富士通、量子暗号解読の脅威はまだ遠いと指摘

John Russell　オリジナル記事

富士通は、39量子ビットの量子シミュレータを用いた新たな研究により、量子コンピュータがRSA暗号を解読することは今後数年間は困難であることを示唆する結果を発表した。この発表は、北九州市で開催される「2023年 暗号と情報セキュリティシンポジウム（SCIS2023）」で富士通が研究結果を正式に発表する前に行われたもの。

富士通の研究者は、Shorのアルゴリズムを使用し、RSAを解読するためには、約1万量子ビット、2兆2300億量子ゲート規模の耐故障性量子コンピュータが必要であり、現在世界で最も進んだ量子コンピュータをはるかに超える規模であると報告した。さらに、RSA暗号を解読するためには、耐故障性量子計算を約104日間実施する必要があると試算している。

「私たちの研究は、量子コンピュータが既存の暗号方式を直ちに脅かすものではないことを実証しています。しかし、私たちは満足することはできません。量子コンピュータがセキュリティの考え方を根本的に変える日が来る可能性に備え、世界は今から準備を始める必要があります」と富士通のデータ・セキュリティ研究シニアディレクターである伊豆哲也氏は述べている。

富士通は、量子テクノロジーにおける重要なプレーヤーとして急速に台頭している。

• 最近、理研と64量子ビットの量子コンピュータを開発し、2023年に配備する計画を発表した。この新しい量子コンピュータは、IBM、Rigetti、Googleなどのアプローチと同様に、半導体ベースの超伝導量子ビットをベースにする予定だ。新しいコンピュータの詳細については、これまでほとんど明らかにされていない。
• 同社は2022年に量子シミュレータを発売し、2023年第1四半期に40量子ビットに増強する予定だ。2018年、富士通はデジタルアニーラーサービスを開始した。「量子現象に着想を得たデジタル回路設計を用いたデジタルアニーラーは、量子コンピューティング手法にありがちな複雑さやコストを追加することなく、複雑な組み合わせ最適化問題を迅速に解くことに焦点を当てています。」 昨年秋、富士通はトヨタ自動車と契約を結び、デジタルアニーラーを自動車生産用途に活用することを決定している。
• 富士通は11月、顧客のワークロード選択を最適化する量子／HPCハイブリッドコンピューティング技術の開発を発表した。「将来のコンピュータワークロードブローカー技術の先駆けとなるAIベースの新しいソフトウェアは、計算時間、計算精度、コストなどのパラメータに基づいて、異なる次世代コンピューティングプラットフォームから自動的に選択し、顧客の問題に対する最適な解決策を提供する 」という。
  

  	スーパーコンピュータ富岳

Shorのアルゴリズムに関する最新の研究は、富士通の量子シミュレータで行われた。このシステムは、日本のスーパーコンピュータ「富岳」（最新のTop500リストで2位）で開発された技術と特殊な量子ビット処理技術を活用したもので、Shorのアルゴリズムは、富士通の量子シミュレータで開発された。富士通の512ノードのスパコン「PRIMEHPC FX700」をベースにしたクラスタシステムと、量子ビットの状態情報を自動的かつ効率的に並べ替える新開発の技術により、64ノードで並べ替えていないシステムに比べて100倍以上の高速化を達成し、従来16時間かかっていたN=253の因数分解を463秒で実行できた」と報告している。シミュレーションの詳細については、記事の最後に紹介してあります。

予想通り、量子コンピュータによる最新の暗号化方式（特にRSA）の解読を防ぐための対策は、量子コミュニティで精力的に研究され、熱い議論が交わされている分野である。富士通が報告するほど脅威は遠くない、と誰もが考えているわけでは無い。世界の量子コンピュータの数は急速に増えている。IBMは昨年末に443qubitのQPUを発表し、2023年には1,100qubitのシステムを計画している。

十分に大きな耐故障性量子コンピュータが利用可能になれば、Shorのアルゴリズムは、RSAを含む今日のファクタリングに基づく暗号化方式を迅速に解読できるようになることは、今や当然のことと考えられている。昨年夏、米国国立技術標準研究所（NIST）は、現在のRSA方式に代わる新しいアルゴリズムの最初のセットを発表した。(HPCwireの記事「The Race to Ensure Post Quantum Data Security」を参照）。多くの人が、悪質業者は現在、いわゆるStore Now/Decrypt Later戦略に従事していると警告している。

NISQ（noisy intermediate scale quantum）コンピュータやゲートベースでない量子アニーリング手法で、RSAデータを解読できるようになるのはいつになるのか、という議論が渦巻いている。

22年12月の論文では、中国の研究者が、372量子ビットでRSA-2048を復号できる方法を開発するブレークスルーを果たしたと報告している。

彼らは、「（我々は）古典的な格子削減と量子近似最適化アルゴリズム（QAOA）を組み合わせることで、整数の因数分解の普遍的な量子アルゴリズムを報告します。必要な量子ビット数はO(logN/loglogN)で、これは整数のビット長Nに対してサブリニアであり、これまでで最も量子ビットを節約できる因数分解アルゴリズムで あると言えます。本アルゴリズムは、10個の超伝導量子ビットを用いて48ビットまでの整数の因数分解を行い、実験的に実証しています。このアルゴリズムを用いてRSA-2048に挑戦するためには、物理的な量子ビットが372個、深さが数千の量子回路が必要であると見積もられています。この研究は、現在のノイズの多い量子コンピュータの応用を促進する上で大きな期待ができ、現実的な暗号上の意味を持つ大きな整数の因数分解への道を開くものです。」

事象の進展は早く、他にもゲート型量子コンピュータと、因数分解問題を最適化課題として再定式化した量子アニーリングコンピュータの両方を用いた復号化の進展が報告されている。

乞うご期待。

富士通の量子研究の説明（抜粋）

「富士通は、Shorのアルゴリズムを用いた汎用プログラムを量子シミュレータ上に実装し、入力された合成数を素因数分解する量子回路を生成する実験を実施しました。その結果、N=15からN=511までの96個のRSA型整数（異なる2つの奇数素数の積）の因数分解に成功し、汎用プログラムが正しい量子回路を生成できることを確認しました。」

「富士通は、上記の汎用プログラムを用いて、さらに10ビットから25ビットまでの複数の合成数を因数分解する量子回路を生成し、算出した資源から2048ビットの合成数の因数分解に必要な量子回路の必要資源を試算しました。その結果、2,048ビットの合成数を因数分解するためには、約1万量子ビット、2兆2300億量子ゲート、深さ（6）1兆8000億の量子回路が必要であることが判明しました。これは、耐故障性を有する量子コンピュータで104日間かけて計算したことに相当します。このような大規模かつ安定的に動作する量子コンピュータは短期的には実現できないため、富士通の実験では、RSA暗号がShorのアルゴリズムに対して当面は安全であることが定量的に証明さ れました。」

「今回の実験では、スーパーコンピュータ「富岳」のCPU「A64FX」の高速演算能力と富士通の超並列計算技術を活用した量子シミュレータを利用しました。富士通のCPU「A64FX」を搭載した512ノードのスーパーコンピュータ「FUJITSU Supercomputer PRIMEHPC FX700」のハードウェアと、量子ビットの状態情報を自動的に効率よく並べ替える新開発技術によるクラスタシステムを用いて、64ノードで並べ替えを行わないシステムに比べて100倍以上の高速化を実現し、従来16時間かかっていたN＝253の因数分解を463秒で行うことができました 。」