米NIST、RSAや楕円曲線暗号を2035年以降は認めず 耐量子暗号への道筋を確定

RSAや楕円曲線の暗号は、いつまで使えるのでしょうか。米国立標準技術研究所（NIST）は2026年10月27日（米国時間）、その答えを文書で確定させました。2030年を過ぎたら非推奨、2035年を過ぎたらNISTの基準では使用を認めない、という日程です。

文書は「NIST IR 8547 Transition to Post-Quantum Cryptography Standards」。2024年8月に公開した耐量子暗号（PQC）の標準へ、どう移るかを示した中心の文書だと、NISTは説明しています。米国の政府機関向けの日程ですが、NISTは重要インフラの事業者やほかの組織にとっての設計図にもなるとしています。

2030年に非推奨、2035年に使用を認めない

対象は、量子コンピュータで破られうる公開鍵の暗号です。署名にも鍵の共有にも、同じ日程がかかります。

「非推奨」は、使ってもよいがリスクがあり、データの持ち主がそのリスクを見て使い続けるかを決める段階です。「使用を認めない」は、その目的では使えない段階を指します。すでに暗号化したデータの復号や、すでにある署名の検証にだけ使える「レガシー使用」という区分もあります。

これまでのNISTの計画では、112ビットの安全性の公開鍵の方式を2031年1月1日に使用を認めないとしていました。今回の文書は、それに代えて、量子コンピュータに弱い署名の方式はすべて2030年を過ぎたら非推奨、2035年を過ぎたら使用を認めない、と書いています。

AESなどの共通鍵の暗号とハッシュは、量子コンピュータの攻撃への弱さが小さく、移行の対象にする必要はないとしています。ただし、112ビットの安全性の共通鍵の方式は2030年に、SHA-1はFIPSの認証を受けた暗号モジュールでの使用が2030年を過ぎると、認められなくなります。

米国の政府の重要なシステムは、2030年と2031年

2030〜2035年の幅は、リスクの低いシステムや、古い仕組みを抱えるシステムのための猶予です。米国の政府の重要なシステムには、もっと早い期限があります。

根拠は、2026年6月の大統領令14412と、行政管理予算局（OMB）の覚書M-26-15です。価値の高い資産や影響の大きいシステムは、鍵の共有を2030年12月31日まで、署名を2031年12月31日までに耐量子暗号へ移すよう求められました。2030年の時点でも守るべきデータを扱うシステムも、同じ優先度です。政府機関はTLS 1.3にも、2030年1月2日までに対応しなければなりません。移行を2035年までに終える全体の目標は、変わっていません。

置き換え先と、ハイブリッドの扱い

鍵の共有の置き換え先は、ML-KEM（FIPS 203）です。NISTはML-KEM-768を既定に勧めています。ML-KEMの代わりの方式としてHQCも選ばれ、標準を作っているところです。署名は、ML-DSA（FIPS 204）とSLH-DSA（FIPS 205）に加え、ソフトウェアやファームウェアの署名に向くLMS・XMSS（SP 800-208）が並びます。FALCONをもとにした署名の標準も準備中です。

先に移したいのは、鍵の共有です。いま集めた暗号文を、量子コンピュータができてから解読する「harvest now, decrypt later」の攻撃に備えるためで、TLSやIPsecの鍵交換（IKE）が早い対象に挙がっています。TLS 1.3では、ML-KEMとこれまでの方式を組み合わせたハイブリッドの鍵交換が使えるとし、その指針は次のSP 800-52の改訂に入れるとしています。

署名は、この攻撃の対象にはなりません。ただ、関わる相手が多く、移行に時間がかかるため、やはり急ぐ必要があると書いています。人や機器の認証は、量子コンピュータが実際に現れるまではこれまでの方式でも安全で、現れたらすぐに切り替える必要がある、という整理です。

ハイブリッドの使い方について、NISTは、認められた方式と組み合わせるなら、FIPS 140の認証で受け入れるとしています。一方で、実装が複雑になりリスクや費用が増えるため、いずれ耐量子暗号だけに移るまでの一時的な手段だと位置づけています。

日本でも、CRYPTREC暗号リストに耐量子暗号の署名を加える改定の意見募集が、11月11日まで行われています（CRYPTREC暗号リストにPQCの署名を追加へ 意見募集は11月11日まで）。製品の側でも、Javaがハイブリッドの鍵交換を既定で有効にするなど、動きが出ています（Java 27が登場TLS 1.3の「耐量子」ハイブリッド鍵交換を既定で有効に）。

影響を受ける会社

• 影響する: 米国の政府機関に製品やサービスを納めている会社、FIPS 140の認証を前提にした製品を扱う会社です。NISTは、政府と取引する多くの組織にも影響が及ぶとしています。
• 影響する: 設計の情報や顧客の個人情報、契約など、何年も秘密にしておくデータを、ネットワーク越しにやり取りしたり、暗号化して保管したりしている会社です。今の通信が、あとで解読される対象になりえます。
• 影響する: VPN、TLSの証明書、社内の認証局、コード署名、HSM、スマートカードを使っている会社です。それぞれの製品が耐量子暗号に対応する時期に、移行の日程が左右されます。
• 今すぐ設定を変える必要はない: 日本の法令や、CRYPTREC暗号リストの扱いは、今回の文書では変わりません。

今年度のうちに確認すること

1. 社内でRSAや楕円曲線暗号を使っている場所を書き出します。サーバーの証明書、VPN装置、SSHの鍵、コード署名の証明書、S/MIME、社内の認証局、HSMやTPM、スマートカードが主な対象です。NISTも、移行は暗号の棚卸しから始めるよう求めています。
2. 何年も秘密にしておくデータと、それが通る経路を洗い出します。守る年数と移行にかかる年数を足して、量子コンピュータが現れる時期を超えるなら、先に手を付ける対象です。
3. 外向きのサーバーやロードバランサー、VPNで、TLS 1.3に対応しているかを確認します。耐量子暗号の鍵交換は、TLS 1.3の上で使う形が中心になります。
4. VPN装置、ロードバランサー、HSM、認証局、IDaaSの提供元に、ML-KEMとML-DSAへの対応の予定を問い合わせます。NISTは、ハードウェアは設計から製造まで時間がかかるため、提供元にすぐ対応を始めるよう求めています。
5. これから買う機器のうち、2030年を過ぎても使うものは、耐量子暗号への対応か、更新で対応できる道があるかを調達の条件に入れます。NISTは、耐量子暗号に対応できないシステムを洗い出し、入れ替えや廃止を優先するよう書いています。
6. CRYPTREC暗号リストの改定案に目を通し、社内の暗号の規程を見直す時期を決めておきます。