耐量子暗号（PQC）への移行状況 — NIST標準化から2年、実際にどこまで進んでいるのか

1. 標準化から2年、「対策はもう始まっている」段階へ

米国立標準技術研究所（NIST）は2024年8月13日、8年間の評価プロセスを経て、耐量子暗号（Post-Quantum Cryptography、PQC）の中核となる3つの標準——鍵カプセル化のML-KEM（FIPS 203）、汎用のデジタル署名のML-DSA（FIPS 204）、ハッシュベースの署名であるSLH-DSA（FIPS 205）——を確定させた。「将来、実用的な量子コンピュータが登場すれば、現行のRSAや楕円曲線暗号は破られる」という前提のもと、量子コンピュータの実用化前に暗号方式を移行しておく、という取り組みだ。NIST自身のガイダンスは、移行に10年程度かかることを前提にしている。標準が固まってから2年が経った今、実際の実装はどこまで進んでいるのか。

2. Webの入口では6割、サーバーの出口では1割

最も分かりやすい進捗指標が、CloudflareがTLS通信について定期的に公開しているデータだ。クライアント側（ユーザーのブラウザ↔Cloudflareのエッジ）の通信では、2024年2月時点でハイブリッド方式のPQC対応はわずか2%程度（うち99%以上がChromeユーザーによるもの）だったのに対し、2026年2月時点では60%を超えたという。ChromeやEdge、Firefoxといった主要ブラウザ側の対応が進んだことが牽引役になっている。

ところが、サーバー側（Cloudflare↔配信元のオリジンサーバー）の対応は、まったく異なる状況にある。2026年2月時点で、PQC優先の鍵交換を有効化できているオリジンサーバーは約10%にとどまる。2025年初頭時点では1%未満だったので、1年強で10倍に伸びたとはいえ、依然として少数派だ。つまり、ブラウザベンダー主導で進むクライアント側は急速に対応が進む一方、個々のサイト運営者の設定に委ねられるサーバー側は大きく出遅れている、という非対称な状況が浮かび上がる。

インターネット全体を対象にした学術的な測定調査（arXiv:2606.16473、2026年6月公開）も、同様の傾向を裏付けている。Tranco（主要ドメインのランキング）などから抽出したドメインを対象にTLS 1.3の対応状況を調べたところ、50.7%のドメインが依然として量子攻撃に対して完全に脆弱（従来型暗号のみ）であり、49.3%がハイブリッド鍵交換の部分的な対応にとどまっているという結果だった。

3. メッセージングアプリは、意外と足並みが揃っていない

日常的に使うメッセージングアプリの対応状況にも差がある。

Signalは2023年9月、鍵交換方式をPQXDH（従来の楕円曲線鍵交換に、耐量子の鍵カプセル化機構を組み合わせたもの）に切り替えた。2025年には、会話が続く間も定期的に耐量子の要素を鍵に織り込み直す「Sparse Post-Quantum Ratchet」という仕組みも発表している。AppleのiMessageも2024年初頭、PQ3というプロトコルを導入。会話が何年続いても、定期的にKyber由来の新しい鍵材料が織り込まれ、耐量子性を保ち続ける設計になっているという。2026年初頭時点で、最新のApple端末同士のiMessageは、このPQ3が標準のプロトコルになっている。

一方、利用者数で世界最大級のWhatsAppについては、チャットの鍵交換における耐量子対応の技術的な詳細が公開されておらず、対応状況が外部から確認できない状態が続いている。利用者数の多さや企業規模と、耐量子対応の進捗・透明性は必ずしも比例しない、ということを示す一例だ。

4. 企業インフラ側の動き

エンタープライズ向けの基盤ソフトウェアでも対応が進みつつある。Microsoftは2026年5月のWindows Server 2025アップデートで、Active Directory証明書サービス（AD CS）にML-DSA-44・ML-DSA-65・ML-DSA-87を実装し、発行局・オフラインルート証明機関が耐量子署名を使って証明書に署名できるようにした。ハードウェアセキュリティモジュール（HSM）ベンダー各社も、2025〜2026年を目標にNIST承認済みのPQCアルゴリズムをセキュアエレメントへ統合する動きを進めている。

5. なぜ進捗にこれほど差があるのか

ここまで見てきた通り、PQCの移行状況は一様ではない。ブラウザという「単一のベンダーが更新を配布すれば、多数のユーザーに一気に行き渡る」レイヤーは急速に進む一方、個々の組織がサーバー証明書やアプライアンスの設定を自分で更新しなければならないレイヤーは、大きく出遅れる。移行のボトルネックは、もはや「標準規格が存在するかどうか」ではなく、「レガシーなハードウェア・ソフトウェア・セキュリティアプライアンスとの互換性検証に、どれだけ時間がかかるか」という、地道な運用上の課題に移っている。

NISTが想定する10年という移行期間は、量子コンピュータの実用化までに残された猶予として設定されたものだが、ここまでのデータが示す通り、「標準ができたから安心」ではなく、「どのレイヤーが、どの程度遅れているか」を継続的に確認しながら、遅れているレイヤーに手を打っていく必要がある段階に入っている。少なくとも、自組織が運用しているサーバー・証明書発行基盤・VPNアプライアンスといった「サーバー側」の対応状況は、ブラウザの数字が示す楽観的な印象とは切り離して、個別に確認しておく価値がありそうだ。