暗号解読における量子計算の展望

Transcript

1. 暗号解読における量子計算の展望 by @nkowne63 1 / 48
2. 自己紹介 量子サイド 東京大学 物理工学専攻のD3です。 専門は量子計算機アーキテクチャと最適化。理論物理。 今スパコンでやられてるみたいな最適化の量子バージョンをやってます。 2 / 48
3. 今日話すこと + disclaimer 量子情報の立場の人間として、暗号解読までのタイムラインや現状などを話していき ます。 いつbreakされそうか？ breakする量子計算機はどのような姿をしているか？ 今どのように開発が進んでいるのか？ 耐量子暗号や量子暗号について （余裕があったら、論文解説だけだとわかりにくい空気感について） 個人の見解であり、研究室、大学、量子ベンチャー、学術界を代表するものではあり ません。 3 / 48
4. 今日話さないこと 耐量子暗号の詳細と移行タイムライン 暗号解読アルゴリズムの中身。たぶん本筋ではないので。 暗号以外の量子情報の話（新薬や材料の探索、量子重力理論の検証、実際の物理 実装の詳細など） 4 / 48
5. 1. いつ破れるのか？ 5 / 48
6. A. 2035～2045のどこかと思われる 個人の予測です。 楕円曲線暗号は2030年代の後半、RSA系は2040年前後に破られそう。 実は、楕円曲線暗号のほうが量子計算機にとっては簡単。 鍵の長さを倍倍にしていっても、この時期以降は2-3年程度しか稼げないと見ている。 その時の最先端のアルゴリズム（広義）を稼働できるスペックの量子コンピューター を実現できるのがそのあたりだと見ているため。 6 / 48
7. 公開鍵暗号のおさらい RSAや楕円曲線暗号は、基本的に「暗号化は簡単だが、公開鍵だけから複合するのは 計算量が爆発する」という前提に依拠している。 RSAの場合は素因数分解が難しい。 楕円曲線暗号は離散対数問題が難しい。 2進数で2048桁、10進数で617桁（1024は2進数で10桁）の素因数分解をするのは宇宙の滅亡 まで時間を使っても足りないとされていたが…… 7 / 48
8. 量子計算機ができたら何が壊れるか Shorのアルゴリズムが1994年に出てきた。 量子アルゴリズムの中でもかなりの古株 RSAの場合は素因数分解が難しい。 楕円曲線暗号は離散対数問題が難しい。 → の時間でできるように 数年で解読できる！やばい！ 量子計算機はこの手の問題の処理が古典に比べると一番といっていいくらい得意 8 / 48
9. 共通鍵 + 格子暗号は当面安全 共通鍵暗号でも解読は高速化するが、指数的に時間がかかるのは変わらないので、当 面は安全。 格子暗号についても、量子計算機で解くのは難しいとされている。 逆に言うと、方法が見つかっていないだけで明日急に解けるようになっている可能性 はある。 9 / 48
10. 2. なぜその時期なのか？ 10 / 48
11. A. 研究が順調だから 計算量に換算すると 理論研究の進展により、15年で3桁くらいのペースで必要なハードウェアの要件が下が っていっている。 技術研究の進展により、20年で3桁くらいのペースで実現されたハードウェアの能力が 上がっていっている。 現在ではまだギャップが4桁程度空いているが、もう10年程度もすると、技術と理論が クロスするとみられる。 そして、今のところそれを邪魔する物理法則は見つかっていない。 11 / 48
12. 必要な量子計算機の規模 普通のbitを使う普通の計算機（古典計算機）とは違い、計算のすべてを量子ビット （qubit; キュービット）上でやる必要がある。ストレージもメモリも RSA-2048を解読するためには最低でも100万qubitを1日単位稼働させる必要があると いうのが現段階の見積もり。 今実現できている最高記録は(方式にもよるが)300-400 qubitくらい。 ビルのフロアを2つ貸切るくらいの規模になりそう。 12 / 48
13. なぜ大量の qubit が必要か 個々のqubitの寿命は実現方式にもよるが最長でも1秒も持たない。 qubitは壊れないが、中の量子情報が飛んでしまうため、常に誤り訂正しながら、符号 の状態で計算を進める必要がある。読みだしたらその瞬間に壊れて訂正もできないため。これが難しい！ 1つの論理qubitを保持するために600個程度の物理qubitを使う。それが1500単位程度 必要。 毎秒resetされるサーバープロセス600個を整合性保ちながら協調動作させ、それを1500単位。みたいな状況 13 / 48
14. ECC が RSA より早く壊れる理由 鍵の長さが短いため。 両方を解く量子側のサブルーチンは同じなので、純粋に鍵の長さの違いが効いてく る。 ECC-256はRSA-3072相当の古典的安全性だが、量子側では鍵長そのものが効くので ECCの方が圧倒的に少ない計算量でやぶれる。 14 / 48
15. ※共通鍵は量子でも安全 共通鍵暗号にはECCやRSAのような「量子が得意な問題を解けたら解ける」という性質 が未発見なので、一般的な探索アルゴリズムであるGroverを使うしかない。 これは、 だったアルゴリズムを にする効果はあるが、鍵を倍にするだ けで以前と同じ安全性を担保できる。 格子暗号についても、事情はほぼ同じ。鍵を倍にすれば量子時代でも同じ安全性を担 保できる。 ある日急にP = NPが証明されたり、すごい量子アルゴリズムが発見されなければ 15 / 48
16. 空気感 1 - AI による研究の加速 AI Agentによって理論研究が少しずつ加速していっている。 数学ほどではないが、今まで理論/数値実験のボトルネックだった難しい証明やコーデ ィングが緩和されている。 分野の発展もあるが、論文数は体感で5年前の倍ほどになっている。 さらに、単純にAIによって制御や量子計算の精度も上がる。 とくに、ロボット技術で人間と同等レベルの挙動が部分的にでも達成された場合、一 気に進展は早まるだろう。 16 / 48
17. 3. 破れる時までに何する？ 17 / 48
18. A1. 耐量子暗号への移行 ただ、量子計算機ができた時点で ECDHE は破られるので、結局残るのは PQC 分の安 全性だけ。 ハイブリッドの意義は「PQC 実装にバグがあったときの保険」くらいに見ている。 さらに、根本的に解読のための新アルゴリズムが見つかるという危険性もある。 18 / 48
19. A2. 量子鍵配送 (QKD) 共通鍵暗号は量子計算機ができても安全だが、そもそも鍵をどう届けるかが問題にな る。これを物理法則で解決しようというのが量子鍵配送 (QKD)。 光子の状態でビットを送り、盗聴者が途中で測ると量子状態が壊れるので、送受信者 は一部を照合するだけで盗聴を検出できる。 いくら計算量があっても関係ない 現在は衛星経由で1000km超の実証が進んでいる。ただし専用のハードウェアが必要 で、今のインターネット上ですぐ動くものではない。 19 / 48
20. 空気感 2 — 世界情勢 資金と優秀な人材があるアメリカ、とにかく頭数と手数が多い中国、その他、みたい な存在感になっている。 日本は基礎理論研究ではそこそこ強いが、人材も投資も足りてない状況。 誰が「最初」になるかは依然として不透明。 20 / 48
21. 終わりに 楕円曲線暗号は2030年代後半、RSAは2040年前後に破られそう。 その日は少しずつ確実に近づいている。 ご清聴ありがとうございました。 21 / 48
22. Q&A 22 / 48
23. Q. 暗号解読ができるようになるまでの予兆はある か？ A. 「量子コンピューターで画期的な新材料/新薬が発見されました！」から秒読み 新材料/新薬探索はRSAと並んで明確に量子計算機が得意なタスクの一つ。 しかも、必要なリソースが4-5桁少ない。 ニュースで見かけたら身構えてほしい。 23 / 48
24. Q. どうにかして実現させないことできる？ A. 人類滅亡クラスのことが起きれば 量子計算機の原理そのものは院レベル以上の物理学徒であればほぼ全員理解できるは ず。 物理の中では非常に裾野の広い分野。 需要が少しでもある限り相応に人が出てくるはず 24 / 48
25. Q. 今のメッセージを保存しといて、後で解読するこ とできるの？ A. たぶんできる / 今のものはたぶん無理 昔のメッセージが手元にある人は15年後くらいに復号してみましょう。鍵交換部分は たぶんできるはず。 今のは移行が進んでいるので、量子計算機ができても無理そう。 25 / 48
26. Q. 暗号解読のために量子計算機を作っているの？ A. 少なくとも私はそんなことはない。たぶんほとんどの人もそう。 純粋にエンジニアリングの対象として興味深いからやっている。 暗号解読はあくまでも副産物の一つ。業界の目標ではあるけどね。 26 / 48
27. Q. 量子PCやスマホ、量子webは出そうか？ A. 量子webが一番早そう。私はすべていずれ出ると思っている。 量子通信で計算機同士を結ぶ構想はある。計算力が向上するため。 PCやスマホについてはイメージがあまりついていない。アプリケーション次第。 27 / 48
28. Q. 株買うべきですか？ A. まだ早そう。論文が読めれば有利になることもあるかもね。 2024年12月にGoogleが発表した量子チップの情報で株価は5%上がったが、論文は8月 に出ていた。 私は株買ってませんでした。 28 / 48
29. Q. 日本は頑張っていますか？ A. かなりがんばっています いかんせん人が足りなすぎる。 大学の予算とポストは全体感として削られている。 企業研究はアメリカほど活発ではない。 29 / 48
30. Q. 量子でどんなアプリケーションが組めそうか？ A. あまりイメージ付いてない 人が少ないこともあって、科学分野以外の応用はそこまで探索できていない。 量子音楽や量子アートなどはあるが…… 皆さんの参加をお待ちしています！ 30 / 48
31. おまけ. どのように破るのか？ 31 / 48
32. A. Shorのアルゴリズムでやります 問題サイズ について、 の周期があるものについて、 の計算量で周 期を見つける。 古典ではナイブにやると 回ループするしかないが、量子では十分大きな重ね合わせ を一度に用意し、そのうえで周期になっている部分だけを高い確率で取り出せる。 実際はさらにEkerå-Håstadのアルゴリズム（2017）などで計算量をちょっと減らせる が、基本的な機構は同じ。 32 / 48
33. 因数分解、ECDLPは周期探索になる 因数分解 ( ): 適当な を選び、 の周期 を Shor で見つける。 か ら因数が取り出せる。 が偶数のとき 。条件を外したら を取り直す ECDLP ( となる を求める): 同じ QFT の枠組みで、群の構造から を高い確 率で取り出せる。 どちらも「隠れた周期を見つける」問題に還元できる点が共通。 33 / 48
34. 重ね合わせ + 干渉で正解の確率を強め合わせる 重ね合わせで から までのすべての を一度に計算し、干渉で周期 の倍数の 位相だけ強め合わせる。測定すると が手掛かりになる値が高い確率で出る。 古典では を1つずつしか試せないが、量子は全パターンを重ね合わせて同時に扱える のが本質的な差。 34 / 48
35. 共通鍵や格子暗号に効きにくいのはなぜか Shor が効くのは「群の演算を繰り返すと周期が現れる」構造がある問題。 共通鍵暗号や格子暗号には、そのままではこうした周期構造がない。探索問題として 扱うしかなく、Grover で に加速するのが現状の最善。鍵を倍にすれば元の 安全性に戻る。 35 / 48
36. おまけ2. 物理実装 36 / 48
37. 1. 超伝導量子qubit ジョセフソン接合と希釈冷凍機による冷却で人工的に疑似的な巨大原子（㎛サイズ） を作る。 マイクロ波で制御できる、人工原子のカスタマイズ性が高いという利点がある。 冷凍機にすべていれたり、人工原子を容易に動かせないのが欠点。 GoogleやIBMなどが力を入れている。 37 / 48
38. 2. 中性原子 空中にレーザーで原子を浮かせて、それで計算する。 めっちゃ精度が良いうえに、実は歴史もある手法。さらに、計算しながら動かせるの もよい。 動作が遅いのが欠点。（1000倍くらい遅い） Harvardなどが力を入れている。 38 / 48
39. 3. 光量子 日本やオーストラリア、イギリスやドイツなどでよく研究されている。 常温で動くこともある優れた量子ビット。実は光って室温で壊れない量子なんです。 通信にも使いやすし速い。 その代わり、光のスピードで移動するので制御が大変。 さらに、いろいろ量子としての癖が強い。 39 / 48
40. 4. その他 シリコンや共振器など、いくつかあるが、上の3方式ほどは研究が進展していない。 40 / 48
41. 出典・補足 ここまでの定量的な主張のうち、裏付け論文があるものを以下にまとめる。個人の見解・ 経験談部分（自己紹介、Q&Aの感想など）は対象外。 41 / 48
42. 補足1. RSA-2048解読コストの推移（理論側の進捗） 比較可能な物理条件（ゲート誤り率0.1%前後、表面符号）のもとでの、RSA-2048解読に必要な物理qubit数の見積もりの推 移。 年 提案 物理qubit数(概算) 2009 Van Meter et al. 約65億 2010 Jones et al. 約6.2億 2012 Fowler et al. 約10億 2017 O'Gorman et al. 約2.3億 2019 Gheorghiu & Mosca 約1.7億 2019/2021 Gidney & Ekerå 2,000万 2025 Gidney（単著） 100万未満 2026 Webster et al.（Pinnacle） 10万未満 42 / 48
43. 補足1（出典と傾向） 2009-2019欄はGidney & Ekerå 2019 (arXiv:1905.09749) Table 2のデータを引用。2025欄はGidney 2025 (arXiv:2505.15917) Figure 1。2026欄はWebster et al. (arXiv:2602.11457)。 17年で約6.5×10⁹→10⁵未満、5桁弱の低減。「15年で3桁」はこのトレンドをやや保守 的に見た表現。 43 / 48
44. 補足2. 「10万qubit」について（会場での補足） 補足1の表で「2025年: 100万未満」「2026年: 10万未満」と2段階あるのは技術方式が 違うため。 100万未満（Gidney 2025）は表面符号（surface code）ベース。現在もっとも実績が あり、実現に一番近いとみなされている方式での見積もり。 10万未満（Pinnacle Architecture, 2026）は量子LDPC符号（qLDPC）ベース。理論上 のオーバーヘッドは表面符号よりずっと小さいが、qLDPC符号を実機で動かす技術自 体がまだ実証段階。 要するに「100万」は現在主流の技術での見積もりであり、qLDPCなどが実機で現実 的に動かせるようになれば10万未満も視野に入ってくる、という話。 出典: Gidney 2025 (arXiv:2505.15917); Webster et al. 2026 (arXiv:2602.11457) 44 / 48
45. 補足3. 「実用可動域300-400qubit」について この数字は製造された物理qubitの総数の記録ではない。総数記録はすでにこれを大き く超えている。IBM Condor 1,121qubit(2023) / Atom Computing 1,225qubit(2023) / Caltech 6,100qubit中性原子ア レイ(2025) ここでいう300-400qubitは、実際に一貫性を保って動かせる（実用可動域）qubit数 を指し、超伝導・中性原子どちらの方式にも根拠がある。 超伝導: IBMの433qubitチップ(Osprey)上でアクティブな414qubit全体のもつれを特性評価。出典: Kam, Kang, Hill, Mooney, Hollenberg, "Characterization of entanglement on superconducting quantum computers of up to 414 qubits," Phys. Rev. Research 6, 033155 (2024)。実用スケール機の代表例はIBM Heron r2（156qubit, 2023-24）。 中性原子: Harvard/QuEra/MITが論理qubitへのエンコードと実際のゲート操作を280個の物理qubitで実演。出典: Bluvstein et al., "Logical quantum processor based on reconfigurable atom arrays," Nature 626, 58 (2023); arXiv:2312.03982。公開 稼働中のQuEra Aquila（256qubit解析型）も同規模。出典: Wurtz et al., "Aquila: QuEra's 256-qubit neutral-atom quantum computer," arXiv:2306.11727 (2023)。 45 / 48
46. 補足4. 研究ペースの参考データ（arXiv quant-ph年 間投稿数） 「論文数は体感で5年前の倍ほど」の参考として、arXiv quant-phカテゴリの年間投稿 数を集計。 年 quant-ph 投稿数 2021 10,282 2022 10,909 2023 11,964 2024 13,745 2025 15,995 出典: arXiv.org API (export.arxiv.org/api/query, cat:quant-ph, submittedDate範囲指定)。集計日2026-09-30。 46 / 48
47. 補足5. 「計算中に宇宙線を避ける」話 1/2（ハードウ ェア側） お詫び：避ける話については学会で聞いたと思っていたので紹介したのですが、あのあと調べてもちゃんと言及を見つけら れなかったので記憶違いのようです……すみません。お詫び申し上げます。 宇宙線に関する状況と対策は以下のものが調べられています。 超伝導qubitに宇宙線ミューオンが当たると、フォノン→準粒子バーストが発生しチップ全体のqubitが同時にコヒーレンス を失う。シールドでは止められない。出典: Vepsäläinen et al., "Impact of ionizing radiation on superconducting qubit coherence," Nature 584, 551 (2020), arXiv:2001.09190；McEwen et al., "Resolving catastrophic error bursts from cosmic rays in large arrays of superconducting qubits," Nature Physics 18, 107 (2022), arXiv:2104.05219 対策の一つがミューオンveto：チップをミューオン検出器で挟み、通過を検知した時間帯の演算結果を破棄する（避けると いうより「捨てる」）。出典: Mariani et al., "Mitigation of cosmic rays-induced errors in superconducting quantum processors," IEEE QCE 2023 2025年12月、実際に極低温ミューオンタグ付け装置のプロトタイプが動作し、タグ付け効率90%を達成。出典: Mariani et al., "A Cryogenic Muon Tagging System Based on Kinetic Inductance Detectors for Superconducting Quantum Processors," arXiv:2512.10679 (2025) 47 / 48
48. 補足5. 「計算中に宇宙線を避ける」話 2/2（ソフトウ ェア側） 検出器を使わず、符号自体を動的に変形・再構成して宇宙線バーストを乗り切る手法群もある。 Q3DE: 宇宙線が起きた領域をシンドローム値だけから検知し、その場で符号化レベル（実質的にsurface codeのブロックサ イズ）を動的に引き上げて影響範囲を半分に、継続時間を1000分の1に抑える。出典: Suzuki et al., "Q3DE: A fault-tolerant quantum computer architecture for multi-bit burst errors by cosmic rays," MICRO 2022 / arXiv:2501.00331 Surf-Deformer: 欠陥（宇宙線が当たった領域）の周囲だけ符号のパッチ形状を動的に変形させ、少ないqubitで訂正能力を 回復。出典: Yin et al., "Surf-Deformer: Mitigating Dynamic Defects on Surface Code via Adaptive Deformation," arXiv:2405.06941 (2024) マジック状態工場向け: 影響を受けた領域だけ一時的に停止し、残りのチップ形状に合わせて再マッピングして稼働継続。出 典: Chadwick et al., "Averting multi-qubit burst errors in surface code magic state factories," arXiv:2405.00146 (2024) 48 / 48