Red Hat Enterprise Linux における SSH のポスト量子機能の強化

Red Hat Enterprise Linux (RHEL) では、ポスト量子暗号化 (PQC) への移行が進んでいます。2025 年 5 月、RHEL 10 は 3 つの主要な暗号ライブラリ (OpenSSL、GnuTLS、NSS) でポスト量子鍵交換アルゴリズムを提供 し、TLS 1.3 接続でポスト量子鍵交換を利用可能にしました。続いて RHEL 10.1 では、新しい鍵交換アルゴリズムを TLS のデフォルトに設定し、RPM パッケージ向けにポスト量子署名を導入しました。

セキュアシェル (SSH) プロトコルも、この流れに取り残されてはいません。RHEL 10 は OpenSSH 9.9 を搭載して出荷されており、2 つのハイブリッド・ポスト量子鍵交換方式をサポートしています。sntrup761x25519-sha512 は、従来の X25519 鍵交換と格子ベースの効率化された NTRU Prime アルゴリズム (SNTRUP) を組み合わせたもので、mlkem768x25519-sha256 は X25519 と、米国国立標準技術研究所 (NIST) が標準化したモジュール格子ベースの鍵カプセル化メカニズム (ML-KEM) を組み合わせたものです。RHEL 10.1 以降、とくに別に設定されない限り、OpenSSH では接続時に後者が優先されます。

RHEL 10.2 における SSH の新機能

RHEL 10.2 では、SSH の PQC 機能がさらに統合されました。

FIPS モードでのポスト量子 SSH 鍵交換

mlkem768x25519-sha256 の RFC ドラフトは、現在 Internet Engineering Task Force (IETF) の Secure Shell Maintenance (SSHM) ワーキンググループによって最終調整が行われており、このアルゴリズムについては、さまざまな SSH 実装による導入が進んでいます。しかし、このドラフトでは、mlkem768nistp256-sha256 と mlkem1024nistp384-sha384 という他の 2 つのハイブリッド鍵交換アルゴリズムも規定しています。これらは、Curve25519 の代わりに、NIST が推奨する曲線 (P-256 および P-384) 上の楕円曲線ディフィー・ヘルマン (ECDH) 鍵交換と ML-KEM バリアントを組み合わせたものです。

ML-KEM および P-256/P-384 上の ECDH はすべて FIPS の承認済みであるため、Red Hat Enterprise Linux 10.2 では、mlkem768nistp256-sha256 と mlkem1024nistp384-sha384 を、唯一の 2 つのポスト量子 FIPS 互換 SSH 鍵交換アルゴリズムとして提供しています。アップストリームの OpenSSH メンテナーはこれら 2 つの追加ハイブリッドを実装しないことを決定しましたが、Red Hat の開発者が提供する OpenSSH のダウンストリームパッチにより、Red Hat のお客様は FIPS モードの SSH でポスト量子暗号の使用を開始できます。

libssh におけるポスト量子鍵交換のサポート

これらのハイブリッド鍵交換の構成は、ついに libssh 0.12.0 (SSH C ライブラリ) にも導入されます。OpenSSH の動作に合わせて、libssh に対してビルドされた SSH クライアントとサーバーは、RHEL 10.2 のデフォルトで mlkem768x25519-sha256 鍵交換アルゴリズムを優先するようになりました。これにより、libssh ベースのカスタムサーバーを運用しているお客様は、単にアップグレードするだけで「Harvest now, decrypt later (今収集し、後で解読)」攻撃から自らを保護できます。

将来の SSH で可能になること

さらに多くの PQC 機能が標準化プロセスを進んでおり、Red Hat もそのプロセスに参加しています。

純粋な ML-KEM 鍵交換とポスト量子 SSH 鍵

私たちは、SSH における純粋な (非ハイブリッド) ML-KEM 鍵交換の使用を標準化する継続的な取り組みに注目しています。現在のドラフトは、適切かどうかについての合意が得られていないため (ML-KEM は十分に成熟していないと主張する反対意見があるため)、IETF SSHM ワーキンググループではまだ採用されていません。

SSH 内での ML-DSA (NIST が標準化したポスト量子署名アルゴリズムファミリー) の使用についても議論されており、複数の競合する RFC ドラフトが存在します。draft-rpe-ssh-mldsa と draft-sfluhrer-ssh-mldsa はどちらも SSH 公開鍵のための純粋な ML-DSA 使用の標準化を目指しており、一方で draft-sun-ssh-composite-sigs と draft-josefsson-ssh-ed25519mldsa65 は、複合 ML-DSA 署名 (例えば、従来の EdDSA 署名との組み合わせ) の標準化を目指しています。これらのいずれかを実装することで、SSH クライアントとホストはポスト量子公開鍵で認証できるようになり、量子コンピュータを使用した中間者攻撃から保護されます。

ポスト量子暗号による GSSAPI 鍵交換

最後に、私たちはハイブリッド PQC 方式 (具体的には 3 つのハイブリッド ML-KEM 方式) を使用した GSSAPI 鍵交換の標準化に取り組んでおり、それを OpenSSH と libssh に実装しています。Red Hat が提案する RFC ドラフトは、RFC 4462 および RFC 8732 に基づいて構築されており、これを採用することで SSH での Kerberos 認証の量子安全性を確保できます。

まとめ

RHEL 10.2 のリリースにより、FIPS モードで運用している場合でも、libssh をベースにカスタム SSH アプリケーションを使用している場合でも、ポスト量子 SSH 鍵交換がデフォルトで有効になります。  私たちは、「Harvest now, decrypt later (今収集し、後で解読)」攻撃の脅威を軽減するために、システムを最新の RHEL 10 バージョンにアップグレードすることを推奨します。

今後も Red Hat のエンジニアは IETF およびアップストリームのコミュニティで積極的に活動し、ポスト量子ホストキーのサポートやポスト量子 GSSAPI (Kerberos) 認証など、量子安全な SSH の次フェーズの定義を支援していきます。新しい SSH 標準が成熟し、合意に達するにつれて、Red Hat は今後の RHEL リリースでそれらを継続して実装し、サポートします。