午前I問題

量子コンピュータが暗号技術に与える影響に関する記述のうち、適切なものはどれか。

ア）量子コンピュータの実用化は、共通鍵暗号方式（AES等）の安全性には一切影響を与えない　イ）Shorのアルゴリズムを実行可能な大規模量子コンピュータが実用化されると、現在広く使われているRSAや楕円曲線暗号（ECC）は効率的に解読される可能性がある　ウ）Groverのアルゴリズムは公開鍵暗号の素因数分解問題を効率的に解くアルゴリズムであり、共通鍵暗号には影響しない　エ）量子コンピュータへの対策は、実用化された後に暗号方式を切り替えれば十分間に合う

午前I の解答・解説を見る

正解： イ

解説：

  • ア）不正解。共通鍵暗号は量子コンピュータの影響を受けないわけではありません。Groverのアルゴリズムにより探索の計算量が理論上平方根に短縮されるため、AES-128の実効的な安全性はAES-64相当まで低下するとされ、鍵長を長くする（AES-256の採用）などの対応が必要です。
  • イ）正解。Shorのアルゴリズムは大規模な誤り耐性量子コンピュータ上で、素因数分解問題や離散対数問題を多項式時間で解くことができます。RSA・ECC（ECDH、ECDSA含む）はいずれもこれらの数学的困難性に安全性の根拠を置いているため、実用的な量子コンピュータが登場すれば効率的に解読される可能性があります。
  • ウ）不正解。素因数分解問題を効率的に解くのはShorのアルゴリズムです。Groverのアルゴリズムは非構造化探索問題を高速化するもので、共通鍵暗号の鍵探索（総当たり攻撃）の計算量を理論上平方根に削減する影響を与えます。
  • エ）不正解。攻撃者が現在の暗号化通信を記録しておき、将来量子コンピュータが実用化された時点で復号する「Harvest Now, Decrypt Later（今収集し、後で復号）」という脅威が指摘されています。機密性が長期間求められるデータについては、量子コンピュータの実用化前から対策（PQC移行）を進める必要があります。

午前II問題

NISTが標準化した耐量子暗号（PQC）アルゴリズムに関する記述のうち、最も適切なものはどれか。

ア）CRYSTALS-Kyber（ML-KEM）は格子暗号（Lattice-based Cryptography）に基づく鍵カプセル化メカニズム（KEM）であり、NISTのPQC標準化において鍵確立（鍵交換）用途の標準として選定された　イ）CRYSTALS-Dilithium（ML-DSA）はハッシュベース署名方式であり、既存の署名方式と比べて署名サイズが大幅に小さいことが特長である　ウ）耐量子暗号は量子コンピュータでのみ解読困難な暗号であり、従来の古典コンピュータに対しては安全性が保証されない　エ）NISTのPQC標準化では、単一のアルゴリズムに絞ることでアルゴリズム間の脆弱性リスクを排除する方針が採られた

午前II の解答・解説を見る

正解： ア

解説：

  • ア）正解。CRYSTALS-Kyber（NIST標準化後はML-KEMという名称）は格子問題（Module-LWE問題）の困難性に基づく鍵カプセル化メカニズムであり、NISTのPQC標準化プロセスにおいて鍵確立（鍵交換）用途の第一の標準として選定されました。
  • イ）不正解。CRYSTALS-Dilithium（ML-DSA）もKyberと同様に格子暗号に基づくデジタル署名方式であり、ハッシュベース署名ではありません。ハッシュベース署名の標準化例としては別途SPHINCS+（SLH-DSA）があります。また署名サイズはRSA/ECDSAと比較して大きくなる傾向があり、「大幅に小さい」という記述も誤りです。
  • ウ）不正解。耐量子暗号は「量子コンピュータでも古典コンピュータでも」効率的に解読することが困難であるように設計された暗号方式です。量子コンピュータに対してのみ有効というわけではなく、古典コンピュータに対する安全性も要求されます。
  • エ）不正解。NISTのPQC標準化では、格子暗号ベース（Kyber、Dilithium）に加え、ハッシュベース署名（SPHINCS+/SLH-DSA）など数学的根拠が異なる複数のアルゴリズムを並行して標準化しています。これは特定のアルゴリズム（格子暗号）に将来的な脆弱性が発見された場合のリスク分散を意図した方針です。

午後問題

医療情報を扱うクラウドサービス事業者E社は、患者の診療情報や研究データを長期間（最低20年間）にわたり機密として保持する契約義務を顧客と結んでいる。E社のセキュリティ部門は、量子コンピュータの将来的な実用化を見据えたPQC移行計画の策定を進めている。

現状の暗号方式は以下の通りである。

  • TLS通信の鍵交換：ECDHE（P-256）
  • TLS通信の署名（サーバ証明書）：ECDSA
  • 保存データの暗号化：AES-256-GCM
  • 内部システム間のデータ長期保管用署名：RSA-2048による電子署名

セキュリティ部門内では「量子コンピュータの実用化はまだ数年〜十数年先と言われているため、対応はまだ先でよいのではないか」という意見と、「今すぐ対応を検討すべきである」という意見が対立している。また、CTO からは「PQCへ一斉に切り替えると相互運用性の問題やアルゴリズムの信頼性リスクがあるのではないか」という懸念も示されている。

設問1

E社が量子コンピュータの実用化を待たずに、現時点からPQC移行の検討を始めるべき理由を、E社の事業特性（長期の機密保持義務）に触れながら説明しなさい。（180字程度）

設問1の解答・解説を見る

正解例： 攻撃者が現在の暗号化通信やデータを記録しておき、将来量子コンピュータが実用化された時点で復号する「Harvest Now, Decrypt Later」という脅威が存在する。E社は患者の診療情報を最低20年間機密として保持する義務があるため、たとえ量子コンピュータの実用化が十数年後であっても、その時点までに記録されたデータが復号されれば契約義務や患者のプライバシーに深刻な影響が及ぶ。長期保持データほど早期のPQC対応が必要となる。

解説・採点基準（計15点）：

採点項目キーワード配点
Harvest Now, Decrypt Laterの説明記録・将来の復号・事前収集攻撃6点
長期保持義務との関連付け20年間の機密保持・データの保護期間が量子実用化時期を上回るリスク6点
論理的な結論早期対応の必要性を明確に述べている3点

部分点： Harvest Now Decrypt Laterの用語なしで概念のみ説明できていれば4点。

設問2

CTOが懸念する「相互運用性の問題やアルゴリズムの信頼性リスク」を踏まえ、TLS通信の鍵交換方式について、ECDHEから直接CRYSTALS-Kyber（ML-KEM）へ一斉に切り替えるのではなく、当面採用すべき移行方式とその理由を述べなさい。また、その方式で署名（ECDSA）についてはどのように扱うべきかも述べなさい。（220字程度）

設問2の解答・解説を見る

正解例： 当面はECDHEとCRYSTALS-Kyber（ML-KEM）を組み合わせたハイブリッド鍵交換を採用すべきである。ハイブリッド方式では両方のアルゴリズムで共有鍵を導出して結合するため、Kyberに未知の脆弱性が将来発見されたとしても、ECDHE側の安全性が保たれていれば全体の安全性は損なわれない。逆にECDHEが量子コンピュータで破られてもKyber側が安全性を担保する。署名についても同様に、既存のECDSA証明書チェーンを維持しつつ、ML-DSA（CRYSTALS-Dilithium）などのPQC署名アルゴリズムを組み合わせるハイブリッド証明書やデュアル署名の採用を検討し、相互運用性を確保しながら段階的に移行する。

解説・採点基準（計15点）：

採点項目キーワード配点
ハイブリッド鍵交換の採用と理由ECDHE+Kyberの併用・片方が破られても安全性維持7点
相互運用性への配慮段階的移行・既存方式との併用3点
署名の扱いへの言及ECDSAとML-DSA（PQC署名）の併用・ハイブリッド証明書5点

部分点： ハイブリッド鍵交換の名称・仕組みのみ正解し理由説明がない場合は4点。署名への言及がない場合は署名分5点を減点。

重要キーワード

用語説明
耐量子暗号（PQC）量子コンピュータでも古典コンピュータでも効率的に解読することが困難であるように設計された暗号方式の総称。NISTが標準化を主導している
CRYSTALS-Kyber（ML-KEM）格子問題（Module-LWE）に基づく鍵カプセル化メカニズム。NIST PQC標準化で鍵確立（鍵交換）用途の標準として選定された
CRYSTALS-Dilithium（ML-DSA）格子問題に基づくデジタル署名方式。NIST PQC標準化でデジタル署名用途の標準として選定された
ハイブリッド鍵交換従来の暗号方式（ECDHE等）とPQC（Kyber等）を組み合わせ、双方から導出した鍵を結合する移行方式。片方に脆弱性が発見されても全体の安全性を維持できる
Harvest Now, Decrypt Later攻撃者が現在の暗号化通信・データを記録しておき、将来量子コンピュータが実用化された時点で復号する攻撃シナリオ。長期機密データを持つ組織で特に重要なリスク
Shorのアルゴリズム / GroverのアルゴリズムShorは素因数分解・離散対数問題を量子コンピュータで効率的に解くアルゴリズムでRSA/ECCに影響。Groverは探索を高速化し共通鍵暗号の実効安全性を低下させる

まとめ

  • 午前I視点： Shorのアルゴリズム（公開鍵暗号への脅威）とGroverのアルゴリズム（共通鍵暗号への影響）の違いを区別すること。量子コンピュータ実用化前からの対応（Harvest Now, Decrypt Later）の必要性も基礎知識。
  • 午前II視点： NIST PQC標準化の主要アルゴリズム（Kyber=鍵カプセル化、Dilithium=署名）とその数学的根拠（格子暗号）、複数アルゴリズム並行標準化の意図（リスク分散）が頻出。
  • 午後視点： 長期機密保持義務を持つ事業者ほど早期のPQC対応が必要という論理展開、および相互運用性・信頼性リスクを踏まえたハイブリッド鍵交換という現実的な移行戦略を説明できることが採点の鍵。