PQC（耐量子暗号）への移行の期限としてよく引用されてきたのが、NISTの草案にあった「2030年に非推奨、2035年に禁止」という日付です。最終版でも日付は変わりませんが、非推奨になる範囲が広がりました。変わった点と、自社の計画で見直すことを書きます。
何が起きたか
米国立標準技術研究所（NIST）は10月27日、量子コンピュータに弱い公開鍵暗号から耐量子暗号（PQC）への移行方針をまとめた報告書「NIST IR 8547」の最終版を公表しました。RSA、楕円曲線暗号（ECDSA、EdDSA、ECDH）、有限体のDiffie-Hellmanは、鍵の強さにかかわらず2030年を過ぎると「非推奨」、2035年を過ぎるとNISTの標準と指針の下で「使用不可」となり、移行先には鍵の共有にML-KEM（FIPS 203）、署名にML-DSA（FIPS 204）やSLH-DSA（FIPS 205）などが挙げられています。米国の連邦政府では、6月の大統領令14412号と行政管理予算局（OMB）の覚書M-26-15により、高価値資産や影響度が「高」のシステムは鍵の共有を2030年末まで、署名を2031年末までにPQCへ移すことが求められています（NIST）。
なぜ自社に関係があるのか
- *草案から変わった点。**2024年11月の草案では、RSAや楕円曲線暗号のうち128ビット相当以上の強さを持つもの（3072ビットのRSA、P-256の楕円曲線暗号など）は、非推奨の段階を経ずに2035年まで使える扱いでした。最終版では強さに関係なく、2030年を過ぎると非推奨になります。非推奨は使用を禁じる意味ではなく、リスクを検討したうえで使い続けるかをデータの持ち主が判断する扱いです。それでも「鍵を長くしておけば2035年まで様子を見られる」という前提は、最終版では成り立ちません。
- *鍵の共有が先になる。**NISTは、暗号化された通信を今のうちに集めて将来解読する攻撃（HNDL）を、移行を急ぐ主な理由に挙げています。そのため鍵の共有の移行を優先し、とくにTLSを早い段階の対象としています。TLS 1.3では、ML-KEMと従来の方式を組み合わせたハイブリッドの鍵交換が使えます。
- *ハイブリッドは途中の手段。**最終版は、ハイブリッド方式を一方の方式に欠陥が見つかったときの備えとして認めつつ、実装が複雑になりコストとリスクが増えるため、多くはPQCだけの方式に移るまでの一時的な手段になるとしています。鍵の共有ではML-KEM-768を標準の設定として推奨しています。
- *日本企業への影響。**NISTの標準は、製品やクラウドサービスの暗号の実装と、暗号モジュールの認証（FIPS 140）の基準です。製品ベンダーの対応予定も、米国の連邦政府向けの期限に合わせて決まっていくと考えられます。
明日やること
- 台帳の判定をそろえる。暗号の台帳で、量子コンピュータに弱い方式を鍵の長さで分けて扱っているなら、どれも「2030年を過ぎると非推奨」に直す
- TLS 1.3への対応を確かめる。社外と通信するシステムのうち、TLS 1.2までしか使えないものを洗い出す（TLSとPKI）
- 長く秘密にするデータの経路を先にする。10年後も守る必要があるデータが通る経路から、移行の順番を決める
- ベンダーに予定を聞く。主要な製品とクラウドサービスについて、ML-KEMとML-DSAへの対応時期を文書で確かめる。NISTは、PQCに対応できないシステムを洗い出し、置き換えか廃止を優先して検討するよう求めています
もっと知るには
移行先の方式が選ばれた経緯はNISTのPQC標準化とは、移行をいつ始めるかの考え方は「今すぐ移行する必要はない。ただし今すぐ始める必要はある」で解説しています。次の方式に切り替えられる設計は暗号アジリティとはをご覧ください。
