量子鍵配送と耐量子計算機暗号の違い：それぞれ何を守るのか

量子鍵配送と耐量子計算機暗号は、目的、前提、導入時のトレードオフ、そして対処する脅威がどう異なるのか。

このページは英語から翻訳されています。企業名・製品名・出典リンクは変更していません。英語の原文を読む

量子鍵配送（QKD）と耐量子計算機暗号（PQC）は、しばしば「量子安全（quantum-safe）」技術として一括りにされますが、異なる問題を異なる方法で解決するものです。QKDは、量子力学的な振る舞いに安全性を結びつけた共有秘密鍵の生成手法です。一方、PQCは、将来の量子コンピューターに対して現在のデジタルシステムの安全性を維持することを目的とした、主として公開鍵アルゴリズムの体系です。

現実的な選択は、たいてい二者択一ではありません。QKDは、特定の物理的・ネットワーク的前提の下で、盗聴検知を伴う鍵確立に関わるものです。PQCは、既存インフラ全体にわたって脆弱な暗号部品を置き換えることに関わります。それぞれが何を守るのかを理解するには、まずこの違いを押さえる必要があります。

量子脅威に対する2つの異なる答え

両者の背景にある中心的な懸念は、量子コンピューティングが広く使われている多くの公開鍵方式を脅かすことです。Wikipediaの耐量子計算機暗号の要約によれば、実運用されている公開鍵アルゴリズムの多くは整数因数分解、離散対数問題、あるいは楕円曲線離散対数問題に依存しており、Shorのアルゴリズムを動かす十分に強力な量子コンピューターがあれば、これらの問題を効率的に解ける可能性があります。

だからといって、すべての暗号が一度に破られるわけではありません。Wikipediaの要約では、現在の共通鍵暗号とハッシュ関数は量子攻撃に対して比較的安全と考えられている一方、Groverのアルゴリズムによって総当たり探索は高速化されうるものの、実務上は鍵長を2倍にすることで対処できるとしています。

ここから、QKDとPQCは分かれていきます。

QKD は、2者が量子状態を用いて共有のランダムな秘密鍵を生成できるようにすることを目指します。
PQC は、量子攻撃に耐えると現在考えられている、ただし証明はされていない新しい方式で、脆弱な古典的公開鍵アルゴリズムを置き換えることを目指します。

この対象範囲の違いは重要です。QKDはそれ自体でアプリケーションデータを暗号化するわけではなく、鍵を配るものです。対してPQCは、公開鍵暗号がすでに鍵確立やデジタル署名に使われている箇所へ組み込まれることを想定しています。

QKDが守るもの

QKDは、測定による擾乱原理や量子複製不可能定理を含む量子力学に基づいた安全な通信手法です。その目的は、2者が自分たちだけが知る共有秘密鍵を作ることにあります。

その際立った安全性の性質は、盗聴の検知です。一般に、量子系を測定するとその系は乱されます。したがって、第三者が送信された量子状態を測定して鍵を知ろうとすると、その干渉によって正当な当事者が検出できる異常が生じます。観測された擾乱が閾値未満であれば安全な鍵を導出できる場合がありますが、高すぎる場合は中止します。

Wikipediaの量子鍵配送の記事では、QKDの安全性は数学的問題の困難性の仮定ではなく、物理法則に依拠すると説明されています。また、情報理論に基づく証明可能安全性を持ち、前方秘匿性を提供するとしています。

とはいえ、QKDが守る範囲は、多くの人が想像するより狭いものです。

守るのは鍵を配る過程です。
メッセージデータそのものを直接送るわけではありません。
得られた鍵は、その後もワンタイムパッドやAESのような共通鍵アルゴリズムといった暗号方式と組み合わせて使う必要があります。

したがって、「QKDは何を防御するのか」という問いへの答えは、こうなります。プロトコルと実装の前提の下で、量子チャネル上の盗聴を検知可能にすることにより、鍵交換そのものの機密性を守る、ということです。

QKDの仕組みの概略

Wikipediaの量子鍵配送の記事では、QKDプロトコルを大きく2つの系統に分けています。

準備・測定型

このモデルでは、一方の当事者が量子状態を準備して安全でない量子チャネルを通じて送信し、受信側がそれを測定します。その後、認証された古典チャネル上で、両者は限られた情報を照合し、測定結果が擾乱のない伝送と整合しているかどうかを確認します。

整合しなければ、盗聴の可能性や過大な雑音があったと推定し、中止することがあります。

最もよく知られた例は、1984年にCharles H. BennettとGilles Brassardが提案した BB84 です。BB84では、送信者がランダムビットを2つの可能な基底のいずれかで符号化し、受信者はランダムに選んだ基底で各量子状態を測定します。その後、両者は基底の選択だけを公開比較し、異なる基底を使った位置を捨てます。さらに、残ったビットの一部を誤り検査に使い、誤りが多すぎれば安全性を保証できないと判断します。

エンタングルメント型

これらのプロトコルでは、2者の間で共有されたエンタングル状態を用います。Wikipediaは、エンタングルした対の片方を測定すると系全体に影響が及び、途中での傍受は検出可能な形で相関を変化させると説明しています。挙げられている例の1つが、1991年にArtur Ekertが提案した E91 です。

専門外の読者にとって重要なのは、どちらの系統も同じ目標を目指しているという点です。すなわち、傍受を可視化しながら秘密の共有鍵を生成することです。

QKDの見えにくい依存関係：認証

QKDの看板的な特徴は、重要な要件を見えにくくしがちです。Wikipediaの量子鍵配送の記事によれば、QKDは通常、認証された古典チャネル に依存します。これは公開のやり取りの段階で、2者が本当に相手同士と通信していることを確認するためであり、なりすまし相手と話していないことを保証するためです。

ここに重要な実務上の制約があります。

その古典チャネルを認証するには、当事者間に、あらかじめ共有された共通鍵や、十分に安全な公開鍵のような、信頼できる暗号基盤がすでに必要です。

つまりQKDは、認証の問題をなくすわけではありません。認証がすでに利用可能であることを前提に、鍵配送の問題を解決するものです。

Wikipediaの記事は、この帰結をかなり率直に述べています。安全に認証するために必要なものをすでに持っているなら、実務上は従来の共通鍵暗号だけでも安全な通信を実現できる可能性がある、というのです。さらに、QKDはストリーム暗号の仕事をはるかに高コストで行うものだとさえ評しています。

これはQKDをめぐる議論の主要なトレードオフの1つです。その安全性モデルは魅力的ですが、システム全体としての導入負担は大きいのです。

PQCが守るもの

PQCが向き合う脅威面は別のものです。これは、通常は公開鍵アルゴリズムである暗号アルゴリズムを開発し、量子コンピューター攻撃に対しても安全性が維持されると現在考えられている方式へ移行する取り組みです。

その主な標的は、現在の公開鍵システムが将来破綻することです。Wikipediaの耐量子計算機暗号の要約では、大規模な量子コンピューターが現れる前に移行が急務である理由として、次の2点も挙げています。

移行には時間がかかる。
Harvest now, decrypt later は現実の懸念であり、今収集されたデータが何年後にも機微性を保っている可能性がある。

そのためPQCは、次の2つの関連リスクから守ろうとします。

量子脆弱な公開鍵方式で今日保護されているデータが、将来復号されること。
同じ脆弱な方式に依存する真正性の仕組みが、将来偽造されたり機能しなくなったりすること。

QKDと異なり、PQCは量子通信ハードウェアに基づくものではありません。これは古典的な暗号移行であり、ソフトウェア、ハードウェア、プロトコル、標準の内部にあるアルゴリズムを置き換えるものです。

PQCは単一のアルゴリズム系統ではない

Wikipediaの耐量子計算機暗号の要約では、PQCの研究方向として、格子ベース、多変数、多重ハッシュベース、符号ベース、アイソジェニー・ベース暗号に加え、十分に大きな鍵を用いる共通鍵方式などが列挙されています。

ここで重要なニュアンスは、PQCが包括的な意味で安全性を証明されたものではないという点です。Wikipediaは繰り返し、これらの方式は現在安全と考えられていると説明しており、いくつかの候補は破られてきたとも指摘しています。その象徴的な例が、2022年に破られた SIDH/SIKE です。

これはPQC全体を否定するものではありませんが、「量子耐性」というラベルが恒久的なものではないことを示しています。これは継続的な暗号解析の上に成り立つ研究と標準化のプロセスなのです。

ある系統は他より強い形式的還元を持ち、また実用面では、より大きな鍵、署名、暗号文といったトレードオフを持つものもあります。Wikipediaは、多くのPQCアルゴリズムが耐量子以前の公開鍵方式より大きな鍵サイズを必要とし、その結果、通信量や計算効率にトレードオフが生じると述べています。

標準化と導入の現実

PQCの実用的な位置づけを最も明確に示しているのはNISTです。

NISTは、主要なPQC標準を 2024 年に公開し、組織は今すぐ移行を始めるべきだとしています。挙げられている標準は次のとおりです。

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NISTはまた、これらの標準がほとんどの導入の基盤になるべきだとし、FalconやHQCを含む追加標準の策定も進んでいるとしています。さらに、NIST IR 8547 の移行スケジュールでは、量子脆弱なアルゴリズムは 2035 年までにNIST標準から非推奨となり、最終的に削除される予定であり、リスクの高いシステムはそれより早く移行すると述べています。

これはQKDとの重要な対比です。どちらのアプローチの長期的な価値をどう見るにせよ、PQCはすでに、通常のデジタルインフラ全体への広範な導入を目指す、標準ベースの移行経路に乗っています。

比較：それぞれ何を守るのか

Aspect	Quantum key distribution	Post-quantum cryptography
Primary purpose	共有秘密鍵を生成する	脆弱な公開鍵アルゴリズムを置き換える
Security basis	量子力学と検出可能な擾乱	量子攻撃に耐えると考えられている古典アルゴリズム
What it directly protects	鍵配送の機密性	デジタルシステムにおける鍵確立、署名、その他の公開鍵機能
Eavesdropping detection	あり。プロトコルに組み込まれた性質	それに相当する物理的検知性はない
Hardware requirement	量子チャネルに加えて古典チャネルが必要	古典的なデジタルインフラ上で動作
Authentication need	認証された古典チャネルが必要	署名/KEM標準を通じて認証機構自体を提供する
Deployment model	特殊なリンクとプロトコル設定	既存システム全体でのソフトウェア、ハードウェア、プロトコルの移行
Main trade-off in evidence	高コストで、事前の認証に依存	鍵/署名の大型化と、継続的なアルゴリズム評価リスク

では、どちらが「より多く」を守るのか

どちらかが一律に多くを守るわけではありません。守る対象が異なるのです。

QKDは、鍵配送に関して際立った安全性の主張を持っています。すなわち、量子チャネル上での傍受の試みは、原理的には検出可能です。この性質が決定的に重要な用途では、QKDは魅力的になりえます。ただし、それには厳しい前提が伴います。とりわけ、認証された古典チャネルの必要性と、専用の通信インフラです。

PQCが対処するのは、より広範で、より差し迫ったシステム上の問題です。つまり、将来の量子コンピューターに破られうる公開鍵暗号を置き換えることです。QKDのような物理法則に基づく盗聴検知は提供しませんが、現代のネットワークが実際に大規模に依存している暗号機能を保護するよう設計されています。

別の言い方をすれば、こうなります。

関心が2つのエンドポイントが量子的に観測可能なチャネル上でどう鍵を確立するかにあるなら、関連する手段はQKDです。
関心がインターネット、ソフトウェア・サプライチェーン、アイデンティティ・システム、長期保存される暗号化データが量子攻撃の到来をどう生き延びるかにあるなら、中心的な答えはPQCです。

未解決の論点とトレードオフ

バランスの取れた見方をするには、いくつかの不確実性を視野に入れておく必要があります。

QKD については：

理論上の安全性の説明は強力ですが、正しい実装に依存します。
認証の必要性をなくすものではありません。
Wikipediaは、古典的な認証付き暗号ですでに要件を満たせるなら、追加コストが正当化されるのかという実務上の問いを明示的に提起しています。

PQC については：

これらのアルゴリズムは、量子攻撃に対して安全だと考えられているのであって、証明されたわけではありません。
候補系統や方式の中には、暗号解析で破られたものもあります。
実運用では、より大きな鍵など、性能面のトレードオフを伴うことがあります。

それでもNISTは、現在の運用上のコンセンサスを示しています。すなわち、完全に成熟した量子コンピューターを待っていては、長期的な機密性と真正性を守る時間が足りなくなるおそれがあるため、今すぐ標準化されたPQCへの移行を進めるべきだということです。

要点

QKDとPQCは、単純な意味での代替関係ではありません。 QKDは秘密鍵を配り、PQCは脆弱な公開鍵暗号を置き換えます。
QKDの最大の特徴は、量子チャネル上の盗聴を検知できること であり、その根拠は量子測定による擾乱にあります。
QKDはそれ自体でメッセージを暗号化するわけではなく、通常は 認証された古典チャネル を必要とするため、何らかの信頼基盤がすでに存在していなければなりません。
PQCは、現在の公開鍵システムに対する量子脅威が生む、より広い移行問題に向けられています。
現在の共通鍵暗号は、現在の公開鍵暗号ほど量子コンピューティングの影響を受けません が、より長い鍵長が望ましい場合はあります。
PQCはすでに主流の標準に入りつつあります。 NISTは2024年にFIPS 203、204、205を公開し、組織は今すぐ移行を始めるべきだとしています。
どちらの道にもコストは伴います。 QKDにはインフラと認証の負担があり、PQCにはアルゴリズム上の不確実性や、鍵の大型化といった性能トレードオフがあります。
ほとんどの組織にとって、PQCが量子リスクへの主要な短期対応 であり、QKDが扱うのは、より狭く、より専門的な安全保障上の目的です。