耐量子暗号（PQC）とは？2026年、『今盗んで後で解読』に備える暗号の総入れ替え

こんにちは、インフラエンジニアのryuです。

「量子コンピュータが暗号を破る」という話、ニュースで一度は目にしたことがあるのではないでしょうか。

なんだかSFのようで、自分の仕事には関係なさそうに感じる方も多いと思います。私も最初はそうでした。

でも、これは遠い未来の話ではありません。2026年のいま、世界中のインフラで「暗号の総入れ替え」がすでに静かに始まっています。

今日はその主役である「耐量子暗号（PQC）」を、できるだけかみ砕いてお話しします。

耐量子暗号（PQC）とは？なぜ今さわがれているのか¶

耐量子暗号は、英語で Post-Quantum Cryptography、略してPQCと呼ばれます。

ひとことで言うと、「量子コンピュータが実用化しても破られないように設計された、新しい暗号」のことです。

「今の暗号じゃダメなの？」と思いますよね。まずはそこからいきましょう。

「今の暗号」はなぜ量子コンピュータに弱いのか¶

私たちが毎日使っているHTTPSやVPN、SSHの裏側では、RSA や ECC（楕円曲線暗号）という技術が動いています。

これらは「公開鍵暗号」と呼ばれる仕組みです。仕組みそのものを忘れてしまった方は、先に公開鍵暗号方式をわかりやすく解説した記事を読むと、この先がぐっと分かりやすくなります。

公開鍵暗号の安全性は、「かけ算は簡単だけど、割り算（素因数分解）はとても難しい」という数学の性質に支えられています。

たとえるなら、大きな数を「二つの素数のかけ算」に戻す作業は、鍵の束から正しい一本を総当たりで探すようなものです。ふつうのコンピュータでは、宇宙の年齢ほど時間がかかってしまいます。

ところが量子コンピュータは、この「探し物」を桁違いに速くこなす計算方法（ショアのアルゴリズム）を使えます。

つまり、いままで「実質不可能」だった素因数分解が、量子コンピュータの前では「解ける問題」に変わってしまうのです。

一方で、共通鍵暗号（AESなど）は鍵を長くすれば当面は安全とされています。危ないのは主に公開鍵暗号のほうだ、という点は押さえておきましょう。

共通鍵とのちがいがあいまいな方は、共通鍵暗号方式の仕組みを図解した記事もあわせてどうぞ。

「今盗んで、後で解読する」という攻撃¶

「でも、そんなに強い量子コンピュータはまだ無いんでしょう？」

そのとおりです。RSAを実際に破れる量子コンピュータ（専門用語でCRQCと呼びます）は、まだ存在しません。登場は2030年代とみられています。

なのになぜ、いま急ぐ必要があるのでしょうか。

理由は「ハーベスト・ナウ、ディクリプト・レイター（Harvest Now, Decrypt Later）」と呼ばれる攻撃にあります。日本語にすると「今のうちに収穫し、後で解読する」です。

攻撃者はいま、暗号化された通信をこっそり丸ごと録画（保存）しておきます。中身はまだ読めません。でも構わないのです。

数年後、量子コンピュータが完成したら、その録画を再生するように後から一気に解読する。そういう発想です。

宅配便でたとえるなら、封をした荷物を今のうちに大量に盗んでおき、開ける道具ができるまで倉庫に寝かせておくようなもの。中身が「10年後もバレたくない情報」なら、これは今日の脅威です。

医療記録、行政データ、企業の機密、長期の契約情報。こうしたデータを扱うなら、「量子の完成を待ってから対応」では手遅れになりかねません。

こわいのは、この盗み見が起きても、私たちには気づけないという点です。通信をコピーされても、いつもどおり届いてしまうからです。だからこそ、「まだ被害が出ていないから大丈夫」という感覚が通用しません。守りは、脅威が形になる前に動いておくのが基本なのですね。

2026年、標準はもう決まっている¶

「じゃあ何に置き換えればいいの？」という疑問が次に来ますよね。

うれしいことに、乗り換え先はもう国際的に決まっています。

3つの新しい標準と、置き換えの対象¶

アメリカのNIST（米国立標準技術研究所）が、8年におよぶ選考を経て、2024年8月に3つの耐量子暗号を正式な標準として公開しました。

長い数式の名前が並ぶので、表で整理します。

いずれも、量子コンピュータでも解くのが難しいとされる「格子」や「ハッシュ」という数学の問題を土台にしています。素因数分解に頼らないので、量子コンピュータの得意技が効かない、という発想です。

そしてNISTは、置き換えの期限もはっきり示しました。RSAやECCといった従来の公開鍵暗号は、2030年をめどに非推奨、2035年には使用禁止にする方針です（NIST IR 8547）。

2035年というと遠く感じるかもしれません。でも、社内のあらゆるシステムの暗号を洗い出して入れ替えることを考えると、9年は決して長くありません。

なぜ「格子」だと量子に強いのか¶

「格子（ラティス）」と言われても、ぴんと来ませんよね。ここだけ少しだけ触れておきます。

イメージとしては、方眼紙のように点が規則正しく並んだ空間を思い浮かべてください。その中で「ある地点から、いちばん近い格子の点はどこか」を当てる問題は、次元が高くなるとものすごく難しくなります。

面白いのは、この難しさが量子コンピュータの得意技では崩せない、と今のところ考えられている点です。素因数分解のような「量子の抜け道」が見つかっていないのですね。

だからこそ、新しい標準の多くはこの格子問題を土台に選ばれました。もちろん「絶対に安全」と言い切れる暗号は存在しません。だから世界中の研究者がいまも安全性を検証し続けています。

すでに始まっている移行 ― TLSとハイブリッド方式¶

標準が決まった、では現場はどうか。実はもう、あなたのブラウザが耐量子暗号を使っているかもしれません。

いきなり全部は替えない「ハイブリッド」という現実解¶

新しい暗号は生まれたてです。「本当に安全か」「実装にバグは無いか」を、時間をかけて確かめている段階でもあります。

そこで主流になっているのがハイブリッド方式です。従来の暗号（X25519）と新しい耐量子暗号（ML-KEM）を「両方いっしょに使う」やり方です。

たとえばTLSの鍵交換では、次のような名前の方式が使われ始めています。

# ブラウザとサーバーが選ぶ鍵交換方式の例
X25519MLKEM768
 └─ X25519      : 従来の楕円曲線（今の安全性）
 └─ ML-KEM-768  : 耐量子（未来への保険）

こうしておけば、もし新しい暗号に欠陥が見つかっても従来暗号が守ってくれるし、逆に量子コンピュータが来ても耐量子側が守ってくれます。ベルトとサスペンダー、両方するイメージですね。

効果は数字にも表れています。Cloudflareによると、人が使うブラウザからのアクセスのうち、すでに3分の1以上がこのハイブリッド鍵交換で保護されているそうです（2025年時点）。

つまりこれは「実験」ではなく、本番のインターネットで動いている現実です。

鍵交換はサクッと、署名はじっくり¶

ここで一つ、現場で知っておくと役立つ話をしておきます。

同じ「暗号の入れ替え」でも、鍵交換と電子署名では進み方がずいぶん違います。

鍵交換のほうは、ブラウザとサーバーの両方が対応すれば、その場のやりとりだけで完結します。だから、ここまで見てきたように移行が速いのです。

一方で電子署名、たとえばサーバー証明書のような仕組みは、認証局（CA）から機器、ソフトの検証ロジックまで、鎖のようにつながった関係者すべてが足並みをそろえないと切り替えられません。

しかも新しい署名は、いまのものよりデータのサイズが大きくなりがちです。証明書が膨らむと、通信量や処理の重さにも響いてきます。

だから署名の移行は、鍵交換より一歩あとから、慎重に進むと見られています。「どっちも同じペースで替わる」わけではない、と覚えておくと現場の判断がしやすくなります。

インフラエンジニアは何から手をつければいい？¶

ここまで読んで、「大きな話なのは分かった。で、自分は何を?」と思いますよね。私も同じ気持ちでした。

いきなり全部を置き換える必要はありません。順番があります。

まずは「暗号の棚卸し（インベントリ）」から¶

最初の一歩は、置き換えではなく棚卸しです。

自分たちのシステムが、どこで・どんな暗号を・どのバージョンで使っているか。TLSの証明書、VPN、SSH、社内の署名。これを一覧にするところから始めます。

引っ越しの前に、まず家じゅうの荷物をリストにするのと同じですね。何があるか分からないままでは、運びようがありません。

証明書まわりがあやしい方は、サーバー証明書の仕組みを解説した記事で足元を固めておくと、棚卸しがスムーズになります。

棚卸しでとくに気をつけたいのが、寿命の長い機器です。工場の制御装置や、道路や電力といった社会インフラの端末は、一度置くと10年、20年と動き続けます。

こうした機器はソフトの更新も簡単ではありません。「あとで替えればいい」が通じにくいからこそ、早めに存在を把握しておく必要があります。

裏を返せば、いま扱っているデータが「何年守れれば十分か」を考えることが、優先順位づけの近道になります。来年には価値が消える情報なら急がなくていいし、10年先まで秘密にしたい情報なら最優先、という具合ですね。

「暗号アジリティ」という設計の考え方¶

もう一つ大事なのが暗号アジリティ（crypto-agility）という考え方です。

これは「暗号方式を、あとから差し替えやすいように作っておく」という設計思想です。暗号の種類をアプリのあちこちに直書きせず、設定で切り替えられるようにしておく、といったことです。

今回のPQC移行は一度きりのイベントではありません。将来また新しい暗号に乗り換える日が来ます。そのとき慌てないための備えでもあるのです。

この発想は、ゼロトラストの考え方やソフトウェアサプライチェーンを守る取り組みとも地続きです。「一点の壁で守る」から「壊れる前提で作り直しやすくする」へ。2026年のインフラは、その方向に進んでいます。

とはいえ、身構えすぎる必要もありません。多くのエンジニアにとって当面いちばん効くのは、実は地味な習慣です。OSやミドルウェア、暗号ライブラリ、TLSの実装を最新に保つこと。

耐量子暗号への対応は、こうしたアップデートを通じて少しずつ降りてきます。ブラウザやサーバーが新しい方式に対応するのも、その積み重ねの結果です。

つまり、日ごろから更新を怠らない現場ほど、大きな移行のときにも慌てずにすむ、というわけですね。特別な準備の前に、まずは足元の運用を整えることが、いちばんの近道かもしれません。

こうした地力は一日では身につきません。ネットワークと暗号の基礎から着実に積み上げたい方は、InfraAcademyのネットワーク学習ロードマップが土台づくりに役立ちます。まずはTCP/IPとHTTPSの仕組みを、手を動かしながら確かめてみてください。

まとめ¶

最後に、今日の話を振り返っておきましょう。

耐量子暗号（PQC）は、量子コンピュータでも破られないように作られた新しい暗号です。RSAやECCといった今の公開鍵暗号が、いずれ量子コンピュータに破られてしまうことへの備えでした。

急ぐ理由は「今盗んで、後で解読する」攻撃にありました。長く守りたいデータほど、対応は今日から始める価値があります。

すでにNISTが標準（FIPS 203/204/205）を定め、TLSではハイブリッド方式での移行が本番で進んでいます。私たちにできる第一歩は、派手な置き換えではなく、地道な棚卸しと、差し替えやすい設計でした。

量子コンピュータと聞くと身構えてしまいますが、やることの根っこは「暗号を正しく理解し、備えておく」という、インフラの基本の延長線上にあります。特別な魔法が必要なわけではありません。

いま暗号の基礎をていねいに学んでおけば、この大きな移行の波が来ても、落ち着いて向き合えるはずです。むしろ、こうした変化の時期こそ、基礎を固めた人が頼りにされる場面が増えていきます。

一歩ずつ、いっしょに追いかけていきましょう。

参考記事¶

• FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard | NIST CSRC
• Announcing Issuance of FIPS 203, 204, and 205 | Federal Register (2024/08/14)
• NIST IR 8547 (Initial Public Draft): Transition to Post-Quantum Cryptography Standards
• The state of the post-quantum Internet in 2025 | Cloudflare Blog
• Harvest now, decrypt later | Wikipedia