Post-Quantum Cryptography (PQC・2024)（ポストクォンタム）
NIST 2024年8月標準化のPQC (Post-Quantum Cryptography) 暗号スイート。ML-KEM / ML-DSA / SLH-DSA で量子コンピュータ耐性、現代暗号 (RSA / ECC) からの移行先。
概要
Post-Quantum Cryptography (PQC・耐量子計算機暗号) は量子コンピュータでも破れない暗号アルゴリズムの総称。1994年Peter Shor が量子コンピュータで RSA / ECC を多項式時間で破るShor アルゴリズム発表・2016年NIST PQC 標準化プロセス開始 (8年・82候補→3最終) ・2024年8月13日NIST が3つを標準化: ML-KEM (FIPS 203)・ML-DSA (FIPS 204)・SLH-DSA (FIPS 205)。量子コンピュータ実用化 (2030-2040年予測) を見据え、RSA / ECC 等の古典暗号から移行が世界規模で進行中、TLS / VPN / Code Signing / SSH / 銀行送金等の次世代基盤。
NIST PQC 標準化プロセス (2016-2024)
| 年月 | 出来事 |
|---|---|
| 1994 | Peter Shor アルゴリズム発表 |
| 2015 | NIST PQC プロセス検討開始 |
| 2016-12 | 第1ラウンド (82 候補) |
| 2019-01 | 第2ラウンド (26 候補) |
| 2020-07 | 第3ラウンド (15 候補) |
| 2022-07 | 4候補発表 (準最終) |
| 2024-08-13 | 3つを正式標準化 |
| 2024-08-13 | FIPS 203 / 204 / 205 公開 |
| 2025-2030 | 主要システム移行 |
| 2030-2040 | 量子コンピュータ実用化 (予測) |
標準化された3つの PQC
ML-KEM (FIPS 203・Module-Lattice KEM)
旧名「Kyber」(2017発表・スイス連邦工科大学・Bos / Ducas / Kiltz 等):
- 用途: 鍵交換 (Key Encapsulation Mechanism)
- 数学的基礎: Module Learning With Errors (ML-LWE)
- 鍵サイズ: 公開鍵 800-1568 byte
- 暗号文サイズ: 768-1568 byte
- 速度: ECDH より3-5倍高速
- 安全性レベル: 1/3/5 (AES-128/192/256 相当)
ML-DSA (FIPS 204・Module-Lattice DSA)
旧名「CRYSTALS-Dilithium」(2017発表・同チーム):
- 用途: 電子署名 (Digital Signature Algorithm)
- 数学的基礎: Module-LWE + Module-SIS
- 公開鍵サイズ: 1312-2592 byte
- 署名サイズ: 2420-4595 byte
- 速度: Ed25519 より2-3倍遅
- 安全性レベル: 2/3/5
SLH-DSA (FIPS 205・StateLess Hash-based DSA)
旧名「SPHINCS+」(2017発表・Bernstein 等):
- 用途: 電子署名 (バックアップ・低頻度)
- 数学的基礎: Hash-based (Merkle Tree)
- 公開鍵サイズ: 32-64 byte (小)
- 署名サイズ: 7,856-49,856 byte (大)
- 速度: 極遅 (RSA より100倍遅)
- 安全性レベル: 1/3/5
ML-KEM / ML-DSA は通信 (TLS / VPN) 主流・SLH-DSA はファームウェア署名等の極長期データ向け。
なぜ量子コンピュータが脅威?
Shor アルゴリズム (1994) の能力:
| 古典暗号 | 古典攻撃時間 | 量子攻撃時間 |
|---|---|---|
| RSA-2048 | 10^17 年 | 数時間 (4,000 qubit) |
| ECC-256 | 10^17 年 | 数時間 (2,300 qubit) |
| AES-128 | 10^17 年 | 10^8 年 (Grover で半減) |
| AES-256 | 10^77 年 | 10^38 年 |
| SHA-256 | 10^77 年 | 10^38 年 |
量子コンピュータがRSA / ECC を完全に破る・対称暗号 (AES) / ハッシュ (SHA-2) はGrover で実効鍵長半減のみ・PQC は別数学基盤で量子耐性確保。
「Harvest Now, Decrypt Later」攻撃
攻撃者が現在のTLS / VPN 通信を暗号化されたまま保管・量子コンピュータ実用化 (2030-2040年) 後に復号する戦略:
- 政府機関 / 諜報機関の活発な戦略
- 「機密期限20年+」(医療 / 国家機密) で深刻
- 早期PQC 移行が「予防的対策」として必須
- TLS 1.3 + ハイブリッド (X25519 + ML-KEM) で対応
ハイブリッドPQC
完全PQC 移行リスク回避のため、現在は「ハイブリッド」(古典 + PQC) が主流:
| プラットフォーム | ハイブリッド |
|---|---|
| Cloudflare (2023-) | X25519 + ML-KEM (Kyber768) |
| Apple iMessage PQ3 (2024) | Curve25519 + ML-KEM |
| Google Chrome (2024-) | X25519 + Kyber768 (X25519Kyber768Draft00) |
| Signal Protocol (2023) | X25519 + Kyber + 一部PQC |
| AWS KMS (実験的) | RSA + Kyber |
| Microsoft Azure | 実験的 |
PQCの実装不具合 / 後発の脆弱性発見リスクをハイブリッド設計でヘッジ。
量子コンピュータ進化
| 年 | qubit | 製造 |
|---|---|---|
| 1998 | 2 qubit | IBM Almaden |
| 2017 | 50 qubit | IBM / Google |
| 2019 | 53 qubit | Google Sycamore |
| 2022 | 433 qubit | IBM Osprey |
| 2023 | 1,000+ qubit | IBM Condor |
| 2024 | 1,000+ qubit (高信頼度) | IBM Heron / Quantinuum |
| 2030予測 | 100K-1M qubit | 大規模実用化? |
| 2040予測 | RSA-2048 破壊 | - |
Logical Qubit (誤り訂正済) を1,000 個構築するのに 物理Qubit 数百万必要・実用化は2035-2045年の予測。
移行スケジュール
| 期間 | 対応 |
|---|---|
| 2024-2026 | 標準化完了 (ML-KEM / ML-DSA / SLH-DSA) |
| 2025-2028 | 主要TLS / VPN 製品PQC 対応 |
| 2027-2032 | エンタープライズ大規模移行 |
| 2030-2035 | 古典暗号 (RSA / ECC) 廃止 |
| 2035-2045 | 量子コンピュータ実用化見込み |
関連用語との違い
- vs 古典暗号 (RSA / ECC): 量子脆弱 / 量子耐性
- vs AES / SHA: 対称 (Grover 対応容易) / 非対称 (Shor 対応必須)
- vs PQ-Crypto Library (Open Source): 学術 / 標準化
FAQ
Q1: いつから心配? A: 「Harvest Now, Decrypt Later」攻撃で20年以上の機密データ・現在から心配・PQC 早期採用推奨。
Q2: ML-DSA は Ed25519 と比較? A: 署名サイズが30-70倍大 (Ed25519 64 byte vs ML-DSA 2,420 byte)・帯域 / 保存量の懸念。実装最適化進行中。
Q3: 個人で対応? A: 直接的対応は不要 (TLS / VPN / OS が自動移行)・パスワードマネージャ (Bitwarden 等) は 2025-2026年PQC 対応見込み・古いシステムから更新推奨。