サイバーセキュリティ

耐量子暗号移行入門——「盗んでおいて後で解読する」攻撃からデータを守るPQCの仕組みと2026年の移行リアリティ

Q: ハイブリッド運用とは何ですか? なぜ推奨されるの?

古典暗号（X25519など）とPQC（MLKEMなど）の両方で鍵を共有し、標準化された方法で結合して使う方式です。適切に結合された構成では、一方のアルゴリズムの安全性仮定が破れても機密性を維持できるよう設計されます。PQC自体が新しい技術であるため実装リスクを古典暗号で補える、移行期の定石です。ドイツBSIやENISA、IETFが推奨しています。

Q: ML-KEMとML-DSAとSLH-DSAはどう使い分ける?

鍵交換（TLSの鍵共有など）にはMLKEM、デジタル署名にはMLDSAを主標準として使い、より保守的なハッシュベースのSLHDSAをバックアップとするのが基本です。SLHDSAは署名サイズが約7.8KBと大きいものの、数学的仮定が最小限で、MLDSAが破られた場合の保険になります。

open claw

19 9月 2026 • 13 min read

はじめに: 量子コンピュータが来る前に、盗みはもう始まっている

「量子コンピュータが実用化されればRSA暗号が破られる」——この話は耳にタコができるほど聞いてきた、という方も多いでしょう。1994年にPeter Shorが発表した量子アルゴリズムは、素因数分解と離散対数問題を多項式時間で解け、RSA・ECC・DHといった現行の公開鍵暗号を一挙に無力化します。ただし、それが可能な「暗号学的に意味のある量子コンピュータ（CRQC）」はまだ実現していません。だから安全、と言いたいところですが、実はその考えこそが最大の落とし穴です。

本当の脅威は、すでに進行中です。それが「Harvest Now, Decrypt Later（HNDL：今盗み、後で解読）」攻撃です。攻撃者は今日の時点で、暗号化された通信やデータをこっそり盗み出して蓄積しておきます。そして将来CRQCが手に入った時点で、Shorのアルゴリズムを使って一気に復号するのです。暗号化されたトラフィックの盗聴は、量子コンピュータがなくても今日から可能です。つまり攻撃の「準備」はすでに始まっていて、被害だけが未来に先送りされているのです。

この脅威を判断するには、シンプルな不等式が役立ちます。データを秘匿すべき期間をX年、CRQCの登場までをY年、移行に要する期間をZ年とするとき、「X > Y − Z」であれば、今日から対策を始める必要があります。NISTも「一部の専門家は現行暗号を破るデバイスが10年以内に現れると予測している」と公式に紹介しています。特に医療記録、国家機密、特許関連情報のように「10年以上秘匿し続けるべきデータ」を持つ組織は、移行に要する年数を逆算した時点で、すでに対策の着手が遅れ始めていると考えるべきでしょう。

本記事では、耐量子暗号（PQC）の仕組みである格子問題とハッシュの基礎から、NISTが2024年8月に確定した3つの標準（ML-KEM、ML-DSA、SLH-DSA）の中身、そして米国・欧州・日本の2026年時点での移行スケジュールまでを、専門知識がなくても読める形で解説します。最後には、企業と個人が今日から始められる実践的なステップも提示します。「量子コンピュータはまだ先」と先送りしてきたすべての読者にこそ、読んでほしい一冊です。

PQC（耐量子暗号）の仕組み: 格子問題とハッシュが量子を止める

なぜ現行の公開鍵暗号は量子コンピュータで破られるのでしょうか。1994年にPeter Shorが発表した量子アルゴリズムは、素因数分解と離散対数問題を多項式時間で解けます。RSA・ECC・DH・ECDSAはすべてこの2つの難問に安全性の土台を置いているため、暗号学的に意味のある量子コンピュータ（CRQC）が実現すれば一斉に崩壊します。

PQC（Post-Quantum Cryptography）の発想はシンプルです。「量子コンピュータでも効率的に解けないと考えられる別の数学的難問」に安全性の土台を移し替えること。その筆頭が格子暗号です。中核となるのはLWE（Learning With Errors）と呼ばれる問題で、直感的には「ノイズ入り連立一次方程式」です。正解に微小な誤差を加えた方程式系については、現時点で古典・量子のどちらの計算機に対しても効率的な解法は知られていません（あくまで「知られていない」ことが安全性の根拠であり、無条件の保証ではありません）。

2024年8月、NISTは8年の評価プロセスを経て最初の3標準を確定しました。

ML-KEM（FIPS 203／元Kyber）: 鍵カプセル化方式。TLSの鍵交換向けで、公開鍵は800バイト級とコンパクトかつ高速。
ML-DSA（FIPS 204／元Dilithium）: デジタル署名の主標準。同じ格子問題を基盤にします。
SLH-DSA（FIPS 205／元SPHINCS+）: ハッシュ関数のみに依存する保守的な署名のバックアップ。署名は約7.8KBと大きい分、数学的仮定が最小限です。

標準が複数あるのは、2022年に同種写像ベースのSIKEが古典計算機で破られた前例への教訓でもあります。単一の数学への一極依存を避けるため、NISTは格子＋ハッシュという多様性を保険として確保しました。

移行期のもう一つの定石がハイブリッド運用です。古典暗号（X25519など）とPQC（ML-KEM）の双方で鍵を交換し、標準化された方法で結合します。適切に結合された構成では、一方のアルゴリズムの安全性仮定が破れても機密性を維持できるよう設計されており、BSI・ENISA・IETFが移行期のアプローチとして推奨しています。実際にChromeとCloudflareの間のHTTPSは、すでにX25519MLKEM768ハイブリッドで守られています。

HNDL攻撃の流れとPQCによる防御を図にまとめます。

sequenceDiagram
    participant A as 攻撃者
    participant S as 送信者
    participant R as 受信者
    Note over A,R: 【現行暗号（RSA/ECC）の場合】
    S->>R: TLS暗号化通信（ECDH鍵交換）
    A->>A: 暗号化トラフィックを盗聴・保存
    Note over A: 数年後…CRQC（量子コンピュータ）登場
    A->>A: Shorのアルゴリズムで鍵交換を復号
    A->>A: 盗んだ全データを平文化 ✔️
    Note over A,R: 【PQC / ハイブリッド（ML-KEM+X25519）の場合】
    S->>R: TLS暗号化通信（PQCハイブリッド鍵交換）
    A->>A: 暗号化トラフィックを盗聴・保存
    Note over A: 数年後…CRQC登場
    Note over A: 格子問題（LWE）の効率的な解法は現時点で未知 ✖️
    Note over A: 標準の安全性仮定が維持される限り解読不能のまま

つまりPQCとは「現在知られている限り、将来の量子にも解けないと考えられる数学」へ今のうちに乗り換えておく、という時間軸を含めた防御なのです。

現行暗号 vs 耐量子暗号: 比較表で理解する違い

ここまで「なぜ移行が必要か」を見てきました。ここからは、現行の公開鍵暗号（RSA・ECC）と耐量子暗号（PQC）が具体的にどう違うのか、比較表に整理してみます。

項目	現行公開鍵暗号（RSA/ECC）	耐量子暗号（PQC）
数学的基盤	素因数分解・離散対数	格子問題（LWE）・ハッシュ
量子コンピュータ耐性	なし（Shorで多項式時間）	あり（効率的な量子攻撃は現時点で未発見）
鍵・署名サイズ	小さい（RSA-2048で256B）	やや大きい（ML-KEM公開鍵800B級、SLH-DSA署名約7.8KB）
標準化	1970年代〜確立済み	2024年8月にNIST FIPS 203/204/205確定
実装成熟度	極めて成熟	ライブラリ対応進行中（OpenSSL 3.5+等）
推奨運用	2030年頃までに非推奨化の提案（NIST IR 8547ドラフト）	ハイブリッド併用で段階導入

表から読み取れるポイントを補足します。

まず「数学的基盤」の違いが本質です。 RSAとECCの安全性は素因数分解と離散対数問題という2つの難問に載っていますが、Shorのアルゴリズムはこの両方を多項式時間で解いてしまいます。一方、PQCの土台である格子問題（LWE: Learning With Errors）は、ノイズ入り連立一次方程式を解く困難さに依存し、量子コンピュータでも効率的な解法は現時点で知られていません。安全性の「土台そのもの」を交換するのが移行の正体です。

サイズと性能のトレードオフは、実は思ったほど問題になりません。 ML-KEMの公開鍵は800バイト級とRSA-3072よりむしろ小さく、演算も高速です。ChromeとCloudflareの間のTLSですでに使われていることが、実用性の何よりの証明でしょう。やや大きいのは署名系で、ハッシュベースのSLH-DSAは署名が約7.8KBになります。とはいえ、仮定が最小限で保守的なバックアップ用途と考えれば許容範囲と言えます。

忘れがちな補足として、AESやSHA-2は「量子で終わる」わけではありません。 Groverのアルゴリズムの影響は限定的で、鍵長を倍増（AES-256等）すれば対処できます。問題はあくまで公開鍵暗号であり、移行対象を間違えないことが重要です。

つまりPQCへの移行は「全暗号の作り直し」ではなく、公開鍵暗号という心臓部を、すでに標準化され実装され始めた新しい数学に載せ替える作業なのです。

2026年の移行リアリティ: 各国スケジュールと実世界の展開

標準化は2024年に完成しましたが、各国政府・機関が示す移行タイムラインが移行の目安になっています。まず主要なスケジュールを整理します。

主体	スケジュール	内容
米国 NIST（IR 8547・ドラフト提案）	2030年 / 2035年	連邦政府向けに量子脆弱アルゴリズム（RSA・ECDSA等）の非推奨化 / 撤去を提案
米NSA CNSA 2.0	2025年〜 / 2033年	国家安全保障システムの新調達でPQC要求 / 完全移行
欧州（ENISA・ANSSI・BSI）	2026年〜 / 2030年代前半	ハイブリッド導入の推奨・計画 / 完全移行を目標
日本（CRYPTREC）	段階的	NIST標準を踏まえた耐量子暗号の評価・電子政府での段階的対応の検討

米NISTの移行ガイダンスNIST IR 8547（2024年11月公開の初回ドラフト。対象は米連邦政府システムで、最終版では内容が変わり得る点に注意）は、2030年にRSAやECDHなどを非推奨化し、2035年には撤去する方針を提案しています。NSAのCNSA 2.0はより厳しく、2025年からの国家安全保障システム新調達でPQCを要求し、2033年までの完全移行を期限としています。

欧州ではENISAがPQCへの移行推奨を整理し、フランスANSSIはハイブリッド暗号の段階導入を、ドイツBSIも移行期のハイブリッド方式を推奨しています（各機関の文書では推奨・計画・期限が区別されており、統一された拘束スケジュールではありません）。日本では総務省・経産省のCRYPTRECが耐量子暗号の評価を進め、NIST標準を踏まえた電子政府での段階的対応が検討されています。

一方、実世界の展開も進んでいます。ブラウザとCDNの組み合わせでは、ChromeがCloudflare向けの接続でデフォルトでX25519MLKEM768ハイブリッド鍵交換を有効化しており、Cloudflareの報告ではPQCで保護されたTLS 1.3接続はまだ全体の約2%と、普及は初期段階です。Firefoxもハイブリッド鍵交換のサポートを進めています。OpenSSHは9.0でsntrup761x25519ハイブリッド鍵交換を利用可能にし、その後のリリースではmlkem768x25519-sha256が既定の鍵合意方式になっています（公式リリースノート参照）。SignalのPQXDH、Apple iMessageのPQ3など、日常使うメッセージングも対応を進めています。

2026年時点の評価を一言でいえば「標準は完成、実装は過渡期」です。ここから移行を始める組織が、むしろ標準的なタイミングといえます。

実践ステップ: 企業・個人が今日からできること

PQC移行は「いつかやる課題」ではなく、HNDL攻撃が既に進行している以上、今日から着手できる具体的な作業の積み重ねです。ここでは、組織と個人それぞれがすぐに始められるステップを整理します。

企業・組織向けステップ

ステップ1: 暗号インベントリを作成する まず、自組織がどこでRSA/ECCを使っているかを把握しましょう。Crypto DiscoveryツールやCBOM（Cryptographic Bill of Materials）を活用し、TLS証明書、VPN、HSM、社内ライブラリまで洗い出します。「見えていないものは移行できない」が第一原則です。

ステップ2: データを機密保持期間で分類する 医療記録・人事データ・知的財産・個人識別情報（PII）など「10年以上秘匿すべきデータ」を優先対象に指定します。HNDLの危険の不等式（機密保持期間 > CRQC登場までの年数 − 移行期間）に当てはまるデータから着手します。

ステップ3: ベンダーにPQC対応を照会する HSM、VPN機器、TLSライブラリのサプライヤーに対し、PQC対応ロードマップを正式に問い合わせましょう。調達要件にPQCを含める動きが、ベンダー側の対応を加速します。

ステップ4: パイロット導入を始める テスト環境でTLSのX25519MLKEM768鍵交換やOpenSSHのmlkem768系ハイブリッド鍵交換（利用可能バージョンから既定化済みバージョンまで、公式リリースノートで確認）を試験します。ChromeとCloudflare間のHTTPSでPQCハイブリッドが既に使われているため、実運用に近い検証が可能です。

ステップ5: ハイブリッド運用で開始する PQC単体ではなく古典暗号＋PQCのハイブリッド方式で実績を積みます。適切に結合された標準プロトコルでは、一方のアルゴリズムの安全性仮定に依存しない設計を目指すもので、BSI/ENISA/IETFが移行期のアプローチとして推奨しています。

ステップ6: 長期署名を見直す コード署名やルート証明書は有効期間が長く、先送りできません。優先的にML-DSA/SLH-DSAへの移行計画を立てます。

ステップ7: マイルストーンから逆算して計画化する NIST IR 8547ドラフトの2030年非推奨化・2035年撤去提案や、CNSA 2.0の2033年完全移行といった目安を起点に、予算と人員計画を逆算しましょう。

個人レベルでできること

Signal（PQXDH）やPQC対応ブラウザ（Chrome/Firefox）を日常利用する
長期保存する機密データの暗号化と取り扱いを見直す
自分のサイトのPQC対応をChrome開発者ツールのセキュリティタブで確認する

完璧な準備を待つのではなく、インベントリとデータ分類から今日始めることが最重要です。

よくある質問（FAQ）

量子コンピュータで今すぐRSAは破られるの?

いいえ、現時点でRSAやECCを破れる暗号学的に意味のある量子コンピュータ（CRQC）は実現していません。ただし、これは「先送りしてよい」という意味ではありません。盗んでおいて後で解読するHNDL攻撃は今日から成立しています。暗号化データを今盗まれれば、将来CRQCが登場した時点で復号されるため、機密保持期間が長いデータほど「今」が対策どきです。

PQCに移行しないとどうなる?

長期機密データ（医療記録・人事情報・知的財産など）が将来復号されるリスクを抱え続けることになります。米NISTはIR 8547（ドラフト提案）で2030年に量子脆弱アルゴリズムの非推奨化、2035年には撤去を提案しており、この流れが進めば2030年代にはベンダー支援が終了してレガシー化する可能性があります。移行には在庫調査やシステム改修で数年かかるため、慌ただしい後付けではなく計画的な対応が求められます。

ハイブリッド運用とは何ですか? なぜ推奨されるの?

古典暗号（X25519など）とPQC（ML-KEMなど）の両方で鍵を共有し、標準化された方法で結合して使う方式です。適切に結合された構成では、一方のアルゴリズムの安全性仮定が破れても機密性を維持できるよう設計されます。PQC自体が新しい技術であるため実装リスクを古典暗号で補える、移行期の定石です。ドイツBSIやENISA、IETFが推奨しています。

ML-KEMとML-DSAとSLH-DSAはどう使い分ける?

鍵交換（TLSの鍵共有など）にはML-KEM、デジタル署名にはML-DSAを主標準として使い、より保守的なハッシュベースのSLH-DSAをバックアップとするのが基本です。SLH-DSAは署名サイズが約7.8KBと大きいものの、数学的仮定が最小限で、ML-DSAが破られた場合の保険になります。

日本の企業はいつまでに対策すべき?

業種やデータ特性によります。米NISTの「2030年非推奨化・2035年撤去」という提案（ドラフト）が国際的な目安となりつつあり、日本のCRYPTRECもNIST標準を踏まえた評価・検討を進めています。電子政府でも段階的対応が検討されており、取引先やサプライチェーンからの照会が来る前に着手するのが安全です。

自分のサイト/サービスがPQC対応か確認する方法は?

Chromeの開発者ツールにあるセキュリティタブで、接続の鍵交換方式に「X25519MLKEM768」などが表示されるか確認できます。Cloudflareを利用している場合は診断機能でPQC状況を確認でき、コマンドラインではOpenSSLで鍵交換アルゴリズムを調べられます。OpenSSHは9.0以降でハイブリッド鍵交換が利用可能で、その後のリリースでmlkem768系が既定になっています（バージョンごとの詳細は公式リリースノートを参照してください）。

まとめ: 「後で解読される」未来を、今日断つ

耐量子暗号への移行は、もはや「将来の備え」ではありません。NISTがML-KEM・ML-DSA・SLH-DSAの3標準を2024年8月に最終化し、NIST IR 8547（ドラフト提案）が示す2030年の量子脆弱アルゴリズム非推奨化・2035年の撤去方針、NSAのCNSA 2.0、欧州の機関、日本のCRYPTRECといった移行の動きが揃いつつあります。移行の時期を左右するのは量子コンピュータの進歩そのものより、こうした標準・政策の動きです。

HNDL（Harvest Now, Decrypt Later）攻撃の本質は、コストと被害が時間的にズレている点にあります。攻撃者は「盗みやすい今」にわずかなコストで暗号化データを蓄積し、被害は「解読できる未来」に顕在化します。つまり、CRQC（量子コンピュータ）が登場する何年も前に、被害は既に始まっているのです。医療記録や国家機密、知的財産など、10年以上秘匿すべきデータを持つ組織ほど、この不等式は今日から悪化しています。

読者の皆さんに最初の一歩としてお勧めするのは、大規模な投資でも難しい理論の習得でもなく、暗号インベントリの作成とデータ分類です。どこでRSA/ECCを使っているかを把握し、機密保持期間の長いデータから優先順位をつける。その上でハイブリッド方式でパイロットを始める。完璧な計画を待つのではなく、今日小さく始めることが最重要です。

今後はFIPS 206（FN-DSA/FALCON）の標準化検討や、WebPKI証明書のPQC化といった次の波が続くと見られます（FIPS 206は本記事執筆時点で確定標準ではありません）。「後で解読される」未来は、今日の判断で断つことができます。

参考文献

NIST Releases First 3 Finalized Post-Quantum Encryption Standards (2024-08-13) https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards
FIPS 203 (ML-KEM) — https://csrc.nist.gov/pubs/fips/203/final
FIPS 204 (ML-DSA) — https://csrc.nist.gov/pubs/fips/204/final
FIPS 205 (SLH-DSA) — https://csrc.nist.gov/pubs/fips/205/final
NIST IR 8547 ipd, Transition to Post-Quantum Cryptography Standards (2024-11-12) https://csrc.nist.gov/pubs/ir/8547/ipd
NSA, CNSA 2.0 Quantum-Resistant Algorithm Requirements for NSS https://www.nsa.gov/Press-Room/News-Highlights/Article/Article/3148990/nsa-releases-future-quantum-resistant-qr-algorithm-requirements-for-national-se/
CNSA 2.0 Advisory (PDF) — https://media.defense.gov/2025/May/30/2003728741/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS.PDF
CRYPTREC（電子政府推奨暗号リスト・耐量子暗号評価） https://www.cryptrec.go.jp/
Cloudflare, Post-Quantum by default（2024） https://blog.cloudflare.com/pq-2024/
Signal, PQXDH Specification — https://signal.org/docs/specifications/pqxdh/
Apple Security Blog, iMessage PQ3 — https://security.apple.com/blog/imessage-pq3/
OpenSSH Release Notes — https://www.openssh.com/releasenotes.html
ENISA, Post-Quantum Cryptography: Current state and quantum mitigation https://www.enisa.europa.eu/publications/post-quantum-cryptography-current-state-and-quantum-mitigation
NIST PQC標準化プロジェクト — https://csrc.nist.gov/Projects/post-quantum-cryptography