【ポイント】

■ 耐量子計算機暗号の一つとされる多変数公開鍵暗号の安全性評価のコンテストで世界記録達成

■ 従来の解読方法より計算が5倍速く、メモリ使用量を8分の1に削減することに成功

■ 量子コンピュータ時代でも安全かつ高速な暗号技術の実用化に期待

　国立研究開発法人情報通信研究機構（NICT、理事長: 徳田 英幸）サイバーセキュリティ研究所と首都大学東京（学長: 上野 淳）の研究グループは共同で、量子コンピュータを使用しても解読が困難な"多変数公開鍵暗号"の安全性の根拠とされている連立二次多変数代数方程式を解くコンテスト（Fukuoka MQ Challenge プロジェクト）において、Type II及びIIIに分類される方程式について、まだ誰にも解かれていない37という多くの変数の方程式を、世界で初めて解くことに成功しました。

　多変数公開鍵暗号は効率的な暗号処理方法を持つことから、実用的な耐量子計算機暗号として期待されています。今回の成果は、多変数公開鍵暗号を安全に運用するために必要な変数の個数の算出に利用されます。

【背景】

　公開鍵暗号は、現代の情報通信システムの安全性を支える基盤技術であり、具体的には、RSA 暗号及び楕円曲線暗号が広く使用されています。しかし、実用的な量子コンピュータが開発されると、これらの公開鍵暗号の安全性が大きく低下することが懸念されています。そのため、量子コンピュータでも、現在のコンピュータでも、解読が困難な暗号が必要とされており、そのような暗号技術は、耐量子計算機暗号と呼ばれています。

　特に近年、世界各国及び国内において耐量子計算機暗号の研究開発及び標準化に向けた準備が進められています。耐量子計算機暗号の有力な候補の一つに多変数公開鍵暗号があり、その安全性の根拠とされる連立二次多変数代数方程式を解く研究が重要な課題として活発に進められています。

【今回の成果】

図1 連立二次多変数代数方程式の求解の難しさ

　多変数公開鍵暗号を安全に利用するためには、連立二次多変数代数方程式が何変数まで解けるのかを評価する必要があります。

　量子コンピュータを使用しても解読が困難な"多変数公開鍵暗号"の安全性の根拠とされている連立二次多変数代数方程式を解くコンテストFukuoka MQ Challengeにおいて、6タイプ（Type I～VI）の方程式が設定されており、各タイプにおいて解かれた最大の変数の個数が報告されています。

　NICTサイバーセキュリティ研究所の伊藤琢真研究員、篠原直行主任研究員と首都大学東京大学院理学研究科の内山成憲教授は共同で、Fukuoka MQ Challengeにおいて、Type II及びIIIに分類される連立二次多変数代数方程式に特化したアルゴリズムとプログラムを開発し、従来よりも計算が約5倍速く、メモリ使用量を最良の場合では8分の1に節約することに成功しました。本手法を使用して、まだ誰にも解かれていない37変数の問題に挑戦しました。この37変数の問題を解くためには、MQ Challengeの資料を参考にすると、23変数の問題を解く場合の約15万倍の時間がかかり、汎用ソフトを使用した場合は4～16年はかかると考えられます。

　しかし、我々の開発したアルゴリズムとプログラムを汎用サーバ（CPU: Intel® Xeon® CPU E5-4669 v4 (2.20GHz/22Core)×4、メモリ: 1TB）で使うことで、Type IIの37変数については75.7日、Type IIIの37変数については56.1日で解くことに成功し、3年近く更新されていなかった世界記録を更新しました。

【今後の展望】

　今後は、多変数公開鍵暗号の実用化に向けて、他のタイプの連立二次多変数代数方程式についても解読アルゴリズムを開発し、安全性の評価を実施していきます。

　なお、本研究成果について、2019年8月28日（水）から30日（金）に開催される情報セキュリティに関する国際会議IWSEC2019（The 14th International Workshop on Security）にて発表する予定です。