耐量子暗号

ポスト量子暗号（PQC ）は、量子耐性、量子安全、量子耐性とも呼ばれ、量子コンピュータによる暗号解読攻撃に対して安全であると現在考えられている暗号アルゴリズム（通常は公開鍵アルゴリズム）の開発である。最も広く使用されている公開鍵アルゴリズムは、整数因数分解問題、離散対数問題、楕円曲線離散対数問題という3つの数学的問題のうち1つの難しさに依存している。これらの問題はすべて、ショアのアルゴリズム^{[1] [2]}を実行する十分に強力な量子コンピュータ、またはさらに高速で要求の少ない（必要な量子ビットの数の点で）代替手段で簡単に解くことができる。^[3]

2024年時点では、量子コンピュータは広く使用されている暗号アルゴリズムを破る処理能力を欠いているが、 ^[4]暗号学者たちは、現在のアルゴリズムが量子コンピューティング攻撃に対して脆弱になる日であるY2QまたはQ-Dayに備えて新しいアルゴリズムを設計している。彼らの研究は、2006年以来開催されているPQCryptoカンファレンスシリーズ、欧州電気通信標準化機構（ETSI）が主催する量子耐暗号に関するいくつかのワークショップ、量子コンピューティング研究所を通じて、学界や業界から注目を集めている。^{[5] [6] [7]また}、今収集して後で解読するプログラムが広く存在するという噂も、現在記録されたデータが何年も先まで機密情報のままである可​​能性があるため、ポスト量子アルゴリズムの早期導入の動機と見なされている。^{[8] [9] [10]}

量子コンピューティングが現在の公開鍵アルゴリズムに及ぼす脅威とは対照的に、現在の対称暗号アルゴリズムとハッシュ関数のほとんどは、量子コンピュータによる攻撃に対して比較的安全であると考えられています。^{[2] [11]}量子グローバーアルゴリズムは対称暗号に対する攻撃を高速化しますが、キーサイズを2倍にすることでこれらの攻撃を効果的にブロックできます。^[12]したがって、量子後の対称暗号は、現在の対称暗号と大きく異なる必要はありません。

2024年8月13日、米国国立標準技術研究所（NIST）は、最初の3つのポスト量子暗号標準の最終版をリリースしました。^[13]

量子暗号研究は主に6つの異なるアプローチに焦点を当てています。^{[2] [6]}

このアプローチには、エラー付き学習、エラー付きリング学習（リングLWE）^{[14] [15] [16]}エラー付きリング学習鍵交換およびエラー付きリング学習署名、古いNTRUまたはGGH暗号化方式、新しいNTRU署名およびBLISS署名などの暗号化システムが含まれます。^[17] NTRU暗号化などの一部の方式は、実行可能な攻撃が見つかっていないまま長年にわたって研究されてきました。リングLWEアルゴリズムなどの他の方式は、セキュリティが最悪のケースの問題にまで低下することが証明されています。^[18]欧州委員会が後援するポスト量子暗号研究グループは、標準化のためにNTRUアルゴリズムではなく、NTRUのStehle-Steinfeldバリアントを研究することを提案しました。^{[19] [20]}当時、NTRUはまだ特許を取得していました。研究によると、NTRUは他の格子ベースのアルゴリズムよりも安全な特性を持つ可能性があります。^[21]

これには、多変量方程式のシステムを解くことの難しさに基づいたレインボー（不均衡な油と酢）方式などの暗号化システムが含まれます。安全な多変量方程式暗号化方式を構築するさまざまな試みは失敗しました。しかし、レインボーのような多変量署名方式は、量子セキュアデジタル署名の基礎を提供できる可能性があります。^[22]レインボー署名方式は特許を取得しています。

これには、ランポート署名、マークル署名方式、XMSS、^[23] SPHINCS、^[24] WOTS方式などの暗号化システムが含まれます。ハッシュベースのデジタル署名は、1970年代後半にラルフ・マークルによって発明され、それ以来、RSAやDSAなどの数論的デジタル署名の興味深い代替手段として研究されてきました。その主な欠点は、ハッシュベースの公開鍵の場合、対応する秘密鍵セットを使用して署名できる署名の数に制限があることです。この事実により、量子コンピュータによる攻撃に耐える暗号化が望まれるようになったため、関心が再燃するまで、これらの署名への関心は低下しました。マークル署名方式には特許がないようです^{[要出典]。}また、これらの方式で使用できる特許取得されていないハッシュ関数が多数存在します。ヨハネス・ブッフマンの指導の下、研究者チームによって開発されたステートフルハッシュベースの署名方式XMSSは、RFC 8391で説明されています。^[25]

上記の方式はすべてワンタイム署名または制限時間署名であることに注意してください。Moni NaorとMoti Yungは1989年にUOWHFハッシュを発明し、ハッシュに基づいた署名（Naor-Yung方式）^[26]を設計しました。これは無制限に使用できます（トラップドア特性を必要としない最初の署名です）。

これには、McElieceおよびNiederreiter暗号化アルゴリズムや、関連するCourtois、Finiasz、Sendrier署名方式などの誤り訂正符号に依存する暗号化システムが含まれます。ランダムゴッパコードを使用したオリジナルのMcEliece署名は、40年以上の精査に耐えてきました。しかし、キーのサイズを縮小するために使用するコードにさらに構造を導入しようとするMcEliece方式の多くの変種は、安全でないことが示されています。^[27]欧州委員会が後援する耐量子暗号研究グループは、量子コンピューターによる攻撃に対する長期的な保護の候補としてMcEliece公開鍵暗号化システムを推奨しています。^[19]

これらの暗号システムは、有限体上の楕円曲線（および高次元アーベル多様体）の同型グラフ、特に超特異同型グラフの特性を利用して暗号システムを作成します。この分野のよく知られた代表例としては、ディフィー・ヘルマンのような鍵交換CSIDHがあります。これは、今日広く使用されているディフィー・ヘルマンおよび楕円曲線ディフィー・ヘルマン鍵交換方法の直接的な量子耐性代替として機能します。^[28]および署名スキームSQIsignは、超特異楕円曲線と特定のタイプの四元数代数の最大順序との間のカテゴリ同値に基づいています。^[29]もう一つの注目された構造であるSIDH/SIKEは、2022年に見事に破られました。 ^[30]しかし、この攻撃はSIDH/SIKEファミリーのスキームに特有のものであり、他のアイソジェニーベースの構造には一般化されません。^[31]

十分に大きな鍵サイズを使用すれば、AESやSNOW 3Gなどの対称鍵暗号システムは、すでに量子コンピュータによる攻撃に対して耐性があります。^[32]さらに、公開鍵暗号の代わりにKerberosや3GPPモバイルネットワーク認証構造などの対称鍵暗号を使用する鍵管理システムとプロトコルも、量子コンピュータによる攻撃に対して本質的に安全です。すでに世界中で広く導入されていることから、一部の研究者は、今日のポスト量子暗号を実現する効率的な方法として、Kerberosのような対称鍵管理の拡張使用を推奨しています。^[33]

暗号研究においては、暗号アルゴリズムと既知の難しい数学的問題との等価性を証明することが望ましいです。これらの証明はしばしば「セキュリティ削減」と呼ばれ、暗号アルゴリズムの解読の難しさを実証するために使用されます。言い換えれば、特定の暗号アルゴリズムのセキュリティは、既知の難しい問題のセキュリティに削減されます。研究者は、ポスト量子暗号の見通しにおいて、セキュリティ削減を積極的に模索しています。現在の結果は、次のとおりです。

Ring-LWEのいくつかのバージョンでは、セキュリティの下限として、格子内の最短ベクトル問題 (SVP)へのセキュリティ削減があります。SVP はNP 困難であることが知られています。^[34]証明可能なセキュリティ削減を持つ特定の ring-LWE システムには、Güneysu、Lyubashevsky、および Pöppelmann による論文で定義された Lyubashevsky の ring-LWE 署名のバリアントが含まれます。^[15] GLYPH 署名スキームは、 2012 年に GLP 署名が発表された後に得られた研究結果を考慮に入れたGüneysu、Lyubashevsky、および Pöppelmann (GLP) 署名のバリアントです。別の Ring-LWE 署名は Ring-TESLA です。^[35] LWEの「非ランダム化バリアント」であるLearning with Rounding (LWR)も存在し、これは「（決定論的誤差を伴うガウス分布のような分布からの小さな誤差のサンプリングを排除することにより）速度の向上と帯域幅の向上」をもたらします。^[36] LWEは小さな誤差の追加を利用して下位ビットを隠しますが、LWRは同じ目的で丸めを利用します。

NTRU暗号化方式とBLISS ^[17]署名の安全性は、格子内の最近接ベクトル問題（CVP）と関連していると考えられているが、証明可能な形では還元できない。CVPはNP困難であることが知られている。欧州委員会が後援するポスト量子暗号研究グループは、オリジナルのNTRUアルゴリズムの代わりに、安全性が低減されたNTRUのStehle-Steinfeld変種を長期使用のために研究することを提案した。^[19]

アンバランスオイルアンドビネガー署名方式は、有限体上の多変数多項式に基づく非対称暗号プリミティブです。Bulygin、Petzoldt、Buchmannは、一般的な多変数二次UOVシステムをNP困難な多変数二次方程式を解く問題に還元することを示しました。^[37] ${\displaystyle \mathbb {F} }$

2005年、ルイス・ガルシアは、マークルハッシュツリー署名のセキュリティは、基礎となるハッシュ関数のセキュリティにまで低下することを証明した。ガルシアは論文の中で、計算的に一方向のハッシュ関数が存在する場合、マークルハッシュツリー署名は証明可能に安全であることを示した。^[38]

したがって、既知の困難な問題に対するセキュリティの証明可能な削減を伴うハッシュ関数を使用すれば、その既知の困難な問題に対するマークル木署名の証明可能なセキュリティ削減が得られることになる。 ^[39]

欧州委員会が後援する耐量子暗号研究グループは、量子コンピュータに対する長期的なセキュリティ保護のためにマークル署名方式の使用を推奨している。^[19]

McEliece暗号システムは、シンドローム復号問題（SDP）のセキュリティ削減機能を備えている。SDPはNP困難であることが知られている。^[40]欧州委員会が後援する耐量子暗号研究グループは、量子コンピュータによる攻撃に対する長期的な保護のためにこの暗号の使用を推奨している。^[19]

2016年にWangはMcEliece方式に基づいたランダム線形コード暗号化方式RLCE ^[41]を提案した。RLCE方式は、基礎となる線形コード生成行列にランダムな列を挿入することで、リード・ソロモンコードなどの任意の線形コードを使用して構築できる。

セキュリティは、同じ数の点を持つ2つの超特異曲線間の同型性を構築する問題に関連しています。この問題の難しさに関する最新の調査はデルフスとガルブレイスによるもので、この問題は鍵交換の発明者が示唆するほど難しいことが示されています。^[42]既知のNP困難問題に対するセキュリティ削減はありません。

多くのポスト量子暗号アルゴリズムの共通の特徴の 1 つは、一般的に使用されている「プレ量子」公開鍵アルゴリズムよりも大きな鍵サイズを必要とすることです。鍵サイズ、計算効率、暗号文または署名のサイズにはトレードオフが伴うことがよくあります。表には、128 ビットのポスト量子セキュリティ レベルでのさまざまなスキームの値の一部がリストされています。

ポスト量子暗号アルゴリズムの選択における実際的な考慮事項は、インターネット経由で公開鍵を送信するために必要な労力です。この観点から、Ring-LWE、NTRU、および SIDH アルゴリズムは、1 KB 未満の便利なキー サイズを提供し、ハッシュ署名公開鍵は 5 KB 未満、MDPC ベースの McEliece は約 1 KB です。一方、Rainbow スキームは約 125 KB を必要とし、Goppa ベースの McEliece は約 1 MB のキーを必要とします。

LWEとリングLWEを鍵交換に使用する基本的なアイデアは、2011年にシンシナティ大学でJintai Dingによって提案され、提出されました。基本的なアイデアは行列乗算の結合性から生まれたもので、エラーを使用してセキュリティを提供します。論文^[53]は、2012年に仮特許出願が提出された後、2012年に発表されました。

2014年に、Peikert ^[54]は、Dingの同じ基本的なアイデアに従った鍵転送方式を提示しました。この方式では、Dingの構築で丸めのために追加の1ビット信号を送信するという新しいアイデアも利用されています。128ビットよりも少し大きいセキュリティのために、SinghはPeikertの方式用の6956ビットの公開鍵を持つパラメータセットを提示しています。^[55]対応する秘密鍵は約14,000ビットになります。

2015年には、Dingの同じ基本的なアイデアに従った証明可能な前方セキュリティを備えた認証鍵交換がEurocrypt 2015で発表されました。[ ^56]これは、Crypto2005のHMQV ^[57]構造の拡張です。80ビットから350ビットまでのさまざまなセキュリティレベルのパラメータと、対応する鍵サイズが論文に記載されています。^[56]

NTRUの128ビットのセキュリティのために、ヒルシュホーン、ホフシュタイン、ハウグレイブ・グラハム、ホワイトは、係数付き${\displaystyle {\bmod {\left(2^{10}\right)}}}$の613次多項式として表される公開鍵を使用することを推奨しています。これにより、6130ビットの公開鍵が生成されます。対応する秘密鍵は6743ビットになります。^[44]

ペッツォルト、ブリギン、ブッフマンは、128ビットのセキュリティとレインボー多変量二次方程式署名方式における最小の署名サイズを実現するために、公開鍵サイズが991,000ビット強、秘密鍵が740,000ビット強、デジタル署名の長さが424ビットの方程式を使用することを推奨している。^[45]${\displaystyle \mathbb {F} _{31}}$

ナオル・シェンハブとウールのフラクタルマークルツリー法を使用して100万件のメッセージに署名し、ハッシュベースの署名で128ビットのセキュリティを確保するには、公開鍵と秘密鍵のサイズはおよそ36,000ビットの長さになります。^[58]

McEliece方式で128ビットのセキュリティを確保するため、欧州委員会の量子暗号研究グループは、長さが少なくとも ⁠ ⁠ で次元が少なくとも⁠ ⁠で、エラー訂正が可能なバイナリゴッパコードの使用を推奨しています。これらのパラメータを使用すると、McElieceシステムの公開鍵は、非同一部分が ⁠ ⁠ ビットを占める体系的な生成行列になります。対応する秘密鍵は、 ⁠ ⁠からの要素を持つコードサポートと⁠ ⁠からの係数を持つ の生成多項式で構成され、長さは92,027ビットになります^[19]${\displaystyle n=6960}$${\displaystyle k=5413}$${\displaystyle t=119}$${\displaystyle k\times (nk)=8373911}$${\displaystyle n=6960}$${\displaystyle \mathrm {GF} (2^{13})}$${\displaystyle t=119}$${\displaystyle \mathrm {GF} (2^{13})}$

このグループは、長さが少なくとも⁠ ⁠次元以上で、エラー訂正が可能な準巡回 MDPC コードの使用も調査しています。これらのパラメータを使用すると、McEliece システムの公開鍵は、非アイデンティティ部分がビットを占める体系的生成行列の最初の行になります。秘密鍵は、列に非ゼロのエントリ (または行にその 2 倍) を持つ準巡回パリティ チェック行列であり、最初の行の非ゼロのエントリの座標として表すと ビット しか占めません。${\displaystyle n=2^{16}+6=65542}$${\displaystyle k=2^{15}+3=32771}$${\displaystyle t=264}$${\displaystyle k=32771}$${\displaystyle d=274}$${\displaystyle d\times 16=4384}$

Barretoらは、長さが少なくとも ⁠ ⁠ 、次元が少なくとも⁠ ⁠で、エラーを訂正できるバイナリゴッパコードの使用を推奨しています。これらのパラメータを使用すると、McElieceシステムの公開鍵は、非アイデンティティ部分がビットを取る体系的な生成行列になります。^[59]からの要素を持つコードサポートと⁠ ⁠からの係数を持つ の生成多項式で構成される対応する秘密鍵は、40,476ビットの長さになります。 ${\displaystyle n=3307}$${\displaystyle k=2515}$${\displaystyle t=66}$${\displaystyle k\times (nk)=1991880}$${\displaystyle n=3307}$${\displaystyle \mathrm {GF} (2^{12})}$${\displaystyle t=66}$${\displaystyle \mathrm {GF} (2^{12})}$

超特異同体ディフィー・ヘルマン（SIDH）方式で128ビットのセキュリティを実現するために、デ・フェオ、ジャオ、およびプラットは、768ビットの素数を法とする超特異曲線を使用することを推奨しています。楕円曲線の点圧縮を使用する場合、公開鍵の長さは8x768または6144ビット以下である必要があります。^[60] 2016年3月のAzarderakhsh、Jao、Kalach、Koziel、およびLeonardiによる論文では、送信されるビット数を半分に削減する方法が示され、著者Costello、Jao、Longa、Naehrig、Renes、およびUrbanikによってさらに改良され、公開鍵のサイズがわずか2640ビットのSIDHプロトコルの圧縮鍵バージョンが生まれました。^[52]これにより、送信されるビット数は、同じ古典的なセキュリティレベルで、量子セキュリティのないRSAおよびディフィー・ヘルマンとほぼ同等になります。^[61]

一般的なルールとして、対称鍵ベースのシステムで 128 ビットのセキュリティを実現するには、256 ビットの鍵サイズを安全に使用できます。任意の対称鍵システムに対する最良の量子攻撃は、グローバーのアルゴリズムの適用です。これは、鍵空間のサイズの平方根に比例する作業を必要とします。暗号化された鍵を、その鍵を復号するために必要な対称鍵を持つデバイスに送信するには、約 256 ビットが必要です。対称鍵システムが、量子耐性暗号に最も小さい鍵サイズを提供することは明らかです。^[要出典]

公開鍵システムは、鍵合意のためにセッションごとにランダムな公開鍵を生成するときに、完全な前方秘匿性と呼ばれる特性を示します。これは、1 つのメッセージの漏洩が他のメッセージの漏洩につながることはなく、また、複数のメッセージの漏洩につながる可能性のある単一の秘密値は存在しないことを意味します。セキュリティの専門家は、前方秘匿性をサポートする暗号化アルゴリズムを、サポートしないアルゴリズムよりも使用することを推奨しています。^[62]その理由は、前方秘匿性により、公開鍵/秘密鍵ペアに関連付けられた長期秘密鍵の漏洩を防ぐことができるためです。これは、諜報機関による大量監視を防ぐ手段と見なされています。

Ring-LWE キー交換と超特異性同型 Diffie-Hellman (SIDH) キー交換はどちらも、相手との 1 回の交換で前方秘匿性をサポートできます。Ring-LWE と SIDH はどちらも、Diffie-Hellman の従来のElGamal 暗号化バリアントのバリアントを作成することで、前方秘匿性なしで使用することもできます。

この記事で紹介した他のアルゴリズム (NTRU など) は、そのままでは前方秘匿性をサポートしていません。

認証された公開鍵暗号システムであれば、前方秘匿性を備えた鍵交換を構築するために使用することができます。^[63]

Open Quantum Safe ( OQS ) プロジェクトは 2016 年後半に開始され、量子耐性暗号の開発とプロトタイプ作成を目標としています。^{[64] [65]}このプロジェクトは、現在のポスト量子暗号方式を 1 つのライブラリliboqsに統合することを目指しています。^[66] liboqs は、量子耐性暗号アルゴリズム用のオープンソースのCライブラリです。当初は鍵交換アルゴリズムに重点を置いていましたが、現在ではいくつかの署名スキームが含まれています。ポスト量子鍵交換アルゴリズムに適した共通 API を提供し、さまざまな実装をまとめます。liboqs には、ポスト量子実装のパフォーマンスを比較するためのテスト ハーネスとベンチマーク ルーチンも含まれます。さらに、OQS は liboqs をOpenSSLに統合することもできます。^[67]

2023年3月現在、以下の鍵交換アルゴリズムがサポートされている。^[64]

2024年8月現在、NISTは以下の3つのアルゴリズムをFIPS標準として公開しており、4つ目は年末近くに公開される予定です。^[68]

NIST ポスト量子暗号標準化プロジェクトの進行により削除された、サポート対象の古いバージョンは次のとおりです。

量子耐性暗号における主な課題の1つは、潜在的に量子耐性のあるアルゴリズムを既存のシステムに実装することだと考えられています。例えば、Microsoft Researchはハードウェアセキュリティモジュールを使用してPKIにPICNICを実装するテストを行っています。^[86] GoogleのNewHopeアルゴリズムのテスト実装もHSMベンダーによって行われています。2023年8月、GoogleはETHチューリッヒと提携してECC / Dilithiumハイブリッド署名スキーマのFIDO2セキュリティキー実装をリリースしました。^[87]

シグナルプロトコルはポスト量子拡張ディフィー・ヘルマン（PQXDH）を使用する。 ^[88]

2024年2月21日、AppleはiMessageプロトコルを「PQ3」と呼ばれる新しいPQCプロトコルにアップグレードすると発表した。これは継続的なキーイングを利用するものである。 ^{[89] [90] [91]} Appleは、量子コンピュータはまだ存在しないが、将来の量子コンピュータやいわゆる「今すぐ収集、後で復号」攻撃シナリオによるリスクを軽減したいと述べた。Appleは、PQ3実装は継続的なキーイングを利用するため、「広く導入されている他のすべてのメッセージングアプリの保護を上回る」保護を提供すると考えていると述べた。 Appleは、2024年末までに、サポートされているすべての会話内の既存のiMessageプロトコルをPQ3に完全に置き換える予定です。Appleはまた、メッセージングアプリのセキュリティ特性を比較しやすくするために、0から3までのレベルで表されるスケールを定義しました。0はデフォルトでエンドツーエンドなし、1はデフォルトで量子コンピュータ以前のエンドツーエンド、2はPQCキーの確立のみ（例：PQXDH）、3はPQCキーの確立と継続的な鍵再生成（PQ3）です。^[89]

その他の注目すべき実装は次のとおりです。

• バウンシーキャッスル^[92]
• リボク^[93]

Google は、ポスト量子暗号の使用において「ハイブリッド暗号化」の使用を維持している。比較的新しいポスト量子方式が使用されるときはいつでも、より実績のある非 PQ 方式と組み合わせる。これは、比較的新しい PQ アルゴリズムが Y2Q 以前に非量子攻撃に対して脆弱であることが判明した場合でも、データが侵害されないことを保証するためである。このタイプの方式は、2016 年と 2019 年のポスト量子 TLS テストで使用されている^[94]および 2023 年の FIDO2 キーで使用されている。^[87]実際、2019 年のテストで使用されたアルゴリズムの 1 つである SIKE は 2022 年に破られたが、非 PQ X25519 レイヤー (TLS で既に広く使用されている) は依然としてデータを保護した。^[94] Apple の PQ3 と Signal の PQXDH もハイブリッドである。^[89]

NSAとGCHQはハイブリッド暗号化に反対しており、ハイブリッド暗号化は実装と移行に複雑さを加えると主張している。ハイブリッド暗号化を支持するダニエル・J・バーンスタインは、その主張はでたらめだと主張している。^[94]

• NIST 耐量子暗号標準化
• 量子暗号– 量子力学に基づく暗号
• 暗号シュレッディング– 暗号化キーの削除
• 今収集して後で解読する

• PQXDH 鍵合意プロトコル仕様
• ポスト量子暗号。Springer。2008年、p.245。ISBN 978-3-540-88701-0。
• 量子世界の同種性 2014-05-02ウェイバックマシンにアーカイブ
• 理想格子と環上の誤差による学習について
• Kerberos 再考: 耐量子認証
• ピクニック署名制度
• Buchmann, Johannes A.; Butin, Denis; Göpfert, Florian; Petzoldt, Albrecht (2016)。 「ポスト量子暗号：最新技術」。The New Codebreakers: David Kahn の 85 歳の誕生日に捧げるエッセイ。Springer。pp. 88–108。doi :10.1007/978-3-662-49301-4_6。ISBN 978-3-662-49301-4。
• Bernstein, Daniel J.; Lange, Tanja (2017). 「ポスト量子暗号」。Nature . 549 ( 7671): 188–194. Bibcode :2017Natur.549..188B. doi :10.1038/nature23461. PMID  28905891.
• Kumar, Manoj; Pattnaik, Pratap (2020). 「ポスト量子暗号(PQC) - 概要: (招待論文)」。2020 IEEE ハイパフォーマンスエクストリームコンピューティングカンファレンス (HPEC)。pp. 1–9。doi : 10.1109 / HPEC43674.2020.9286147。ISBN 978-1-7281-9219-2。
• Campagna, Matt; LaMacchia, Brian; Ott, David (2021). 「ポスト量子暗号：準備の課題と迫りくる嵐」。コンピューティングコミュニティコンソーシアム。arXiv ：2101.01269。
• Yalamuri, Gagan; Honnavalli, Prasad; Eswaran, Sivaraman (2022). 「ポスト量子脅威に対処するための現在の暗号兵器のレビュー」。Procedia Computer Science。215 : 834–845。doi : 10.1016 /j.procs.2022.12.086。
• バブデカール、リティク。チョプデ、イーシャン・ジャヤント。バティア、アシュトシュ。ティワリ、カムレシュ。ダニエル、サンディープ・ジョシュア (2022) 「ポスト量子暗号: 技術、課題、標準化、および将来の研究の方向性」。arXiv : 2202.02826 [cs.CR]。
• Joseph, David; Misoczki, Rafael; Manzano, Marc; Tricot, Joe; Pinuaga, Fernando Dominguez; Lacombe, Olivier; Leichenauer, Stefan; Hidary, Jack; Venables, Phil; Hansen, Royal (2022). 「組織の量子暗号への移行」。Nature . 605 ( 7909): 237–243. doi :10.1038/s41586-022-04623-2. PMID  35546191.
• リヒター、マクシミリアン; バートラム、マグダレーナ; セイデンステッカー、ジャスパー; チャッヘ、アレクサンダー (2022). 「ポスト量子暗号に関する数学的観点」.数学. 10 (15): 2579. doi : 10.3390/math10152579 .
• リー・シロン。チェン、ユーシャン。チェン、リン。リャオ、ジン。クアン、チャンチャン。リー・クアンチン。梁、魏。シオン、ナイシュエ（2023）。 「ポスト量子セキュリティ: 機会と課題」。センサー。23 (21): 8744。ビブコード:2023Senso..23.8744L。土井: 10.3390/s23218744。PMC  10648643。PMID  37960442。
• Dam, Duc-Thuan; Tran, Thai-Ha; Hoang, Van-Phuc; Pham, Cong-Kha; Hoang, Trong-Thuc (2023). 「ポスト量子暗号の調査：新たな競争の始まり」.暗号化. 7 (3): 40. doi : 10.3390/cryptography7030040 .
• Bavdekar, Ritik; Jayant Chopde, Eashan; Agrawal, Ankit; Bhatia, Ashutosh; Tiwari, Kamlesh (2023). 「ポスト量子暗号：技術、課題、標準化のレビュー」。2023国際情報ネットワーク会議 (ICOIN)。pp. 146–151。doi : 10.1109 / ICOIN56518.2023.10048976。ISBN 978-1-6654-6268-6。
• Sood, Neerav (2024)。「ポスト量子コンピューティング時代の暗号化」。SSRN電子ジャーナル。doi : 10.2139/ssrn.4705470。
• Rawal, Bharat S.; Curry, Peter J. (2024). 「ポスト量子暗号の展望における課題と機会」APL Quantum . 1 (2). doi : 10.1063/5.0198344 .
• バギロフス、エミルズ。プロヴォディン、グリゴリー。シポラ、トゥオモ。 Hautamäki、Jari (2024)。 「ポスト量子暗号の応用」。サイバー戦争とセキュリティに関する欧州会議。23 (1): 49–57。arXiv : 2406.13258。土井：10.34190/eccws.23.1.2247。
• Mamatha, GS; Dimri, Namya; Sinha, Rasha (2024). 「ポスト量子暗号：量子時代のデジタル通信の保護」。arXiv : 2403.11741 [ cs.CR ]。
• Singh, Balvinder; Ahateshaam, Md; Lahiri, Abhisweta; Sagar, Anil Kumar (2024)。「量子コンピューティング時代の暗号の未来」。電気電子工学におけるイノベーション。電気工学の講義ノート。第 1115 巻。pp. 13–31。doi : 10.1007 / 978-981-99-8661-3_2。ISBN 978-981-99-8660-6。

• PQCrypto、ポスト量子暗号カンファレンス
• ETSI 量子セキュア標準への取り組み
• NISTの量子暗号プロジェクト
• PQCrypto の使用と展開
• ISO 27001 認証費用
• ISO 22301:2019 – 米国におけるセキュリティとレジリエンス