耐量子暗号の半導体コストは演算器よりアルゴリズム切替能力にある

NISTは2024年8月、FIPS 203、204、205を承認し、ML-KEM、ML-DSA、SLH-DSAを耐量子暗号の標準として公開した。[1][2]

標準が確定したことで、半導体設計者の課題は候補選定から、処理時間、メモリ、通信量、乱数、サイドチャネル対策を製品制約へ収めることへ移った。[1][2]

耐量子方式は従来の楕円曲線方式と異なるデータサイズと計算特性を持つ。暗号エンジンだけでなく、SRAM、DMA、バス、セキュアストレージ、通信バッファを再設計する必要がある。[1]

低価格MCUやセキュアエレメントでは、ピーク演算性能より作業メモリとフラッシュ容量が制約になり得る。システム全体の実装費を測るべきである。[1]

NISTは移行を開始するよう促し、量子脆弱な方式を2035年までに段階的に廃止する方向を示している。長寿命機器は複数世代の暗号方針をまたぐ。[2]

一方式だけをハードウェアへ固定すると、パラメータ変更や新しい攻撃への対応が難しい。高速化回路と更新可能ファームウェアの境界を設計する必要がある。[1][2]

耐量子対応を示す製品でも、ブート、通信、証明書、更新署名の一部だけが対応する場合がある。信頼鎖全体の方式を確認しなければならない。[1][2]

追うべきはベンチマーク速度だけでなく、ハイブリッド運用、鍵更新、アルゴリズム失効、ロールバック防止、既存証明書基盤との移行時間である。[1][2]