概要
Cloudflareは、顧客のオリジンサーバーへの接続においてポスト量子認証に対応したと発表した。対応するのはAuthenticated Origin Pulls（AOP）とCustom Origin Trust Store（COTS）の2機能で、いずれもModule-Lattice-Based Digital Signature Algorithm（ML-DSA、FIPS 204準拠）の証明書をサポートする。これにより、CloudflareとオリジンサーバーとのEnd-to-Endでの量子耐性を持つ相互認証が可能になった。同社は今回の対応を、2029年までに完全なポスト量子セキュリティを達成するための最初のマイルストーンと位置づけている。
なぜ認証の量子耐性化が急がれるのか
これまで量子コンピュータに関する脅威対策は、暗号化通信の保護、すなわち「Harvest Now, Decrypt Later（今収集し、将来復号する）」攻撃への対抗が中心だった。攻撃者が現在のうちに暗号化データを収集・蓄積しておき、将来量子コンピュータが実用化された時点で復号するというシナリオである。しかし記事では、量子コンピューティングと関連分析の最近の進展により、業界全体および米国政府がポスト量子暗号への移行期限を前倒ししていることを指摘し、暗号化と並んで「認証」、つまりなりすまし防止の重要性が急速に高まっているとしている。認証が量子攻撃で破られれば、通信相手の正当性そのものが保証できなくなるため、Cloudflareはこの対応を優先事項として進めてきた。
技術的な詳細
対応するML-DSAはNIST標準のFIPS 204に準拠する署名アルゴリズムで、ML-DSA-44、ML-DSA-65、ML-DSA-87の3つのパラメータセットをサポートする。中でもML-DSA-44はパフォーマンスに優れ、NIST category 2のセキュリティ強度を実現するとして推奨されている。
AOPはCloudflareがオリジンサーバーに対してクライアント証明書を提示し、相互TLS（mTLS）接続を確立する仕組みで、オリジン側はCloudflareからのリクエストのみを許可できるようになる。一方COTSは、Cloudflareが信頼するCA（認証局）を顧客側で制御できる機能で、デフォルトの公開信頼ストアの代わりにカスタムCAを利用し、オリジンサーバーがML-DSA証明書をチェーンできるようにするものだ。
導入にはOpenSSL 3.5.0以上を用いてFIPS 204シード形式のML-DSA秘密鍵を生成し、オリジンサーバー用・AOP用それぞれの証明書チェーンを作成した上で、生成したオリジンCA証明書をCloudflare API経由でCOTSにアップロード、クライアント証明書と秘密鍵をAOPとしてゾーンまたはホスト名単位で有効化する手順を踏む。ダウングレード攻撃を防ぐため、検証側は量子脆弱性のある認証メカニズムへの信頼を明示的に削除する必要があり、設定ガイドで詳細な検証手順（ML-DSA証明書の提示確認、クライアント証明書なし接続の拒否確認、鍵合意パラメータの確認など)も案内されている。
実装の裏側と発生した障害
内部実装では、制御平面（Go言語製サービス）でGo標準ライブラリがML-DSAに未対応だったため、Cloudflare独自のCIRCL暗号ライブラリを拡張して対応した。Go 1.27では標準サポートが予定されている。データ平面ではBoringSSLを使用するPingora Originサービスを通じて実装しており、4年間延期していたBoringSSLの更新を、2026年4月にBoringSSL側がポスト量子認証をサポートしたタイミングで実施したという。
なお、KeyUsage検証の厳格化に伴い一部顧客の証明書が無効と判定される問題が発生し、2026年6月10日にインシデントとなった。Cloudflareは一旦ロールバックした上でパッチを適用し、問題を解決している。
今後の展望
Cloudflareは今回のオリジン向け対応に続き、来訪者(エンドユーザー)とCloudflare間の接続についてもGoogleおよびIETF(Internet Engineering Task Force)と協力してMerkle Tree Certificates(MTC)の開発・実験を進めており、初期展開は2027年を目標としているという。また、ML-DSA対応がTLSライブラリ全体に普及するのに合わせてシステムを継続的にアップグレードするほか、Go 1.27のネイティブML-DSAサポートやCloudflare Tunnelなど他のソリューションへの展開も予定しており、2029年の完全なポスト量子セキュリティ達成に向けた取り組みが段階的に進む見通しだ。