耐量子計算機暗号(Post-Quantum Cryptography, PQC)
1. 概要
A. 定義
耐量子計算機暗号(PQC)とは、大規模な汎用量子計算機が登場しても安全性が保たれるよう、格子・符号・ハッシュ・多変数など量子アルゴリズムでは効率的に解けない数学的問題に基づいて設計された公開鍵暗号・電子署名アルゴリズムの総称である。既存のデジタル計算機(古典計算機)の上でそのまま動作する点で、量子物理現象によって鍵を配送する量子鍵配送(QKD)とは根本的に異なる。
今日のインターネットの信頼は、RSAと楕円曲線暗号(ECC)に深く依存している。TLSの鍵交換、電子署名と証明書(PKI)、コード署名、ブロックチェーンのウォレット署名は、いずれも「大きな数の素因数分解」や「離散対数問題」が現実的な時間では解けないという仮定の上に立っている。しかし1994年のショア(Shor)アルゴリズムは、十分に大きな誤り耐性(fault-tolerant)量子計算機があればこれら二つの問題を多項式時間で解けることを示した。すなわち量子計算機はRSA・ECCを事実上無力化する。耐量子計算機暗号はこの脅威に対し、古典暗号の運用体系は維持しつつ、数学的基盤そのものを量子攻撃に耐える問題へ置き換えるという取り組みである。
B. 登場背景および必要性
PQCが「将来の備え」ではなく「今まさに取り組むべき課題」となった決定的な理由は、ハーベスト・ナウ・デクリプト・レイター(Harvest Now, Decrypt Later, HNDL)という脅威にある。攻撃者はまだ量子計算機を持たなくとも、今ネットワークを流れる暗号文をそのまま収集・保存しておき、将来量子計算機が完成した時点で復号できる。したがって「保護期間の長いデータ」(国家機密・医療記録・金融取引・知的財産)は、量子計算機が現れる前から既に危険にさらされていることになる。保護必要期間(X)+移行所要期間(Y)が量子計算機登場時期(Z)より大きければ危険だというモスカ(Mosca)の不等式(X+Y>Z)が、この緊急性を端的に説明する。
対称鍵暗号とハッシュは事情が異なる。グローバー(Grover)アルゴリズムは探索問題に平方根程度の高速化しか与えないため、AES-128の実効強度は約64ビットに下がるがAES-256を用いれば依然として安全であり、ハッシュも出力長を伸ばせば対応できる。一方、公開鍵暗号はショアアルゴリズムによって指数的に崩壊するため、長さの調整では持ちこたえられず、置き換え以外に道はない。この非対称性が「公開鍵体系(鍵交換・電子署名)を先に、全面的に置き換えねばならない」というPQCの中核的課題につながる。
制度的にも移行は既に始まっている。米国NISTは2016年から公募方式の標準化を進め、2024年8月に最初の標準を確定し、米国NSAのCNSA 2.0は2035年前後を目標に国家安全保障システムのPQC全面適用の日程を提示した。韓国でも国家情報院の主導で、2035年までに国家暗号体系を耐量子計算機暗号へ移行するマスタープラン(2023年7月)を発表し、韓国型公募戦(KpqC)によって独自アルゴリズムを確保している。要するにPQCは「いつかの技術」ではなく、今、移行計画を立てねばならない規制・運用上の懸案である。
C. 特徴
- 古典ハードウェア互換: 量子計算機なしで既存CPU上で動作し、既存のPKI・TLS運用モデルをおおむね再利用する。
- 数学的基盤の多様化: 格子・符号・ハッシュ・多変数・アイソジェニーなど異なる難問に分散投資し、特定の問題が破られても代替を残す。
- サイズ・性能のトレードオフ: 既存のRSA・ECCより公開鍵・署名・暗号文のサイズが大きく(数百B〜数KB以上)、帯域・メモリ制約環境では負担となる。
- クリプトアジリティの要求: アルゴリズム交換が容易な構造(crypto-agility)とハイブリッド移行が事実上必須である。
2. PQCの分類体系と全体構造
耐量子計算機暗号は「どの数学的難問に安全性を賭けるか」によって系列が分かれる。以下の構造図は、代表的な系列と、NISTが標準として採択した、あるいは脱落させたアルゴリズムを併せて整理したものである。
flowchart TB
PQC["耐量子計算機暗号(PQC)"] --> L["格子ベース(Lattice)"]
PQC --> C["符号ベース(Code)"]
PQC --> H["ハッシュベース(Hash)"]
PQC --> M["多変数ベース(Multivariate)"]
PQC --> I["アイソジェニー(Isogeny)"]
L --> LK["ML-KEM(Kyber) ・ 鍵設定"]
L --> LS["ML-DSA(Dilithium) ・ 署名"]
L --> LF["FN-DSA(Falcon) ・ 署名"]
C --> CM["Classic McEliece"]
C --> CH["HQC(バックアップKEM, 2025選定)"]
H --> HS["SLH-DSA(SPHINCS+) ・ 署名"]
M --> MR["Rainbow(2022の攻撃で脱落)"]
I --> IS["SIKE(2022の攻撃で脱落)"]
style PQC fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
style L fill:#e9f8ee,stroke:#1f9d55,stroke-width:1px
style M fill:#fdecec,stroke:#d64545,stroke-width:1px
style I fill:#fdecec,stroke:#d64545,stroke-width:1px
格子ベース(Lattice-based)暗号は現在のPQCの主流である。格子における「最も近いベクトルを求める問題(CVP)」や、その変種であるLWE(Learning With Errors)・Module-LWE問題が、量子・古典のいずれでも難しいという仮定に基づく。演算が主に多項式の乗算とモジュラ加算であるため実装が比較的速く、鍵・暗号文のサイズが均衡するので、NISTは鍵設定(ML-KEM)と署名(ML-DSA・FN-DSA)の主力をいずれも格子系に選んだ。ただし、すべての中核アルゴリズムを一つの系列に集中させると「その難問が破られれば同時多発的に崩れる」という単一障害点の懸念があり、バックアップ系列の併用が重要となる。
符号ベース(Code-based)暗号は「誤り訂正符号の復号が一般にNP困難」である事実を利用する。1978年のマッケリース(McEliece)暗号にまでさかのぼるほど歴史が長く安全性への信頼が高いという利点がある一方、公開鍵が数十万バイトに達するため実務適用が難しい。NISTが2025年3月にHQCをML-KEMのバックアップとして追加選定したのは、主力(格子)と異なる数学的土台を確保してリスクを分散する意図である。ハッシュベース(Hash-based)署名(SLH-DSA, XMSS, LMS)はハッシュ関数の安全性のみを仮定するため最も保守的に安全だが、署名が大きく遅い。一方、多変数(Rainbow)とアイソジェニー(SIKE)系列はそれぞれ2022年に致命的な攻撃が発表され事実上脱落したが、これは「新しい数学的難問は十分な公開検証を経るまで安易に信頼できない」というPQC特有のリスクを象徴している。
| 系列 | 代表的難問 | 標準/代表アルゴリズム | 強み | 弱み |
|---|---|---|---|---|
| 格子 | Module-LWE/LWR, NTRU | ML-KEM, ML-DSA, FN-DSA | 速度・サイズの均衡、汎用性 | 比較的新しく、集中リスク |
| 符号 | シンドローム復号 | Classic McEliece, HQC | 長年の検証、高い信頼 | 大きな公開鍵 |
| ハッシュ | ハッシュ衝突耐性 | SLH-DSA, XMSS/LMS | 最も保守的な安全性 | 大きな署名、状態管理(stateful) |
| 多変数 | MQ問題 | (Rainbow — 脱落) | 短い署名 | 安全性崩壊の事例 |
| アイソジェニー | 超特異アイソジェニー | (SIKE — 脱落) | 非常に小さな鍵 | 2022年の攻撃で破棄 |
3. NIST標準とアルゴリズム構成
NISTは2016年に公募を開始し、70余りの候補を数回のラウンドで絞り込み、2024年8月13日に最初のPQC標準3件を公式に発表した。これらの標準は以前の候補名(Kyber・Dilithium・SPHINCS+)から標準名称(ML-KEM・ML-DSA・SLH-DSA)へと変わった点を、答案で正確に区別せねばならない。
| 標準 | アルゴリズム(元候補) | 用途 | 系列 | 状態 |
|---|---|---|---|---|
| FIPS 203 | ML-KEM(CRYSTALS-Kyber) | 鍵カプセル化(KEM, 鍵設定) | 格子 | 2024.8確定 |
| FIPS 204 | ML-DSA(CRYSTALS-Dilithium) | 電子署名(主力) | 格子 | 2024.8確定 |
| FIPS 205 | SLH-DSA(SPHINCS+) | 電子署名(ハッシュベースのバックアップ) | ハッシュ | 2024.8確定 |
| FIPS 206 | FN-DSA(Falcon) | 電子署名(小型署名) | 格子 | 開発中(ドラフト段階) |
| (予定) | HQC | 鍵カプセル化バックアップ | 符号 | 2025.3選定、標準化進行中 |
各アルゴリズムは安全性強度に応じて複数のパラメータセットを提供する。たとえばML-KEMはML-KEM-512・768・1024を設け、それぞれAES-128・192・256に相当する強度を目標とするが、数値が大きいほど安全な反面、公開鍵・暗号文は大きくなる。実務では「保護期間と脅威水準に合わせ、過剰でも不足でもないパラメータ」を選ぶことがコスト・安全性の均衡点であり、グーグル・クラウドフレアのハイブリッドTLS配備がML-KEM-768を既定値に選んだのも、こうした折衷の結果である。安全性強度レベル(NIST Level 1/3/5)とパラメータセットの対応関係を混同しないことが、答案では重要である。
三つの標準の役割分担には明確な設計意図がある。ML-KEMはTLSのように「通信セッション鍵を相手と安全に合意する」鍵カプセル化メカニズム(KEM)であり、従来のRSA/ECDH鍵交換を置き換える。KEMは送信者が公開鍵で対称鍵をカプセル化して送り、受信者が秘密鍵で取り出す方式で、ショアアルゴリズムに脆弱なディフィー・ヘルマン型の鍵交換を格子難問へ置換する。ML-DSAは汎用電子署名の既定値であり、FN-DSA(Falcon)は署名長が短く帯域が重要な場面に、SLH-DSAは格子ではなくハッシュに安全性を賭ける保守的なバックアップとして位置づけられる。すなわち「署名は格子(ML-DSA)を基本としつつ、格子が揺らぐ場合に備えてハッシュ(SLH-DSA)を残す」という多系列分散戦略が、標準の構成そのものに織り込まれている。
4. 移行(マイグレーション)手順とハイブリッド方式
PQC移行の実務的な核心は「一度に置き換える」ことではなく、段階的・ハイブリッドな移行である。以下の図は、組織が経る移行段階と、TLSで広く用いられるハイブリッド鍵交換の流れを併せて示す。
flowchart LR
subgraph MIG["移行ロードマップ"]
A["1.暗号インベントリ<br/>(どこで何を使うか)"] --> B["2.リスク優先順位化<br/>(保護期間・機微度)"]
B --> C["3.クリプトアジリティ確保<br/>(交換可能な構造)"]
C --> D["4.ハイブリッド適用"]
D --> E["5.純粋PQC移行"]
end
subgraph HYB["ハイブリッド鍵交換(TLS)"]
CH["ClientHello: X25519 + ML-KEM"] --> SH["ServerHello: 二つの共有鍵を生成"]
SH --> KDF["二つの共有秘密を結合(KDF)"]
KDF --> KEY["セッション鍵を確定"]
end
E -.参照.-> HYB
style A fill:#e8f0fe,stroke:#2f6fed,stroke-width:1px
style KEY fill:#e9f8ee,stroke:#1f9d55,stroke-width:1px
移行の出発点は逆説的に、暗号そのものではなく可視性である。ほとんどの組織は自らが「どこで、どのアルゴリズム・鍵長を、どのような寿命で」用いているかを正確に把握していない。したがって暗号インベントリとCBOM(Cryptographic Bill of Materials)を通じて使用状況を識別し、保護期間が長く機微な資産(長期保存文書、コード署名のルート鍵、金融取引)から優先順位をつける。この段階なしにアルゴリズムだけ置き換えると、組込み機器のファームウェアや外部ライブラリの奥深くに埋め込まれたRSAがそのまま残り、移行が「穴の空いた状態」になる。
次にクリプトアジリティ(crypto-agility)、すなわちアルゴリズムを設定で容易に変更できる構造を確保したうえでハイブリッド方式を適用する。ハイブリッドは既存アルゴリズム(例: X25519)とPQC(例: ML-KEM-768)を同時に実行して二つの共有秘密をKDFで結合する方式で、「二つのうち一方さえ破られなければ安全」である。実際にグーグル・クロームとクラウドフレアは2023〜2024年にTLS 1.3へX25519+ML-KEMハイブリッドを大規模に適用したが、これはPQCアルゴリズムの実装欠陥やまだ露見していない脆弱性のリスクを、既存の検証済みアルゴリズムで保険をかけるという現実的な選択である。移行の最終段階で初めて純粋PQCへ移る。
5. 既存公開鍵暗号・QKDとの比較
PQCの位置づけを正確に理解するには二つの軸の比較が必要である。第一は「何を置き換えるのか」(既存RSA/ECCとの対比)、第二は「よく混同される量子鍵配送(QKD)と何が違うのか」である。とりわけ試験の答案でPQCとQKDを同一視して記述すると減点要因となるため、その違いの理由まで説明できねばならない。
| 区分 | RSA-2048/ECC | PQC(ML-KEMなど) | QKD(量子鍵配送) |
|---|---|---|---|
| 安全性の根拠 | 素因数分解・離散対数 | 量子困難な数学問題 | 量子力学(測定擾乱) |
| 量子計算機耐性 | なし(ショアで崩壊) | あり | あり |
| 動作基盤 | 古典計算機 | 古典計算機 | 専用量子ハードウェア・光通信 |
| 鍵/署名サイズ | 小さい(数百B) | 大きい(数KB) | 該当なし(鍵のみ配送) |
| 距離・インフラ | インターネット全域 | インターネット全域(SW交換) | 距離制限・専用網が必要 |
| 電子署名の対応 | 対応 | 対応 | 非対応(鍵配送専用) |
既存RSA/ECCと比べたPQCの本質的な違いは、安全性の根拠を変える点にある。RSAは素因数分解が、ECCは楕円曲線離散対数が難しいという仮定に立つが、いずれもショアアルゴリズムによって多項式時間で崩壊する。PQCはソフトウェアだけを置き換えれば既存のインターネット・PKI上でそのまま使えるという運用上の連続性が最大の強みである。その代わり鍵・署名・暗号文が大きくなる代償を伴う。たとえばECDSA署名が64バイト程度であるのに対し、ML-DSA署名は2KBを超え、SLH-DSAは数KB〜数十KBに達する。このサイズ増加は、証明書チェーンが長いTLSハンドシェイクやIoTファームウェア署名のように帯域・記憶容量が逼迫した環境で実質的なボトルネックとなる。
QKDとの違いはより根本的である。QKDは光子の測定が状態を擾乱するという物理法則で盗聴を検知しつつ鍵を配送するが、専用の量子ハードウェアと光通信インフラを要し、距離制約が大きく、電子署名を提供できない。一方PQCは純粋なソフトウェアでインターネット全域で動作し、署名・認証まで包含する。このため各国の保安機関(米国NSAなど)は「汎用的な保安体系の中心はQKDではなくPQCである」との立場を明確にしてきた。両者は競合関係というより、QKDが特殊な高保安区間に補助的に用いられうる相互補完の関係と見るのが正確である。
6. 深化 — 国内外の標準化動向とKpqC
標準化のグローバルな地勢は2024〜2025年を境に「選定」から「履行」へと重心を移した。NISTが2024年8月にFIPS 203/204/205を確定したのに続き、2025年3月11日にHQCを五番目のアルゴリズム(符号ベースのバックアップKEM)として選定し、FN-DSA(Falcon)標準(FIPS 206)は開発中である。これは「格子主力+異種系列バックアップ」という分散哲学が標準の水準で固まったことを示す。産業界でもOpenSSL・BoringSSL・liboqsといったライブラリがML-KEM/ML-DSAを搭載し、アップルはiMessageにPQ3というPQCベースのプロトコルを導入するなど、適用が加速している。
国内は国家情報院主導のKpqC(韓国型耐量子計算機暗号)公募戦を通じて独自アルゴリズムを確保した。2021年11月に公募を開始し2022年に16種を受け付け、2023年11月の第1ラウンドで8種に絞り、2025年1月に最終4種を確定した。確定アルゴリズムは電子署名2種(AIMer, HAETAE)と公開鍵暗号・鍵設定2種(NTRU+, SMAUG-T)とされる。とりわけAIMer電子署名技術は国内企業(サムスンSDS)が関与して採択された事例として紹介された。ただし詳細な規格・名称・日程は公募戦の進行に応じて更新されうるため、実際の適用時には国家情報院・耐量子計算機暗号研究団の公式規格書を確認するのが安全である。
標準化の主体もNISTに限られない。鍵交換・署名を実際のプロトコルに織り込む作業はIETFがTLS 1.3ハイブリッド、X.509証明書、SSHなどの規格で進め、欧州ETSIと国際ISO/IEC JTC1 SC27もPQC関連の標準化を並行している。すなわち「アルゴリズム標準(NIST)」と「プロトコル・運用標準(IETF・ETSI・ISO)」が異なる層位で噛み合って回っており、実際の製品に適用するには両層を追跡せねばならない。国内でもKpqCアルゴリズムをTTA団体標準と国家標準へ反映し、暗号モジュール検証制度(KCMVP)との整合を取る後続作業が、移行の実効性を左右する。
政策面で韓国は2023年7月に2035年までに国家暗号体系をPQCへ移行するマスタープランを発表し、その後の総合推進計画を通じて公共・金融・国防など分野別の移行ロードマップを具体化している。これは米国CNSA 2.0が提示した2035年前後の全面移行日程と軌を一にする。技術士の観点から見れば、PQCは単なる暗号技術の問題ではなく、ガバナンス・予算・調達・人材の問題を伴う国家・企業水準の複数年移行プログラムとして出題される可能性が高い。
7. 考慮事項および示唆点
単一系列集中リスクと分散戦略: 主力標準がすべて格子系であることは効率と一貫性を与えるが、格子難問に根本的な突破口が現れた場合、同時崩壊の危険がある。したがってハッシュ(SLH-DSA)・符号(HQC)バックアップを併せて支援する多系列の備えと、アルゴリズムを設定で交換可能なクリプトアジリティ・アーキテクチャが戦略的必須である。
性能・サイズのトレードオフ管理: PQCは鍵・署名・暗号文が大きく、TLSハンドシェイクの遅延、証明書チェーンの肥大化、IoT・スマートカードなど制約機器のメモリ負担を引き起こす。適用前に帯域・レイテンシ・電力への影響を測定し、パラメータセット(例: ML-KEM-512/768/1024)の選択で安全強度とコストを均衡よく調整せねばならない。
ハイブリッドと段階的移行の不可避性: 公開検証期間が相対的に短いPQCの実装・設計欠陥リスクを考えれば、当面は既存アルゴリズムと結合したハイブリッドが現実的な正解である。ただしハイブリッドはハンドシェイク費用を増やし相互運用テストを複雑にするため、標準の成熟度に応じて純粋PQCへ移る出口戦略を併せて設計せねばならない。
今すぐ始めるべき先制的な資産保護(HNDL対応): 保護期間の長いデータは量子計算機のない現在でも収集・保存の脅威にさらされている。モスカの不等式(X+Y>Z)に従い、暗号インベントリ・CBOM作成 → 機微資産の優先移行に直ちに着手せねばならず、移行は数年を要する長期プログラムであることを組織ガバナンスの次元で認識せねばならない。
連携技術とサプライチェーンの考慮: PQC移行はPKI・HSM・TLSライブラリ・コード署名・電子署名制度、そして商用ソリューションのサプライチェーン全般と絡み合う。外部ライブラリ・ファームウェアに埋め込まれた暗号まで追跡できなければ移行は無力化されるため、ベンダーのPQCロードマップの確認と国内KpqC・検証対象暗号モジュール(KCMVP)との整合を調達・契約の段階で要件化するのが望ましい。
参考資料
- NIST, "Post-Quantum Cryptography Standardization" — https://csrc.nist.gov/projects/post-quantum-cryptography/post-quantum-cryptography-standardization
- NIST, "NIST Releases First 3 Finalized Post-Quantum Encryption Standards" (FIPS 203/204/205, 2024.8) — https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards
- Wikipedia, "NIST Post-Quantum Cryptography Standardization" — https://en.wikipedia.org/wiki/NIST_Post-Quantum_Cryptography_Standardization
- BoanNews, "[寄稿] KpqC公募戦アルゴリズムの選定と活用" — https://m.boannews.com/html/detail.html?idx=135674
- Samsung SDS Insights, "耐量子計算機暗号への大転換" — https://www.samsungsds.com/kr/insights/the-great-transition-to-pqc.html
一言まとめ: PQCはショアアルゴリズムで崩壊するRSA・ECCを、格子・符号・ハッシュなど量子困難な問題に基づくアルゴリズムへ置き換える古典計算機向けの公開鍵・署名技術であり、NIST FIPS 203/204/205の確定と国内KpqC・2035移行マスタープランを背景に、HNDL脅威に対し暗号インベントリ・クリプトアジリティ・ハイブリッドによる先制的・段階的な移行が核心である。