はじめに
量子コンピュータの進歩により、現在広く使われている暗号アルゴリズム（RSA・ECCなど）は将来的に破られる可能性が指摘されています。
この問題は Post-Quantum Cryptography（PQC：耐量子暗号）
と呼ばれる新しい暗号方式への移行を促しています。
しかし現実のシステムでは次のような問題があります。
- どこで暗号が使われているのか
- RSAやECDSAがどこに存在するのか
- PQC移行対象がどれだけあるのか
大規模なコードベースでは、これを把握するだけでもかなり大変です。
そこで今回、ソースコードやミドルウェアの設定ファイルなどを解析してPQC移行対象となる暗号利用箇所を検出するツール pqc-scan をOSSとして公開しました。
GitHubリポジトリ
https://github.com/wakaken/pqc-scan
PQC移行の背景
量子コンピュータが実用化すると、現在の公開鍵暗号の多くはショアのアルゴリズムにより理論上破られると言われています。
特に次のアルゴリズムは量子耐性がありません。
- RSA
- ECDSA
- ECDH
- Diffie-Hellman
そのため現在、世界中で Post-Quantum Cryptography (PQC) への移行が始まっています。
例えばNISTは次のPQCアルゴリズムを標準化しています。
- ML-KEM（旧Kyber）
- ML-DSA（旧Dilithium）
- SLH-DSA
しかし既存システムでは依然として
- RSA証明書
- JWT署名
- SSH鍵
- TLS設定
など、量子耐性のない暗号が大量に残っています。
そのため 最初のステップは暗号の棚卸し（Crypto Inventory） になります。
pqc-scanとは
pqc-scan は ソースコードをスキャンして量子耐性のない暗号を検出するツール です。
Rustで実装されたCLIツールとして提供されています。
主な特徴
1. ソースコードから暗号利用箇所を検出
例えば以下のような暗号利用を検出できます。
RS256
RSA
ECDSA
対象例
- JWT署名
- TLS設定
- SSH鍵
- crypto API
2. 多言語コードをスキャン
pqc-scan は以下の言語を対象に設計されています。
- Java
- Python
- Go
- JavaScript / TypeScript
- Ruby
- Rust
OSSプロジェクトの暗号利用状況を簡単に確認できます。
3. PQC移行リスクの可視化
検出結果は
- quantum-vulnerable
- quantum-uncertain
- quantum-safe
といった形で分類されます。
4. レポート生成
pqc-scan は以下の形式で結果を出力できます。
- HTML
- JSON
- Markdown
- SARIF
SARIF形式を使うことで GitHub Code Scanningと統合することも可能です。
インストール
Rust環境があれば簡単にビルドできます。
git clone https://github.com/wakaken/pqc-scan
cd pqc-scan
cargo install --path crates/pqc_scan_cli
使い方
基本的な使い方はシンプルです。
pqc-scan scan ./target-project --format all --out-dir ./pqc-report --rules-dir /path/to/pqc-scan/rules
出力形式を指定することもできます。例えば、--formatにhtmlを指定するとhtml形式のレポートのみが出力されます。
pqc-scan scan ./project \
--format html \
--out-dir ./pqc-report
OSSをスキャンしてみる
例えば Keycloak のソースコードをスキャンする場合は次のようになります。
git clone https://github.com/keycloak/keycloak
pqc-scan scan ./keycloak \
--format all \
--out-dir ./pqc-report-keycloak
これにより
- RSA使用箇所
- JWT署名
- TLS関連設定
などが検出されます。
PQC移行の第一歩は「暗号の棚卸し」
PQC移行の議論ではよく「ML-KEMを導入するべきか」のような話になります。
しかし実際の移行プロセスは
- Crypto Inventory
- PQC Migration Plan
- Hybrid Cryptography
- PQC Only
という段階を踏みます。
pqc-scanはその 最初のステップである暗号の棚卸しを支援するツール です。
まとめ
pqc-scan は
- ソースコードや設定ファイルから暗号利用箇所を検出
- PQC移行対象を可視化
- OSSプロジェクトの暗号利用状況を分析
するためのツールです。
量子時代に向けたセキュリティ対策として 「まず暗号の棚卸しを行う」 という観点で活用できます。
GitHub
ぜひ試してみてください。