Appleは、まだ存在しない脅威からiMessageを保護するために、iMessageの暗号化を強化している。

Apple は、まだ現実的な脅威にはなっていない、おそらく今後何年も脅威にはならないであろう高度なコンピューティングを阻止するために、新しいメッセージングプロトコルを導入して iMessage の暗号化セキュリティを全面的に見直している。

Appleは既に、セキュアなiMessageプラットフォームにエンドツーエンドの暗号化を組み込んでいます。しかし、コンタクトキー検証などの機能は、現世代のコンピューティングの脅威からユーザーを守るのに役立ちますが、量子コンピューティングへの対抗は困難になる可能性があります。

量子コンピュータが将来もっと一般的に使われるようになるのを阻止するために、アップルは量子コンピュータが登場するまでセキュリティを強化するのを待つつもりはない。

水曜日のApple Security Research Blogの投稿で説明されているように、AppleはPQ3と呼ばれる新しい暗号化プロトコルをiMessageに導入することで、現在行われている通信を将来の脅威から保護したいと考えている。

今収穫して、後で解読する

暗号化はセキュリティを維持するために数学的な問題とアルゴリズムに依存しており、より複雑なモデルでは、暗号化の解読方法の性質によってより高いセキュリティが提供されます。攻撃者が暗号化を解読するための鍵を入手できない場合、アルゴリズムを破るには、鍵のあらゆる組み合わせを総当たり攻撃で探さなければなりません。

現在のコンピューターでは、正しい可能性を見つけるまであらゆる可能性を徹底的に調べるのは、膨大な時間とリソースを費やす作業です。しかし、量子コンピューターは、同じ計算を高速に実行し、暗号を解読する可能性があります。

しかし、量子コンピューティングはまだ開発中であるため利用できず、より広いユーザー層に展開するには商業的に実現可能ではありません。現時点では、量子コンピューティングは問題ではありませんが、将来のある時点で問題になる可能性があります。

量子コンピューティングが将来さらに普及する可能性に賭け、悪意のある人物たちは、将来的にデータを復号できると信じ、今はアクセスできない暗号化されたデータを依然として保持しています。これは「今すぐ収穫、後で復号」と呼ばれる攻撃シナリオであり、総当たり攻撃によるセキュリティ突破のコストよりも、安価なストレージに大きく依存しています。

「今すぐ収集、後で解読」は理論的には、量子コンピューティングによってそれがより簡単になるという期待のもと、誰かが通信を大量に収集することによって、現在暗号化されているすべての通信が将来公開される危険にさらされることを意味します。

耐量子暗号

量子コンピューティングの利用に伴うリスクを最小限に抑えるため、暗号学者たちは耐量子暗号（PQC）の開発に取り組んできました。これは、量子耐性プロトコルの基盤となりつつある新しい公開鍵アルゴリズムで構成されており、既存の非量子コンピュータでも使用可能でありながら、量子コンピュータに対しても安全なプロトコルです。

Appleは、メッセージングアプリケーションにおける量子暗号の現状を、レベル番号が上がるにつれて段階的に説明しています。レベル0とレベル1は量子セキュリティのない古典暗号とみなされ、レベル2以降は量子量子暗号（PQC）を使用していると分類されます。

Appleによるメッセージングプラットフォームにおける量子セキュリティ暗号の分類

レベル0は、量子セキュリティを一切使用せず、エンドツーエンド暗号化もデフォルトで使用しないメッセージングシステム向けです。これにはSkype、QQ、Telegram、WeChatが含まれます。

レベル1はまだ量子耐性があるとは分類されていませんが、デフォルトでエンドツーエンドの暗号化が採用されています。これを採用しているサービスには、Line、Viber、WhatsApp、そして以前のバージョンのiMessageなどがあります。

PQCレベルに移ると、Signalはポスト量子拡張Diffie-Hellman（PQXDH）鍵共有プロトコルをサポートしており、レベル2に分類される最初の、そして唯一の大規模メッセージングアプリです。これは基本的に、会話の開始時に2者が公開鍵を使用して相互認証を行うものです。

しかし、Appleによると、レベル2でさえも問題を抱えている。会話鍵が侵害されない限り、量子セキュリティは実現できないからだ。攻撃者は暗号鍵を侵害する手段を手に入れ、鍵が変更されるまで暗号化された会話にアクセスできるようになる可能性がある。

鍵を定期的に変更することで、鍵が侵害された場合でも攻撃者が閲覧できる通信内容の範囲を制限できます。これは、取得した鍵へのアクセスと量子処理の試みの両方に当てはまります。

この考え方に基づき、Appleは、アプリはレベル3のセキュリティの実現を目指すべきだと述べています。レベル3では、通信のための初期鍵の確立と継続的なメッセージ交換のセキュリティ確保にPQCが用いられます。レベル3には、鍵が侵害された場合でも暗号セキュリティを自動的に回復する機能も含まれるべきです。

iMessageとPQ3

Appleは、PQ3と呼ばれる新しい暗号化プロトコルを開発し、iMessageに組み込むと発表した。この変更により「量子攻撃に対する最強の保護」が実現し、iMessageはレベル3のセキュリティをサポートする世界初かつ唯一のものとなる。

PQ3のiMessageへの展開は、iOS 17.4、iPadOS 17.4、macOS 14.4、watchOS 10.4の一般公開リリースから開始され、開発者プレビューとベータリリースにはすでに組み込まれています。PQ3をサポートするデバイス間の既存のiMessageの会話は、新しいプロトコルに自動的に切り替わります。

Appleは、「iMessageの巨大な世界規模でPQ3の運用経験を積む」につれて、2024年末までに、サポートされているすべての会話内でPQ3が既存の暗号化プロトコルに取って代わることになるだろうと付け加えている。

PQ3が適切に動作するために、Appleはいくつかの要件を課しました。これには、会話の開始時点から耐量子暗号を導入することや、単一の侵害された鍵で復号できる会話の範囲を制限することなどが含まれていました。

また、PQ3が現行プロトコルよりも安全性が低くならないように、耐量子アルゴリズムと現在の楕円曲線アルゴリズムを組み合わせたハイブリッド設計を採用する必要がありました。さらに、メッセージサイズを分散化し、追加のセキュリティ対策にかかるオーバーヘッドを削減する必要もありました。

最後に、Apple は「新しいプロトコルに強力なセキュリティ保証を提供できる」正式な検証方法を使用する必要があると書いている。

この最後の点については、Apple はすでに、Apple のセキュリティエンジニアリングとアーキテクチャの多分野にわたるチームや、暗号化の第一人者による広範なレビューなど、PQ3 の有効性を正式に検証するために多大な努力を払っています。

チューリッヒ工科大学（ETH）の情報セキュリティグループ責任者であるデイビッド・ベイシン教授とウォータールー大学のダグラス・ステビラ教授が率いるチームは、インターネットプロトコルの耐量子セキュリティを研究しました。それぞれ異なる数学的アプローチを用いて、基盤となる暗号アルゴリズムが機能する限り、PQ3は安全であり続けることを実証しました。

Appleはまた、大手のサードパーティセキュリティコンサルタント会社にPQ3のソースコードを独立して評価させ、セキュリティ上の問題は発見されなかった。

PQ3の仕組み

PQ3は、デバイスがローカルで生成する公開鍵に新しい耐量子暗号鍵を使用し、iMessage登録のためにAppleのサーバーに送信されます。このプロセスにより、送信側デバイスは受信者の公開鍵を取得し、受信者がオフラインであっても、最初のメッセージと最初の鍵確立から耐量子暗号鍵を生成することができます。

会話には「定期的な量子暗号鍵再生成メカニズム」も組み込まれており、鍵の漏洩からセキュリティを自己修復することができます。会話で送信される新しい鍵は、以前の鍵の解析では計算できない新たな暗号化鍵を生成するために使用され、セキュリティをさらに維持します。

攻撃者は、初期キーの確立とキーの再生成のために楕円曲線と量子耐性の要素を組み合わせたハイブリッド設計も破る必要があります。

鍵更新プロセスでは、デバイス間で交換される暗号化デバイスとの間で、新しい公開鍵マテリアルが帯域内で送信されます。楕円曲線Diffie-Hellman（ECDH）に基づく新しい公開鍵は、レスポンスに合わせて送信されます。

耐量子鍵は現在の既存のプロトコルよりもはるかに大きいため、Apple は、再鍵処理をメッセージごとに行うのではなく定期的に行うことで、サイズの影響を最小限に抑えています。

鍵の再生成と送信を行うかどうかの条件は、会話内のメッセージサイズ、接続が制限されているユーザーのエクスペリエンス、そしてインフラパフォーマンス維持の必要性のバランスを取ることにあります。Appleは、将来必要になった場合、ソフトウェアアップデートによって鍵の再生成頻度を上げつつ、PQ3をサポートするすべてのハードウェアとの下位互換性を維持できる可能性があると付け加えています。

PQ3 を実装した後も、iMessage は従来の暗号化アルゴリズムを使用して送信者の認証と連絡先キー検証アカウントキーの検証を継続します。このメカニズムは将来の量子コンピューターによって遡及的に攻撃されることはないと iMessage は述べています。

iMessageの会話に割り込むには、攻撃者は通信前または通信時に認証鍵を解読できる量子コンピュータが必要になります。Appleは、通信時に攻撃を実行できる量子コンピュータが必要となるため、「Harvest Now, Decrypt Later」シナリオを阻止できると主張しています。

Appleは、新しいプロトコルを攻撃できるようになるのは「何年も先」だと考えているが、同社のセキュリティチームは、将来の攻撃に対抗するために、量子コンピュータ耐性認証の必要性を継続的に評価していくと主張している。