総務省、デジタル庁、経済産業省は10月27日、政府が情報システムを調達するときに参照する「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）」について、量子コンピューターへの対応を進める改定案を公表した。3月に新設した「耐量子計算機暗号（PQC）リスト」に、電子署名の方式や共通鍵暗号などを加える内容で、同日午後2時から11月11日まで意見を募集している。電子署名方式のML-DSAとSLH-DSAについては、3者がつくる専門家の会合「CRYPTREC」での安全性評価がまだ終わっておらず、改定内容は確定していないとしている。
3月の初版で積み残した課題
CRYPTRECは、電子政府で使う暗号技術の安全性や実装性能、利用実績を評価し、適切な実装法・運用法を調べるプロジェクトで、3省庁が事務局を務める。リストは「電子政府推奨暗号リスト」「推奨候補暗号リスト」「運用監視暗号リスト」の3つで構成される。
量子コンピューターの研究開発が進むと、いま広く使われている暗号の安全性が将来下がるおそれがある。別添資料は、現行の暗号を解読できる水準の量子コンピューターを「CRQC」と呼び、これに耐えられる暗号への移行を課題に挙げている。3月の改定では、電子政府推奨暗号リストのこれまでの表を「表1 現行暗号リスト」とし、新たに「表2 耐量子計算機暗号（PQC）リスト」を設けた。
ただ、3月の時点で表2に載せた公開鍵暗号は、鍵の受け渡しに使うML-KEMだけだった。電子署名方式のML-DSAとSLH-DSAは安全性・実装性能の評価が終わり次第掲載する予定とされ（2026年度を想定）、暗号利用モードや一部の共通鍵暗号・ハッシュ関数も継続検討とされた。強度が最も低い区分にあたる「Category 1・2」の暗号も載せていなかった。
こうした積み残しを詰めるため、CRYPTRECは「耐量子計算機暗号（PQC）リスト検討タスクフォース」を設け、7月24日から10月23日まで5回の会合を開いた。主査は松本勉氏（産業技術総合研究所フェロー、横浜国立大学上席特別教授）で、大学や研究機関、通信事業者、IT企業の研究者・技術者が構成員に名を連ねる。今回の改定案は、その議論を踏まえて作成された。
表2に何が加わるか
改定案（別添2）の表2は次の構成になる。表2の説明文には「Category 3以上の利用を推奨する」との一文を新たに加える。
| 分類 | 暗号技術 | 区分 |
|---|---|---|
| 署名 | ML-DSA-44 | Category 1・2 |
| 署名 | ML-DSA-65／ML-DSA-87 | Category 3／5 |
| 署名 | SLH-DSA（192・256系） | Category 3／5 |
| 鍵共有 | ML-KEM-768／ML-KEM-1024 | Category 3／5 |
| ブロック暗号 | AES-192／AES-256 | Category 3／5 |
| ブロック暗号 | Camellia-192／Camellia-256 | Category 3／5 |
| ハッシュ関数 | SHA-384、SHA-512、SHA3-384、SHA3-512、SHAKE256 | Category 4 |
| 認証暗号 | ChaCha20-Poly1305 | Category 5 |
出典: 総務省・デジタル庁・経済産業省「CRYPTREC暗号リスト【改定イメージ】」（別添2）
「Category」は、米国立標準技術研究所（NIST）が2016年に示した5段階の強度区分で、攻撃に必要な計算資源を基準にしている。Category 1は128ビット鍵のブロック暗号に対する鍵探索、Category 3は192ビット鍵、Category 5は256ビット鍵と同程度以上の計算資源を要することを意味する。
このほか、暗号利用モード（CBC、CTR、GCMなど）とメッセージ認証コード（CMAC、HMAC）も表2に加える。これらは組み合わせる暗号の安全性に左右されるため、単独の区分は付けず、「組み合わせて利用する暗号技術のセキュリティカテゴリに準ずる」と記す。組み合わせる相手は表2の暗号技術に限る注釈も付ける。一方、エンティティ認証は暗号そのものではなくプロトコル全体の設計に安全性が左右されるとして、表2には加えない考えを示した。
強度の低い区分は載せない方針
考え方を示した別添3は、強度の低いCategory 1・2の暗号について「積極的に掲載することは適当でない」とした。表2は量子コンピューターへの移行後も長く使う暗号を示すリストで、いったん載せた後に削除すると政府調達や相互運用性に影響が出るためだという。
別添資料によると、政府システムのPQCへの移行は原則2035年が期限とされている。別添3は、表1の暗号が将来危殆化したと判断されれば、表2だけが電子政府推奨暗号として残ると想定し、2035年以降も使う予定のシステムは表2を参照して整備することになるとの見方を示した。CRYPTRECの設定基準では、128ビット相当の強度の暗号は2040年まで「利用可」だが、2041年以降は「移行完遂期間」となり、2051年以降は順次「利用不可」となる。
この整理に沿って、鍵共有方式のML-KEM-512（Category 1）は表2に載せない。AES-128、Camellia-128、KCipher-2、SHAKE128も、当面は表1に基づいて使い続けられるとして表2から外す。量子コンピューターを使う探索手法により、AES-128はAES-192・256と比べて安全の余裕が小さくなることも理由に挙げた。ただし、いま載せないことは将来の掲載を否定するものではないとしている。
例外は署名方式のML-DSA-44
例外として載せる方向なのが、署名方式のML-DSA-44だ。別添3は、電子証明書やインターネットの住所情報を守る仕組み（DNSSEC）などで広く使われる可能性が高いとし、表2に掲載することが適当とした。米国家安全保障局（NSA）の暗号基準「CNSA 2.0」はML-DSAをML-DSA-87に限っているが、CRYPTRECのリストとは目的や対象が異なり、同じ制限は必要ないとした。
別添3の参考資料によると、ML-DSAは主要なクラウドサービスや暗号ライブラリで対応が進み、とくにML-DSA-44は実際のサービスで使われていることが確認された。一方、SLH-DSAは実装が進みつつあるものの実際の利用は限られるとして、SLH-DSAのCategory 1は載せない。改定案ではML-DSA-44に「可能な限りML-DSA-65又はML-DSA-87の利用を推奨し、特に長期的な保護が必要なデータを取り扱う用途ではこれを強く推奨する」との注釈を付ける。
3省庁は今回、ML-DSAとSLH-DSAのCategory 1・2（ML-DSA-44とSLH-DSAの128系）をリストでどう扱うかについて、利用状況や今後の利用見込みを踏まえた意見を特に求めている。
意見募集とこれから
意見は11月11日の24時まで、電子政府の総合窓口「e-Gov」の意見提出フォームのほか、郵送などでも受け付ける（郵送は期間内必着）。意見は日本語で書く必要がある。3省庁は、意見の提出を装った不審なメールを防ぐため、なるべくe-Govで出すよう求めている。
意見募集の対象は、Category 1・2の扱いと暗号利用モードなどの扱いだ。現行の暗号とPQCを組み合わせる「ハイブリッド構成」の扱いと、PQCの安全性評価の進め方はタスクフォースの検討課題だったが、今回の募集の対象には含めていない。別添1によると、ML-DSA（米国の標準FIPS 204）とSLH-DSA（同FIPS 205）の安全性評価は2026年度中に終わる予定だ。
PQCへの移行の期限をめぐっては、自民党の国家サイバーセキュリティ戦略本部が10月20日付で取りまとめた提言で、欧米の主要国は影響の大きいシステムを2030〜2031年ごろまでに移行するとされていると指摘し、政府機関でも優先度の高いシステムに早い期限を定めて移行を加速するよう求めた。提言の内容は自民サイバー戦略本部、高市首相に提言 官邸主導の「サイバー対処本部」設置を要求で伝えている。リストに載る暗号の範囲が定まれば、各府省がシステムを調達・更新するときの選択肢が具体的になる。