1978年に生まれ、2026年に世界標準へ：Classic McElieceが切り拓くポスト量子暗号の新時代

ISO、Classic McElieceを国際暗号標準に追加

2026年6月5日、国際標準化機構は非対称暗号の国際規格「ISO/IEC 18033-2」の改訂版を公開し、符号ベースで量子耐性を持つアルゴリズムとしては初めて「Classic McEliece」を正式に追加した。別の業界分析によれば、同じ改訂で「FrodoKEM」も標準化されている。

この標準はISOの177の加盟国にある組織が利用可能となり、認識された国際的枠組みのもとでポスト量子暗号を採用できるようになった。国際標準があることで、実装の非互換リスクが減り、調達や監査の共通基準が生まれるという実務的メリットがある。

Classic McEliece：起源、トレードオフ、標準化における役割

起源（1978年）

ロバート・J・マクエリスが1978年に発表した暗号システムは、ランダムな2元Goppa符号を復号する困難さ（NP困難であり、量子コンピューターでも効率的に解ける方法が知られていない問題）に安全性の基盤を置いている。Classic McElieceはその直系の子孫であり、改良版であるNiederreiterの双対方式（シンドロームベース）を採用し、同じ安全性の仮定を引き継いでいる。

巨大な公開鍵というトレードオフ

Classic McElieceの最大の弱点——そして1980年代に広く採用されなかった理由——は、公開鍵のサイズにある。鍵のサイズは約261キロバイトから1.3メガバイト（パラメータセットによっては1,047,319バイト）にもなる。これはRSAやECCの鍵（通常数百バイト）よりも桁違いに大きく、IoT機器やスマートカード、帯域幅が限られた環境でのTLSハンドシェイクには不向きである。

その代償として得られるのは、極めてよく理解された安全性である。45年以上の研究を経ても、実用的な暗号解読の改良は見つかっていない。

国際標準化における位置づけ

Classic McElieceは現在、複数の標準化団体に認識されており、それぞれの役割は以下の通りである。

Classic McElieceは「保守的なバックアップ」、すなわち第二の防御線として位置づけられている。もしNISTがすでに標準化した格子ベースの方式（ML-KEM / CRYSTALS-Kyber）が破られた場合、符号ベース暗号は数学的に独立したフォールバックを提供する。

NISTが先に標準化しなかった理由

特筆すべきは、NISTが2025年にClassic McElieceの標準化を明示的に延期したことだ。NISTは「NISTとISOによるClassic McElieceの同時標準化は、互換性のない標準を生むリスクがある」と指摘し、ISOのプロセス完了後にISO標準に基づく標準化を検討するとしていた。NISTは同じ符号ベースの別アルゴリズム「HQC」を標準化に選んだが、Classic McElieceは第4ラウンドに残り、将来の検討候補となっている。

PQC移行の緊急性を加速する最近の動き

ISOの標準化だけでも大きなニュースだが、それに加えて、PQC移行の期限を漠然とした2030年代の問題から具体的な約3年のデッドラインに変えた複数の動きが同時に進行している。

Googleの2029年移行期限

2026年3月25日、Googleのセキュリティエンジニアリング担当VPであるヘザー・アドキンズ氏と暗号技術者ソフィー・シュミーク氏は、「Quantum frontiers may be closer than they appear」と題するブログ記事を公開し、2029年を全社的なPQC移行の内部期限として設定した。これは、NISTの2035年やNSAの2031年といった従来の業界見通しから、実質的に6年もの前倒しとなる。

楕円曲線暗号解読に必要な量子ビット数の大幅減少

Googleが期限を前倒しした背景の一つに、Shorのアルゴリズムによる楕円曲線暗号攻撃に必要なリソース推定値が劇的に下がったことがある。新しい回路最適化技術により、256ビット楕円曲線暗号の破壊に必要な物理量子ビット数が、従来の数百万から数十万にまで削減される可能性が出てきた。

Cloudflareの同調

Cloudflareも同様の緊急性を公に示し、Googleの2029年と歩調を合わせたスケジュールでPQC移行を完了する計画を発表している。CloudflareはすでにX25519Kyber768ハイブリッド鍵合意を含むPQC TLSの早期導入を進めており、本番環境への全面展開を加速している。

「ハーベスト・ナウ・デクリプト・レイター」（HNDL）懸念

Googleは「store-now, decrypt-later（今収穫し、後で解読する）」リスクを移行推進の主な理由として明示的に挙げている。国家レベルの攻撃者を含む敵対勢力は、すでに暗号化されたトラフィック（VPN接続、金融データ、国家機密、暗号通貨の通信など）を収集し始めている。量子コンピューターが利用可能になった時点で解読する意図があるということであり、RSAやECCで今日暗号化されたデータはすでにリスクにさらされていることになる。

2026年6月の米大統領令

さらに追い打ちをかけるように、2026年6月にはバイデン政権が大統領令を発令し、すべての米国連邦政府機関に対し、PQC移行の加速と、インベントリ作成、評価、移行計画策定のための拘束力のある期限を課した。これは2022年の「量子コンピューティングサイバーセキュリティ準備法」および2024年のNIST PQC標準（FIPS 203/204/205）を基盤とし、自主的なガイドラインを連邦政府の必須要件へと格上げするものだ。

収束：これが意味すること

ISOの公式標準（Classic McEliece、FrodoKEM）、NISTの主要アルゴリズム（ML-KEM、ML-DSA、SLH-DSA）の最終化、Googleの2029年期限、低下する量子ビット推定値、Cloudflareの同調、すでに進行中のHNDL脅威、そして2026年6月の米大統領令——これらすべてが収束し、PQC移行の緊急度を根本から変えた。

標準化のインフラは整った。残る課題は、ほとんどの組織にとって、それを大規模に実行することだ。すなわち、暗号資産の棚卸し、高リスクシステム（認証、長期保存データ、VPN）の優先順位付け、そして2029年までにハイブリッドまたはPQCアルゴリズムへの移行を開始することである。

Classic McElieceは、その公開鍵の大きさから、ほとんどの組織が日常のTLSに使うアルゴリズムではない。しかし、長期データ保護、高機密の政府通信、そしてセキュリティの確実性が帯域幅よりも重要なアプリケーションにとって、この新しく標準化された1978年のアルゴリズムは、インターネットが必要とするまさに保守的なバックアップとなるだろう。