暗号分野の難関国際会議Crypto 2026にNTTグループから28件採択

2026年8月17日～20日にアメリカ・サンタバーバラで開催される暗号理論分野の難関国際会議Crypto 2026において、NTTグループから28件の論文が採択されました。採択論文は以下の通りです。

なお、所属として略称で書かれている研究所名は、以下の通りです。（所属は投稿時点）
　CIS: NTT Research暗号情報理論研究所

＜NTT社会情報研究所より採択された論文　11件＞

■The Impossibility of Post-Quantum Public Indifferentiability for Merkle-Damgard（Merkle-Damgard構造の耐量子public indifferentiability性の不可能性）

細山田 光倫 准特別研究員

SHA-256やSHA-512で用いられているMerkle-Damgard構成は、電子署名やデータ改ざん検知を支えるハッシュ関数の代表的な構成法です。Merkle-Damgard構成は public indifferentiability という性質を満たすことが知られています。この性質により、一定の条件の下では、Merkle-Damgard構成を理想的に安全なハッシュ関数と同様に扱えることが正当化されます。耐量子public indifferentiabiliyとは、この考え方が量子計算機を使う攻撃者に対しても成り立つかを問うものです。本研究では、Merkle-Damgard構成が耐量子public indifferentiabilityを充たさないことを示しました。本成果は、量子計算機時代にも電子署名や改ざん検知を安心して使い続けるために、ハッシュ関数をどのように評価し直すべきかを明らかにするものです。

■Key Recovery Attacks on UOV Using p^l-truncated Polynomial Rings（p^l切詰め多項式環を用いたUOVへの鍵回復攻撃）

古江 弘樹 研究員、池松 泰彦（九州大学）

UOVは、短い署名と高速な処理を特長とし、米国国立標準技術研究所（NIST）の耐量子計算機暗号標準化プロジェクトの追加署名候補のひとつとして選定されている耐量子電子署名方式です。電子署名方式では一般に、公開鍵や署名から秘密鍵を回復できないことが安全性の大前提になります。本研究では、p^l切詰め多項式環という数学的な道具を用いて、UOVの秘密鍵を復元する鍵回復攻撃をより広い形で解析しました。その結果、UOVの複数の提案パラメータにおいて、従来主張されていた安全性を下回る場合があることを示しました。本成果は、耐量子電子署名の安全な設計方針を示すとともに、NIST標準化における方式選定にも影響を与える重要な知見です。

■Key Committing Security of HCTR2, Revisited（HCTR2の鍵コミット安全性の再検討）

Donghoon Chang（FWI / NIST Associate）、Yu Long Chen（KU Leuven）、平賀 幸仁（電気通信大学）、峯松 一彦（日本電気 / 大阪大学）、Nicky Mouha（KeyCryptic）、内藤 祐介（三菱電機）、佐々木 悠 特別研究員（社会研 / NIST Associate）、菅原 健（電気通信大学）

HCTR2は任意長の平文を暗号化する共通鍵暗号方式で、米国国立標準技術研究所（NIST）で標準化検討が進むCryptographic Accordionの有力候補です。平文にゼロを付与して暗号化を行い、復号時に付与したゼロが正しく復元されたことを検証することで認証暗号として利用できます。このような利用における重要な安全性のひとつが、異なる鍵から同じ暗号文が作られることを防ぐ鍵コミット安全性です。この性質が弱いと、「他のユーザが生成した暗号文は、鍵を知らない第三者には再現できない」という性質を安全性の根拠とした利用法で問題になります。本研究では、HCTR2認証暗号の鍵コミット安全性を解析し、ゼロを付与する位置に応じて従来の攻撃法を改良することに成功しました。また、鍵コミット安全性に対する初の安全性証明に成功しました。本成果はNISTの標準暗号の決定プロセスに大きく影響を与える成果です。

■Generic Committing Attacks: Zero-Padded Ascon is Less Secure than Expected（汎用コミット攻撃：ゼロパディング利用時のAsconの想定よりも低い安全性）

Nilanjan Datta（Institute for Advancing Intelligence, TCG CREST）、Hrithik Nandi（Institute for Advancing Intelligence, TCG CREST / Ramakrishna Mission Vivekananda Educational and Research Institute）、Soumit Pal（Indian Statistical Institute）、佐々木 悠 特別研究員（社会研 / NIST Associate）、Patrick Struck（University of Konstanz）、Maximiliane Weishäupl（University of Regensburg）

Asconは、米国国立標準技術研究所（NIST）で標準化された軽量認証暗号です。Asconを安全に利用するためには、異なる鍵から同じ暗号文が作られないことを保証する鍵コミット安全性と、その拡張が重要です。この安全性を考える上で、Asconが採用するスポンジ構造と3つの鍵マスクが重要な要素となります。さらに、平文にゼロを付与して暗号化し、復号時にゼロが正しく復元されたことを検証するゼロパディング法によって、安全性を高めることができます。本研究では、各鍵マスクとゼロパディングの組み合わせについて、コミット安全性を網羅的に解析しました。その結果、ゼロを付与する位置によっては従来の安全性証明が成立しないこと、また、特定の組み合わせでは、鍵マスクの使用によってコミット安全性が弱くなる場合があることを明らかにしました。本成果は、認証暗号を実システムにおいて安全に利用する方法を検討する際の指針となります。

■A Unified Approach to Quantum Key Leasing with a Classical Lessor（古典的貸与者による量子鍵リースの統一的構成）

北川 冬航 特別研究員、Jiahui Liu（Fujitsu Research）、山田 翔太（産業技術総合研究所）、山川 高志 上席特別研究員

Secure Key Leasingは、量子技術を応用した革新的な高機能暗号技術であり、暗号に使う秘密鍵を一定期間だけ貸し出し、利用後に鍵が削除されたことを確認できるようにする技術です。これは、クラウド上の権限、ソフトウェアライセンス、署名権限などを「貸すが、返却後は使えない」形で管理する将来技術につながります。従来は、鍵を貸す側にも量子計算機が必要になる場合や、使える暗号機能が限られることが課題でした。本研究では、貸す側は通常の古典計算機だけを使い、既存の古典通信路のみで借りる側との鍵の貸し出しと返却確認を行える統一的な方法を提案しました。さらに、暗号化だけでなく電子署名などにも適用できることを示しました。本成果は、量子技術を使った安全な権限管理の実用範囲を広げるものです。

■Maskaglia: A New, Efficient Approach to Masked Discrete Gaussian Sampling（Maskaglia：マスキング対策に適した離散ガウス分布の新たな生成手法）

Calvin Abou Haidar ポスドク、Thomas Espitau（PQShield）、Clément Hoffmann ポスドク、Mehdi Tibouchi 特別研究員

離散ガウス分布の生成は、格子暗号に基づく多くの耐量子計算機暗号方式で用いられる重要な乱数生成処理です。暗号を実際の機器で動かすと、処理中の消費電力や計算時間のわずかな違いから秘密情報が漏れるおそれがあるため、計算の中身を隠す「マスキング対策」が必要になります。しかし、離散ガウス分布生成を対象に従来方式でのマスキング対策を適応すると処理が重くなることが課題でした。本研究では、新手法「Maskaglia」を提案し、マスキングされた離散ガウス分布の生成を大幅に効率化しました。米国国立標準技術研究所（NIST）の標準化プロジェクトの追加署名候補の有力な方式のひとつであるHAWKに適用した場合、既存手法に比べて必要な演算量を大きく削減できることを示しました。本成果は、耐量子計算機暗号をスマートカードや小型機器などで安全かつ高速に動作させるための基盤となります。

■Anonymous Public-key Quantum Money and Universally Verifiable Quantum Voting（匿名公開鍵量子マネーと普遍的検証可能量子投票）

Alper Çakan（Carnegie Mellon University）、Vipul Goyal（NTT Research / Carnegie Mellon University）、山川 高志 上席特別研究員

量子マネーは、量子情報が簡単にはコピーできない性質を利用して、偽造できない現金の実現を目指す革新的な量子暗号技術です。しかし従来の量子マネー方式では、紙幣番号のような情報によって、誰がどこで使ったかを追跡されるおそれがありました。本研究では、匿名公開鍵量子マネーとして、誰でも正しい現金かを確認できる一方で、利用者のプライバシーを守れる方式を提案しました。必要に応じて当局が追跡できる方式と、当局を含め誰も追跡できない方式の双方を示しています。さらに、この考え方を投票に応用し、投票内容の正しさを確認しつつ、投票者の秘密を守る量子投票方式も提案しました。本成果は、偽造防止とプライバシー保護を両立する将来のデジタル価値・投票基盤に向けた理論的基盤となります。

■Multi-Copy Security in Quantum Cryptography and More（量子暗号における複数コピー安全性）

Alper Çakan（Carnegie Mellon University）、Vipul Goyal（NTT Research / Carnegie Mellon University）、北川 冬航 特別研究員、西巻 陵 特別研究員、山川 高志 上席特別研究員

量子暗号では、量子情報がコピーしにくい性質を利用して、偽造できない量子マネーやコピーできない鍵を作る研究が進んでいます。従来は、1つの量子情報だけが攻撃者に渡る場合を中心に安全性が調べられてきました。しかし実際のサービスでは、多数の量子マネーや量子鍵が同時に発行され、複数の利用者が結託して不正を試みる可能性があります。本研究では、このような複数コピー安全性を満たす方式を作るための一般的な変換方法を提案しました。これにより、量子マネー、量子鍵、コピー防止技術などを、多数の利用者が同時に扱う場面でも安全に設計する道筋を示しました。本成果は、量子マネー・量子鍵・コピー防止技術を実サービスへ近づけるための基礎的成果です。

■Separating Non-Interactive Classical Verification of Quantum Computation from Falsifiable Assumptions（量子計算の非対話型古典検証と反証可能仮定の分離）

Mohammed Barhoush（Université de Montréal）、森前 智行（京都大学）、西巻 陵 特別研究員、山川 高志 上席特別研究員

将来、量子計算機をクラウド上で利用するようになると、利用者は自分の手元に量子計算機を持たなくても、量子計算機が出した答えや証明が正しいかを確認できる必要があります。量子計算の非対話型古典検証とは、通常の古典計算機を持つ利用者が、量子計算機と何度もやり取りせずに、その計算結果を検証することを目指す技術です。反証可能仮定とは、現在の暗号で広く使われているような、間違っていれば具体的な反例を示せるタイプの安全性の前提です。本研究では、このような標準的な前提だけから、量子計算の非対話型古典検証を作ることは難しいことを示しました。本成果は、量子クラウドを安心して使うための検証技術について、実現可能な研究開発の方向を見極める手がかりとなります。

■A Unifying Umbrella for Circular-Secure Cryptographic Primitives（循環安全な暗号プリミティブの統一的枠組み）

北川 冬航 特別研究員、松田 隆宏（産業技術総合研究所）

暗号システムでは、秘密鍵そのものや秘密鍵に関係する情報を、同じ暗号システムの中で扱わざるを得ない場合があります。例えば、鍵をバックアップしたり、複数の暗号部品を組み合わせたりする場面では、通常の安全性だけでは十分とは限りません。循環安全性とは、このように秘密鍵そのものや秘密鍵から作られる情報を暗号化する場合でも、安全性が保たれることを求める性質です。本研究では、一見異なる複数の循環安全な暗号プリミティブが、本質的には互いに変換可能な共通の構造を持つことを示しました。本成果は、複雑な暗号システムを個別に作り分けるのではなく、共通の基盤から安全に設計するための理論的な道筋を与えるものです。

■Is the Hard-Label Cryptanalytic Model Extraction Really Polynomial?（ハードラベル設定の暗号学的モデル抽出は本当に多項式時間か?）

伊東 燦（東北大学）、三浦 尭之 研究員、藤堂 洋介 特別研究員

深層ニューラルネットワーク（DNN）は、画像分類や自然言語処理などで広く使われており、学習済みモデルは企業や研究機関にとって重要な知的資産です。本研究は、暗号解読で入出力から秘密鍵を推定するように、AIへの問い合わせと応答から内部モデルを推定する攻撃を解析したものです。AIが最終的な分類結果だけを返す利用形態（ハードラベル）でも、既存研究では内部モデルを効率的に推定できるとされていましたが、本研究では、深いDNNではその前提が崩れ、従来攻撃が現実的な時間で進まない場合があることを示しました。さらに、層同士の関係を利用して推定を進める新たな攻撃手法も提案しました。本成果は、AIモデルを知的資産として守るために、暗号学的モデル抽出攻撃がどこまで現実的で、どこに防御の着眼点があるかを明らかにするものです。

＜NTT Researchから採択された論文　17件＞

CIS: Cryptography & Information Security Laboratories, NTT Research

■Incrementally Verifiable Computation without Extraction
（抽出を用いない逐次検証可能計算）

・Abhishek Jain （CIS, Johns Hopkins University）, Surya Mathialagan （CIS）, Brent Waters（CIS, The University of Texas at Austin）

■How to use Polynomially-Hard iO: Turing Machine Obfuscation and More
（多項式時間硬度な識別不可難読化の利用法：チューリングマシンの難読化及びその拡張）

・Jesko Dujmovic （Northeastern University）, Yao-Ching Hsieh （University of Washington）, Abhishek Jain （CIS, Johns Hopkins University）, Willy Quach （CISPA Helmholtz Center for Information Security）

■Adaptive NIKE for Unbounded Parties
（無制限の参加者に対する適応的非対話型鍵交換）

・Shafik Nassar （The University of Texas at Austin）, Brent Waters （The University of Texas at Austin, CIS）

■From NIZK Arguments to ZAPs, Generically
（NIZK論証からZAPへの一般的構成）

・Anish Banerjee （The University of Texas at Austin）, Brent Waters（The University of Texas at Austin, CIS）, David J. Wu （The University of Texas at Austin）

■A New Approach to Arguments of Quantum Knowledge
（量子知識論証への新たなアプローチ）

・James Bartusek （Columbia University）, Ruta Jawale （University of Illinois Urbana-Champaign）, Justin Raizes（CIS）, Kabir Tomer （University of Illinois Urbana-Champaign）

■Non-Trivial Zero-Knowledge Implies One-Way Functions
（一方向性関数を含意する非自明なゼロ知識性）

・Suvradip Chakraborty （Visa Research）, James Hulett （University of Illinois Urbana-Champaign）, Dakshita Khurana （University of Illinois Urbana-Champaign, CIS）, Kabir Tomer （University of Illinois Urbana-Champaign）

■Suffix-Invariant Programmable PRFs and Applications to Stacked Garbling
（接尾辞不変なプログラム可能PRFとその積層ガーブリングへの応用）

・Vipul Goyal （CIS）, David Heath （University of Illinois Urbana-Champaign）, Abhishek Jain （CIS, Johns Hopkins University）, Yibin Yang （CIS）

■Pairing-Based Registered ABE for Boolean Formulas with a Linear-Size CRS
（線形サイズCRSを用いたブール論理式向けペアリングベース登録型属性ベース暗号）

・Roy Stracovsky （Georgia Institute of Technology）, Brent Waters （The University of Texas at Austin, CIS）, David J. Wu （The University of Texas at Austin）

■How to Delete Without a Trace: Certified Deniability in a Quantum World
（痕跡を残さず削除する方法：量子世界における認証付き否認可能性）

・Alper Çakan （Carnegie Mellon University）, Vipul Goyal （CIS, Carnegie Mellon University）, Justin Raizes （Carnegie Mellon University）

■Dishonest-Majority Secure Computation via PIR-Authenticated Multiplication Triples
（PIR認証乗算トリプルを用いた不正多数派セキュア計算）

・Elette Boyle （CIS, Reichman University）, Niv Gilboa （Ben-Gurion University of the Negev）, Matan Hamilis （Reichman University）, Yuval Ishai （Technion - Israel Institute of Technology）, Ariel Nof （Bar-Ilan University）

■Fast PCGs for Batch-Authenticated Multiplication Triples
（バッチ認証付き乗算トリプルのための高速PCG）

・Elette Boyle （CIS, Reichman University）, Niv Gilboa （Ben-Gurion University）, Matan Hamilis （Reichman University）, Yuval Ishai （Technion - Israel Institute of Technology）, Ariel Nof （Bar-Ilan University）

■Uncloneable Cryptography in Linear Quantum Memory
（線形量子メモリにおける複製不可能暗号）

・Andrew Huang （Massachusetts Institute of Technology）, Omri Shmueli （CIS）, Vinod Vaikuntanathan （Massachusetts Institute of Technology）, Mark Zhandry （Stanford University）

■Round-Optimal Threshold Blind Signatures without Random Oracles
（ランダムオラクルを用いないラウンド最適な閾値ブラインド署名）

・Georg Fuchsbauer （TU Wien）, Fabian Regen （TU Wien）, Hoeteck Wee （CIS）

■Unique SNARGs with Adaptive Security: Constructions and Black-Box Separations
（適応的安全性を持つユニークSNARG：構成とブラックボックス分離）

・Cody Freitag （Northeastern University, Hebrew University of Jerusalem）, Daniel Wichs （Northeastern University, CIS）

■Unbounded Broadcast and KP-ABE with Sublinear Ciphertext from Pairings
（ペアリングに基づく劣線形暗号文を持つ無制限ブロードキャスト暗号およびKP-ABE）

・Junichi Tomida （CIS）, Hoeteck Wee （CIS）

■Achieving Shannon Capacity for Computationally Bounded Errors
（計算量的に制限された誤りに対するシャノン容量の達成）

・George Lu （University of Texas at Austin）, Jad Silbak （Massachusetts Institute of Technology）, Daniel Wichs （Northeastern University, CIS）

■Public-Key Quantum Fire and Key-Fire From Classical Oracles
（古典的オラクルに基づく公開鍵量子ファイアおよび鍵ファイア）

・Alper Çakan （Carnegie Mellon University）, Vipul Goyal （CIS, Carnegie Mellon University）, Omri Shmueli （CIS）

本会議の議事録は、SpringerのLecture Notes in Computer Science（LNCS）に掲載されています。NTTのR&Dでは引き続き、暗号技術の研究開発を通じて、安心・安全なサービスの実現に貢献していきます。