暗号デバイスの消費電力を測るだけで、秘密鍵は割り出せてしまいます。この攻撃を防ぐマスキングという技術は25年以上前からあり、実験では効いていました。ただ、なぜどこまで効くのかは、誰も一般的な形では言えずにいました。京都大学・東北大学・NECが、その境界に数式で線を引いています。
NECは2026年8月18日、物理的安全性が保証された暗号デバイスの設計方法を開発したと発表した。京都大学の上野嶺准教授、東北大学の本間尚文教授、NECの峯松一彦主席研究員らによる成果。消費電力や放射電磁波などの物理的漏えいを解析し、攻撃者が秘密情報を推測する力を、推測の成功率がランダムな推測をどれだけ上回るかというアドバンテージとして定量化した。
さらに、この値を秘密情報の分散数に対して指数関数的に小さくできることと、その必要十分条件を漏えいの強度の観点から示した。従来手法は実装コストが安全性パラメータの二乗で増加するのに対し、提案手法は線形で、実用的なパラメータでは従来の2分の1から5分の1以下になるという。成果は8月17日から米サンタバーバラで開催中のCRYPTO 2026で発表された。
From: 
NEC、物理的安全性が保証された暗号デバイスの設計方法を開発
【編集部解説】
暗号が破られると聞いて多くの人が思い浮かべるのは、数式の穴を突かれる場面ではないでしょうか。けれど現実の攻撃者は、もっと素朴な手段を持っています。動いている機械のそばに測定器を置き、電気の使われ方を眺めるのです。
現在使われている主要な暗号は、その数学的な安全性について長年の評価が積み重ねられてきました。ところが、それを載せた回路は、計算している中身に応じて消費電力や電磁波をわずかに変えてしまう。この揺らぎから鍵を割り出すのがサイドチャネル攻撃です。リリースに添えられた実験写真では、デジタルオシロスコープで暗号デバイスの消費電力を測り、その波形をPCに送って鍵を解析する様子が示されています。
対策の本命として1990年代末から研究されてきたのがマスキングでした。秘密の値をそのまま扱わず、乱数を使って複数の値に分けて持つ。ひとつ覗かれても元には戻らない、という発想です。実際に攻撃が難しくなることは、実験を通じて繰り返し確かめられてきました。
問題は、そこから先を長く言えなかったことにあります。分散の数を増やせば難しくなるのは分かる。では、何倍難しくなるのか。どの程度の漏えいまでなら守り切れて、どこから守れなくなるのか。この問いは発見から25年以上、決着していませんでした。数学的な解析の試みは複数あったものの、成立する条件が限られていたのです。
今回の成果は、そこに輪郭を与えました。まず、攻撃者が漏えいから得る力を測り直します。ここでいう力とは、実際に鍵を当てられる確率が、当てずっぽうの確率をどれだけ上回るかという差分のことで、専門的にはアドバンテージと呼ばれます。そのうえで加法マスキングについて、この差分が秘密情報の分散数に対して指数関数的に小さくなることを示しました。
さらに研究グループは、そうなるための条件を、漏えいの強度という物差しで必要十分条件として書き下しています。一定の漏えいモデルのもとで、という限定はつきますが、どこまでの漏えいならマスキングが効き、どこから効かなくなるのか。その境界に、数式で線が引かれました。
境界が見えることには、設計上の意味があります。効く条件を数式で言えるようになれば、その理論をそのまま暗号の設計に持ち込めるからです。マスキングは分散数を増やすほど安全になりますが、その分だけ回路資源も、生成しなければならない乱数の量も増えていきます。どこまで高めれば足りるのかを定量的に判断できることは、このトレードオフを扱ううえで効いてきます。
NECは、この理論を応用した新しい漏えい耐性の設計を構築しました。従来の高次マスキングでは安全性パラメータに対して二乗で増えていた実装コストを、線形に抑えたとしています。実用的なパラメータでは、従来の2分の1から5分の1以下。対策を施さない通常の暗号と比べても、定数因子を除いた計算量のオーダーは同じだと述べています。理論の側から見れば、削れる余地はほぼ使い切ったという主張です。もっとも、これは実装時の追加コストがゼロに近いという意味ではなく、定数因子まで含めた実機での効率は、これから測られる数字です。
ここで、もう一つの流れに触れておきます。同じ25年来の問いに、別の道から到達したチームが、ほぼ同時期にいました。ラドバウド大学のヴァヒド・ヤハンディデ、バート・メニンク、レイラ・バティナの三氏が、2025年のASIACRYPTで、マスキングの安全性をめぐる2016年来の予想を証明したと報告しています。今回の論文もこの成果に言及したうえで、自分たちの証明は異なるアプローチによるものだと位置づけています。
つまりこれは、ひとつの発見の物語というより、長く動かなかった扉が同じ時期に二方向から開いた話です。そして日本の研究グループの側は、証明で立ち止まらず、それを使って安く作る方法まで持ってきました。理論と実装が同じ距離に置かれている強みが、素直に出た形だと思います。
効き目が届く先は、ごく身近な場所です。ICカードやスマートフォン、IoT機器に載る暗号デバイス。用途によっては攻撃者が機器そのものに近づけるうえ、回路も電力も潤沢ではありません。対策コストが二乗で膨らむ世界では、安全性を一段上げる判断が製品仕様そのものの見直しを意味しました。線形なら、その判断はずいぶん軽くなります。
ここから先については、発表者自身が宿題を挙げています。実機での実装と評価、そして第三者による検証はこれからです。世界最高水準という表現も、NEC自身の評価によるものです。
それでも、この方向は追いかける価値があります。耐量子暗号への移行が始まっているいま、新しいアルゴリズムを載せた回路が世界中で設計し直されようとしています。アルゴリズムを量子計算機に強いものへ差し替えても、実装から電気が漏れるという問題まで一緒に消えるわけではありません。今回の理論は特定の暗号方式に閉じたものではなく、加法マスキング全般を対象にしています。ただし、論文が線形コストの実例として示したのはブロック暗号を基礎とする方式で、耐量子暗号にどう適用してどれだけの効率が出るのかは、これから確かめられる領域です。
数学で守った暗号が、物理で漏れる。この隙間には、実測の積み重ねだけでなく、形式的な安全性証明の研究も長く続けられてきました。それでも、現実的な漏えいのもとでマスキングがどこまで効くのかを、一般的な形で言い切ることはできずにいました。今回の成果は、その境界に数学の言葉が届いたところに面白さがあります。
【関連記事】
東京大学、MQ問題で世界記録更新─ポスト量子暗号の「解読の限界」に挑む新F4アルゴリズム
ポスト量子暗号の安全性を、解読する側の計算限界から評価した日本の研究成果。暗号の強度を数学的に測る試みという点で通じる。
MITが発見「TONTOU」攻撃｜IntelとAMDのSpectre防御に生じた隙間
実装から漏れる情報を突く攻撃の事例。アルゴリズムではなく動作する回路が狙われるという点で、今回の主題と同じ系譜にある。
TOPPANホールディングス×NICT×ISARA、耐量子暗号へのシームレス移行に成功—2030年社会実装へ
耐量子暗号への移行を実証した事例。アルゴリズムの入れ替えが実際に動き始めている現状と、その手順の複雑さが見えてくる記事。
ETH Zurichが世界初「完璧なランダム性」を実現、量子もつれで暗号の土台を再定義
乱数の完全性を物理法則で保証する研究。マスキングが消費する乱数の質は、対策そのものの強度を左右する要素にもなっている。
【編集部後記】
同じ研究でも、企業から出る発表と大学から出る発表では、言葉づかいが少し違います。NEC版には「世界最高水準」とありますが、京都大学版にこの語は登場しません。攻撃者の力の上限を、NEC版は「取りうる最大値」、京都大学版は「上界」と書き分けてもいます。
どちらが正しいという話ではなく、届けたい相手が違うのだと思います。ただ、両方を並べて読むと、研究者が言い切れる範囲がどこにあるのかが見えてきます。発表元が複数ある研究は、見比べてみると発見があります。
【用語解説】
サイドチャネル攻撃
暗号アルゴリズムの数学的な弱点ではなく、暗号演算を実行するデバイスから漏れる物理的な情報を利用する攻撃。消費電力や放射電磁波、処理時間などを観測し、そこから秘密鍵を推定する。
マスキング
サイドチャネル攻撃への対策技術。秘密情報をそのまま扱わず、乱数を使って複数の値にランダムに分散して保持する。漏えいを一つ観測されても元の値は復元できない。分散の数を増やすほど安全性は高まるが、実装コストも増える。
高次マスキング
分散数を増やして安全性を高めたマスキングのこと。従来は、安全性パラメータに対して実装コストが二乗で増加するとされてきた。
加法マスキング
値の分割に加算を用いるマスキング。排他的論理和による「ブール型」と、剰余環などの上での加算による「算術型」がある。今回の証明はこの両方を対象とする。
アドバンテージ
攻撃者が正しく秘密鍵を推測できる確率と、ランダムに推測したときの正解確率との絶対差分。今回の発表では「攻撃者の力」と呼ばれ、これが小さいほど攻撃が成立しにくい。
漏えいの強度
秘密情報がどの程度漏れているかを定量的に表す特徴量。暗号デバイスの種類と測定環境によって決まり、相互情報量や確率分布の全変動距離などを用いて定義される。
安全性パラメータ
安全性の水準を決める設計上の変数。今回の成果では、秘密情報をいくつに分散するかという分散数がこれにあたる。
必要十分条件
その条件が満たされれば結論が成り立ち、満たされなければ成り立たない、という両方向を含む条件。片方向だけを示す「十分条件」より強い主張になる。
耐量子暗号
将来の量子計算機による解読に耐えることを目指した暗号方式の総称。ポスト量子暗号（PQC）とも呼ばれ、各国で既存暗号からの移行が進んでいる。
ASIACRYPT
国際暗号学会が主催する三つの主要国際会議の一つ。CRYPTO、EUROCRYPTと並ぶ位置づけで、毎年アジア太平洋地域で開催される。
【参考リンク】
NEC（日本電気株式会社）（外部）
日本電気株式会社の公式サイト。今回の設計手法を開発した企業であり、共通鍵暗号や軽量暗号の研究開発を長年にわたり続けてきた。
京都大学 研究成果ページ（外部）
京都大学の研究成果ページ。詳細を解説したPDFに加え、論文のDOIと書誌情報が掲載されており、発表内容を原文で確認できる。
東北大学 プレスリリース・研究成果（外部）
東北大学のプレスリリース一覧。共同研究に参加した本間尚文教授と伊東燦助教が所属し、ハードウェアセキュリティの研究拠点である。
Crypto 2026（IACR）（外部）
国際暗号学会が主催するCRYPTO 2026の公式サイト。第46回にあたる今回は、8月17日から20日まで米サンタバーバラで開かれている。
A Formal Security Proof of Masking（Springer）（外部）
論文の掲載ページ。CRYPTO 2026の会議録に収録され、書誌情報はLNCS 16806の326ページから358ページまでとなっている。
Cryptology ePrint Archive 2025/2199（外部）
国際暗号学会が運営する論文アーカイブの該当ページ。査読前の版だが、証明の全体像と関連研究への言及を無料で読むことができる。
【参考記事】
暗号学会議「CRYPTO 2026」開幕へ、AIモデル自体を解析する研究も登場（外部）
CRYPTO 2026の開幕を伝える記事。781本の投稿から189本が採択されたことなど、今回の会議で扱われる研究領域の広がりを概観できる。
A Decomposition Approach for Evaluating Security of Masking（外部）
ASIACRYPT 2025で発表された論文の掲載ページ。マスキングの安全性をめぐる2016年来の予想を、別のアプローチから扱っている。
Cryptology ePrint Archive 2025/270（外部）
上記論文のプレプリント。要旨において、加法群一般に対してマスキングが安全性を高めるための漏えい条件を具体的な式で述べている。
ＮＥＣ、暗号デバイス設計法を開発、物理的安全性を従来方式の半分以下のコストで実現（外部）
NECの発表を伝えた記事。株式市場の視点から、同社の事業領域とあわせて今回の成果の位置づけを短くまとめている点が特徴だ。
