なぜ今？｢暗号技術｣50年ぶり改訂のなるほどな訳

2022年2月9日 12時30分

東洋経済オンライン

みんなの感想は？

銀行のATMなどで使われている暗号技術が大きく変わりそうです（写真：EKAKI／PIXTA）

ネット・ショッピングやキャッシュレス決済、銀行のATMなど、私たちの便利な日常生活を支える暗号技術が大きく変わろうとしている。

アメリカ国立標準技術研究所（NIST）は今年の早い時期に、現在の国際標準「RSA」などに代わる新たな暗号技術の方式を発表する見込みだ。同時に、2024年の規格化を目指した作業に入る。

この新方式はインターネットの国際標準化団体も早々に支持を表明するなど、事実上「暗号の次世代標準」となる。日本でも金融機関やIT関連をはじめ、さまざまな業界の企業が早晩対応を迫られることになるだろう。

現在のRSA暗号が発明されたのは1973年だ。それから約50年後となるいわば「歴史的な改訂」の理由は「量子コンピューターの登場」だ。

現在使われているRSA暗号はいずれ破られるリスク

RSA暗号は桁数の大きい自然数の素因数分解は時間がかかることを活用したもの。例えば素数101と211のかけ算の答えは21311だが、21311を素因数分解して101と211を割り出すのは、計算量が膨大になるため簡単ではない。桁数がもっと多くなれば、割り出すのがさらに難しくなるという特性を使っている。

現在使われているRSA暗号はトップクラスのスーパーコンピューター（スパコン）を使っても、ハッカーなど第三者が破る（解読する）のに1億年以上かかると見られている。つまり事実上、既存のコンピューターでは破ることのできない暗号である。

しかし本格的な量子コンピューターを使えばRSA暗号を容易に破れることが、1994年に「ショアのアルゴリズム」と呼ばれる数学理論によって証明された。

量子コンピューターとは、原子や電子などミクロ世界を説明する「量子力学」を計算理論に応用した夢の超高速計算機だ（『日本はまた後塵？米国｢夢の超高速計算機｣の驚異』参照）。現在のスパコンで計算すると何万～何億年もかかるような超難問を、量子コンピューターはわずか数分で解くことができると言われる。

もっとも1994年当時、量子コンピューターは理論的には設計可能でも、その実機を作れると信じる専門家は皆無に近かった。このため社会インフラとなった暗号が、量子コンピューターによって実際に破られてしまう心配もなかった。それはあくまで、遠い未来に起きるかもしれない理論的な可能性にとどまっていたのである。

しかし2013年ごろから、グーグルやIBMなど巨大IT企業が量子コンピューターの実機開発を加速するに連れ、「このままでは意外に早い時期にRSAのような暗号が破られてしまうのではないか」という危機感が専門家の間で高まってきた（昨年、東京大学と日本企業が共同で運用を開始したIBM製の量子コンピューターなどはテスト用マシンという位置づけで、RSA暗号の解読など実務的な用途には使えない）。

もしも量子コンピューターで暗号が破られれば、私たちの大切な金融資産や個人情報が盗まれてしまう。

こうした懸念を受け、NISTは2016年、本格的な量子コンピューターでも破ることができない「耐量子暗号（Post-Quantum Cryptography）」技術の策定に着手した。といっても、同研究所自体がそのような暗号技術を開発するわけではない。むしろ世界各国の研究者らに呼びかけ、そうした新たな暗号技術を公募したのである。

量子コンピューターでも解けない超難問がベースに

この呼びかけに応じ、翌2017年には世界中から全部で69種類の暗号方式（アルゴリズム）が候補として寄せられた。その後、専門家らによる評価・選定を経て、2020年7月には4つの候補に絞り込まれた。

これらの候補は、日本のNTTやアメリカのクアルコムなどのグループが開発した「NTRU」をはじめ、いずれも「格子問題」や「符号問題」などと呼ばれる複雑・高度な数学の問題を暗号に応用したものだ。

これらの問題は「量子コンピューターでも解くことができない超難問」とされ、その問題を解くことができない限り、暗号を破ることができない。この点が耐量子暗号として認められる理論的根拠となっている。

これを実際に証明するため、世界各国で一種の暗号破りコンテストが実施されている。

例えば2021年にフランス国立情報学自動制御研究所が主催した暗号解読コンテストでは、KDDI総合研究所が世界で初めて1161次元の符号暗号を解読することに成功した。総当たり方式による単純計算では、世界最高性能のスパコンを使っても1億年以上かかる所を、商用クラウド上で特殊なアルゴリズムと超並列化の手法を使うことによって約375時間で解読した。

逆に言えば、既存のコンピューターでも現実的な時間内に解けると示すことにより、高度な符号問題でも暗号として使うには1161次元では不十分であることを証明した。量子コンピューターで解読を試みられるとすれば、なおさら危ないことになる。

しかし逆に次元数を増やしすぎても問題が発生する。ハッカーではなく正当なユーザーが、正規の暗号鍵を使って暗号文を普通の文章に戻して読もうとする際、システムの処理時間が増大しすぎて使い物にならない。

このため、量子コンピューターで攻撃されたとしても、暗号の安全性が確保される必要最低限の次元が求められている。

今月中にも候補を1つに絞り込む見通し

こうしたコンテストによる厳しい選別を経て、NISTは現在の4候補の中から、早ければ今月中にも「耐量子暗号」方式をおおむね1つの候補に絞り込む見通しだ（ただし念のため補欠候補も用意されそうだ）。2024年までに、この方式を規格化する計画とされる。日本をはじめとした各国の企業も、情報システムの更新に向けた準備などの対応を迫られる。

しかし、現在のRSA暗号を破ることのできる本格的な量子コンピューターが登場するのは、早くても10～20年先と見られている。なぜ、金融やITをはじめ産業各界の企業は今から、それに向けた準備を始めなければならないのだろうか。

これについてKDDI総合研究所セキュリティ部門長の清本晋作氏は次のように語る。

「アプリケーションに応じて、準備を始める時期は異なるでしょう。例えば電子署名にも公開鍵方式の暗号は使われている。これは10～20年先の長期保証を必要とするので、現時点で電子署名されたデータが（将来の量子コンピューターを使って）偽造されないためにも早目に（次世代の暗号方式に）対応する必要があるでしょう」

すでにアメリカのグーグルは自社のクローム・ブラウザで耐量子暗号の試験的な利用を開始した。

以上のような「耐量子暗号」とは別個に、「量子暗号」と呼ばれる技術の研究開発も各国で進んでいる。両者の呼称は似ていて紛らわしいので、正確な定義を確認しておこう。

まず耐量子暗号とは「量子コンピューターによる攻撃に耐える力を持った暗号技術」のことだ。この暗号技術自体は、量子力学に基づく「量子技術」を使う必要はない。先述の「格子問題」や「符号問題」など、主に高度な数学を使った暗号がこれに該当する。

これに対し量子暗号とは、それ自体が量子技術に依存する暗号技術である。この暗号はまた、量子コンピューターによる攻撃にも十分耐える力を持っている。つまり量子暗号は（NISTが標準化を進める「耐量子暗号」ではないが）語義的には耐量子暗号の一種でもある。

詳細な説明は省くが、量子暗号とは量子技術に基づく「量子鍵配送」と「ワンタイムパッド（使い捨てパッド）」と呼ばれる強力な暗号化アルゴリズムを組み合わせた方式だ。これにより、理論的にはどんな手段でも（つまり量子コンピューターでも）絶対に破ることのできない究極の暗号が実現されるという。

この量子暗号では、後述する中国と並んで、東芝やNECなど日本メーカーも高度な技術を有している。両社は2022年1月、野村ホールディングス、野村証券、情報通信機構（NICT）と共同で、量子暗号通信の実証実験を行った。実際の株式取引に採用されているフォーマットに準拠したデータを量子暗号で送信し、この技術が金融分野に適応できることを検証した。

中でも東芝はすでに2020年10月、量子鍵配送システムを製品として発表。大規模なゲノム（遺伝情報）解析データや金融情報など、高い秘匿性が要求される分野に向けてマーケティングを図っている。