ML-KEM（Kyber）とFIPS 203

FIPS 203 が標準化したもの

ML-KEM（Module-Lattice-Based Key-Encapsulation Mechanism）は、NIST が 2024 年 8 月に FIPS 203 として最初に正式標準化した耐量子鍵カプセル化方式です。母体は CRYSTALS プロジェクトの Kyber で、NIST の PQC 標準化コンペを勝ち抜いた後、いくつかの変更を経て ML-KEM になりました。安全性は 格子問題（Module-LWE）の困難性に依拠し、Shor のアルゴリズムを持つ量子計算機でも効率的に解く手段が知られていません。

ここで重要なのは、ML-KEM は汎用の公開鍵「暗号」ではなく KEM（鍵カプセル化機構）だという点です。任意平文を暗号化するのではなく、ランダムな 32 バイトの共有鍵そのものを生成して相手に届けることに特化しています。以降の実データはその共有鍵で AES-256-GCM などの共通鍵暗号（DEM）を使って守る――この KEM-DEM 分業は RSA/DH のハイブリッド暗号とまったく同じ構造で、鍵共有部分だけを格子ベースに置き換えたものと理解すると全体像がつかめます。

二層構造：K-PKE と FO 変換

ML-KEM の内部は 2 段構えです。この分離が設計の勘所なので、先に押さえます。

• K-PKE：Module-LWE に基づく IND-CPA 安全な公開鍵暗号。ランダムな 32 バイトメッセージを 1 個だけ暗号化できる、素朴だが決定論的に扱える部品。
• ML-KEM 本体：K-PKE を Fujisaki-Okamoto（FO）変換で包み、IND-CCA2 安全な KEM に引き上げたもの。

なぜ二層なのか。K-PKE 単体は選択暗号文攻撃（CCA）に弱いからです。攻撃者が細工した暗号文を送り、復号の成否や結果から秘密鍵の情報を少しずつ搾り取る攻撃を、素の格子暗号は防げません。FO 変換はこれを、復号側で暗号文を再生成して一致を検証するという仕組みで封じます。

K-PKE の中身（Module-LWE そのもの）

K-PKE の鍵生成は、LWEの等式をモジュール（多項式行列）版にしたものです。要素はスカラーではなく多項式環 Zq[x]/(x^256 + 1) の元で、模式的には次の形になります。

横にスクロール

A : k×k の多項式行列（32バイトの種ρからSHAKEで擬似ランダム生成）
s, e : 成分が小さい多項式ベクトル（中心二項分布からサンプル）
t = A ∘ s + e   （公開鍵は (t, ρ)、秘密鍵は s）

種 ρ から A をその場で展開するため、公開鍵に巨大な A を載せる必要がありません。暗号化は、受信者の (t, A) に対し送信側が別のノイズ r, e1, e2 を混ぜ、u = A^T ∘ r + e1 と v = t^T ∘ r + e2 + Encode(m) を作ります。復号は m ≈ v − s^T ∘ u を計算し、ノイズを丸めて m を復元します。攻撃者は (u, v) を見ても Module-LWE を解かない限りメッセージも秘密 s も取り出せません。

多項式積 ∘ は素朴には重い演算ですが、q = 3329 と n = 256 は NTT（数論変換）が使えるよう選ばれており、積を成分ごとの掛け算に変えて高速化します。実際、公開鍵の t は NTT 領域で保持・伝送されます。

FO 変換：暗黙棄却で CCA 安全に

ML-KEM 本体はこの K-PKE を次のように包みます。エンカプセルは乱数 m（32 バイト）を引き、それをハッシュして暗号化に使う乱数 r と共有鍵 K を同時に導出する点が肝です。

Encaps(pk):
  m ← ランダム32バイト
  (K, r) = G( m || H(pk) )        # 乱数を鍵と暗号化乱数に分岐
  c = K-PKE.Encrypt(pk, m; r)     # r を明示指定した決定論的暗号化
  return (c, K)

Decaps(sk, c):
  m'      = K-PKE.Decrypt(sk, c)
  (K', r')= G( m' || H(pk) )
  c'      = K-PKE.Encrypt(pk, m'; r')   # 同じ乱数で再暗号化
  if c' == c: return K'                  # 一致 → 正規の鍵
  else:       return J( z || c )         # 不一致 → 秘密zから偽鍵

デカプセル側は復号で得た m' から暗号文を作り直し、送られてきた c とバイト単位で完全一致するかを確かめます。これが FO 変換の核心です。正規に生成された暗号文なら必ず一致し、細工された暗号文はまず一致しません。

Kyber との差分もここに関係します。ML-KEM では鍵導出の入力から暗号文ハッシュを外す簡素化（K を c に依存させない）や、公開鍵の妥当性検査（modulus チェック）の追加など、FIPS 化にあたり細部が調整されました。相互運用では Kyber の実装と ML-KEM の実装は非互換である点に注意します。

パラメータセット：段数 k だけを変える

ML-KEM の 3 つの水準は、n = 256・q = 3329 を固定したまま格子の段数 k を変えるという明快な設計です。k を上げると行列・ベクトルが大きくなり、鍵と暗号文が線形に増えます。

実務の既定は ML-KEM-768 です。NIST の分析で 512 の安全余裕が想定より薄いと判断され、多くのプロトコル（後述の TLS ハイブリッドを含む）が 768 を標準採用しました。512 は帯域が厳しい組込み用途、1024 は最高強度が要る長期秘匿用途、という位置づけになります。なお η1/η2（ノイズ分布の幅）や du/dv（圧縮ビット幅）は水準ごとにわずかに違いますが、選択を左右するのは基本的に k と考えて差し支えありません。

TLS 1.3 への統合とハイブリッド

ML-KEM は既に TLS 1.3 の鍵共有に組み込まれています。ただし単独ではなく、既存の X25519 と束ねたハイブリッドが主流です。TLS の key_share 拡張に、両者を連結した鍵共有グループ X25519MLKEM768 を載せ、両方の共有秘密を結合してハンドシェイクの鍵導出に流します。

combined = X25519_shared || ML-KEM-768_shared
# 以降は TLS 1.3 の HKDF 鍵スケジュールへ（両方を破らない限り鍵は漏れない）

ハイブリッドにする理由は明快です。格子暗号は歴史が浅く実装バグや未知の解読法の残余リスクがあるため、古典（X25519）と PQC（ML-KEM）の両方を破らないと鍵が漏れない構成にして保険をかけます。量子計算機が来れば X25519 側が破れますが ML-KEM 側が守り、逆に ML-KEM に欠陥が出ても X25519 側が守ります。

まとめ

ML-KEM（FIPS 203）は、IND-CPA な K-PKE を Fujisaki-Okamoto 変換で IND-CCA2 に引き上げた二層 KEM です。K-PKE は Module-LWE の等式そのもので、種からの A 展開・意図的な係数圧縮・NTT 高速化で実用サイズと速度を成立させています。

CCA 安全の要は、デカプセル時に暗号文を再暗号化して一致検証し、不一致でも秘密 z から偽鍵を返す暗黙棄却にあります。失敗を失敗として見せないことが選択暗号文攻撃を封じます。

パラメータは n=256・q=3329 固定で段数 k だけを 2/3/4 に変える設計で、既定は ML-KEM-768。TLS では X25519MLKEM768 のハイブリッドが事実上の標準で、ClientHello の肥大化という新しい実務課題を伴います。土台の数学は 格子暗号と LWE、KEM-DEM の枠組みは ハイブリッド暗号、量子脅威の全体像は ポスト量子暗号と合わせて押さえてください。