Cloudflareの研究者がポスト量子のウェブプライバシートークンを提示：PoMFRITブラインド署名は4.3 KB・公開鍵46.6 KB、MOLE候補は6.5〜12.0 KB；未完成方式の見積もりで安全性証明は未了、引用IETFドラフトは期限切れ

2026年11月6日、Cloudflareの研究者Christopher Patton、Tianyu Zhang、Bas Westerbaanは、ウェブのプライバシートークンが量子コンピューターの時代にも持ちこたえる方法についての研究記事を公開しました。これは、エージェントとサイトに関する11月5日の立場文書の続きにあたります。その文書は11月6日に当方が取り上げたもので、Privacy Pass系トークンの次世代設計であるMOLEに触れていました。あの文書は計画を述べ、この記事はその裏にある暗号技術と最初のサイズの見積もりを示します。ここに出荷済みのものはありません。数字は、開発中の方式についてのCloudflareの見積もりです。

記事は2つのリスクを分けています。現在のPrivacy PassはRSAや楕円曲線といった従来型の暗号を使っているため、量子攻撃者はトークンを自由に偽造し、レート制限をすり抜けられます。一方でPrivacy Passは無条件にプライバシーを守ります。つまり、量子であってもなくても、攻撃者はトークンの引き換えと発行を結び付けられません。Cloudflareは、設計中の新しい機能もこの保証を保てると述べています。現行のPrivacy Passで当面の量子リスクは偽造耐性にありますが、新方式の実験的なコミットメントは別途プライバシーを検討する必要があります。障害はサイズです。ML-DSA-44の署名は2,420バイトで、ECDSA-P256の署名は64バイトです。

MOLEはModeration Of unLinkable Endorsements（リンク不能な裏書きの審査）の略です。裏書きはアンカー（anchor）が発行し、モデレーター（moderator）が引き換えます。双方はアンカー集合、つまりモデレーターが信頼するアンカーの公開鍵の集まりに合意し、クライアントは集合内のどれかのアンカーが裏書きを発行したことを、どれかは明かさずに証明します。モデレーターはその後、クライアントのその後のやり取りを管理するクレデンシャルを発行します。発行者を隠すことが狙いです。サイトは発行者によってトークンを区別できないため、より多くの種類のクライアントが参加できます。クレデンシャルは、ブラインド署名、匿名クレジットトークン、匿名レート制限クレデンシャルのいずれにもなりえます。

提案される部品は2つの考えを組み合わせています。1つはVOLE-in-the-Headで、小さな二元体上の文に対して具体的に効率の良いゼロ知識証明システムです。もう1つは多変量署名、特にUnbalanced Oil and Vinegar（UOV）で、署名は135バイトですが公開鍵は46.6 KBです。USENIX Security 2026で発表されたブラインド署名PoMFRITは、署名が6.7 KB、発行はわずか数百バイトに達しました。Cloudflareの著者は、MAYOをUOVに替えると署名が4.3 KBになると述べています。UOVとFAEST-EM-128sにNISTラウンド3のパラメータを使った数字で、格子ベースの設計と張り合える水準だとしています。

記事は続いて、構築中の方式の見積もりを示します。UOVを使うとすべての公開鍵は46.6 KBです。UOVを使うPoMFRITは発行が1 KB未満、引き換えが4.3 KBです。MOLEの裏書きの候補であるVOLE-IHATは発行が5.6 KB、引き換えが6.5 KBです。MOLEのクレデンシャルの候補であるVOLE-ACTは発行が5.4 KB、1回の消費（spend）が12.0 KBです。著者の実装では各操作に数ミリ秒かかります。従来型に比べてはるかに大きく、著者は、RSAのブラインド署名をPoMFRITに替える際のオーバーヘッドは、ECDSAをML-DSAに替えるのと同程度だと述べています。従来型のトークンなら毎回のリクエストで引き換えられるほど安いかもしれませんが、ポスト量子の引き換えは複数のリクエストに分散させる必要がありそうだとしています。

記事の中身は留保そのものです。多変量方式の暗号解析はまだ若いです。UOVとMAYOは耐えてきましたが、パラメータが変わってコストが増える可能性があります。最小のサイズは、one-more-UOVと呼ばれるより強い仮定に基づく最適化を使っています。記事は、カリフォルニア大学サンディエゴ校とINRIAの研究者が最近、Privacy Pass発行者を署名オラクルとして使って1024ビットのRSA署名を偽造したと述べ、Privacy Pass自体は2048ビットのRSAを使っているとしています。偽造耐性だけに影響しプライバシーには及ばないという結論は、上記のone-more-UOV最適化に限られます。新方式がUOVと同じ強さであることを示す安全性証明はこれから書く必要があります。多変量コミットメントや低次の疑似乱数生成器といった発想は証明をさらに小さくできるかもしれませんが、安全かどうかはまだわかっていません。 別の多変量コミットメント実験はパラメータの安全性が不明で、原文はクライアントのプライバシーにもリスクが及びうると明記しています。

標準化の側の確認が1つの限界を加えます。記事はIETFの匿名レート制限クレデンシャル（Anonymous Rate-Limited Credentials）のドラフトを引用しています。draft-ietf-privacypass-arc-crypto-01のdatatrackerのページでは、このドラフトは期限切れのInternet-Draftとされ、最終改訂は2026年3月2日、所属するワーキンググループ文書は「Dead」と表示されています。これは引用した版の状態だけを示します。後続文書や他の関連規格を網羅的に調べておらず、分野全体に有効な規格がないとは言えません。

当方の見方では、これは研究段階の案です。約4〜12 KBという見積もりは引き換えや消費など提示時の操作に当たり、PoMFRITの発行は1 KB未満、公開鍵は46.6 KBです。数字が今後の検証に耐えれば暗号設計からプロトコル工学へ進める可能性がありますが、安全性証明と追加の暗号解析は未了です。製品でもRFCでも導入予定日でもありません。運営者はトークンの大きさ、引き換えの分散、パラメータの変化を注視すべきです。