公開鍵暗号

**問題**。

（——**それまでの暗号**。

〈**——**送る側と、受ける側が、**同じ鍵を、持っている**。

**——**「共通鍵」**。〉

**——**そして、**その鍵を、**どうやって、渡すか**。

〈**——**会って、渡す**。

**——**あるいは、**信用できる使者に、託す**。

**——**そして、**それが、**最も、危ういところ**である**。〉

**規模**。

〈**——**n人が、**互いに、秘密に通信する**には**。

**——**n(n-1)/2 個**の鍵が、要る**。

**〈——1,000人で、**約50万個**。**

**——そして、それを、**すべて、事前に、配らなければならない**。〉**

**——**そして、**銀行と、軍は、**実際に、それをやっていた**。

**〈——鍵を入れた鞄を、**武装した使者が、運ぶ**。**

**——「鍵配送問題」。〉**〉

**——**そして、**「会ったことの無い相手とは、**通信できない」**。

〈**——**それが、**商取引にとって、**決定的な障害になろうとしていた**。〉）

**ディフィー**。

（**ホイットフィールド・ディフィー**（1944年生）。

〈**——**MITで、数学**。

**——**そして、**大学に、留まらなかった**。

**——**1970年代前半、**アメリカ中を、車で、走り回った**。

**〈——「暗号について、**何か知っている人」**を、探して。**

**——そして、当時、**暗号の研究は、事実上、NSAの中にしか、無かった**。**

**——公開の文献が、**ほとんど、無い**。〉**

**——**そして、**1974年、**スタンフォードで、**マーティン・ヘルマン**に、会った**。

**〈——半時間の約束が、**その日、一日になった**、と、二人とも、語っている。〉**〉

**——**問い**。

〈**——**「鍵を、**事前に、共有せずに、**秘密の通信が、できるか」**。

**——**そして、**「電子的な、署名が、できるか」**。

**〈——紙の署名は、**そこにある**。**

**——電子のデータは、**完全に、複製できる**。**

**——では、「本人が、書いた」ことを、どう示すか。〉**〉）

**1976年11月**。

（——**『暗号技術の、新しい方向』**（New Directions in Cryptography）。

〈**——**ディフィーと、ヘルマン**（そして、**ラルフ・マークル**の先行する着想）。

**——**冒頭の一文**。

**「われわれは、今日、**暗号技術における、革命の、瀬戸際に、立っている」**（要旨）。〉

**中身**。

〈**（1）**鍵を、**二つに、分ける**という、**考え方**。

**〈——「公開鍵」——**誰にでも、配る**。**

**——「秘密鍵」——**自分だけが、持つ**。**

**——公開鍵で、閉める。**

**——そして、**秘密鍵でしか、開かない**。**

**——「錠を、配る」。〉**

**（2）**そして、**「ディフィー・ヘルマン鍵交換」**。

**〈——公開の回線で、**やりとりを、全部、盗聴されていても、**

**——二人だけが、**同じ数を、共有できる**。**

**——原理は、**離散対数の困難さ**である。**

**〈——「a の x 乗を、p で割った余り」から、**x を、逆に求めるのが、極めて難しい**。〉〉**

**（3）そして、**電子署名**の、構想**。〉

**——**ただし**。

〈**——**具体的な、**公開鍵暗号の方式**は、**この論文には、無い**。

**——**「こういうものが、**あるはずだ」**と、示した**。〉）

**RSA**。

（**1977年**。

〈**——**ロナルド・リヴェスト、アディ・シャミア、レナード・エーデルマン**（MIT）。

**——**そして、**逸話**。

**——**リヴェストとシャミアが、**次々に、方式を、提案する**。

**——**そして、**エーデルマンが、**そのたびに、破る**。

**——**それを、**四十二回、繰り返した**、と伝えられる**。

**——**そして、**1977年4月**。

**〈——過越の祭りの晩餐の後。**

**——リヴェストが、**眠れずに、ソファで、考えた**。**

**——そして、朝までに、**方式を、書いた**。〉**〉

**原理**。

〈**——**大きな二つの素数を、**掛けるのは、簡単である**。

**——**そして、**その積から、**元の二つを、求めるのは、**極めて、難しい**。

**〈——「素因数分解の困難さ」。**

**——そして、それが、**本当に難しいことは、証明されていない**。**

**——「いまのところ、**速い方法が、見つかっていない**」。〉**〉）

**そして、先にあった**。

（——**1997年**。

〈**——**イギリスの、**政府通信本部**（GCHQ）が、**機密を、解除した**。

**——**そして、**分かったこと**。〉

〈**（1）**1970年、**ジェイムズ・エリス**が、**「秘密でない暗号化」**という着想を、書いていた**。

**（2）**1973年、**クリフォード・コックス**が、**RSAと、実質的に同じ方式**を、考えていた**。

**〈——彼は、**入所して、数週間**の、若い数学者だった。**

**——そして、**「半時間ほどで、思いついた」**と、後に語っている。〉**

**（3）**1974年、**マルコム・ウィリアムソン**が、**ディフィー・ヘルマンと同じ鍵交換**を**。〉

**——**そして、**公表されなかった**。

〈**——**機密である**。

**——**そして、**当時の計算機では、**実用にならない**と、判断された**。

**——**さらに、**「そんなものが、あると知られること自体が、危険である」**。〉

**——**エリスは、**1997年、**機密解除の、一か月前に、死んだ**。

〈**——**そして、**自分の仕事が、公になるのを、見ていない**。〉）

**そして、いま**。

（——**あなたが、**このページを、見ているとき**。

〈**——**TLS**。

**——**そして、**その中で、**鍵交換が、行われている**。

**——**さらに、**電子署名**が、**サイトの身元を、示している**。〉

**——**そして、**次の問題**。

〈**——**量子計算機**。

**——**ショアのアルゴリズム**（1994年）は、**素因数分解と、離散対数を、**多項式時間で、解く**。

**——**十分に大きな量子計算機ができれば、**RSAも、楕円曲線も、破れる**。

**〈——「いつ、できるか」は、**分からない**。**

**——そして、「いま、盗んで、保存しておいて、**後で、読む**」という戦略が、**

**——既に、取られている、と考えられている。**

**〈"Harvest now, decrypt later"。〉〉**

**——**だから、**耐量子暗号**への、移行が、**始まっている**。

**〈——2024年、アメリカのNISTが、**最初の標準を、確定した**。〉**〉）