NISTの耐量子暗号移行指針、2035年だけでは決まらない更新の順序

暗号を更新する計画を立てるとき、「いつまでに新しい方式へ替えるか」という日付だけでは、作業の順序は決まりません。今の通信を将来まで秘密にしておくことと、長く使う機器が正しい更新ソフトを受け取れることでは、備える場所も時間の余裕も違います。

米国立標準技術研究所（NIST）は2026年10月27日、耐量子暗号への移行指針「NIST IR 8547」の最終版を公開しました。2024年の草案を経て、既存の暗号をどのように置き換えていくかを示した報告です。鍵を作る仕組みと電子署名を分けて読むと、2035年という目標だけでは見えにくい更新の順序が分かります。

新しい暗号の規格と、移行の指針を分ける

耐量子暗号、PQCは、将来の大規模な量子コンピューターによる攻撃にも耐えられるよう設計された暗号です。通常のコンピューター上で動かすもので、通信端末に量子コンピューターを付けるという意味ではありません。

NISTは2024年に、鍵を確立するML-KEMをFIPS 203、電子署名のML-DSAとSLH-DSAをそれぞれFIPS 204、205として標準化しています。今回のIR 8547は、その三つを新たに発行した報告ではなく、こうした方式へ移るための技術上の課題と時期をまとめたものです。報告自体は最終版になりましたが、用途ごとの詳しい移行指針は今後も改訂されます。

鍵の確立とは、通信する双方が、他者に知られない共通の秘密を持てるようにする処理です。ML-KEMはそのための鍵カプセル化メカニズムに当たります。一方、電子署名は、メッセージやソフトウェアが対応する秘密鍵で署名され、途中で改変されていないことを確かめる仕組みです。同じ「暗号の更新」でも、入れ替える役割が違います。

今集められた通信が、後から読まれる危険

通信を傍受した相手が、暗号文を保存しておき、量子コンピューターが使えるようになってから解読する。これが「harvest now, decrypt later」、今収集して後で解読する攻撃です。現時点で読めない通信でも、将来まで秘密にしておく必要があるなら、現在の鍵確立方式が問題になります。

たとえば、これから10年間は外部に知られてはいけない研究情報を送る場面を考えます。仮に通信システムの移行に数年かかるなら、暗号を破れる量子コンピューターが完成してから準備を始めても、その間に保存された通信は取り戻せません。これは説明のための例であり、10年後に解読可能な装置が登場すると予測したものではありません。

ここで見たいのは、守る情報の寿命と、システムを移すまでの時間です。また、通信のデータ本体を暗号化する共通鍵暗号と、その鍵を安全に用意する公開鍵の仕組みは別の層です。データ本体にAESを使っているという情報だけでは、鍵の確立まで量子攻撃への備えができているとは判断できません。

署名は、将来の更新を受け取る入口にもなる

電子署名では、通信を保存して後から読む危険とは別に、将来のなりすましや不正なソフトウェアを受け入れてしまう危険を考えます。特に難しいのが、機器に組み込まれた更新の仕組みです。

たとえば、機器の起動時に、更新ソフトの署名を読み出し専用メモリー内のプログラムで確かめる設計なら、その確認プログラム自体を後から簡単に替えられない場合があります。新しい署名方式で更新ファイルを配布しても、古い機器がそれを検証できなければ、更新の入口で止まります。長く使う機器では、発売時点の暗号だけでなく、将来どの方式を受け入れられるかが設計上の問題になります。

ウェブサービスでも、暗号ライブラリーを更新すれば全体が終わるとは限りません。証明書を発行する側、検証する側、通信プロトコル、鍵を守るハードウェアなどが関係します。ある部品が新方式を実装済みでも、実際に接続する組み合わせで使えるかは別に確かめる必要があります。

2030年と2035年は、同じ種類の期限ではない

IR 8547は、量子攻撃に弱い公開鍵暗号を2030年の後に「deprecated」、2035年の後に「disallowed」とする方針を示しています。前者は非推奨で、リスクを評価した上で利用を判断する段階、後者は示された目的での利用を認めない段階です。2030年に一斉禁止になるという意味ではありません。適用する基準はNISTの標準と指針であり、世界中の組織に同じ法的期限を課したものでもありません。

これとは別に、米政府の高価値資産や高影響システムなど、優先して移行するシステムには早い期限があります。報告が参照する行政管理予算局（OMB）のM-26-15に基づき、鍵の確立は2030年12月31日まで、電子署名は2031年12月31日までに耐量子暗号へ移します。機密性の高い情報を扱うなど、ほかにも同じ優先度で扱う対象があります。一般的な2030〜2035年の移行期間が、この早い期限を延ばすわけではありません。

日本の組織が報告を読む際にも、まずは自分たちに適用される基準、契約、接続先の要件と照らし合わせる必要があります。その上で、長期間守るデータや更新しにくい機器を、単に「2035年までに対応するもの」として最後に回さないことが、技術面での読みどころです。

「ハイブリッド」は、二つから好きな方を選ぶことではない

移行期の方法として、従来の方式と耐量子方式を組み合わせるハイブリッドがあります。鍵の確立では、複数の方式の結果を適切に組み合わせ、一方が破られても秘密を守れるようにすることを目指します。従来方式と新方式を両方用意し、通信のたびにどちらか一つを選ぶだけの構成とは区別が必要です。

電子署名の例では、同じメッセージに複数の署名を付け、すべての署名の検証が成功することを求めます。どれか一つが通ればよいという条件に変えてしまうと、弱い方式だけで受け入れてしまう余地ができます。

ただし、方式を二つ並べるだけで安全性が得られるわけではありません。組み合わせ方の検討と独立した安全性評価が必要です。通信量や処理、実装の複雑さも増えます。報告はハイブリッドの利用を想定していますが、すべての用途で必ず採用すべき万能な経路とはしていません。後に従来方式を取り除く作業も見込んでおく必要があります。

更新する順序を、利用場面から決める

移行計画を具体的にするには、使っている暗号名だけでなく、何を守り、どこで動き、誰と接続するかまでたどります。長く秘密を保つ通信なら鍵確立の置換を早め、長寿命の機器なら更新ソフトを検証する仕組みを先に調べる、といった違いが出てきます。

試験で新しい方式の接続が一度成功したことと、通常運用に移れることも別です。性能や通信サイズ、接続先との互換性、更新に失敗した場合の復旧を確かめ、従来方式をいつ外せるかまで考えます。IR 8547が示す日付は、こうした作業を逆算するための基準です。量子コンピューターの完成年を言い当てる数字として読むよりも、今のシステムのどの部分に時間がかかるかを見つける手がかりになります。

出典

• NIST IR 8547, Transition to Post-Quantum Cryptography Standards（最終版）。2026年10月27日公開。報告書PDFの鍵確立・署名の役割、移行上の課題、ハイブリッド、移行時期を参照。
• OMB M-26-15, Execution of the Migration to Post-Quantum Cryptography。2026年6月24日。米連邦機関の優先順位と移行段階。国家安全保障システムは別の指針の対象です。