量子コンピュータが発達すれば、現在のインターネット暗号は破られてしまうのでしょうか。結論からいえば、量子暗号だけでインターネット全体を守ることは困難ですが、耐量子計算機暗号と組み合わせれば防御力を大きく高められます。本記事では、両者の違いと実用化の現状、日本を含む国際競争の行方を解説します。
量子コンピュータは現在の暗号を破るのか？
大規模な量子コンピュータが実現すれば、現在広く使われる一部の公開鍵暗号は安全性を失う可能性があります。
インターネット通販やネット銀行、行政サービスなどでは、通信相手の確認や暗号鍵の共有に公開鍵暗号が使われています。代表的なRSA暗号や楕円曲線暗号は、現在のコンピュータでは短時間に解くことが難しい数学問題を安全性の根拠としています。
ところが、十分な性能を持つ量子コンピュータで「ショアのアルゴリズム」を実行できれば、これらの数学問題を従来より効率よく解けると考えられています。そのため量子コンピュータは、単なる高速計算機ではなく、インターネットの信頼基盤を揺るがす存在として警戒されているのです。
影響を受ける可能性が高いのは、主に次のような技術です。
- Webサイトとの暗号通信で使われる鍵交換
- 電子署名や電子証明書による本人確認
- ソフトウェア更新が正規品であることの証明
- 金融、行政、防衛などの長期機密データ
ただし、現在の量子コンピュータが直ちに実用的な暗号を解読できるわけではありません。日本のCRYPTRECも、2024年9月末時点では、現実的な大きさの暗号パラメータが量子コンピュータによって解読されたとの報告は存在しないと整理しています。
重要なのは「今日破られるか」ではなく、暗号システムの更新に長い時間がかかる点です。量子コンピュータが完成してから対応を始めても、社会全体の移行が間に合わない可能性があります。
今盗み、将来解読する攻撃
すでに警戒されているのが、「今は読めない暗号通信を保存し、将来の量子コンピュータで解読する」という攻撃です。英語では「Harvest Now, Decrypt Later」と呼ばれます。
医療記録、外交文書、研究開発情報など、10年後や20年後にも価値を持つデータは、現在安全に送信できていても安心とは限りません。このため量子時代への対策は、未来の問題ではなく、すでに始まっている情報管理の問題なのです。
量子暗号とは何を量子化する技術なのか？
一般に量子暗号と呼ばれる技術の中心は、光子などの量子的性質を利用して暗号鍵を共有する「量子鍵配送」です。
量子鍵配送は、英語のQuantum Key Distributionを略してQKDと呼ばれます。送信する文章そのものを量子化するのではなく、暗号化と復号に使う秘密の鍵を、安全に生成・配送する技術です。
量子の状態は、観測すると変化する性質を持っています。そのため第三者が通信経路の途中で量子信号を測定すると、正規の利用者が異常を検知できるという考え方が、QKDの安全性の基礎になっています。
ITUはQKDについて、離れた二者が、潜在的な盗聴者には知られていない共通のランダムな鍵を共有する技術と定義しています。
量子鍵配送は暗号そのものではない
QKDだけで文章や映像が暗号化されるわけではありません。QKDで共有した鍵を、共通鍵暗号やワンタイムパッドなどの暗号方式に渡し、通常の通信回線を流れるデータを保護します。
量子暗号通信は、大きく分けて次の工程で成り立ちます。
- 量子信号を使って暗号鍵を共有する
- 盗聴や異常がないかを確認する
- 安全と判断された鍵でデータを暗号化する
- 暗号化したデータを通常の通信網で送る
理論上、十分な条件を満たしたQKDとワンタイムパッドを組み合わせれば、計算能力の進歩に依存しない「情報理論的安全性」を持つ通信が可能になります。NICTも、将来どれほど計算機が発達しても解読できない通信を目指し、量子暗号ネットワークの研究を進めています。
量子暗号だけではインターネット全体を守れない理由
QKDは強力な技術ですが、専用装置や通信経路を必要とするため、現在のインターネット全体をそのまま置き換えることは困難です。
現在のインターネットは、世界中の無数の端末、通信事業者、データセンター、海底ケーブル、無線通信によって構成されています。これらすべてに量子信号を送受信する装置を導入するには、莫大な費用と長い時間が必要です。
また、光ファイバー内を進む量子信号は、距離が延びるほど損失が増えます。通常の光通信のように信号を単純に増幅すると量子状態が壊れるため、長距離化には信頼できる中継拠点や将来の量子中継技術が必要になります。
現時点の主な制約は次の通りです。
- 送受信地点に専用のQKD装置が必要になる
- 通信距離や鍵生成速度に制約がある
- 中継拠点を物理的に保護しなければならない
- 装置の故障や実装上の欠陥は別途対策が必要になる
- スマートフォンなど多数の端末へ直接導入しにくい
東京QKDネットワークでも、長距離化のために安全に管理された局舎を介して暗号鍵を受け渡す「鍵リレー」が用いられています。つまり、QKDの理論が安全でも、中継施設や鍵管理装置まで無条件に安全になるわけではありません。
ETSIも、量子暗号の実装では装置や部品、運用を含めた安全性の検証が必要だと指摘しています。量子力学に基づく理論的安全性と、現実の製品やネットワーク全体の安全性は区別しなければなりません。
量子暗号が適する通信
こうした特徴から、QKDは不特定多数が使う一般のWeb閲覧よりも、限られた拠点を結ぶ重要通信に向いています。金融機関のデータセンター間通信、政府機関、防衛、電力網、医療データ、研究施設などが代表例です。
保護する情報の価値が高く、通信地点が固定され、設備投資を正当化できる分野では、QKDの強みを生かせます。一方、家庭のパソコンや世界中のスマートフォンを結ぶ用途では、別の技術が中心になります。
インターネット防衛の本命は耐量子計算機暗号である
一般のインターネットを量子攻撃から守る中心技術は、既存のコンピュータ上で利用できる耐量子計算機暗号です。
耐量子計算機暗号は、Post-Quantum Cryptographyを略してPQCとも呼ばれます。「量子」という名前が付いていますが、量子通信装置を使う技術ではありません。
量子コンピュータでも効率よく解く方法が知られていない数学問題を利用し、暗号鍵の共有や電子署名を行います。通常のサーバー、パソコン、スマートフォンにソフトウェアとして組み込みやすいことが、QKDとの大きな違いです。
両者の役割は、次のように整理できます。
- QKDは、量子の物理法則によって暗号鍵を安全に配送する
- PQCは、量子攻撃に強い数学問題を使って通信や署名を守る
- QKDには専用の通信装置や回線が必要になる
- PQCは既存のインターネットへ比較的導入しやすい
- 重要拠点ではQKDとPQCを併用する選択肢もある
米国国立標準技術研究所、NISTは2024年8月、最初の三つのPQC標準を正式に公開しました。鍵共有に使うML-KEMと、電子署名に使うML-DSA、SLH-DSAであり、NISTは組織に対して移行を直ちに始めるよう促しています。
これは量子コンピュータによる解読が目前に迫ったという宣言ではありません。世界中の機器、ソフトウェア、証明書、業務システムを更新するには年月が必要なため、先回りして標準化と移行を進めているのです。
電子署名も移行しなければならない
量子対策というと通信内容の暗号化に注目しがちですが、電子署名も重要です。電子署名が破られれば、偽のソフトウェア更新、偽造された電子文書、なりすましサイトを正規のものに見せかけられる恐れがあります。
したがって、量子時代のセキュリティ対策では、通信の秘密だけでなく、相手が本物であることやデータが改ざんされていないことも守る必要があります。PQCへの移行は、インターネット上の信頼関係を作り直す作業でもあるのです。
日本は量子セキュリティ競争でどこにいるのか？
日本はQKDの研究とネットワーク実証で長い経験を持つ一方、社会全体ではPQCへの移行準備を急ぐ必要があります。
NICTは2010年から、東京100キロメートル圏でTokyo QKD Networkを運用しています。異なる企業の装置を接続する実験や、量子暗号と秘密分散を組み合わせたデータ保管、企業間ネットワークの運用試験などが続けられてきました。
QKDネットワークに関するITUの国際標準化でも、日本の研究成果は一定の役割を果たしています。ITUはQKDネットワークの構造、セキュリティ、相互接続、運用などに関する標準化を進めており、ETSIも異なる装置やネットワーク間の相互運用を重要課題としています。
しかし、研究ネットワークを構築することと、社会全体のシステムを更新することは別の課題です。企業や行政機関は、自分たちのシステムのどこで古い公開鍵暗号が使われているのかを把握しなければなりません。
CRYPTRECが2026年1月に公表した調査では、PQCへの移行は暗号アルゴリズムの単純な置き換えではなく、暗号方式の棚卸し、影響評価、優先順位付け、計画策定、段階的な導入を含むシステム全体の取り組みだと整理されています。
見えない暗号を見つける作業
企業内では、Webサーバーだけでなく、VPN、社内認証、複合機、監視カメラ、工場設備、クラウド接続、ソフトウェア更新などにも暗号技術が使われています。担当者が存在を把握していない古い機器が、移行の障害になる可能性もあります。
このため最初に必要なのは、高価な量子装置を購入することではありません。どの情報を何年間守る必要があり、どの機器がどの暗号を使っているかを調べる「暗号資産の棚卸し」です。
次世代セキュリティは複数技術の組み合わせになる
将来のインターネットは、一つの万能な量子暗号ではなく、PQC、QKD、既存暗号を適材適所で組み合わせて守られる可能性が高いでしょう。
一般のWebサービスやスマートフォン、クラウドでは、既存環境に導入しやすいPQCが中心になると考えられます。政府、防衛、金融、重要インフラなど、特に高い機密性と長期保護が必要な拠点間通信では、QKDを追加する構成が有力です。
移行期には、現在の暗号とPQCを同時に使う「ハイブリッド方式」も重要になります。一方の方式に未知の弱点が見つかっても、もう一方が安全であれば通信を守れるようにする考え方です。
日本のCRYPTRECも、移行期には既存暗号とPQCを併用するハイブリッド構成が中心的な選択肢になるとしています。
今後の防御は、次のような多層構造になると考えられます。
- 一般通信にはPQCを導入する
- 重要拠点間にはQKDを追加する
- 移行期は既存暗号とPQCを併用する
- 鍵管理、認証、端末、運用体制も同時に強化する
- 暗号方式を交換しやすいシステム設計に改める
最後の項目は「暗号アジリティ」と呼ばれます。将来、新しい暗号方式に弱点が発見されても、システム全体を作り直さず、速やかに別の方式へ切り替えられる能力です。
競争の本質は移行能力にある
量子セキュリティ競争は、最も高性能な量子装置を開発した国だけが勝つ競争ではありません。標準を作り、製品へ実装し、既存システムを安全に移行させ、運用できる人材を育てる総合力が問われます。
企業にとっても、量子コンピュータの完成時期を正確に予測することが最優先ではありません。守るべき情報を把握し、暗号を更新できる体制を今から整えておくことが、現実的な防御になります。
まとめ
量子暗号はインターネットを守る重要な技術ですが、それだけで世界中の通信を置き換えることはできません。
QKDは量子の物理法則を利用して暗号鍵を安全に共有できる一方、専用装置、距離、コスト、中継拠点などの制約があります。そのため、政府機関、金融、重要インフラなど、限られた高機密通信で強みを発揮します。
一般のインターネットを守る本命は、既存のコンピュータや通信網へ導入できるPQCです。今後はPQCを基盤とし、重要な通信にはQKDを重ね、移行期には従来暗号も併用する多層防御が現実的でしょう。
量子コンピュータがいつ既存暗号を破れるようになるかは確定していません。しかし、社会の暗号システムを更新するには長い時間が必要です。量子時代の安全を左右するのは未来の計算機性能だけではなく、現在から移行を始められるかどうかなのです。