耐量子暗号（PQC: Post-Quantum Cryptography）とは、実用規模の量子コンピューターが登場しても解読が難しいと考えられている暗号方式の総称です。今のインターネットを支えるRSA暗号や楕円曲線暗号を置き換えるもので、量子ハードウェアは不要です。既存のコンピューター上でソフトウェアとして動きます。
耐量子暗号とは：なぜ必要なのか
RSAや楕円曲線暗号が安全なのは、「素因数分解」や「離散対数問題」を解くのが難しいからです。量子コンピューター向けのショアのアルゴリズムは、これらの問題を効率よく解けます。そのため十分な規模の量子コンピューターが実現すれば、現在の鍵交換や電子署名は破られます。実現する時期は確定していません。
それでも今から移行が議論されているのは、「Harvest Now, Decrypt Later（今のうちに集めて後で解読する）」という脅威があるためです。通信を今傍受して保存しておき、将来量子コンピューターで解読するという手口です。長期間秘密にすべきデータほど、早い対応が求められます。
何ができるのか：主な方式
米国立標準技術研究所（NIST）は2024年8月、最初の耐量子暗号の標準として次の3つを公開しました。
- ML-KEM（FIPS 203）：TLSなどの鍵交換に使う鍵カプセル化方式。旧名はCRYSTALS-Kyber - ML-DSA（FIPS 204）：電子署名。旧名はCRYSTALS-Dilithium - SLH-DSA（FIPS 205）：ハッシュ関数を使う電子署名。旧名はSPHINCS+
ML-KEMとML-DSAは「格子」と呼ばれる数学問題に基づいています。従来の方式に比べて公開鍵や署名が大きくなるため、通信量や証明書サイズへの影響が設計上の論点になります。
使い方：エンジニアがすること
アプリ開発者が暗号を自前で実装する必要はありません。TLSライブラリや言語ランタイムが対応したら、更新・設定して使うのが基本です。移行期には、従来の楕円曲線暗号とML-KEMを組み合わせる「ハイブリッド鍵交換」が採られています。片方が破られても、もう片方で安全性を保つ考え方です。
最近の例として、日経クロステックはJava 27の標準TLSで耐量子暗号が使えるようになったと報じました。ただし、対応する方式や既定で有効かどうかは、当サイトではまだ確認できていません。導入する際は、各製品の公式ドキュメントで対応方式を確認してください。
料金：いくらかかるのか
NISTの標準方式は仕様が公開されており、アルゴリズムそのものにライセンス料はかかりません。費用がかかるのは移行作業のほうです。主なコストは次のとおりです。
- 社内のどこでどの暗号を使っているかの棚卸し - ライブラリやOSの更新 - 鍵サイズの増加にともなう性能検証 - 更新が難しい組み込み機器の入れ替え
金額はシステムの規模で大きく変わるため、一般的な相場は示せません。
誰が作っているのか：担い手と競合
標準化を主導しているのはNISTです。各方式は、世界の研究者チームがNISTの公募に提案したものです。実装はOpenSSLなどのオープンソース、ブラウザ、OS、言語ランタイムの側で進んでいます。
競合・補完の関係にあるのが「量子鍵配送（QKD）」です。量子力学の性質を使って鍵を共有する方式で、専用の光通信設備が必要になります。耐量子暗号は、ソフトウェアの更新だけで既存のネットワークに導入できる点が大きな違いです。
