耐量子暗号（PQC）とは？RSA・量子コンピュータの脅威からML-KEMの仕組みまで図解

1. そもそも暗号は何を守っているのか

「暗号化」は、第三者に読み取られたくない情報を、鍵なしでは意味を理解しにくいデータへ変換する処理です。一方、デジタル署名は送信者の正当性やデータの改ざんを検証するための仕組みです。目的が違うため、利用するアルゴリズムも区別します。

鍵・署名・ハッシュを混同しない

平文 / 暗号文

暗号化前のデータ／暗号化後のデータ。暗号文は原則として復号鍵がないと読めません。

公開鍵 / 秘密鍵

鍵ペアのうち公開してよい情報／厳重に保持する情報。公開鍵から秘密鍵を求めにくいように設計します。

デジタル署名

秘密鍵で署名を作り、公開鍵で検証します。データの秘匿そのものは提供しません。

ハッシュ関数

入力データから固定長の値（ダイジェスト）を計算します。通常の暗号化と異なり、復号する操作はありません。

2. 量子コンピュータは何を変えるのか

現在広く使われてきたRSAは、大きな整数の素因数分解が困難であることを安全性の基礎としています。楕円曲線暗号（ECC）は、楕円曲線上の離散対数問題の難しさに依存します。いずれも、十分大規模で誤り訂正された量子コンピュータが実現した場合、ショアのアルゴリズムによる脅威を受けます。

盗聴した暗号文を今保存しておき、将来より強力な量子コンピュータで復号を狙う考え方を「Harvest Now, Decrypt Later（今収集し、後で復号）」と呼びます。長期間秘密にする必要がある情報では、現時点から鍵確立方式の見直しが重要です。

3. PQC（耐量子暗号）とは

PQC（Post-Quantum Cryptography）は、量子コンピュータを使う攻撃者に対しても安全性を保てると考えられる暗号アルゴリズム群です。「量子コンピュータで実行する暗号」という意味ではありません。多くは通常のCPUでも実行でき、量子通信回線も必要ありません。

NISTの標準は用途が違う

4. ML-KEMはどうやって同じ鍵を作るのか

KEM（Key-Encapsulation Mechanism、鍵カプセル化機構）は、公開鍵を使って通信相手との間に同じ共有秘密を確立する仕組みです。共有秘密は実際のデータをそのまま暗号化するためのアプリケーション鍵と同義ではなく、適切な鍵導出処理で通信鍵を作ることがあります。

(pk, sk) = KeyGen()

APIとして見ると3つの関数

// 説明のための疑似コード。実ライブラリのAPIではありません。
const { publicKey, secretKey } = ML_KEM.keyGen();

// 送信側：公開鍵から暗号文と共有秘密を生成
const { ciphertext, sharedSecret: secretA } =
  ML_KEM.encapsulate(publicKey);

// 受信側：秘密鍵と暗号文から共有秘密を復元
const secretB = ML_KEM.decapsulate(secretKey, ciphertext);

// 正常なら secretA と secretB が一致する
// → プロトコルの仕様に従い鍵導出・認証・AEADへ

ここでの ciphertext はKEMのカプセル化暗号文です。暗号化した見積書などのアプリケーション本文ではありません。本文を保護するには、確立した秘密を適切に処理し、AES-GCMのような認証付き暗号（AEAD）へ渡す必要があります。

5. ネットワークではどこでPQCを使う？

PQCはOSI参照モデルの新しいレイヤではありません。暗号アルゴリズムを取り替える技術です。たとえばHTTPSで使うTLSはアプリケーションを保護するセキュリティプロトコルで、鍵確立や署名に関する処理へ耐量子方式を組み込めます。

「公開鍵方式が量子に強くなった」だけでは通信が安全とは限りません。証明書の署名方式、実装のサイドチャネル耐性、暗号アルゴリズムの切替可能性（Crypto Agility）、運用する鍵の寿命なども考えます。

6. なぜ格子暗号が候補になるのか

ML-KEMは「Module Learning with Errors（Module-LWE）」と呼ばれる数学的問題の難しさに関連しています。直感的には、計算結果に小さなノイズが混ざるため、元の秘密を逆算しにくくする考え方です。ただし実際のML-KEMは多項式・剰余演算などを含む複雑な方式であり、次の図はあくまでイメージです。

7. よく混同される量子技術も図で整理

量子アニーリング：最適化問題を扱う計算モデル

量子アニーリングは、エネルギーが低い状態を探索するという考え方で最適化問題を解く計算アプローチです。回路の小型化・消費電力削減を意味する言葉ではありませんし、耐量子暗号の定義でもありません。

ショアのアルゴリズム：既存の暗号を脅かす側

QKD（量子鍵配送）：量子通信で鍵を共有する

QKD（Quantum Key Distribution）は、光子などの量子状態を利用して鍵素材を共有する方式です。PQCとは異なり、専用の量子通信路と古典通信路、相手を認証する仕組みなどが必要です。QKDだけで大量のデータが高速転送できるわけではありません。

PQCとQKD、最後に何が違う？

8. 実際のシステム導入で気を付けること

PQCのライブラリを導入するだけでは安全性は完成しません。特に公開鍵・暗号文・署名などのサイズの増加は、通信量、TLSの処理、証明書、端末性能などに影響します。また、KEM単独には通信相手の本人確認がないため、認証処理と安全に統合する必要があります。

9. 理解度を確認する

まとめ

PQCを理解する近道は「何を暗号化するか」ではなく、まず鍵をどう確立するのか／誰の署名をどう検証するのかを分けて考えることです。ML-KEMは鍵カプセル化、ML-DSAとSLH-DSAは署名の技術です。実際の通信では、これらを認証やAES-GCMなどの共通鍵暗号と適切に組み合わせます。