Suiの耐量子署名ロードマップ――2027年PQC導入とCrypto Agilityの本質

Suiが2026年8月6日に発表した耐量子計算機暗号（Post-Quantum Cryptography: PQC）への対応は、単に「新しい暗号アルゴリズムを採用する」というニュースではない。

より重要なのは、Suiが既存ユーザーの資産・アドレス・リカバリーフレーズをできるだけ維持しながら、認証鍵だけを量子耐性方式へ移行する道筋を具体化したことである。

Suiは、日常取引用に ML-DSA-65、高額資産の保管用途に SLH-DSA-SHA2-128s を導入する方針を示し、ML-DSAによるネイティブアカウント認証を2027年第1四半期にMainnetへ導入する目標を掲げている。

1. そもそも量子コンピュータは何を壊すのか

現在の多くのブロックチェーンでは、ECDSA、Ed25519、secp256k1などの公開鍵暗号を利用して、「その資産を動かす権限を持つ者」をデジタル署名で証明している。

通常は、

秘密鍵 → 公開鍵

の計算は容易だが、

公開鍵 → 秘密鍵

を逆算することは現実的には困難である。

しかし、十分な規模の誤り耐性量子コンピュータ、すなわち CRQC（Cryptographically Relevant Quantum Computer） が実現すると、ShorのアルゴリズムによりRSAや楕円曲線暗号などが危殆化する可能性がある。

金融庁の「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会 報告書」でも、RSA、ECDSA、ECDHなどの公開鍵暗号は、大規模量子コンピュータの出現後には安全ではなくなると整理されている。

つまり、問題は「ブロックチェーンのハッシュチェーンが直接破壊される」というよりも、

「この資産を動かしてよいのは私である」という署名そのものを偽造できる可能性が生じること

にある。

2. Google Quantum AIの2026年研究が危機感を高めた

Suiが今回の発表で引用した重要な背景の一つが、Google Quantum AIの2026年3月の研究である。

Googleは、256-bit楕円曲線離散対数問題について、従来より少ない量子計算資源で解読できる可能性を示し、50万未満の物理量子ビットを備える誤り耐性量子コンピュータで数分程度という試算を示した。

ただし、これは、

「現在そのような量子コンピュータが存在する」

という意味ではない。

現時点で、暗号資産の公開鍵から秘密鍵を実用的時間内に復元できるCRQCが存在することは確認されていない。

重要なのは、必要量子ビット数や計算時間の推定が技術進歩によって大幅に縮小する可能性が示されている点である。

したがって、Q-Dayの正確な日付を予測するよりも、移行可能な設計を先に作ることの方が重要になる。

3. ブロックチェーン特有の問題――公開鍵はチェーン上に残り続ける

一般的な通信システムとブロックチェーンでは、量子リスクの性質が少し異なる。

ブロックチェーンでは、一度送信された取引情報が長期間、場合によっては事実上永久にチェーン上へ保存される。

そのため、

現在
公開鍵がチェーン上に記録される
        ↓
攻撃者が公開鍵を保存
        ↓
将来
CRQCが実現
        ↓
公開鍵から秘密鍵を導出
        ↓
署名を偽造
        ↓
資産を不正移転

という攻撃経路が成立し得る。

通信暗号の世界で知られる Harvest Now, Decrypt Later（HNDL） に対応して、署名の世界では、

Harvest Now, Forge Later

すなわち「今公開鍵を集め、将来署名を偽造する」という脅威として理解できる。

金融庁もHNDLについて、現在暗号化データを収集し、将来CRQCが登場した段階で解読する攻撃として警告している。

ブロックチェーンの場合は、機密データだけでなく資産所有権を証明する署名鍵が問題になる点が重要である。

4. Suiが採用する2種類のPQC署名

Suiは単一のPQC方式だけに依存せず、数学的基盤の異なる2種類の署名方式を採用する。

この二重構造の意味は大きい。

格子暗号に将来重大な弱点が発見された場合でも、ハッシュベース署名は異なる数学的基盤を利用しているため、同じ攻撃がそのまま適用できるとは限らない。

つまりSuiは、PQCそのものにも「単一障害点」を作らない設計を目指している。

5. ML-DSA-65とは何か

ML-DSAは Module-Lattice-Based Digital Signature Algorithm の略であり、以前はCRYSTALS-Dilithiumと呼ばれていた。

NISTは2024年にFIPS 204として標準化した。

ML-DSAには主に以下のパラメータがある。

• ML-DSA-44
• ML-DSA-65
• ML-DSA-87

Suiはこの中から ML-DSA-65 を選択した。

これはNIST Security Level 3相当であり、最軽量のML-DSA-44よりも安全余裕を大きく取った選択である。

Suiは、単純に性能とコストだけを最適化するのではなく、今後の暗号解析能力の進展も考慮している。

6. AI時代には暗号解析側も加速する

今回のSui発表で興味深いのは、量子コンピュータだけではなく、AIによる暗号解析能力の進展も考慮していることである。

Suiは、2026年に耐量子署名候補HAWKに対するAI支援暗号解析が進んだ事例を、安全余裕を持つ理由の一つとして挙げている。

ここで注意しなければならない。

HAWKへの攻撃改善
≠ 格子暗号全体が破られた
≠ ML-DSAが破られた

である。

現時点でML-DSAが破られたという事実は確認されていない。

しかし、AIによって数学的探索や暗号解析の速度が上昇する可能性がある以上、暗号設計側も「今日安全なら十分」ではなく、将来の分析能力向上を考慮する必要がある。

7. SLH-DSAはまったく異なる安全性を持つ

もう一つの署名方式であるSLH-DSAは、

Stateless Hash-Based Digital Signature Algorithm

である。

以前はSPHINCS+として知られていた。

ML-DSAが格子問題を安全性の基礎とするのに対し、SLH-DSAは主としてハッシュ関数の安全性を利用する。

したがって、

ML-DSA
   ↓
格子暗号への新攻撃
   ↓
影響を受ける可能性

SLH-DSA
   ↓
異なる数学的基盤
   ↓
同じ攻撃が直接適用できるとは限らない

という暗号学的多様性を持つ。

これはCrypto Agilityの観点でも重要である。

8. SLH-DSAの欠点――署名が大きい

SLH-DSAには明確な欠点もある。

署名サイズが大きい。

SLH-DSA-SHA2-128sの署名サイズは約7,856 bytesであり、通常の楕円曲線署名と比較すると非常に大きい。

このため、

• 少額決済
• 高頻度DeFi
• ゲーム
• 大量トランザクション

には不利である。

一方、

• Treasury
• 機関投資家資産
• Foundation資産
• 長期保管Vault
• Bridge custody

のような用途では、数KBの追加データより安全性の方が重要になる。

Suiの設計思想を単純化すると、

ML-DSA = 日常利用
SLH-DSA = 金庫

という役割分担である。

9. 最大の革新は「資産を移動せず鍵だけ移行する」こと

今回の発表で最も重要なのは、PQCアルゴリズムそのものだけではない。

通常、暗号方式を変更すると、

旧秘密鍵
↓
旧公開鍵
↓
旧アドレス

      移行

新秘密鍵
↓
新公開鍵
↓
新アドレス

となり、ユーザーは保有資産を新アドレスへ移動する必要が生じる。

大量のユーザーを対象とする場合、この移行は大きなリスクになる。

• 誤送金
• フィッシング
• ウォレット詐欺
• 秘密鍵紛失
• dApp互換性
• 移行期間中の旧鍵攻撃

などが同時に発生し得るためである。

SuiはAddress Aliasなどの仕組みを利用し、資産の所在を維持したままAuthorization Keyを更新する方向を示している。

これは非常に重要な設計である。

10. Recovery Phraseも維持できる

Suiはさらに、現在利用しているリカバリーフレーズから、耐量子署名用の鍵を決定論的に導出できるようにする。

概念的には、

Recovery Phrase
      ↓
32-byte Seed
      ↓
現在の署名鍵

      ↓

ML-DSA-65鍵

という構造になる。

つまり、ユーザーが新しいリカバリーフレーズを作成し、全資産を別ウォレットへ移動する必要を減らすことができる。

数百万単位のウォレットを将来移行させることを考えると、このユーザーエクスペリエンス上の差は極めて大きい。

11. 本質はCrypto Agility

Suiの今回の動きを理解する上で重要な概念が、

Crypto Agility（クリプト・アジリティ）

である。

これは、特定の暗号方式を永続的に信頼するのではなく、必要に応じて別の暗号方式へ安全かつ迅速に交換できる能力を意味する。

従来型では、

Blockchain
   ↓
特定署名方式に固定
   ↓
暗号危殆化
   ↓
大規模アップグレード

となる。

Crypto Agilityを重視すると、

Blockchain
   ↓
署名方式を抽象化
   ↓
Ed25519
ML-DSA
SLH-DSA
将来のPQC
   ↓
状況に応じて交換

という構造へ近づく。

金融庁のPQC報告書でも、PQC自身に将来脆弱性が発見される可能性を想定し、暗号方式を柔軟に変更できる設計を推奨している。

12. 「Sui全体が量子耐性になる」わけではない

ここはニュースを読む際に注意が必要である。

今回の主対象は、

アカウント認証・トランザクション署名

である。

コンセンサス、ネットワーク通信、Bridge、外部チェーン、ウォレット実装など、Suiエコシステム全体のすべての暗号要素が同時にPQC化されるわけではない。

したがって、

「2027年にSui全体が完全なQuantum-Safe Blockchainになる」

と表現するのは正確ではない。

より正確には、

「Suiが量子耐性アカウント署名へ移行できる能力をMainnetに持ち始める」

と理解すべきである。

13. 導入ロードマップ

現時点で示されているロードマップは以下の通りである。

ただし、これらは目標時期である。

独立監査やTestnetで重大な問題が発見された場合には変更される可能性がある。

PQCは安全性だけでなく、

• 署名サイズ
• 計算量
• メモリ
• 通信量
• Hardware Wallet
• SDK
• Bridge
• dApp

など、実装上の検証が不可欠である。

14. 米国政府もPQC移行を前倒ししている

Suiの動きは単独ではない。

米国政府も2026年、Advanced Cryptographic Attacksへの対応として連邦システムのPQC移行期限を前倒しする方向を示している。

この流れは、

従来
量子コンピュータは遠い未来
        ↓
現在
登場時期は不明
しかし暗号移行には長期間必要
        ↓
ならば先に移行準備を始める

という政策転換を意味する。

これは金融庁のPQC報告書とも整合する。

15. Suiの対応は早すぎるのか

結論として、早すぎるとは評価しにくい。

PQC移行では「Q-Dayを正確に予測する」こと自体が難しい。

金融庁資料では、Michele Moscaの考え方として、

X = 暗号システムの移行期間
Y = 保護が必要な期間
Z = CRQC登場までの期間

X + Y > Z

ならば、既に対応を開始すべきという考え方が紹介されている。

ブロックチェーンでは、資産所有権や取引履歴が極めて長期間保持される。

そのためYが長くなりやすい。

したがって、2026～2027年からPQC移行能力を整備することには合理性がある。

16. 残る技術的・運用上の課題

Suiの設計も万能ではない。

特に最後が重要である。

量子耐性機能が存在することと、ネットワーク全体が量子耐性になっていることは同義ではない。

17. 最大の実務課題はOpt-in移行

初期段階ではPQC利用は任意選択になる。

したがって、将来のSui上では、

Sui accounts
├─ ML-DSA account
├─ Ed25519 account
├─ zkLogin
├─ Passkey
└─ Legacy account

のように複数認証方式が共存する可能性がある。

CRQCが実用化した段階でも旧署名方式が大量に残っていれば、その資産は依然として危険である。

そのため、推測だが、長期的には、

1. Opt-in
2. 推奨
3. 新規Walletのデフォルト化
4. Legacy warning
5. Legacy方式の制限
6. 最終的な廃止判断

という段階的移行が必要になる可能性が高い。

Suiにとって本当の難所は、PQCコードを書くこと以上に、数百万ユーザーを安全に移行させる社会的・運用的migrationになる可能性がある。

18. CGTAによる評価

現段階では、「完全に量子耐性を達成した」と評価する段階ではない。

しかし、将来の暗号危殆化を前提に、移行可能なアーキテクチャを整え始めたことは高く評価できる。

19. 2027～2035年の5段階シナリオ

確率はCGTAによる推定であり、CRQCの実現時期には極めて大きな不確実性がある。

20. このニュースの本質

このニュースを、

「Suiが耐量子暗号を導入する」

だけで読むと、本質の半分しか見えない。

より重要なのは、

「暗号アルゴリズムそのものを永久に信頼する時代から、暗号を交換可能な部品として設計する時代へ移り始めた」

ことである。

従来は、

暗号方式
↓
固定された信頼基盤

だった。

これからは、

暗号方式
↓
交換可能なセキュリティコンポーネント

へ変化する。

量子コンピュータだけではなく、AIによる暗号解析能力が急速に向上する世界では、

「現在安全であるか」だけでなく、「安全性の前提が壊れた時にどれだけ速く交換できるか」

がブロックチェーンの新しい評価軸になる。

今回のSuiの発表で最も注目すべき点は、ML-DSAそのものより、

資産を別アドレスへ移動させず、既存アドレス・Recovery Phraseとの連続性を保ちながら認証鍵を更新するというMigration Design

にある。

これは、将来のブロックチェーンセキュリティにおける重要な設計思想の一つになり得る。

出典・情報源

1. Sui Foundation, "Making Sui Quantum Ready", 2026-08-06.
2. Google Quantum AI, "Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly", 2026-03-31.
3. NIST, FIPS 204: Module-Lattice-Based Digital Signature Standard (ML-DSA).
4. NIST, FIPS 205: Stateless Hash-Based Digital Signature Standard (SLH-DSA).
5. RFC 9909, SLH-DSA関連仕様。
6. 金融庁「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会 報告書」2024-11-26.
7. 米国政府 Executive Order 14412, "Securing the Nation Against Advanced Cryptographic Attacks", 2026.

SuiとCardanoのCrypto Agility比較――鍵交換からConsensus再設計まで

Suiの耐量子署名ロードマップを理解する際、重要なのは「PQCを導入する」という点だけではない。

Suiの本当の強みは、

暗号方式そのものを固定された信頼基盤ではなく、将来交換可能なコンポーネントとして扱おうとしていること

にある。

この観点をCardanoと比較すると、両チェーンのCrypto Agilityにはかなり異なる性格が見えてくる。

結論から言えば、

● 現在のWallet／AccountレイヤーではSuiが明確に先行

● Ledger／Smart ContractレイヤーではCardanoも非常に高い柔軟性を持つ

● Consensus暗号まで含めた長期的なCrypto AgilityではCardanoの研究範囲がより深い

という構図である。

1. SuiとCardanoのCrypto Agility比較

この表だけ見ると、Suiが現在の実装で先行している一方、Cardanoはより深いプロトコル層までCrypto Agilityを広げようとしていることが分かる。

1. SuiのCrypto AgilityはAccount Authenticationが中心

Suiのアプローチはかなり明快である。

Sui Address  
     │  
     └─ Authorization mechanism  
             │  
             ├─ Ed25519  
             ├─ Passkey  
             ├─ zkLogin  
             ├─ ML-DSA  
             └─ 将来の署名方式  

重要なのは、

AddressとAuthenticationをできるだけ切り離す

という設計思想である。

これによって、

Address  
Assets  
On-chain history  
Identity  
     │  
     └── 維持  
  
Authentication key  
     │  
     └── Ed25519 → ML-DSA  

という移行を可能にしようとしている。

量子時代に本当に難しいのは、新しい署名アルゴリズムを実装することではなく、既存ユーザーの資産を安全に移行させることである。

SuiはこのMigration Problemに正面から取り組んでいる。

1. Cardanoは現在、鍵とAddress credentialの結合が強い

CardanoではShelley系アドレスで、公開鍵そのものではなく公開鍵ハッシュがcredentialとして利用される。

概念的には、

Ed25519 verification key  
        ↓  
Blake2b-224  
        ↓  
PaymentKeyHash  
        ↓  
Address credential  

となる。

そのため、公開鍵方式を、

Ed25519  
   ↓  
ML-DSA  

に変更すると、原則として公開鍵ハッシュも変化する。

これは、

現行CardanoのKey credential構造では、同一アドレスのまま単純にEd25519からPQC署名へ交換することが難しい

ことを意味する。

したがって、Wallet migrationだけに限ればSuiの方がCrypto Agileである。

1. しかしCardanoには別のCrypto Agilityがある

CardanoをWalletの鍵交換だけで評価すると、本質を見誤る。

Cardanoの強みは、

Protocolそのものを段階的に交換してきた実績

にある。

代表例がHard Fork Combinatorである。

Byron  
 ↓  
Shelley  
 ↓  
Allegra  
 ↓  
Mary  
 ↓  
Alonzo  
 ↓  
Babbage  
 ↓  
Conway  
 ↓  
将来Era  

CardanoはLedgerルールやProtocol機能を変更しながらも、チェーン履歴を維持したままEraを移行してきた。

つまりCardanoには、

「暗号方式を交換する」という局所的なCrypto Agilityだけでなく、「Protocol構造そのものを交換する」ための基盤

が存在する。

1. Valentine UpgradeはCrypto Agilityの実例

CardanoのCrypto Agilityを示す実例の一つがValentine Upgradeである。

このUpgradeでは、Plutusへ、

● ECDSA secp256k1

● Schnorr secp256k1

の署名検証機能が追加された。

その後、BLS12-381関連の暗号プリミティブもPlutus Coreへ追加されている。

概念的には、

Plutus  
├─ Ed25519  
├─ ECDSA  
├─ Schnorr  
├─ BLS12-381  
└─ 将来の暗号プリミティブ  

という方向へ進化している。

これはCardanoが、特定の暗号方式だけに固定されず、新しい暗号プリミティブをProtocol upgradeで導入できることを示している。

1. Cardano Vision 2026ではPQC研究が一段深くなった

Cardano Vision 2026では、PQCが重要な研究テーマとして明示された。

対象は単なるWallet署名ではない。

Cardanoは、

Core cryptographic primitivesそのものをBottom-upで量子耐性方式へ置き換える

という研究方向を示している。

対象には、

● Digital Signature

● Key Evolving Signature（KES）

● Verifiable Random Function（VRF）

● Ouroboros Consensus

まで含まれる。

これはSuiのAccount Authentication中心のアプローチとはかなり異なる。

1. SuiとCardanoでは「深さ」が違う

Suiの今回のアプローチを単純化すると、

Application / Wallet  
       ↓  
Account Authentication  
       ↓  
ML-DSA / SLH-DSA  

である。

一方、Cardano Vision 2026が対象としているのは、

Wallet Signature  
       ↓  
Ledger  
       ↓  
KES  
       ↓  
VRF  
       ↓  
Ouroboros Consensus  

である。

したがって、

Suiは現在のユーザー資産をどう安全に移行するか

に重点を置き、

Cardanoはブロックチェーン全体の暗号学的前提をどう将来交換するか

に重点を置いていると整理できる。

1. VRFの量子耐性はPoSチェーンでは極めて重要

CardanoのOuroborosではVRFが重要な役割を持つ。

VRFは、誰がBlock producerとして選ばれるかを秘密裏かつ検証可能に決定するために使われる。

Wallet署名だけをPQC化しても、

Wallet Signature  
PQC  
 ✅  
  
Consensus VRF  
Quantum vulnerable  
 ❌  

では、完全なQuantum-resistant blockchainとは言えない。

そのためCardano Vision 2026では、

Post-quantum VRF

自体を研究対象としている。

これはCardanoのPQC研究がWalletレイヤーを越えていることを示す重要なポイントである。

1. KESもCardanoにとって重要

CardanoのBlock productionではKES、すなわちKey Evolving Signatureが利用される。

概念的には、

KES period 1  
↓  
KES period 2  
↓  
KES period 3  
↓  
...  

と署名鍵を時間とともに進化させる。

これにより、現在の鍵が盗まれた場合でも、過去のBlock署名まで遡って偽造されにくくするForward Securityを実現している。

しかし量子コンピュータによって現行署名方式が危殆化すれば、KES自体の安全性も再検討する必要がある。

Cardano Vision 2026では、このKESのPQC化まで研究対象に含めている。

1. CardanoのPQC研究ロードマップ

Cardano Vision 2026では、概ね以下の流れが示されている。

さらに、ZK proofを利用して既存Wallet addressを更新する方法も研究対象として示されている。

これは重要である。

Cardano最大のMigration課題である、

「Ed25519のKeyHashとAddress credentialが結び付いている」

問題を、将来的にZKなどの方法で解決しようとしている可能性があるからである。

ただし、2026-08-09時点では研究・設計段階であり、Mainnet実装済みではない。

1. SuiとCardanoは設計思想が逆方向

両者を比較すると、かなり対照的である。

Sui

まずAccountを柔軟にする  
        ↓  
Authentication abstraction  
        ↓  
鍵を交換可能にする  
        ↓  
PQCを実装  

Cardano

まず暗号学的前提を再評価  
        ↓  
Signature  
KES  
VRF  
Consensus  
        ↓  
Formal Security Proof  
        ↓  
Prototype  
        ↓  
Migration  

Suiは、

Top-down migration

に近い。

Cardanoは、

Bottom-up cryptographic redesign

に近い。

この違いは、それぞれのチェーンの開発文化をよく表している。

1. Crypto Agilityを3層に分けて比較

Crypto Agilityを3階層に分けると違いが分かりやすい。

※ CardanoのConsensus層★★★★★は、現時点で完成済みという意味ではなく、研究対象としての到達範囲を評価したもの。

実装・Mainnet導入工程の具体性だけで評価すると、

となる。

1. 現在と長期では評価が逆転する可能性がある

現在のCrypto Agility

現時点では、

Sui > Cardano

と評価するのが妥当である。

理由は明確で、

● ML-DSA-65

● SLH-DSA

● Address Alias

● Seed continuity

● 2027 Q1 Mainnet目標

まで具体化しているためである。

Suiは既に「移行工学」のフェーズに入っている。

長期アーキテクチャ

一方、長期的には、

Cardano ≥ Sui

となる可能性がある。

Cardanoは、

Wallet  
+  
Ledger  
+  
KES  
+  
VRF  
+  
Consensus  
+  
Formal Proof  

まで含むPQC frameworkを研究しているからである。

これはCrypto AgilityをWallet機能ではなく、

Blockchain architectureそのものの特性

として実装しようとする考え方である。

1. Suiの強みとCardanoの強み

1. 一言で整理すると

Suiは、

「鍵が壊れたら、ユーザー資産を動かさず鍵を交換できるBlockchain」

を目指している。

Cardanoは、

「暗号理論そのものが壊れたら、Consensusまで含めて交換できるBlockchain」

を目指している。

2026年時点ではSuiの方が実装で先行している。

しかしCardano Vision 2026を見る限り、Cardanoが目指している範囲はより広い。

最終的には、

Crypto Agility  
=  
Wallet鍵交換能力  
+  
Ledger暗号更新能力  
+  
Consensus暗号更新能力  
+  
安全なMigration能力  

として評価する必要がある。

この観点では、SuiとCardanoは競合というより、

異なる層からCrypto Agilityへアプローチしている二つの先行例

と見る方が正確である。

1. 5段階シナリオ分析

確率はCGTAによる推定であり、CRQCの登場時期やPQCアルゴリズムの将来安全性には極めて大きな不確実性がある。

1. CGTAの評価

SuiのCrypto Agilityは、

「実装可能で、ユーザーが実際に移行できる仕組み」

として現在最も具体的である。

一方Cardanoは、

「暗号学的前提そのものを交換可能にするBlockchain」

という、より根本的なCrypto Agilityを目指している。

したがって現時点では、

Migration Engineering  
Sui > Cardano  

であり、

長期的なProtocol Architectureでは、

Protocol-wide Crypto Agility  
Cardano ≥ Sui  

となる可能性がある。

重要なのは、どちらも「この暗号方式なら永久に安全」という前提を捨て始めていることである。

量子コンピュータとAI暗号解析の時代では、

安全な暗号を選ぶ能力よりも、安全でなくなった暗号を速やかに交換できる能力

の方が、ブロックチェーンの長期生存性を左右する可能性が高い。

出典・情報源

1. Sui Foundation, “Making Sui Quantum Ready”, 2026-08-06.

1. Input Output Research, “Cardano Vision 2026: the research program securing Cardano’s next era”, 2026-06-19.

1. Cardano.org, “Cardano Vision 2026”.

1. Cardano Docs, “About hard forks / Hard Fork Combinator”.

1. Cardano Docs, “Valentine Upgrade”.

1. CIP-0019, “Cardano Addresses”.

1. Plutus Core documentation, BLS12-381 built-ins.

1. NIST FIPS 204, Module-Lattice-Based Digital Signature Standard.

1. NIST FIPS 205, Stateless Hash-Based Digital Signature Standard.

1. 金融庁「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会 報告書」2024-11-26.

作成年月日：2026-08-09 JST