Cryptography on kenji.blog

格子暗号（Lattice-based cryptography）の数学的直観

Fri, 11 Sep 2026 21:00:00 +0900

1. 導入：ポスト量子暗号（PQC）の夜明けと格子暗号の台頭

現代社会のデジタルインフラを支えているのは、RSA暗号や楕円曲線暗号（ECC）をはじめとする公開鍵暗号技術です。これらの暗号方式は、「素因数分解問題」や「離散対数問題」といった、従来の古典コンピュータでは効率的に解くことができない（指数関数的な時間を要する）と信じられている数学的な困難性に安全性の根拠を置いています。

しかし、1994年にピーター・ショア（Peter Shor）によって発表された「Shorのアルゴリズム」は、暗号界に激震を走らせました。このアルゴリズムは、大規模な量子コンピュータが実現した暁には、素因数分解問題や離散対数問題を多項式時間で解いてしまうことを数学的に証明したのです。これはつまり、現在広く利用されている公開鍵暗号が、将来的に完全に解読可能になってしまうということを意味しています。

このような「量子コンピュータの脅威（Quantum Threat）」に対抗するため、量子コンピュータを用いても解読が困難な新しい暗号方式の研究が急務となりました。これが「ポスト量子暗号（Post-Quantum Cryptography: PQC）」または「耐量子計算機暗号」と呼ばれる分野です。

PQCにはいくつかの有力な候補が存在します。ハッシュベース暗号、符号ベース暗号、多変数多項式暗号、同種写像暗号などが挙げられますが、その中でも現在最も注目を集め、NIST（米国国立標準技術研究所）によるPQC標準化プロセスの中心となっているのが「格子暗号（Lattice-based cryptography）」です。格子暗号は、他の方式と比較して、暗号化・復号の処理速度が非常に高速であり、また「最悪時計算量（Worst-case complexity）」から「平均時計算量（Average-case complexity）」への帰着という、暗号理論において極めて強力な安全性の証明を持つという際立った特徴を持っています。

本記事では、この格子暗号の基礎となる「格子（Lattice）」の数学的定義から出発し、格子上の困難な問題であるSVP（最短ベクトル問題）やCVP（最近接ベクトル問題）、そして現代の格子暗号の心臓部とも言える「LWE問題（Learning With Errors）」について、数式と幾何学的な直観、そして具体的な数値例を交えて、徹底的に深く解説していきます。

2. 格子（Lattice）の数学的定義と幾何学的直観

2.1 ベクトル空間と格子

数学において、「格子（Lattice）」とは、$n$次元実ベクトル空間 $\mathbb{R}^n$ 内に規則正しく並んだ離散的な点の集合のことです。線形代数学で学ぶベクトル空間（Vector Space）と似ていますが、決定的な違いがあります。ベクトル空間が基底ベクトルの「実数係数」での線形結合で表される連続的な空間であるのに対し、格子は基底ベクトルの「整数係数」での線形結合で表される離散的な空間です。

数学的な厳密な定義を与えましょう。$m$次元実ベクトル空間 $\mathbb{R}^m$ における $n$ 本（$n \le m$）の線形独立なベクトル $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ を考えます。これらのベクトルを列ベクトルとして持つ行列を $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$ とします。この $B$ を格子の「基底（Basis）」と呼びます。

この基底 $B$ によって生成される格子 $\mathcal{L}(B)$ は、次のように定義されます。

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

ここで重要なのは、係数 $x_i$ が実数 $\mathbb{R}$ ではなく、整数 $\mathbb{Z}$ に限定されているという点です。これにより、空間内に無数に存在する連続的な点ではなく、等間隔に配置された交差点のような「離散的な点の集合」が形成されます。

2.2 幾何学的なイメージ

2次元平面 $\mathbb{R}^2$ の例で考えてみましょう。基底ベクトルとして $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ と $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$ を選んだ場合、これらによって生成される格子は、座標平面上のすべての整数座標 $(x, y) \in \mathbb{Z}^2$ の集合となります。これは最も単純な「正方格子」です。

しかし、格子は常に直交しているわけではありません。例えば、$\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ と $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$ という基底を考えると、生成される点は斜めに歪んだ網目の交点のようになります。

2.3 基底の非一意性とユニモジュラ変換

格子暗号の安全性の根幹に関わる重要な性質があります。それは、「同一の格子を生成する基底は無数に存在する」ということです。

例えば、先ほどの $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ という基底が生成する $\mathbb{Z}^2$ 格子は、$\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$ という基底を使っても全く同じ格子 $\mathbb{Z}^2$ を生成します。

ある基底 $B$ と別の基底 $B'$ が同じ格子を生成するための必要十分条件は、ある整数成分の行列 $U \in \mathbb{Z}^{n \times n}$ であって、行列式が $\det(U) = \pm 1$ となるものが存在し、

$$ B' = B U $$

と表せることです。このような行列 $U$ を「ユニモジュラ行列（Unimodular matrix）」と呼びます。

暗号への応用における基本的なアイデアは、「良い基底（直交に近く、短いベクトルからなる基底）」を秘密鍵とし、「悪い基底（互いに極端に斜交し、非常に長いベクトルからなる基底）」を公開鍵として用いることです。悪い基底から良い基底を計算で求めることは、次元が高くなると非常に困難になります。これが格子暗号の基本的な直観です。

3. 格子における計算困難な問題

格子暗号の安全性は、格子上の特定の数学的問題を解くことの困難性に依存しています。ここでは、最も基本的かつ有名な2つの問題を紹介します。

3.1 最短ベクトル問題（Shortest Vector Problem: SVP）

SVPは、格子理論において最も古典的で有名な問題です。

定義（SVP）: 任意の格子基底 $B$ が与えられたとき、その格子 $\mathcal{L}(B)$ に属する非ゼロベクトルの中で、ユークリッドノルム（長さ）が最小となるベクトル $\mathbf{v}$ を見つけよ。

数式で表すと、$\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$ となる $\mathbf{v}$ を求める問題です。この最小の長さを $\lambda_1(\mathcal{L})$ と書き、「格子の第一連続最小値（First successive minimum）」と呼びます。

2次元や3次元の低い次元であれば、図を描けば目で見て一番短いベクトルを見つけることができます。あるいは、ガウスの格子簡約アルゴリズムなどを使って効率的に解くことができます。しかし、次元 $n$ が数百〜数千といった高次元になると、SVPを厳密に解くことはNP困難であることが知られています。

現実の暗号では、厳密な最短ベクトルではなく、「近似的に短いベクトル」を見つける近似SVP（$\gamma$-SVP）が用いられます。近似係数 $\gamma$ が多項式サイズの場合、この問題は依然として非常に難しいと考えられています。

3.2 最近接ベクトル問題（Closest Vector Problem: CVP）

CVPもまた、格子暗号において極めて重要な問題です。

定義（CVP）: 任意の格子基底 $B$ と、空間内の任意のターゲットベクトル $\mathbf{t} \in \mathbb{R}^m$ （必ずしも格子点ではない）が与えられたとき、格子点の中で $\mathbf{t}$ に最も近い格子点 $\mathbf{v} \in \mathcal{L}(B)$ を見つけよ。

数式で表すと、$\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$ となる格子点 $\mathbf{v}$ を探す問題です。

CVPもSVPと同様に、高次元においてはNP困難です。暗号への応用という観点では、後述するLWE問題は、このCVPの特殊な変種（Bounded Distance Decoding: BDD）と密接な関係があります。

3.3 なぜ高次元になると解けないのか？（LLLとBKZの限界）

高次元の格子問題を解くための有名なアルゴリズムとして、LLLアルゴリズム（Lenstra-Lenstra-Lovász algorithm）があります。LLLアルゴリズムは多項式時間で動作し、格子基底をある程度「良い基底」に簡約（Reduction）することができます。しかし、LLLアルゴリズムが見つけることができる最短ベクトルは、真の最短ベクトルの長さに対して指数関数的（$2^{\mathcal{O}(n)}$）な近似係数を持つため、暗号の安全性を破るには至りません。

LLLを改良したBKZ（Block Korkine-Zolotarev）アルゴリズムなどのより強力な基底簡約アルゴリズムを用いれば、より短いベクトルを見つけることができますが、その計算量はブロックサイズに対して指数関数的に増大します。格子暗号では、このBKZアルゴリズムの実行時間を見積もることで、安全なパラメータ（次元 $n$ の大きさなど）を決定しています。現在のPQCの標準パラメータでは、次元 $n$ は500から1000以上の値が選ばれており、スーパーコンピュータや将来の量子コンピュータを用いても解読には宇宙の年齢以上の時間がかかるとされています。

4. LWE問題（Learning With Errors）の数学的定式化

現代の格子暗号の大部分は、2005年にOded Regevによって提唱された「LWE問題（Learning With Errors）」をベースにしています。LWE問題の美しさは、その定式化のシンプルさと、「最悪時計算量から平均時計算量への帰着」という強力な数学的証明を持っている点にあります。

4.1 ノイズなしの連立一次方程式

LWE問題を理解するために、まずはノイズのない単純な連立一次方程式を考えてみましょう。未知の秘密ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$ （各成分は $0$ から $q-1$ の整数）があるとします。ここで $q$ は素数とします。

ランダムな係数ベクトル $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$ を選び、秘密ベクトル $\mathbf{s}$ との内積を法 $q$ で計算します。 $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

十分な数（$n$個以上）の $(\mathbf{a}_i, b_i)$ のペアを与えられた場合、私たちは線形代数における「ガウスの消去法（Gaussian elimination）」を用いることで、容易に秘密ベクトル $\mathbf{s}$ を復元することができます。これは多項式時間で簡単に解ける問題です。

4.2 LWE問題の定義：ノイズを加える

では、この問題にわずかな「ノイズ（誤差）」を加えたらどうなるでしょうか？これがLWE問題の本質です。

未知の秘密ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$ に対して、各方程式の結果に小さな誤差 $e_i \in \mathbb{Z}_q$ を加えます。 $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

ここで、$e_i$ は平均0、標準偏差が比較的小さい（例えば正規分布のような、離散ガウス分布から選ばれた）小さな整数値です。与えられる情報は、ランダムなベクトル $\mathbf{a}_i$ と、それに誤差を加えて計算された $b_i$ のペアのリストです。 $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

これを行列で表現すると非常にスッキリします。ランダムな行列 $A \in \mathbb{Z}_q^{m \times n}$、秘密ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$、誤差ベクトル $\mathbf{e} \in \mathbb{Z}_q^m$ を用いて、

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

と書けます。与えられるのは $A$ と $\mathbf{b}$ のみです。ここから $\mathbf{s}$ を求めるのが「探索LWE問題（Search LWE problem）」です。

誤差 $e_i$ が入っているため、ガウスの消去法を使おうとすると、方程式を足し引きする過程で誤差が指数関数的に増幅してしまい、正しい答えに辿り着くことができなくなります。一見すると単純な連立一次方程式に見えますが、この小さなノイズが加わるだけで、問題の難易度がNP困難なレベルへと跳ね上がるのです。

4.3 決定LWE問題（Decision LWE）

暗号理論の証明において頻繁に用いられるのは、探索LWE問題のバリエーションである「決定LWE問題（Decision LWE problem）」です。

決定LWE問題とは、以下の2つの分布から得られたサンプルのリストを与えられたとき、それがどちらの分布から来たものかを判定する問題です。

LWE分布: 意図的に計算された $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$
一様ランダム分布: 完全にランダムに選ばれた行列 $A$ とベクトル $\mathbf{u}$ からなる $(A, \mathbf{u})$

驚くべきことに、LWE問題のパラメータを適切に選べば、LWE分布から得られたペアは、完全にランダムなデータのペアと「計算量的に識別不可能（Computationally Indistinguishable）」になります。この性質が、LWEベースの暗号が「乱数と区別がつかない暗号文」を生成できる根拠となっています。

4.4 最悪時計算量から平均時計算量への帰着（Regevの定理）

Oded Regevの最大の功績は、このLWE問題の難しさを、前述の格子問題（SVPやCVP）の難しさに数学的に結びつけたことです。

彼は量子還元（Quantum reduction）を用いて、「もしLWE問題を平均的に（ランダムに選ばれた $A$ と $\mathbf{e}$ に対して）解くことができる多項式時間のアルゴリズムが存在するならば、任意の格子の最悪ケース（最も難しいケース）のGap-SVPを解くことができる多項式時間の量子アルゴリズムが存在する」ということを証明しました。（後に、Peikertらによって古典的な還元も示されています）。

これは暗号理論において夢のような性質です。なぜなら、「暗号が破られるのは、我々がたまたま弱い鍵（平均的なケースの一部）を選んでしまったからかもしれない」という懸念を払拭し、「平均的なLWEが解けるなら、格子の全ての難しい問題が解けてしまう（だからLWEは絶対に難しい）」という強力な保証を与えてくれるからです。

graph TD A["Worst-case Lattice Problems (Gap-SVP, SIVP)"] -->|Quantum/Classical Reduction| B["Average-case LWE Problem"] B -->|Cryptographic Construction| C["LWE-based Cryptosystems (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. LWEを用いた公開鍵暗号方式（Regev暗号）の構築

LWE問題の困難性を理解したところで、それを使ってどのように暗号化と復号を行うのか、Oded Regevが提案した基本的な公開鍵暗号方式を見ていきましょう。ここでは、1ビットのメッセージ $M \in \{0, 1\}$ を暗号化する最も基本的な仕組みを解説します。

5.1 鍵生成（Key Generation）

システムパラメータとして、法となる素数 $q$、次元 $n$、方程式の数 $m$（$m > n \log q$）を決定します。
秘密鍵として、ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$ をランダムに選びます。
ランダムな行列 $A \in \mathbb{Z}_q^{m \times n}$ を生成します。
小さな誤差ベクトル $\mathbf{e} \in \mathbb{Z}_q^m$ を離散ガウス分布などの誤差分布から選びます。
ベクトル $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$ を計算します。
公開鍵（Public Key）は $(A, \mathbf{b})$ となります。
秘密鍵（Secret Key）は $\mathbf{s}$ となります。

公開鍵はまさに「LWE問題のインスタンス」そのものです。公開鍵 $(A, \mathbf{b})$ から秘密鍵 $\mathbf{s}$ を求めることは、探索LWE問題を解くことに等しいため、安全性が保証されます。

5.2 暗号化（Encryption）

アリスはボブの公開鍵 $(A, \mathbf{b})$ を用いて、1ビットのメッセージ $M \in \{0, 1\}$ を暗号化します。

ランダムなバイナリベクトル（成分が0か1）$\mathbf{r} \in \{0, 1\}^m$ を選びます。
暗号文の前半部分として、ベクトル $\mathbf{u} = A^T \mathbf{r} \pmod q$ を計算します。（$A^T$ は $A$ の転置行列です。つまり、$A$ の行のうち、$\mathbf{r}$ の成分が1である行を足し合わせています）。
暗号文の後半部分として、スカラー $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$ を計算します。（メッセージ $M$ が0なら何も足さず、$1$ なら $q$ のちょうど半分の値 $\lfloor \frac{q}{2} \rfloor$ を足します）。
暗号文（Ciphertext）は $(\mathbf{u}, v)$ となります。

暗号化の直観的な意味合いは、公開鍵の行列 $A$ とベクトル $\mathbf{b}$ に対して、「ランダムな部分集合の和」をとることです。決定LWE問題の困難性により、この暗号文 $(\mathbf{u}, v)$ は、完全にランダムなベクトルと一様乱数と区別がつかないように見えます（意味的安全性：Semantic Security）。

flowchart LR M["Message M in {0,1}"] --> Enc PK["Public Key (A, b)"] --> Enc r["Random binary vector r"] --> Enc subgraph Enc ["Encryption Process"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["Ciphertext (u, v)"]

5.3 復号（Decryption）

ボブは秘密鍵 $\mathbf{s}$ を用いて暗号文 $(\mathbf{u}, v)$ を復号します。

次の値を計算します： $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
計算した結果が、$0$ に近ければ $M=0$、$\lfloor \frac{q}{2} \rfloor$ に近ければ $M=1$ として出力します。

なぜこれで復号できるのか、数学的に展開してみましょう。 $\mathbf{b} = A \mathbf{s} + \mathbf{e}$ であったことを思い出してください。

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

ここで、式の中から $\mathbf{s}^T A^T \mathbf{r}$ が綺麗に相殺されて消えました！残ったのは $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$ です。

$\mathbf{e}$ は成分が非常に小さなノイズベクトルであり、$\mathbf{r}$ は成分が0か1のバイナリベクトルです。したがって、それらの内積である $\mathbf{e}^T \mathbf{r}$ も、（パラメータを適切に選べば）比較的小さな値に留まります。

もし $M=0$ ならば、結果は $\mathbf{e}^T \mathbf{r}$ となり、$0$ に近い小さな値になります。
もし $M=1$ ならば、結果は $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$ となり、$q$ の半分の値 $\lfloor \frac{q}{2} \rfloor$ の周辺に位置することになります。

誤差 $\mathbf{e}^T \mathbf{r}$ の絶対値が $\frac{q}{4}$ 未満に収まるようにパラメータが設計されていれば、ボブは計算結果が $0$ と $\lfloor \frac{q}{2} \rfloor$ のどちらに近いかを見るだけで、メッセージ $M$ を正確に判定（復号）することができます。これがLWEベースの暗号が機能する美しいメカニズムです。

flowchart LR CT["Ciphertext (u, v)"] --> Dec SK["Secret Key s"] --> Dec subgraph Dec ["Decryption Process"] direction TB calc["Compute D = v - s^T * u mod q"] check["Check if D is closer to 0 or q/2"] end calc --> check Dec --> M_out["Recovered Message M"]

6. 具体的な数値を用いたLWE暗号のトイ・エグザンプル

数式の羅列だけでは実感が湧きにくいと思いますので、実際に非常に小さな数値パラメータを設定して、暗号化から復号までの計算を追ってみましょう。（※現実の暗号システムでは、安全性確保のため $n$ は500以上、$q$ は数千以上の値が使われます）

【パラメータ設定】

法 $q = 17$ （素数。したがって値は $0$ から $16$ の範囲をとります）
次元 $n = 2$
方程式の数 $m = 4$
メッセージ $M = 1$ を暗号化するとします。
メッセージのシフト量：$\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

【1. 鍵生成フェーズ】 ボブは秘密鍵 $\mathbf{s}$ と行列 $A$、誤差ベクトル $\mathbf{e}$ をランダムに選びます。

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

次に公開鍵 $\mathbf{b}$ を計算します。

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

これを法 17 で計算します。($66 = 17 \times 3 + 15$ など)

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

誤差ベクトル $\mathbf{e}$ を足します。

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

公開鍵は $A$ と $\mathbf{b} = (16, 0, 11, 1)^T$ となります。

【2. 暗号化フェーズ】 アリスはメッセージ $M = 1$ を暗号化します。ランダムなベクトル $\mathbf{r}$ を選びます。ここでは $\mathbf{r} = (1, 0, 1, 0)^T$ とします。

$\mathbf{u}$ を計算します。

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

$v$ を計算します。

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

メッセージ $M=1$ に対応する値 $\lfloor 17/2 \rfloor = 8$ を足します。

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

アリスは暗号文として $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ をボブに送信します。

【3. 復号フェーズ】 暗号文を受け取ったボブは、秘密鍵 $\mathbf{s} = (3, 4)^T$ を用いて復号します。復号処理式： $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$ を計算します。

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

ここで、法17の世界では $-8$ は $9$ に等しくなります（$-8 + 17 = 9$）。得られた値 $D = 9$ を、$0$ と $8$（$\lfloor 17/2 \rfloor$）のどちらに近いか判定します。 $9$ は $0$ よりも $8$ に明らかに近いため、ボブは正しく $M = 1$ を復元することができました！

なぜ $9$ になったのでしょうか？先ほどの証明を思い出しましょう。誤差部分は $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$ となっています。したがって、計算結果は $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$ となり、理論通りの値が計算されていることが確認できました。

7. 実用化に向けた進化：Ring-LWE と Module-LWE

これまで説明してきた標準的なLWE問題（Standard LWE）は、非常に強力な安全性証明を持っていますが、実用上において致命的な弱点があります。それは「鍵のサイズが巨大になること」と「計算コストが高いこと」です。

Standard LWEでは、公開鍵に巨大な行列 $A \in \mathbb{Z}_q^{m \times n}$ が含まれます。パラメータ $n$ が数百〜数千になると、この行列のサイズは数メガバイトに達してしまい、インターネット上の通信プロトコル（TLSなど）で毎回送受信するには重すぎます。また、行列とベクトルの乗算には $\mathcal{O}(n^2)$ の計算量がかかります。

この問題を解決するために導入されたのが、多項式環（Polynomial rings）という代数的な構造を格子に組み込んだ「Ring-LWE（RLWE）」や「Module-LWE（MLWE）」です。

7.1 Ring-LWEの直観

Ring-LWEでは、ベクトルや行列を、多項式環 $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$ 上の要素（多項式）に置き換えます。（ここで $n$ は2の冪乗が選ばれます）。

Standard LWEの公開鍵が行列 $A$ であったのに対し、Ring-LWEでは単一の多項式 $a(x)$ を用います。秘密鍵 $s(x)$ や誤差 $e(x)$ も多項式になります。方程式は以下のようになります。

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

これは多項式の掛け算なので、高速フーリエ変換（FFT）に類似した「数論変換（Number Theoretic Transform: NTT）」を用いることで、計算量を $\mathcal{O}(n \log n)$ にまで劇的に削減できます。さらに、公開鍵のサイズも行列から単一の多項式へと小さくなるため、データサイズが $\mathcal{O}(n)$ に削減されます。これは通信帯域において圧倒的な優位性をもたらします。

数学的に見ると、Ring-LWEは一般的な格子ではなく、「イデアル格子（Ideal Lattice）」と呼ばれる特殊な対称性を持った格子上の問題に帰着します。

7.2 Module-LWEとNISTの標準化（Kyber / ML-KEM）

Ring-LWEは効率的ですが、イデアル格子の特殊な代数的構造が将来的な攻撃の糸口になるのではないかという一抹の懸念がありました。そこで、Standard LWEの保守的な安全性とRing-LWEの効率性の「いいとこ取り」をしたのが「Module-LWE（MLWE）」です。

Module-LWEでは、多項式を要素とする小さな行列とベクトルを考えます。つまり、環上のモジュール（加群）を扱います。現在、NISTがPQCの鍵共有アルゴリズム（KEM）の標準として選定した「CRYSTALS-Kyber」（標準化名称：ML-KEM）は、まさにこのModule-LWE問題の困難性に基づいて構築されています。

8. なぜ量子コンピュータに対して安全なのか？

最後に、「なぜ格子暗号は量子コンピュータを用いても解読されないと考えられているのか？」という核心部分に触れておきます。

量子コンピュータがRSA暗号や楕円曲線暗号を破るShorのアルゴリズムは、本質的には「隠れ部分群問題（Hidden Subgroup Problem: HSP）」を解くアルゴリズムです。RSAやECCの背景にある数学的構造（有限アーベル群）は周期性を持っており、量子フーリエ変換（QFT）という量子アルゴリズム特Actions:特有の操作を用いることで、この周期（隠れた部分群）を一気に抽出することができます。

しかし、格子問題は根本的に異なります。格子にも周期性はありますが、SVPやCVPで求められているのは「最短の距離」や「ノイズの除去」という幾何学的な非線形な性質です。Shorのアルゴリズムのような「アーベル群上の量子フーリエ変換」をそのまま適用しても、格子問題の解答となる有用な情報を効率的に抽出することができません。現在までに、SVPやLWEに対して多項式時間で解くことができる量子アルゴリズムは発見されておらず、量子コンピュータの並列計算能力をもってしても総当たりに近い探索（グローバーのアルゴリズムによる平方根の高速化程度）しか有効な手段がないと広く信じられています。

9. まとめ

本記事では、格子暗号の数学的直観について、格子の幾何学的定義から始まり、LWE問題の定式化、そして公開鍵暗号の構築に至るまで詳細に解説しました。

格子（Lattice） は、基底ベクトルの整数係数線形結合で表される離散的な空間であり、高次元においては直交に近い「良い基底」を見つけること（SVP）が困難になります。
LWE問題（Learning With Errors） は、ノイズ付きの連立一次方程式を解く問題であり、これが格子の最悪ケース問題の困難性に結びついているため、強力な安全性の根拠を提供します。
LWE問題を利用することで、ノイズを意図的に加えたり消去したりする巧妙な仕組みにより、暗号化と復号（Regev暗号）が実現されます。
現実のプロトコルでは、通信効率と計算速度を高めるために多項式環を用いた Ring-LWE や Module-LWE が採用されており、NIST標準の ML-KEM の基盤となっています。

量子コンピュータという未曾有の計算パラダイムシフトが迫る中、古典的な線形代数と整数論の深淵から生まれた「格子暗号」が、未来のインターネットセキュリティの基盤を担うというのは非常にロマンのある話です。格子暗号の基礎となる数学は決して難解すぎるものではなく、線形代数と確率の基礎知識があれば十分にその美しい構造を理解することができます。本記事が、PQCの核となる格子暗号の理解への一助となれば幸いです。

リーマン予想と素数の分布：現代暗号技術との深い関係

Fri, 11 Sep 2026 16:00:00 +0900

1. はじめに：素数という宇宙の神秘とリーマン予想

「素数（Prime Numbers）」は、1と自分自身でしか割り切れない自然数であり、数学の世界における「原子」とも呼ばれます。2, 3, 5, 7, 11, 13… と続くこの数列は、一見すると無秩序でランダムに現れるように見えます。古代ギリシャの数学者ユークリッドが「素数が無限に存在すること」を証明して以来、数え切れないほどの数学者たちがこの素数の並びに潜む規則性を解き明かそうと挑んできました。

その素数の謎に最も肉薄したのが、1859年にドイツの数学者ベルンハルト・リーマン（Bernhard Riemann）が提唱した**「リーマン予想（Riemann Hypothesis）」**です。リーマン予想は、現代数学において最も重要かつ未解決の難問の一つであり、クレイ数学研究所が定めるミレニアム懸賞問題の一つとして100万ドルの賞金が懸けられています。

一見すると、素数の分布に関する純粋数学の難問は、私たちの日常生活とは無縁に思えるかもしれません。しかし、現代社会のインフラを支えるインターネットのセキュリティ、特にRSA暗号や楕円曲線暗号（ECC）といった現代暗号技術は、巨大な素数の性質に深く依存しています。

本記事では、素数の分布から素数定理、リーマンゼータ関数、そしてリーマン予想の核心へと至る数学的な旅をし、それがどのようにして現代暗号技術と結びついているのか、そしてもしリーマン予想が証明されたら世界はどうなるのかについて、極めて詳細かつ深く掘り下げて解説します。

2. 素数定理と素数の分布：ガウスの発見

素数がどのように分布しているのかを理解するために、数学者たちは「ある数 $x$ 以下の素数がいくつ存在するか」を表す素数計数関数（Prime-counting function） $\pi(x)$ を考えました。

例えば：

$\pi(10) = 4$ （2, 3, 5, 7）
$\pi(100) = 25$
$\pi(1000) = 168$

15歳の天才数学者カール・フリードリヒ・ガウス（Carl Friedrich Gauss）は、膨大な素数の表を計算し、素数の出現頻度が自然対数 $\ln x$ に反比例して減少していくことを見出しました。つまり、ある数 $x$ の付近で素数が見つかる確率は約 $\frac{1}{\ln x}$ であると予想したのです。

これを積分を用いて表現したものが、対数積分（Logarithmic integral） $\text{Li}(x)$ です。

$$ \text{Li}(x) = \int_{2}^{x} \frac{dt}{\ln t} $$

ガウスの予想は、後に1896年にジャック・アダマールとシャルル＝ジャン・ド・ラ・ヴァレ・プーサンによって独立に証明され、**素数定理（Prime Number Theorem, PNT）**として確立されました。

$$ \lim_{x \to \infty} \frac{\pi(x)}{\text{Li}(x)} = 1 $$

または近似的に以下のように表されます。

$$ \pi(x) \sim \frac{x}{\ln x} $$

この定理により、素数は巨視的に見れば非常に滑らかで予測可能な分布を持っていることがわかりました。しかし、微視的に見れば $\pi(x)$ と $\text{Li}(x)$ の間には常に「誤差」すなわち「揺らぎ」が存在します。この揺らぎの正体こそが、リーマン予想が解き明かそうとしている最大のミステリーなのです。

3. リーマンゼータ関数とオイラー積

素数の分布を解析する上で最強の武器となるのが**リーマンゼータ関数（Riemann Zeta Function）**です。もともとはレオンハルト・オイラー（Leonhard Euler）によって実数 $s > 1$ に対して定義された無限級数でした。

$$ \zeta(s) = \sum_{n=1}^\infty \frac{1}{n^s} = 1 + \frac{1}{2^s} + \frac{1}{3^s} + \frac{1}{4^s} + \dots $$

オイラーの最大の功績の一つは、この無限級数が、すべての素数 $p$ に関する無限積として表せることを証明したことです。これが**オイラー積（Euler Product Formula）**です。

$$ \zeta(s) = \prod_{p \text{ prime}} \frac{1}{1 - p^{-s}} = \left( \frac{1}{1 - 2^{-s}} \right) \left( \frac{1}{1 - 3^{-s}} \right) \left( \frac{1}{1 - 5^{-s}} \right) \dots $$

証明の直感的な理解は、右辺の各項を等比級数として展開し、それらを掛け合わせると、算術の基本定理（すべての自然数は素数の積として一意に表される）により、左辺の自然数の逆数和が完全に再構築されるというものです。

このたった一つの数式が、解析学（無限級数・連続関数）と数論（素数・離散的な数）を繋ぐ架け橋となりました。 ゼータ関数を調べることは、素数の分布を調べることと同義なのです。

4. 解析接続と複素平面への拡張

リーマンの天才性は、オイラーが実数のみで考えていた $\zeta(s)$ の変数 $s$ を、**複素数 $s = \sigma + it$（$\sigma$ は実部、$t$ は虚部）**に拡張したことにあります。

もともとの無限級数は $\sigma > 1$ でしか収束しませんが、リーマンは「解析接続（Analytic Continuation）」という手法を用いて、$s = 1$ の極を除外した全複素平面上で $\zeta(s)$ が意味を持つように定義を拡張しました。

彼はさらに、ゼータ関数が満たす美しい関数等式（Functional equation）を導き出しました。

$$ \zeta(s) = 2^s \pi^{s-1} \sin\left(\frac{\pi s}{2}\right) \Gamma(1-s) \zeta(1-s) $$

ここで $\Gamma(x)$ はガンマ関数です。この等式により、右半平面の性質から左半平面の性質を知ることができます。

零点（Zeros of the Zeta Function）

ゼータ関数の値が 0 になる複素数 $s$ を「零点」と呼びます。関数等式から、$s$ が負の偶数（$-2, -4, -6, \dots$）のとき、$\sin(\pi s / 2)$ が 0 になるため、$\zeta(s) = 0$ となります。これらは**自明な零点（Trivial zeros）**と呼ばれます。

しかし、素数の分布において重要なのは、それ以外の零点、すなわち $0 \le \sigma \le 1$ の「臨界領域（Critical strip）」に存在する**非自明な零点（Non-trivial zeros）**です。

5. リーマン予想の核心と明示公式

リーマンは、少数の零点を計算し、ある驚くべき予想を立てました。これがリーマン予想です。

リーマン予想 (Riemann Hypothesis) リーマンゼータ関数 $\zeta(s)$ の非自明な零点はすべて、実部が $1/2$ の直線上（$\text{Re}(s) = 1/2$）に存在する。

この実部が1/2の直線を「臨界線（Critical line）」と呼びます。

graph TD A["リーマンゼータ関数 ζ(s)"] --> B["解析接続による複素数平面への拡張"] B --> C["自明な零点 (s = -2, -4, -6 ...)"] B --> D["非自明な零点 (0 <= Re(s) <= 1)"] D --> E["リーマン予想"] E --> F["すべての非自明な零点は Re(s) = 1/2 上にある"] F --> G["素数分布の誤差項の極限の証明へ"]

なぜリーマン予想がそれほど重要なのでしょうか？それは、ゼータ関数の零点が素数の分布を完全に決定しているからです。

リーマンと後の数学者フォン・マンゴルトは、素数の分布を正確に記述する「明示公式（Explicit formula）」を導きました。チェビシェフ関数 $\psi(x)$ を用いると、以下のように表されます。

$$ \psi(x) = x - \sum_{\rho} \frac{x^\rho}{\rho} - \ln(2\pi) - \frac{1}{2}\ln(1 - x^{-2}) $$

ここで $\rho$ はゼータ関数の非自明な零点をすべてわたる和です。主項は $x$ （これは素数定理に対応）であり、そこから零点 $\rho$ に依存する波のような項を足し引きすることで、素数の階段状の正確な分布が復元されるのです。非自明な零点は、素数の分布の「周波数（波）」を表していると言えます。

もしリーマン予想が正しく、すべての非自明な零点 $\rho$ の実部がちょうど $1/2$ であるならば、素数定理の誤差項は理論上考えうる最小の範囲に収まることになります。

$$ |\pi(x) - \text{Li}(x)| \le \frac{1}{8\pi} \sqrt{x} \ln x \quad \text{for} \quad x \ge 2657 $$

つまり、リーマン予想が真であれば、素数は私たちが想像し得る限り最も「規則正しく、美しく」分布していることが証明されるのです。

6. 現代暗号技術と素数の不可分な関係

ここまでは深遠な純粋数学の世界でしたが、この素数の性質は現代のデジタル社会を根底から支えています。その代表がRSA暗号をはじめとする公開鍵暗号方式です。

インターネットでのクレジットカード決済、パスワードの送信、ブロックチェーンの電子署名など、あらゆる通信の安全性は「素数」に依存しています。

RSA暗号の仕組み

RSA暗号の安全性は、「桁数の大きい合成数の素因数分解は非常に困難である」という数学的事実（素因数分解問題）に基づいています。

鍵生成: 巨大な素数 $p$ と $q$ （例えばそれぞれ2048ビット）をランダムに選びます。それらを掛け合わせて $N = p \times q$ を計算します。この $N$ が公開鍵の一部となります。オイラーのトーティエント関数 $\phi(N) = (p-1)(q-1)$ を用いて、秘密鍵 $d$ を生成します。
$$ e \times d \equiv 1 \pmod{\phi(N)} $$
暗号化と復号: 平文 $M$ は、公開鍵 $e, N$ を用いて暗号文 $C$ に変換されます。
$$ C \equiv M^e \pmod{N} $$
秘密鍵 $d$ を持つ者だけが、復号できます。
$$ M \equiv C^d \pmod{N} $$

graph LR A["平文 (Plaintext)"] --> B["公開鍵(e, N)で暗号化"] B --> C["暗号文 (Ciphertext)"] C --> D["秘密鍵(d)で復号"] D --> E["元の平文"] F["攻撃者 (Attacker)"] -- "Nの素因数分解を試みる" --> C F -.-> G["pとqが分からないとdは計算不能"]

RSA暗号を破るためには、巨大な $N$ から元の素数 $p$ と $q$ を見つけ出す（素因数分解する）必要があります。現在主流のアルゴリズム（一般数体篩法：GNFSなど）を用いても、何百桁もの数を素因数分解するには、スーパーコンピュータを使っても宇宙の年齢をはるかに超える時間がかかるとされています。

7. リーマン予想が暗号技術に与えるインパクト

では、純粋数学の頂点にある「リーマン予想」と「暗号技術」はどのように交差するのでしょうか？

7.1. 素数生成アルゴリズム（素数判定）と拡張リーマン予想（GRH）

RSA暗号を運用するためには、最初に巨大な素数 $p$ と $q$ を生成する必要があります。しかし、「ある数が素数かどうか」を確実かつ高速に判定するのは簡単ではありません。

現在、実用的に使われているのは**ミラー・ラビン素数判定法（Miller-Rabin primality test）**という確率的アルゴリズムです。このアルゴリズムは高速ですが、極めて低い確率で合成数を素数と誤判定する「擬素数」のリスクがあります。

しかし、リーマン予想をディリクレのL関数に拡張した**「拡張リーマン予想（Generalized Riemann Hypothesis, GRH）」が真であると仮定すると、話は劇的に変わります。 GRHが真であれば、ミラー・ラビン判定法におけるテスト回数の上限が数学的に保証され、確率的アルゴリズムから「決定性多項式時間アルゴリズム」へと昇華**するのです（これは、AKS素数判定法が発見される以前から知られていた重大な事実でした）。

つまり、リーマン予想（およびその拡張）は、「巨大な素数を絶対の自信を持って高速に生成できるか」という暗号の基盤生成に直接的なお墨付きを与える役割を持っています。

7.2. 素因数分解アルゴリズムとの関係

暗号を解読する側のアルゴリズム（一般数体篩法など）の計算量を評価する際にも、素数の分布に関する知識が不可欠です。素因数分解アルゴリズムの多くは「滑らかな数（Smooth numbers：小さな素因数しか持たない数）」の分布に依存しています。

滑らかな数がどの程度の頻度で現れるかを厳密に評価するためには、素数の分布に関する深い理解が必要であり、ここでもゼータ関数やリーマン予想に直結する解析的整数論のテクニックが駆使されています。リーマン予想が証明され、素数分布の誤差が完全に決定されれば、素因数分解アルゴリズムの性能限界もより正確に見極めることが可能になります。

8. もしリーマン予想が証明されたら、暗号は破られるのか？

都市伝説のように「リーマン予想が解けたらRSA暗号は一瞬で崩壊する」と語られることがありますが、これは数学的には不正確です。

リーマン予想の証明自体が、直ちに素因数分解を劇的に高速化する魔法のアルゴリズムを生み出すわけではありません。リーマン予想はあくまで素数の「巨視的な分布の規則性」についての定理であり、個別の数 $N$ がどの素数で割り切れるか（局所的な性質）を直接教えてくれるものではないからです。

しかし、影響はゼロではありません。リーマン予想が証明される過程で、「新たな数学的ツール」や「未知の解析手法」が発見される可能性が極めて高いからです。歴史を見ても、フェルマーの最終定理やポアンカレ予想が証明された際、その過程で開発された新しい理論が数学全体を大きく飛躍させました。

もしリーマンゼータ関数の零点の性質を完全に操作できる未知の代数幾何学的手法や、非可換幾何の手法が確立されれば、それが結果として素因数分解の画期的なアルゴリズム（例えば、計算量を多項式時間に落とし込むような古典アルゴリズム）の発見に繋がる可能性は否定できません。その意味で、暗号学者はリーマン予想の動向から決して目を離すことができないのです。

量子コンピュータとショアのアルゴリズム

暗号技術にとってより直接的で現実的な脅威は、リーマン予想の証明ではなく量子コンピュータです。1994年にピーター・ショア（Peter Shor）が発表した「ショアのアルゴリズム」は、十分な性能を持つ量子コンピュータがあれば、素因数分解を多項式時間で解けることを証明しました。これにより、RSA暗号や楕円曲線暗号は根本的に破られることになります。

現在、世界中で量子コンピュータでも解読できない「耐量子計算機暗号（Post-Quantum Cryptography, PQC）」への移行（格子暗号など）が進められています。素数に依存した暗号技術は、ある意味で黄金期を終えようとしているのかもしれませんが、素数そのものの数学的価値が失われることは永遠にありません。

9. 結び：数学の抽象性と現実社会の交差点

graph TD A["純粋数学の探求"] --> B["リーマン予想の解明"] B --> C["素数分布の完全な理解"] C --> D["数論・代数幾何学の飛躍的発展"] D -.-> E["新しい素因数分解アルゴリズムの可能性"] E -.-> F["暗号技術の安全性評価の更新"] A --> G["応用数学・計算機科学"] G --> H["素数判定・暗号生成の効率化"] H --> F

古代ギリシャから続く素数への飽くなき探求は、リーマンという天才によって複素数平面上の美しいシンフォニー（ゼータ関数の零点）へと昇華されました。そして驚くべきことに、その純粋無垢な数学の結晶が、数世紀の時を経てインターネット社会の安全を担保する最強の盾として応用されています。

リーマン予想は、数学が持つ「抽象的な美しさ」と「物理世界・現実社会への驚異的な適用力」を同時に象徴する存在です。

未だ誰も頂上に到達していないこの巨大な数学の山がいつの日か征服されたとき、私たちは素数という宇宙の真理を完全に理解するとともに、情報化社会の基盤に対して新たな視点を持つことになるでしょう。暗号技術を学ぶことは、そのまま人類の英知の歴史を辿る旅でもあるのです。

暗号技術の歴史：シーザー暗号から耐量子暗号（PQC）まで

Fri, 11 Sep 2026 15:00:00 +0900

1. はじめに：暗号技術とは何か？

暗号技術（Cryptography）は、情報の秘匿性を保つための技術であり、人類の歴史とともに進化してきました。古代の戦争における秘密司令の伝達から、現代のインターネットにおけるクレジットカード情報の保護に至るまで、暗号の目的は一貫しています。それは「意図された受信者だけが情報を理解でき、第三者には解読できないようにする」ことです。

現代の情報セキュリティにおいて、暗号技術は単なる「情報の秘匿（機密性: Confidentiality）」にとどまらず、データの「完全性（Integrity）」、「認証（Authentication）」、「否認防止（Non-repudiation）」といった重要な役割を担っています。

本記事では、古代の単純な換字式暗号から始まり、機械式暗号、現代の共通鍵・公開鍵暗号、そして量子コンピュータの実用化によって到来する「耐量子暗号（PQC）」の時代まで、暗号技術の進化の歴史を技術的・数学的な観点から詳細に紐解いていきます。

2. 古典暗号の時代：文字の置き換えと並べ替え

暗号の起源は紀元前にまで遡ります。初期の暗号は主に「転置（並べ替え）」と「換字（置き換え）」の2つのアプローチで構成されていました。

スキュタレー暗号（転置式暗号）

紀元前5世紀の古代ギリシャ・スパルタで使用された「スキュタレー（Scytale）」は、最古の暗号器具の一つです。特定の太さの木の棒に細長い羊皮紙を巻き付け、そこに横書きでメッセージを記します。紙を解くと文字が意味不明な順序に並びますが、同じ太さの棒を持つ受信者が再び紙を巻き付けることで、元のメッセージが読めるという仕組みでした。

シーザー暗号（単一換字式暗号）

紀元前1世紀、古代ローマの英雄ユリウス・カエサル（シーザー）が使用したとされるのが「シーザー暗号」です。これはアルファベットを一定数（通常は3文字）シフトさせる単一換字式暗号（Monoalphabetic substitution）です。

数学的には、文字を $0$ から $25$ までの数値として扱い、シフト数を $K$ とすると、平文 $P$ から暗号文 $C$ への変換は以下の合同式で表されます。

$$C \equiv P + K \pmod{26}$$

復号は逆の操作を行います。

$$P \equiv C - K \pmod{26}$$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# シーザー暗号のシンプルなPython実装例
def caesar_cipher(text, shift, mode="encrypt"):
 result = ""
 if mode == "decrypt":
 shift = -shift

 for char in text:
 if char.isalpha():
 base = ord('A') if char.isupper() else ord('a')
 # シフト計算
 result += chr((ord(char) - base + shift) % 26 + base)
 else:
 result += char
 return result

# 実行例
plaintext = "HELLO WORLD"
ciphertext = caesar_cipher(plaintext, 3, "encrypt")
print(f"暗号文: {ciphertext}") # KHOOR ZRUOG

頻度分析とヴィジュネル暗号

単一換字式暗号は、9世紀のアラブの学者アル・キンディーによって考案された「頻度分析（Frequency Analysis）」によって容易に解読されるようになりました。英語であれば「E」や「T」が頻出するという言語の統計的特性を利用したものです。

これに対抗するため、16世紀に考案されたのが「ヴィジュネル暗号（Vigenère cipher）」です。これは複数のシフト（鍵）を周期的に切り替えて使用する多表式換字暗号（Polyalphabetic substitution）であり、約300年もの間「解読不能な暗号（Le Chiffre Indéchiffrable）」と呼ばれていました。

数学的には、平文の $i$ 番目の文字 $P_i$ と、繰り返される鍵の $i$ 番目の文字 $K_i$ を用いて次のように暗号化します。

$$C_i \equiv P_i + K_i \pmod{26}$$

この暗号も、19世紀に入りチャールズ・バベッジやフリードリヒ・カシスキーによって、暗号文中の繰り返しのパターンから鍵の長さを割り出す「カシスキー触媒（Kasiski examination）」が発見され、解読されることになります。

graph TD subgraph "古典暗号の分類" A["古典暗号"] --> B["転置式暗号"] A --> C["換字式暗号"] B --> D["スキュタレー暗号"] C --> E["単一換字式"] C --> F["多表式換字式"] E --> G["シーザー暗号"] F --> H["ヴィジュネル暗号"] end

3. 機械式暗号と世界大戦：エニグマとその解読

20世紀に入ると、通信手段は手紙から電信や無線へと移行し、暗号化の速度と複雑さが求められるようになりました。ここで登場したのが、ローター（回転盤）を組み合わせた「機械式暗号」です。

エニグマ（Enigma）の脅威

第二次世界大戦中、ナチス・ドイツが使用した「エニグマ」は、暗号技術史において最も有名な暗号機です。エニグマは複数のローター（通常3〜4個）と、文字の配線を入れ替えるプラグボード（Steckerbrett）、そしてリフレクター（反転ローター）で構成されていました。

キーボードで1文字打ち込むたびにローターが回転するため、同じ文字を連続して打っても異なる暗号文字が出力されます（多表式暗号の極地）。その鍵空間（設定の組み合わせ）は約 $1.58 \times 10^{19}$ 通り（約1580京）にも及び、当時の技術では総当たりによる解読は不可能とされていました。

アラン・チューリングと「ボンブ（Bombe）」

この難攻不落のエニグマに挑んだのが、ポーランドの数学者マリアン・レイェフスキらの初期の成果を引き継いだ、イギリスのブレッチリー・パークの暗号解読チームです。

特にアラン・チューリング（Alan Turing）は、暗号文の一部に対応する平文の推測（クリブ: Crib）を利用し、電気機械式の解読機「ボンブ（Bombe）」を開発しました。ボンブは論理的な矛盾を高速に検出し、あり得ないローター設定を次々と排除することで、エニグマの解読に成功しました。この偉業は、連合国側の勝利を数年早めたと言われています。

4. 現代暗号の幕開け：共通鍵暗号（DESとAES）

戦後、コンピュータの登場により、暗号は「文字」の操作から「ビット（0と1）」の操作へと劇的なパラダイムシフトを遂げます。

クロード・シャノンと情報理論

1949年、クロード・シャノンは論文「秘話系の通信理論」を発表し、現代暗号の数学的基礎を築きました。彼は安全な暗号設計の原則として「混乱（Confusion）」と「拡散（Diffusion）」を提唱しました。

混乱（Confusion）: 鍵と暗号文の関係を可能な限り複雑にすること。（換字・Sボックスによる実現）
拡散（Diffusion）: 平文の1ビットの変更が、暗号文の多くのビットに影響を与えるようにすること。（転置・並べ替えによる実現）

DES (Data Encryption Standard)

1977年、アメリカ国立標準技術研究所（NIST、当時はNBS）は、IBMの設計をベースとした「DES」を標準暗号として制定しました。 DESは「ファイステル構造（Feistel Network）」と呼ばれるアーキテクチャを採用しており、64ビットのブロック長と56ビットの鍵長を持ちます。暗号化と復号のアルゴリズムがほぼ同じ構造になるという実装上の利点がありました。

しかし、コンピュータの計算能力が向上するにつれ、56ビットの鍵長（約 $7.2 \times 10^{16}$ 通り）では不十分であることが明らかになります。1998年には電子フロンティア財団（EFF）が専用マシン「Deep Crack」を開発し、数日でDESを解読してみせました。

AES (Advanced Encryption Standard)

DESに代わる新たな標準として、2001年に制定されたのが「AES」です。公募によって選ばれたベルギーの暗号学者による「Rijndael（ラインダール）」アルゴリズムが採用されました。

AESはファイステル構造ではなく「SPN構造（Substitution-Permutation Network）」を採用し、ガロア体（有限体） $GF(2^8)$ 上の数学的演算を利用しています。鍵長は128、192、256ビットから選択でき、現在でも世界中で標準的な共通鍵暗号として広く利用されています。

graph TD subgraph "AESの1ラウンドの処理 (SPN構造)" A["入力状態 (128-bit)"] --> B("SubBytes (バイト代換 / S-Box)") B --> C("ShiftRows (行シフト)") C --> D("MixColumns (列ミックス / GF(2^8)上の乗算)") D --> E("AddRoundKey (ラウンド鍵とのXOR)") E --> F["次のラウンドへ"] end

5. 公開鍵暗号の革命：Diffie-HellmanからRSAへ

共通鍵暗号には決定的な弱点がありました。それは「鍵配送問題（Key Distribution Problem）」です。暗号通信を始める前に、遠く離れた相手とどうやって安全に「共通の鍵」を共有するのかという問題です。この問題を解決したのが1970年代に誕生した「公開鍵暗号」です。

Diffie-Hellman鍵交換

1976年、ホイットフィールド・ディフィーとマーティン・ヘルマンは、画期的な論文「New Directions in Cryptography」を発表しました。彼らは「離散対数問題（Discrete Logarithm Problem）」という数学的困難性を利用し、盗聴されている通信経路上でも安全に鍵を共有できる手法を提案しました。

大きな素数 $p$ と生成元 $g$ を公開します。
Aliceは秘密の値 $a$ を選び、$A = g^a \pmod{p}$ をBobに送信します。
Bobは秘密の値 $b$ を選び、$B = g^b \pmod{p}$ をAliceに送信します。
Aliceは $K = B^a \pmod{p}$ を計算し、Bobは $K = A^b \pmod{p}$ を計算します。
指数法則により $K = (g^b)^a = (g^a)^b = g^{ab} \pmod{p}$ となり、見事に同じ鍵 $K$ を共有できます。

RSA暗号

翌1977年、ロン・リベスト、アディ・シャミア、レオナルド・エーデルマンの3人によって考案されたのが「RSA暗号」です。これは「巨大な合成数の素因数分解は困難である」という性質に基づいています。

RSAの数学的仕組み:

2つの巨大な素数 $p$ と $q$ を選び、$n = p \times q$ を計算します。
オイラーのトーティエント関数 $\phi(n) = (p-1)(q-1)$ を計算します。
$\phi(n)$ と互いに素な整数 $e$（公開鍵）を選びます。
$e \times d \equiv 1 \pmod{\phi(n)}$ となる整数 $d$（秘密鍵）を計算します。

暗号化: 平文 $M$ に対して $C \equiv M^e \pmod{n}$ 復号: 暗号文 $C$ に対して $M \equiv C^d \pmod{n}$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


# RSA暗号の概念を示すPythonコード（実用向けではありません）
def ext_euclid(a, b):
 # 拡張ユークリッドの互除法によるモジュラ逆数の計算
 if b == 0: return 1, 0, a
 x, y, g = ext_euclid(b, a % b)
 return y, x - (a // b) * y, g

def rsa_example():
 # 小さな素数を用いた例
 p, q = 61, 53
 n = p * q
 phi = (p - 1) * (q - 1)

 e = 17 # phiと互いに素な値
 d, _, _ = ext_euclid(e, phi)
 if d < 0: d += phi

 print(f"公開鍵: (e={e}, n={n})")
 print(f"秘密鍵: (d={d}, n={n})")

 # メッセージの暗号化と復号
 message = 65
 ciphertext = pow(message, e, n)
 decrypted = pow(ciphertext, d, n)

 print(f"平文: {message} -> 暗号文: {ciphertext} -> 復号後: {decrypted}")

rsa_example()

6. 楕円曲線暗号（ECC）の台頭

RSA暗号は強力ですが、コンピュータの性能向上に伴い、安全性を保つために鍵長を長くする（現在では2048ビットや3072ビット）必要があり、計算コストが増大するという問題が生じました。

そこで1985年に提案されたのが「楕円曲線暗号（Elliptic Curve Cryptography: ECC）」です。これは有限体上の楕円曲線（一般に $y^2 = x^3 + ax + b$ の形）における点の加算を利用したものです。

楕円曲線上の離散対数問題（ECDLP）は、素因数分解問題よりもさらに解くのが困難であることが知られており、RSAの3072ビットと同等の安全性を、ECCならわずか256ビットの鍵長で実現できます。これにより、スマートフォンやIoTデバイスなど、計算リソースが限られた環境でも高速かつ安全な暗号通信（ECDSAやECDHなど）が可能になりました。

7. 量子コンピュータの脅威と耐量子暗号（PQC）

暗号技術は盤石に思えましたが、1994年にピーター・ショア（Peter Shor）が発表した「ショアのアルゴリズム」によって大きな衝撃が走ります。

量子コンピュータは「重ね合わせ」と「量子もつれ」という量子力学の性質を利用して計算を行います。ショアのアルゴリズムを十分な性能の量子コンピュータ上で実行すると、素因数分解問題や離散対数問題が「多項式時間」で解けてしまうことが数学的に証明されたのです。つまり、実用的な量子コンピュータが完成した日（Q-Day）、現在使われているRSAやECCなどの公開鍵暗号はすべて瞬時に破綻します。

PQC（Post-Quantum Cryptography）の登場

この未曾有の脅威に備え、量子コンピュータでも解読が困難な新しい数学的問題に基づく「耐量子計算機暗号（PQC）」の研究が急ピッチで進められています。NIST（米国国立標準技術研究所）は長年にわたりPQCの標準化プロセスを進めており、主に以下の数学的アプローチが有力視されています。

1. 格子暗号（Lattice-based Cryptography）

現在最も有力なアプローチであり、NISTの標準化アルゴリズム（ML-KEM / Kyber、ML-DSA / Dilithium）にも採用されています。多次元空間の「格子（Lattice）」上で特定の点を見つける問題（最短ベクトル問題: SVPなど）や、LWE（Learning With Errors: 誤差付き学習）問題の困難性に基づいています。

LWE問題の概念は、連立一次方程式に意図的に「小さなノイズ（誤差）」を加えると、途端に解を求めるのが困難になるという性質を利用しています。方程式系: $\mathbf{A}\mathbf{s} + \mathbf{e} \equiv \mathbf{b} \pmod{q}$ （$\mathbf{A}$ と $\mathbf{b}$ は公開、$\mathbf{s}$ は秘密鍵、$\mathbf{e}$ は微小なノイズ）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# LWE問題の概念的疑似コード（学習目的）
import numpy as np

n = 256 # 次元
q = 3329 # 法
m = 512 # 方程式の数

# 秘密鍵 s と小さなエラー e
s = np.random.randint(0, 5, size=n)
e = np.random.randint(-1, 2, size=m)

# 公開行列 A と公開ベクトル b
A = np.random.randint(0, q, size=(m, n))
b = (np.dot(A, s) + e) % q

# 量子コンピュータを使っても、Aとbからsを復元するのは非常に困難とされる

2. ハッシュベース暗号（Hash-based Cryptography）

ハッシュ関数の衝突耐性のみに安全性の根拠を置くデジタル署名方式です。数学的な構造を持たないため量子攻撃に強いですが、署名サイズが大きくなる傾向があります（SPHINCS+など）。

3. 符号ベース暗号（Code-based Cryptography）

誤り訂正符号の理論に基づく暗号方式です。1978年に提案されたMcEliece暗号などが有名で、歴史が古く安全性に定評がありますが、公開鍵のサイズが非常に大きい（数メガバイトに及ぶこともある）という課題があります。

timeline title "暗号技術と計算機の進化の歴史" "古代〜中世" : "シーザー暗号" : "ヴィジュネル暗号" : "頻度分析の誕生" "1930〜40年代" : "エニグマの運用と解読" : "チューリングマシン・ボンブの開発" "1970年代" : "DES標準化 (1977)" : "Diffie-Hellman鍵交換 (1976)" : "RSA暗号の誕生 (1977)" "1980〜90年代" : "楕円曲線暗号 (ECC) の提案" : "ショアのアルゴリズム発表 (1994)" "2000年代" : "AES標準化 (2001)" "2010年代〜現在" : "量子コンピュータの研究加速" : "NISTによるPQC標準化プロジェクトの開始" "近未来 (Q-Day)" : "大規模量子コンピュータの実現？" : "PQC（ML-KEM/ML-DSA）への完全移行"

8. 結論：終わりのない盾と矛の戦い

暗号技術の歴史は、新しい暗号方式（盾）の発明と、それを破る新しい解読手法（矛）の終わりのない戦いの歴史です。

シーザー暗号は頻度分析に敗れ、無敵を誇ったエニグマはチューリングの天才的頭脳と機械の力に敗れました。そして今、現代インターネット社会の根幹を支えるRSAやECCといった強力な暗号も、量子コンピュータという新たな「矛」の前に脅威に晒されています。

しかし、人類は既にその先の未来を見据え、耐量子暗号（PQC）という新たな「盾」を準備しつつあります。現在、世界中のITインフラにおいて、既存の公開鍵暗号からPQCへの移行準備（Crypto Agilityの確保）が急務となっています。

暗号技術は、単なる難解な数学のパズルではなく、私たちのプライバシー、財産、そして社会インフラそのものを守るための最強の防壁なのです。

【数学解説】RSA暗号の仕組みを高校生でもわかるように説明する

Fri, 11 Sep 2026 13:00:00 +0900

インターネット社会の安全を根底から支えている技術の一つが「RSA暗号」です。オンラインショッピングでのクレジットカード決済、友人とのSNSのやり取り、会社の機密情報の送受信など、私たちが毎日何気なく使っている通信の多くは、このRSA暗号やその後継技術によって守られています。

しかし、「暗号」と聞くと、スパイ映画に出てくるような複雑な暗号機や、一部の天才しか理解できない超高度な数学を想像するかもしれません。確かに現代の暗号理論は高度な数学に基づいていますが、RSA暗号の根本的な仕組みは、高校で習う数学（整数の性質、素数、合同式など）の知識があれば十分に理解できるものです。

この記事では、高校数学の知識を出発点として、RSA暗号がどのような数学的原理で動いているのか、なぜ解読が難しいのかを、ステップバイステップで徹底的に解説します。数学が少し苦手な方でも理解できるように、具体例を交えながら丁寧に説明していきます。

1. 共通鍵暗号と公開鍵暗号

RSA暗号の数学的な仕組みに入る前に、まず暗号の基本的な考え方について整理しておきましょう。暗号方式は大きく分けて「共通鍵暗号」と「公開鍵暗号」の2種類があります。

1.1 共通鍵暗号方式の限界

昔から使われている暗号の多くは「共通鍵暗号方式」と呼ばれるものです。これは、「暗号化（メッセージを秘密の暗号文に変換すること）」と「復号（暗号文を元のメッセージに戻すこと）」に同じ鍵を使う方式です。

例えば、アリスがボブに秘密の手紙を送るとします。アリスは南京錠（共通鍵）を使って箱に手紙を入れて鍵をかけます。ボブがその箱を開けるためには、アリスが使ったのと同じ鍵を持っている必要があります。

この方式には大きな問題があります。「鍵の配送問題」です。遠く離れたアリスとボブが初めて通信する場合、どのようにして盗聴されることなく鍵を共有すればよいのでしょうか？もし鍵を郵送している途中で第三者に盗まれたら、その後の暗号通信はすべて筒抜けになってしまいます。

1.2 画期的な発明「公開鍵暗号方式」

この鍵の配送問題を解決するために考案されたのが「公開鍵暗号方式」です。RSA暗号もこの一種です。

公開鍵暗号方式では、「暗号化するための鍵（公開鍵）」と「復号するための鍵（秘密鍵）」という2つの異なる鍵を使います。

受信者のボブは、「公開鍵」と「秘密鍵」のペアを作成します。
ボブは「公開鍵」を世界中に公開します（誰が手に入れても構いません）。
送信者のアリスは、ボブの「公開鍵」を使ってメッセージを暗号化し、送信します。
暗号化されたメッセージは、ボブだけが持っている「秘密鍵」でしか復号できません。

これを南京錠で例えると、ボブは「開いた状態の南京錠（公開鍵）」をたくさん作って世界中にばらまきます。アリスはボブ宛のメッセージを箱に入れ、拾ったボブの南京錠でカチャッと鍵をかけます。南京錠は一度閉まると、ボブが持っている「マスターキー（秘密鍵）」でしか開けられません。途中で誰かが箱を盗んでも、マスターキーがないので開けられないのです。

graph TD A["アリス (送信者)"] --> B["平文 (メッセージ)"] B --> C["暗号化処理"] D["ボブの公開鍵 (誰でも入手可能)"] --> C C --> E["インターネット経由で送信: 暗号文"] E --> F["復号処理"] G["ボブの秘密鍵 (ボブだけが持つ)"] --> F F --> H["復元された平文 (メッセージ)"] H --> I["ボブ (受信者)"]

この画期的なシステムを実現するためには、「公開鍵で簡単に暗号化できるが、秘密鍵がないと絶対に復号できない」という、ある種の**「一方向性関数（一方通行の数学的パズル）」**が必要になります。そのパズルの部品として目をつけられたのが、私たちがよく知る「素数」でした。

2. RSA暗号を支える数学的基礎1：素数と素因数分解

RSA暗号の安全性は、**「巨大な数の素因数分解は非常に難しい」**という数学的事実に基づいています。

2.1 素数とは

素数とは、「1と自分自身でしか割り切れない、1より大きい自然数」のことです。例：$2, 3, 5, 7, 11, 13, 17, 19, 23...$

素数は、すべての整数の「原子」のようなものです。どんな自然数も、素数の掛け算の形に分解することができます。これを素因数分解と呼びます。例えば、$60 = 2^2 \times 3 \times 5$ のように、順番を無視すればただ一通りに素因数分解できることは「算術の基本定理」として知られています。

2.2 素因数分解の難しさ（一方向性関数）

ここで重要なのは、**「掛け算は簡単だが、素因数分解は難しい」**という非対称性です。

例えば、次の2つの素数の掛け算を暗算で計算してみてください。 $11 \times 13 = ?$ これは簡単ですね。答えは $143$ です。

では、次の数はどうでしょう？ $323$ を素因数分解してください。どうでしょうか？少し時間がかかるはずです。（答えは $17 \times 19$ です）。

数が小さければ人間でも何とか計算できますが、数が大きくなるとコンピュータを使っても計算が爆発的に難しくなります。現在主流のRSA暗号では、2048ビット（10進数で約600桁）という途方もなく巨大な素数 $p$ と $q$ を掛け合わせた数 $N = p \times q$ を使います。

2つの巨大な素数 $p$ と $q$ が与えられたとき、$N$ を計算するのはコンピュータにとって一瞬（ミリ秒以下）です。しかし、逆に $N$ だけを与えられて元の $p$ と $q$ を見つけ出すことは、現在の最速のスーパーコンピュータを何兆年回しても解けないほど時間がかかります。

この**「計算の非対称性（片道は簡単、逆道は困難）」**が、公開鍵と秘密鍵の関係性を作り出す土台になります。

3. RSA暗号を支える数学的基礎2：合同式（モジュロ演算）

RSA暗号の計算は、私たちが普段使っているような無限に数が大きくなる足し算や掛け算ではなく、ある数で割った「余り」の世界で行われます。これを**合同式（モジュロ演算）**と呼びます。

3.1 時計の数学

モジュロ演算はよく「時計の数学」に例えられます。現在10時だとして、そこから5時間後は何時でしょうか？ $10 + 5 = 15$ 時ですが、通常の12時間時計では「3時」と答えます。これは、15を12で割った余りが3だからです。

数学の世界では、これを次のように書き表します。

$$ 15 \equiv 3 \pmod{12} $$

「15と3は、12を法として合同である（12で割った余りが等しい）」と読みます。

3.2 合同式の基本的な性質

合同式には、等式（$=$）とよく似た非常に便利な性質があります。法（割る数）を $N$ とします。 $a \equiv b \pmod N$ かつ $c \equiv d \pmod N$ のとき、以下が成り立ちます。

足し算: $a + c \equiv b + d \pmod N$
引き算: $a - c \equiv b - d \pmod N$
掛け算: $a \times c \equiv b \times d \pmod N$
べき乗: $a^k \equiv b^k \pmod N$ （$k$ は自然数）

特に重要なのは「べき乗」の性質です。これは**「余りの累乗は、累乗の余りに等しい」**ことを意味します。例えば、$7^{100}$ を $5$ で割った余りを求めたいとします。真面目に $7$ を100回掛けてから $5$ で割るのは大変ですが、合同式の性質を使えば、$7 \equiv 2 \pmod 5$ なので、$7^{100} \equiv 2^{100} \pmod 5$ となり、計算を飛躍的に簡単にしていくことができます。暗号の世界では非常に大きな数の累乗を扱うため、この性質が不可欠です。

4. RSA暗号を支える数学的基礎3：オイラー関数とオイラーの定理

ここからがRSA暗号の核心となる魔法の数学です。「フェルマーの小定理」の一般化である「オイラーの定理」が登場します。

4.1 オイラーのトーティエント関数 $\phi(N)$

オイラーのトーティエント関数（$\phi$ 関数）は、ある自然数 $N$ に対して、**「1から $N$ までの自然数のうち、$N$ と互いに素（最大公約数が1）である数の個数」**を返す関数です。

いくつか例を見てみましょう。

$\phi(5)$: 1, 2, 3, 4, 5 の中で 5 と互いに素なのは 1, 2, 3, 4 の4個。よって $\phi(5) = 4$。
$\phi(6)$: 1, 2, 3, 4, 5, 6 の中で 6 と互いに素なのは 1, 5 の2個。よって $\phi(6) = 2$。

【素数の場合の特別な性質】 $p$ が素数の場合、1から $p-1$ までのすべての数が $p$ と互いに素になります。したがって、

$$ \phi(p) = p - 1 $$

となります。

【素数の積の場合の特別な性質】 2つの異なる素数 $p$ と $q$ について、$N = p \times q$ とした場合、$\phi(N)$ は以下の計算で簡単に求めることができます。

$$ \phi(N) = \phi(p) \times \phi(q) = (p - 1)(q - 1) $$

この性質が、RSA暗号の「秘密の裏口（トラップドア）」として機能します。$p$ と $q$ を知っている人（鍵の作成者）は $\phi(N)$ を一瞬で計算できますが、$N$ しか知らない第三者は、$N$ を素因数分解しない限り $\phi(N)$ を求めることができないのです。

4.2 オイラーの定理

レオンハルト・オイラーは、この $\phi(N)$ を使って次のような美しい定理を証明しました。

オイラーの定理： 整数 $a$ と $N$ が互いに素であるとき、以下の合同式が成り立つ。

$$ a^{\phi(N)} \equiv 1 \pmod N $$

これは、「ある数 $a$ を $\phi(N)$ 回掛け合わせて $N$ で割ると、余りが必ず $1$ になる」という驚くべき性質です。（$N$ が素数 $p$ の場合は $a^{p-1} \equiv 1 \pmod p$ となり、フェルマーの小定理と呼ばれます）。

このオイラーの定理を変形してみましょう。両辺に $a$ をもう一回掛けます。

$$ a^{\phi(N) + 1} \equiv a \pmod N $$

さらに、任意の整数 $k$ に対して、$a^{k \cdot \phi(N)}$ も $1^k = 1$ になるため、次の式が成り立ちます。

$$ a^{k \cdot \phi(N) + 1} \equiv a \pmod N $$

この式こそが、RSA暗号の**「暗号化して復号すると元に戻る」**という魔法を成り立たせている根本原理なのです。

5. RSA暗号のアルゴリズム：鍵生成・暗号化・復号のステップ

基礎知識が揃ったところで、いよいよRSA暗号の具体的な手順を見ていきましょう。RSA暗号は大きく「1. 鍵の生成」「2. 暗号化」「3. 復号」の3つのフェーズに分かれます。

flowchart TD A1["1. 素数 p, q を選ぶ"] --> A2["N = p × q を計算"] A1 --> A3["φ(N) = (p-1)(q-1) を計算"] A3 --> A4["φ(N)と互いに素な e を選ぶ"] A3 --> A5["e × d ≡ 1 (mod φ(N)) となる d を計算"] A2 --> A6["公開鍵 (N, e)"] A4 --> A6 A5 --> A7["秘密鍵 d"] B1["2. 平文メッセージ M"] --> B2["C ≡ M^e (mod N) を計算"] A6 -.-> B2 B2 --> B3["暗号文 C を送信"] B3 --> C1["3. 受信した暗号文 C"] C1 --> C2["M ≡ C^d (mod N) を計算"] A7 -.-> C2 C2 --> C3["元の平文メッセージ M を取得"]

5.1 鍵生成（Key Generation）

受信者であるボブは、自分のための「公開鍵」と「秘密鍵」を生成します。

素数の選択: 2つの大きな素数 $p$ と $q$ をランダムに選びます。
法 $N$ の計算: $N = p \times q$ を計算します。この $N$ は公開されます。
$\phi(N)$ の計算: オイラー関数 $\phi(N) = (p - 1)(q - 1)$ を計算します。これはボブだけの秘密の数です。
公開鍵 $e$ の選択: $1 < e < \phi(N)$ であり、かつ $\phi(N)$ と互いに素である整数 $e$ を選びます。
秘密鍵 $d$ の計算: 次の条件を満たす整数 $d$ を見つけます。 $$ e \times d \equiv 1 \pmod{\phi(N)} $$ これはつまり、「$e \times d$ を $\phi(N)$ で割った余りが $1$ になるような数 $d$」です。

これで鍵の準備は完了です。

公開鍵: $(N, e)$ のペア。全世界に公開します。
秘密鍵: $d$。絶対に誰にも教えません。

5.2 暗号化（Encryption）

アリスはボブに秘密のメッセージ $M$ を送りたいとします。（$M$ は文字を数値化したもので、$0 \le M < N$ とします）。アリスはボブの公開鍵 $(N, e)$ を使って次のように計算します。

$$ C \equiv M^e \pmod N $$

「メッセージ $M$ を $e$ 乗して、$N$ で割った余り $C$」を計算します。この $C$ が暗号文です。

5.3 復号（Decryption）

ボブは暗号文 $C$ を受け取ります。ボブは秘密鍵 $d$ を使って次のように計算します。

$$ M \equiv C^d \pmod N $$

「暗号文 $C$ を $d$ 乗して、$N$ で割った余り」を計算すると、なんと元のメッセージ $M$ が復元されるのです！

6. なぜ復号で元に戻るのか？（数学的証明）

「$C$ を $d$ 乗するだけで、どうして元の $M$ に戻るの？」と疑問に思うかもしれません。ここで、先ほどの「オイラーの定理」が威力を発揮します。

復号の計算式 $C^d \pmod N$ に、暗号化の式 $C = M^e$ を代入してみましょう。

$$ C^d \equiv (M^e)^d \equiv M^{ed} \pmod N $$

ここで、鍵生成のステップ 5 を思い出してください。ボブは $d$ を作るときに、$e \times d \equiv 1 \pmod{\phi(N)}$ となるように選びました。これは「$ed$ は $\phi(N)$ の倍数に $1$ を足した数である」ということを意味します。整数 $k$ を使って次のように書けます。

$$ ed = k \cdot \phi(N) + 1 $$

これを指数部分に代入し、指数法則を使って分解します。

$$ M^{ed} = M^{k \cdot \phi(N) + 1} = M^{k \cdot \phi(N)} \times M^1 = (M^{\phi(N)})^k \times M $$

ここで、メッセージ $M$ と $N$ が互いに素であると仮定すると、オイラーの定理より $M^{\phi(N)} \equiv 1 \pmod N$ となります。

$$ (M^{\phi(N)})^k \times M \equiv 1^k \times M \equiv M \pmod N $$

したがって、見事に以下の式が成り立ちます。

$$ C^d \equiv M \pmod N $$

アリスは $d$ を知らず、盗聴者も $d$ を知らないので、$C$ から $M$ を取り出せるのは $d$ を持っているボブだけなのです。

7. 具体例：小さな素数を使って手計算でRSAを体験してみよう

実際に小さな数字（素数）を使って、アリスからボブへ暗号通信をしてみましょう。

【ボブの鍵生成フェーズ】

2つの素数 $p=11$, $q=13$ を選びます。
$N = 11 \times 13 = 143$ を計算します。
$\phi(N) = (11 - 1) \times (13 - 1) = 10 \times 12 = 120$ を計算します。
$\phi(N)=120$ と互いに素な公開鍵 $e$ を選びます。ここでは $e=7$ にします。
秘密鍵 $d$ を求めます。$7 \times d \equiv 1 \pmod{120}$ となる $d$ を探します。方程式 $7d = 120k + 1$ において、$k=6$ のとき $721$ となり、$721 \div 7 = 103$。したがって、$d = 103$ となります。

公開鍵：$(N=143, e=7)$
秘密鍵：$d=103$

【アリスの暗号化フェーズ】 メッセージ $M = 9$ を送りたいとします。式：$C \equiv 9^7 \pmod{143}$ $9^7 = 4,782,969$。これを 143 で割ると $33447$ 余り $48$。暗号文 $C = 48$ となりました。

【ボブの復号フェーズ】 ボブは暗号文 $C = 48$ を受け取り、秘密鍵 $d = 103$ を使って復号します。式：$M \equiv 48^{103} \pmod{143}$ 計算機で (48 ** 103) % 143 を実行すると、見事に結果は「9」となります！元のメッセージを無事に受け取ることができました。

8. 秘密鍵 $d$ の求め方：拡張ユークリッドの互除法

手計算の例では勘で $k$ を探して $d=103$ を見つけましたが、数が何百桁にもなるとこの方法は不可能です。実際のプログラムでは**「拡張ユークリッドの互除法」**というアルゴリズムを使います。

$7d \equiv 1 \pmod{120}$ を解くということは、$7d + 120y = 1$ を満たす整数 $d, y$ を見つけることと同じです。ユークリッドの互除法を逆算していくことで、これを機械的に求めることができます。

$120 \div 7 = 17$ 余り $1$
これを変形すると、$1 = 120 - 17 \times 7$
つまり、$-17 \times 7 \equiv 1 \pmod{120}$

$-17$ は、法 $120$ の世界では $120 - 17 = 103$ と同じ意味になります。したがって、$d = 103$ が一瞬で求まるのです。この方法はどんなに巨大な数でも非常に高速に計算できます。

9. RSA暗号のもう一つの顔：デジタル署名

RSA暗号の素晴らしい点は、公開鍵と秘密鍵の役割を逆にすることで**「デジタル署名」**としても使えることです。

暗号化のときは「公開鍵で暗号化 $\Rightarrow$ 秘密鍵で復号」でしたが、デジタル署名では「秘密鍵で暗号化 $\Rightarrow$ 公開鍵で復号」という手順を踏みます。

flowchart TD A1["1. アリスが秘密鍵で署名作成"] --> A2["S ≡ M^d (mod N)"] A2 --> A3["メッセージ M と署名 S を送信"] A3 --> B1["2. ボブが公開鍵で署名検証"] B1 --> B2["M' ≡ S^e (mod N) を計算"] B2 --> B3["M' と M が一致するか確認"]

アリスが自身の秘密鍵 $d$ を使ってメッセージを変換し（これが署名 $S$）、ボブに送ります。ボブはアリスの公開鍵 $e$ を使って検証計算をします。もし計算結果が元のメッセージと一致すれば、「アリスの秘密鍵でしか作れないデータである」ことと、「メッセージが途中で改ざんされていないこと」が同時に証明されるのです。

10. プログラムで実感するRSA暗号

手計算では大変な累乗計算も、Pythonを使えば非常に簡単に実装できます。以下はRSA暗号のコアとなるロジックを体験できるPythonコードです。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


def gcd(a, b):
 """最大公約数を求める"""
 while b != 0:
 a, b = b, a % b
 return a

def mod_inverse(e, phi):
 """秘密鍵 d を求める（Python 3.8以降の組み込み機能を利用）"""
 return pow(e, -1, phi)

# 1. 鍵生成
p, q = 11, 13
N = p * q
phi = (p - 1) * (q - 1)
e = 7
d = mod_inverse(e, phi)

print(f"公開鍵: (N={N}, e={e}), 秘密鍵: d={d}")

# 2. 暗号化
message = 9
ciphertext = pow(message, e, N)
print(f"暗号文: {ciphertext}")

# 3. 復号
decrypted_message = pow(ciphertext, d, N)
print(f"復号されたメッセージ: {decrypted_message}")

Pythonの pow(base, exp, mod) 関数は内部で「繰り返し二乗法」という高速アルゴリズムを使っているため、何百桁の数であっても一瞬で計算が終わります。

11. まとめと未来の暗号技術

高校数学の知識をベースに、RSA暗号の仕組みを解き明かしてきました。

素因数分解の困難性: $p \times q = N$ は簡単だが、$N$ から $p, q$ を見つけるのは非常に難しい。
合同式とオイラーの定理: $a^{\phi(N)} \equiv 1 \pmod N$ という法則により、「ある数で累乗すると元に戻る」魔法のトラップドアが完成する。
公開鍵と秘密鍵: 誰でも暗号化できるが、復号できるのは正当な受信者だけ。

現在使われているRSA暗号の $N$ は600桁以上あり、世界中のスーパーコンピュータを総動員しても素因数分解には宇宙の年齢以上の時間がかかります。しかし、近年研究が進んでいる「量子コンピュータ」が将来実用化されると、「ショアのアルゴリズム」によってこの素因数分解が一瞬で解かれてしまう可能性があります。そのため、現在は量子コンピュータでも解読できない「耐量子計算機暗号」の開発が世界中で急ピッチで進められています。

「役に立たない」と思われがちな高度な数学が、実は私たちの日常生活を根底から守っている。RSA暗号は、そんな数学の奥深さと美しさを教えてくれる最高の教材です。この記事を通して、暗号と数学の面白さを少しでも感じていただけたなら幸いです。

楕円曲線暗号（ECC）の数学的基礎とC++での実装

Fri, 11 Sep 2026 10:00:00 +0900

楕円曲線暗号（ECC）の数学的基礎とC++での実装

現代の暗号技術において、**楕円曲線暗号（Elliptic Curve Cryptography: ECC）**は極めて重要な役割を果たしています。私たちの日常的なインターネット通信（HTTPS/TLS）から、スマートフォンのセキュアエンクレーブ、SSHによるサーバー認証、FIDOなどのパスワードレス認証、さらにはビットコインやイーサリアムなどの暗号資産に至るまで、現代のデジタル社会の信頼基盤はECCによって支えられていると言っても過言ではありません。

本記事では、この楕円曲線暗号がいかにして機能しているのか、その背後にある美しくも難解な数学的理論（有限体上の代数幾何学）から出発し、実際のC++を用いた実装方法、さらにはサイドチャネル攻撃（タイミング攻撃）を防ぐためのセキュアなコーディング手法まで、圧倒的なボリュームで徹底的に解説します。

1. なぜ楕円曲線暗号なのか？（RSAとの比較）

公開鍵暗号方式の代名詞といえば、長らくRSA暗号でした。RSA暗号は「巨大な合成数の素因数分解の困難性」を安全性の根拠としています。しかし、コンピューターの計算能力の向上に伴い、安全性を維持するためにはRSAの鍵長（モジュラスのビット数）を継続的に長くする必要が生じました。現在では、最低でも2048ビット、より安全を期すなら3072ビットや4096ビットの鍵長が推奨されています。

これに対して、楕円曲線暗号（ECC）は**「楕円曲線上の離散対数問題（ECDLP）」**という別の数学的困難性を安全性の根拠としています。ECDLPを解くための効率的なアルゴリズム（準指数関数時間アルゴリズムなど）は現在に至るまで発見されておらず、既知の最も効率的な攻撃手法であっても指数関数的な時間を要します。

この性質により、ECCは非常に短い鍵長でRSAと同等のセキュリティ強度を実現できるという決定的な利点を持ちます。

セキュリティ強度（ビット）	RSA暗号の鍵長（ビット）	楕円曲線暗号の鍵長（ビット）	鍵長の比率
80	1024	160	1:6
112	2048	224	1:9
128	3072	256	1:12
192	7680	384	1:20
256	15360	512	1:30

上記の表が示すように、128ビットのセキュリティ強度（現在標準的な強度）を得るために、RSAでは3072ビットの鍵が必要ですが、ECCであればわずか256ビットで済みます。これにより、計算量の削減、メモリ使用量の低減、ネットワーク帯域の節約が可能となり、特にリソースが限られたIoTデバイスやスマートカード環境において圧倒的な優位性を誇ります。

2. 数学的準備：群論と有限体の世界

楕円曲線暗号を真に理解するためには、抽象代数学（群論および体論）の基本的な概念を押さえておく必要があります。ここでは、ECCを構成するための前提知識を簡潔にまとめます。

2.1. 群（Group）とアーベル群

**群（Group）**とは、ある集合 $G$ と、その集合上の二項演算（ここでは加法 $+$ とします）の組 $(G, +)$ であり、以下の4つの公理を満たすものです。

閉性（Closure）: 任意の $a, b \in G$ について、$a + b \in G$ である。
結合法則（Associativity）: 任意の $a, b, c \in G$ について、$(a + b) + c = a + (b + c)$ が成り立つ。
単位元の存在（Identity element）: 任意の $a \in G$ について、$a + e = e + a = a$ となる要素 $e \in G$ が存在する。加法群の場合、この単位元を通常 $0$ または $\mathcal{O}$ と表記します。
逆元の存在（Inverse element）: 任意の $a \in G$ に対して、$a + b = b + a = e$ となる要素 $b \in G$ が存在する。この $b$ を $-a$ と表記します。

さらに、演算の順序を入れ替えても結果が変わらない、すなわち以下の条件を満たす群を**アーベル群（可換群）**と呼びます。

交換法則（Commutativity）: 任意の $a, b \in G$ について、$a + b = b + a$ が成り立つ。

楕円曲線上の点の集合は、特定の加法ルールを定義することで、このアーベル群を構成します。

2.2. 有限体（Finite Field）

暗号理論においては、実数や複素数のような連続的で無限の要素を持つ体ではなく、要素の数が有限である**有限体（Finite Field）**またはガロア体（Galois Field）を使用します。

最も基本的な有限体は、素数 $p$ を用いた素体 $\mathbb{F}_p$ です。これは、$\{0, 1, 2, \dots, p-1\}$ の整数の集合に、モジュロ $p$ （$p$ で割った余り）での四則演算（加算、減算、乗算、除算）を定義したものです。

加算: $(a + b) \pmod p$
減算: $(a - b) \pmod p$
乗算: $(a \times b) \pmod p$
除算: $a \times b^{-1} \pmod p$ （ここで $b^{-1}$ はモジュロ $p$ における $b$ の乗法逆元）

**乗法逆元（Modular Multiplicative Inverse）**の計算は暗号実装において非常に重要です。$b \times b^{-1} \equiv 1 \pmod p$ を満たす $b^{-1}$ を求めるには、主に以下の2つのアルゴリズムが用いられます。

拡張ユークリッドの互除法（Extended Euclidean Algorithm）: 高速ですが、実装によっては処理時間が入力値に依存するためタイミング攻撃のリスクがあります。
フェルマーの小定理（Fermat’s Little Theorem）: $p$ が素数で $b \neq 0$ のとき、$b^{p-1} \equiv 1 \pmod p$ が成り立ちます。両辺を $b$ で割ると、$b^{p-2} \equiv b^{-1} \pmod p$ となります。つまり、$b$ の $p-2$ 乗を計算することで逆元が求まります。べき乗演算は定数時間で実装しやすいため、暗号実装ではこちらが好まれます。

3. 楕円曲線の方程式と幾何学

3.1. ワイエルシュトラスの標準形

**楕円曲線（Elliptic Curve）は、一般に以下のワイエルシュトラスの標準形（Weierstrass normal form）**と呼ばれる方程式で定義される平面曲線です。

$$ y^2 = x^3 + ax + b $$

ここで、$a$ と $b$ は定数であり、曲線が特異点（自己交差や尖点）を持たない（滑らかな曲線である）ための条件として、以下の判別式（Discriminant） $\Delta$ がゼロでないことが求められます。

$$ \Delta = -16(4a^3 + 27b^2) \neq 0 $$

特異点を持つ曲線は暗号学的な安全性を損なうため、必ずこの条件を満たす係数 $a, b$ が選ばれます。

3.2. 無限遠点（Point at Infinity）

楕円曲線を数学的に完全な群にするために、平面上の点に加えて**「無限遠点（Point at Infinity）」**と呼ばれる仮想的な点を導入します。これを $\mathcal{O}$ （オー）と表記します。

無限遠点 $\mathcal{O}$ は、すべての垂直線が無限の彼方で交わる点として定義されます。群論において、この無限遠点 $\mathcal{O}$ は加法における単位元（ゼロ）として機能します。

すなわち、曲線上の任意の点 $P$ に対して、以下が成り立ちます。

$$ P + \mathcal{O} = \mathcal{O} + P = P $$

また、点 $P = (x, y)$ の逆元 $-P$ は、x軸に対して対称な点 $(x, -y)$ と定義されます。したがって：

$$ P + (-P) = \mathcal{O} $$

となります。

4. 楕円曲線上の群演算（点の加算と2倍算）

楕円曲線暗号の根幹をなすのが、曲線上の点同士の**「加算（Addition）」**という演算です。これは通常の整数の足し算とは異なり、幾何学的な操作に基づいて定義されています。

4.1. 幾何学的な加算（Tangent and Chord Method）

曲線上の異なる2点 $P$ と $Q$ を足して新しい点 $R$ ($R = P + Q$) を求める手順は以下の通りです。

点 $P$ と点 $Q$ を通る直線（弦）を引きます。
この直線は、楕円曲線と必ずもう一つの点（これを $-R$ とします）で交わります。（※代数幾何学の定理によります）
交点 $-R$ をx軸に対して対称に折り返した点（y座標の符号を反転させた点）が、求める点 $R$ となります。

graph TD Step1["P(x1, y1) と Q(x2, y2) を結ぶ直線を引く"] --> Step2["曲線との第3の交点 -R を見つける"] Step2 --> Step3["-R をx軸で折り返し、R(x3, y3) を得る"] Step3 -.-> Result["これが R = P + Q"]

4.2. 点の2倍算（Point Doubling）

点 $P$ に同じ点 $P$ を足す場合（$P + P = 2P$）、2点を通る直線を引くことができません。この場合は、**点 $P$ における曲線の接線（Tangent）**を引きます。

点 $P$ における曲線の接線を引きます。
この接線は曲線ともう一つの点 $-R$ で交わります。
交点をx軸で対称に折り返した点が、求める点 $R = 2P$ となります。

4.3. 代数的な計算公式

幾何学的な操作を、コンピューターで計算できるように代数的な公式に落とし込みます。演算はすべて**有限体 $\mathbb{F}_p$ 上（モジュロ $p$）**で行われます。

点 $P = (x_1, y_1)$、点 $Q = (x_2, y_2)$ とします。また、計算結果の点を $R = P + Q = (x_3, y_3)$ とします。

直線の傾きを $\lambda$（ラムダ）とします。

【ケース1： $P \neq Q$ の場合（点の加算）】 傾き $\lambda$ は、2点間の変化の割合です。

$$ \lambda \equiv \frac{y_2 - y_1}{x_2 - x_1} \pmod p $$ $$ \lambda \equiv (y_2 - y_1) \cdot (x_2 - x_1)^{-1} \pmod p $$

この $\lambda$ を用いて、$x_3, y_3$ は次のように求まります。

$$ x_3 \equiv \lambda^2 - x_1 - x_2 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

【ケース2： $P = Q$ の場合（点の2倍算）】 傾き $\lambda$ は、微分によって求められる接線の傾きになります。（$y^2 = x^3 + ax + b$ を暗黙に微分します）

$$ 2y \cdot y' = 3x^2 + a \implies y' = \frac{3x^2 + a}{2y} $$

したがって、

$$ \lambda \equiv (3x_1^2 + a) \cdot (2y_1)^{-1} \pmod p $$

$x_3, y_3$ の式は加算と同じ形ですが、$x_2 = x_1$ であるため以下のようになります。

$$ x_3 \equiv \lambda^2 - 2x_1 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

[!IMPORTANT] これらの公式には $(x_2 - x_1)^{-1}$ や $(2y_1)^{-1}$ といった**除算（モジュロ逆元の計算）が含まれています。モジュロ逆元の計算は計算コストが非常に高いため、実際の実装では除算を遅延させる「ヤコビ座標系（Jacobian Coordinates）」**などの射影座標系が一般的に用いられます。

5. スカラー倍算と楕円曲線離散対数問題（ECDLP）

楕円曲線暗号において、最も計算量が多く、かつセキュリティの中核をなす演算が**スカラー倍算（Scalar Multiplication）**です。

5.1. スカラー倍算とは

ある点 $P$ を $k$ 回足し合わせる操作をスカラー倍算と呼び、$kP$ と表記します。

$$ kP = \underbrace{P + P + \dots + P}_{k\text{回}} $$

ここで、$k$ は非常に大きな整数（例えば256ビットの整数）です。

5.2. 楕円曲線離散対数問題（ECDLP）

楕円曲線暗号の安全性は、以下の問題の困難性に依存しています。

楕円曲線離散対数問題 (Elliptic Curve Discrete Logarithm Problem: ECDLP) 既知の点 $P$（ベースポイント）と、計算結果の点 $Q$ が与えられたとき、$Q = kP$ を満たすスカラー $k$ を求めよ。

$k$ と $P$ から $Q$ を計算する（順方向）のは後述のアルゴリズムを用いれば簡単（多項式時間）ですが、$P$ と $Q$ から $k$ を逆算する（逆方向）ことは、総当たり的な探索以外に効率的な解法がなく、事実上不可能です（一方向性関数）。暗号プロトコルにおいては、**$k$ が「秘密鍵」、$Q$ が「公開鍵」**に対応します。

5.3. Double-and-Add アルゴリズム

$k$ が巨大な数（例：$2^{256}$）の場合、$P$ を愚直に $k$ 回足し合わせることは宇宙の寿命が尽きても終わりません。そこで、高速にスカラー倍算を行うために**Double-and-Add法（バイナリ法）**が用いられます。

これは、整数のべき乗を高速に計算する「繰り返し二乗法」の楕円曲線版です。スカラー $k$ を2進数表現し、上位ビットから順に処理します。

結果を保持する点 $R$ を $\mathcal{O}$ で初期化する。
$k$ の最上位ビットから最下位ビットまで以下を繰り返す：
- $R$ を2倍する（Point Doubling: $R = 2R$）
- もし現在のビットが 1 なら、$R$ に $P$ を足す（Point Addition: $R = R + P$）

このアルゴリズムにより、計算量は $O(k)$ から $O(\log_2 k)$ に劇的に削減され、現実的な時間（ミリ秒単位）で計算が可能になります。

6. 楕円曲線ディフィー・ヘルマン（ECDH）鍵共有

ここでは、ECCの最も代表的な応用例であるECDH（Elliptic Curve Diffie-Hellman）鍵共有プロトコルの仕組みを解説します。ECDHは、盗聴可能な通信路上で、アリスとボブが安全に共通の秘密鍵（セッションキー）を生成・共有するための仕組みです（TLSハンドシェイクの中核です）。

【前提パラメータ（ドメインパラメータ）】 両者はあらかじめ、使用する楕円曲線 $E$、素数 $p$、およびベースポイント $G$ を共有しています。（例としてNIST P-256やsecp256k1など）

sequenceDiagram participant Alice as "Alice (アリス)" participant Bob as "Bob (ボブ)" Note over Alice,Bob: "公開パラメータ: 曲線 E, ベースポイント G, 素数 p" Alice->>Alice: "秘密鍵 d_A (ランダムな整数) を生成" Alice->>Alice: "公開鍵 Q_A = d_A * G を計算" Bob->>Bob: "秘密鍵 d_B (ランダムな整数) を生成" Bob->>Bob: "公開鍵 Q_B = d_B * G を計算" Alice->>Bob: "公開鍵 Q_A を送信 (平文)" Bob->>Alice: "公開鍵 Q_B を送信 (平文)" Alice->>Alice: "共有シークレット S = d_A * Q_B を計算" Bob->>Bob: "共有シークレット S = d_B * Q_A を計算" Note over Alice,Bob: "S = d_A * (d_B * G) = d_B * (d_A * G) = (d_A * d_B) * G" Note over Alice,Bob: "両者の計算結果 S は完全に一致する！"

盗聴者（イヴ）は通信経路上を流れる $G$、$Q_A$、$Q_B$ を傍受できますが、ECDLPの困難性により、$Q_A = d_A \cdot G$ からアリスの秘密鍵 $d_A$ を割り出すことはできません。また、$Q_A$ と $Q_B$ を掛け合わせても共有鍵 $S$ にはならないため、盗聴者は $S$ を計算することができません。

7. 実装の落とし穴：サイドチャネル攻撃と対策

理論的に完璧な暗号アルゴリズムであっても、それをプログラムとして実装する過程で脆弱性が生まれ得ます。それが**「サイドチャネル攻撃（Side-Channel Attack）」**です。

7.1. タイミング攻撃（Timing Attack）

前述の Double-and-Add アルゴリズムを振り返ってみましょう。

1
2
3
4
5
6
7
8


// 脆弱な Double-and-Add の疑似コード
Point R = Point::Infinity;
for (int i = 255; i >= 0; i--) {
 R = PointDoubling(R); // 常に実行される
 if (bit(k, i) == 1) {
 R = PointAddition(R, P); // ビットが1のときだけ実行される！
 }
}

この実装には致命的な欠陥があります。ビットが 1 のときは Point Addition が実行されるため、ビットが 0 のときよりも計算時間がわずかに長くなります。また、プロセッサの分岐予測やキャッシュメモリの挙動も変化します。攻撃者がこの計算時間（あるいは消費電力）の微小な差異を何千回も統計的に観測することで、秘密鍵 $k$ のビット列を1ビットずつ完全に復元されてしまいます。これがタイミング攻撃です。

7.2. Constant-Time 実装：Montgomery Ladder

タイミング攻撃を防ぐためには、**秘密鍵のビット値にかかわらず、実行される命令のシーケンスと計算時間が常に一定（Constant-Time）**であるアルゴリズムを採用する必要があります。

その代表例が**Montgomery Ladder（モンゴメリのラダー）**です。

graph TD Start["初期化: R0 = O, R1 = P"] --> LoopStart["各ビット i について (最上位から)"] LoopStart --> Cond{"k_i の値は？"} Cond -->|0| Branch0["R1 = R0 + R1
R0 = 2 * R0"] Cond -->|1| Branch1["R0 = R0 + R1
R1 = 2 * R1"] Branch0 --> LoopEnd["次のビットへ"] Branch1 --> LoopEnd LoopEnd --> LoopStart LoopStart -.->|"全ビット完了"| End["終了: R0 が結果 (kP)"]

Montgomery Ladderの美しい点は、ビットが 0 であっても 1 であっても、**「常に1回のPoint Additionと1回のPoint Doubling」**が実行されることです。これにより、計算時間のデータ依存性が完全に排除されます。

ただし、分岐（if (k_i == 0)）自体が存在すると、コンパイラの最適化やCPUの分岐予測によって実行時間が変動するリスクが残ります。そのため、実際のConstant-Time実装では、条件分岐（if文）を排除し、**ビット演算を用いた条件付きスワップ（Conditional Swap）**を利用します。

8. C++による楕円曲線暗号の実装

ここからは、理論をC++のコードに落とし込んでいきます。実用的な暗号ライブラリ（OpenSSLやlibsodiumなど）は高度なアセンブリ最適化やヤコビ座標系を使用していますが、ここでは数学的理解を深めるために、アフィン座標系を用いたわかりやすいConstant-Time実装の骨組みを示します。

巨大な整数の演算には boost::multiprecision::cpp_int を用いると仮定します。

8.1. モジュロ演算と逆元

まず、有限体上の演算ヘルパー関数を定義します。フェルマーの小定理による逆元計算を実装します。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


#include <iostream>
#include <vector>
#include <stdexcept>
#include <boost/multiprecision/cpp_int.hpp>

using namespace boost::multiprecision;

// 例として secp256k1 の素数 p とパラメータ
const cpp_int p("0xFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFFFFC2F");
const cpp_int a = 0;
const cpp_int b = 7;

// 正の剰余を返すモジュロ演算
cpp_int mod(cpp_int x, cpp_int m) {
 cpp_int r = x % m;
 return r < 0 ? r + m : r;
}

// べき乗剰余計算 (x^y mod m)
cpp_int powerMod(cpp_int base, cpp_int exp, cpp_int m) {
 cpp_int res = 1;
 base = mod(base, m);
 while (exp > 0) {
 if (exp % 2 == 1) res = mod(res * base, m);
 base = mod(base * base, m);
 exp /= 2;
 }
 return res;
}

// フェルマーの小定理を用いたモジュロ逆元
cpp_int modInverse(cpp_int n, cpp_int m) {
 // mが素数である前提: n^(m-2) ≡ n^(-1) mod m
 return powerMod(n, m - 2, m);
}

8.2. 点の表現と群演算（加算・2倍算）

無限遠点をフラグで管理する Point 構造体と、加算の公式を実装します。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41


struct Point {
 cpp_int x;
 cpp_int y;
 bool isInfinity;

 // 無限遠点の生成
 Point() : x(0), y(0), isInfinity(true) {}

 // 通常の点の生成
 Point(cpp_int x, cpp_int y) : x(x), y(y), isInfinity(false) {}
};

// 楕円曲線上の点の加算 (R = P + Q)
Point pointAdd(const Point& P, const Point& Q) {
 if (P.isInfinity) return Q;
 if (Q.isInfinity) return P;

 if (P.x == Q.x && mod(P.y + Q.y, p) == 0) {
 return Point(); // P + (-P) = 無限遠点
 }

 cpp_int lambda;
 if (P.x == Q.x && P.y == Q.y) {
 // Point Doubling (P = Q の場合)
 // lambda = (3x^2 + a) / 2y
 cpp_int num = mod(3 * P.x * P.x + a, p);
 cpp_int den = modInverse(mod(2 * P.y, p), p);
 lambda = mod(num * den, p);
 } else {
 // Point Addition (P != Q の場合)
 // lambda = (y2 - y1) / (x2 - x1)
 cpp_int num = mod(Q.y - P.y, p);
 cpp_int den = modInverse(mod(Q.x - P.x, p), p);
 lambda = mod(num * den, p);
 }

 cpp_int x3 = mod(lambda * lambda - P.x - Q.x, p);
 cpp_int y3 = mod(lambda * (P.x - x3) - P.y, p);

 return Point(x3, y3);
}

8.3. Constant-Time Conditional Swap の実装

秘密鍵のビット値に基づいて変数の中身を入れ替える際、if 文を使わずにビット演算（マスク）のみで入れ替えを行います。これにより実行経路が完全に一定になります。

[!TIP] 実際の実装では、cpp_int のような動的確保される多倍長整数クラスは Constant-Time 処理には適していません。メモリ割り当てや配列サイズの変動によってタイミング情報が漏洩するためです。実用ライブラリでは、固定長（例えば uint64_t × 4要素の配列）で表現し、ビット単位でのマスク処理を実装します。以下は概念的な例です。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


// 概念的な Constant-Time Swap (固定長整数の場合を想定)
// bit が 1 なら P1 と P2 を交換し、0 なら交換しない
void cswap(Point& P1, Point& P2, uint8_t bit) {
 // bit は 0 または 1。マスクは bit=1 なら全ビット1(0xFF..)、0なら全ビット0。
 // (ここでは説明のため、固定長の BigInt クラスの各ワードを w と仮定)
 /*
 uint64_t mask = 0 - (uint64_t)bit;
 for (int i = 0; i < NUM_WORDS; i++) {
 uint64_t dummy = mask & (P1.x.words[i] ^ P2.x.words[i]);
 P1.x.words[i] ^= dummy;
 P2.x.words[i] ^= dummy;
 // y座標や isInfinity フラグも同様に処理
 }
 */

 // ※ boost::multiprecision での完全な定数時間スワップは困難ですが、
 // ここではロジックの理解のために分岐によるシミュレートにとどめます。
 if (bit == 1) {
 std::swap(P1, P2);
 }
}

8.4. Montgomery Ladder によるスカラー倍算

前述の pointAdd と cswap を組み合わせて、セキュアなスカラー倍算を実装します。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


// スカラー倍算 k * P (Montgomery Ladder 方式)
Point scalarMultiply(const Point& P, cpp_int k) {
 Point R0 = Point(); // 無限遠点
 Point R1 = P;

 // k のビット長を取得 (secp256k1 なら 256 ビット)
 int numBits = 256;

 for (int i = numBits - 1; i >= 0; i--) {
 // iビット目の値を取得 (0 または 1)
 uint8_t bit = static_cast<uint8_t>(bit_test(k, i) ? 1 : 0);

 // bit == 1 なら R0 と R1 をスワップ
 cswap(R0, R1, bit);

 // 常に同じ演算を実行 (Point Addition と Point Doubling)
 R1 = pointAdd(R0, R1);
 R0 = pointAdd(R0, R0);

 // bit == 1 だった場合、状態を元に戻すために再度スワップ
 cswap(R0, R1, bit);
 }

 return R0;
}

この実装ロジックにより、スカラー $k$ の各ビットが 0 であっても 1 であっても、各ループイテレーション内で実行される演算（cswap $\to$ pointAdd $\to$ pointAdd $\to$ cswap）は全く同じフローとなり、タイミングやキャッシュアクセスパターンの差異を通じた秘密情報の漏洩を強力に防ぐことができます。

9. まとめ

楕円曲線暗号（ECC）は、初見では「なぜ直線を引いて交点を折り返すという幾何学的な操作が暗号になるのか？」と不思議に思えるかもしれません。しかし、有限体という離散的な世界にマッピングすることで、見事な一方向性関数（離散対数問題）を構築できるという、数学と暗号学の奇跡的な融合の産物です。

本記事では以下の重要なポイントを解説しました。

RSAに対する優位性: 非常に短い鍵長で強力なセキュリティを提供し、現代のモバイル・IoT時代に最適であること。
群論と有限体の基礎: ECCの土台となる数学的構造。
加算と2倍算の公式: ワイエルシュトラス方程式を用いた代数的な群演算の実装方法。
サイドチャネル攻撃の脅威: 秘密鍵のビットに依存した条件分岐が致命的な脆弱性を生むこと。
Constant-Time 実装: Montgomery Ladder と Conditional Swap を用いて、ハードウェアレベルの挙動を均一化し攻撃を防ぐC++コーディング技法。

実際にプロダクション環境で動作する暗号ライブラリを自作することは、セキュリティ上のリスクが極めて高いため非推奨（“Don’t roll your own crypto”）とされています。しかし、その内部で動いているアルゴリズムと数学的背景を深く理解することは、よりセキュアでパフォーマンスの高いシステムを設計・運用するエンジニアにとって、かけがえのない強力な武器となるはずです。

次回の記事では、この楕円曲線を用いたデジタル署名アルゴリズムである ECDSA (Elliptic Curve Digital Signature Algorithm) のメカニズムや、ビットコインで採用されている Schnorr署名 についてさらに深く掘り下げていきたいと思います。