〈巻頭エッセイ〉國廣昇：量子計算機時代に耐える暗号技術【『科学』2022年9月号】

2022.08.30

◇目次◇

【特集1】再現可能性に向き合う心理学
論文査読システムの現状と出版後査読……高橋康介
心理学における追試──これまでとこれから……三浦麻子
事前登録制度──再現性問題を端緒とする信頼性改革……山田祐樹
データ・マテリアル・分析スクリプトのオープン化が拓く心理学の未来……武藤拓之
心理学研究のエビデンスとしての質を考える……平石　界

［巻頭エッセイ］
量子計算機時代に耐える暗号技術……國廣　昇

【特集2】元素の起源をたどる
ビッグバン元素合成……茂山俊和
質量数5と8の壁──なぜ安定な原子核は存在しないのか？……板垣直之
恒星内の元素合成――HeからFeまで……川畑貴裕
s過程と星の進化……岩本信之
r過程における重元素合成……西村俊二
人工元素合成……羽場宏光

銀河宇宙線の起源の解明に迫る……瀧田正人

［新連載］
オープンサイエンス事始め――科学データは誰のものか1　国際地球観測年とデータ共有の始まり……有田正規
竹取工学物語1　竹取の翁は優れたエンジニアだった？……佐藤太裕
リュウグウのささやきを聴く1　太陽の石……橘　省吾

［連載］
数学者の思案4　コロナ以後の海外出張……河東泰之
これは「復興」ですか？66　今も続く川の禁漁……豊田直巳
3.11以後の科学リテラシー116……牧野淳一郎

［科学通信］
「種の保存のための進化」の誤解と，国際標準の進化の教え方……嶋田正和

◇巻頭エッセイ◇

量子計算機時代に耐える暗号技術

國廣昇（くにひろ　のぼる　筑波大学システム情報系）

　2022年7月5日，米国国立標準技術研究所（NIST）から，耐量子計算機暗号（量子計算機の攻撃に耐えうる暗号）の標準化に進むアルゴリズムの候補が公表された。公開鍵暗号／鍵共有のカテゴリではCRYSTALS-Kyberが，電子署名のカテゴリではCRYSTALS-Dilithium, FALCON, SPHINCS⁺の3つの方式が選ばれた。

　標準化の経緯について簡単に振り返ってみよう。1994年，P. Shorにより，素因数分解，離散対数問題を多項式時間で解く量子アルゴリズムが提案された。これにより，大規模で理想的に動作する量子計算機が完成すると，現在広く利用されている暗号（RSA暗号，ECDSAなど）は現実的な時間で解読されることが明らかとなった。しかし，Shorのアルゴリズムは理論的には大きなインパクトを与えたものの，実社会においてそれほど大きなインパクトを与えることはなかった。当時，実際に動く量子計算機は存在しておらず，現実の脅威とはみなされなかったからだ。

　一方，量子計算機による脅威とは必ずしも直結しない形で，素因数分解，離散対数問題とは異なる原理に基づく暗号方式の提案が断続的に行われていた。格子暗号，多変数多項式暗号，符号暗号，同種写像暗号などがその代表例である。暗号方式は，秘密鍵を除いてすべて公開されることが前提であり（ケルクホフスの原理），公開の場で暗号の安全性が検証されなくてはならない。多くの研究者が徹底的な解析を行い，考えうる最良の方法を用いても現実的な時間では解読できないという根拠を地道に積み重ねることにより安全性は確かめられている。

　2016年に耐量子計算機暗号の標準化方式の募集が開始された。これにより，研究開発が世界中で一気に加速することになる。2017年11月の締切りまでに，世界中から82件の方式が提案された。多くの方式は，大学と企業を巻き込んだ多国籍の研究グループにより提案されている。公開の場で，徹底的な安全性解析，性能評価が行われ，第2ラウンド，第3ラウンドへと進む方式が選定された。選定作業中にも，安全性解析手法の洗練化が進み，実際に，致命的な攻撃が提案され，候補から削除された方式もある。致命的な攻撃は発見されなかったものの，性能の問題で選定に漏れた方式もある。このような過酷なプロセスを経て，冒頭の4つの方式が晴れて候補として選ばれることとなった。

　標準化方式の選定が進む真っ只中の2019年に，Googleにより量子超越性を達成したとする論文が発表された。暗号技術に対して直接的な影響は与えないものの，量子計算機の実現が現実味を帯びてきている。世界各国で研究開発が活発に進んでおり，暗号技術への影響を注視する必要がある。

　NISTは，2024年に標準化文書を公開することを予定しているが，標準化候補の公表後も，しばらくは議論が続くようである。公開鍵暗号／鍵共有として，格子暗号の一種CRYSTALS-Kyberが選定されたが，単一の原理に頼るのは危険という判断もあり，多様性を確保するため，4つの方式を対象として第4ラウンドが開始されている。さらに，特許の問題があり，状況が一変する可能性も残されている。

　標準化までの道のりはまだまだ長いようである。