量子コンピュータはなぜ暗号を脅かすのか まだ破られていないのに始まる「次の暗号」への移行
量子コンピュータは、まだRSA-2048を破っていない。
それでも、世界ではすでに「次の暗号」への移行が始まっている。
なぜ、まだ実現していない脅威に今から備える必要があるのだろうか。
この記事を読むのに、暗号理論や量子力学の専門知識は必要ない。
素数が「2、3、5、7、11……のように、1と自分自身でしか割り切れない数」であること。そして素因数分解が、たとえば 21 = 3 × 7 のように、ある整数を素数の掛け算に分解することであること。このくらいが分かれば十分だ。
では、少しだけ考えてみてほしい。
3233を素因数分解すると、いくつといくつになるだろうか。
答えは、
3233 = 53 × 61
である。
53 × 61を計算して3233を作るのは簡単だ。ところが、3233だけを見て53と61を探すのは少し面倒になる。
RSAという公開鍵暗号は、大ざっぱにいえば、この非対称性を利用している。
ただ、「因数分解が難しいから暗号になる」と言われても分かりにくい。
RSAが実現したいのは、誰でも鍵をかけられるが、開けられるのは本人だけという仕組みだ。
南京錠を想像すると分かりやすい。開いた南京錠を世界中に配っておけば、誰でもその南京錠で自分宛ての箱に鍵をかけられる。しかし、一度閉じた南京錠を開けるための鍵は自分だけが持っている。
RSAの公開鍵は、この「誰でも使える南京錠」に近い。
たとえば秘密の素数として53と61を選び、
53 × 61 = 3233
を計算する。3233は公開してしまって構わない。
53と61を知っている本人は、その情報を使って秘密鍵を作れる。一方、第三者が3233から同じ秘密にたどり着こうとすれば、元の53と61を見つけなければならない。
小さな3233なら可能だ。しかしRSA-2048では、扱う整数は最大617桁になる。
ここにRSAの強さがある。
では、量子コンピュータは617桁の数をものすごい速さで片っ端から割るのだろうか。
そうではない。
1994年にPeter Shorが発表したShorのアルゴリズムShorのアルゴリズムShor's Algorithm / Shor Algorithm大きな整数の素因数分解を、量子コンピュータで効率的に行うための量子アルゴリズム。公開鍵暗号の安全性との関係で広く知られる。QI補足素因数分解は古典コンピュータでは効率的な解法が知られておらず、本アルゴリズムは量子計算の優位性を示す代表例とされる。RSAなどへの影響は理論上重要だが、実用的な暗号鍵を解読するには大規模で高精度な量子計算が必要。は、因数分解を「周期を見つける問題」に変換する。量子コンピュータは総当たりを高速化するのではなく、その周期を効率よく取り出すために使われる。
重要なのは、古典コンピュータでは非常に難しい巨大整数の因数分解に対して、量子コンピュータでは効率的に解く方法がすでに知られているという点だ。
問題はRSAだけではない。
現在広く使われている楕円曲線暗号（ECC）は、RSAとは別の数学的な難しさを利用するが、こちらもShorのアルゴリズムの対象になる。
2026年9月、IonQはBitcoinなどで使われる256ビット楕円曲線「secp256k1」を、将来の耐故障型量子コンピュータで解く場合の資源見積もりを公表した。
試算では、物理量子ビット物理量子ビットPhysical Qubit量子プロセッサ上で実際に作られ、操作される個々の量子ビット。論理量子ビットを構成するためにも使われる。QI補足搭載数が多くても、そのまま実用計算能力を意味しない。誤り率や接続性、論理量子ビットに必要な個数も重要になる。19,397個、論理量子ビット論理量子ビットLogical Qubit複数の物理量子ビットと量子誤り訂正を使い、エラーから保護された1つの量子ビットとして扱う情報単位。QI補足「論理量子ビットを作った」だけでFTQCが完成したとは限らない。論理エラー率や演算性能、スケール可能性を確認したい。1,457個、3,900万回のToffoliゲートが必要で、計算時間は25.7日とされた。実際にBitcoinの暗号を破ったわけではなく、将来の量子コンピュータを仮定した見積もりである。 (quantumindex.jp)
それでも、「量子コンピュータなら暗号が破れる」という話が、必要な量子ビット量子ビットQuantum Bit / Qubit量子コンピュータで情報を表す基本単位。0と1のどちらかだけでなく、それらを重ね合わせた量子状態を取れる。QI補足量子ビット数が多いほど必ず高性能とは限らない。誤り率、接続性、コヒーレンス時間や論理量子ビット数も重要になる。数や演算回数を議論する段階まで来ていることは分かる。
量子コンピュータの応用には、まだ「本当に古典計算古典計算Classical Computing / Classical Computation0と1のビットを使って計算する、現在一般に使われているコンピューターによる計算方式。QI補足量子計算との比較対象として使われるが、CPU、GPU、スーパーコンピュータや専用アルゴリズムまで含み得るため比較条件に注意したい。より有利なのか」が見えていないものも多い。
暗号は少し事情が違う。
使い道を探しているのではない。壊れる対象が先に存在している。
では、その量子コンピュータがまだ存在しないなら、完成してから暗号を交換すればよいのではないか。
ここで問題になるのが、時間である。
暗号が破られる日は未来にある。しかし、その日に読まれるデータは今日盗まれているかもしれない。
暗号化された通信を今のうちに保存し、将来、十分に強力な量子コンピュータが登場してから中身を読む。
これは Harvest Now, Decrypt Later（HNDL） と呼ばれる。
外交・防衛情報、企業秘密、医療情報など、長期間価値を持つデータでは特に問題になる。
さらに、暗号方式の交換そのものにも時間がかかる。
暗号はWebブラウザやサーバーだけでなく、通信機器、OS、証明書、認証基盤、組み込み機器など、社会のさまざまな場所に組み込まれている。
NISTは、新しい暗号アルゴリズムが標準化されてから広く普及するまで、過去には10〜20年を要することがあるとしている。
そこで進められているのが、耐量子計算機暗号耐量子計算機暗号Post-Quantum Cryptography / PQC量子コンピューターによる攻撃でも解読されにくいよう設計された暗号技術。通常のコンピューター上で利用できる方式が中心。QI補足PQCは量子通信を使う技術ではなく、既存の通信・計算環境で導入できる暗号方式。ニュースでは、標準化済みか、実装や移行がどこまで進んでいるかを分けて見ることが重要。、PQC（Post-Quantum Cryptography）への移行である。
PQCは名前に「量子」と付くが、量子コンピュータを使う暗号ではない。量子コンピュータでも効率的に解く方法が知られていない数学問題を利用し、通常のコンピュータ上で動く。
NISTは2024年、ML-KEM、ML-DSA、SLH-DSAを最初のPQC標準として正式に公開した。
量子時代の対策には、量子状態量子状態Quantum State量子系がどのような状態にあるかを表すもので、測定したときに得られる結果の確率などを決める。QI補足量子状態は、量子ビットの「0か1か」という単純な値そのものではない。重ね合わせや混合状態などを含み、どのように準備・測定されたかも重要になる。を使って鍵を共有するQKDQKD量子鍵配送 / Quantum Key Distribution / QKD量子力学の性質を利用して、暗号通信に使う秘密鍵を離れた相手と安全に共有する技術。盗聴の試みを検知できる点が特徴。QI補足QKD自体がデータを暗号化するのではなく、暗号鍵を共有する仕組み。実用性を見る際は、通信距離や鍵生成速度、既存ネットワークとの接続方法にも注意が必要。という別の方法もある。2026年9月にはIonQとCongruity360が818万ドルの契約を結び、PQCとQKDを組み合わせた企業データ保護を進めると発表した。 (quantumindex.jp)
ここで重要なのは、量子コンピュータがすでに暗号を破ったから対策が始まったわけではないことだ。破れる可能性が数学的に分かっており、守るべきデータはすでに存在し、暗号基盤の交換には10年以上かかり得る。だからこそ、破られる前に暗号を替える必要がある。
NETWORK量子企業を取り巻く業界ネットワークを見る →
