IETFでCURRENT提案が始動　TLS/QUICの長時間接続に継続的な鍵更新を導入する構想

IETFは今週ウィーンで開いた会合で、Messaging Layer Security（MLS）の鍵管理をネットワークトランスポートに持ち込む「CURRENT」提案を正式議題として扱った。実現すれば、長時間維持されるTLSやQUICの接続で、侵害後も鍵を継続的に更新して通信を自己回復させる仕組みが加わる可能性がある。もっとも、現時点はWorking Group設立を検討する初期段階であり、標準化にはなお年単位の時間を要する見通しだ。

■IETF 126でCURRENTが初の正式セッション

現在の暗号化接続は、TLSでもQUICでも、原則として接続開始時に一度だけ安全性の交渉を行う。その冒頭のハンドシェイクで合意した鍵がセッション全体を保護するため、攻撃者が通信を取得し、後からその鍵を入手した場合、そのセッション全体を事後的に読めてしまう。これはインターネットのトランスポートセキュリティにおける構造的な隙間として長く知られ、技術者コミュニティが数十年にわたり受け入れてきた問題でもある。今週ウィーンで開かれたIETF会合で前進したWorking Group提案は、この状況を変える可能性がある。

IETF 126の火曜夜、Birds-of-a-Feather（BoF）セッション「CURRENT（Continuous Updating and Ratcheting for Rekeying Encrypted Network Transport）」が初の正式会合を開き、新たなIETF Working Groupの設立に向けて動き出した。狙いは、Messaging Layer Security（MLS）の鍵管理の仕組みを汎用のネットワークトランスポートに適用し、長時間継続する暗号化セッションに、iOSやAndroid上のテキストメッセージですでに使われている継続的な鍵更新を持ち込むことにある。この点はIETFの公式BoFセッション一覧でも確認できる。

IETF 126の会期は7月18日から24日まで、開催地はウィーン。CURRENTセッションは、この問題が実在すると技術者コミュニティが考えているか、対象範囲が現実的に扱える広さに収まっているか、そして実際に作業を担う技術者が十分にいるかを見極める最初の正式な試金石だった。

■継続的な鍵ラチェットとは何か

TLS 1.3とQUICはいずれも前方秘匿性を備えるが、それは限定的な意味にとどまる。ハンドシェイク時にセッション鍵を交渉し、新しいセッションでは新しい鍵を使うため、将来の鍵が盗まれても過去のセッションは守られる。一方で、進行中の単一セッションの中で侵害後の安全性、すなわちpost-compromise securityは提供しない。この点はMLS Architecture標準のRFC 9750でも文書化されている。

post-compromise securityは前方秘匿性とは別の性質であり、その違いは重要だ。前方秘匿性は、将来の鍵窃取から過去セッションを守る。一方、post-compromise securityは、サーバーが一時的に侵害された場合や、端末が一時的に攻撃者に制御された場合でも、復旧後には攻撃者が予測できない新しい鍵を再び生成できることを意味する。つまりセッションが自己回復する。TLSとQUICはセッション内ではこれを実現しないが、MLSはRFC 9750で定義された形でこれを実現する。

この差が最も大きく響くのは、長時間維持される接続だ。企業のAPIセッション、VPNトンネル、常時接続に近い形でサーバーへ接続するIoT機器、断続的な接続を伴う衛星リンクなどが該当する。こうした接続は再ハンドシェイクなしにセッション鍵を長く保持するため、その間に鍵を攻撃者が得ると、侵害の瞬間を過ぎても長く通信が危険にさらされ続ける。

CURRENTの提案は、MLSの鍵管理、具体的には非同期の鍵更新、暗号学的ラチェット、そして形式手法で検証された安全性を、新たなトランスポート層の2者間プロトコルの土台として使うことにある。IETF 126のBoFセッション一覧でもその方向性が示されている。対象を2者間に絞っているのは意図的だ。MLS自体は2者から数千者までのグループ向けに設計されているが、CURRENTは最も一般的なトランスポートの利用形態、つまり1クライアントと1サーバーの間の持続的な暗号化チャネルに集中する。

■アプリ層の性質をトランスポート層へ下ろす試み

CURRENTの意義は、追加される個別機能だけにとどまらない。TLSが1990年代に標準化されて以来、アプリケーション層のセキュリティとトランスポート層のセキュリティの間には構造的な境界があった。メッセージングアプリは継続的な鍵ラチェットを前提に設計でき、Signal、iMessage、そして現在はRCSもその方式を採る。一方、トランスポートプロトコルは、開始時に一度だけ交渉し、その鍵状態をセッション終了まで保持するという、根本的に異なるモデルで動いてきた。

CURRENTが今後チャーターされ、最終的に標準化されれば、前方秘匿性とpost-compromise securityを組み合わせたアプリ層のセキュリティ特性をトランスポート層へ押し下げるIETF初の正式な取り組みになる。2者間に範囲を限定していることが、むしろ現実性を支えている。数千参加者にまたがるグループ鍵合意は複雑さを大きく増すが、2者間プロトコルならその難しさを避けられる。

■暗号基盤は実験段階ではない

CURRENTの訴求の中心にあるのは、その暗号基盤が実験的なものではないという点だ。MLSは長年の開発、形式的な安全性分析、IETF内での広範なレビューを経て、2023年7月にRFC 9420として公開された。形式解析ツールによる検証も受けており、これは大半のプロトコル提案が受けないレベルの精査である。CURRENTはそのぶん、多くの新規IETF提案より強固な安全性の土台を主張できる。

2025年3月には、GSM AssociationがRCS Universal Profile 3.0でエンドツーエンド暗号化標準としてMLSを採用すると発表した。この点はIETFによるRCSでのMLS採用告知でも確認できる。さらに2026年5月までに、Google MessagesとApple Messagesは、ユーザー向けのRCS上MLS E2EE展開をいずれも開始していた。Messaging Layer SecurityのWikipedia項目にあるRCS展開の記述によれば、これによりRCSは、異なるプラットフォーム提供者間で相互運用可能なエンドツーエンド暗号化に対応した初の大規模メッセージングサービスとなった。

MLSはさらに、Webex、Wire、Discordといった企業向けリアルタイムプラットフォームの内部でも、音声、動画、グループメッセージング用途に導入されている。IETFのMLS採用告知によれば、大きく異なる配備環境にまたがる本番運用の実績をすでに持つことになる。

現在利用可能なMLS実装は、Messaging Layer SecurityのWikipedia項目にある実装一覧によれば、Rust（OpenMLS、mls-rs）、C++（MLS++）、TypeScript（MLS-TS）など5つの言語にまたがる。提供元にはAWS Labs、Cisco、Matrix Foundationなどが含まれる。

■IETFでWorking Groupはどう立ち上がるのか

IETFの手続きに不慣れな読者向けに言えば、BoFセッションは、アイデアが公開RFCに至るまでの道筋における最初の正式ステップにあたる。CURRENTのようなWorking Group設立型BoFでは、コミュニティが問題の実在性に同意するか、対象範囲が十分に絞られていて扱えるか、そして標準化完了まで何年も作業を続ける意思を持つ技術者が十分にいるか、という3点を確かめる。

これらの問いに前向きな答えが得られれば、次の段階はIETFのInternet Engineering Steering Group（IESG）が承認する正式なチャーターであり、その後にWorking Groupが組成され、具体的なプロトコル仕様の草案作成が始まる。IETFは投票制ではなく、セッション議長とIESGが評価するrough consensus、すなわち大まかな合意によって動く。

CURRENTにとって次の大きな節目となり得るのは、2026年11月14日から20日にサンフランシスコのHilton Union Squareで予定されているIETF 127だ。これはウィーンでのセッションが好意的に進んだ場合の話である。IETF 126の録画やノートは、ウィーン会合の終了に合わせてIETF DatatrackerとIETFのYouTubeチャンネルに順次掲載されている。

■ポスト量子時代の脅威が緊急性を高める

セキュリティコミュニティが長寿命のセッション鍵を重視する理由は、通常の侵害シナリオだけではない。もう1つは、いま収集して後で解読するharvest-now-decrypt-later型攻撃だ。国家レベルの攻撃者は、古典的な鍵交換を破れる量子コンピューターが利用可能になった時点で将来解読するため、暗号化通信を今のうちに収集して保存していると報告されている。

NSA、CISA、NISTを含む複数の国家サイバーセキュリティ機関は、そのような収集が現に進行していると確認している。2025年から2026年の研究見積もりでは、RSA-2048を破るための量子ビット要件は、かつて想定されていた2000万から100万未満へと下方修正され、以前は十分に見えた時間的余裕が圧縮されている。

CURRENTが狙う長時間接続は、この脅威モデルの下で特に露出が大きい。セッション鍵材料を長期間保持するためで、長時間続く企業のAPIセッションを今日取得した攻撃者は、短いWebリクエストを取得した攻撃者よりも、事後的に解読可能なコンテンツを大きく確保できる。

MLSはすでにdraft-ietf-mls-pq-ciphersuites仕様を通じてポスト量子暗号スイートをネイティブにサポートしているため、CURRENT由来のプロトコルであれば、別個のポスト量子対応を後付けで行う必要はない。移行経路が基盤の中に組み込まれている。

■CURRENTが成功した場合に変わること

CURRENT標準が実現した場合の実務上の影響が最も大きいのは、接続が持続する配備だ。長時間のTLSセッションをバックエンドサービスに維持する企業環境、機器が数日から数週間にわたって常時チャネルを保持するIoT配備、勤務時間中ずっと開いたままのVPNトンネル、そして性能や遅延の都合で繰り返しのハンドシェイクの代わりに持続的接続を使う環境が中心になる。

こうした環境の開発者やアーキテクトにとっての運用上の違いは明快だ。現在は、長い接続の途中でセッション鍵が侵害されると、その後の通信は同一セッション内で引き続き露出する。CURRENTベースのプロトコルでは、継続的ラチェットによって鍵は速やかに古くなり、攻撃者がある派生鍵を持っていても次の鍵を予測できない。

ただし、チャーターが認められたとしても、この作業には数年を要する可能性が高い。IETF Working Groupは、レビュー、コメント、改訂を何度も重ねながらInternet-Draftを作成し、最終仕様がRFC Editorキューに入るまで長い時間をかける。ウィーンのBoFから実運用されるRFCに至る道のりは長い。それでも、形式検証済みの基盤プロトコル、大規模RCS展開という実績、ネイティブなポスト量子対応、そして意図的に絞り込まれた2者間スコープという要素がそろうことで、CURRENTは新たな標準化作業としては異例に強い土台を持つ。

■注目ポイントQ&A

●CURRENTはTLSやQUICに何を追加するのですか

TLS 1.3とQUICは、接続ごとに新しいセッション鍵を交渉することで前方秘匿性を提供します。将来の鍵が盗まれても過去のセッションは保護されるということです。一方で提供されないのが、セッション内での侵害後の安全性（post-compromise security）です。長時間の接続の途中で端点のセッション鍵材料が攻撃者に奪われると、そのセッションが閉じるか新しいハンドシェイクが起きるまで通信を読まれ続けるおそれがあります。MLSの鍵ラチェットは古い鍵材料を捨てながら新しい鍵を継続的に導出するため、侵害された鍵は短時間で無価値になります。CURRENTは、この継続的ラチェットをネットワークトランスポート接続へ持ち込む2者間プロトコルの標準化を目指すものです。

●なぜ新規設計ではなくMLSを使うのですか

理由は主に2つあります。第1に、MLSは数学的証明ツールを用いた形式検証を受けており、多くの新規プロトコル提案が得ていない水準の安全性保証を備えています。新たに独自設計する場合は、この水準をゼロから確立する必要があります。第2に、すでに大規模導入の実績があり、2026年5月にはGoogle MessagesとApple MessagesがRCS上のMLSエンドツーエンド暗号化展開を開始し、Webex、Wire、Discordでも本番利用されています。標準化済みで配備実績のある基盤を使うことで、CURRENTはIETFでのチャーターに向けた説得力と、現実の実装経験の両方を得られます。

●いま使っている端末や接続にすぐ影響しますか

いいえ、すぐには影響しません。CURRENTはIETF標準化のごく初期段階にあり、まずWorking Groupを立ち上げる合意が必要です。その後も、チャーターから配備可能なRFCに至るまで通常は数年かかります。また、短時間で終わるTLSセッションが中心の一般的なWeb閲覧では、この提案の関連性はもともと大きくありません。恩恵が大きいのは、企業のバックエンド接続、IoT機器接続、VPNトンネルなど、同じセッション鍵を数時間、数日、あるいはそれ以上維持する長時間接続です。

●harvest-now-decrypt-laterは長時間接続に何を意味しますか

国家レベルの攻撃者や資金力のある攻撃者は、現在の鍵交換アルゴリズムを破れる量子コンピューターが将来利用可能になった時点で解読するため、いま暗号化されたインターネット通信を収集して保存していると報告されています。CURRENTが対象とする長時間接続は、同じセッション鍵材料で長期間にわたり大量の暗号文を生成するため、特に影響を受けやすい構造です。MLSはポスト量子暗号スイートをネイティブにサポートしているため、CURRENT由来のトランスポートプロトコルであれば、後から別個のポスト量子移行を行わずにこの露出へ対処できます。

元記事: Messaging Layer Security Is Coming to Network Transport: IETF Votes on New Encryption Standard