Post-Quantum Cryptography（PQC）

直近のセキュリティ業界の動向、影響

前述の理由から、RSA暗号やEC暗号からより安全な公開鍵暗号方式への移行が望ましいとされており、新しい方式としてNISTが標準化プロジェクトを進めているPQCには、大きな注目が集まっています。^*1

これまでにPQCの候補としてNISTに受理されたアルゴリズムの数は約70もあり、およそ7年かけて、審査、選定が続けられてきました。2022年に最終候補のアルゴリズムが発表され、2023年には3つのアルゴリズムについてドラフト版FIPSの公開とパブリックコメントの募集が行われました。

そして2024年8月、NISTはPQCの候補としていた3つの暗号方式（ML-KEM, ML-DSA, SLH-DSA）を、新たなFIPS標準として正式に公開しました。^*3
さらにもう1つの暗号方式（FN-DSA）が、2024年末までに、同様にFIPS標準として発表される見込みです。

各標準の概要は下記の通りです。

• ML-KEM ： 格子暗号を利用した鍵交換アルゴリズム。これまでのDHやECDHの代わりに利用することを想定。
• ML-DSA ： 格子暗号を利用した電子署名アルゴリズム。これまでのDSAやECDSAの代わりに利用することを想定。
• SLH-DSA ： ハッシュ関数を利用した電子署名アルゴリズム。これまでのDSAやECDSAの代わりに利用することを想定。
• FN-DSA ： ML-DSAと同様に格子暗号の電子署名アルゴリズム。実装の難易度は高いが署名サイズは小さくすることが可能。

FIPS標準からは漏れましたが、LMSとXMSSというハッシュベースの電子署名アルゴリズムも公開されています。

また、米国国家安全保障局（NSA）も、CNSA 2.0としてPQC移行のタイムラインを提示しています。
CNSA 2.0では遅くとも2030～33年までに、PQCへの完全な移行とこれまでのアルゴリズムの廃止を、米国政府と、米国政府に関連するベンダに求めています。^*4

一方、選定された暗号方式はいずれも「量子コンピュータで解くことが難しい」数学問題を利用した暗号方式ですが、「量子コンピュータで解くことが難しい」というのは、「従来/量子コンピュータで効率良く解く方法が、現時点で見つかっていない」ことを意味しています。つまり、その数学問題について効率の良い解法が見つかった場合には、その暗号方式を用いても通信やデータを悪意ある第三者の攻撃から守れなくなる可能性があります。

そのため、いずれの暗号方式にもPQCとして使用できなくなる可能性があります。このことから現在も各暗号方式が、量子コンピュータによる攻撃に耐えられるかどうか、また、実装や移行などの、実用上の様々なハードルを乗り越えられるかどうかについて、NISTを中心に世界中で研究が進められており、業界全体がその動向を注視している状況です。^{*1 *2}

量子コンピュータの研究開発の勢いは世界中で高まっており、近い将来、実用化レベルのものが発表されると予測されています。前述の内容も含め、以下の三つの観点から早い段階でPQCへの移行を進めるべきと考えられています。