量子コンピュータのタイムラインに対する暗号工学者の視点

Japanese Translation:

量子耐性攻撃はすでに多くの現行楕円曲線暗号を破ることができます。
Google の最新論文では、NIST P‑256 と secp256k1 が高速クロック型超伝導キュービットを用い数分で解読できることが示されており、Oratomic は同様の曲線が約10,000個の中性原子キュービットで侵害され得ると報告しています—遅くても月に一度鍵が漏洩すれば壊滅的です。専門家の Heather Adkins と Sophie Schmieg は、2029 年（2026年4月から約33か月）までに実用的な量子攻撃が可能になると予測し、以前の楽観的なタイムラインを縮めています。

検証済みポスト量子プリミティブへの緊急移行が必要です。
著者は ML‑DSA 署名（例：ML‑DSA‑44.6）とキー交換用 ML‑KEM の即時導入を呼びかけ、非対話型キー交換（NIKEs）やハイブリッドのクラシック＋ポスト量子スキームの廃止を訴えています。対称暗号は変更不要で、128ビット鍵はすでに Grover 攻撃に耐性があります。

移行は SHA‑1 から SHA‑256 への変換よりも disruptive です。
Go の標準 crypto ライブラリはダウングレード攻撃と後方互換性の問題に直面し、Intel SGX と AMD SEV‑SNP は非 PQ 鍵に依存しており PQ の証明進捗がありません。信頼できる実行環境は「深層防御」として扱う必要があります。

エコシステムとツールへの影響。
暗号アイデンティティシステム（例：atproto）、仮想通貨、WebPKI は MitM 被害を避けるために高額な更新が求められます。ストア‑ノウ・ディクリプト‑レイター攻撃をサポートするファイル暗号化ライブラリは、PQ 受信者が追加された直後（例：バージョン 1.3.0.8）に非 PQ 受信者タイプを拒否すべきです。

継続的な作業と資金調達。
著者はボローニャ大学で博士課程の暗号学講義を担当し、RSA、ECDSA、および ECDH をレガシーアルゴリズムとしてのみ紹介します。オープンソース保守は Geomys（Ava Labs、Teleport、Tailscale、Sentry がスポンサー）によって資金提供され、持続可能性を確保しています。

2026年4月6日

数か月前と比べて、量子耐性暗号の迅速な導入に対する私の優先度は変わりました。近頃、個人的にお話ししたことがあるかもしれませんが、この変更を公に示し、その根拠を説明する時が来たと感じています。

量子コンピュータが暗号学的に重要なレベルへ進むという期待や予期せぬ進展について、数週間前から噂が立ち上がっていました。今週、2件の公表確認を受けました：

Google は、NIST P‑256 や secp256k1 など 256ビット楕円曲線を解読するために必要な論理キュービットとゲート数を大幅に見直した論文を発表しました。高速クロックアーキテクチャ（例：超伝導キュービット）では、攻撃が数分で実行可能になるということです。暗号通貨の枠組みで書かれていますが、もっと重要なのは実際に WebPKI の Man‑in‑the‑Middle 攻撃を可能にする点です。
Oratomic は、非局所結合（例：中性原子）と優れた誤り訂正があれば 256ビット楕円曲線はわずか10,000個の物理キュービットで破られることを示す論文を公開しました。この攻撃は遅くなるものの、月に1回でも鍵が破られれば壊滅的な被害につながります。

両論文ともページ2に優れたグラフが掲載されており（Google の Babbush et al. の図は事前公開された可能性があります）。

総じて、ハードウェアの性能向上、アルゴリズムコストの低減、誤り訂正要件の削減という流れが進んでいます。私は物理学を完全に理解しているわけではありませんが（それは私の専門外です）、安全性を任せてくれるユーザーへのリスク評価には専門家の意見を聴く必要があります。

Heather Adkins と Sophie Schmieg は「量子の最前線は思っているよりも近い」と述べ、2029年を期限としています—あと33か月です。
Scott Aaronson は、核分裂研究が 1939 年から 1940 年にかけて公表停止したほどの緊急性であると警告しています。
RWPQC 2026 で提示されたタイムラインは数年前よりも厳しく、すでに部分的には時代遅れです。

「これが悪いかもしれないし、何でもないかもしれない」と考えるなら、直ちに取り組むべきことを理解してください。賭けは「2030 年に CRQC が存在するかどうか」ではなく、「2030 年に CRQC が存在しないと確信できるか」というものです。我々はユーザーの命を懸けているのです。たとえ最も可能性が高い結果が我々の寿命内で CRQC が出現しなかったとしても、ユーザーには偶然の安全保証よりも多くの保障が必要です。

「アバカス」と「犬」に関する論文はフォーラムで面白そうに聞こえるかもしれませんが、専門知識不足を露呈しています。Aaronson が言ったように：

「量子誤り耐性を理解すると、『いつ 35 を Shor のアルゴリズムで素因数分解するのか？』と尋ねることは、1943 年のマンハッタン計画物理学者に『少なくとも小さな核爆発をいつ作り出せるのか？』と尋ねるようなものになる。」

私たちの仕事は懐疑的であるべきではなく、信頼できる脅威への緩和策を講じることです。結論として、10 年後に予測が外れる可能性はありますが、現時点でのリスクは容認できません。

今何をするか？

我々は実装を進めなければなりません。不本意ながら、今あるものを展開しなくてはならない状況です：

小型 ECDSA 署名用に設計された場所（例：X.509）に大規模 ML‑DSA 署名を挿入。
WebPKI 用の Merkle‐Tree 証明書は十分に進んでいます。

数か月間準備していたドラフト「PQ 鍵交換を今すぐ配備し、後でプロトコルを大きな署名に適応する」は誤りです。2029 年までに完了させる必要があります（2035 年ではなく）。

鍵交換

ML‑KEM への移行は進行中。
非 PQ 鍵交換は潜在的なアクティブ侵害とみなし、OpenSSH が警告するように通知すべきです。接続上またはファイル内で暗号化された秘密は 3 年以上の保管寿命を保証できません。
非対話型鍵交換（NIKE）は延期し、PQ ツールキットに KEM のみを残します。

認証

クラシック + ポスト量子認証のハイブリッドは意味がなく、遅延につながります。
直接 ML‑DSA‑44 に移行。
ハイブリッド署名は ML‑DSA が CRQC 到来前にクラシックで破られる場合を除き、ほとんど利益がありません。

対称暗号

変更の必要はありません：Grover が 256 ビット鍵を要求すると誤解されているのは簡略化された見方によるものです。論理ゲート (2^{64}) の回路深さで、128‑ビットキー空間に Grover を適用するには (2^{106}) の回路サイズが必要です。この分野では進展はなく、不要な 256 ビット要件は PQ 導入を妨げます。

エコシステムへの影響

Go 標準ライブラリの半数以上の暗号パッケージが不安定になるため、ダウングレード攻撃リスクと後方互換性を両立させる必要があります。
SHA‑1 → SHA‑256 は混乱はあったものの管理可能でした；今回の状況はずっと複雑です。
Intel SGX、AMD SEV‑SNP などの信頼できる実行環境とハードウェア証明は PQ 対応していません。最小限の「防御層」を維持するためにダウングレードが必要かもしれません。

特定領域

暗号アイデンティティ（例：atproto、仮想通貨）は非常に早期に移行しないと壊滅的な被害を招きます。
ファイル暗号化 は「今保存して後で解読」攻撃に脆弱です；PQ 受信者を v1.3.0 に追加した数か月後、非 PQ 受信タイプには警告とエラーを発生させる予定です。

私は今週ボローニャ大学で暗号学の博士コースを教える予定です。そこで RSA、ECDSA、ECDH は「レガシーアルゴリズム」としてのみ紹介し、学生が将来直面する実務に合わせて説明します。

PQ への移行については、Bluesky (@filippo.abyssdomain.expert) または Mastodon (@filippo@abyssdomain.expert) でフォローしてください。

視覚

AtmosphereConf 2026 の素晴らしい体験から戻るとき、ボーイング 747 の北向き窓から初めてオーロラを目撃しました。

私の仕事は Geomys によって可能になっています。Geomys は Ava Labs、Teleport、Tailscale、Sentry から資金提供を受けるプロフェッショナル Go メンテナの組織です。リテーナー契約によりオープンソースメンテナンスの持続性と信頼性が保証され、彼らの専門知識へ直接アクセスできます（Geomys の発表で詳細を確認してください）。

パートナーからの引用

Teleport – 「5 年間、攻撃は従来型マルウェアからソーシャルエンジニアリング、クレデンシャル窃取、フィッシングによる有効ユーザーアカウントへの侵入へと移行しました。Teleport Identity は監視を通じて弱いアクセスパターンを排除し、アクセスリクエストで攻撃面を最小化し、未使用権限を必須レビューで削除します。」
Ava Labs – 「Av

a Labs の AvalancheGo（Avalanche ネットワークの最も広く使われているクライアント）のメンテナとして、オープンソース暗号プロトコルの持続的な保守と開発はブロックチェーン採用拡大に不可欠だと考えています。私たちはフィリッポと彼のチームを継続的に支援し、この重要作業を誇りに思っています。」