Signalが消去符号化チャンクを用いて2,272バイトの耐量子鍵をチャット経由で密かに送信

Ars Technicaによると、Signal Messengerは2025年10月に、2023年のPQXDHハンドシェイク変更に続くSignalプロトコルへのさらなる耐量子性アップデートに関する記事を公開した。ハンドシェイクは量子攻撃に対して安全だったが、ピンポン型Diffie-Hellmanラチェットの一時鍵はそうではなかった。Signalはその実績のあるラチェットを維持し、削除する代わりにML-KEM-768に基づく第3のラチェットを追加することを選んだ。

障害はサイズだった。X25519鍵は約32バイトだが、ML-KEM鍵と暗号文を合わせると2,272バイトになり、71倍の増加となる。しかもこれは、信頼できない、あるいは敵対的なネットワーク上で非同期に動作しなければならないプロトコルにおいてである。50メッセージごと、または週に一度だけ鍵を送る方法は、メッセージが失われたり、攻撃者がより大きなメッセージを破棄したりすると失敗する。71個のチャンクを送る方法も、敵が1つのチャンクを破棄し続ければ失敗する。

Signalの答えは消去符号だった。鍵を複数の断片に分割し、十分な数の断片の部分集合さえあれば再構築できるようにすることで、パケット損失を許容する。KEM計算もより小さなステップに分割され、公開鍵と暗号文の一部を並行して送信できるようにした。

大きな鍵を消去符号化したチャンクに分割し、通常のメッセージをまたいで送信することで、一部が破棄されても十分な大きさの部分集合があれば再構築できるようにした。

既存のラチェットを維持することで、実績のあるコードと現在の古典的攻撃者に対する保護が保たれる。

消去符号化により、十分な数のチャンクがあれば鍵を再構築できるため、メッセージが破棄されても交換が滞ることはない。

特定の単一のチャンクが必須ではないため、攻撃者は1つのパケットを破棄することで鍵の更新を妨害できない。

KEM計算を分割することで作業を並行して実行でき、性能コストを抑えられる。

新しい要件が1つのパケットには大きすぎる場合、ストリームが無傷で保たれることを期待するのではなく、損失耐性が符号化に組み込まれるように分割する。

Microsoftの元耐量子責任者は、この設計を堅実で思慮深い改善と呼び、ネットワーク性能への影響を最小化する最適化に言及した。Arsの記事はSignalを例外として位置づけている。当時、Fortune 500企業のネットワークのうち耐量子TLSをサポートしていたのはわずか18パーセントであり、Cloudflare内部のTLS接続でも半数未満だった。抜粋には測定された性能数値は示されていない。