いま盗まれた暗号データは、10年後にまとめて解読される

インターネットの通信は暗号で守られています。メッセージが世界をどう渡るかは「あなたのメッセージは世界の網を渡っていた」で見ました。この記事では、その暗号が直面している「静かな期限」と、もう始まっている世界規模の鍵のかけ替えを扱います。

耐量子計算機暗号（PQC）とは何か

耐量子計算機暗号（PQC：Post-Quantum Cryptography）とは、量子コンピューターを使っても効率的に解く方法が見つかっていない数学の問題を土台にした暗号方式の総称です。「ポスト量子暗号」とも呼ばれます。

重要なのは、PQCが量子技術ではないことです。動かすのに量子コンピューターも特別な装置も要りません。いまのスマホ・パソコン・サーバーの上で、ソフトウェアの更新として導入できます。変わるのは「土台にする数学」だけです。代表は格子暗号で、高次元の格子から最も近い点を見つける問題の難しさを利用します。

なぜ今の暗号は量子コンピューターに破られるのか

現在のインターネットの鍵交換やデジタル署名は、RSAや楕円曲線暗号という方式に支えられています。これらの安全性の根拠は「巨大な数の素因数分解などが、普通のコンピューターでは天文学的に時間がかかる」ことです。

ところが1994年、数学者ピーター・ショアが、量子コンピューターならこの問題を効率的に解けるアルゴリズムを示しました。つまり、十分に大規模でエラーの少ない量子コンピューターが完成した瞬間、RSAと楕円曲線暗号は土台から崩れます。量子コンピューターそのものの仕組みは「0でも1でもある計算機」で解説しています。

量子コンピューターはまだ無いのに、なぜ急ぐのか

「ハーベスト・ナウ・デクリプト・レイター（先に収穫し、後で解読する）」という攻撃があるからです。

攻撃者はいま、解読できなくても暗号化された通信データを大量に盗み、保存しておくことができます。そして量子コンピューターが完成した日に、過去にさかのぼってまとめて解読する——外交文書、医療記録、企業の知財など、10年後にも価値が残る秘密ほど、この攻撃の標的になります。

つまり「量子コンピューターができてから対策する」のでは手遅れです。守るべき期限は、量子コンピューターの完成日ではなく、データを盗まれるかもしれない今日になります。

新しい標準はもう決まっているのか

決まっています。米国のNIST（国立標準技術研究所）は8年がかりの世界公募の末、2024年8月に最初のPQC標準を確定しました。鍵交換用が1つ、署名用が2つの計3方式で、規格番号はFIPS 203・204・205です。このうち主軸となる鍵交換用（ML-KEM）と署名用（ML-DSA）は、どちらも格子暗号を土台にしています（NIST）。

さらに2025年3月には、万一格子暗号に弱点が見つかった場合の保険として、異なる数学（符号理論）に基づくHQCを5つ目のアルゴリズムに選びました。ひとつの数学に全部を賭けない、という設計です（NIST）。

いつまでに移行するのか

NISTのドラフト文書（IR 8547）は、RSA・楕円曲線暗号を2030年までに非推奨、2035年までに使用禁止とするスケジュールを示しています。世界のあらゆるシステムが約10年で鍵をかけ替える、史上最大級の暗号移行です（NIST）。

機器の寿命を考えると、この期限は見た目より近いところにあります。自動車や工場の設備、インフラの制御機器は10〜20年使われるため、いま出荷する機器には最初からPQCを載せる必要が出てきています。だからこそ、暗号鍵を安全に保管・処理する専用チップや機器の置き換えは、半導体産業にとっても長く続く実需になります。

もう使われ始めているのか

静かに、しかし大規模に始まっています。ChromeなどのブラウザはTLS（Webの暗号化通信）の鍵交換に、従来方式とML-KEMを組み合わせたハイブリッド方式を導入済みです。Cloudflareの観測では、人間によるTLSトラフィックの約3分の1がすでに耐量子の鍵交換で保護されています（Cloudflare）。

メッセージングでも、Signalが2023年に鍵交換へPQCを組み込み、Appleは2024年にiMessageへ耐量子の通信方式「PQ3」を導入しました。Appleは導入理由として、まさにハーベスト・ナウ・デクリプト・レイターへの対策を挙げています。利用者が何かを操作する必要はなく、アップデートの裏側で鍵のかけ替えが進んでいます（Signal）（Apple Security Research）。

QKD（量子暗号）と何が違うのか

同じ「量子時代の暗号」でも、アプローチが正反対です。PQCは数学で守ります。既存のネットワークの上でそのまま動き、世界中に一斉展開できます。一方のQKD（量子鍵配送）は物理法則で守ります。盗聴を原理的に検知できる強みがある代わりに、光子を送る専用の装置と回線が必要です。

広く一般のインターネットを守るのはPQC、政府・金融・防衛などの限られた重要回線にはQKD、という役割分担で併存していくと見られています。QKDの仕組みは「盗聴すると必ずバレる通信が、もう実用化されていた」で詳しく解説しています。「海底ケーブル」を流れるデータの保護も含め、通信インフラの安全保障は両輪で進みます。

この記事のまとめ

• 耐量子計算機暗号（PQC）は、量子コンピューターでも破るのが難しい数学を土台にした新しい暗号。専用装置は不要で、ソフトウェア更新で導入できる。
• 脅威は将来ではなく現在。「いま盗んで後で解読する」ハーベスト・ナウ・デクリプト・レイターがあるため、移行は前倒しで進む。
• NISTは2024年8月に標準FIPS 203/204/205を確定。2025年にはバックアップとしてHQCを追加選定した。
• NISTのドラフトはRSA・楕円曲線暗号を2030年非推奨・2035年使用禁止とする期限を提示。
• Chrome・iMessage・Signalは導入済みで、人間のTLSトラフィックの約3分の1がすでに耐量子化。PQC（数学）とQKD（物理）は役割分担で併存する。