2025年05月06日 2m read

Googleの量子チップ「Willow」は、RSAアルゴリズムへの脅威となるのか？

Elad Menahem

Is Google Willow’s Chip a Threat to RSA Algorithm

新しい量子チップWillowが、量子コンピューティングという魅力的な分野において、さらなる前進を示したことでGoogleが注目を集めています。この技術は、現在の古典コンピュータでは解決困難な問題に対処できる可能性を秘めており、暗号技術、特に広く使用されているRSA暗号への影響について、期待と共に一定の懸念も呼び起こしています。Cato Networksは量子コンピューティングの動向に注視しており、セキュリティリーダーに対して次のような情報提供を行っています。

量子コンピュータがすぐにRSAを破ることはないであろう理由

量子コンピュータは、重ね合わせや量子もつれといった原理を利用することで、古典コンピュータでは非常に困難とされる計算を実行します。特にショアのアルゴリズムは、量子コンピュータが大きな整数を効率的に素因数分解することを可能にし、理論上はRSA-2048暗号を破る可能性を持っています。しかし、現在の量子コンピュータは、ショアのアルゴリズムを、現代のRSA鍵を破るのに必要な規模で実行できるレベルにはほど遠いのが実情です。その理由は次のとおりです。

ハードウェアの制約：
1. RSA-2048を破るには、エラー訂正された数百万個の量子ビットを必要とする量子コンピュータが求められます。Willowチップをはじめとする最先端の量子デバイスは、依然として物理量子ビットの数が数百個の範囲にとどまっています。しかも、これらの量子ビットにはエラー訂正が施されていません。
2. 量子計算はノイズやデコヒーレンスに非常に敏感であり、大規模な暗号解読攻撃を現実のものとするためには、エラー訂正技術における大きな進歩が必要とされます。

スケーリングの課題：
1. 量子コンピュータは、問題の規模が大きくなるにつれて指数関数的に多くの量子ビットを必要とします。着実に進展はしているものの、RSAレベルの問題に対応できる量子ハードウェアの実現には、今後数十年はかかると考えられています。

量子コンピューティングがRSA暗号に突きつける課題

TLSやIPsecのような現代の暗号化プロトコルは、主に2種類の暗号方式に依存しています。共通鍵暗号（Symmetric Encryption）は、送信と受信の両方で同じ鍵を使ってデータを暗号化・復号化することで、通信内容を保護します。この目的のために、AES（Advanced Encryption Standard）などのアルゴリズムが使用されます。共通鍵暗号は量子耐性があると考えられています。というのも、Groverのアルゴリズムのような量子アルゴリズムでも、鍵の強度を半減させる程度の影響しか与えられないためです。たとえば、AES-128は量子攻撃に対しては実質的にAES-64と同等になりますが、AES-256は依然として量子攻撃に対して高い安全性を保ちます。

公開鍵暗号は、鍵交換のプロセスを保護し、双方が共通の秘密鍵を安全に共有できるようにします。この分野では、RSAやECDH（楕円曲線ディフィー・ヘルマン）などのアルゴリズムが広く使用されています。公開鍵暗号は、大きな数の素因数分解（RSA）や離散対数問題の解決（ECDH）といった、古典コンピュータでは現実的に解くことが困難な、数学的な問題の難しさに依存しています。

ショアのアルゴリズムは、1994年にピーター・ショアによって開発されたもので、量子コンピューティングにおける画期的な進展を示すものです。このアルゴリズムは、数多くの暗号システムの基盤となっている2つの数学的問題を効率的に解くために特別に設計されています。

整数の素因数分解：大きな整数の素因数を見つけ出すことが、RSA暗号の基盤となっています。

離散対数問題：ディフィー・ヘルマン法や楕円曲線暗号（ECC）などの暗号アルゴリズムの基盤となる方程式を解くこと。

このアルゴリズムは、重ね合わせや量子もつれといった量子の原理を活用し、因数分解のような複雑な問題を周期探索問題へと変換します。この周期探索問題は、量子フーリエ変換を用いることで効率的に解かれます。ショアのアルゴリズムは、大規模に実装された場合、理論上はRSAやECDHを破ることが可能になるため、公開鍵暗号に対して大きな影響を持ちます。

しかし、RSA-2048を破るためにショアのアルゴリズムを実装するには、非常に大きな課題が伴います。現在の量子コンピュータには、安定したエラー訂正済みの量子ビットが必要な数だけ備わっていないのです。推定では、数百万個が必要とされています。さらに、量子システムのスケーリングや量子エラー訂正への対応は依然として大きな障害であり、これはGoogleによる研究でも強調されています。専門家の間では、この能力を実現するには数十年かかるという見方が広く共有されており、RSAに対する量子コンピュータの即時的な脅威は極めて低いとされています。

すでに導入可能な段階にある量子耐性暗号

量子コンピュータが明日にでもRSAを破るわけではないとはいえ、暗号コミュニティもただ手をこまねいているわけではありません。NIST（米国国立標準技術研究所）はすでに、ポスト量子暗号（PQC）の標準規格を策定しています。これらのアルゴリズムは量子攻撃に耐性があり、必要に応じて古典的な暗号方式の代替や補完として使用することができます。

TLSの文脈において、量子耐性のある暗号方式への移行が比較的スムーズに進むと考えられる理由は次のとおりです。

引き続き安全である共通鍵暗号：
1. TLSでは、鍵交換の後に送信されるデータを保護するために、すでに共通鍵暗号（AESなど）が使用されています。Groverのアルゴリズムによっても鍵の有効強度が半減するにとどまるため、AES-256のような共通鍵アルゴリズムは、本質的に量子攻撃に対して耐性があります。つまり、256ビット鍵の場合、膨大な組み合わせ数が存在し、それを総当たりで破るには量子計算を用いても非常に多くの演算が必要になります。これは、近い将来の量子コンピュータであっても現実的には不可能なほど天文学的な規模です。Groverのアルゴリズムは、鍵空間を古典的な総当たり攻撃よりも2次的に高速に探索することで機能します。つまり、AES-256の強度は実質的にAES-128と同等にまで低下しますが、それでも依然として非常に高い安全性があると考えられています。この部分のTLSに、変更の必要はありません。

鍵交換の更新：
1. TLSにおける鍵交換は、従来のRSAやECDHの代わりに、CRYSTALS-Kyberのようなポスト量子アルゴリズムを用いるように変更することが可能です。この変更により、共有される秘密鍵は量子コンピュータによる脅威に対しても安全性を保つことができます。

最小限の影響：
1. OpenSSLのような最新のライブラリは、古典的なアルゴリズムと量子耐性アルゴリズムを組み合わせたハイブリッド暗号モードをすでにサポートしています。既存のシステムはソフトウェアのアップデートによってこれらの変更を取り入れることができるため、全面的な再構築は必要ありません。

実績ある標準規格：
1. NISTにより承認された、CRYSTALS-Kyber（鍵交換）などのアルゴリズムは、TLSやIPSecをはじめとする既存の暗号プロトコルにスムーズに統合できるよう設計されています。

パフォーマンスへの影響

鍵交換メカニズムのみを置き換え、移行期間中はハイブリッド方式を活用することで、TLSを量子耐性に対応させることは、無理のない段階的なプロセスとして実現可能です。ただし、パフォーマンスへの影響についても考慮する必要があります。RSAやECDHのような古典的なアルゴリズムと、CRYSTALS-Kyberのような量子耐性アルゴリズムを組み合わせたハイブリッド鍵交換を実装することで、ハンドシェイクの際に追加の計算負荷や遅延が発生する可能性があります。こうした追加の負荷は、リソースに制約のあるIoT機器などの環境では顕著な遅延につながる可能性があります。しかし、ほとんどの最新デバイスにおいては影響はごくわずかであり、暗号化処理は十分に現実的かつ効率的です。