米国のNISTが2024年8月に公表した耐量子計算機暗号の標準と、その種類の組み合わせとして正しいものはどれか。

正解：C. FIPS 203のML-KEMは格子に基づく鍵カプセル化メカニズム、FIPS 204のML-DSAは格子に基づく署名方式、FIPS 205のSLH-DSAはハッシュ関数に基づく署名方式

NISTは2024年8月13日に、耐量子計算機暗号の最初の標準として3つのFIPSを公表しました。FIPS 203のML-KEM(もとの名前はCRYSTALS-Kyber)は鍵を共有するための鍵カプセル化メカニズムで、FIPS 204のML-DSA(CRYSTALS-Dilithium)とFIPS 205のSLH-DSA(SPHINCS+)はデジタル署名の方式です。ML-KEMとML-DSAは、格子に関する問題(小さな誤りを加えた連立一次方程式から秘密を求めるModule-LWE問題など)の難しさに基づきます。SLH-DSAはハッシュ関数の安全性だけに基づくので、署名は大きく遅くなりますが、格子の問題に弱点が見つかった場合の備えになります。

• A. 鍵カプセル化メカニズムと署名の役割が入れ替わっています。SLH-DSAはハッシュ関数に基づく署名方式で、共通鍵暗号ではありません。
• B. 楕円曲線の上の問題はショアのアルゴリズムで解けるので、耐量子計算機暗号の根拠にはなりません。ML-KEMは、署名ではなく鍵カプセル化メカニズムです。
• C. 正しい。鍵の共有にML-KEM、署名にML-DSAとSLH-DSAを使います。