ZenmuTechの暗号論文、IACR学術誌に掲載

「鍵は漏れない」。暗号の安全性は、この前提の上に立っています。ところが実際の機器は、消費電力や電磁波から鍵の手がかりを漏らします。ZenmuTechの研究者が参画した論文が、国際暗号研究学会の学術誌に掲載されました。前提が崩れた場所で、すでに動いている暗号を作り直さずに守る方法を示しています。

株式会社ZenmuTechは2026年8月18日、同社の研究者が参画した暗号技術の論文が、国際暗号研究学会（IACR）の学術誌「IACR Communications in Cryptology」Vol. 3, No. 2に採択・掲載されたと発表した。公開日は8月3日。産業技術総合研究所、名古屋大学、ZenmuTech、中央大学研究開発機構の研究者6名による共同研究である。

既存の共通鍵暗号方式をブラックボックスとして利用し、複数の独立チャネルに用いる鍵の一部が露出しても安全性を維持する構成法を示した。前処理にAll-Or-Nothing Transform（AONT）を用い、既存構成の安全性評価と理論的限界の分析、新構成の提案を含む。HAIPと共同開発した秘密分散プロキシの安全性検討が背景。

From: ZenmuTechの研究者らによる暗号技術の研究論文が「IACR Communications in Cryptology」に採択・掲載

【編集部解説】

暗号の安全性は、ある一点で現実と食い違う前提の上に立っています。「鍵は攻撃者に渡らない」という前提です。

多くの標準的な安全性モデルは、秘密鍵が外部に露出しないことを出発点に組み立てられています。ところが実際の機器は、動いているあいだに何かを漏らします。消費電力、処理時間、電磁波。こうした観測から鍵に関する情報を推定するのがサイドチャネル攻撃です。得られるのが一部の情報にとどまることもあれば、そこから鍵全体の復元につながることもあります。鍵漏えいを正面から扱う「leakage-resilient cryptography」という研究領域は以前から積み上がっていますが、今回の論文が引き受けたのは、すでに動いている共通鍵暗号の内部にも鍵にも手を入れられない、という条件下での問題です。

論文の形式モデルでは、複数の独立したチャネルにそれぞれ別の鍵を割り当て、そのうち一部のチャネルの鍵が攻撃者に渡っても平文が守られる構成を考えます。ここでいう「鍵の一部が漏れる」は、1本の鍵から数ビットが滲み出るという意味ではありません。束ねられた鍵のうち何本かが丸ごと相手の手に渡る、という設定です。

鍵となるのはAll-Or-Nothing Transform（AONT）という技術です。1997年にロナルド・リベスト（Ronald Rivest）氏が提案した、外部の秘密鍵を入力としないランダム化された可逆変換で、変換後のデータがすべて揃えば元に戻せる一方、定められた分だけ欠けた状態からは、元のデータについて有用な情報を効率的には取り出せない。名前のとおり「全部か、無か」です。2000年のEUROCRYPTでラン・カネッティ（Ran Canetti）氏らは、AONTを秘密鍵に施すことで部分的な鍵漏えいへの耐性が得られると示しました。今回の研究も同じ問題に向き合っていますが、既存の暗号方式に手を入れられないという制約があるため、AONTを平文の前処理に使う点で構成が異なります。

ここで、この研究がZenmuTechから出てきたことの意味が見えてきます。AONTは、計算量的な(n, n)しきい値秘密分散として捉えられる技術です。すべての分散片が揃わなければ元に戻らないという秘密分散の最も厳しい設定と、AONTは近い場所にいます。そしてZenmuTechが自社の秘密分散技術に付けている名称が「ZENMU-AONT」です。

両者の関係は、名前の一致にとどまりません。2022年に電子情報通信学会の英文論文誌へ載った「How to Extend CTRT for AES-256 and AES-192」は、AONTの代表的な構成であるCTRTを拡張した「XCTRT」を提案した研究で、著者8名のうち5名がZenmuTech所属、3名が産業技術総合研究所所属です。CTRTには鍵長がブロック長を超えられないという制約があり、AES-256を扱えませんでした。XCTRTの先行研究は、長期の保護と量子計算機を考慮した安全性についてAES-256を推奨した当時のECRYPT-CSA報告を動機の一つに挙げ、この制約を外すためXCTRTを提案しています。そして今回のCiC論文の著者には、XCTRT論文にも名を連ねたSeongHan Shin氏と花岡悟一郎氏が入っており、論文はそのXCTRTを直接の評価対象に含めています。

つまり今回の論文は、ZenmuTechの研究者が開発に関わってきたXCTRTを含む既存のAONT構成について、安全性の評価を精密化し、対象とした構成の限界を理論モデルの下で確かめ直した仕事でもあります。リリースが成果として挙げる「既存のAONT構成について、従来より精密な安全性評価を実施」「AONTが達成可能な安全性の理論的な限界を分析」は、そういう性質の作業です。自社に関係する構成がどこまで強いのかを、査読付きの学術誌で検証可能な形に定式化する。売り込みとは逆向きの、地味で骨の折れる仕事です。示されたのは対象とした構成についての結果であり、AONT一般の絶対的な限界ではありません。論文はあわせて、従来より高い安全性を実現する新しいAONT構成も提案しています。

副題にある「実装済の共通鍵暗号方式に鍵漏洩耐性を持たせる汎用的方法」という一文も、読み飛ばすには惜しい表現です。ここでいう「ブラックボックス構成」とは、基礎となる共通鍵暗号の内部構造にも鍵にも触れず、暗号化と復号の機能としてだけ使うという意味です。すでに動いている暗号方式そのものを、別の方式へ置き換えなくてよい。一方で、AONTによる前処理と、別々の鍵を使う複数の独立チャネルは新たに用意することになります。既存の実装をそのまま無変更で載せ替えられる、という話ではありません。独立したチャネルを複数用意するという前提が環境によっては簡単でないことは、論文のなかでも意識されています。

背景にある「秘密分散プロキシ」は、ZenmuTechとHAIPが共同開発した仕組みで、データを複数の分散片に変換し、異なる経路や環境を通して扱います。すでに特許を取得し、株式会社AIHOBSの医療DX基盤「Digital Trust Grid」に採用されています。病歴や診療情報といった要配慮個人情報を多く扱い、高い機密性が求められる領域で動くものです。その設計過程で「分散片だけでなく、鍵や処理時の内部情報が部分的に漏れたらどう説明するのか」という問いが立ち上がり、それが理論の側へ持ち込まれた。今回のリリースは、その経路をかなり率直に書いています。

なお、この論文が秘密分散プロキシというシステム全体の安全性を証明するものではないことは、ZenmuTech自身がリリース本文で明示しています。実システムの安全性は、暗号方式に加えて秘密分散の構成、鍵管理、ソフトウェアとハードウェアの実装、運用環境の全体で決まる。今回示されたのはそのうち暗号方式にあたる部分であり、残りは引き続き取り組む対象として残っている、という整理です。発表する側が自分でここまで線を引くのは、なかなかできることではありません。

この研究が見せているのは、実装から理論へ、そして理論から実装へという往復の型です。製品開発の現場で立った「これは理論的に説明できるのか」という問いを一般化して学術誌に通し、得られた結論をまた設計と評価へ戻す。ZenmuTechはリリースで、実システムから得られた安全性上の課題を理論研究へつなげ、その成果を製品やサービスの設計・評価へ反映していくと述べています。共同研究に産業技術総合研究所、名古屋大学、中央大学研究開発機構の研究者が加わっていることは、その往復が企業一社の内側で閉じていないことを示しています。

鍵は漏れる。その前提で組み直された暗号は、クラウド、IoT機器、組み込みシステム、そして医療や金融といった高い機密性が求められる分野で、部分的な情報漏えいを想定した暗号システムを検討するための基礎になることが期待されています。論文は2026年8月3日に公開されました。踏み板は、すでに置かれています。

【関連記事】

NTTドコモ論文がIJCAI採択｜顧客の継続期間を患者の生存時間と同じ数式で測る
日本企業の論文が国際会議に採択された事例。実務で立った課題を理論の言葉へ置き換えるという構図が、今回の記事と共通している。

東京大学、MQ問題で世界記録更新─ポスト量子暗号の「解読の限界」に挑む新F4アルゴリズム
ポスト量子暗号の安全性の根拠となる問題について、解読する側から限界を測り直した研究。理論の天井を探るという点で近いテーマ。

TOPPANホールディングス×NICT×ISARA、耐量子暗号へのシームレス移行に成功—2030年社会実装へ
既存の通信を止めずに耐量子暗号へ移行する実証。すでに動いているものを作り直さずに強くするという発想が、今回と重なっている。

宇宙用暗号回路の全入力動作保証に世界初成功—数学が宇宙セキュリティを変える
暗号回路がすべての入力で正しく動くことを数学的に保証した成果。理論が実装を裏側から支えるという構図が、今回と共通している。

【編集部後記】

日付を並べると、見え方が少し変わります。論文が公開されたのは8月3日、ZenmuTechが発表したのは8月18日。半月の間が空いています。

暗号の安全性証明は、他人が同じ道筋をたどれてはじめて意味を持つ成果です。この半月は、査読を通った結果を、専門家以外にも届く言葉へ組み直すための時間だったのでしょう。あなたが使っているサービスの暗号は、どんな前提の上で安全だと言われているでしょうか。

【用語解説】

共通鍵暗号
暗号化と復号に同じ鍵を使う方式。AESが代表例で、TLSをはじめとするインターネット上の安全な通信で広く使われている。

サイドチャネル攻撃
暗号アルゴリズムそのものではなく、それを動かす機器の物理的な振る舞いから鍵の情報を得る攻撃。消費電力、処理時間、電磁波などが観測の対象になる。

leakage-resilient cryptography（漏えい耐性暗号）
秘密鍵の情報が部分的に外部へ漏れる状況を、安全性モデルのなかへ明示的に組み込んで設計する暗号研究の領域。

All-Or-Nothing Transform（AONT）
外部の秘密鍵を入力としないランダム化された可逆変換。変換後のデータがすべて揃えば元に戻せる一方、定められた分だけ欠けた状態からは、元のデータについて有用な情報を効率的には取り出せない。1997年にロナルド・リベストが提案した。

(n, n)しきい値秘密分散
データをn個の分散片に分け、n個すべてが揃ったときにのみ復元できるようにする方式。1個でも欠ければ復元できない、秘密分散のなかで最も厳しい設定である。AONTは、その計算量的な版として捉えられる。

秘密分散プロキシ
ZenmuTechと医療AIプラットフォーム技術研究組合（HAIP）が共同開発した仕組み。データを複数の分散片に変換し、異なる経路や環境を通して扱う。特許を取得している。

ブラックボックス構成
基礎となる暗号方式の内部構造にも鍵にも触れず、暗号化と復号の機能としてだけ利用する設計。基礎方式そのものを置き換えずに、上位の仕組みを組み立てられる。

CTRT
CRYPTO 2000でDesaiが提案した、ブロック暗号のCTRモードに基づくAONTの構成。鍵長がブロック長を超えられないという制約があり、AES-256を扱えなかった。

XCTRT
CTRTをAES-256向けに拡張した構成。2019年のWISAで発表され、2022年に電子情報通信学会の英文論文誌へ掲載された。著者8名のうち5名がZenmuTech所属、3名が産業技術総合研究所所属である。

AES-256
鍵長256ビットのAES。XCTRTの先行研究は、長期の保護と量子計算機を考慮した安全性についてAES-256を推奨した当時のECRYPT-CSA報告を、研究の動機のひとつに挙げている。

EUROCRYPT
IACRが主催する暗号研究の主要国際会議のひとつ。CRYPTO、ASIACRYPTと並ぶ。

要配慮個人情報
個人情報保護法上の区分で、本人に対する不当な差別や偏見が生じないよう、とくに配慮を要する個人情報。病歴や診療の過程で得られた情報が含まれる。

【参考リンク】

株式会社ZenmuTech（外部）
秘密分散技術を用いたデータ保護ソリューションと、秘密計算データベースプラットフォーム「QueryAhead」を提供する東証グロース上場企業。

IACR Communications in Cryptology（外部）
国際暗号研究学会（IACR）が発行する、暗号技術と暗号解析の学術誌。暗号理論から実装、応用までを扱い、掲載論文は無料で公開される。

Black-Box Construction of Partial Key Exposure Resilient Symmetric-Key Encryption Scheme（外部）
今回掲載された論文のページ。Vol. 3, No. 2に収録され、2026年8月3日に公開。DOIは10.62056/andk5w4e-。

医療AIプラットフォーム技術研究組合（HAIP）（外部）
技術研究組合法に基づき、厚生労働大臣と経済産業大臣の認可を得て2021年4月1日に設立された、医療AI基盤の非営利共益法人。