後量子暗号（PQC）はもはや研究の話題ではありません。OpenSSL 3.5 は NIST の ML-KEM、ML-DSA、SLH-DSA をネイティブに備え、TLS の鍵交換の既定値を混合型の後量子グループ X25519MLKEM768 に変更しました。両端が OpenSSL 3.5 で動く TLS 接続は、管理者が明示的に設定しなくても後量子の鍵交換を折衝します。

すでに実際の通信で動いている

これは仕様書の上の能力ではありません。Chrome は 124 版（2024 年 4 月）からこの混合グループを既定で有効にしており、Cloudflare の透明性報告では TLS 1.3 接続のおよそ 30% がこれを使っています。訪問者の相当な割合がすでに PQC に対応した状態で到着しているのです——その能力が使われるかどうかは、あなたの側次第です。

なぜ後回しにせず今なのか

理由は「今収穫し、後で復号する」です。攻撃者は今日、暗号化された通信を記録しておき、量子計算機が成熟してから復号します。何年も秘密であるべきものにとって、脅威は今日すでに存在します。混合型の設計は意図的に現実的です。従来の X25519 と後量子の ML-KEM-768 を組み合わせ、どちらか一方が持ちこたえる限りセッションは安全なままです。だから今切り替えることは危険の小さい判断です。

VPS での展開

  • まず版を確認する：openssl version。3.5 は現在の長期支援系統で 2030 年 4 月まで支持されます。それより古いものにネイティブの PQC はありません。
  • 配布物に 3.5 を用意させる：Ubuntu 26.04 LTS はすでに後量子対応の OpenSSL を含んでおり、これが手間の少ない道です。古い版で手ずから構築すると自分で保守する羽目になり、割に合うことは稀です。
  • Nginx が新しいライブラリを参照しているか確かめる：nginx -V で構築時の OpenSSL が分かります。そのうえで実行時に読み込まれる共有ライブラリも 3.5 かを確認してください。食い違いはよくあります。
  • 実際の握手で検証する：openssl s_client -connect yourdomain:443 -groups X25519MLKEM768 を実行します。握手が成功し、そのグループが折衝されて初めて有効です。
  • 純粋な後量子ではなく混合型を有効にする：単独の後量子アルゴリズムは同じだけの実戦の記録を積んでいません。今日は混合型が堅実な選択です。
  • 握手が大きくなることに注意する：ML-KEM の鍵の材料は楕円曲線のものよりかなり大きく、損失の多い経路では握手が遅くなることがあります。決める前に測ってください。

管理された基盤と自分のサーバー

PQC は、TLS を終端する層を自分で持っていなければ進められない更新の典型例です。共用ホスティングや閉じた管理型の基盤では、事業者の予定を待つことになります。自分の VPS なら、OS の更新、新しい OpenSSL への移行、Nginx の ssl_conf_command の調整、握手の検証はすべて自分の日程で進められます。SharkCloud は複数の地域で root 権限付きの専用インスタンスを提供しており、この種の基盤の更新で列に並ぶのではなく先頭を走れます。