耐量子暗号への移行の優先
B 社は，患者の診療記録をインターネット経由で TLS を用いて医療機関と送受信しており，診療記録は 30 年以上秘匿する必要がある。暗号解読能力のある量子コンピュータの実現に備えて，現在の通信を傍受・保存しておき将来解読する攻撃への対策を優先して進めたい。最初に取り組む対策として，最も適切なものはどれか。
- アサーバ証明書の署名アルゴリズムを ECDSA から ML-DSA に移行し，TLS ハンドシェイクでのサーバの認証を耐量子化する。
- イ通信の暗号化に用いる共通鍵暗号を AES-128 から AES-256 に変更し，量子コンピュータによる鍵の探索に備える。
- ウ鍵交換に用いる ECDHE の楕円曲線を P-256 から P-521 に変更し，鍵長を大きくして安全性を高める。
- エTLS の鍵交換を，ML-KEM と従来の ECDHE を組み合わせたハイブリッド方式に移行する。
正解と解説を見る
正解 エ
この問題の基礎知識
- Harvest Now, Decrypt Later（HNDL）は，現在の暗号化通信を傍受・保存しておき，将来，量子コンピュータで解読する攻撃であり，長期間の秘匿が必要なデータほど影響が大きい。
- 量子コンピュータ上の Shor のアルゴリズムは素因数分解や離散対数問題を効率的に解くので，RSA や楕円曲線暗号は鍵長を大きくしても安全性を保てない。
- 共通鍵暗号に対する量子コンピュータの影響は探索の高速化にとどまり，十分な鍵長であれば安全性を保てると考えられている。
- NIST が標準化した耐量子暗号には，鍵カプセル化の ML-KEM（FIPS 203）と署名の ML-DSA（FIPS 204）がある。鍵確立は記録された通信の秘匿に，署名は認証する時点の安全性に関わる。
アサーバ証明書の署名アルゴリズムを ECDSA から ML-DSA に移行し，TLS ハンドシェイクでのサーバの認証を耐量子化する。
認証に用いる署名は，認証を行う時点で安全であれば足り，記録した通信を後から解読する攻撃の対象にはならない。署名の移行も必要だが，傍受・保存による将来の解読に直接備えるのは鍵確立の移行である。
イ通信の暗号化に用いる共通鍵暗号を AES-128 から AES-256 に変更し，量子コンピュータによる鍵の探索に備える。
NIST は，128 ビット以上の安全性をもつ承認済みの共通鍵暗号は，量子攻撃を考慮した安全性カテゴリ 1 以上の要件を満たすと考えられるとしている。鍵交換が破られればセッション鍵そのものが得られるので，AES の鍵長を延ばしても将来の解読は防げない。
ウ鍵交換に用いる ECDHE の楕円曲線を P-256 から P-521 に変更し，鍵長を大きくして安全性を高める。
楕円曲線上の離散対数問題は，量子コンピュータ上の Shor のアルゴリズムで効率的に解けるので，曲線を大きくしても将来の解読は防げない。NIST も，鍵の強度を問わず従来の公開鍵による鍵確立方式の使用を将来認めない方針としている。
エTLS の鍵交換を，ML-KEM と従来の ECDHE を組み合わせたハイブリッド方式に移行する。正解
傍受・保存による将来の解読では，記録した鍵交換を量子コンピュータで破ってセッション鍵を得ることが脅威となる。鍵確立を耐量子の ML-KEM を含む方式にすれば記録された通信も守れ，ECDHE と組み合わせれば一方が安全である限り安全性を保てる。
検証用の出典出典照合済み
NIST IR 8547 Transition to Post-Quantum Cryptography Standards ／ FIPS 203 Module-Lattice-Based Key-Encapsulation Mechanism Standard照合の根拠（8 件）
- 前提: 診療記録のように長期の秘匿が必要なデータでは，傍受・保存して将来解読する攻撃への対策を直ちに進める必要がある
This threat, often referred to as “harvest now, decrypt later” (HNDL), underscores the necessity of acting immediately, especially for data with long-term sensitivity, such as government secrets or medical records.
NIST IR 8547 · Section 3（新しいタブで開きます） - ア（誤り）: 署名は HNDL 攻撃の対象にならない（移行自体は必要）
While signatures are not vulnerable to HNDL attacks, transitioning to post-quantum signatures is also urgent
NIST IR 8547 · Section 3（新しいタブで開きます） - エ（正解）: 機密性を守る共通鍵は鍵確立で得られるので，HNDL への備えは鍵確立方式の移行で考える
As symmetric keys that are established through the key-establishment process are used to provide confidentiality, the “harvest now, decrypt later” threat needs to be considered when determining a migration timeline for the key-establishment scheme.
NIST IR 8547 · Section 3.1.3（新しいタブで開きます） - エ（正解）: ハイブリッド方式は構成要素の一方が安全であれば安全性を保つよう設計される
These hybrid solutions are typically designed to remain secure if at least one of the component algorithms is secure.
NIST IR 8547 · Section 3.2（新しいタブで開きます） - エ（正解）: ML-KEM は承認済みの耐量子鍵確立方式である
At this time, ML-KEM is the only approved post-quantum key-establishment scheme based on public-key cryptography.
NIST IR 8547 · Section 4.1.2（新しいタブで開きます） - ウ（誤り）: 量子に脆弱な方式は（表 4 のとおり古典的な強度 112 ビット以上のパラメタも含めて）2035 年以降認められなくなる
Similar to the transition for digital signature algorithms, NIST will deprecate all quantum-vulnerable cryptography after 2030 and disallow its use under NIST standards and guidelines after 2035.
NIST IR 8547 · Section 4.1.2（新しいタブで開きます） - ウ（誤り）: SP 800-56A の楕円曲線 DH を含む鍵確立方式は Shor のアルゴリズムに対して脆弱であり，曲線を大きくしても解決しない
The key-establishment algorithms in both of these Special Publications are vulnerable to Shor’s Algorithm on a cryptanalytically relevant quantum computer.
NIST IR 8547 · Section 2（新しいタブで開きます） - イ（誤り）: AES-128 も安全性カテゴリ 1 を満たすとされており，優先すべきは鍵確立の移行である
In particular, all NIST-approved symmetric primitives that provide at least 128 bits of classical security are believed to meet the requirements of at least Category 1 security within the system of five security strength categories for evaluating parameter sets in the NIST PQC standardization process (see Table 1).
NIST IR 8547 · Section 4.1.3（新しいタブで開きます）
NIST IR 8547 最終版（2026 年 10 月）で照合。Shor のアルゴリズムの記述は Section 2 の SP 800-56A/56B の説明にある。