🌐 This site is also available in English Visit English Site →
🌐 English
MENU
| 技術情報発信（素材技術を未来へ）
  1. ホーム
  2. 耐量子計算機暗号 技術解説

耐量子計算機暗号 技術解説

← 量子コンピューターの解説一覧へ戻る

TECHNOLOGY EXPLAINER

耐量子計算機暗号
― 公開鍵暗号の仕組みから、格子暗号と NIST の標準まで、段階的に

今、インターネットの通信や電子署名を守っている公開鍵暗号は、「素因数分解のような計算は難しい」という予想の上に立っています。量子コンピュータは、この種の計算を速く解けることが知られています（Shor のアルゴリズム）。そこで、量子コンピュータでも解きにくいと考えられる、別の「難しい問題」に基づく暗号が作られました。それが耐量子計算機暗号（PQC）です。

この記事は、暗号を知らない人を前提に、①公開鍵暗号を小さな数で体験し、②量子コンピュータがなぜ脅威なのかを（概念だけ）理解し、③格子暗号とハッシュ署名の考え方、④2024年に決まった NIST の標準（FIPS 203・204・205）と、現在の状態、⑤ハイブリッド方式、を順に説明します。PQC は量子コンピュータで動く暗号ではなく、普通のコンピュータで動く、新しい数学の暗号です。

構成：査読論文・会議論文、NIST の標準（FIPS 203・204・205 ほか）と報告書、IETF の RFC、ETSI の技術仕様、Global Risk Institute の報告を使用／数値例は本稿で計算／確認日 2026年10月16日

サーバーラックに暗号モジュールを取り付ける場面です。実在の機器・製品・施設を示すものではありません。
図1　概念画像（ImageGen生成）。サーバーラックに暗号モジュールを取り付ける場面です。実在の機器・製品・施設を示すものではありません。 実際の製品・施設・寸法・測定結果ではありません。拡大模型と実物スケールの場面は区別してください。
この記事の構成
  1. 3行でわかる ／ 読む前に ／ シリーズの中での位置
  2. 暗号の土台をもう一度（共通鍵と公開鍵）
  3. 公開鍵暗号を、小さな数で体験する
  4. なぜ量子コンピュータで脅かされるのか
  5. 新しい「難しい問題」― 格子
  6. 署名 ― 格子とハッシュ
  7. NIST 標準の現在地（確認日 2026年10月16日）
  8. 大きくなる鍵と署名
  9. ハイブリッド方式
  10. 実装の注意と、破られた方式の教訓
  11. 評価・標準の読み方
  12. 用語集
  13. 参考資料（一次情報）
  14. 主張と出典の対応表（監査）
本記事の表記ルール

事実＝公表資料に記載のある内容（出典リンクあり）
本稿の計算＝明示した前提をもとに本記事が算出した値
未確定／将来＝草案・計画・選定済みで未制定など、確定していない事項
このほか、読み取りは「解説」として区別しています。推測は太字で示します。

この記事の数値の読み方と、扱わないこと

小さな数の例（DH、RSA、LWE、Shor の例）は、仕組みを見せるための、本稿の計算です。実際の鍵ではありません。この記事は、暗号を破る手順や、実装の弱点を突く方法を説明しません。「量子コンピュータが暗号を破る時期」は、断定しません（第4章で、見積もりの不確かさを示します）。標準の番号・状態・日付は NIST・IETF・ETSI の公式ページで確認した確認日（2026年10月16日）時点のもので、改訂で変わりえます。特定の製品・企業の優劣、法的・投資の助言は述べません。

1. 3行でわかる ／ 読む前に ／ シリーズの中での位置

  • 公開鍵暗号は「計算の難しさ」への信頼でできている：RSA は素因数分解、Diffie-Hellman や楕円曲線暗号は離散対数が難しいことに頼ります。量子コンピュータは、この2つを効率よく解く方法（Shor のアルゴリズム）が知られています［参考資料7・9］
  • 対策は、別の「難しい問題」に替えること：NIST は2024年8月13日に、格子に基づく ML-KEM（鍵共有、FIPS 203）と ML-DSA（署名、FIPS 204）、ハッシュ関数に基づく SLH-DSA（署名、FIPS 205）を公表しました［参考資料19・21・22・23］。共通鍵暗号（AES など）は、鍵を長くする対応が中心です
  • 難しさは「確認され続けるもの」：新しい難しい問題は、年月をかけて検証されます。2022年には、標準化の候補だった2方式が、普通のコンピュータによる攻撃で破られました［参考資料29・30］。だから、従来の方式と PQC を併用する「ハイブリッド方式」も標準化されています［参考資料33］
この記事を読む前に知っておくこと

前提知識は要りません。「鍵」「共通鍵と公開鍵」の基本は、前の記事「量子鍵配送と量子通信」の第2章で説明しました（この記事でも短く復習します）。「割り算の余り」（時計の算術）だけは、第3章で説明します。

シリーズの中での位置

「量子鍵配送と量子通信」「量子ネットワークと量子中継」の次に読むと分かりやすい記事です。量子コンピュータが実際にどのくらい進んでいるかは、本シリーズ「論理量子ビットと耐故障量子計算」「量子アルゴリズム」編で扱います。次の記事「耐量子暗号への移行」で、いつ・何から手を付けるかを扱います。

2. 暗号の土台をもう一度（共通鍵と公開鍵）

暗号には、大きく2つの型があります（前の記事の図2を参照）。共通鍵暗号は、送る人と受け取る人が同じ鍵を持ち、同じ鍵で閉めて、同じ鍵で開けます。速く、大量のデータに向きますが、「最初の鍵をどう安全に渡すか」という問題があります。公開鍵暗号は、「南京錠」（公開鍵）を誰にでも配り、開けられるのは秘密鍵を持つ人だけ、という仕組みで、鍵を先に渡さなくてよくなります。

公開鍵暗号には、もう1つ大事な使い道があります。電子署名です。署名は、「このデータは、この秘密鍵の持ち主が作った、途中で書き換えられていない」ことを、公開鍵で確かめられるようにする仕組みです［参考資料22］。ウェブサイトの本物確認や、ソフトウェア更新の確認に使われます。PQC は、鍵共有（鍵を作る）と署名（本物と確かめる）の両方を置き換えます。

つまずきやすいところ：「公開鍵暗号」で全部を暗号化するの？

実際の通信では、公開鍵の仕組みは、最初に共通鍵を共有するところにだけ使い、そのあとの大量のデータは速い共通鍵暗号で暗号化するのが普通です。NIST の ML-KEM の説明も、「鍵カプセル化で安全に作った共有秘密を、共通鍵暗号で暗号化や認証に使う」としています［参考資料21］。ですから、公開鍵の部分を替えれば、データ本体の暗号化はそのまま使えます（本記事による解説）。

3. 公開鍵暗号を、小さな数で体験する

公開鍵暗号が「計算の難しさ」でできているとは、どういうことでしょうか。ここでは、小さな数で2つの方式を体験します。数学は「割り算の余り」だけです。たとえば、時計は12で一周するので、「10時から5時間後」は「15を12で割った余りの3時」です。この「余りの世界」で掛け算や累乗をします（時計の算術）。

(1) 公開の場で共通の秘密を作る ― Diffie-Hellman

Diffie と Hellman が1976年に示した方式は、公開の場で話し合っても、2人だけの共通の秘密が作れる、というものです［参考資料1］。まず、色のたとえで考えます。黄色の絵の具を公開で共有します。Alice は自分だけの秘密の赤を混ぜて橙にし、Bob は秘密の青を混ぜて緑にして、混ぜた色を公開で交換します。受け取った色に、自分の秘密の色をもう一度混ぜると、2人は同じ茶色になります。盗聴者は黄・橙・緑を見ても、同じ茶色を作れません（混ぜるのは簡単だが、混ざった色から元の色を言い当てるのは難しい、というたとえです）。

公開の場で共通の秘密を作る ― 色の混ぜ合わせのたとえと、小さな数の例 ① 色のたとえ（混ぜるのは簡単、混ざった色から元の色を言い当てるのは難しい） 公開の黄 + Aliceの赤 （秘密） = 橙 （公開で送る） 公開の黄 + Bobの青 （秘密） = 緑 （公開で送る） 公開で交換 受け取った橙 + 自分の青 （秘密） = 茶 ＝共通の秘密 受け取った緑 + 自分の赤 （秘密） = 茶 ＝共通の秘密 Alice が橙＋青、Bob が 緑＋赤を混ぜると、どちらも 同じ茶になる。 盗聴者は黄・橙・緑を見ても 同じ茶は作れない （たとえ話）。 ② 小さな数の例（Diffie と Hellman の方式。時計の算術＝割り算の余りを使う） 公開：p＝23、g＝5（誰に見られてもよい） Alice：秘密の数 a＝6 → A＝5の6乗を23で割った余り＝8 を送る Bob：秘密の数 b＝15 → B＝5の15乗を23で割った余り＝19 を送る Alice：19の6乗を23で割った余り＝2　／　Bob：8の15乗を23で割った余り＝2 → 2人とも「2」を得る。盗聴者が見たのは 23、5、8、19 だけ この小さな数では、盗聴者も総当たりで a や b を見つけられる。本物では数が数百桁あり、見つけるのが非常に難しい（離散対数問題）と信じられている。 ※ 数値は本稿の計算。説明用で、実際の鍵ではない。
図2　本稿の計算を含む作図（ベクター作図）。色のたとえ（上）と、小さな数の例（下）。数値は本稿の計算。

数で言うと、「色を混ぜる」は「ある数を何乗かして、余りを取る」に当たります。小さな数なら、盗聴者は総当たりで秘密の数を探せますが、数が数百桁になると、探すのが非常に難しい（離散対数問題）と信じられています［参考資料1］。楕円曲線暗号は、同じ考え方を、別の数学の対象（楕円曲線）の上で行うもので、Koblitz らが1980年代に示しました［参考資料4］。

(2) 掛け算は簡単、元の数を探すのは難しい ― RSA

Rivest・Shamir・Adleman が1978年に示した RSA は、2つの素数を掛け合わせるのは簡単でも、掛けた結果から元の素数を探す（素因数分解）のは難しい、ことに頼ります［参考資料2］。公開鍵に「掛けた結果」を入れ、秘密鍵は元の素数を知る人だけが作れる、という仕組みです。

掛け算は一瞬、元の数を探す（因数分解）のは大変 ― そして鍵の大きさ 61 × 53 ＝ 3233 掛け算は、人間でも数秒 3233 ＝ ？ × ？ 小さな数なら、試せば見つかる 公開鍵暗号 RSA の「おもちゃ」の例（Rivest・Shamir・Adleman の方式。本稿の計算） 公開鍵：n＝3233（＝61×53）、e＝17　／　秘密鍵：d＝2753（61と53を知っている人だけが計算できる） メッセージ 65 を暗号化：65の17乗を3233で割った余り＝2790 復号：2790の2753乗を3233で割った余り＝65（元に戻る） 本物の鍵の大きさ（ビット数。横の長さは目盛どおり） おもちゃの n（3233） 12ビット これまでに素因数分解された記録（RSA-240） 795ビット RSA-2048（現在の一般的な鍵） 2048ビット 古典コンピュータでの因数分解の記録は795ビット（2020年の論文）。本稿の計算ではなく論文の報告値。
図3　本稿の計算を含む作図（ベクター作図）。RSA の「おもちゃ」の例と、本物の鍵の大きさ。数値の例は本稿の計算、795ビットの記録は論文の報告。

小さな数なら、「3233は何と何の積か」は、試せばすぐ分かります。ところが、本物の鍵は2048ビット（10進で617桁）です。古典コンピュータによる素因数分解の記録として、Boudot らは2020年の論文で、795ビットの RSA-240（240桁）を分解したと報告しました［参考資料5］。2048ビットは、これよりはるかに大きい数です。つまり、今の普通のコンピュータには、現実的な時間では解けないから、RSA は安全と考えられてきました。

よくある誤解：「暗号は、解読が数学的に不可能だから安全」

多くの公開鍵暗号は、「解読が不可能」ではなく、「今知られている最良の方法でも、現実的な時間では解けない」ことに頼っています。ワンタイムパッド（前の記事）のような、情報理論的に安全な暗号とは違います。そのため、新しい解き方が見つかる（量子コンピュータもその一例）と、安全性が崩れる可能性があります（本記事による解説）。

4. なぜ量子コンピュータで脅かされるのか

Shor は1994年に、量子コンピュータなら素因数分解と離散対数を、効率よく解けることを示しました［参考資料6・7］。NIST の2016年の報告は、これが RSA、Diffie-Hellman、楕円曲線暗号など、公開鍵暗号の多くを無効にしうる、と説明しています［参考資料9］。仕組みを、概念だけ見てみましょう。

Shor のアルゴリズムの考え方 ― 因数分解を「周期を見つける問題」に直す（概念のみ） 小さな例：15 を分解する。a＝7 を選び、7の x 乗を15で割った余りを並べる 1 x=0 7 x=1 4 x=2 13 x=3 1 x=4 7 x=5 4 x=6 13 x=7 1 x=8 周期 r＝4（4つごとに同じ値に戻る） ① 数 N（ここでは15）と、適当な数 a（7）を選ぶ ② 「a の x 乗を N で割った余り」の並びが、何個ごとに繰り返すか（周期 r）を見つける ← ここが量子コンピュータの役目 ③ 周期が偶数なら、a の r/2 乗 ± 1 と N の最大公約数を計算する（普通のコンピュータで一瞬） 　 この例：7の2乗＝49 → 48と15の最大公約数＝3、50と15の最大公約数＝5　→　15＝3×5 ②の周期探しを、量子コンピュータは「波の干渉」で行う（量子フーリエ変換。本シリーズ「量子アルゴリズム」編）。 古典コンピュータでは、大きな N の周期を見つける手段が知られておらず、これが因数分解の難しさの正体。 ※ 15 は暗算でも分解できる。本物の鍵は2048ビット。この図は仕組みの説明で、本物の鍵を破る手順ではない。数値は本稿の計算。
図4　本稿の計算を含む作図（ベクター作図）。Shor のアルゴリズムの考え方。因数分解を「周期探し」に直す。小さな数の例で、概念のみ。

ポイントは、因数分解を「周期を見つける問題」に直せることです。a の x 乗を N で割った余りの並びは、必ず、ある周期で繰り返します。この周期が分かれば、普通のコンピュータで、N の素因数が計算できます。大きな N の周期を古典コンピュータで見つける方法は知られておらず、これが因数分解の難しさです。量子コンピュータは、「波の干渉」（矢印の波を足し合わせて、正しい周期が強め合うようにする）で、周期を見つけられます（概念。詳しくは本シリーズ「量子アルゴリズム」編）。

量子コンピュータが脅かすもの、影響が小さいもの（NIST IR 8105 の整理） Shor で「効率よく解ける」問題に頼る暗号 ・RSA（素因数分解） ・Diffie-Hellman（離散対数） ・楕円曲線暗号（ECDH、ECDSA） → 鍵を長くしても対処できない。 → 別の「難しい問題」に基づく暗号へ替える（PQC） Grover の「2乗の高速化」にとどまる暗号 ・AES などの共通鍵暗号 ・SHA-2、SHA-3 などのハッシュ関数 → 鍵長を2倍にすれば保てる、という目安 （NIST の2016年の報告。必要性は不明、とも記述） ※ 「量子コンピュータが来ると、すべての暗号が無意味になる」わけではない。影響が大きいのは公開鍵暗号。
図5　概念図（ベクター作図）。量子コンピュータの影響を受けるものと、受けにくいもの。NIST IR 8105 の整理による。

もう1つの量子アルゴリズムが、1996年の Grover の探索のアルゴリズムです［参考資料8］。探索を「2乗の速さ」にします。NIST の2016年の報告は、これが暗号を無効にはしないが、共通鍵暗号でも鍵を長くする必要が出うること、鍵の長さを2倍にすれば保てるという目安、そして、Grover が実際に意味を持つかどうかは分からないこと、を述べています［参考資料9］。NIST の PQC の FAQ も、実際の攻撃では並列化の必要などで、Grover の利点は小さくなる、と説明しています［参考資料28］。

よくある誤解：「量子コンピュータが来ると、すべての暗号が無意味になる」

誤りです。影響が大きいのは、公開鍵暗号（RSA、Diffie-Hellman、楕円曲線暗号）です。共通鍵暗号やハッシュ関数は、Grover の「2乗の高速化」の影響にとどまり、鍵の長さの調整で対応できる、というのが NIST の整理です［参考資料9］。また、PQC は、量子コンピュータでも解きにくいと考えられる別の問題に基づく暗号で、すでに標準が決まっています［参考資料19］。

では、いつ脅威になるのか ― 「分からない」ことを正直に

NIST は、量子コンピュータを「数年から数十年先かもしれないが、いずれは今広く使われている多くの暗号を破りうる機械」と述べています［参考資料19］。時期は断定できません。必要な規模の見積もりは、仮定つきで報告されています。Gidney と Ekerå は、2048ビットの RSA を、2000万個のノイズのある量子ビットで8時間で分解できると見積もりました［参考資料10］。2025年に Gidney は、同じ仮定（表面符号、ゲート誤り率0.1%、符号の1サイクル1マイクロ秒など）のもとで、100万個未満の量子ビットで1週間未満という、より少ない見積もりを報告しました［参考資料11］。

専門家の見方も分かれます。Global Risk Institute と evolutionQ の2025年版の報告（2026年3月9日公開）は、26人の専門家への調査で、暗号に関係する量子コンピュータ（CRQC）が「10年以内に十分ありうる（28〜49%）」「15年以内に起こりそう（51〜70%）」と回答されたとしています［参考資料12］。これは意見の調査であり、予測の根拠ではありません。見積もりの必要量が数年で大きく下がったこと（上の2つ）と、専門家の見方に幅があることから、「いつ」を断定せず、備える時間を見積もって準備することが、次の記事の主題です。

5. 新しい「難しい問題」― 格子

量子コンピュータで解きにくいと考えられる問題は、いくつかの種類があります。NIST が2024年に標準にした ML-KEM と ML-DSA の土台は、格子の問題です［参考資料21・22］。

(1) 格子とは ― 点が規則正しく並んだ網

格子とは、「2本（または多数）の矢印の、整数倍の足し算」でできる点の集まりです。方眼紙の交点のように、点が規則正しく並びます。同じ格子でも、それを作る矢印（基底）の選び方は何通りもあります。短くて直角に近い矢印の組（よい基底）と、長く傾いた矢印の組（悪い基底）です。

格子：点が規則正しく並んだ網。目印の点に「いちばん近い格子の点」を探す 短くて直角に近い「よい基底」 四捨五入で最も近い点（距離31）が見つかる 同じ格子の、長く傾いた「悪い基底」 同じ手順だと遠い点（距離45）に行き着く 橙の点が目印、緑（赤）の丸が見つけた点。距離は図の単位。本稿の計算（2次元の例。本物は数百〜千次元）。
図6　本稿の計算を含む作図（ベクター作図）。同じ格子に対する、よい基底と悪い基底。目印の点にいちばん近い格子の点を探す。2次元の例（本稿の計算）。

目印の点に「いちばん近い格子の点」を探す問題を考えます。図のように、よい基底があれば、単純な四捨五入の手順で、最も近い点が見つかります。同じ手順を悪い基底で行うと、遠い点に行き着きます（この例では距離31と45）。2次元なら、どちらの基底でも、試せば見つかります。しかし、次元が数百〜千になると、よい基底を見つけること自体が非常に難しくなる、と考えられています。この難しさを、暗号に使います［参考資料15］。

秘密鍵を「よい基底」、公開鍵を「悪い基底」にたとえると、公開鍵だけを見ても、近い点は探せず、秘密を持つ人だけが探せる、という錠前になります（たとえの限界：実際の ML-KEM や ML-DSA は、この図のような形ではなく、次に説明する「誤差つきの連立方程式」を使います）。

(2) 「誤差つきの連立方程式」（LWE）

Regev は2005年に、連立方程式に、ごく小さな誤差を混ぜると、解くのが非常に難しくなることを、格子の問題の難しさと結びつけて示しました（Learning With Errors、LWE）［参考資料13］。誤差のない連立方程式は、未知数と同じ数の式があれば、誰でも解けます。ところが、各式にわずかな誤差が混ざると、ぴったり合う解がなくなり、「いちばん近い解」を探す問題になります。

誤差つきの連立方程式（LWE）― 格子暗号の土台 小さな例：未知数2個（s₁, s₂）、17で割った余りの世界 2·s₁ + 3·s₂ ≈ 5 5·s₁ + 1·s₂ ≈ 2 1·s₁ + 4·s₂ ≈ 6 4·s₁ + 2·s₂ ≈ 6 3·s₁ + 3·s₂ ≈ 6 ≈ は、ごく小さな誤差（＋1、−1 など）を含む 誤差がなければ、方程式2本で s が決まる → s ＝（3, 5）。誰でも解ける 誤差があると、ぴったり合う解がなくなり、 「いちばん近い解」を探す問題になる ここでは 17²＝289 通りを試せばよい（総当たり） ML-KEM-768 では未知数が768個、3329で割った余り 3329の768乗 ≈ 10の2705乗 通り（総当たりの数） ※ 実際の安全性は、総当たりでなく最良の攻撃法（格子の簡約）で評価する ML-KEM（鍵カプセル化）のやりとり：「共通の秘密」を作る ① Bob：鍵ペアを作る 秘密：小さな秘密 s 公開：A と b＝A·s＋誤差 ② Alice：包んで送る 乱数から共通の秘密 K を作り、 Bob の公開鍵で包んで c を送る ③ Bob：開ける 秘密 s で c から K を取り出す → 2人が同じ K を持つ ※ 図は仕組みの概念。実際の ML-KEM は多項式の演算と誤り訂正を含む（FIPS 203）。数値は本稿の計算。
図7　本稿の計算を含む作図（ベクター作図）。LWE の小さな例（上）と、ML-KEM のやりとりの概念（下）。数値は本稿の計算。

図の小さな例（未知数2個、17で割った余り）は、289通りの総当たりで解けます。本物の ML-KEM-768 では、未知数が768個で、3329で割った余りの世界です。FIPS 203 の表では、多項式の係数の数 n＝256、法 q＝3329、パラメータ k＝3（ML-KEM-768）とされています［参考資料21］。3329の768乗は約10の2705乗で、総当たりは不可能です（本稿の計算。ただし、実際の安全性は総当たりではなく、格子の簡約などの最良の攻撃法で評価されます）。

ML-KEM は、「モジュール」という構造を使った LWE（Module-LWE）に基づきます。Langlois と Stehlé が、モジュール格子の問題の難しさの根拠を示しました［参考資料14］。標準化の元になった方式は CRYSTALS-Kyber で、Bos らが設計しました［参考資料16］。FIPS 203 は、Module-LWE の仮定に基づくことから ML-KEM と名づけた、と述べています［参考資料21］。

(3) 「鍵カプセル化」（KEM）とは

ML-KEM は、メッセージを直接暗号化するのではなく、2人が「共通の秘密」を作るための部品です。FIPS 203 の言葉では、鍵カプセル化機構（KEM）は、公開の通信路で、2者が共有秘密の鍵を確立するためのアルゴリズムの組です［参考資料21］。南京錠のたとえでいうと、Alice が自分で「共通の秘密」を作って、Bob の南京錠（公開鍵）の中に入れて閉じて（カプセル化）送り、Bob が秘密鍵で開ける（デカプセル化）、というやりとりです。これで、2人が同じ共通の秘密を持ち、その後の暗号化に使えます。

素材技術者の視点①：「誤差」を混ぜるという設計 ― 測定の考え方との共通点

LWE は、「測定にノイズがあると、真の値を当てるのが難しくなる」という、測定の現場の感覚と似ています。たとえば、多数の測定値から未知のパラメータを当てはめる（回帰）とき、ノイズが小さければ簡単に解けますが、ノイズと未知数が多くなると、解は不安定になります。LWE は、この「ノイズのせいで逆問題が難しくなる」性質を、意図的に、暗号の鍵に使ったものと見ることができます（本記事による解説。たとえ話で、数学的な同一性を主張するものではありません）。

6. 署名 ― 格子とハッシュ

署名には、2つの系統の標準があります。

  • ML-DSA（FIPS 204）：格子に基づく署名です。CRYSTALS-Dilithium を元にしており、Ducas らが設計しました［参考資料17・22］。署名の大きさは、ML-DSA-65 で3,309バイトです（次の章の表）。
  • SLH-DSA（FIPS 205）：ハッシュ関数だけに基づく署名です。SPHINCS+ を元にしており、Bernstein らが設計しました［参考資料18・23］。FIPS 205 は、その安全性が、ハッシュ関数の原像を見つける難しさと、関連する性質に依存する、と述べています［参考資料23］。格子の仮定に頼らないので、格子が破られたときの「保険」になります（本記事による解説）。

ハッシュ署名のしくみ ― 木で「使い捨ての鍵」をまとめる

ハッシュ関数は、どんなデータも決まった長さの「指紋」にし、逆戻りが非常に難しい関数です。ハッシュ署名は、この指紋だけで作ります。基本の部品は、1回しか使えない署名鍵（使い捨ての鍵）です。使い捨ての鍵を多数作り、その指紋を木（ハッシュ木）にまとめて、頂点の指紋だけを公開鍵にします。署名には、使った鍵の署名と、木の頂点までの道筋（確認用の指紋）を付けます。

ハッシュ関数だけで作る署名のしくみ（ハッシュ木。概念図） ハッシュ関数＝どんなデータも決まった長さの「指紋」にする。逆戻りが非常に難しい 鍵1 鍵2 鍵3 鍵4 鍵5 鍵6 鍵7 鍵8 H H H H H H 公開鍵 使い捨ての署名鍵（葉）を多数つくり、その指紋を木にまとめた頂点だけを公開する。 署名＝使った葉の署名＋緑の道筋（確認用の指紋） 状態を持つ方式（LMS・XMSS）：使った葉を覚えておく。同じ葉の再使用は禁物。 状態を持たない方式（SLH-DSA）：木を何層も重ね、毎回ランダムに葉を選ぶ。署名は大きい。
図8　概念図（ベクター作図）。ハッシュ木の考え方。緑の道筋が、1つの署名に付く確認用の指紋。

NIST の SP 800-208（2020年）は、状態を持つハッシュ署名（LMS と XMSS）を扱います［参考資料24］。「状態を持つ」とは、署名のたびに「どの使い捨ての鍵を使ったか」を覚えておく必要がある、ということです。同じ使い捨ての鍵で2つのメッセージに署名すると、攻撃者が署名を偽造できる可能性があるため、署名者が、鍵が1回しか使われないことを保証しなければなりません［参考資料24］。SP 800-208 は、この状態管理が難しいため一般向けではなく、たとえば、ファームウェアの更新の署名のように、装置が現場に出たあとはコードを変えにくい用途が主な対象だと述べています［参考資料24］。SLH-DSA は、木を何層にも重ね、毎回ランダムに鍵を選ぶことで、状態を覚えなくてよいようにした方式で、そのかわり署名が大きくなります［参考資料23］。

つまずきやすいところ：なぜ「署名の回数」に上限があるの？

ハッシュ木の葉（使い捨ての鍵）の数には限りがあるからです。SLH-DSA は、1つの鍵ペアで署名してよい回数を、最大で2の64乗までとして設計されています（FIPS 205 の脚注は、毎秒100億回署名しても、2の64乗回に達するには58年以上かかる、と説明）［参考資料23］。実際の運用では、この上限に達することはまずないが、署名の回数を記録して管理するという発想が、ハッシュ署名の設計を理解する鍵です（本記事による解説）。

素材技術者の視点②：装置の寿命と「ファームウェア署名」

製造装置・計測器・センサー・組込み機器は、10年以上、現場で動き続けることがあります（本記事による解説）。ファームウェアの更新に使う署名の検証コードは、装置が出荷されたあと、変えにくいことがあります。NIST の SP 800-208 は、まさにこの、「署名がまもなく必要で、装置が現場に出たあとはコードを変えにくい」用途を、ハッシュ署名の主な対象に挙げています［参考資料24］。自社の装置・製品の署名の検証コードに、どの署名方式が組み込まれているか、将来、新しい署名方式に差し替えられるか、を確認する価値があります（本記事による解説。次の記事「耐量子暗号への移行」の「暗号の棚卸し」につながります）。

ほかの系統 ― 符号、同種写像、多変数

NIST の選定では、ML-KEM・ML-DSA・SLH-DSA のほかに、署名の Falcon と、鍵共有のHQCが標準化の対象に選ばれました。HQC は2025年3月11日に選定され、NIST IR 8545 に理由が記されています［参考資料19・26］。確認日（2026年10月16日）時点で、NIST の選定ページでは、Falcon と HQC のいずれにも「FIPS coming soon」と表示されており、標準としては未制定です［参考資料20］。

7. NIST 標準の現在地（確認日 2026年10月16日）

NIST は、数年にわたる国際的な公募の末、2024年8月13日に、最初の3つの PQC 標準（FIPS 203・204・205）を公表しました［参考資料19］。NIST は、これら3つが、PQC のほとんどの導入の基礎になると述べ、「今すぐ使える、使うべき」としています［参考資料19］。

標準役割・土台状態（確認日 2026年10月16日）主な大きさ（バイト）
FIPS 203 ML-KEM鍵共有（KEM）。格子（Module-LWE）最終。2024年8月13日公開。2025年11月17日付の注記で、将来の改訂で訂正する問題が示された［参考資料21］事実ML-KEM-512／768／1024：カプセル化鍵 800／1,184／1,568、暗号文 768／1,088／1,568、共有秘密 32
FIPS 204 ML-DSA署名。格子最終。2024年8月13日公開。2026年7月31日付の注記で、軽微な訂正事項の一覧が掲載された［参考資料22］事実ML-DSA-44／65／87：公開鍵 1,312／1,952／2,592、署名 2,420／3,309／4,627
FIPS 205 SLH-DSA署名。ハッシュ（状態を持たない）最終。2024年8月13日公開［参考資料23］事実12のパラメータ集合。公開鍵 32〜64、署名 7,856（128s）〜49,856（256f）
SP 800-208 LMS・XMSS署名。ハッシュ（状態を持つ）2020年10月。用途は限定（ファームウェア署名など）［参考資料24］事実—
SP 800-227 KEM の推奨KEM の定義・性質・安全な使い方の推奨2025年9月［参考資料25］事実—
Falcon（署名）標準化の対象に選定済みNIST の選定ページで「FIPS coming soon」［参考資料20］未確定／将来—
HQC（鍵共有）標準化の対象に選定済み（予備・代替）2025年3月11日選定、NIST IR 8545。「FIPS coming soon」［参考資料19・26・20］未確定／将来—
NIST IR 8547 移行量子に弱いアルゴリズムの移行の方針初期公開草案（2024年11月12日）。意見募集は終了。確認日時点で最終版は見つからなかった［参考資料27］未確定／将来。NIST の PQC のページは、この報告の時程のもとで、2035年までに量子に弱いアルゴリズムを廃止・削除する、と記す［参考資料19］—（次の記事で扱う）

事実／未確定／将来。大きさは FIPS 203・204・205 の表の値。標準は「最終」でも、訂正の予定が示されることがあります。

FIPS 203 は、ML-KEM-512・768・1024 を、NIST が定めた安全強度のカテゴリ 1・3・5に当たると主張しています。「128ビット相当」のような1つの数ではなく、「ある鍵長の AES の鍵探索や、ハッシュ関数の衝突探しと同じ程度に難しい」という形で表します［参考資料21］。そして NIST は、ML-KEM-768 を既定のパラメータ集合として使うことを推奨しています。大きな安全余裕が、無理のない性能の代償で得られるためです［参考資料21］。

8. 大きくなる鍵と署名

PQC の大きな違いの1つが、鍵・署名・暗号文が大きいことです。次の図は、FIPS の表の値と、従来の方式（Ed25519、X25519、RSA-2048）の大きさを並べたものです。

署名の大きさと、鍵共有の鍵・暗号文の大きさ（バイト。対数目盛） 署名 Ed25519 64 RSA-2048 256 ML-DSA-44 2,420 ML-DSA-65 3,309 ML-DSA-87 4,627 SLH-DSA-128s 7,856 SLH-DSA-128f 17,088 SLH-DSA-256f 49,856 鍵共有 X25519 公開鍵 32 ML-KEM-512 公開鍵 800 ML-KEM-768 公開鍵 1,184 ML-KEM-768 暗号文 1,088 ML-KEM-1024 公開鍵 1,568 10¹ 10² 10³ 10⁴ 10⁵ 灰＝従来の方式、青＝格子（ML-DSA・ML-KEM）、緑＝ハッシュ（SLH-DSA）。 ML-DSA・ML-KEM・SLH-DSA の値は NIST の FIPS 204・203・205（鍵共有の公開鍵は「カプセル化鍵」）。 Ed25519 は RFC 8032、X25519 は RFC 7748（32／64バイト）。RSA-2048 は 2048ビット＝256バイト。
図9　本稿の計算を含む作図（ベクター作図）。鍵と署名の大きさ（バイト、対数目盛）。ML-DSA・ML-KEM・SLH-DSA は FIPS 204・203・205 の値。
比べるもの倍率
ML-KEM-768 公開鍵（カプセル化鍵） ÷ X2551937.0倍
ML-KEM-768 暗号文 ÷ X2551934.0倍
ML-DSA-65 署名 ÷ Ed2551951.7倍
ML-DSA-65 署名 ÷ RSA-204812.9倍
SLH-DSA-128s 署名 ÷ Ed25519122.8倍

本稿の計算。分子は FIPS の表の値、分母は X25519＝32バイト、Ed25519の署名＝64バイト、RSA-2048の署名＝256バイト（RFC 7748、RFC 8032、2048ビット＝256バイト）［参考資料38］。

大きさの違いは、通信量、メモリ、処理の時間に響きます。1回の鍵共有で数百バイトが数キロバイトになる、といった違いは、パソコンやサーバーには小さくても、通信の帯域が細い機器、メモリの小さい組込み機器、1回の通信が小さなパケットに収まる前提のプロトコルには、設計の見直しが必要になることがあります（本記事による解説）。

素材技術者の視点③：センサー・IoT・組込み機器では「大きさ」が効く

材料・プロセスの現場には、現場の計測器、センサーネットワーク、バッテリーで動く無線機器などがあります。これらは、通信のたびに電力を使い、メモリも小さいため、署名や鍵共有のデータが大きくなる影響を受けやすい機器です（本記事による解説）。ここで鍵共有に ML-KEM、署名に ML-DSA を使うと、通信量はどうなるかは、図のサイズから見積もれます。たとえば ML-DSA-65 の署名は3,309バイトで、Ed25519の署名（64バイト）の約52倍です。設計の初期から、データの大きさと電力の予算を確認しておく価値があります。

9. ハイブリッド方式

新しい「難しい問題」は、まだ歴史が浅く、将来、新しい解き方が見つかる可能性があります。そこで、従来の方式と PQC の両方を行い、2つの共有秘密を混ぜて1つの鍵にするのがハイブリッド方式です。IETF の RFC 9954 は、ハイブリッド鍵交換を、複数の鍵交換アルゴリズムを同時に使い、結果を組み合わせることで、「1つを除くすべての方式を破る方法が見つかっても」安全を保つことを狙うもの、と説明しています［参考資料34］。

ハイブリッド方式：従来の方式と PQC を両方行い、秘密を混ぜる 従来の鍵交換 X25519（楕円曲線） 耐量子の鍵共有 ML-KEM-768（格子） 共有秘密 1 32バイト 共有秘密 2 32バイト つなげて 鍵導出 （HKDF） 最終の鍵 （64バイトから） ねらい：片方の方式が破られても、もう片方が破られていなければ、鍵は安全（RFC 9954 の説明） TLS 1.3 では X25519MLKEM768 など3つの組み合わせが標準化された（RFC 10024、2026年8月） 代償：データが大きくなる。クライアントの送る値は 1,216 バイト（ML-KEM 1,184＋X25519 32） サーバーの返す値は 1,120 バイト（1,088＋32）、共有秘密は64バイト（32＋32）
図10　概念図（ベクター作図）。ハイブリッド方式。2つの共有秘密をつなげて、鍵導出で1つの鍵にする。大きさは RFC 10024 の値。

2026年8月に、IETF は RFC 10024（標準化過程の文書）として、TLS 1.3 のための3つのハイブリッド鍵合意（X25519MLKEM768、SecP256r1MLKEM768、SecP384r1MLKEM1024）を定めました［参考資料33］。RFC 10024 によれば、X25519MLKEM768 は、広く導入されており、TLS 1.3 での実用的な選択肢になりやすい、とされます。クライアントの送る値は1,216バイト、サーバーの返す値は1,120バイト、共有秘密は64バイトです［参考資料33］。同じ仕組みの一般的な構成は、2026年7月の RFC 9954（情報提供）に、用語は2025年6月の RFC 9794（情報提供）にまとめられています［参考資料34・35］。

ほかの場面でも、PQC の標準化が進んでいます。X.509 証明書での ML-DSA は RFC 9881（2025年10月）、ML-KEM は RFC 9935（2026年3月）、SLH-DSA は RFC 9909（2025年12月）、OpenPGP は RFC 9980（2026年6月）が標準化過程の文書として公表されています［参考資料36・37］。TLS 向けの純粋な ML-KEM（ハイブリッドでない）は、確認日の2026年10月12日付の IETF のデータトラッカーで、RFC 編集者の待ち行列に入った状態です（本稿は、IETF のデータトラッカーの表示で確認）。

ETSI の技術仕様 TS 103 744（V1.2.2、2026年2月）は、「量子耐性のあるハイブリッド鍵確立」として、ECDH と、耐量子の鍵カプセル化機構から得た複数の共有秘密から、鍵を導く方法を定めています［参考資料32］。NIST も、FIPS 140 の承認モードでのハイブリッド鍵確立は、SP 800-56C の汎用の合成の手法で行えると、FAQ で説明しています（2024年11月18日更新）［参考資料28］。

よくある誤解：「ハイブリッドにすれば、PQC は要らない（または従来方式だけで十分）」

ハイブリッドは、PQC の代わりではなく、PQC と従来の方式の両方を使って、安全の保険を二重にするものです。量子コンピュータが問題になるときも、従来の方式だけでは、守れません。逆に、PQC だけにするか、ハイブリッドにするかは、守る情報、期間、規制、性能で決まり、機関によって推奨が分かれます（次の記事で、各機関の文書を並べます）。TLS では、RFC 10024 が、ハイブリッドを標準化しています［参考資料33］。

10. 実装の注意と、破られた方式の教訓

PQC は、「数学が安全」だけでは足りません。2つの教訓があります。

  • 教訓1：数学の「難しさ」は、時間をかけて確かめられる。2022年に、標準化の候補だった2つの方式が、普通のコンピュータによる攻撃で破られました。同種写像に基づく方式（SIDH／SIKE）は Castryck と Decru の攻撃で［参考資料29］、多変数の方式 Rainbow は Beullens の攻撃で、ノートパソコンで週末のうちに鍵が破られた、と報告されています［参考資料30］。標準化の公開の検討（公募・評価）が、標準になる前に問題を見つける役割を果たした例です（本記事による解説）。ML-KEM・ML-DSA・SLH-DSA が将来も安全だという保証ではありません。
  • 教訓2：実装に穴がありうる。KyberSlash は、Kyber（ML-KEM の元になった方式）の複数のソフトウェア実装（公式の参照コードを含む）で、秘密の値に依存して、割り算の所要時間が変わるという弱点が見つかったことを報告した論文です。論文は、原因を、ソースコードの上では一定時間のはずが、コンパイラが所要時間の変わる割り算の命令を出しうることだと説明し、責任ある開示のあと、影響を受けたライブラリで修正された、としています［参考資料31］。数学ではなく、実装の穴であり、前の記事の QKD の装置の穴と同じ種類の教訓です（本記事による解説。攻撃の手順は、本稿では扱わない）。
よくある誤解：「PQC は、量子コンピュータにも古典コンピュータにも、絶対に破られない」

PQC の安全性は、「今知られている最良の方法では、現実的な時間では解けない」という評価であり、証明された絶対の保証ではありません。NIST の FIPS 203 も、安全強度を「1つの数」ではなく、基準となる問題と比べた主張の形（カテゴリ）で表しています［参考資料21］。だからこそ、標準は公開で長く検討され、ハイブリッドや、予備の方式（SLH-DSA、HQC など）が用意されています（本記事による解説）。

11. 評価・標準の読み方

PQC の「進み具合」は、①標準になっているか（番号と状態）、②安全強度のカテゴリ（NIST の1・3・5）、③公開の検討を、どれだけ受けたか（年数と、破られた方式の例）、④実装の確認（暗号モジュールの検証制度、実装の穴の検査）、⑤大きさと速さ、で測ります。確認日は2026年10月16日です。

評価項目代表的なベンチマーク・評価手法（名称・出典）標準・指針（NIST・IETF・ETSI など）読み方の注意
鍵共有（KEM）NIST の安全強度カテゴリ（1・3・5）。ML-KEM-768 が既定の推奨（FIPS 203）［参考資料21］事実FIPS 203 ML-KEM（最終、2024年8月13日）、SP 800-227 KEM の推奨（2025年9月）［参考資料21・25］事実。HQC は選定のみ（FIPS 未制定）［参考資料20］未確定／将来カテゴリは「基準の問題と同程度に難しい」という主張。最終でも訂正予定の注記がある
署名署名の大きさ（バイト）。FIPS の表（ML-DSA 2,420〜4,627、SLH-DSA 7,856〜49,856）［参考資料22・23］事実FIPS 204 ML-DSA、FIPS 205 SLH-DSA（最終、2024年8月13日）、SP 800-208 LMS・XMSS（2020年）［参考資料22・23・24］事実。Falcon は選定のみ［参考資料20］未確定／将来状態を持つ署名は、状態管理が前提。用途が限定される
公開の検討・解読の進歩NIST の公募と評価（第4ラウンドの報告 NIST IR 8545）［参考資料26］事実。2022年に SIKE と Rainbow が破られた例［参考資料29・30］事実確認できなかった（「何年検討されたら安全」という基準は確認できなかった）評価は続くもの。標準になった後も、新しい攻撃が出うる
プロトコルでの使い方RFC 10024：X25519MLKEM768 など。クライアントの値1,216バイト、サーバーの値1,120バイト［参考資料33］事実IETF RFC 10024（標準化過程、2026年8月）、RFC 9954（情報提供、2026年7月）、RFC 9794（情報提供、2025年6月）、RFC 9881・9909・9935・9980（標準化過程）［参考資料33・34・35・36・37］事実。純粋な ML-KEM の TLS 文書は RFC 編集者の待ち行列（2026年10月12日）未確定／将来RFC には、標準化過程と情報提供があり、拘束力は異なる
ハイブリッドの標準—ETSI TS 103 744 V1.2.2（2026年2月）、NIST SP 800-56C の汎用の合成（FAQ、2024年11月18日更新）［参考資料32・28］事実ハイブリッドを推奨するか、PQC 単独を許すかは、機関で異なる（次の記事）
実装の確認実装の穴の検査の例：KyberSlash（定数時間でない割り算）［参考資料31］事実NIST は暗号モジュール検証制度（CMVP）を運営している（NIST の PQC のページ）［参考資料19］事実。検証制度の中身・件数は確認できなかった標準に適合した「アルゴリズム」と、安全な「実装」は別。実装の確認が要る
大きさ図9の比較（ML-KEM-768 の公開鍵は X25519 の約37倍、ML-DSA-65 の署名は Ed25519 の約52倍）本稿の計算FIPS 203・204・205 の表通信量・メモリの制約のある機器への影響を、早い段階で確認する

表の整理は本稿の計算（整理）。番号・状態は NIST・IETF・ETSI の公式ページで確認（確認日 2026年10月16日）。

読み方の注意（素材技術者向け）

  • 「PQC 対応」の言葉は、どのアルゴリズムか確認する：FIPS 203・204・205 で標準になったものと、選定のみのもの（Falcon、HQC）では状態が違います。製品の説明に「PQC 対応」とあれば、どの標準の、どのパラメータ集合を、どのプロトコルで使っているかを確認します。
  • 「最終」の標準にも、訂正の予定がある：FIPS 203 と 204 には、将来の改訂で訂正する事項が示されています［参考資料21・22］。標準の更新を追う担当を決めておくと、安心です（本記事による解説）。
  • 数値の大小で比べない：「署名が小さい」「速い」は、安全強度のカテゴリと、使い方（状態あり／なし、署名の回数）を揃えて比べます。
  • RFC は、標準化過程か情報提供かを見る：RFC 10024 は標準化過程、RFC 9954 と 9794 は情報提供です［参考資料33・34・35］。

12. 用語集

PQC（耐量子計算機暗号）
量子コンピュータでも解きにくいと考えられる問題に基づく、普通のコンピュータで動く暗号。
共通鍵暗号
送る人と受け取る人が同じ鍵を持つ暗号。AES など。
公開鍵暗号
公開鍵（南京錠）と秘密鍵の組を使う暗号。
電子署名
データが、秘密鍵の持ち主によるもので、書き換えられていないことを、公開鍵で確かめる仕組み。
割り算の余り（時計の算術）
ある数で割った余りだけを見る計算。
Diffie-Hellman（DH）
公開の場で共通の秘密を作る方式。離散対数の難しさに頼る。
RSA
素因数分解の難しさに頼る公開鍵暗号。
楕円曲線暗号
楕円曲線の上で、DH や署名を行う方式。
Shor のアルゴリズム
量子コンピュータで、因数分解と離散対数を効率よく解く方法。周期を見つける。
Grover のアルゴリズム
探索を2乗の速さにする量子アルゴリズム。共通鍵は鍵を2倍にして対応。
格子
矢印の整数倍の足し算でできる、規則正しい点の集まり。
LWE（誤差つきの学習）
連立方程式に小さな誤差を混ぜると解くのが難しくなる、という問題。
KEM（鍵カプセル化機構）
公開の通信路で、2者が共有秘密を確立するためのアルゴリズムの組。
ML-KEM（FIPS 203）
Module-LWE に基づく鍵カプセル化機構。旧称 Kyber。
ML-DSA（FIPS 204）
格子に基づく署名。旧称 Dilithium。
SLH-DSA（FIPS 205）
ハッシュ関数だけに基づく、状態を持たない署名。旧称 SPHINCS+。
LMS・XMSS
状態を持つハッシュ署名。SP 800-208。
ハッシュ関数
データを決まった長さの「指紋」にする、逆戻りが難しい関数。
ハッシュ木
多数の指紋を、頂点の指紋にまとめる木。
安全強度のカテゴリ
NIST の1〜5。ある鍵長の AES の鍵探索などと同程度に難しい、という表し方。
ハイブリッド方式
従来の方式と PQC を両方行い、秘密を混ぜて1つの鍵にする方式。
鍵導出（HKDF）
共有秘密から、実際に使う鍵を作る手順。
定数時間の実装
秘密の値によって、処理の所要時間が変わらない実装。
CRQC
暗号を実際に破れる規模の量子コンピュータ。

13. 参考資料（一次情報）

  1. Diffie W., Hellman M. "New directions in cryptography", IEEE Trans. Inf. Theory 22, 644–654 (1976), DOI 10.1109/TIT.1976.1055638 — doi.org/10.1109/TIT.1976.1055638
  2. Rivest R. L., Shamir A., Adleman L. "A method for obtaining digital signatures and public-key cryptosystems", Commun. ACM 21, 120–126 (1978), DOI 10.1145/359340.359342 — doi.org/10.1145/359340.359342
  3. Wootters W. K., Zurek W. H. "A single quantum cannot be cloned", Nature 299, 802–803 (1982), DOI 10.1038/299802a0 — doi.org/10.1038/299802a0
  4. Koblitz N. "Elliptic curve cryptosystems", Math. Comp. 48, 203–209 (1987), DOI 10.1090/S0025-5718-1987-0866109-5 — doi.org/10.1090/S0025-5718-1987-0866109-5
  5. Boudot F., Gaudry P., Guillevic A., Heninger N., Thomé E., Zimmermann P. "Comparing the Difficulty of Factorization and Discrete Logarithm: A 240-Digit Experiment", CRYPTO 2020, LNCS 12171, 62–91 (2020), DOI 10.1007/978-3-030-56880-1_3 (ePrint 2020/697) — eprint.iacr.org/2020/697
  6. Shor P. W. "Algorithms for quantum computation: discrete logarithms and factoring", Proc. 35th Annual Symposium on Foundations of Computer Science, 124–134 (1994), DOI 10.1109/SFCS.1994.365700 — doi.org/10.1109/SFCS.1994.365700
  7. Shor P. W. "Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms on a Quantum Computer", SIAM J. Comput. 26, 1484–1509 (1997), DOI 10.1137/S0097539795293172 — doi.org/10.1137/S0097539795293172
  8. Grover L. K. "A fast quantum mechanical algorithm for database search", Proc. 28th ACM Symposium on Theory of Computing (STOC '96), 212–219 (1996), DOI 10.1145/237814.237866 — doi.org/10.1145/237814.237866
  9. Chen L., Jordan S., Liu Y.-K., Moody D., Peralta R., Perlner R., Smith-Tone D. "Report on Post-Quantum Cryptography", NIST IR 8105 (2016), DOI 10.6028/NIST.IR.8105 — doi.org/10.6028/NIST.IR.8105
  10. Gidney C., Ekerå M. "How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits", Quantum 5, 433 (2021), DOI 10.22331/q-2021-04-15-433 — doi.org/10.22331/q-2021-04-15-433
  11. Gidney C. "How to factor 2048 bit RSA integers with less than a million noisy qubits", arXiv:2505.15917 (2025) — arxiv.org/abs/2505.15917
  12. Mosca M., Piani M. (Global Risk Institute and evolutionQ) "Quantum Threat Timeline Report 2025"（2026年3月9日公開。専門家26人への調査） — globalriskinstitute.org/publication/quantum-threat-timeline-report-2025b/
  13. Regev O. "On lattices, learning with errors, random linear codes, and cryptography", J. ACM 56 (6), article 34 (2009), DOI 10.1145/1568318.1568324 — doi.org/10.1145/1568318.1568324
  14. Langlois A., Stehlé D. "Worst-case to average-case reductions for module lattices", Des. Codes Cryptogr. 75, 565–599 (2015), DOI 10.1007/s10623-014-9938-4 — doi.org/10.1007/s10623-014-9938-4
  15. Peikert C. "A Decade of Lattice Cryptography", Found. Trends Theor. Comput. Sci. 10, 283–424 (2016), DOI 10.1561/0400000074 — doi.org/10.1561/0400000074
  16. Bos J. et al. "CRYSTALS - Kyber: A CCA-Secure Module-Lattice-Based KEM", 2018 IEEE European Symposium on Security and Privacy, 353–367 (2018), DOI 10.1109/EuroSP.2018.00032 — doi.org/10.1109/EuroSP.2018.00032
  17. Ducas L. et al. "CRYSTALS-Dilithium: A Lattice-Based Digital Signature Scheme", IACR TCHES 2018 (1), 238–268, DOI 10.46586/tches.v2018.i1.238-268 — doi.org/10.46586/tches.v2018.i1.238-268
  18. Bernstein D. J., Hülsing A., Kölbl S., Niederhagen R., Rijneveld J., Schwabe P. "The SPHINCS+ Signature Framework", Proc. 2019 ACM SIGSAC Conference on Computer and Communications Security, 2129–2146 (2019), DOI 10.1145/3319535.3363229 — doi.org/10.1145/3319535.3363229
  19. NIST NIST CSRC の "Post-Quantum Cryptography" プロジェクトのページ（2026年10月16日確認） — csrc.nist.gov/projects/post-quantum-cryptography
  20. NIST PQC 標準化プロセスの "Selected Algorithms" のページ（HQC（2025年）と FALCON（2022年）に "FIPS coming soon" と表示。2026年10月16日確認） — csrc.nist.gov/projects/post-quantum-cryptography/post-quantum-cryptography-stand
  21. NIST FIPS 203 "Module-Lattice-Based Key-Encapsulation Mechanism Standard"（2024年8月13日公開）、DOI 10.6028/NIST.FIPS.203 — csrc.nist.gov/pubs/fips/203/final
  22. NIST FIPS 204 "Module-Lattice-Based Digital Signature Standard"（2024年8月13日公開）、DOI 10.6028/NIST.FIPS.204 — csrc.nist.gov/pubs/fips/204/final
  23. NIST FIPS 205 "Stateless Hash-Based Digital Signature Standard"（2024年8月13日公開）、DOI 10.6028/NIST.FIPS.205 — csrc.nist.gov/pubs/fips/205/final
  24. NIST SP 800-208 "Recommendation for Stateful Hash-Based Signature Schemes"（2020年10月）、DOI 10.6028/NIST.SP.800-208 — csrc.nist.gov/pubs/sp/800/208/final
  25. NIST SP 800-227 "Recommendations for Key-Encapsulation Mechanisms"（2025年9月）、DOI 10.6028/NIST.SP.800-227 — csrc.nist.gov/pubs/sp/800/227/final
  26. NIST NIST IR 8545 "Status Report on the Fourth Round of the NIST Post-Quantum Cryptography Standardization Process"（2025年3月） — csrc.nist.gov/pubs/ir/8545/final
  27. NIST NIST IR 8547（初期公開草案）"Transition to Post-Quantum Cryptography Standards"（2024年11月12日。意見募集は2025年1月10日に終了。確認日時点で最終版は見つからなかった） — csrc.nist.gov/pubs/ir/8547/ipd
  28. NIST PQC の FAQ（FIPS 140 の承認モードでのハイブリッド鍵確立についての回答を含む。2024年11月18日更新。2026年10月16日確認） — csrc.nist.gov/projects/post-quantum-cryptography/faqs
  29. Castryck W., Decru T. "An Efficient Key Recovery Attack on SIDH", EUROCRYPT 2023, LNCS 14008, 423–447 (2023), DOI 10.1007/978-3-031-30589-4_15 — doi.org/10.1007/978-3-031-30589-4_15
  30. Beullens W. "Breaking Rainbow Takes a Weekend on a Laptop", CRYPTO 2022, LNCS 13508, 464–479 (2022), DOI 10.1007/978-3-031-15979-4_16 — doi.org/10.1007/978-3-031-15979-4_16
  31. Bernstein D. J. et al. "KyberSlash: Exploiting secret-dependent division timings in Kyber implementations", IACR TCHES 2025 (2), 209–234, DOI 10.46586/tches.v2025.i2.209-234 — tches.iacr.org/index.php/TCHES/article/view/12046
  32. ETSI TS 103 744 V1.2.2 (2026-02) "CYBER; Quantum-Safe Cryptography (QSC); Quantum-safe Hybrid Key Establishment" — etsi.org/deliver/etsi_ts/103700_103799/103744/01.02.02_60/ts_103744v010202p.pdf
  33. Kwiatkowski K., Kampanakis P., Westerbaan B. E., Stebila D. (IETF) RFC 10024 "Post-Quantum Traditional (PQ/T) Hybrid Key Agreement Mechanisms for TLS 1.3"（標準化過程、2026年8月） — rfc-editor.org/rfc/rfc10024.html
  34. Stebila D., Fluhrer S., Gueron S. (IETF) RFC 9954 "Hybrid Key Exchange in TLS 1.3"（情報提供、2026年7月） — rfc-editor.org/rfc/rfc9954.html
  35. Driscoll F., Parsons M., Hale B. (IETF) RFC 9794 "Terminology for Post-Quantum Traditional Hybrid Schemes"（情報提供、2025年6月） — rfc-editor.org/rfc/rfc9794.html
  36. IETF (LAMPS) RFC 9881 "Internet X.509 Public Key Infrastructure -- Algorithm Identifiers for the Module-Lattice-Based Digital Signature Algorithm (ML-DSA)"（標準化過程、2025年10月）。ほかに RFC 9935（ML-KEM、2026年3月）、RFC 9909（SLH-DSA、2025年12月） — rfc-editor.org/rfc/rfc9881.html
  37. IETF (OpenPGP) RFC 9980 "Post-Quantum Cryptography in OpenPGP"（標準化過程、2026年6月） — rfc-editor.org/rfc/rfc9980.html
  38. Josefsson S., Liusvaara I. (IETF) RFC 8032 "Edwards-Curve Digital Signature Algorithm (EdDSA)" (2017); RFC 7748 "Elliptic Curves for Security" (X25519; 2016) — rfc-editor.org/rfc/rfc8032.html

14. 主張と出典の対応表（監査）

本文の主張根拠区分
Diffie と Hellman の公開鍵の考え方（1976）、RSA（1978）、楕円曲線暗号（Koblitz、1987）の題名・書誌各論文の書誌（Crossref で確認）
出典1 https://doi.org/10.1109/TIT.1976.1055638
出典2 https://doi.org/10.1145/359340.359342
出典4 https://doi.org/10.1090/S0025-5718-1987-0866109-5		事実
RSA-240（795ビット）の素因数分解と、795ビットの離散対数の計算。RSA-250 の分解も同論文に記載Boudot ら（2020）の要旨
出典5 https://eprint.iacr.org/2020/697		事実
Shor（1994、1997）が、量子コンピュータで素因数分解と離散対数を効率よく解けることを示したこと。Grover（1996）の探索アルゴリズム各論文の題名・書誌（Crossref）
出典6 https://doi.org/10.1109/SFCS.1994.365700
出典7 https://doi.org/10.1137/S0097539795293172
出典8 https://doi.org/10.1145/237814.237866		事実
Shor が RSA・離散対数・楕円曲線暗号を脅かすこと。Grover は2乗の高速化で、鍵を2倍にすれば保てるという目安。Grover が実際に意味を持つかは不明という記述NIST IR 8105（2016）
出典9 https://doi.org/10.6028/NIST.IR.8105		事実
NIST の FAQ が、実際の攻撃では Grover の利点が小さくなりうると説明すること。SP 800-56C の汎用の合成でハイブリッド鍵確立を FIPS 140 の承認モードで行えることNIST の PQC の FAQ（2024年11月18日更新の回答を含む。確認日 2026年10月16日）
出典28 https://csrc.nist.gov/projects/post-quantum-cryptography/faqs		事実
2048ビットの RSA を、2000万個のノイズのある量子ビットで8時間（2021）、100万個未満で1週間未満（2025）で分解できるという見積もり。前提（正方格子、ゲート誤り率0.1%、符号1サイクル1マイクロ秒、制御の反応時間10マイクロ秒）Gidney と Ekerå（2021）の題名、Gidney（2025）の要旨
出典10 https://doi.org/10.22331/q-2021-04-15-433
出典11 https://arxiv.org/abs/2505.15917		事実
Global Risk Institute の2025年版報告（2026年3月9日公開）：専門家26人の調査で、CRQC が10年以内に「十分ありうる」（28〜49%）、15年以内に「起こりそう」（51〜70%）GRI のページ（確認日 2026年10月16日）
出典12 https://globalriskinstitute.org/publication/quantum-threat-timeline-report-2025b/		事実
NIST が2024年8月13日に FIPS 203・204・205 を公表し、量子コンピュータを「数年から数十年先かもしれない」と述べ、ML-DSA・SLH-DSA・ML-KEM が導入の基礎になるとし、Falcon と HQC を標準化の対象に選定し、HQC は2025年3月11日に選定、IR 8547 のもとで2035年までに量子に弱いアルゴリズムを廃止・削除する、と記すことNIST の PQC プロジェクトのページ（確認日 2026年10月16日）
出典19 https://csrc.nist.gov/projects/post-quantum-cryptography		事実未確定／将来
Falcon と HQC に「FIPS coming soon」と表示されていること。HQC の選定理由が NIST IR 8545 に記されることNIST の Selected Algorithms のページ（確認日 2026年10月16日）、NIST IR 8545（2025年3月）
出典20 https://csrc.nist.gov/projects/post-quantum-cryptography/post-quantum-cryptography-standardization/selected-algorithms
出典26 https://csrc.nist.gov/pubs/ir/8545/final		事実未確定／将来
FIPS 203：KEM の定義、Module-LWE に基づくこと、n＝256・q＝3329・k＝2/3/4、カテゴリ 1・3・5、ML-KEM-768 を既定として推奨、大きさ（800／1,184／1,568 など）、2025年11月17日付の訂正予定の注記FIPS 203 の本文と NIST のページ
出典21 https://csrc.nist.gov/pubs/fips/203/final		事実
FIPS 204：署名の定義、ML-DSA-44/65/87 の大きさ（公開鍵 1,312／1,952／2,592、署名 2,420／3,309／4,627）、2026年7月31日付の注記FIPS 204 の本文と NIST のページ
出典22 https://csrc.nist.gov/pubs/fips/204/final		事実
FIPS 205：ハッシュ関数に基づくこと、12のパラメータ集合、署名 7,856〜49,856バイト、署名してよい回数の上限（2の64乗）と、毎秒100億回でも58年以上という脚注FIPS 205 の本文
出典23 https://csrc.nist.gov/pubs/fips/205/final		事実
SP 800-208（2020年10月）：LMS・XMSS の状態管理、一般向けでなく、ファームウェアの更新の署名のような用途が対象SP 800-208 の本文
出典24 https://csrc.nist.gov/pubs/sp/800/208/final		事実
SP 800-227（2025年9月）が KEM の定義・性質・推奨を述べること。NIST IR 8547 が初期公開草案（2024年11月12日）で、最終版は確認日時点で見つからないことNIST のページ
出典25 https://csrc.nist.gov/pubs/sp/800/227/final
出典27 https://csrc.nist.gov/pubs/ir/8547/ipd		事実未確定／将来
LWE（Regev、2005）、Module 格子の難しさ（Langlois と Stehlé）、格子暗号のレビュー（Peikert）、CRYSTALS-Kyber・Dilithium・SPHINCS+ の設計論文の題名・書誌各論文の書誌（Crossref で確認）
出典13 https://doi.org/10.1145/1568318.1568324
出典14 https://doi.org/10.1007/s10623-014-9938-4
出典15 https://doi.org/10.1561/0400000074
出典16 https://doi.org/10.1109/EuroSP.2018.00032
出典17 https://doi.org/10.46586/tches.v2018.i1.238-268
出典18 https://doi.org/10.1145/3319535.3363229		事実
2022年に SIDH／SIKE（Castryck と Decru）と Rainbow（Beullens）が普通のコンピュータによる攻撃で破られたこと各論文の題名・書誌（Crossref）
出典29 https://doi.org/10.1007/978-3-031-30589-4_15
出典30 https://doi.org/10.1007/978-3-031-15979-4_16		事実
KyberSlash：Kyber の複数の実装で、秘密に依存して割り算の所要時間が変わる弱点。原因（コンパイラ）と、責任ある開示後の修正TCHES 2025 の論文（ページ）と、著者の説明
出典31 https://tches.iacr.org/index.php/TCHES/article/view/12046		事実
RFC 10024（標準化過程、2026年8月）：X25519MLKEM768 など3つのハイブリッド。クライアントの値1,216バイト、サーバーの値1,120バイト、共有秘密64バイトRFC 10024 の本文
出典33 https://www.rfc-editor.org/rfc/rfc10024.html		事実
RFC 9954（情報提供、2026年7月）のハイブリッドの狙い。RFC 9794（情報提供、2025年6月）の用語。RFC 9881・9935・9909・9980（標準化過程）。TLS 向け純粋な ML-KEM の文書が RFC 編集者の待ち行列にあることRFC の本文、IETF のデータトラッカーの表示（確認日 2026年10月16日）
出典34 https://www.rfc-editor.org/rfc/rfc9954.html
出典35 https://www.rfc-editor.org/rfc/rfc9794.html
出典36 https://www.rfc-editor.org/rfc/rfc9881.html
出典37 https://www.rfc-editor.org/rfc/rfc9980.html		事実未確定／将来
ETSI TS 103 744 V1.2.2（2026年2月）が、量子耐性のあるハイブリッド鍵確立の導出方法を定めることETSI の仕様書 PDF（適用範囲）
出典32 https://www.etsi.org/deliver/etsi_ts/103700_103799/103744/01.02.02_60/ts_103744v010202p.pdf		事実
X25519 が32バイト、Ed25519 の鍵32バイト・署名64バイトRFC 7748、RFC 8032
出典38 https://www.rfc-editor.org/rfc/rfc8032.html		事実
図の小さな例（DH：p＝23・g＝5、RSA：3233、Shor：N＝15、LWE：17を法とする2未知数、格子：2次元）、3329の768乗≈10の2705乗、鍵・署名の大きさの倍率（約37倍・約52倍など）本稿の計算（Python。説明用の小さな数で、実際の鍵ではない。総当たりの数は安全性の尺度ではない）本稿の計算
たとえ話（色の混ぜ合わせ、南京錠、ハッシュ木）、「公開鍵は計算の難しさへの信頼」という整理、LWE と測定のノイズの類比、装置の寿命とファームウェア署名の視点、センサー・IoT での大きさの影響、実装の穴と QKD の装置の穴の類比公表内容にもとづく本記事の整理・解説。各機関・著者が表明した見解ではない解説
Falcon（FN-DSA）・HQC の標準の中身、「いつ量子コンピュータが暗号を破るか」の予測、暗号を破る手順や実装の弱点を突く方法、特定の製品の優劣、移行の期限（次の記事で扱う）本記事は述べていない（確認できなかった、または本記事の範囲外）解説
図2〜10が実データの観察ではなく説明のための作図であること。図1がImageGen生成の概念画像であること本記事による注記解説

最終更新：2026年10月16日／出典は一次情報（査読論文・会議論文、NIST の標準・報告書・公式ページ、IETF の RFC とデータトラッカー、ETSI の技術仕様、Global Risk Institute の報告）に限定しています。NIST・IETF・ETSI の番号・状態・日付は確認日時点のもので、改訂で変わりえます。小さな数の例は本稿の計算で、実際の鍵ではありません。Falcon（FN-DSA）・HQC の標準の中身、NIST IR 8547 の最終版、検証制度の件数、「量子コンピュータが暗号を破る時期」は、確認できなかった、または断定できないため記載していません。図はすべて説明用の概念図または本稿の計算を含む作図で、図1はImageGen生成の概念画像です。本記事は、法的・投資の助言ではなく、暗号を破る手順の解説でもありません。

図版更新：2026年10月17日。本文・出典整理表のベクター作図という表記は、保存した元SVGの由来を示します。現在の主図の形式と読み方は各図下の説明を参照してください。ImageGen画像は実測や実在製品の写真ではなく、元SVG・数値・出典は展開して確認できます。