ISOがClassic McEliece耐量子暗号を標準化：コードベース暗号がRSAとどう違うのか、その政府・業界からの支持を解説

本記事は、提供された一次資料に基づき、Classic McElieceに関する事実を検証・解説します。

ISOによるClassic McElieceの標準化：2026年6月、正式決定

2026年6月、国際標準化機構（ISO）は、耐量子暗号アルゴリズム「Classic McEliece」を国際標準として正式に採用しました。 これは、沖縄科学技術大学院大学（OIST）のカルロス・シド教授を含む国際チームが開発に関わったアルゴリズムです。

この決定は、NIST（米国国立標準技術研究所）が2025年にClassic McElieceではなくHQCを標準化した後に行われました。NISTは、Classic McElieceの標準化について「ISOの標準化プロセスが完了した後、ISO標準に基づいてNIST標準の開発を検討する可能性がある」と述べており、ISO標準化を重要なマイルストーンと見なしていました。

コードベース暗号 vs RSA：その本質的な違い

Classic McElieceは「コードベース暗号」に分類され、その安全性の根拠は、RSAなどの「数論ベース暗号」とは根本的に異なります。

観点	Classic McEliece (コードベース)	RSA (数論ベース)
安全性の根拠 (Hard Problem)	誤り訂正符号（特にGoppa符号）の復号困難性に基づく、コードベースの安全性仮定	大きな整数の素因数分解の難しさに基づく数論的仮定
コアメカニズム	平文を誤り訂正符号の符号語に符号化し、意図的に誤りを付加。秘密鍵を持つ者のみが復号可能	公開鍵（法と指数）を用いて暗号化。秘密鍵は素因数情報に依存
量子コンピュータへの耐性	量子攻撃に耐性がある耐量子暗号として研究されてきた。RSAと同じ数論的仮定に依存しないため	量子コンピュータ（Shorのアルゴリズムなど）によって破られることが知られており、移行が急務
公開鍵サイズ	非常に大きい。NISTの資料によると、約260KB〜1MB	一般的な運用ではClassic McElieceよりはるかに小さい
暗号文サイズ	小さい。これがClassic McElieceの大きな利点の一つ	RSAのモジュラスサイズに依存
パフォーマンス	カプセル化と脱カプセル化は高速だが、鍵生成は低速	直接の比較データは提供されたソースにはない

要約: RSAは「数論」に依存するのに対し、Classic McElieceは「誤り訂正符号」に依存します。その代償として公開鍵は巨大ですが、暗号文は小さく、1978年の発明以来、破られていない圧倒的なセキュリティ実績を持ちます。

政府・業界からの支持と背景

ドイツ連邦情報セキュリティ庁 (BSI)

BSIは、その技術指針「TR-02102-1」において、Classic McElieceを長期間の機密保護に適した耐量子暗号として最も早い段階（2020年版）から推奨しています。BSIはClassic McElieceを「最も保守的な選択肢」と位置づけ、mceliece460896などの特定のパラメータセットを推奨リストに含めています。2025年版のガイドラインでも、Classic McElieceは引き続き推奨される代替案の一つです。

米国国立標準技術研究所 (NIST)

NISTは、耐量子暗号プロジェクトの第4ラウンドでClassic McElieceを評価しました。しかし2025年、NISTはコードベースのKEMとしてClassic McElieceではなくHQCを標準化することを発表しました。

NISTはその理由として、「Classic McElieceは非常に安全であると広く認識されているが、公開鍵が非常に大きいことや関心が限定的であることから、広く使われるとは予想していない」と説明しています。また、NISTはISO標準化のプロセスを待ち、完了後にISO標準に基づいたNIST標準の策定を検討すると表明しました。

業界（Mullvad VPNなど）

一部の報道では、VPNサービスのMullvad VPNがClassic McElieceを先駆的に導入したとされていますが、提供されたソース群からは、その具体的な導入時期や技術的詳細（openssh-mcelieceパッチの使用など）を検証することはできませんでした。

まとめ

ISOによるClassic McElieceの標準化は、耐量子暗号の世界において重要な節目です。RSAとは全く異なる数学的基盤を持つこのアルゴリズムは、47年にわたるセキュリティ実績を誇り、ドイツBSIなどの政府機関からも強く支持されています。公開鍵の大きさという課題はあるものの、その堅牢性は「究極のバックアップ」として、量子コンピュータ時代のセキュリティに新たな選択肢を提供します。

• ISO: 2026年6月、Classic McElieceを国際標準として正式採用。
• NIST: 2025年、Classic McElieceに代わりHQCを標準化。Classic McElieceの将来の標準化はISOに委ねる方針。
• BSI: 2020年よりClassic McElieceを推奨。長期間の機密保護に適した「最も保守的な選択肢」と評価。
• セキュリティモデル: コードベース暗号（誤り訂正符号の復号困難性）に依存。これはRSAの数論的仮定とは本質的に異なる。