ポスト量子暗号とは何か――量子コンピュータ時代に『今』移行する理由と、ML-KEM・TLS・実システムでの現在地

はじめに――読者の痛みと、この記事で得られるもの

「量子コンピュータがRSA暗号を破る」という見出しを、あなたも何度も目にしてきたはずです。しかし毎回感じるのは、「で、自分の管理するインフラで、今日、何をすればいいのか」という問いへの答えが見えないことではないでしょうか。移行はまだ10年先の話、と思っているなら、その認識は既に古くなっています。

この記事の結論を先に言えば、ポスト量子暗号（PQC）への移行は「将来の備え」ではなく、既に始まっている現在地の把握作業です。米NISTは2024年8月に3つのPQC標準（FIPS 203/204/205）を最終化し、移行ガイドラインNIST IR 8547（初期公開草案）で量子脆弱アルゴリズムを2030年以降に非推奨、2035年までに標準から廃止する方針を示しています。一方でWebの世界では、TLS 1.3のハイブリッド鍵交換が2025年10月に人間発起トラフィックの過半数を占めるまで普及しました。OpenSSHとOpenSSLは既にポスト量子鍵交換をデフォルトで有効化しています。

本記事では、次の3点を段階的に整理します。

1. なぜ「今」なのか――Shorアルゴリズムの脅威と「今保存・後復号」攻撃、NISTの廃止スケジュールという2つの根拠
2. 実システムの現在地――TLS・SSH・メッセージング（Signal・iMessage）それぞれの移行度合いと設計思想
3. 今日から始めるアクション――暗号インベントリ作成からハイブリッド鍵交換の有効化まで、具体コマンド付きのステップバイステップ

数値と事実は、NIST・IETF・Cloudflare・Apple・Signal・OpenSSH・OpenSSLの一次ソースに基づいています。読み終えた時点で、「来週 何を確認しにいくか」が具体的に分かる構成にしました。なお、本記事の記述は2026年10月10日時点の情報に基づきます。

ポスト量子暗号とは何か――Shorアルゴリズムと「今保存・後復号」攻撃

ポスト量子暗号（PQC: Post-Quantum Cryptography）とは、量子コンピュータにも、現在知られている攻撃では解くことが困難と信じられる数学問題（格子問題・ハッシュ関数など）を基盤に設計された公開鍵暗号の総称です。重要なのは、量子コンピュータがなくても今の普通の計算機で動く点です。つまりPQCへの移行は「量子コンピュータの登場を待つ」必要がなく、今日から実装できる技術です。

なぜRSAと楕円曲線暗号が危ないのか

現在の公開鍵暗号の安全性は、特定の計算問題の難しさに依存しています。RSAは「大きな数の素因数分解」、楕円曲線暗号（ECDH・ECDSA等）は「離散対数問題」が難しいという前提で設計されています。ところが1994年に発見されたShorアルゴリズムは、これらの問題を十分に大規模な量子計算機上で多項式時間で解けます。数学的には、両者とも「隠れ部分群問題」に帰着され、同じ穴を突かれる構造です。公開鍵から秘密鍵が導出できれば、当該方式に依存する暗号化・署名・鍵交換の安全性が失われます。

なお、対称鍵暗号（AES）やハッシュ関数（SHA-2等）への影響は相対的に限定的とされ、NISTのPQC FAQでも解説されています。移行の主戦場は、鍵交換（KEM）とデジタル署名という公開鍵暗号の2機能に絞られます。

「今保存・後復号」攻撃――Q-dayを待たない脅威

「量子コンピュータはまだ実用レベルではないから大丈夫」という反論には、HNDL（Harvest Now, Decrypt Later: 今保存・後復号）攻撃という反例があります。攻撃の流れは次のとおりです。

1. 攻撃者は今日、暗号化された通信やデータを収集・保管する
2. 数年〜十数年後、実用的な量子計算機（Q-day）を入手する
3. 保管しておいたデータをその時点で復号する

Appleは iMessage のポスト量子化（PQ3）に際し、この脅威を「十分なリソースを持つ攻撃者には既に実行可能」と明言しています。つまり、機密性の保存期間が長いデータ（医療記録、国家機密、暗号鍵そのもの）ほど、「量子計算機が普及してから対応」では間に合わないのです。

現在の量子計算機はどの程度か

冷静な足元の確認も重要です。Cloudflareの2025年10月時点の評価では、正攻法の量子計算機で素因数分解できた最大の数は「15」のままです。一方で、GoogleのWillowチップ（2024年12月発表）は論理量子ビットをスケーラブルに実現した最初のマイルストーンと評価されており、Global Risk Instituteの2022年専門家調査では過半数が「2037年までにRSA-2048を破る量子計算機の実現確率がより高い」と回答しています。脅威の日付は不確定でも、HNDLが今日進行中である以上、移行の開始時期は「今」以外にありません。

なぜ「今」なのか――NIST標準化完了と2030/2035年の廃止スケジュール

「量子計算機はまだ先」という技術的予測が外れても当たっても、移行を「今」始めるべき理由は、標準化と規制のスケジュールが既に確定しているからです。

2024年8月13日、標準は完成した

NISTは2016年12月に公募を開始し、25カ国から集まった82候補の評価を経て、2022年7月にKyber・Dilithium・SPHINCS+・FALCONの4案を選定。2024年8月13日、最終的に次の3標準を発行しました。

• FIPS 203: ML-KEM（旧Kyber）――鍵カプセル化機構（鍵交換用）。Module Learning with Errorsという格子問題に基づく
• FIPS 204: ML-DSA（旧Dilithium）――格子ベースのデジタル署名
• FIPS 205: SLH-DSA（旧SPHINCS+）――ハッシュベースの署名。格子系と異なる数学的前提による保険

さらに2025年3月には、バックアップ用途のKEMとして符号ベースのHQCを追加選定しています。1系統の数学問題への依存を減らすための多様性確保です。NIST自身が「統合するために標準を待つ理由はもうない」と宣言した状態であり、実装側はこれに追従済みです（後述）。

廃止スケジュール――2030年非推奨、2035年禁止

より強い強制力を持つとされるのが、移行ガイドライン NIST IR 8547（2024年11月公開の初期公開草案）が示すスケジュールです。RSA-2048・ECDSA P-256・X25519・Ed25519といった現在主流の112ビットセキュリティ強度のアルゴリズムは、2030年以降に非推奨（deprecated）、2035年以降に禁止（disallowed） とする方針が示されています。ただしIR 8547は草案時点の文書であり、また直接の適用対象はNIST標準を使う米政府システム等であって、民間システム全般への法的強制ではありません。確定版では日程・区分が変更される可能性を踏まえた読み方が必要です。

政府側も同調しています。米NSAは国家秘密通信系（CNSA 2.0）の移行完了を2033年までと設定し、米政府全体も大統領覚書NSM-10で2035年までの移行完了を目標に掲げました。米政府調達の世界では量子脆弱アルゴリズムは2030年代前半が事実上の期限となり、民間でも同等のスケジュールを前提とした移行計画が増えると見られます。

timeline
    title ポスト量子暗号移行のタイムライン
    2016 : NISTがPQC標準化プロセスを公募開始（82候補）
    2022 : 第1次選定（Kyber/Dilithium/SPHINCS+/FALCON）
    2024 : FIPS 203/204/205最終化（8月）・IR 8547草案（11月）
    2025-2026 : 実装の普及（OpenSSH/OpenSSL/主要ブラウザ対応、RFC 10024発行）
    2030 : 量子脆弱アルゴリズムが非推奨（IR 8547草案）
    2033 : 米NSA国家秘密通信系の移行完了目標（CNSA 2.0）
    2035 : 量子脆弱アルゴリズムを標準から廃止（NSM-10目標年と同年）

図のとおり、標準化の完了（2024年）から廃止（2035年）までの猶予は約10年です。ただしこれは「新しいシステムが最初からPQCで作られるべき期間」であって、既存システムの棚卸し・改修・長寿命機器の入れ替えを後回しにして良い期間ではありません。HNDL攻撃の存在（前節）を踏まえれば、機密の保存期間分だけ開始時期を前倒す論理になります。

実システムの現在地①――TLSとSSHはもうポスト量子化が始まっている

「移行はこれから」と言われるポスト量子暗号ですが、鍵交換に限れば話は別です。Webトラフィックの過半数は、既にポスト量子鍵交換で保護されています。

TLS 1.3のハイブリッド鍵交換――RFC 10024として発行済み

2026年8月、IETFはTLS 1.3向けのポスト量子・古典ハイブリッド鍵交換を RFC 10024（Proposed Standard）として発行しました（本記事執筆時点で発行済みの状態です）。X25519MLKEM768・SecP256r1MLKEM768・SecP384r1MLKEM1024の3グループが定義され、X25519MLKEM768が「最も実用的な単一選択肢」と明記されています。仕様の発行と実装普及は別の話ですが、後述のとおり主要実装はこの仕様に先行対応を進めてきました。

ハイブリッド鍵交換の仕組みを簡単に示します。

sequenceDiagram
    participant C as クライアント
    participant S as サーバー
    C->>S: ClientHello（X25519鍵共有＋ML-KEMカプセル化鍵を同時送信）
    S->>C: ServerHello（各自の共有秘密を計算）
    Note over C,S: X25519の秘密＋ML-KEMの秘密を結合して鍵導出
    Note over C,S: どちらか一方の算法が破られても、<br/>もう一方が無事なら通信は保護される

安全性の定式化は「古典とPQの両方が破られて初めて通信が破られる」です。新しい格子暗号だけに頼るのではなく、既存の楕円曲線暗号を併用する構成であり、この性質は2つの算法の安全性が独立であるという前提に依存します。運用上は「単独依存より条件付きで堅牢な構成を取る」設計として理解するのが正確です。

採用は「過半数」のマイルストーンを通過済み

Cloudflareの計測が移行の速度を物語ります。2024年初めの時点でTLS 1.3接続のうちポスト量子鍵交換を使うものは約2%でした（ただしChromeユーザー由来は99%超）。それが2025年10月末、Cloudflare経由の人間が発起した（ボット等を除く）トラフィックの過半数がポスト量子鍵交換で保護されるマイルストーンに到達しました（いずれもCloudflare Radar・同社ブログの公表値）。

クライアント側の対応はほぼ完了しています。

一方、サーバー側（オリジン）の対応は遅れています。2023年時点でPQ鍵交換をサポートするオリジンは約0.5%でしたが、2025年9月の第三者調査では大手サイトの39%が対応済み（6カ月前は28%）と、回復基調にあります（Cloudflare pq-2025記事が引用するnetmeister.org調査）。

SSHも開発ツールチェーンも同時に動いた

サーバー管理の要であるSSHも例外ではありません。

• OpenSSH 10.0（2025年4月）は、ハイブリッドポスト量子鍵交換 mlkem768x25519-sha256 をデフォルトの鍵合意アルゴリズムに採用しました。「curve25519-sha256より弱くならないことが保証され、以前のデフォルトより大幅に高速」と公式リリースノートに明記されています。同時にDSA署名を完全削除し、有限体DHをデフォルト無効化しています。
• OpenSSL 3.5.0（2025年4月）はML-KEM・ML-DSA・SLH-DSAに対応し、TLSのデフォルトkeyshareを X25519MLKEM768 とX25519に変更しました（OpenSSL 3.5 NEWS.mdによる）。3.5系は長期サポート系列です。

つまり、2025年以降のOpenSSH・OpenSSLに載せ替えただけで、SSH接続とTLS終端の鍵交換は既にポスト量子化されている――これが「気づかないうちに移行が始まっている」の実態です。

実システムの現在地②――メッセージングのE2EEと導入事例から学ぶ設計思想

エンドツーエンド暗号化（E2EE）メッセージングの分野は、ポスト量子移行の「設計思想」が最も明確に見える領域です。SignalとAppleの事例を比較してみます。

Signal PQXDH――最初の一歩（Level 2）

Signalは2023年9月、鍵確立プロトコルX3DHの後継として PQXDH を公表しました。初期の鍵確立（セッションの最初の握手）にKEMを併用することで、「会話の開始時点」の量子耐性を獲得しています。ただし、初期鍵確立のみのポスト量子化のため、Appleが自社ブログで示した独自の評価尺度では「Level 2」に位置づけられます（業界共通の標準尺度ではありません）。

Apple iMessage PQ3――鍵漏洩からの自己回復（Level 3）

Appleは2024年2月に PQ3 を発表し、iOS 17.4／iPadOS 17.4／macOS 14.4／watchOS 10.4から展開を開始しました。PQ3が一段先を行くのは、次の2点です。

1. 初期鍵確立のポスト量子化（Kyber、現ML-KEM）に加え、会話中に定期的なポスト量子再鍵（rekeying） を実施
2. 形式検証を実施し、プロトコルの性質を機械的に検証

定期再鍵の意図は「自己回復（self-healing）」です。仮にある時点で鍵が漏洩しても、その後の再鍵で過去に遡って復号できる範囲が限定されます。長期間続く会話ほど、この設計の価値は大きくなります。

共通する設計思想――「現行より弱くならない」ハイブリッド

両者に共通するのは、古典暗号（ECC）とポスト量子暗号のハイブリッド運用です。「PQ3は古典ECCより弱くならない」とAppleが設計目標として明記するように、新しいアルゴリズムの数学的信頼性は歴史が浅く、単独依存のリスクがあります。この慎重さには実例が裏付けます。NIST候補の1つだったSIKEは、2022年に古典計算機で破られました。量子計算機を待つまでもなく、新暗号は「破られることがある」のです。

だからこそ「古典とPQの両方が破られて初めて通信が破られる」ハイブリッドが、現行の標準戦略になっています（前節のTLSとも同じ原理です）。

VPN・サーバー間通信の分野でも、CloudflareがCDNエッジからオリジン間へのポスト量子鍵交換展開を進めるなど、ハイブリッド鍵交換の導入は拡大基調とされます。

読者が汲むべき教訓

1. ハイブリッド運用を基本にする――新アルゴリズムへの完全置換ではなく、古典暗号との併用から始める
2. 鍵の定期更新（暗号アジリティ）を設計に織り込む――アルゴリズムや鍵を差し替え可能な構造にしておくことが、次の移行コストを下げる

移行の課題――鍵サイズ・性能・PKI・暗号アジリティ

「鍵交換はもう過半数」と明るい話をしてきましたが、移行にはなお未解決の課題が残ります。ここでは実務に効く4つの論点を整理します。

課題1: サイズ増大――「約50倍」の署名

ポスト量子アルゴリズムの第一の実務コストは、鍵・署名のサイズです。主要アルゴリズムの比較がこちらです（FIPS 203/204/205の標準文書に基づく値）。

ECDSAの署名が約70バイトだった場所に、ML-DSA-65では3,309バイト必要になります。TLSの鍵交換でも、X25519の32バイトに対しハイブリッド構成のクライアント側共有は約1.2KBに膨らみます。

※表中のサイズは各FIPS標準文書のパラメータ定義による値です。RSA-2048の256Bは法nの表現サイズを指し、ASN.1/DERエンコードを含む実際の公開鍵データや証明書はより大きくなります。ECDSAの署名サイズもエンコード形式（DER等）により増減します。

課題2: 「2つの移行」――鍵交換は過半、署名・PKIはこれから

移行には2つの戦線があります。鍵交換（KEM）の移行はCDNとブラウザが主導し、前節のとおり過半数を超えました。一方、署名・証明書（PKI）の移行ははるかに困難です。サイトの認証を量子耐性にするには、リーフ証明書から中間CA、ルートCAまで証明書チェーン全体をPQ化する必要があります。

Cloudflareの試算（2025年公表）では、ML-DSA証明書の導入でペイロードが約9KB増加し、TLSハンドシェイクが約15%遅延します。Chromeは「TLSハンドシェイク時間の最大10%劣化」を自社の目標上限に設定してこの増分と戦っています。帯域面の試算も興味深く、Cloudflare全体（平均秒間約1,800万TLS接続）をML-DSA化しても増分は約2.1Tbpsで、同社ネットワーク容量の約0.5%に収まる見込みです（いずれもCloudflareブログ公表の試算値）。つまり規模の大きなプロバイダには許容可能だが、無視できない差し替え作業である、というのが現在の相場観です。

課題3: ClientHello大型化とミドルボックス（ossification）

ハイブリッド鍵交換によりClientHelloが単一パケットに収まらなくなると、それを暗黙に前提としたミドルボックス・ロードバランサー・レガシーソフトウェアで接続失敗が起こり得ます。プロトコル進化を妨げるこの硬直化問題は「ossification」と呼ばれ、実際の移行障壁としてTLSの世界で経験済みの問題です。移行テストでは「鍵交換のアルゴリズムを変えただけで通信が切れる機器がないか」の点検が必須です。

課題4: 暗号アジリティと長寿命機器

• 暗号アジリティ: アルゴリズムを設定で差し替え可能な設計（抽象化層・設定駆動）を指します。NIST NCCoEは「Crypto Agility: Migrating to Post-Quantum Cryptographic Algorithms」プロジェクト（SP 1800-38系）で、脆弱アルゴリズムの発見・優先順位付け・置換を実証するツールとガイダンスを整備中です。次の移行（そして次々の移行）のコストはここで決まります。
• 長寿命機器: 組込み・車載分野は事情が深刻です。米国の平均車齢は約14年であり、2035年廃止スケジュールから逆算すると、今日出荷される車載機器は寿命末期までに量子脆弱暗号を使い続けるリスクがあります。部品供給・検証を含めた移行期間は汎用サーバーより桁違いに長く、調達要件に「暗号アップデート可能性」を入れる動きが合理性を持ちます。

なお、NISTセキュリティレベルを1から5へ引き上げると（例: ML-KEM-512→1024）、データ量とCPUコストは概ね2倍以上に増えます。「レベルをいくつにするか」自体が容量設計の変数になる点も、従来の暗号選定との違いです。

今日から始める移行アクション――暗号インベントリ作成ステップバイステップ

ここまでの情報を、来週から実行できる形に落とします。「一気にPQCへ移行」ではなく、現状把握→クライアント/サーバー対応→ハイブリッド有効化→PKI計画→スケジュール逆算の5ステップです。

Step 1: 暗号インベントリを作成する

自社システムでRSA・ECDSA・DHがどこで使われているかを棚卸しします。対象はTLS終端、SSH、VPN、サイト証明書、コード署名、KMS/HSM、DB暗号化、そして長期保存データです。NISTも「組織は脆弱アルゴリズムの使用箇所を特定し、置換計画を立てるべき」と明言しています。

優先順位の鍵はHNDL視点です。「このデータの機密性は何年保てば良いか」を列に加え、保存期間が長いもの・価値が高いものから優先度を付けます。

• 完了の判定基準: 「アルゴリズム／設置場所／責任者／機密の保存期間」の4列を持つ一覧が存在する

Step 2: クライアントとサーバーの対応状況を確認する

まず手元の環境が既にポスト量子化されているか確認します。

# OpenSSLのバージョン確認（3.5以降でML-KEM等対応）
openssl version

# OpenSSHの鍵交換アルゴリズム一覧（mlkem768x25519-sha256 の有無を確認）
ssh -Q kex

# HTTPSサイトのTLSグループ確認（X25519MLKEM768がネゴシエートされるか）
openssl s_client -connect example.com:443 -tls1_3 \
  -groups X25519MLKEM768 </dev/null 2>/dev/null | grep -E "Server Temp Key|Negotiated"

加えて、サービスのTLS 1.3比率（アクセスログやCDNダッシュボード）を計測しておくと、後の効果測定の基準になります。

※Server Temp Key 等の出力形式はOpenSSLのバージョンにより異なります。グループ名が表示されない場合は、利用中のOpenSSL版に応じたデバッグ出力での確認が必要で、接続自体が失敗する場合はグループ非対応（サーバー側・ライブラリ側のいずれか）を疑ってください。

• 完了の判定基準: 主要サーバー・クライアントのOpenSSL/OpenSSHバージョンと、PQ鍵交換可否が記録されている

Step 3: ハイブリッド鍵交換を有効化する

多くの場合、これは「ライブラリを更新するだけ」の作業です。OpenSSL 3.5以降ではデフォルトのkeyshareにX25519MLKEM768が含まれ、OpenSSH 10.0以降ではmlkem768x25519-sha256がデフォルト鍵交換です（いずれも公式リリースノート・NEWS.mdの記載に基づく）。ミドルボックスやロードバランサーが大型化したClientHelloを通すか（前節のossification問題）、ステージング環境で先に検証してください。

• 完了の判定基準: ステージングでハイブリッド鍵交換がネゴシエートされ、本番のミドルボックス経路で接続失敗がない

Step 4: PKI・証明書の移行計画を前倒しで始める

署名・証明書の移行は鍵交換より長期戦です（「2つの移行」）。CAのPQ対応状況・複合証明書（Combiner）のプロファイル・HSMのML-DSA対応を、証明書更新タイミングより早く調整しておきます。

• 完了の判定基準: 現行CAのPQロードマップ確認と、自社証明書プロファイルの移行案が文書化されている

Step 5: 2030/2035を上限制約にロードマップへ逆算する

NIST IR 8547の「2030年非推奨・2035年禁止」、米NSAの2033年、NSM-10の2035年を、社内システムの刷新サイクルに重ねて逆算します。長寿命機器（車載・組込み）は特に前倒しが必要です。

• 完了の判定基準: 各システムに「量子脆弱アルゴリズム撤去の目標年」が割り当てられている

よくある質問（FAQ）

Q: ポスト量子暗号とは何ですか？

量子コンピュータでも解けないと信じられる数学問題（格子・ハッシュ等）に基づく公開鍵暗号です。米NISTが2024年8月に鍵交換のML-KEM（FIPS 203）と、署名のML-DSA（FIPS 204）・SLH-DSA（FIPS 205）を標準化しました。量子コンピュータがなくても既存の計算機で動くため、今日から導入できます。

Q: 量子コンピュータが実用化されていないのに、なぜ今移行するのですか？

2つの理由からです。第一に「今保存・後復号（HNDL）」攻撃で、攻撃者は今日の暗号化データを保管し、将来の量子計算機で復号できます。機密の保存期間が長いほど対応は前倒しが必要です。第二に、NIST IR 8547（初期公開草案）がRSA-2048等を2030年以降に非推奨、2035年までに標準から廃止する方針を示しており、米政府調達（CNSA 2.0の2033年目標等）を中心に量子脆弱アルゴリズムの置き替えが進むと見られます。

Q: ML-KEMとKyberの違いは何ですか？

同一アルゴリズムの名称の違いです。KyberはNIST公募時の候補名で、FIPS 203として標準化された際にML-KEM（Module-Lattice-Based Key-Encapsulation Mechanism）と改名されました。Dilithium→ML-DSA、SPHINCS+→SLH-DSAも同様の対応です。

Q: 自社のWebサービスでポスト量子鍵交換を有効にするには？

OpenSSL 3.5以降への更新が基本です。3.5はデフォルトでX25519MLKEM768のkeyshareを持つため、多くの場合はライブラリ更新のみでハイブリッド鍵交換が有効化します。TLS 1.3の維持と、ClientHello大型化に対するミドルボックス・ロードバランサーの点検を合わせて行ってください。

Q: 今すぐ量子耐性があるか確認するには？

ssh -Q kex でOpenSSHの鍵交換一覧に mlkem768x25519-sha256 があるか、openssl version で3.5系かを確認するのが最速です。HTTPSであれば openssl s_client の -groups X25519MLKEM768 指定でハンドシェイクが成立するか試せます。OpenSSH 10.0・OpenSSL 3.5（いずれも2025年4月リリース）以降なら既にデフォルトで有効です。

Q: 署名（証明書）の移行はなぜ遅れているのですか？

サイズと調整範囲のためです。ECDSAの約70バイトに対しML-DSA-65の署名は3,309バイトと約50倍になり、証明書チェーン全体（リーフ〜ルートCA）をPQ化する必要があります。Cloudflareの試算（2025年公表）ではハンドシェイクが約15%遅延し、業界全体で互換性を詰める長期戦になっています。鍵交換（RFC 10024発行・Cloudflare計測で過半数到達）が先行し、署名が後続という「2つの移行」の構図です。

まとめ――次のアクション

本記事の要点は3行にまとめられます。

1. 標準は確定した――NISTのFIPS 203/204/205（2024年8月）と、2030年非推奨・2035年廃止の方針（NIST IR 8547初期公開草案）が存在する
2. 鍵交換は既に半分以上移行済み――RFC 10024として発行されたハイブリッド鍵交換、人間発起トラフィックの過半数PQC化（Cloudflare計測）、OpenSSH/OpenSSLのデフォルト対応
3. 署名・インベントリが今の手付けどころ――「2つの移行」の後半戦とHNDL対策は、棚卸しから始まる

次のアクションは、今週中に暗号インベントリの初版を作ることです（Step 1）。最新の採用状況と標準の改訂は、NIST CSRCのPQCプロジェクトページとCloudflare Radarのポスト量子暗号統計で随時確認できます。

参考文献・出典

• NIST CSRC Post-Quantum Cryptography Project: https://csrc.nist.gov/projects/post-quantum-cryptography
• NIST プレスリリース（2024年8月13日、FIPS 3標準の最終化）: https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards
• FIPS 203（ML-KEM）: https://csrc.nist.gov/pubs/fips/203/final ／ FIPS 204（ML-DSA）: https://csrc.nist.gov/pubs/fips/204/final ／ FIPS 205（SLH-DSA）: https://csrc.nist.gov/pubs/fips/205/final
• NIST IR 8547 ipd（移行タイムライン）: https://csrc.nist.gov/pubs/ir/8547/ipd
• NIST HQC追加選定（2025年3月）: https://www.nist.gov/news-events/news/2025/03/nist-selects-hqc-fifth-algorithm-post-quantum-encryption
• RFC 10024（TLS 1.3向けPQ/Tハイブリッド鍵交換）: https://datatracker.ietf.org/doc/rfc10024/
• Cloudflare「The state of the post-quantum Internet」（2024）: https://blog.cloudflare.com/pq-2024/
• Cloudflare「State of the post-quantum Internet in 2025」: https://blog.cloudflare.com/pq-2025/
• Cloudflare PQ導入状況: https://pq.cloudflareresearch.com/ ／ Radar統計: https://radar.cloudflare.com/adoption-and-usage#post-quantum-encryption
• Apple Security Blog「iMessage with PQ3」: https://security.apple.com/blog/imessage-pq3/
• Signal Blog「PQXDH」: https://signal.org/blog/pqxdh/
• OpenSSH 10.0 リリースノート: https://www.openssh.com/txt/release-10.0
• OpenSSL 3.5 NEWS: https://raw.githubusercontent.com/openssl/openssl/openssl-3.5/NEWS.md
• NIST NCCoE Crypto Agility: https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-algorithms
• CRYPTREC Report 2025: https://www.cryptrec.go.jp/topics/cryptrec_20260724_c25report.html
• Global Risk Institute「2022 Quantum Threat Timeline Report」: https://globalriskinstitute.org/publication/2022-quantum-threat-timeline-report/
• NSA CNSA 2.0: https://media.defense.gov/2022/Sep/07/2003071834/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF
• 米国大統領覚書 NSM-10: https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/04/national-security-memorandum-on-promoting-united-states-leadership-in-quantum-computing-while-mitigating-risks-to-vulnerable-cryptographic-systems/

関連記事

• 耐量子暗号移行入門——「盗んでおいて後で解読する」攻撃からデータを守るPQCの仕組みと2026年の移行リアリティ
• 性能が上がるほど市場は危なくなる？——LLMエージェントが露呈した「能力のパラドックス」