Cloudflareは、IPsecトンネルを従来のアルゴリズムへの暗号ダウングレード攻撃から保護する新たな仕組みの試験的サポートを発表した。これは、もともとポスト量子暗号をサポートしている2地点間の通信を、量子コンピューターを持つ攻撃者が復号できる可能性のある攻撃の一種である。同社はこの仕組みをIETF傘下のIPSECMEチームと共同で開発し、RFC標準化への移行に備えている。
この保護は、IKE_SA_INIT_FULL_TRANSCRIPT_AUTHという名称のIKEv2プロトコル拡張を対象としている。この拡張は、各当事者が送信したメッセージだけに署名し、ハンドシェイクの完全な記録には署名しないという、IPsecの設計上の欠陥に対処する。その結果、通信経路を制御する攻撃者は、会話について「2つの別々の見え方」のようなものを作成できる。1つはクライアントに見えるもの、もう1つは相手側に見えるものである。
ダウングレードのリスクはどのように生じるのか？
IKEv2では、ML-KEMなどのポスト量子鍵交換の利用を、まだ更新されていない機器との互換性を保つために従来の暗号もサポートしながら、交渉できる。中間者攻撃者は交渉メッセージを変更し、一方の当事者に対して、相手がポスト量子暗号をサポートしていないように見せることで、従来のDiffie-Hellman鍵交換を選択させることができる。
量子コンピューターを用いたシナリオでは、攻撃者はDiffie-Hellman鍵交換を破る能力を使い、その後のハンドシェイクメッセージの暗号鍵を復元できる。情報源は、この攻撃はハンドシェイク中に量子計算を実行する必要があり、「今収集して後で復号する」攻撃のようにオフラインで実行するものではないため、比較的困難だと説明している。それでもCloudflareは、量子攻撃に必要なリソースの見積もりが急速に進展していることから、早期に備える必要があると考えており、こうした懸念から移行時期を2029年に前倒しした。
この拡張は何を変えるのか？
この拡張は、ハンドシェイク全体の記録に対する認証を追加する。両当事者は、初期交換中に条件なしで送信される通知メッセージを通じて、対応を通知する。一方の当事者が対応通知を確認すると、新しい認証ロジックへ移行し、相手側が同じ記録に署名することを期待する。
通知を条件なしで送信することにより、経路上で通知を削除する一部の試みを防止できる。攻撃者が一方の当事者から通知を削除した場合、両当事者は異なる署名ロジックを使用するため、認証は失敗する。一方、攻撃者が両当事者から通知を削除した場合、両当事者は従来のロジックに戻るが、攻撃を成功させるには、一方の署名だけでなく両当事者の署名を偽造する必要がある。
提供状況と実際上の制約
CloudflareはCloudflare WANとMagic Transitで試験的サポートを実装しており、顧客はアカウント管理チームを通じてipsec_downgrade_protectionフラグを使った有効化を依頼できる。有効化の仕組みに関する後の説明では、この機能はアカウントごとの専用フラグの対象であり、試験終了後にすべての顧客へ有効化を拡大すると同社は述べている。
この拡張が有効に機能するには両当事者のサポートが必要である。またCloudflareは、一部の顧客やIKEv2の実装が新しいプロトコル通知を正しく処理できない可能性を考慮し、有効化を任意としている。そのため、この発表はすべてのIPsecトンネルに対する即時の解決策ではなく、IPsecエコシステムの他の部分による拡張の採用と、IETF内での標準化プロセスの完了に依存する移行の一歩である。
なぜこのニュースが重要なのか？
今回の進展は、ポスト量子暗号への移行が、ML-KEMやML-DSAのような新しいアルゴリズムを追加することだけにとどまらないことを示している。交渉と認証の仕組み自体が、当事者同士が同じハンドシェイクを見たことを証明できなければ、この保護を回避する手段になり得るからである。ネットワーク接続やインフラ保護にIPsecを利用する組織にとっては、サービスプロバイダーや端末機器におけるこの拡張のサポート状況を追跡することが、ポスト量子移行計画の一部となる。一方で、量子攻撃が実際に実行可能になる時期は依然として確定していない。