top of page

注目が高まる量子暗号とは。その重要性とQKDとPQCに関する解説

  • 執筆者の写真: 安田 和貴／Yasuda Kazuki
    安田 和貴／Yasuda Kazuki
  • 7 日前
  • 読了時間: 9分

あなたが今日送った暗号化メールは、いま盗まれても解読できない。しかし、量子コンピュータが実用化すれば、暗号を解読して中身を読める可能性がでてくる。暗号化した時点では安全でも、後から遡って破られるのである。そのため、攻撃者は今は読めないデータを量子コンピューターが実現するまで保存しておけばよい。セキュリティ業界はこれを「Harvest Now, Decrypt Later（今収穫し、後で復号する）」と呼ぶ。


量子コンピュータの実現は、専門家の見立ては2030年代半ば以降に集まるが、幅は大きく、確かなことは誰にも言えない。一方で、対策として量子コンピュータでも破れないとされる新方式の暗号が標準として確定しつつあり、量子暗号と呼ばれている。2026年6月、米国政府は量子暗号の導入期限を従来の想定から4〜5年前倒しした。連邦政府機関は2030年末までに移行を終えなければならず、政府と取引する企業にも同じ要求が及ぶ。

この記事では、量子暗号という言葉が実際には何を指しているのか、量子暗号技術の種類や各国の動向に関して解説する。



暗号の種類と量子コンピュータによる影響

量子コンピュータですべての暗号が破られるというわけではない。現代の暗号は大きく2種類ある。


ひとつは公開鍵暗号である。RSAや楕円曲線暗号（ECC）と呼ばれるもので、身近な例で言えば、ウェブサイトの鍵マーク（HTTPS）、電子署名、VPNの認証がこれにあたる。仕組みは「誰でも閉められるが、鍵を持つ人しか開けられない南京錠」に近い。相手に南京錠だけを公開で配っておけば、誰でも箱を閉じられるが、開けられるのは自分だけ、という構造である。この南京錠の強度は、「巨大な数の素因数分解は現実的な時間では解けない」という数学的な前提に支えられている。しかし、1994年、数学者ピーター・ショアが、十分な性能の量子コンピュータならこの計算を高速に解けることを証明した。公開鍵暗号は、原理的に破綻することが30年以上前から分かっているのである。


もうひとつは共通鍵暗号。AES(Advanced Encryption Standard)などがこれにあたり、実際のデータ本体を暗号化する。同じ鍵で閉めて開ける、普通の鍵と同じ仕組みだ。こちらへの量子コンピュータの影響ははるかに小さく、鍵の長さを倍にすれば実用上は対処できる（AES-128をAES-256にする、といった話である）。


用途

量子コンピュータの影響

対処

公開鍵暗号（RSA、ECC）

鍵の交換、電子署名、証明書

原理的に破綻する

アルゴリズムの入れ替えが必須

共通鍵暗号（AES）

データ本体の暗号化

強度が半減する程度

鍵の長さを倍にすれば足りる


量子コンピュータが実用化されていなくとも手遅れになる理由

冒頭のHarvest Now, Decrypt Laterを、金庫にたとえてみると、攻撃者は開けられない金庫を丸ごと盗み出して倉庫に積んでおく。何年後であれ、開け方を手に入れた時点で中身を読む。金庫が今日破られなかったことは、中身が守られたことを意味しないのである。したがって、いつ対策すべきかの判断は「量子コンピュータがいつできるか」だけでは決まらない。専門家の間では、次の簡単な式が使われている。

X（そのデータを秘匿し続けたい年数）＋ Y（自社が移行を終えるのにかかる年数）＞ Z（量子コンピュータが実用化するまでの年数）

（暗号研究者ミケーレ・モスカが提唱した考え方で、業界では「モスカの定理」と呼ばれる）


たとえば30年間秘匿すべき情報を扱っており（X=30）、企業の暗号移行に7年かかるとする（Y=7）。量子コンピュータの登場を、15年後と見積もっても（Z=15）、37 > 15 となる。この場合、今この瞬間に送受信しているデータのうち、すでに守れていないものが存在することになる。


米国における量子暗号の導入期限と日本企業への影響

米国では、NIST(米国国立標準技術研究所)が2024年に耐量子計算機暗号(PQC) を正式標準化。また、国家安全保障局が政府内重要システムについて2030年12月31日までにPQCへの完全移行を義務化した。米国政府自身の移行費用は、連邦システムだけで約71億ドルと試算されている。これに追従する形で、IBM・Google・AWS・Cisco等の大手が自社製品(クラウド、暗号鍵管理、ネットワーク機器)にPQCを標準として組み込み始めている。このように米国では政府主導でPQCを標準化して導入期限を定めている。


一方で、日本政府はPQC移行について米国のような期限を設定していない。暗号技術の評価は、デジタル庁・総務省・経済産業省が共同で運営するCRYPTREC（暗号技術検討会）が担っている。CRYPTRECは2025年4月に「暗号技術ガイドライン（耐量子計算機暗号）2024年度版」を公開し、2026年3月には電子政府向けの暗号リストを更新した。2026年度にはPQCに関するガイドラインの本格的な策定が予定され、専門のタスクフォース設置も議論されている。方向性は明確だが、「いつまでに」は示されていない段階である。


ではなぜ日本企業にとっても他人事でないのか。理由は2つある。第一に、米国政府と直接・間接に取引する企業は、調達要件を通じて米国の期限に従うことになる。第二に、日本政府が期限を出していないことは、日本企業のデータが守られていることを意味していない。実際、国内でも動きは始まっている。CRYPTRECの委託調査（2026年1月、日立製作所）はPQC移行を「暗号アルゴリズムの置換にとどまらないシステム全体の取り組み」と位置づけており、大和証券グループのように自社で実証を進めて結果を公表する企業も出てきている。


量子暗号と呼ばれる2つの技術

「量子暗号」という言葉は、目的も仕組みもまったく違うの技術の総称として使われている。


PQC（耐量子計算機暗号）

QKD（量子鍵配送）

何をするか

量子コンピュータでも解けない数学に基づく新しい暗号

物理法則を使って、2地点間で鍵を安全に配る

量子技術か

いいえ

はい

実体

ソフトウェア

専用装置＋光ファイバ／衛星

導入方法

既存システムの更新

物理的な回線の敷設または重畳

距離の制約

なし

あり（100〜300km程度）

PQCは、量子技術ではない。コンピュータ上で動く、通常のソフトウェアである。量子力学は一切使っていない。ただ「量子コンピュータの攻撃に耐える」という性質を持つだけである。一方でQKDは、正真正銘の量子技術である。光子（光の粒）を1個ずつ飛ばす精密な光学装置と、専用の光ファイバーが必要である。それぞれの違いに関して以下にて説明する。


PQCとは

PQCの考え方は、量子アルゴリズムが効かない別の数学問題を土台にした暗号を作り、量子コンピュータの登場で解読されるリスクが高いRSAやECCと差し替えるということである。米国立標準技術研究所（NIST）は8年がかりの公開選考を経て、2024年8月13日に3つの標準を確定させている。

  • FIPS 203（ML-KEM）——鍵の交換用。実務上の主力

  • FIPS 204（ML-DSA）——電子署名用。実務上の主力

  • FIPS 205（SLH-DSA）——電子署名用。より保守的な設計の予備

これらは米国標準だが、事実上の世界標準として機能している。日本のCRYPTRECを含め、各国のガイドラインもこれを基準に組み立てられている。署名用に4つ目の標準FIPS 206が策定中で、2026年末から2027年初の最終化見込みだが、これは特殊用途向けである。


ただし、PQCが絶対破られないというわけではない。NISTの選考過程で、有力候補だったRainbowとSIKEという暗号方式が実際に破られている。いずれも研究者が有望と評価して最終段階近くまで残っていたが、量子コンピュータではなく普通のコンピュータによって、選考の途中で解読された。これが意味するのは、PQCの安全性も「今のところ誰も解き方を知らない」という前提に立っているということだ。NISTもこれを認識しており、2025年3月*主力のML-KEMとは異なる数学に基づくHQCという方式を、追加で標準化対象に選んだ。理由は明快で、主力方式が将来破られた場合の保険である。


QKDとは

PQCが量子コンピュータで解読が困難な暗号そのものを作るのに対して、QKDは量子力学の原理を利用して、送信者と受信者が「絶対に盗聴されない暗号鍵」を共有する技術である。光子1個に情報を乗せて送ると、量子力学の性質が2つ働く。ひとつは、未知の量子状態は完全にコピーできないこと。もうひとつは、測定すると状態が変わってしまうこと。つまり盗聴者は、通信を複製して後でゆっくり解析することができない。そして盗み見ようとすれば、必ず痕跡が残る。送受信者は異常があれば「盗聴されたかもしれない」と判断してその鍵を捨てることができる。「開封すると必ず破れる封筒」を想像すると近い。中身を見られたかどうかが、受け取った時点で分かる。相手の計算能力に一切の仮定を置かないため、どんなに強力なコンピュータが将来現れても、過去に配った鍵は安全である。


ただし、QKDには構造的な限界もある。第一に、QKDは「相手が誰か」を確認できない。QKDが保証するのは「鍵が盗み見られていないこと」だけであり、回線の向こうにいるのが本物の取引先かどうかは分からない。なりすまし（中間者攻撃）を防ぐには、別途、事前に共有した鍵か、公開鍵暗(PQC)による認証が必要になる。したがって、QKDは単独では使えない。必ず古典的な暗号と組み合わせることになる。「QKDがあればPQCは不要」というわけではない。


第二に、距離の壁がある。QKDに必要な光ファイバーは光を減衰させるため、実用的な到達距離は100〜300km程度にとどまる。それより長い距離を結ぶには「中継ノード」を置くことになるが、中継地点では鍵がいったん通常の形に戻される。つまりその中継局を物理的に信頼しなければならない。QKDの最大の弱点であり、業界では「trusted node問題」と呼ばれる。（この問題を原理的に解決する技術が「量子中継器」で、鍵を戻さずに距離を延ばせる。）


第三に、専用のハードウェアと光ファイバーが必要で、コストが高い。ソフトウェア更新では導入できず、基本的に1対1の通信にしか使えない。不特定多数と通信するインターネット的な用途には向かない。


各国におけるPQCとQKDの導入動向

こうした特性を反映して、各国の政府機関の判断は分かれている。

QKDに否定的な立場——米国NSA、英国NCSC、フランスANSSIなど。専用インフラが要る、認証を結局は古典暗号に頼る、規模を拡大できない、といった理由で国家安全保障システムにはPQCを推奨しQKDは推奨しない。

PQCとQKDを併用する立場——中国、EU、日本、韓国など。PQCの数学的前提が将来破られる可能性を消せない以上、最重要の回線には物理層の追加防御を重ねるべきだ、という考え方である。


この対立は、技術評価の差であると同時に、産業政策の差でもある。先述した通り、PQCの標準は米国立標準技術研究所（NIST）、米国の機関が握っている。米国以外の国にとって、PQC一本化は「米国が定めた数学的前提に自国の安全保障を委ねる」ことを意味する。QKD路線を維持する国が一定数存在する理由の相当部分は、技術的な自律性の確保にあるともいえる。次回の記事では、各国における導入動向をより深掘りしていく。


出典

標準化・政策（一次情報）

米国大統領令14412／14413（2026年6月22日）

日本国内

技術動向

最新記事

2345
bottom of page