概要

耐量子暗号（PQC：Post-Quantum Cryptography）は、量子コンピュータでも解読が困難な数学的問題を安全性の根拠とする暗号方式群です。現在広く使われているRSA・ECCは、大規模な量子コンピュータ上でShorのアルゴリズムを実行されると効率的に破られる可能性があります。米国NISTは2024年に格子ベースのML-KEM・ML-DSA等を標準化し、金融・政府機関を中心に移行が始まっています。SC試験では「今は量子コンピュータが実用化していないのに、なぜ今すぐ対応が必要か」というHarvest Now, Decrypt Later攻撃の理解が問われます。

仕組みと動作原理

量子コンピュータがRSA・ECCを脅かす理由（Shorのアルゴリズム）

RSAは素因数分解の困難性、ECCは楕円曲線離散対数問題の困難性を安全性の根拠としています（詳細はRSA・ECCの記事を参照）。これらは古典コンピュータでは計算量的に現実的な時間で解けませんが、Shorのアルゴリズムを実行できる大規模な量子コンピュータ上では多項式時間で解けることが数学的に証明されています。

古典コンピュータ：RSA-2048の素因数分解 → 現実的な時間では不可能（数百万年オーダー）
量子コンピュータ（Shorのアルゴリズム）：理論上は多項式時間で解読可能

一方、AESのような共通鍵暗号は量子コンピュータ（Groverのアルゴリズム）でも鍵探索が高速化されるだけで、鍵長を倍にすれば実用上安全性を維持できます。公開鍵暗号（RSA・ECC・ECDH・ECDSA）だけが量子コンピュータによって原理的に破られるという非対称性がPQC移行の中心的な論点です。

量子コンピュータの影響：公開鍵暗号 と 共通鍵暗号
公開鍵暗号（RSA・ECC） 共通鍵暗号（AES等）
安全性の根拠
素因数分解・離散対数問題の困難性
総当たり探索の困難性
量子アルゴリズムの脅威
Shorのアルゴリズムで多項式時間で解読可能
Groverのアルゴリズムで探索が高速化
対策
アルゴリズム自体の置き換えが必須（PQC）
鍵長を倍にすれば実用上安全
移行の緊急性
極めて高い（原理的に破られる）
相対的に低い（鍵長強化で対応可）

Harvest Now, Decrypt Later（今収集して将来復号する）攻撃

量子コンピュータが実用化されるのはまだ先だとしても、今すぐPQCへの移行を始めるべき理由がこの攻撃モデルです。攻撃者は現時点でRSA・ECCで暗号化された通信データを収集・保存しておき、将来大規模量子コンピュータが実用化された時点でまとめて復号します。長期間の機密性が求められるデータ（個人の医療情報、国家機密、企業の知的財産など）は、暗号化した「今」ではなく「将来復号された時点」で被害が発生するため、量子コンピュータの実用化前にPQCへ移行しておく必要があります。

Harvest Now, Decrypt Later 攻撃の流れ
1
攻撃者（現在）
RSA/ECCで暗号化された通信データを収集・保存
今は復号できないが保存だけしておく
 2
攻撃者
データを長期間保管
数年〜数十年単位
 3
攻撃者（将来）
大規模量子コンピュータが実用化
Shorのアルゴリズムが実行可能に
 4
攻撃者
保存しておいたデータをまとめて復号
過去の機密情報が漏洩

「暗号文を今盗んでも今は読めないから安全」ではなく、「機密性の有効期限が復号技術の進歩より長いデータは今すぐ危険」という考え方が重要です。

NISTが標準化したPQCアルゴリズム

NISTは2016年から公募していたPQCアルゴリズムの標準化を2024年に完了しました。いずれも格子暗号（Lattice-based Cryptography）などRSA・ECCとは異なる数学的困難性に基づきます。

アルゴリズム標準名用途基盤となる数学的問題
CRYSTALS-KyberML-KEM（FIPS 203）鍵カプセル化（鍵交換）格子問題（Module-LWE）
CRYSTALS-DilithiumML-DSA（FIPS 204）デジタル署名格子問題（Module-LWE）
SPHINCS+SLH-DSA（FIPS 205）デジタル署名（ハッシュベース）ハッシュ関数の一方向性
NIST標準化PQCアルゴリズムの構成
ML-KEM（Kyber）
鍵交換：FIPS 203
ML-DSA（Dilithium）
署名：FIPS 204
SLH-DSA（SPHINCS+）
署名（ハッシュベース）：FIPS 205
格子問題
Module-LWE等の数学的困難性
PQC移行
RSA/ECCの代替

ML-KEMはECDHに代わる鍵交換（正確には鍵カプセル化：KEM）、ML-DSAはECDSAに代わるデジタル署名として位置付けられます。ハッシュベースのSLH-DSAは格子問題への依存を避けた保険的な選択肢です。

ハイブリッド鍵交換（従来方式とPQCの併用）

PQCは比較的新しいアルゴリズムであり、暗号解析コミュニティでの検証期間がRSA・ECCほど長くありません。そこでTLS 1.3などの実装では、従来方式（ECDHE）とPQC（ML-KEM）を組み合わせたハイブリッド鍵交換が推奨されています。

ハイブリッド鍵交換の共通鍵導出：
共通鍵 = KDF( ECDHEで導出した共通秘密 || ML-KEMで導出した共通秘密 )
方式ECDHEのみML-KEMのみハイブリッド（ECDHE + ML-KEM）
量子コンピュータへの耐性なしありあり
未知の脆弱性リスク低い（実績が長い）新しいアルゴリズムのため不明点あり低い（片方が破られても他方が保護）
移行期の互換性既存実装と互換既存実装と非互換段階的移行が可能

両方の共通秘密を結合するため、どちらか一方のアルゴリズムが将来破られても、もう一方が安全であれば全体の安全性は保たれます。この「片方が破られても大丈夫」という設計が移行期の主流アプローチです。

SC試験での頻出ポイント

  • Shorのアルゴリズムが脅かすのは公開鍵暗号のみ：RSA・ECC・ECDH・ECDSAが対象。AES等の共通鍵暗号はGroverのアルゴリズムでも鍵長強化で対応可能
  • Harvest Now, Decrypt Later：量子コンピュータ実用化前でも、長期機密データは今すぐPQC移行が必要な理由
  • NIST標準化アルゴリズムの用途の区別：ML-KEM＝鍵交換（鍵カプセル化）、ML-DSA＝デジタル署名
  • 格子暗号（Lattice-based）が主流である理由：現時点で量子・古典双方への耐性の検証が進んでいる数学的問題であるため
  • ハイブリッド鍵交換の目的：新しいPQCアルゴリズムの未知の脆弱性リスクを、実績あるECDHEとの併用で緩和する移行期の設計

よくある誤問・ひっかけパターン

誤り① 「量子コンピュータが実用化されるまでPQCへの移行は不要」→ 誤。Harvest Now, Decrypt Later攻撃により、長期間機密性が必要なデータは量子コンピュータ実用化前に暗号化されていても将来復号されるリスクがあります。実用化前からの移行が必要です。

誤り② 「PQCに移行すれば共通鍵暗号（AES）も置き換える必要がある」→ 誤。AESなどの共通鍵暗号はGroverのアルゴリズムによる探索高速化の影響を受けますが、鍵長を倍（例：AES-128→AES-256）にすれば実用上の安全性を維持でき、アルゴリズム自体の置き換えは必須ではありません。

誤り③ 「ハイブリッド鍵交換はPQCへの移行が完了するまでの一時しのぎに過ぎず、性能面で不利なだけ」→ 誤。ハイブリッド鍵交換は単なる過渡的措置ではなく、新しいPQCアルゴリズムに万一未知の脆弱性が見つかっても実績あるECDHE側が安全性を担保するという積極的なリスク低減策です。

関連用語

重要キーワード

用語説明
Shorのアルゴリズム量子コンピュータで素因数分解・離散対数問題を効率的に解く量子アルゴリズム
Harvest Now, Decrypt Later暗号文を今収集し将来の量子コンピュータで復号する攻撃モデル
ML-KEM（CRYSTALS-Kyber）NIST標準化された格子ベースの鍵カプセル化（鍵交換）アルゴリズム
ML-DSA（CRYSTALS-Dilithium）NIST標準化された格子ベースのデジタル署名アルゴリズム
格子暗号（Lattice-based Cryptography）格子問題の困難性に基づく、主要PQCアルゴリズムの数学的基盤
ハイブリッド鍵交換従来方式（ECDHE）とPQC（ML-KEM）を併用し双方の安全性を確保する鍵交換方式