ライフスタイル

Cloudflareが語るポスト量子時代のウェブプライバシー：Privacy PassとMOLEの次の一手

Cloudflareは2026年11月6日の研究記事で、将来の量子コンピューターがPrivacy Passの「トークン」を偽造し、サイトの不正利用対策を回避できる可能性があるが、ユーザーのプライバシーは影響を受けないと述べた。新世代の匿名資格情報設計MOLEと初期のコスト試算も紹介している。

読了目安 8 分

Cloudflareが語るポスト量子時代のウェブプライバシー：Privacy PassとMOLEの次の一手
画像：Mokaair (Original editorial artwork)

何が起きたのか

Cloudflareは2026年11月6日の記事で、Privacy PassはCloudflareのようなサイト運営者がアプリケーションを不正利用から守るために使うプロトコルだと説明した。その手法の1つが「レート制限」で、個々のクライアントを制限し、1つのクライアントがサイトのリソースを過剰に消費するのを防ぐ。

Cloudflareによれば、従来の不正利用対策は多くの場合ユーザーに負担を強いる。CAPTCHAなどの認証を通すか、アカウントにログインするか、身元を識別されるかのいずれかだ。Privacy Passはクライアントが複数の「トークン」（デジタルな通行証のようなもの）を取得し、引き換えることでサイトにアクセスできる設計である。各トークンは取得した人物に結び付けられないため、ユーザーは使いやすさとプライバシーの二者択一を迫られない。

Cloudflareは10年の導入経験があるとし、iCloud Private Relayなどのプライバシー保護プロキシサービスでの利用を例に挙げた。現在は他の組織と次世代技術を共同開発している。目標には、リソースを過剰に消費しかねないAIエージェントのトラフィックの管理や、より多様なクライアントが参加しやすくすることが含まれる。

量子コンピューターがPrivacy Passに与える影響

Cloudflareによると、Privacy PassはRSAや楕円曲線といった従来の暗号に依存している。これらを破れる量子コンピューターが登場すれば、量子攻撃者は自由にトークンを偽造し、レート制限などの保護を回避できる。量子コンピューターの攻撃に耐える暗号は「ポスト量子暗号」と呼ばれる。

ただしCloudflareは、Privacy Passには「無条件のプライバシー」があるとも述べている。攻撃者が量子コンピューターを持っているかどうかにかかわらず、あるトークンの引き換えを当初の発行に結び付けることはできない。開発中の新機能も同じ保証を維持するという。

MOLEとは何か

Cloudflareは、この新技術を現在MOLE（Moderation Of unLinkable Endorsements、「リンク不能な承認のモデレーション」の意）と呼んでいる。MOLEでは「承認」がアンカー（信頼できる発行者）から発行され、モデレーター（承認を受け取ってサイトの利用を管理する側）が引き換える。クライアントは、受け取った承認が信頼されたアンカーの一覧のいずれかから来たことを証明すればよく、どれかを明かす必要はない。

CloudflareによればMOLEは発行者の身元を意図的に隠しており、システムが発行者によってトークンを差別的に扱えないようにしている。これにより、異なる種類のクライアントが平等に扱われ、より多くのクライアントが参加しやすくなる。

ポスト量子方式とコスト試算

Cloudflareは、ポスト量子方式の主な課題はデータサイズだと指摘する。デジタル署名では、ポスト量子署名のML-DSA-44が2,420バイトなのに対し、従来のECDSA-P256署名はわずか64バイトで、近い将来そのまま置き換えられる方式は見当たらない。

記事は、BaumらがUSENIX Security 2026で発表したPoMFRITを紹介している。これは「ブラインド署名」で、発行者が内容を見ないままクライアントの代わりに署名し、後から署名を当初の発行に結び付けられない。PoMFRITのブラインド署名は6.7KBで、発行は数百バイトで済む。CloudflareはUOV（Unbalanced Oil and Vinegar）という署名方式に切り替えれば署名を4.3KBに減らせるが、公開鍵は大きくなると述べる。UOVは「多変数暗号」に属し、安全性は多変数二次方程式系を解く難しさに基づいており、量子コンピューターでも破りにくいと一般に考えられている。

Cloudflareの現時点のコスト試算（変更の可能性あり）。公開鍵はいずれの方式も46.6KB
方式発行提示/引き換え
PoMFRIT（UOV使用）1KB未満4.3KB（引き換え）
VOLE-IHAT（MOLEの承認の候補）5.6KB6.5KB（引き換え）
VOLE-ACT（MOLEの資格情報の候補）5.4KB12.0KB（使用）

Cloudflareは、同社の実装では各操作に数ミリ秒しかかからないと述べている。RSAブラインド署名をPoMFRITに置き換えた場合の負荷増は、ECDSAをML-DSAに置き換える場合とほぼ同程度だという。

制約と残る課題

  • Cloudflareによれば、多変数暗号に対する攻撃研究（暗号解読）はまだ比較的未成熟で、パラメーターが調整され、コストが増える可能性がある。
  • UOVが安全であればこれらのプロトコルも安全であることを示す安全性証明を、Cloudflareはまだ示す必要がある。
  • ハッシュ演算の回数を減らす最適化は、より強い「one-more-UOV」仮定に依存しており、Cloudflareはこの仮定が楽観的すぎるかもしれないとする。仮定が破られた場合に影響するのはトークンの偽造可否であり、クライアントのプライバシーではない。
  • Cloudflareは、カリフォルニア大学サンディエゴ校とINRIAの研究者が、Privacy Pass発行者に繰り返し署名させることで1024ビットRSA署名を偽造した事例に言及している。Privacy Passは2048ビットRSAを使い、他の防御と組み合わせて十分な安全余裕を確保している。
  • Cloudflareは、従来のブラインド署名はリクエストごとに1回引き換えられるほど安価かもしれないが、ポスト量子版では1回の引き換えを複数のリクエストに使える工夫が必要になると述べている。

よくある質問

量子コンピューターは現在のPrivacy Passのプライバシーを破れますか？

Cloudflareの説明ではいいえ。Privacy Passには無条件のプライバシーがあり、攻撃者が量子コンピューターを持っていても、トークンの引き換えを当初の発行に結び付けることはできない。量子攻撃者にできるのはトークンの偽造である。

量子コンピューターがPrivacy Passにもたらす実際のリスクは何ですか？

Cloudflareによれば、Privacy Passは今もRSAと楕円曲線を使っているため、量子攻撃者はトークンを偽造してレート制限などの不正利用対策を回避できる。そのためポスト量子の代替手段が必要になる。

MOLEはすでに実際に運用されていますか？

Cloudflareは導入済みとは述べていない。MOLEは開発中の設計で、VOLE-IHATとVOLE-ACTは候補方式であり、数値は変わる可能性がある。安全性証明やさらなる暗号解読研究も必要だと説明している。

なぜポスト量子方式はサイズが大きいのですか？

Cloudflareによれば、ポスト量子暗号は一般にサイズが大きい。たとえばML-DSA-44の署名は2,420バイトだが、ECDSA-P256は64バイトしかなく、システムはこうしたコストを負担できるよう再設計が必要になる。

このトピックの最新ニュースを見る

同じテーマの記事

出典

ライフスタイル