【要約】Contrary to popular superstition, AES 128 is just fine in a post-quantum world [Ars_Technica] | Summary by TechDistill
> Source: Ars_Technica
Execute Primary Source
// Problem
量子コンピュータ（CRQC）が登場すれば、AES-128の有効なセキュリティ強度が半分（64ビット）に低下するという誤解が広く浸透している。この誤った認識が、エンジニアの関心を不必要な対称鍵暗号の更新へと向けさせ、真に緊急性の高い非対称暗号の耐量子移行作業からリソースを逸らしている。
// Approach
Groverのアルゴリズムが持つ、並列化に対する数学的な制約を分析する。古典的な並列探索が計算時間を線形に短縮できるのに対し、量子アルゴリズムは逐次的な計算を要求するため、並列化による優位性が減少する特性を指摘。これにより、実質的な攻撃コストは想定よりも遥かに高いことを証明する。
// Result
AES-128の量子耐性は、単純な計算上の理論値よりも遥かに高く、実用的な安全性は維持される。エンジニアは、AESのような対称鍵暗号の更新に惑わされることなく、Shorのアルゴリズムに対して脆弱な非対称暗号の更新という、より重要かつ緊急性の高い課題にリソースを集中させるべきである。
Senior Engineer Insight
> AES-128の安全性に対する過度な懸念は、実務上の優先順位を誤らせるリスクがある。量子耐性への移行において、真にリソースを投じるべきはShorのアルゴリズムによって脆弱性が露呈する非対称暗号（RSAや楕円曲線暗号）の更新である。AESのような対称鍵暗号については、計算コストとレイテンシのバランスを考慮すれば、AES-128は依然として合理的な選択肢となり得る。AES-256へのアップグレードは、量子脅威への対策というよりも、コンプライアンス遵守や衝突耐性の向上という文脈で判断すべきだ。