NIST PQCコンペティション：プロセスと基準

NISTは、量子コンピューターがもたらす脅威に直接対応するため、2016年にポスト量子暗号（PQC）標準化プロジェクトを開始しました。Shorのアルゴリズムは、十分に大規模な量子コンピューター上でRSAと楕円曲線暗号を多項式時間で破ることができます。NISTは、暗号インフラストラクチャの移行には数十年かかることを認識し、量子コンピューターが差し迫った脅威になるはるか前にこのプロセスを開始しました。

NISTは2016年12月に提案を募集し、2017年11月までに82件の完全な提案を受け取りました。初期審査の後、69件が第1ラウンドの候補として受け入れられました。提案は、格子問題、ハッシュ関数、符号ベース暗号、同種写像ベース暗号、多変数多項式など、幅広い数学的仮定に基づいていました。すべてを一つの方式に依存するリスクを避けるため、仮定の多様性が重要な目標でした。

第1ラウンドでは、NISTと暗号研究コミュニティ全体が、69候補すべてに対して集中的な分析を行いました。評価基準には、安全性（古典攻撃および量子攻撃への耐性）、性能（鍵と暗号文のサイズ、計算速度）、柔軟性（異なるセキュリティレベルに対応するパラメータセット）、実装の容易さが含まれていました。2019年1月までに、26候補が第2ラウンドへ進みました。

第2ラウンドの26候補に対して、より詳細な暗号解析と性能ベンチマークが行われました。このラウンドでは、Rainbow（多変数）やSIKE（同種写像ベース。ただしSIKEが破られたのは第3ラウンド）など、複数の方式が破られたり、安全性を弱められたりしました。2020年7月までに、15候補が第3ラウンドへ進み、7件の最終候補と8件の代替候補に分けられました。

第3ラウンドの7件の最終候補は、Kyber、NTRU、SABER（KEM）と、Dilithium、FALCON、Rainbow、SPHINCS+（署名）でした。SIKEは代替候補でしたが、2022年に劇的に破られました。NISTは、設計が明快で、強力なセキュリティ証明があり、性能にも優れていることを理由に、KEMの標準化にはKyberを選定しました。署名方式にはDilithium、FALCON、SPHINCS+が選定されました。

NISTは、将来の画期的な攻撃に備えるため、異なる数学的問題に基づくアルゴリズムを意図的に選定しました。ML-KEMとML-DSAはModule-LWE（格子）に依存しています。FALCONはNTRU格子とガウスサンプリングに依存しています。SLH-DSAはハッシュ関数の安全性だけに依存しています。格子に対する画期的な攻撃が発見された場合でも、SLH-DSAは安全性を維持できるため、標準化された方式群にアルゴリズムの多様性をもたらします。

NISTは2022年、格子ベース方式以外の署名方式の多様性をさらに高めるため、追加の署名候補を特に募集する第4ラウンドを開始しました。候補には、MAYO、CROSS、UOVのほか、多変数および符号ベースの仮定に基づく方式が含まれていました。このプロセスは、最初の3つの標準規格（FIPS 203、204、205）の最終化と並行して進められました。

NISTは2024年8月、最終的なPQC標準規格を公開しました。これらは、FIPS 203（Kyberに基づくML-KEM）、FIPS 204（Dilithiumに基づくML-DSA）、FIPS 205（SPHINCS+に基づくSLH-DSA）です。FIPS 206（FALCONに基づくFN-DSA）も続いて公開される予定です。これらは現在、米国連邦機関が必ず考慮すべき規格となっており、ISO、ETSI、IETFを通じて世界の標準規格にも影響を与えています。

IETFはPQCをプロトコルに迅速に取り入れました。2024年までに、TLS 1.3、SSH、X.509証明書でML-KEMを使用するためのRFC草案が作成中でした。Cloudflare、Google、Amazonは、TLSスタックへのML-KEM導入計画を発表しました。Appleは、ラチェットベースのポスト量子前方秘匿性のためにML-KEMを使用するiMessage向けのPQ3を発表し、10億台を超えるデバイスに展開しました。

NISTのPQCコンペティションは、オープンで協調的な暗号標準化が効果的に機能することを実証しました。高く評価されていた複数の方式（GeMSS、SIKE、Rainbow）がプロセス中に破られ、幅広い公開暗号解析の重要性が裏付けられました。このコンペティションは、効率的なハードウェア実装やオープンソースライブラリ（liboqs、PQClean）の開発も促進し、採用を加速させました。

ポスト量子暗号の標準化は完了していません。NISTは多様性を確保するため、追加の署名方式の評価を続けています。金融標準化団体X9は、銀行向けのPQC標準規格を策定しています。ETSIとISOはNIST FIPSとの整合を進めています。医療（HIPAAへの影響）、防衛（NSA CNSA 2.0スイート）、電気通信（5G/6G向けの3GPP）など、各分野に合わせた移行指針も策定されています。

NIST PQCコンペティションの初回提出から第2ラウンドに進んだ候補は何件ですか。

NISTは2016年にPQC標準化プロジェクトを開始し、69件の完全な提出を受け付けました。3回の評価ラウンドにより、安全性、性能、多様性を基準に候補が絞り込まれました。最終的に選ばれたのは、Kyber（ML-KEM、FIPS 203）、Dilithium（ML-DSA、FIPS 204）、SPHINCS+（SLH-DSA、FIPS 205）、FALCON（FN-DSA、FIPS 206）です。このコンペティションにより、オープンな暗号解析の有効性が検証され、現在ではTLS、SSH、メッセージングプロトコルに広く統合されている標準が生まれました。