ロータスチームわたしたちが使っているインターネット閲覧に使っているブラウザには、クレジットカード番号やパスワードなどの重要な情報を暗号化するために「公開鍵暗号」が組み込まれている。公開鍵暗号は現実的な時間内で解くことが誰にも不可能という前提があって、ネット上の情報のやり取りが安全に行われている。その公開鍵暗号として「RSA暗号」や「楕円曲線暗号」という方式が長く使われてきた。これらの暗号方式は今までのコンピュータでは解読困難とされてきたが、性能の高い量子ゲートマシンと呼ばれるタイプの量子コンピュータ(以下、量子コンピュータ)が存在すると、従来のコンピュータに比べて短い時間で解読する方法があることが知られている。そのような量子コンピュータが実現すると、ネット上の安全な通信が保証されなくなってしまう。Technology)は、現在の公開鍵暗号を量子コンピュータでも解読できない新しい公開鍵暗号に置き換えるため、2016年から標準化を見据えたコンペティションを開始し、PQCの公募を行った。その結果、世界中から82件の応募があり、2017年末にそのうち69件の提案方式が今後の議論の対象となることが発表された。(以下NICT)の各チーム・組織の提案も含まれている。今回はその中でNICTの話を聞いた。NICTは総務省管轄の国立研究開発法人であり、PQCの最新動向調査などを実施している。盛合志帆氏)にLOTUSの特長や開発の経緯、今後の展開などをうかがった。LOTUSの特長を教えてください。フォン氏フォン氏:大きな特長は「耐量子性」と「汎用性」です。「耐量子性」は量子コンピュータでも解読が困難なこと。量子コンピュータが普及した後も情報の安全性が守られます。「汎用性」は、他の暗号方式と組み合わせやすく、ブラウザやデータベースなど、多くの通信・交通・産業システムに組み込みが可能なことになります。数値でわかりやすくたとえていただければありがたいです。盛合氏:米NISTの求めるレベルは、最低128ビットをクリアし、最高256ビットのセキュリティレベルです。256ビットのセキュリティレベルとは「2の256乗通りの数字」を全部調べるという定義です。ケタが大きすぎて実感のない数字です。256ビットはトップシークレット情報に使用するレベルとなっています。何百億通りの組み合わせを調べて、その中から正解を1つだけ抜き出すというイメージですか?盛合氏:そんなレベルではありません。いいますと、観測可能な宇宙に存在する原子の数が10の80乗といわれています。2の256乗はだいたいそれに近いので、ひとつひとつ探しても探しきれない。その中から鍵(正解)をひとつだけ選ぶのは困難ですよね。われわれの提案方式では、128ビットはもちろん、192ビット、256ビットというセキュリティレベルもサポートしています。パラメーターの変更で全部対応できます。青野氏:「格子暗号」とは耐量子計算機暗号の方式として有力なものです。専門的にいうと『格子問題を解く計算の困難性を暗号の安全性の根拠とする暗号』のことです。その格子問題にもいろいろあって、その中で「CVP(与えられた点に一番近い格子点を探す)」という方式に着目しました。LOTUSでは800次元という空間を想定しているんです。Conferenceがあり、そこで各チームの暗号方式がお披露目されます。そこから16ヶ月ぐらいかけて評価され、69件の中から次に進む方式が絞られるのだと思います。来年の夏ぐらいにセカンドカンファレンスがあって、今から3年から5年かけて複数の方式が選ばれるのではないでしょうか。その複数の方式が米国政府準拠となるのでしょう。2021年から2023年頃には米NISTが新しい公開鍵暗号を選ぶわけですね。林氏:いい意味で変化はおこらないと思います。そもそも今の公開鍵暗号の置き換えですから。今も一般のエンドユーザーは、RSAだの楕円方式だの意識しないでネットで買い物しているでしょう。一般の人は何も知らなくてよく、いつの間にか変わっているわけです。盛合氏:米NISTは量子コンピュータで今使われている公開鍵暗号が2030年ぐらいに「解読できるかもしれない」レベルと考えているようです。そこから、何年後に標準化を終らせ、各企業に置き換えを呼びかけなくてはいけないかを逆算しているのです。企業が新しい公開鍵暗号を使う頃には、社会で移行を受け入れる準備が整っている状態のはずです。PQC標準化の候補暗号が発表されたとたん、メーリングリスト上で候補暗号のアタック(安全性評価)の議論が始まりました。年末年始も落ち着かなくて......。12月30日に「LOTUS」に関するタイトルのメールが来てドキッとしました。アタックと言っても、暗号方式のアルゴリズムは公開するもので、それを世界中から叩いてもらって、議論を進めていきます。アタックしてくださいという感じですね。すると「よし解いてやる」といろんな人が腕試しに来て、激しいバトルが繰り広げられるのです。*今回、NICTが米NISTの公募に応じたのは、研究室長の盛合氏が、これまでNICTで取り組んできた格子暗号に関する研究成果を生かせないか、こういった取り組みに参加することで研究者としても成長でき、NICTのプレゼンスも高まる、と考え、メンバーに声をかけてスタートしたという。フォン氏の理論をベースとして、安全性評価に強い青野氏、実装に強い林氏がチームを組んで、ここまでたどりついたということだ。これまでの公開鍵暗号を解読するタイプの量子コンピュータの性能が上がり、現在の鍵のビット数の公開鍵暗号を本当に解読できるようになるまでには、まだかなり年数があると言われている。安全性評価の方法も完全には確立されておらず、このようなコンペティションを通じて、新しい暗号に関する知見が蓄えられていくことが期待されている。実際、69の候補のうち、数多くの暗号にはすでに脆弱性が報告されている。LOTUSが基礎とする格子暗号も、その長い歴史の中では、これまで何度となく脆弱性が見つかっては、その脆弱性に対応した新しい技術が提案されている。その進化がある程度進んだ後、われわれが知らないうちにある日公開鍵暗号が変わっている。日常のネット利用に当たり前に使われるようになり、誰にも気づかれない可能性も高い。それはLOTUSかもしれないし、他の暗号方式かもしれない。それはアタッカーとのバトルを乗り越えた、開発者たちのたゆまぬ研究のたまものであることを認識しておきたい。ガーデンシティ・プランニング代表取締役。テーマに執筆活動を展開。(インプレス)」など。アカウントに接続できません。設定ページに移動してください。reserved.当社のウェブサイトは、サイトの利便性向上を目的にCookieを使用します。Cookieの提供を望まない場合はウェブサイトの閲覧をお控えください。