レポート

量子の春——今収穫し、後で復号せよ：暗号化データを実際に採集しているのは誰で、どのように行われているのか、そしてなぜ収穫物のほとんどが腐るのかを探る

by Simon McCorkindale

暗号化データを「収集」することが敵対者にとって実際にどれほどのコストを意味するのか、蓄積されたデータを解読するために何が必要なのか、そして本当の脅威はどこに潜んでいるのか。本稿では、第一原理から出発した五段階のゲートフレームワーク（物理的アクセス、ストレージの経済性、解読可能性、データの有効期間、および敵対者の動機）を詳述するとともに、現在インターネット上に実際に展開されている耐量子暗号に関する独自のスキャン調査結果を示す。

要約。「今収集し、後で解読する」（HNDL）は、耐量子暗号への移行を急ぐ根拠として誰もが口にする理由だ。NIST（米国国立標準技術研究所）もそう言い、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）もそう言い、英国のNCSC（国家サイバーセキュリティセンター；ニュージーランドにも同名の機関がある）もそう言い、ベンダーはもっと大声でそう言う。しかし、その根拠をきちんと検証している者はほとんどいない。実際に収集しているのは誰なのか？どこから？どれだけの量を保存しなければならないのか、そのコストはいくらなのか？そして、量子コンピューターがついに登場したとき、収集したデータはまだ読む価値があるのか？本稿では、HNDLを繰り返すべき事実としてではなく、検証すべき主張として扱う。この脅威は現実のものだが、範囲は限られている。データが数十年にわたって価値を保ち、蓄積量が少量にとどまる場合にのみ成立する。大半のトラフィックは、暗号の問題になるよりずっと前に経済性の問題で破綻する。より大きく、より静かな問題は、すでに誰かのストレージに眠っている暗号化済みデータだ。本研究は独立した仮説として始まった。執筆中に、関連する2026年の研究をいくつか発見した。一部は私が見出したことを裏付け、一つは反論しており、私はそれぞれに率直に向き合った。私自身のスキャン結果は、最大規模の同時期計測と一致している。耐量子鍵交換はインターネット上の大きく成長するシェアで稼働しており、その大部分は一握りのインフラプロバイダーによって牽引されている。一方、誰であるかを証明する部分である耐量子署名は、31,839枚の証明書においてゼロのままだ。ハンドシェイクは修正されつつある。認証は修正されていない。

1. 名称の中にある誤り

農家なら「収穫」の意味をよく知っている。それは良い部分だ。労働が終わり、その年が報われたかどうかわかる、最後の見返りだ。だから「今収集し、後で解読する」というのは、実際に起きていることには奇妙な名前だ。なぜなら「収穫」は今起きている部分ではないからだ。今起きているのは種まきだ。誰かが静かに暗号化されたトラフィックを集め、ストレージに詰め込み、待っている。刈り取っているのではなく、植えているのだ。天気が変わることを期待しながら。

彼らが待っているのは、暗号学的に有意な量子コンピューター、すなわちCRQCだ。これは、今日の鍵交換と署名を保護している数学（RSA、Diffie–Hellman、楕円曲線）に対してShorのアルゴリズムを実行するのに十分な規模の機械だ。その機械が存在すれば、暗号文でいっぱいのストレージが読み取り可能になる。それまでは、非常に高価なノイズの山に過ぎない。その瞬間を「量子の春」と呼び、待機期間を「量子の冬」と呼ぼう。期待していたものが結局やってこないAIの冬ではなく、季節が来ることはわかっていて、ただ寒さを耐え忍ぶ農業の冬だ。

耐量子暗号、PQCは、守る側の答えだ。NISTが生み出した新しい品種（暗号アルゴリズム）、ML-KEM、ML-DSA、SLH-DSA（NIST FIPS 203/204/205）1、そして現在評価中のNISTへの追加候補がある。量子収集者はこれらを処理できない。ただし、大きな落とし穴がある。PQCは、すでにストレージにあるものに対しては何もできない。昨日収集されたものは収集されたままだ。PQCはここから先に植えるものだけを守る。つまり、二つの時計が動いている。あなたの時計は、機械が到来する前に品種を変えることを急いでいる。彼らの時計は、あなたがまだ古い品種を公開して植え続けている間に、できるだけ多くの古いデータを蓄えることを急いでいる。

暗号の専門家でない方のための、一段落での入門。二種類の数学があなたのデータを守っている。一つはコンテンツそのものを暗号化するもの（主にAES）で、量子コンピューターはほとんど歯が立たず、AES-256は問題ない。もう一つは、二台のコンピューターが最初に秘密鍵（AESでコンテンツを暗号化するために使うパスワード）を合意する方法、そして互いが誰であるかを証明する方法だ。それがRSAと楕円曲線であり、量子コンピューターはこれを易々と破る（公開鍵/秘密鍵暗号として一般に知られている）。だから「量子が暗号を破る」と言うとき、それは最初のハンドシェイクを破るという意味であって、錠前そのものではない。だからこそHNDLは記録されたハンドシェイクに関するものだ。ハンドシェイクを得れば、鍵を得る。鍵を得れば、その後に続くすべてを得る。

多くの人が使うフレームはMichele Moscaの不等式2だ。X（データが秘密を保つ必要がある期間）にY（移行にかかる期間）を加え、Z（機械が存在するまでの期間）と比較する。X + Y > Zなら、今日送っているものについてはすでに競争に負けている。これはよくできた算数だ。問題はZが動き続けており、しかも一方向にしか動かないことだ。2019年にはRSA-2048を解読するための目安は約2000万個のノイズの多い量子ビットで8時間とされていたが、2025年5月には同じ研究者が100万量子ビット未満で約1週間にまで圧縮した3。6年間で20倍の削減であり、それはハードウェアの改善ではなくアルゴリズムの改善によるものだ。誰もその機械を作ってはいない。しかし目標は着実に近づいており、それこそが忍耐強い敵対者が種まきに値すると判断する条件だ。

それ以来、さらに二度動いた。ただし同じ条件ではない。2026年2月にはqLDPCアーキテクチャ4が登場し、10万物理量子ビット未満でRSA-2048を解読できると主張した。3月にはGoogle、Ethereum Foundation、スタンフォード大学の論文5が、二つのうち弱い方である256ビット楕円曲線を、50万物理量子ビットと数分のランタイムで解読できるとした。どちらも仮定を変えることで到達しており、量子ビット数を接続性やデコードの工夫と引き換えにしているが、これはまだ実際には実証されていない。これは注意点であって、猶予ではない。Zは計画上の数値であり、これらの論文は誰も何も実際に作らないままZを動かし続けている。

量子鍵配送、QKDについて一言触れておく。PQCと並べて語られることが多いからだ。この分野では多くの研究開発が行われており有望だが、本稿の範囲外とする。NSAのCNSA 2.0、英国のNCSC、フランスのANSSIはいずれも、QKDよりPQCの使用を明確に推奨している6。QKDには専用ハードウェアが必要で、ポイントツーポイントでしか機能せず、すでにデータが詰まったストレージに対しては何もできない。将来の会話を1本の専用回線上で保護するだけだ。理想的な安全な未来は、両方のアプローチを組み合わせることかもしれない。

並行研究についての注記。本稿は、2026年現在における暗号化データ収集の実際的な現実と困難さへの独立した研究的関心、およびデータ収集のためのスキャン活動として始まった。執筆中に、2026年はこれらの分野において活発な年であることがわかった。Blanco-Romero et al.17は収集のストレージ経済性をモデル化し、私が一部異論を唱える結論に達している（第4節）。Wickramasinghe et al.16は、耐量子TLSのインターネット規模の縦断的計測を行い、私自身のスキャン結果を先取りして確認している（第10節）。より広い調査は周辺の状況を把握している（Bertino et al.18；Chhetri et al.19）。これらを中心に議論を組み直すのではなく、元の構造を保ちながら各研究に関連箇所で言及している。他の研究者が先に到達した部分では率直にそれを認め、独自データが彼らの結果と一致する場合には、その一致そのものを一つの結果として扱う。

「今収集し、後で解読する」というスローガンが名前として参照している季節は、最後にやってくる。危険な作業はその何年も前、種まきの段階で起きる。能力曲線の形状は例示的なものであり、その位置は誰にもわからない（すなわち実際のタイミング。2032年までにCRQCが登場するという約束はない！）が、方向性は変わらない。

2. 五つのゲート

ここが議論が通常ずれていく部分だ。人々はHNDLをあなたに起きているかいないかのどちらかである一つのことのように扱う。しかしそれは一つのことではない。それは連続した段階であり、敵対者が欲しいすべてのバイトはそのすべてを通過しなければならない。家畜を移動させることを考えてほしい。第一のゲート、そもそも牧場に近づけるか。第二のゲート、収容できる場所はあるか。第三のゲート、柵の中に入ったら実際に何かできるか。第四のゲート、取りかかる頃にそれらはまだ価値があるか。第五のゲート、それらすべてを考えると、最初からやる価値があったのか。どのゲートでも失敗すれば、作業全体が燃料と牧羊犬の餌（羊追いのための）の無駄だ。

この記事の残りは、ゲートを一つずつ順番に検証する。その前に、以下に量子時代のセキュリティ問題の広い家族についての概要を示す。

問題攻撃対象被害が発生するタイミング実行に必要なもの対処すべき時期
HNDL、転送中データ鍵交換（RSA、(EC)DHE）CRQCの出現時盗聴装置、大量のストレージ、そしてまだ存在しないマシン今すぐ着手
HNDL、保存中データ保存データの長期鍵CRQCの出現時一度の侵入成功と、同様のマシン今すぐ着手
過去の署名の偽造RSA/ECDSA署名CRQCの出現時取得済み証明書とマシン後回し可
PQCチップへの攻撃シリコン上のPQC検証現在物理アクセスと障害注入装置今すぐ
偽証明書・将来のMITM信頼チェーンCRQCの出現時マシンと通信経路上の位置後回し可

上部の太字2つがHNDLの本質であり、敵対者が後の見返りのために今日行動しなければならない唯一の2つのケースである。それこそが今調査・議論する価値がある理由だ。また、今日の行動は痕跡を残すため、検証可能でもある。

3. 第一の関門：そもそもアクセスできるか？

光ファイバーのようなケーブルへの盗聴は至難の業だ。寝室のラップトップからできるようなことではなく、実際の光ファイバーに直接手を触れるか、ガラス線を所有する者に向けられた裁判所命令が必要になる。それだけでほぼ全員が脱落する。残るのは政府だけであり、それも少数に限られる。

最もよく記録された事例は最古の事例のひとつでもあり、実に見事なものだ。1971年、アメリカは改造潜水艦USSハリバット（USS Halibut）をオホーツク海に派遣し、水深120メートルに沈むソ連の軍用ケーブルを探索させた。これが「アイビー・ベルズ作戦」（Operation Ivy Bells）7である。潜水士たちは手首ほどの太さのケーブルに、6メートルの誘導装置を巻きつけた。ケーブルを切断することなく信号を読み取れるほど近づいたのだ。この作戦は10年近くにわたって機能し続けた。

スパイ小説的な要素よりも重要な細部が2つある。第一に、ケーブルが発見されたのは、浜辺に「ケーブル埋設。投錨禁止」（Cable Here. Do Not Anchor）と書かれた標識があったからだ。第二は物流の問題だ。長年にわたり、情報を入手するには、潜水士が毎月テープを回収しに潜らなければならなかった。誰かが取りに行く必要があったのだ。後期モデルは核同位体発電機で稼働し、1年分のデータを保持できたが、これは年に一度行けばよいことを意味するとして大きな進歩とみなされた。この点を覚えておいてほしい。収集における最大の難題は、盗聴そのものではなく、その後の大量データをどう処理するかだったのだ。

現代版

光ファイバーは手法を変えたが、制約は変えなかった。2006年、AT&Tの技術者マーク・クライン（Mark Klein）は、サンフランシスコのフォルソム・ストリート611番地（ルーム641A）にある施錠された部屋を明かした。そこでは光スプリッターがバックボーンのトラフィックを、深層パケット検査用のNarus STA 6400が搭載されたラックへとコピーしていた8。それは2003年から稼働していた。スプリッターは約16のバックボーン回線（15 Gbit/s規模のトラフィック）から光ビームを完全に複製し、Narusのボックスがリアルタイムで深層パケット検査を行っていた。クラインの文書は電子フロンティア財団によるAT&Tへの訴訟の証拠となり、後の報道ではアメリカの他の都市にも同様の部屋が存在することが明らかになった9。歴史的な鏡像として注目すべきは、2003年当時、それらのスプリッターがコピーしていたものの大半は平文だったという点だ。今日、同じ盗聴装置が暗号文をコピーしており、それこそがHNDLが懸念される理由のすべてだ。

アーキテクチャ上の要点は変わらない。光ファイバー上のスプリッターは、光学層でトラフィックをコピーする。ファイアウォールはそれを検知できず、侵入検知システムも捉えられず、エンドポイントは何も知らない。しかし、これがすべての核心なのだが、スプリッターが回線上にあるものをコピーする。そして回線上にあるものはすでに暗号化されている。スプリッターは暗号を破らない。暗号文のコピーをストレージに入れて待つだけだ。

英国でも同様の話が、立ち止まって考えるべき規模で起きていた。2011年半ばまでに、GCHQはTEMPORAと呼ばれるプログラムのもと、それぞれ10 Gbit/sを運ぶ200本以上の光ファイバー回線にプローブを設置し10、少なくとも46本を同時に処理できた。理論上、1日21ペタバイト以上のフローへのアクセスが可能だった。ガーディアン紙はこれを、大英図書館の全蔵書の192倍のデータが24時間ごとに処理される規模と表現した。しかし、以下のすべてにとって重要なのはここだ。それを保持できなかったのだ。コンテンツはわずか3日間、メタデータは30日間だけバッファリングされた。国家規模で運営する国家アクターでさえ、自らが半分所有するインフラ上で、コンテンツに対してはわずか3日間のローリングウィンドウしか持てなかった。この点を覚えておいてほしい。これは第二の関門が早くも顔を出している瞬間だ。関連する共同作戦では、当時は境界内で暗号化されていなかった大手クラウドプロバイダー間のデータセンター内部リンクが標的にされた11。報道によれば、TLSはパブリックエッジで追加・除去されていたという。これが記録の中で最も示唆に富む点だ。暗号を破ったのではなく、データが一時的に平文になる唯一の場所を迂回したのだ。プロバイダーはこれに気づき、内部リンクを暗号化した。その穴は塞がれた。

ケーブルは必ずしも必要ではない

ここで視野を広げなければならない。上記はすべて有線の話であり、世界のトラフィックの多くは攻撃者が届かない場所にあるからだ。無線は放送だ。範囲内にいれば誰でも受信できる。スプライスも、陸揚げ局も、令状も不要だ12。これにより、経路の一部を空中で過ごすあらゆるものに対する物理アクセスの壁が崩れ落ちる。そして実際、それは非常に多くのトラフィックに該当する。

最も分かりやすいものから始めよう。WiFiだ。ラップトップが送信するすべてのフレームはあらゆる方向に放射され、安価なアダプターをモニターモードにして範囲内にいれば誰でもすべてを傍受できる。あなたを守るものは2つある。WiFi層独自の暗号化（WPA2、WPA3）は無線上のフレームを難読化するが、それはTLSとは別個の、より短命な南京錠だ。デバイスからアクセスポイントまでのホップを保護するだけで、エンドツーエンドのセッションを保護するわけではない。しかも繰り返しダウングレード、解読、迂回されてきた（WPA2に対するKRACK、WPA3に対するDragonblood、すべてを攻撃者経由で中継するイービルツインアクセスポイントなど）22。WiFi層を剥ぎ取れば、下にあるTLSだけが残る。これはまた収集の問題に戻ることを意味する。壊れたWiFi上の現代のTLS 1.3は依然として前方秘匿性を持ち、依然として量子マシンを必要とするが、オープンなカフェのネットワーク、または攻撃者が鍵を持つWPA2ネットワークは、暗号化されたTLSストリームを無償で提供してしまう。HNDLの観点からは、WiFiの盗聴は暗号文を収集する安価な手段だ。TLSを破るわけではないが、「物理的にアクセスできるか」という関門を、ターゲットの数百メートル以内にいる者にとってはほぼ完全に取り除いてしまう。

次にモバイルだ。2Gは傍受者への贈り物だった。IMSI-キャッチャー（偽基地局、「スティングレイ」）は端末を脆弱な暗号方式にダウングレードさせ、トラフィックを平文で読み取ることができた。4Gと5Gははるかに優れているが、ダウングレード攻撃は活発な研究分野であり、同じ原則が成り立つ。無線層が弱い部分であり、その上に載るエンドツーエンドの暗号化こそが実際にあなたを守るものだ。ここでも、収集は安価であり、その下の暗号化が攻撃者と平文との間に立つ唯一の盾になりつつある。

そして、特定の高価値トラフィックに対して「傍受（盗聴）は難しい」という前提全体を覆すため驚くべき事例として、衛星がある。2025年10月、UCサンディエゴとメリーランド大学の研究者たちが「Don’t Look Up」を発表した（ACM CCSで最優秀論文賞を受賞）。その発見は信じがたいほどのものだ。彼らはサンディエゴの屋上から800ドルの市販衛星アンテナを空に向けて3年間観測した21。その結果、確認できた静止衛星リンクの約半数が機密データを完全に暗号化せずに送信していることが判明した。TLSもVPNも何もない。難読化されていて後で解読が必要なのではなく、今すぐ読める平文だ。平文の中には、大手携帯キャリアの衛星バックホール通信の通話・テキスト内容、上空を飛ぶ航空機の機内WiFiトラフィック、軍の資産追跡、そして（HNDLの実際のターゲットにとって重要なのが）電力インフラを運用する産業制御・SCADAトラフィックが含まれていた。しかもカリフォルニア州の一地点から観測できたのは、軌道上の衛星の約15%にすぎない。複数大陸にアンテナを持つ国家アクターははるかに多くを見通せる。

これはケーブルの話とは2つの点で異なる脅威であり、どちらも第一の関門の安心できる見方を覆す。第一に、アクセスが容易だ。潜水艦ではなく、数百ドルと空の見通しがあれば足りる。第二に、被害者にとってより深刻なのは、このトラフィックの多くが「今収集して後で解読する」問題ですらないという点だ。読むのに将来の量子マシンは不要で、すでに平文なのだから。量子の問題は暗号化されている衛星リンクにのみ関係する。暗号化されていない半分については、解読後回しなど意味がない。解読するものが何もないからだ。

第一の関門の評決。バックボーン光ファイバーに関しては、関門は高い。少数の国家、物理的アクセスまたは法的権限、そして相当のコストが必要だ。しかし「傍受は難しい」という言葉は常にケーブルについての言明であり、多くのトラフィックは重要な箇所でケーブルを通っていない。無線は範囲内にいる誰にでも自分自身を放送する。WiFiとモバイルは暗号化されたストリームを安価に攻撃者に渡し、実際の仕事をTLSだけに委ねる。そして衛星は驚くべきことに、現存するリンクの約半数で平文を直接渡してしまう。正直な評価をするなら、関門は光ファイバーのバックボーンに対しては高いが、空中を経由するものに対しては低い、またはほぼ存在しない。これは議論を弱めるどころか、鋭くする。本稿が扱う長期保存が必要なターゲット（VSATリンク上の大使館、衛星SCADAの電力インフラ、マイクロ波中継の防衛拠点）にとって、傍受の関門はしばしば大きく開いており、敵対者とペイロードの間に立つ唯一のものが、本稿の残りで検討する暗号化なのだ。

4. 第二の関門：十分な容量のストレージを持っているか？

タップを確保したとしよう。次は、その資料を——量子コンピュータがいつか現れるかもしれないという一縷の望みをかけて——最長十五年間保存し続けなければならない。ここで話は算数にぶつかり、その算数は容赦ない。

曖昧な概算ではなく、実際の数字を使おう。アムステルダム・インターネット・エクスチェンジ（AMS-IX）——ネットワーク同士がトラフィックを相互に受け渡す大規模な公開ピアリングポイントの一つ——は2025年の数字を公表した13：年間総トラフィック35.66エクサバイト、ピーク時14.2Tbit/s。フランクフルトの同種の拠点であるDE-CIXは約48エクサバイト14を記録した。これは推計ではなく、運営者自身が公表した数値だ。しかもAMS-IXは一拠点に過ぎない。世界には千を超えるIXが存在する。

では、AMS-IXを一年間フルキャプチャすると決めた場合、何が必要になるか？

誰もコストを試算しない二つのボトルネック。左：一拠点一年分のフルキャプチャをテープで保存した場合。右：後段の量子コンピュータがボトルネックになる理由——魔法の杖ではなく、セッションごとに一仕事が必要だから。エフェメラル鍵交換はセッション単位の処理を強いる。

LTO-9テープ（1カートリッジ18TB）で35.66エクサバイトを格納するには、年間約二百万本のカートリッジが必要になる。1本あたり約100ドルとすると、空テープだけで年間1億9800万ドル——ドライブ代も人件費も一切含まずにだ。LTO-9ドライブの書き込み速度は約400MB/s。流入するデータ量に追いつくには、2,826台のドライブが年間一秒も休まず稼働し続けなければならない。これはサーバルームではなく、工場だ。

次に、誰もコストを試算しない部分がある。テープはシーケンシャルアクセスであり、目的のデータを探すには早送りが必要だ。先の2,826台のドライブが読み出し専用で稼働したとしても、一年分のテープを読み返すのにちょうど一年かかる——書き込みと読み出しの速度が同じだからだ。つまりアーカイブを読めるのは正確に一回だけ、しかも読んでいる間は収集を止めなければならない。二度検索したければ、工場をもう一つ建てることになる。

ディスクも救済策にはならない。24TBドライブで換算すると約150万台、金額にして約6億ドルが必要で、冷却まで含めると消費電力はおよそ11MW——小さな町の電力に相当するエネルギーを費やして、一拠点一年分のデータを回し続けることになる。世界のトラフィックのわずか1%にスケールするだけで話は馬鹿げたものになる：複数のAMS-IXに相当するデータが毎年永遠に積み重なり、しかも「いつか存在するかもしれない量子コンピュータがいつか一度だけ読むかもしれない」という前提の上に成り立っているのだ。

この記事の試算が扱っていない要素もある：データの圧縮・展開にかかる時間、テープのロード・アンロード作業などだ。もちろん他の記録媒体も存在するし、これは一地点一年分というきわめて極端な例だ。しかしそれゆえに、データの絶対量と、保存・処理に伴う経済性を浮き彫りにするには十分な例でもある（「テープ」には「断ち切る」という意味もある——ダジャレである）。

ここで、この分野で最も丁寧な先行研究と私の見解が分かれる。Blanco-Romero et al.17は同じ保存コスト問題をモデル化し、保存は「経済的に些事に過ぎない」と結論づけている：生媒体の価格（LTOテープ約5ドル/TBと試算）ベースでは、全世界トラフィックの1%を収集しても年間約10億ドル程度であり、国家予算の範囲内に十分収まるというのだ。試算の算数は正しく、媒体コストの数字に異論はない。私が異議を唱えるのは、媒体コストが真のボトルネックだという前提だ。生テープはコスト表の最も安い行に過ぎない。リアルタイムで書き込むためのドライブ工場、それをいつか読み返すための第二の工場、解読不能な暗号文の山から何かを探し出すためのインデックス処理、そして十五年間すべてを稼働し続けるための物理的設備——本当にコストとして効いてくるのはこれらの行だ。彼らのモデルは彼ら自身が述べているとおり「静止状態の媒体」に絞ったものであり、傍受と検索の機械コストは除外されている。それは彼らの問い——プロトコルレベルの防御について——に対してはフェアなスコーピングだ。しかし除外されたコストを戻せば、「些事」は「このトラフィックが十五年間の産業的コミットメントに値すると既に決断した場合にのみ手が届く」に変わる。これは別の言葉で言えば「選別」に過ぎない。収穫は選択的であり無差別ではないという結論に、私たちは逆の道筋をたどって同じ地点に至る。そして彼らの結論——防御側は最も長寿命のデータを優先してトリアージすべきだ——はまさに私の結論でもある。

第二の関門：評決。無差別な収穫は幻想だ。困難というのではない、高コストというのでもない——算数として馬鹿げているのだ。現実の攻撃者は必ず何を保存するかを選択しなければならない。選択した瞬間に、脅威は「全員」への話ではなく「特定の誰か」への話になる。自分が収集対象かどうかを知りたければ、彼らが「何を取れるか」を問うのをやめ、「何を十五年間保存するためにいくら払うか」を問え。（十五年という期間は恣意的だが示唆に富む目安として使っている：根拠のままデータを抱え続けるには長い年月だ。）

5. 第三の関門：それは本当に復号できるのか？

タップを確保し、保存コストも支払ったとしよう。量子コンピュータがついに完成した。では、その山は開くのか？答えは鍵の合意方法に完全に依存する——そしてこれこそが、HNDLをめぐる議論全体で最も説明が不足している点だ。

収穫物に価値があるかどうかは、鍵がどのように合意されたかによる。RSA鍵転送はHNDLに対して完全に無防備だ。エフェメラル（EC）DHEはCRQCの仕事をセッションごとに一件ずつ強いる。いずれの方式でも、ハンドシェイクの署名は将来的に偽造可能なため、「誰が誰と通信したか」は漏洩し続ける。

旧来の方式であるRSA鍵転送は悪夢のシナリオだ。クライアントがセッション秘密をサーバの長期公開鍵で暗号化する。その一つの鍵を一度解読するだけで、そのサーバと交わされたあらゆる会話が同時に開く。鍵一本で、群れごとまとめて。HNDLというスローガンが暗黙に想定しているのはこのシナリオであり、これほど警戒を呼ぶのはそのためだ。

しかし現代のTLSはそのような仕組みではない。TLS 1.3はエフェメラル・ディフィー＝ヘルマンを必須とし、ECDHEを使うTLS 1.2も同じ機能を果たす。この方式では、セッションごとに使い捨ての秘密鍵が生成される。サーバの長期鍵はハンドシェイクに署名するだけで、コンテンツを暗号化しない。したがって長期鍵を解読しても、通信内容については何も得られない。エフェメラルセッションを読もうとすれば、そのセッションの鍵交換を破り、次のセッションも破り、さらにその次も破り続けなければならない。「群れごとまとめて」という近道はない。刈り取り台一台、羊一頭ずつ、しかも一頭ごとに時間がかかる。

どれくらいの時間か？Gidneyの2025年の試算3によれば、RSA-2048の鍵一本を解読するのに約一週間のマシン時間が必要とされる。楕円曲線はやや安価だが、オーダーは同じだ。したがって百万件のエフェメラルセッションを捕捉しても、必要なのは「量子コンピュータ一台」ではない。百万件の独立した量子ジョブが必要なのだ。極めて楽観的に一件一日と見積もっても、数千マシン年に相当する。CRQCは大型望遠鏡のように予約待ちの希少な国家的設備になるだろう。あなたの動画ストリーミングセッションがその処理列に入ることは誰もない。ここで逆説的な直感が生まれ始める。量子コンピュータ、すなわちCRQCは、ショアのアルゴリズムを実行するのに十分なほど強力かつ「高速」になったとしても、仕事の件数（それぞれが量子アルゴリズムの単一実行）を考慮に入れれば、経済性がいかに縮小するかが見えてくる。解読すべき暗号化セッション数に、アルゴリズムの量子コンピュータ上の実行時間（現時点では数時間から数週間と見られているが、これは今後も議論の対象であり、Zが小さくなるほど変わるだろう）を掛け合わせると、依然として膨大な数になる。

ただし、これを朗報と受け取れない理由が二つある。第一に、フォワードセクレシーが守るのはコンテンツであって署名ではない。将来の量子コンピュータは、捕捉したハンドシェイクの認証を偽造できてしまう。したがって「誰が誰と通信したか」は漏洩し続け、しかもそこにこそ価値ある情報が含まれることが多い。第二に、さらに深刻なことだが、証明書レイヤーはまったく移行が進んでいない。ウェブのほぼ全体を認証する署名は、今も古典的なRSAとECDSAのままだ——私自身の計測がそれを裏付けている（第10節）。機密性の側では移行が始まっているが、認証の側はスタートラインを出てすらいない。

第三の落とし穴がある——そして多くの前進を静かに無効化するのはこれだ。「サーバが移行した」ことは「セッションが安全だ」ことと同義ではない。ネゴシエートされた暗号アルゴリズムは、常に両端のうち弱い方のレベルに引き下げられるからだ。DubeyとVarshney15が明快な実例を捉えている。インドのある銀行（icici.bank.in）では、最新デバイスに対してはQUIC with TLS 1.3、X25519、AES-256（量子耐性・フォワードシークレット・申し分ない構成）で応答していた一方、同一ドメインに別のデバイスからアクセスすると、TLS 1.2 with ECDHE-RSA、AES-128にフォールバックしていた。同じサーバ、同じ日、二つのクライアント、まったく異なるセキュリティ態勢。フォールバックのセッションはフォワードシークレットを維持しているためRSA転送の悪夢ではないが、誰も選ばず誰も気づかないフォールバックが発生していた。そしてどちらかの端末が少し古ければ、RSA鍵転送まで落ちて完全に収集可能な状態になっていたかもしれない。接続先の状況が見えない移行は、信頼できる移行ではない。

6. 第四の関門：それで、どうなる？

誰も語らない関門であり、ほとんどの「山」がここで躓く。想像してみよう。大手小売銀行の外側の光ファイバーをタップし、そのウェブサイトへの全TLSセッションを一年間捕捉する。数百万人の顧客がログインし、残高を確認し、送金する。その全てを保存する。十五年後、量子コンピュータが到来し、莫大なCRQCの処理時間を費やして、全てを復号する。おめでとう。何が手に入った？2026年に失効したセッションクッキー。それ以来三度ローテーションされたパスワード、今やほとんどがMFAの背後にある。十年前の口座残高。膨大なコストをかけて、誰かが2026年の火曜の朝に残高を確認したという事実を知ることができた。

確かに耐久性のある情報も含まれている（氏名、生年月日、国民ID番号）。しかしそれはスポイル（廃石）の山の中の細い鉱脈に過ぎず、数百万件の別々のセッションから再構築しなければならない。その間、同じ情報は銀行の顧客データベースに構造化され、インデックスされ、最新の状態で存在しており、一度の侵入で手が届く。だとすれば、こう問うべきではないか。タンクローリーから十年間滴を集め続け、いつかそれを「こぼれなかった状態に戻す」望みをかけて門の前に立ち続けるよりも、なぜタンク全体が数キロ先の工場に置いてあるのに、そこへ行こうとしないのか？

データには賞味期限があり、その幅は非常に大きい。セッションクッキーは1時間ほど価値があり、パスワードは数ヶ月、カード番号は有効期限まで、銀行口座番号は数十年、国民IDは一生涯、指紋や虹彩は再発行できない一生涯、ゲノムは一生涯に加えて血縁者全員に関わり、永遠に失効しない。外交電報は40年にわたって恥ずかしいものであり続ける。兵器設計はそれを描いたエンジニアより長く生き残る。HNDLが意味を持つのは賞味期限が長い場合に限られる。それ以外の場合、作物はマシンが到着するはるか前に倉庫で腐ってしまう。

7. 第五の関門：実際に誰が手間をかけるのか？

最後の二つの関門、量と賞味期限を合わせて考えると、全体像は非常に素早く明確になる。実際の物流を明示した具体的な例を挙げてみよう。

実際に誰が手間をかけるのか？量と賞味期限の関係。左上は収穫が意味を持つ領域：量が少なく、永久に保持される。右下はスローガンが最も強く売り込まれながら、最も意味をなさない領域。位置は桁のオーダーによる判断である。

大使館の回線。ターゲット：外交公館と外務省間の暗号化トンネル。盗聴箇所：現地のISP、またはその回線が通過する交換局。ホスト国であれば、それは作戦ではなく電話一本で済む。また、多くの公館がそうであるように、辺鄙な赴任地でサテライト経由でバックホールしている場合、敵はホスト国の協力すら必要としない。パラボラアンテナと屋上があれば十分だ（第3節）。量：ごくわずか、1日1〜2ギガバイト程度で、50年分が棚に収まる。賞味期限：数十年。評決：教科書的な事例であり、今この瞬間もあらゆる国の大使館で起きていることはほぼ確実だ。外務省を運営していて移行を進めていないなら、あなたこそがこのスローガンが存在する理由だ。

防衛請負業者。ターゲット：主契約者と下請け業者間のサイト間VPN。量：管理可能な規模で、年間数十テラバイトのCADおよびテストデータ。賞味期限：今年設計された機体は2075年もまだ飛んでいる。評決：実行可能であり、価値がある。少ない量、長い記憶。

小売銀行。ターゲット：すべての消費者トラフィック。量：年間ペタバイト規模。賞味期限：そのほぼすべてが数時間から数ヶ月。評決：否。2026年のパスワードをいずれ解読するために、年間1億ドルをテープに費やすことになる。代わりにデータベースを盗め。誰かがすでにやっているだろう。

ゲノミクス研究所。ターゲット：クラウドストレージへ送信されるシーケンシングデータ。量：適切なカバレッジでの単一ゲノムは生データで数百ギガバイト、繁忙なセンターは年間ペタバイトを生成する。賞味期限：永遠であり、被験者の家族全員に関わる。評決：この記事で最も価値の高いターゲットだが、純粋に量の観点からトランジット傍受は依然として絶望的だ。しかし静止状態のデータベースを盗めば、突然60テラバイトで賞味期限は無限になる。それが上のグラフの矢印であり、最も重要な動きである。

8. 羊毛はすでに倉庫にある

これにより、HNDLの中で最も注目されるべき部分へと話が進む。過去10年間のあらゆる大規模データ侵害では、暗号化されたアーカイブが他者のストレージに残されていた。人事ファイル、医療保険会社、信用調査機関、ホテルチェーン、これらはすべて、盗聴された光ファイバーとまったく同じマシン上で待機していると推定される。そしてこちらの方がはるかに優れたターゲットだ。三つの理由がある。

第一に、フォワードシークレシーがない。静止データは、セッションごとの使い捨て鍵ではなく長期鍵で保護されている。鍵を一度破ればアーカイブ全体が開く。デフォルトではRSA鍵トランスポートの事例と同じで、群れ全体を一度に捕える。第二に、選別の問題はすでに解決されている。ゲノムバンクを流出させた敵は山のようなデータを精査する必要がなかった。誰かが既にそれを整理し、インデックスを付け、重複を排除していた。第二の関門で困難だった部分は被害者によって行われていた。第三に、賞味期限は通常非常に長い。盗まれたゲノムは2045年に陳腐化しない。

このいずれにも潜水艦は必要ない。必要なのは、何も疑っていないスタッフのもとに届く一通のフィッシングメールだけだ。だからこそ、静止状態のHNDLを実行できるアクターの数は、ケーブルを盗聴できる者の数をはるかに上回り、ほとんどの移行アドバイスにおける優先順位が完全に逆になっている理由でもある。誰もが丘を越えて羊を追いかけているが、羊毛の束全体（暗号化されたデータ、データベース）は扉を開けたまま倉庫に梱包されて積まれている。

9. まだわからないこと

限界について正直に言えば、第3節から第8節までのすべては、設計上不完全な公開記録から推論している。機密プログラムは機密のままだ。開示された資料は古く、主に2013年のものであり、技術は進歩している。ストレージコストは下がり、量子リソースの見積もりはさらに速く下がる。ここでの計算は桁のオーダーで変わる可能性があり、それとともにいくつかの結論も変わりうる。今現在ネットワーク上に実際に展開されているものについては、それを測定できるため、推測の余地はない。そこで私はそれを測定した。それにより議論全体が鮮明になり、防御がどの関門で勝利していて、どの関門ではまだ戦いが始まっていないかが明確になる。

10. 牧場を測る

現在の量子安全セキュリティ体制に関するこの記事の調査のためにインターネットのスキャンを開始した際、私が見つけた唯一の比較可能な公開研究は、約32,000ドメインを対象とした単一拠点の研究15だった。（ここでの拠点とは、スキャンを行う場所のことを指す。単一拠点スキャンは一か所からすべてのサーバーに問い合わせ、複数拠点スキャンは複数の場所から問い合わせることで、リクエスト元によって異なる応答を返すサーバー、典型的にはグローバルCDNが地域ごとに設定を段階的に展開している場合などを検出する。）私自身の計画は、より広範囲を、かつ複数の拠点から同時にスキャンして、サービスの応答がどの地域のフロントエンドに繋がるかによって異なるかどうかを確認することだった。その作業を行っている間に、Wickramasinghe et al.16がインターネット規模の縦断的研究を発表した。100万ドメインにわたる20億件以上のTLSハンドシェイクを、11の拠点から2025年7月から2026年3月にかけて3ラウンドで実施したものだ。これはあらゆる面でqgroveよりも大規模かつ慎重な測定だ。そのため、私は以下を独立した確認として提示する。異なるインフラで構築された、より小規模な単一ラウンドスキャンが、同じ数値に行き着いたということだ。

私はqgrove20を構築した。これはグローバルエッジネットワーク上で動作するスキャナーで、各ドメインに対して生の接続を開き、サーバーが実際に選択する鍵交換グループを読み取る。その一つの値が、キャプチャされたセッションがHNDLに晒されているかどうかを決定するものであり、何も復号化せずにハンドシェイクの平文部分から直接読み取れる。スキャナーはオープンソースであり、以下のすべての数値は公開データセットから再現可能だ。スキャン対象として116,589ドメインが選定され、複数の手法とソースを組み合わせて使用された。

動いているもの：ハンドシェイク（機密性のための鍵交換）

モダンなTLSを話す到達可能なサーバーのうち、35.5%がすでにハイブリッド耐量子鍵交換をネゴシエートしている。古典的なX25519曲線とML-KEM-768を組み合わせたもので、現在のバージョンのChromeが設定するものと全く同じだ。これは最近標準化されたばかりの規格としては大きな数字であり、増加し続けている。しかし35.5%はエッジから測定したものであり、エッジは大規模CDNの背後にあるサイトを見ることができない。そのブラインドスポットを別の方法でそれらのサイトを再プローブすることで埋めると、状況は大きく変わった。CDNフロント経由のコホートはほぼ100%ハイブリッドだ。CDNが一度にすべての人のPQCをオンにしたからだ。両者を合わせると、母集団の推定値は61.1%に上昇する。両方の数値は正しく、異なる意味を持つ。正直な見出しは、そのCDNのエッジからのみ実行されたスキャンはPQCを系統的に過小評価するということだ。なぜなら、インターネット上で最もPQCが有効化されているサイトは、構造的に見ることができないサイトだからだ。

二つの層はまったく異なる速度で動いている。左：ハイブリッドPQC鍵交換、エッジ測定値vs.母集団推定値のプール。右：証明書の署名、移行がまだ始まっていない。出典：qgrove、2026年7月。

動いていないもの：署名（認証のため）

もう一方の半分、そして人々が心配すべき部分を見てみよう。私は31,839件の証明書の署名アルゴリズムを調べた。耐量子署名を使用しているものの数はゼロだった。「低い」のではなく、ゼロだ。ウェブは完全に古典的なECDSAとRSAで自己認証しており、どちらも将来の量子マシンが古い鍵交換を破るのと同じくらい容易に偽造できる。機密性のレイヤーは移行を始めているが、認証のレイヤーは一歩も踏み出していない。これは私のサンプルの特異性ではない。私の前の単一拠点研究15も私と並行して行われたインターネット規模の研究16も、耐量子証明書について同じゼロを報告しており、アーキテクチャレビュー18は署名側がなぜより困難で時間のかかる作業なのかを説明している。証明書認証局の階層全体と、すべての検証クライアントを引きずることになるからだ。これが持ち帰るべき分岐点だ。会話を暗号化することと、相手が誰であるかを証明することは、二つの異なる数学によって行われる二つの異なる仕事であり、今のところ一方だけが修正されている。

もう二つの発見、どちらも静かに有用

まずセクター別に見てみましょう。セキュリティ意識の高い業界（銀行、防衛、政府）がリードすると予想されるでしょう。しかし実際にはそうではありません。ハイブリッドPQC採用率は私がタグ付けしたすべてのセクターで約27%から39%の間で推移しており、リーダーは金融（28%）や防衛（29%）ではなく、一般的な人気ウェブサイトとCDNコントロールプレーンでした。採用は誰が必要としているかによって推進されるのではなく、どのCDNがスイッチをオンにしたかによって推進されています。これはすべての独立した測定において一貫した発見です。大規模な同時研究がこれを最も鮮明に定量化しています：ポスト量子TLSの全体の約70%がわずか2つのプロバイダー、CloudflareとFastlyに起因する16とされており、最も早い2030〜31年の移行期限を持つ地域は、後期の期限を持つ地域よりも低い採用率を示しています。政策の緊急性とCDN市場シェアは無関係だからです。別の研究では、プロトコルバージョンの1層下で同じ遅れが見られます：単純なTLS 1.3の採用でさえ政府（70%）、防衛（68%）、エネルギーおよび重要インフラ（76.5%）、通信（78.6%）15で遅れており、クラウドとソーシャルメディアは95〜100%に達しています。3つの異なるスキャン、同じパターン。プロバイダーが設定を切り替えれば保護されますが、そうでなければ保護されておらず、あなたの業界はほとんど関係ありません。

次に、私がマルチバンテージ装置を構築して測定しようとしたもの：サーバーの応答が地球上のどこから問い合わせるかによって変わるかどうかです。私は北米、ヨーロッパ、日本、ニュージーランドにわたる8つの場所から1,787ドメインを調査しました。場所によって異なる回答を返したドメインの割合は0.17%、つまり3ドメインでした。そして、その3ドメインを再テストすると、2つは地理ではなく通常の負荷分散のゆらぎであることが判明し、1,787ドメイン中約1つのドメインだけが真に安定した地域的バリエーションを持っていました。ここで独立した検証が意味を持ちます。100万ドメインに対して11の地点から行った大規模研究は、同じ規模で同じ効果を報告しています：安定したパネルの0.05%がクライアントの場所によって異なるデフォルトをネゴシエートする16とされており、私と同様に、それをCDN設定が地域をまたいで徐々に伝播することに起因するとしています。2つのグループ、まったく異なる装置、0.05%と0.06%：スキャンする場所は本質的に関係ありません。

qgroveスキャン結果の数値とその限界。 データセット：qgrove20、116,589の一意ドメイン、202,258回の測定（全ドメインの幅優先パスと4,000ドメインのサブサンプルに対するマルチバンテージ深度パス）、2026年7月、全件公開。事前に述べておくべき注意点：（1）エッジのみの数値（35.5%）は構造上、過小評価であり、プール済み数値（61.1%）はプール前に99.9%の合意に調整された2つの測定方法を組み合わせています；（2）到達可能なサーバーの約4分の1が古いTLSバージョンしか対応しておらずPQCをまったくサポートできないため、ハイブリッドシェアはモダンTLSサーバーの35.5%ですが、すべての到達可能なサーバーでは27%であり、どちらも報告されており、一方を他方として偽装していません；（3）証明書と前方秘匿性なしの数値は全ドメインではなく大きなサンプルから得られています；（4）厳選されたセクターリストは網羅的な調査ではなく、妥当なコアです。

11. まとめ

「今すぐ収集、後で復号」というスローガンは正しい方向を指していますが、規模については誇張しています。HNDLは現実のものです：国家は盗聴器を持っていることが実証されており、選択したものを保存していることが実証されており、彼らが待っている機械は実際に誰も作っていなくても（まだ）、毎年紙の上では近づいています。しかし、5つのゲートすべてを通過するのは、世代にわたって保存できるほど小さく、開封されたときにまだ重要な内容を持つというごく限られたケースだけです：外交トラフィック、防衛プログラム、バイオメトリクスまたはゲノムに関するもの、少量の長寿命の秘密。インターネットとそのユーザーの大部分にとって、脅威はゲート2またはゲート4で消えます。暗号が持ちこたえるからではなく、経済性が合わないからです。保存コストが平文の価値を上回り、読める頃には使い物にならなくなっています。

一方、本当に憂慮すべきHNDLのバリアントはほとんど話題にならないでいます。それはファイバー盗聴ではなく、スライドにもなりにくいからです：誰かがすでに持ち出した暗号化されたアーカイブです。前方秘匿性なし、ボリューム問題なし、潜水艦なし、耐用年数は一生単位。

したがって、実用的なアドバイスは（あるとすれば）地味なものです。自分のデータのうち、Xが数十年単位で測られるものを特定してください。ほとんどの組織にとってそれは短いリストであり、通常はベンダーが見積もりを提示してくるリストとは異なります。まずそれを移行し（長期鍵での静止データ、および転送中にまだRSA鍵トランスポートを使用しているもの）、次に残りを適切なペースで行ってください。そして誰も着手していない部分に目を向けてください：文献にある今のすべての測定（私のものも含め）は、ウェブの大きなスライスでポスト量子鍵交換がライブであり増加していることを確認していますが、数えるに値するポスト量子証明書署名は1つもありません。移行の機密性の半分は着実に進んでいます。主にいくつかの大手CDNがスイッチを切り替えたためです。認証の半分はまだ始まっていません。量子マシンが登場すると、鍵を解読するのと同様に簡単に署名を偽造します。ハンドシェイクを移行したが証明書を移行していないウェブは、誰でも直接通り抜けられるドアに新しい鍵をかけた家のようなものです。それが次の牧場であり、今のところ柵がまったくありません。

これは何もしないことへの主張ではありません。羊を買う前に群れを数えるべきだという主張です。実際のリスクに基づいた移行は賢明な投資ですが、スローガンに基づいた移行は非常に高価な駆虫薬を買い、線虫だらけの牧場に残される結果になります。

qgroveスキャナー、ドメインリスト、完全な方法論、および202,258行のデータセットはgithub.com/spinsphere/qgroveで入手できます。すべての数値は著者自身のものです。情報プログラムに関する主張は公開報道、訴訟記録、および機密解除された報告書に基づいています。著者は非公開情報を持っておらず、そのようなことは示唆していません。

この記事のリサーチ、スキャフォールディング、執筆にはClaudeを使用しました。

Kaysecはポスト量子レディネスと暗号アジリティについてアドバイスしており、主にこの記事が実際に重要だと述べる種類の耐用年数を持つデータを扱う組織を対象としています。kaysec.spinsphere.xyz

参考文献

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): Post-Quantum Cryptography Standards. 2024. csrc.nist.gov
  2. M. Mosca. “Cybersecurity in an era with quantum computers: will we be ready?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “How to factor 2048-bit RSA integers with less than a million noisy qubits.” arXiv:2505.15917, May 2025. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, Sydney). “The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100,000 physical qubits using quantum LDPC codes.” arXiv:2602.11457, February 2026. シミュレーションとリソース推定であり、ハードウェアデモンストレーションではありません。 arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations.” arXiv:2603.28846, March 2026. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; UK NCSC, Next steps in preparing for post-quantum cryptography; ANSSI, Position paper on post-quantum cryptography.
  7. Operation Ivy Bells, 1971〜1981年。USS Halibut、オホーツク海。誘導タップ、非侵襲的；月次ダイバー回収、後にRTG電源式。Sontag & Drew, Blind Man’s Bluff (1998)参照。
  8. M. Klein, sworn declaration and exhibits, Hepting v. AT&T (N.D. Cal. 2006); EFF case materials. Room 641A, 611 Folsom St; 2003年稼働、2006年開示；約16の分割バックボーン回路（合計約15 Gbit/s）、Narus STA 6400。
  9. R. Gallagher and H. Moltke. “The NSA’s Hidden Spy Hubs in Eight U.S. Cities.” The Intercept, June 2018. theintercept.com
  10. GCHQ TEMPORA開示、2013〜2014年（The Guardian; Der Spiegel）。10 Gbit/sで200以上のプローブ、理論的容量は約21.6 PB/日；コンテンツは約3日、メタデータは約30日バッファリング。
  11. MUSCULAR開示、2013年（The Washington Post）。データセンター間リンク；TLSはパブリックエッジで終端。
  12. Lawfare, “Evaluating the Russian Threat to Undersea Cables”、陸揚げ局へのアクセスが通常の深海盗聴を魅力のないものにする理由について。
  13. AMS-IX 2025年数値：年間トラフィック35.66 EB、ピーク14.2 Tbit/s。ams-ix.net
  14. DE-CIX Frankfurt 2025年約48 EB；Frankfurtピーク18.22 Tbit/s；グローバルプラットフォームピーク25 Tbit/s、2025年4月。
  15. A. Dubey and V. Varshney. “Measurement Study of Post-Quantum Readiness of Internet: 2026.” arXiv:2606.16473, June 2026. 32,011ドメインの単一地点スキャン；TLS 1.3 52.41%、TLS 1.2 15.70%、QUIC 31.89%；49.3%ハイブリッドKEX、PQC証明書0%；固定ドメインにおけるクライアント側TLSバージョンフォールバックを記録。arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. 「Mind the Gap: Policy vs Reality in Post-Quantum TLS Deployment.」 arXiv:2607.29005、2026年7月。UNSW SydneyおよびGeorgia Tech。縦断的研究、3ラウンド（2025年7月〜2026年3月）；ハンドシェイク20億件超、100万ドメイン、11の観測点。 arxiv.org/abs/2607.29005
  17. J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. 「On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks.」 arXiv:2603.01091、2026年3月。Universidad Carlos III de Madrid。 arxiv.org/abs/2603.01091
  18. E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. 「Quantum-Resistant Networks: A Review of Primitives, Protocols and Best Practices.」 arXiv:2605.04129、2026年5月。 arxiv.org/abs/2605.04129
  19. G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. 「Post-Quantum Cryptography and Quantum-Safe Security: A Comprehensive Survey.」 arXiv:2510.10436、2025年。Texas State University。 arxiv.org/abs/2510.10436
  20. qgrove：分散型マルチ観測点によるTLSポスト量子態勢測定。データセットおよび手法、2026年7月。 github.com/spinsphere/qgrove
  21. W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. 「Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites.」 第32回ACM SIGSAC コンピュータ・通信セキュリティ会議（CCS ’25）論文集、台北、2025年10月（優秀論文賞）。受信機費用約800ドル；観測されたGEO衛星リンクの50%が平文のIPトラフィックを伝送しており、携帯電話バックホール（通話・テキスト内容を含む）、公益事業の産業制御/SCADA、軍事資産追跡、機内WiFiなどが含まれていた。 satcom.sysnet.ucsd.edu
  22. WiFi傍受とその限界について：WPA2/WPA3は無線区間を保護するが、エンドツーエンドのセッションは保護しない。KRACK攻撃（Vanhoef & Piessens、2017年）、Dragonblood攻撃（Vanhoef & Ronen、2020年）、および悪性APによるダウングレード攻撃全般を参照。無線の同報通信的性質により、暗号文の収集は低コストで行える；TLSが引き続き主要な防御層である。