ハクソク

世界を動かす技術を、日本語で。

量子コンピュータは128ビット対称鍵に対する脅威ではない

2026年4月21日原文(words.filippo.io)

概要

  • 量子コンピュータ による脅威は主に 公開鍵暗号 に影響
  • 対称鍵暗号 （AES, SHA-2, SHA-3）は 量子攻撃に強い
  • AES-128 や SHA-256 は 鍵長変更不要 との専門家合意
  • Groverアルゴリズム の誤解が 鍵長倍増論 を生む
  • NISTやBSI も AES-128の安全性 を公式に認めている

量子時代における対称鍵暗号の安全性

  • 量子コンピュータ の進展により、 RSAやECDSA、EdDSA などの 公開鍵暗号 は Shorアルゴリズム で容易に破られるリスク
  • AES、SHA-2、SHA-3 などの 対称鍵暗号 は 量子攻撃の影響が小さい
  • 「量子時代には 鍵長を倍にしなければならない」という通説は 誤解 であり、実際には AES-128やSHA-256のままで安全
  • 誤解の根拠は Groverアルゴリズム の適用範囲の誤認によるもの

Groverアルゴリズムの現実的な影響

  • Groverアルゴリズム は 探索空間N に対し、 √N回 の関数呼び出しで解を見つけられる
  • 例： AES-128 の鍵探索には 2^64回 の試行が必要となるが、これは 現実的な時間内で実行不可能
  • 攻撃を 並列化 しようとすると、 Groverの二乗的高速化 は大幅に減衰
    • 並列化による効率低下
    • 通常の総当たり攻撃 のような「恥ずかしいほど並列」にはならない
  • AES-128 のGrover攻撃には 724論理量子ビット × 140兆回路 × 10年稼働 が必要という非現実的な計算資源

Shorアルゴリズムとの比較

  • Shorアルゴリズム は 256ビット楕円曲線暗号 を 数分 で破るとされる
  • AES-128 をGroverで破るコストは Shorで256ビット楕円曲線を破るコストの4.3×10^23倍
  • 量子攻撃における 公開鍵暗号と対称鍵暗号の安全性格差 が明確

標準化機関の見解

  • NIST は AES-128 を ポスト量子暗号の安全基準 とし、 AES-128の安全性 を公式に認めている
    • MAXDEPTH （連続計算深さ）の概念でGrover攻撃の現実的困難さを説明
    • NIST IR 8547 ipdでも AES-128以上の鍵長は2035年以降も許可
    • 「AESの鍵長を倍にすべきか？」というFAQに対し、「 AES-128は今後も数十年安全」と明記
  • BSI （ドイツ連邦情報セキュリティ局）も AES-128/192/256 の利用を推奨し、 量子脆弱な公開鍵暗号 の早期移行を推奨

まとめと実務的指針

  • 対称鍵暗号の鍵長を倍にする必要はない
    • AES-128、SHA-256 は 量子コンピュータ時代も安全
  • ポスト量子暗号への移行 は 公開鍵暗号 が優先課題
  • AES-128未満の鍵長（112ビット未満）は非推奨
  • NISTやBSIのガイドライン に従い、 既存の対称鍵長で運用継続が推奨

参考文献・関連資料

  • NIST: ML-KEM/ML-DSA仕様書, NIST IR 8547 ipd, Post-Quantum Cryptography FAQs
  • BSI: TR-02102-1 Cryptographic Mechanisms: Recommendations and Key Lengths
  • Liao and Luo (2025), Grassl et al. (2015), Jaques et al. (2019), Babbush et al. (2026) などの量子回路最適化論文

Hackerたちの意見

これが本当なら、Wi-Fiアライアンスは生成する電子廃棄物についてたくさんの説明が必要だと思う。WPA3は対称AESからECDHに移行したけど、これは量子コンピュータに対して脆弱なんだよね。IOTインバータの廃棄物が大量に出そう。

└

WPA3はPBKDFからECDHに移行したよ。AES CCMPとGCMPはWPA3の基盤となるブロック暗号で、中国向けのいくつかの拡張もある。

└

WPA3は2018年に発表されたんだよね。次の10年間の暗号研究を予測できなかったからといって、彼らを責めるのは合理的じゃないと思う。…でも、仮に予測できていたとして、実際に何ができたんだろう？ML-KEMは2024年に標準化されたばかりだし。WPA3にECDHが追加されたのは、既存の非常に現実的な攻撃に対処するためだったんだ。> WPAとWPA2は前方秘匿性を提供しないから、一度悪意のある人が事前共有鍵を発見したら、そのPSKを使って将来や過去に送信された全てのパケットを復号できる可能性があるんだ。これらは攻撃者によって受動的に静かに収集されることもある。これにより、公共の場で無料で提供されるWPA保護されたアクセスポイントがあれば、攻撃者は他人のパケットを静かにキャプチャして復号することもできる。0: https://en.wikipedia.org/wiki/Wi-Fi_Protected_Access#WPA3 1: https://en.wikipedia.org/wiki/ML-KEM 2: https://en.wikipedia.org/wiki/Wi-Fi_Protected_Access#Lack_of...

└

参考までに言うと、暗号エンジニアたちはドラゴンフライPAKEにあまり満足していなかったし、PQCは2012年の時点でも正当な懸念だったよ。

└

昨日、WEPしかWiFiオプションがないIoTデバイスを使ったんだけど、言うまでもなく、有線接続を使ったよ。「IoT」の「s」はセキュアを意味するって言われてるけど、私の経験ではそれは本当だね。ほとんど何も捨てられないよ、だって安全じゃないから。

量子コンピュータの脅威は、場合によっては積極的な鍵のローテーションで実質的に軽減できると思う。今、銀行のベンダーと一緒にOAuthの機械間統合をプロトタイプしていて、ECDSAキーが5分ごとにローテーションされるようにしてるんだ。10分後にはキーは削除される予定。これを30秒や60秒に短縮できない理由はないと思う。相手先は頻繁に私たちのJWKSエンドポイントをスキャンしているから、実際には量子コンピュータを持つ攻撃者は、この特定のワイヤー契約を怖い方法で破るためには非常に速く動く必要がある。

└

あなたは明らかにこれらの鍵を証明書に使ってないね。証明書は毎回ルートCAや中間CAによって署名される必要があるから。

└

これは対称鍵暗号には役立たないよ、これが話題になってることだからね。君が回してる鍵は非対称鍵で、実際の暗号化のための対称鍵を交換するためだけに使われるんだ。良い設定では、対称鍵はセッションごとに変わるしね。もし攻撃者が対称暗号を合理的な時間内に破れたら、出力をキャッチして後で解読できちゃう。あと、鍵のローテーションはどうやってるの？ローテーションサービスと認証する方法が必要だし、その鍵を壊すことを防ぐためにはどうするの？自分で新しい証明書を取得するために、信頼されたルート権限を壊すこともできるよね？

└

鍵を1ヶ月で破るのから1秒で破るのに移行するのは、今の状況から1ヶ月で破れるようになる努力に比べると簡単に思える。量子の未来がどうなるかはわからないけど、もし量子が実現したら、君の計画にはあまり期待できないな。

└

やりすぎな気がする。量子は早すぎる心配だけど、そんなにパラノイアがあるなら、変なものを作るよりもML-KEMみたいなPQCを使った方がいいんじゃない？

└

非対称鍵にはあまり役に立たないだろうし、対称鍵には必要ないね。https://arxiv.org/abs/2603.28846によると、攻撃の実行時間は数分だって。今日からスケーラブルな量子誤り訂正までの間に、オーダー・オブ・マグニチュードのブレイクスルーがたくさんあるから、実現可能な攻撃のオーダーを正確に予測するのは無意味だよ。起こらないと思うなら、長期のECDSA鍵を使い続ければいいし、起こると思うなら、回転期間を超える可能性が高いよ。

└

不透明なトークンを使えば、そもそも問題を回避できたんじゃない？

Hacker Newsで議論の続きを見る