ハイブリッドPQCと暗号アジリティ

なぜ「ハイブリッド」なのか：二つの異なる賭けを同時にヘッジする

ポスト量子暗号（PQC）への移行で、ML-KEM 単独に乗り換えず古典方式と併用するのがハイブリッド PQC です。動機は二つのリスクを別々にヘッジする点にあります。第一に、量子計算機（CRQC）が完成すれば X25519 や RSA のような古典鍵交換は Shor のアルゴリズムで破れる。第二に、ML-KEM のような格子ベース KEM は標準化されて日が浅く、実装バグや未知の解読法が残る可能性がある。この二つは性質がまったく違う賭けです。

横にスクロール

ハイブリッドは、両者の共有鍵（shared secret）を一本のセッション鍵へ結合することで、「どちらか一方が破れても最終鍵は安全」という状態を作ります。古典側に欠陥が出れば PQC 側が、量子計算機が来れば古典側に代わって PQC 側が守る。移行という不確実な時期を渡り切るための冗長構成であり、PQC が枯れたと確信できるまでの保険です。移行の時間軸や優先順位そのものは 量子耐性移行戦略 で扱うので、本稿は結合の中身の正しさとアジリティの設計に踏み込みます。

結合子（combiner）：連結ではなくKDFで束ねる理由

ハイブリッドの核心は、二つの共有鍵をどう一本にするかを担う KEM 結合子（combiner） です。素朴には「二つを連結して終わり」に見えますが、そのままでは危うい。正しい構成は、両方の共有鍵を鍵導出関数（KDF）の入力に取り込むことです。

ss = KDF( ss_classical || ss_pq || context )
#   ss_classical : X25519 の共有鍵
#   ss_pq        : ML-KEM の Decaps 出力
#   context      : 交渉内容やカプセル等を束ねる文脈情報

ここで結合子に求められる性質が robustness（頑健性） です。定義はこうです――二つの入力 KEM のうち少なくとも一方が IND-CCA 安全なら、結合後の KEM 全体も IND-CCA 安全である。これが成り立てば、片方の KEM がまるごと破れても最終鍵の秘匿は崩れません。ハイブリッドの安全性主張はこの一点に懸かっています。

この頑健性がそのままダウングレード耐性にもつながります。中間者が交渉を細工して PQ 側の寄与を無効化しようとしても、ss_pq が KDF 入力に入っている限り、攻撃者が ss_pq を知らなければ最終鍵は導けません。逆に言えば、結合子が両入力を確実に取り込む設計であることが、移行期に古典のみへ落とされる事故を構造で防ぐ前提になります。交渉の改ざん検知（ネゴシエーション完全性）そのものは 暗号アジリティとバージョン交渉 を参照してください。

TLSでのハイブリッド鍵共有：識別子と載せ方

では実際の TLS 1.3 でどう運ぶか。TLS の鍵交換は key_share 拡張で行われ、対応する群（group）を名前付き識別子で示します。ハイブリッドは古典群でも純 PQC 群でもなく、両者を合成した専用のコードポイントとして登録されます。代表が X25519MLKEM768（IANA 割当 0x11EC）です。

ClientHello
  supported_groups = [ X25519MLKEM768(0x11EC), X25519(0x001D), ... ]
  key_share:
    X25519MLKEM768 -> (ML-KEM-768 公開鍵 ‖ X25519 公開鍵)   # 連結して1つの share
ServerHello
  key_share:
    X25519MLKEM768 -> (ML-KEM-768 カプセル ‖ X25519 公開鍵)

ポイントは二つあります。第一に、ハイブリッドは独立した暗号スイート識別子として交渉に載る――これは暗号アジリティの「追加」能力そのものです。第二に、key_share の中身は二つの鍵材料を決まった順序で連結したバイト列であり、連結順序（X25519MLKEM768 では ML-KEM が先、X25519 が後）は仕様で固定されます。順序を取り違えれば相手と鍵が一致しません。導出された ss_classical と ss_pq は、上述の結合子を通して TLS の鍵スケジュール（HKDF ベース）に注入されます。TLS のレコード保護や鍵スケジュールの流れは TLSレコード層 を参照してください。

暗号アジリティ：アルゴリズムを「資産」でなく「設定」にする

ハイブリッドをこれほど滑らかに導入できるのは、TLS が最初から暗号アジリティ――アルゴリズムを後から差し替えられる設計――を持っていたからです。アジリティの本質は、RSA や ML-KEM のような具体アルゴリズムをコードに埋め込まず、識別子として交渉で選ぶ一段の抽象化にあります。アルゴリズムは計算機の高速化・解読法の進歩・量子計算機によって必ず老いるので、これが無い設計は危殆化のたびにプロトコルごと作り直す羽目になります。

設計上の要点は、アルゴリズム固有の定数をコードから追い出すことです。共有鍵の長さ、カプセルサイズ、公開鍵フォーマットをハードコードした実装は、ML-KEM のようにサイズが古典方式より1〜2桁大きい方式を後から入れられません。移行に強いコードは、鍵材料を可変長のバイト列として抽象化し、群 ID からサイズやパーサを引くレジストリ（対応表）を持ちます。こうしておけば、将来 ML-KEM が別方式に置き換わっても、レジストリへの追加とネゴシエーションの更新だけで済みます。

まとめ

ハイブリッド PQC は、古典 KEM（X25519）と PQ KEM（ML-KEM）の共有鍵を結合子で一本に混ぜる方式です。狙いは、量子計算機による古典鍵交換の崩壊と、新しい格子暗号の未知の欠陥という二つの異質なリスクを同時にヘッジすること。片方が破れても最終鍵は守られます。

結合子は生の連結や XOR ではなく KDF で両入力を束ねるのが正解で、これにより「一方の入力 KEM が IND-CCA 安全なら全体も安全」という頑健性と、移行期のダウングレード耐性が得られます。TLS ではハイブリッドが X25519MLKEM768（0x11EC）という専用コードポイントで交渉に載り、key_share は決まった順序で連結した鍵材料を運びます。ML-KEM の 1KB 超の鍵材料による ClientHello 肥大が最大の実装課題です。

そしてこれらを支えるのが暗号アジリティ――アルゴリズムを識別子として交渉し、追加・削除でき、差し替え境界を局所化する設計です。鍵長やフォーマットをハードコードしない実装だけが、PQC 移行も将来の標準更新も安価に渡り切れます。移行の順序は 量子耐性移行戦略、交渉とダウングレード防御は 暗号アジリティとバージョン交渉、原理の土台は ハイブリッド暗号と KEM-DEM と 格子暗号とLWE を合わせて押さえてください。