耐量子IDベース暗号に「第2の数学的基盤」——格子依存脱却へ、同種写像による初の理論構築

3名の研究者チームが、楕円曲線の同種写像（isogeny）暗号に基づく初の「IDベース暗号（IBE）」の理論構築に成功し、2026年7月21日にIACR Cryptology ePrint Archiveにプレプリントを公開した。著者はインド工科大学マドラス校（IIT Madras）のShweta Agrawal、チューリッヒのIBM Research EuropeのAndrea Basso、ベンガルールのIBM Research IndiaのSikhar Patranabisの3名である。

従来の耐量子IDベース暗号は18年間にわたり格子暗号にのみ依存していたが、本研究により少なくとも3つの高度な暗号プリミティブに対する第2の独立した数学的基盤がもたらされた。実用化には効率面での課題が残るものの、格子暗号の破綻に伴う単一障害点（モノカルチャー）リスクを低減する大きな一歩として注目されている。

この成果が意味するのは「難問を解いた」以上のことである。耐量子暗号の高度プリミティブ層——証明書不要の認証システム、プライベートデータベース検索、安全な多者間計算を支えるIBE・属性ベース暗号・機能性暗号・完全準同型暗号（FHE）——はほぼ全面的に格子数学の上に構築されてきた。将来の暗号解析の突破口が格子の中核的仮定を破れば、そのエコシステム内のすべての高度プリミティブが同時に崩壊する。今回の論文は、そのうち少なくとも3つのプリミティブに対する第2の独立した数学的基盤を提供する——高次元格子の幾何学ではなく、超特異楕円曲線の算術に根ざした基盤を。セキュリティエンジニアリング、暗号標準、耐量子展開に関わる読者にとって、この分野が単一の数学的柱への依存を脱しつつあるという具体的なシグナルが届いた。

■IDベース暗号（IBE）とは何か、なぜ耐量子化に時間がかかったのか

従来の電子メール暗号化システムでは、送信者が受信者にメッセージを送る際、事前に認証機関から相手の公開鍵証明書を取得・検証・管理する必要がある。これに対しIDベース暗号（IBE）は、そのインフラを丸ごと不要にする。IBEシステムでは、暗号化アルゴリズムがメールアドレスやユーザー名・電話番号などの任意の識別子と平文を入力として暗号文を生成し、対応する鍵生成アルゴリズムがマスター秘密鍵と同じ識別子文字列から復号鍵を生成する。送信者は何も検索せずに alice@company.com に対して直接暗号化できる。

この概念は1984年にアディ・シャミア（Adi Shamir）によって提唱された。シャミアの明示的な動機は、電子メールシステム全体における公開鍵管理の簡素化だった。彼が提起した未解決問題——実際に動作するIBEをどう構築するか——は17年近く未解決のままだった。2001年、ダン・ボーネ（Dan Boneh）とマシュー・フランクリン（Matthew Franklin）が楕円曲線上の双線形ペアリングを用いて解決し、クリフォード・コックス（Clifford Cocks）も独立して平方剰余問題に基づく別の解法を発表した。いずれも優れた構成だったが、どちらもピーター・ショア（Peter Shor）の1994年の量子アルゴリズムによって多項式時間で解読されてしまう数学に基づいていた。

耐量子版の問題——量子コンピュータが自明には解けない仮定に基づくIBEの構築——はさらに18年間未解決のままだった。2008年にクレイグ・ジェントリー（Craig Gentry）、クリス・パイカート（Chris Peikert）、ヴィノド・ヴァイカンタナサン（Vinod Vaikuntanathan）がLWE（Learning With Errors）問題を用いて初の格子ベースIBEを構築した。それが今週まで最先端だった。耐量子候補の中で、格子ベースIBEは存在が知られた唯一のものだった。今まで。

■同種写像暗号の足跡とSIKE落選からの復活

同種写像ベースの暗号は、格子とは異なる数学的経路をたどる。高次元空間で短いベクトルを見つける困難さに頼るのではなく、大きなグラフ構造の中に配置された超特異楕円曲線間の写像——同種写像——を計算する困難性を利用する。独立した困難性仮定、コンパクトな鍵サイズ、格子ベースとは異なる証明構造を提供することから、多くの研究者の注目を集めてきた。

同種写像分野は2022年7月、大きな打撃を受けた。Wouter CastryckとThomas Decruが、NISTの標準化プロセスで最有力だった同種写像ベースの鍵カプセル化メカニズム「SIKE」の数学的中核であるSIDH問題に対する効率的な古典攻撃を発表したためである。この攻撃はSIDHプロトコル仕様に含まれる補助的な点情報を悪用し、量子コンピュータなしに、単一のCPUコアでわずか1時間程度で秘密鍵を完全に復元できるものだった。NISTはSIKEを耐量子標準化プロセスから正式に除外した。

しかし暗号学界は同種写像を放棄しなかった。破綻はSIDH特有の構造によるものであり、異なる同種写像の仮定に基づく他の構築は破られていない。同種写像ベースのデジタル署名方式「SQIsign」は、2026年5月にNISTの追加デジタル署名プロセスの第2ラウンドから進出する9候補が発表された際、第3ラウンド進出を果たしている。研究者らはプロトコル・署名・暗号ツールの開発を同種写像基盤から継続し、その数学的設定が——慎重に扱えば——実行可能かつ真に独立した暗号学的困難性の源泉であるという確信を持ち続けてきた。

今回のIBEの成果は、彼らが正しいことを示す最も強力な証拠である。

■新たな困難性仮定「CDHwMT」と匿名IBE

今回発表された論文では、著者らが「CDH with Mismatched Torsion（CDHwMT）」と命名した新しい困難性仮定が導入された。超特異同種写像の設定に合わせて精巧に設計されたディフィー・ヘルマン計算問題（CDH）の変形であり、大まかに言えば、攻撃者にある追加の「安全な」漏洩が与えられた状態でもCDH類似問題を解くことの困難性を仮定する。

「ミスマッチ（mismatched）」という語が技術的な役割を担う。同種写像ベースの暗号では、楕円曲線のねじれ群（torsion subgroup）が補助情報をエンコードしており、これは歴史的に悪用可能なものだった——SIDHへの攻撃はまさにこの種の情報を用いてSIKEを破った。CDHwMTは、攻撃者が受け取る補助情報が、スキームを破るのに必要なねじれ構造とは異なる構造から得られるように設計されている。漏洩は「設計上安全」なものだ——攻撃者に何かを与えるが、必要なものは与えない。

著者らは、同種写像計算についての推論に用いる形式的な理想化モデルであり古典的な暗号証明で使われる一般群モデルに類比する「代数的同種写像モデル（Algebraic Isogeny Model）」において、CDHwMTが既存文献の既知の仮定に帰着することを証明することで、この新仮定を正当化している。これは新しい困難性仮定を導入する際の標準的な慣行であり——コミュニティがすでに信頼する問題より破りにくくないことを示すことで、安全性評価者に原則的な出発点を与える。

今回構築されたIBE方式のボーナス機能として「匿名性（Anonymous IBE）」が挙げられる。暗号文はメッセージだけでなく宛先となるID自体も隠蔽する。これは標準的なIBEよりも厳密に強力な性質であり、受信者のIDそのものを秘匿する必要がある場面——特定の内部告発システム、封印された医療記録へのアクセスプロトコル、投票検証システムなど——で有用となる。

■実用化への課題と理論的意義

CDHwMTによる構築は、理論的な可能性の概念実証（Proof of Concept）として明示的に位置づけられており、すぐに展開できるエンジニアリング成果物ではない。著者らは、現時点の研究課題は効率性を度外視して新しいもっともらしい耐量子高度プリミティブの達成にあると明言している。本スキームは速度や鍵サイズが最適化されていない非ブラックボックス技術を使用しており、実世界への展開に向けた実用的なIBEシステムにするには、ジェントリーの最初のFHEスキーム（2009年）から現在の実用的なFHEライブラリへの進化に類似した、効率化を重視した後続研究を含むさらなるエンジニアリング作業が必要となるだろう。

ただし、これは批判ではなく——新しい暗号プリミティブの最初の構築が普遍的に持つ特性である。Boneh-Franklin IBEも2001年時点で直ちに展開可能なものではなかった。最初の構築の意義は、そのプリミティブが与えられた仮定から達成可能であることを確立する点にあり、最適化はそれに続く。

■ラコニックOTと漏洩耐性暗号への応用

同じCDHwMTの仕組みが、同種写像ベースの暗号の世界においてさらに2つの世界初の成果をもたらした。

1つ目は「ラコニックOT（Laconic Oblivious Transfer）」である。標準的なOT（紛忘転送）は安全な多者間計算の基礎的プリミティブであり、送信者が複数のメッセージのうち1つを受信者に転送する際に、どのメッセージが選ばれたかを送信者が知らず、また受信者が選ばれなかったメッセージを知らない、という性質を持つ。スケールアップの際の課題は通信量であり、ほとんどのOTプロトコルでは受信者の送信メッセージがクエリ対象のデータセット全体のサイズに応じて増大する。ラコニックOTはこれを解決する。受信者が短いメッセージで大規模データベースへのコミットメントを行い、続いて送信者からの1つの短いメッセージにより（取得場所は送信者が選択）、受信者がそのデータセットから特定のエントリを取得できる。「ラコニック」特性により受信者の送信メッセージはデータベースのサイズに依存しなくなり、わずか2ラウンドで漸近的に最適な通信量を実現しつつ不均衡な入力に対する安全な二者間計算が可能になる。応用としてはプライベートデータベース検索、大規模データセット上の非対話型安全計算、特定の種類のプライベート情報検索などが挙げられる。本論文は同種写像ベースの初のラコニックOT構築を提供する。

2つ目は「漏洩耐性およびKDM安全な公開鍵暗号（Leakage-Resilient and KDM-Secure PKE）」である。鍵漏洩耐性は実際的な懸念に対応する——実際の展開環境では、サイドチャネル攻撃やファームウェアの脆弱性などの手法により、基礎となる暗号アルゴリズムを直接破らずとも秘密鍵の一部情報が露出し得る。漏洩耐性スキームは、攻撃者が秘密鍵のビットの一定割合を取得した場合でも安全性を保つ——物理的プロービングや電力解析攻撃に脆弱なハードウェア上の高リスク実装にとって意味ある保証となる。鍵依存メッセージ（KDM）安全性（巡回安全性とも呼ばれる）は、ディスク暗号化や完全準同型暗号のブートストラップで自然に生じるより微妙な問題に対応する——暗号化されるメッセージ自体が、それを暗号化するために使われた秘密鍵に依存する場合に何が起きるか、という問題だ。本論文は、両方の性質を同時に満たす同種写像ベースの初の構築を提供する。

■「格子モノカルチャー」のリスク低減に向けて

暗号コミュニティは過去10年の大半を、高度な端の部分がほぼ全面的に格子に依存する耐量子ツールキットの構築に費やしてきた。NISTが標準化した鍵カプセル化メカニズム（ML-KEM）と署名スキーム（ML-DSA、FN-DSA）はいずれも格子の困難性に基づいている。高度な耐量子プリミティブのエコシステム全体——IBE、属性ベース暗号、機能性暗号、完全準同型暗号、ブロードキャスト暗号——もほぼ全面的に格子基盤の上に構築されてきた。

この集中は文書化されたシステム的リスクである。将来的にアルゴリズム設計・量子アルゴリズム・代数的暗号解析の進歩によって格子の中核的困難性仮定が破られた場合、その同時的帰結は単一スキームの崩壊ではなく、格子上に構築されたすべての高度プリミティブの崩壊となる。ML-KEMを危殆化させた数学的突破口は、証明書不要の認証システムを支える格子ベースIBE、特定のプライバシー保護型機械学習展開の基盤となる機能性暗号、クラウドコンピューティング製品に登場し始めたばかりのFHE構築も無効にするだろう。これが、論文の著者らが自らの研究動機として明示的に挙げる単一障害点問題である。

同種写像ベースの仮定は全く異なる数学——超特異楕円曲線とその同種写像グラフの算術——に根ざしており、真に独立した暗号学的困難性の源泉を提供すると考えられている。同種写像の仮定のもとで安全と証明されたスキームは、格子問題がいつか現在の想定より容易であることが判明しても崩壊しない。逆もまた然り。今回のIBE構築が意味するのは、10年来の難問への解答以上のことである——高度プリミティブの豊かなエコシステムが原理的に第2の基盤の上に再構築できることを実証し、数学的モノカルチャーから生じるシステム的リスクを低減する。

論文の3つの構築——IBEスキーム、ラコニックOT、漏洩耐性PKE——はいずれも耐量子安全であると推測される。著者らは本研究で開発された技術を、同種写像ベースの枠組み——彼らが「isogeny-land（アイソジェニーランド）」と呼ぶ領域——におけるさらなる高度な構築を可能にするための構成要素として期待している。

この枠組みの拡張は現在、IACR Cryptology ePrint Archiveのeprint.iacr.org/2026/1457で公開されている。量子耐性への移行を求めるNISTの期限の足音がかつてないほど大きく響く中での公開である。

■著者について

本論文は、IITマドラス校のShweta Agrawal、チューリッヒのIBM Research EuropeのAndrea Basso、ベンガルールのIBM Research IndiaのSikhar Patranabisの共著である。AgrawalはIITマドラス校コンピュータサイエンス・エンジニアリング学部の教授であり、理論および耐量子暗号、特に高度な暗号プリミティブの研究を行っている。BassoとPatranabisはIBM Researchの研究科学者であり、両者の先行共同研究にはSQIsign署名スキームへの貢献と、同種写像ベース暗号における信頼されたセットアップ問題を扱ったEUROCRYPT 2023論文「Supersingular Curves You Can Trust」が含まれる。

プレプリントはまだ正式な査読を経ていない。CCBYライセンスのもとeprint.iacr.org/2026/1457で入手可能である。

■注目ポイントQ&A

●IDベース暗号（IBE）とは何ですか？なぜ耐量子セキュリティにおいて重要なのですか？

IBEはメールアドレスや電話番号などの任意の文字列をそのまま公開鍵として利用できる暗号方式です。従来の公開鍵インフラ（PKI）では、送受信者がお互いの鍵を証明するために認証機関が必要でしたが、IBEではその仕組みが不要です。送信者は受信者のIDに対して直接暗号化でき、受信者の秘密鍵は信頼された鍵生成機関がそのIDから導出します。また、IBEは属性ベース暗号・機能性暗号・階層型IBEといったより高度なプリミティブの基礎となり、きめ細かなアクセス制御やプライバシー保護型計算、証明書不要の認証システムを実現できます。本研究の前まで、耐量子性能を持つIBEは格子暗号に基づくものしか存在していませんでした。今回、第2の選択肢が生まれました。

●SIKEの破綻により、同種写像暗号は安全ではないと証明されたのではないですか？

いいえ。SIKE（Supersingular Isogeny Key Encapsulation）はNISTの耐量子標準化プロセスで最有力だった同種写像ベースのスキームでした。2022年7月、研究者のWouter CastryckとThomas Decruが、古典的な計算のみで——量子コンピュータなしに——単一プロセッサで約1時間以内に秘密鍵を復元できる攻撃を発表しました。この攻撃が悪用したのはSIDH問題の特定の構造的弱点であり、SIDHの仕様上公開鍵の一部として公開が必要だった補助的なねじれ点情報でした。この特定の構造的弱点は、すべての同種写像ベース構築に存在するわけではありません。同種写像ベースのデジタル署名方式「SQIsign」は異なる数学を使用しており、2026年5月時点でNISTの追加デジタル署名標準化プロセスの第3ラウンドに進出しています。今回の新しいIBE構築が採用するCDHwMT仮定は、攻撃者が得られる補助情報がスキームを破るのに必要なねじれ構造とは異なる構造から得られるよう特別に設計されています。SIKEの教訓は「同種写像暗号が破られた」ということではなく、「この分野における仮定の設計には細心の注意が必要である」ということです。

●格子暗号以外の数学的基盤を持つことがなぜ重要なのですか？

現在、ほぼすべての高度な耐量子暗号プリミティブ——IBE、属性ベース暗号、機能性暗号、完全準同型暗号——は格子ベースの形でしか存在していません。将来の数学的突破により格子の中核的仮定が現在の想定より容易に解けることが分かった場合、それらのプリミティブはすべて同時に危殆化します。これが暗号学者が「単一障害点（モノカルチャーリスク）」と呼ぶものです。同種写像ベースの仮定は全く異なる数学——超特異楕円曲線間の写像を計算する困難性——に依拠しています。同種写像の仮定から安全と証明されたスキームは、格子問題が破られても崩壊しません。逆も然りです。IBEが同種写像の仮定から達成可能であることを示すことで、本論文は耐量子暗号の高度プリミティブ層に対する第2の独立した数学的柱を開き、そのモノカルチャーリスクを直接低減しています。

●今回構築された新しい暗号方式はすぐに実運用で利用できますか？

すぐには利用できません。今回の成果は「同種写像から耐量子IBEが理論的に構築可能である」ことを証明した概念実証（PoC）段階です。計算速度や鍵サイズの最適化は行われておらず、実運用レベルに達するには今後の技術的・工学的な改善研究が必要です。また、プレプリントはまだ正式な査読を経ていません。

●ラコニックOT（Laconic Oblivious Transfer）とは何ですか？今回の新しい構築の実用的な意義は何ですか？

OT（紛忘転送）はプライベート計算の基礎的な構成要素であり、送信者が複数の候補から1つを受信者に送信する際に、送信者はどれが選ばれたかを知らず、受信者も選ばれなかった候補を知らないという仕組みです。標準的なOTの課題は通信オーバーヘッドで、受信者の送信メッセージが通常データセット全体に応じて増大します。ラコニックOTはこれを解決し、受信者が1つの短いメッセージで大規模データベースへのコミットメントを行い、その後送信者が別の短いメッセージを送ることで、データベースの大きさに関わらず受信者が特定のエントリを取得できます。これによりプライベートデータベース検索、ゲノムデータの安全なマッチング、禁止的な通信コストが生じるデータセット上の非対話型安全計算が可能になります。本論文は同種写像ベースの初のラコニックOT構築を提供しており、この機能が格子とは独立した仮定族から初めて達成可能となったことを意味します。

元記事: Post-Quantum Cryptographers Give Identity-Based Encryption a Second Math Foundation