えむえるけむ
米国のNISTが2024年8月にFIPS 203として標準化した、格子に基づく鍵カプセル化メカニズム(KEM)。Module-Lattice-Based Key-Encapsulation Mechanism の略で、CRYSTALS-Kyberをもとにしている。小さな誤りを加えた連立一次方程式から秘密を求めるModule-LWE問題の難しさに安全性の根拠を置き、量子コンピュータでも効率よく解けないと考えられている。ML-KEM-512、ML-KEM-768、ML-KEM-1024の3つのパラメータセットがある。TLSなどで、ECDHEの鍵交換を置き換えたり、組み合わせたりするために使われる。
「ML-KEM」は、3分野の7問の練習問題に出てきます(暗号技術の基礎と応用, ハードウェアセキュリティの最新動向, 量子コンピュータのハードウェアなど)。
この用語の分野: 暗号技術の基礎と応用
KEMは、鍵の生成、カプセル化、カプセル化の解除の3つの操作からなります。送り手は受け手の公開鍵でカプセル化を行い、ランダムな共有の秘密と、それを包んだ暗号文を得て、暗号文を送ります。受け手は秘密鍵でカプセル化を解除し、同じ共有の秘密を得ます。ディフィー・ヘルマン鍵交換と違い、送り手は長く使う自分の鍵の対を用意する必要がありません。
ML-KEM-768では、公開鍵(カプセル化鍵)が1,184バイト、暗号文が1,088バイト、共有の秘密が32バイトです。楕円曲線の鍵交換X25519の公開値は32バイトなので、送るデータはずっと大きくなります。一方、計算そのものは軽く、楕円曲線の鍵交換と比べても遅くないとされています。
新しい方式への不安に備えて、X25519とML-KEM-768の共有の秘密を両方とも鍵の導出に入れるハイブリッド鍵交換(X25519MLKEM768など)が、2025年時点でTLS 1.3で使われ始めています。どちらか一方が安全なら、できる鍵は守られます。
正解：B. 送り手は受け手の公開鍵から共有の秘密とそれを包んだ暗号文を作り、受け手は秘密鍵で同じ秘密を取り出す
KEMは、鍵の生成、カプセル化、カプセル化の解除の3つの操作からなります。送り手は受け手の公開鍵でカプセル化を行い、ランダムな共有の秘密と、それを包んだ暗号文を同時に得て、暗号文だけを送ります。受け手は秘密鍵でカプセル化を解除して同じ共有の秘密を得て、その後はこれをもとにした鍵で共通鍵暗号を使います。KEMは鍵を共有するための仕組みなので、相手の認証には、ML-DSAなどの署名を別に使います。
正解：A. 2つの方式で得た共有の秘密を両方とも鍵の導出に入れ、どちらか一方が安全である限り、できる鍵が安全であるようにする
ML-KEMは新しい方式で、実装の誤りや新しい攻撃が見つかるおそれを、まだ十分には否定できません。一方、X25519は量子コンピュータには弱いものの、古典のコンピュータに対する安全性には長い実績があります。ハイブリッド鍵交換では、両方の共有の秘密をつなげて鍵導出関数に入れるので、攻撃者は両方を破らないと鍵を得られず、今記録された通信を将来の量子コンピュータで解読されることも防げます。2025年時点で、この組み合わせ(X25519MLKEM768など)がTLS 1.3で使われ始めています。
できません。ML-KEMは鍵を共有するための仕組みです。耐量子計算機暗号の署名には、同じく2024年8月に標準化されたML-DSA(FIPS 204)やSLH-DSA(FIPS 205)を使います。
違います。ML-KEMは数学の問題の難しさに基づき、ふつうのコンピュータとネットワークでそのまま動きます。量子鍵配送は、光子などの量子の性質を使って鍵を共有する技術で、専用の装置と通信路が必要です。
ML-KEMは新しい方式で、実装の誤りや新しい攻撃が見つかるおそれを、まだ十分には否定できません。
耐量子計算機暗号への移行の途中で使われる、X25519(楕円曲線を使うディフィー・ヘルマン鍵交換)とML-KEMを組み…そのためFIPS 203では、一致しないときにエラーを返さず、秘密の値と暗号文から作った別の鍵を返すと定めており(暗黙の拒否)、実装では比べる処理と結果を選ぶ処理を定数時間で行います。
ML-KEMのカプセル化の解除では、受け取った暗号文を秘密鍵で復号した結果から暗号文をもう一度作り、受け取った暗号文と…米国の NIST は2024年に、格子に基づく鍵カプセル化方式 ML-KEM(FIPS 203)や署名方式 ML-DSA(FIPS 204)などを標準として公表しました。
耐量子計算機暗号(ポスト量子暗号、PQC)の説明として正しいものはどれか。FIPS 203のML-KEM(もとの名前はCRYSTALS-Kyber)は鍵を共有するための鍵カプセル化メカニズムで、FIPS 204のML-DSA(CRYSTALS-Dilithium)とFIPS 205のSLH-DSA(SPHINCS+)はデジタル署名の方式です。
米国のNISTが2024年8月に公表した耐量子計算機暗号の標準と、その種類の組み合わせとして正しいものはどれか。ML-KEMは係数を q = 3329 を法として扱い、NTTで計算することを前提に設計されているので、NTTの回路は耐量子計算機暗号の加速器の中心的な部品になります。
格子に基づく耐量子計算機暗号では、次数 n = 256 の多項式の掛け算を何度も行う。係数どうしをすべて掛け合わせる素…Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。
耐量子計算機暗号 ハッシュ関数 共通鍵暗号 ディフィー・ヘルマン鍵交換 TLS マイコン(マイクロコントローラ) ショアのアルゴリズム RSA暗号 楕円曲線暗号 デジタル署名