目的とアルゴリズム、およびそれぞれがポスト量子セキュアと見なされるかどうかを示します。

目的 アルゴリズム 暗号化の種類 ポスト量子代替
ASYMMETRIC_SIGN EC_SIGN_* 従来 PQ_SIGN_* アルゴリズムを使用した ASYMMETRIC_SIGN
ASYMMETRIC_SIGN RSA_SIGN_* 従来 PQ_SIGN_* アルゴリズムを使用した ASYMMETRIC_SIGN
ASYMMETRIC_SIGN PQ_SIGN_* PQC 耐量子
ASYMMETRIC_DECRYPT RSA_DECRYPT_* 従来 KEY_ENCAPSULATION アルゴリズム
KEY_ENCAPSULATION すべて PQC 耐量子

PQC 標準を早めに採用すると、次のようなメリットがあります。

  • ASYMMETRIC_DECRYPT 鍵を KEY_ENCAPSULATION 鍵に置き換えることで、「今すぐ収集して後で復号」（HNDL）攻撃から暗号化されたデータを保護できます。この攻撃では、不正な行為者が復号できない暗号テキストを傍受しますが、いつか暗号化を解読できることを期待して暗号テキストを保存します。
  • EC_SIGN_* アルゴリズムまたは RSA_SIGN_* アルゴリズムを使用する ASYMMETRIC_SIGN 鍵を PQ_SIGN_* アルゴリズムに置き換えることで、署名の長期的な否認防止を実現できます。

Cloud Asset Inventory で鍵を特定する

Cloud Asset Inventory を使用すると、アルゴリズム タイプ別に Cloud KMS アセットをプログラムで一覧表示してフィルタできます。

組織全体を検索する

  1. PQ_SIGN_*、ML_KEM_*、KEM_XWING などのポスト量子アルゴリズムを使用する鍵を一覧表示するには、次のコマンドを実行します。

    gcloud asset list \
  --organization=ORGANIZATION_ID \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

  2. ポスト量子アルゴリズムを使用しない非対称鍵（つまり、従来型アルゴリズムを使用する非対称鍵）を一覧表示するには、次のコマンドを実行します。

    gcloud asset list \
  --organization=ORGANIZATION_ID \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

プロジェクト全体を検索する

  1. Google Cloud CLI が正しいプロジェクトをターゲットにしていることを確認します。

    gcloud config set project PROJECT_ID

  2. PQ_SIGN_*、ML_KEM_*、KEM_XWING などのポスト量子アルゴリズムを使用する鍵を一覧表示するには、次のコマンドを実行します。

    gcloud asset list \
  --project="$(gcloud config get-value project)" \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

  3. ポスト量子アルゴリズムを使用しない非対称鍵（つまり、従来型アルゴリズムを使用する非対称鍵）を一覧表示するには、次のコマンドを実行します。

    gcloud asset list \
  --project="$(gcloud config get-value project)" \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

量子攻撃のリスクを軽減するには、従来型アルゴリズムを使用する非対称鍵から移行します。

  • 非対称復号鍵の場合: 非対称復号に使用される鍵の場合は、非対称暗号化をハイブリッド公開鍵暗号化（HPKE）に置き換えることで、インベントリをモダナイズできます。HPKE では、ML_KEM_768 などのポスト量子アルゴリズムを使用する KEY_ENCAPSULATION の目的を持つ鍵を使用して、シークレットを共有します。詳細については、鍵 カプセル化メカニズムをご覧ください。
  • 非対称署名鍵の場合: デジタル署名の場合は、PQ_SIGN_ML_DSA_65 などのポスト量子アルゴリズムを使用する ASYMMETRIC_SIGN の目的を持つ新しい鍵を作成することで、インベントリをモダナイズできます。

対称鍵のポスト量子復元力

[非対称 PQC のインサイト] グラフの焦点である非対称鍵とは異なり、対称鍵は一般的に量子コンピュータによる攻撃に耐性があると見なされています。注目すべき例外は、MAC アルゴリズムを使用する HMAC-SHA1 鍵です。 さまざまなアルゴリズムの詳細については、鍵の目的と アルゴリズムをご覧ください。

次のステップ