ECC暗号
ECC暗号は楕円曲線上の群構造を用いる公開鍵暗号方式であり、同等の安全強度をより短い鍵長で実現できる点が特徴である。基礎は有限体上の楕円曲線における点加算とスカラー倍算で、秘密値から得られる公開点の一方向性に依存する。鍵サイズが小さいため、計算資源やメモリの制約が厳しい組込み機器やモバイル環境でも低消費電力で動作しやすい。TLS 1.3 の鍵交換や電子署名、ブロックチェーンのトランザクション署名など、現代の多くのプロトコルで広く採用されている。
原理：楕円曲線と離散対数問題
有限体𝔽pや𝔽2^m上の楕円曲線Eは、方程式y^2=x^3+ax+b（特性2では別形）で定義され、点加算と無限遠点𝒪を含むアーベル群をなす。秘密鍵dと基点Gに対し、公開鍵Q=dGを計算する操作は容易だが、QとGからdを復元することは楕円曲線離散対数問題（ECDLP）として困難と信じられている。ECC暗号の安全性はこの困難性に基づき、選んだ曲線の構造（位数、コファクタ、サブグループ）が脆弱性を生まないよう慎重に設計・選定される。
主要アルゴリズム（ECDH・ECDSA・ECIES）
鍵共有にはECDH（特にエフェメラルなECDHE）が用いられ、双方の秘密スカラーと相手の公開点から共通鍵を導出する。電子署名にはECDSAが用いられ、乱数ノンスkの一意性と秘匿性が安全性の要となる（使い回しや漏洩は秘密鍵破綻に直結するため、実装では決定論的k生成（RFC 6979）や良質な乱数源を採る）。ハイブリッド暗号のECIESは楕円曲線で共有したセッション鍵を共通鍵暗号に供給し、高速なデータ暗号化を実現する。いずれも短い鍵長で高い安全性と通信オーバーヘッド削減を両立するため、ECC暗号の代表的適用先である。
安全性と鍵長の目安
一般にECCの256-bit級（例：P-256）はRSAの約3072-bit級に相当する安全強度を持つと扱われ、384-bit級（P-384）や521-bit級（P-521）は更に高い強度を提供する。これは素因数分解よりもECDLPに対する既知の汎用アルゴリズムの計算量が大きいことに由来する。ただし実際の安全度は曲線選定、実装品質、プロトコル運用（鍵更新間隔や乱数品質、証明書管理）などに強く依存し、ECC暗号の利点を損なわないためには総合的な設計が不可欠である。
曲線の選定と標準曲線
実運用ではNISTのsecp256r1（P-256）、secp384r1（P-384）、secp521r1（P-521）などが広く使われる。高速実装と安全性のバランスからCurve25519（X25519）やEd25519も普及し、鍵共有や署名で定番となった。曲線選定では、位数が大きい素因数を持つこと、コファクタが小さいこと、既知攻撃に対する脆弱性（異常曲線攻撃、MOV還元、サイドチャネル誘発要因）がないことなどを確認する。パラメータ生成の「剛性」（説明可能性）や実装の容易さも、ECC暗号を採用する際の重要な判断軸である。
実装の要点とサイドチャネル対策
楕円曲線演算は分岐やメモリアクセスのパターンが秘密情報に依存するとサイドチャネル漏洩を招く。定数時間実装、Montgomery ladder、座標系（アフィン/射影）の適切選択、スカラーやポイントのブラインディングなどで微小な漏洩を抑える。また受信した公開点が曲線上にあるか、正しいサブグループに属するかを必ず検証し、小サブグループ攻撃やフォールト注入を防ぐ。ECDSAではノンスkの再利用回避と高品質生成が最重要で、これを怠るとECC暗号の強度を一挙に失う。
性能と適用領域
ECC暗号は短い鍵・署名で通信サイズを抑え、ハンドシェイク時間や計算量を削減できるため、IoTデバイス、スマートカード、モバイル端末に適する。TLS 1.3 ではX25519やP-256が一般的で、FIDO2/WebAuthnの認証器、Bluetooth LEのセキュア接続、各種組込みブートの署名検証などで使用される。ブロックチェーン分野ではsecp256k1やEd25519系の署名が広く使われ、検証の高速性と鍵管理の容易さがスケーラビリティに寄与する。
耐量子計算と移行戦略
巨大な量子計算機が実現すればShorのアルゴリズムによりECDLPは破られると予想され、長期秘匿性が求められる用途ではポスト量子暗号（PQC）への移行計画が必要となる。現状ではPQCの標準化・実装整備が進みつつあり、暫定的にECCとPQCを併用するハイブリッド鍵交換・署名が実務上の解として採られることが多い。移行では証明書チェーン、鍵保管、相互運用、性能劣化の評価を含む全体設計が求められるが、当面は成熟したECC暗号を適材適所に用いつつ段階的に置換する方針が現実的である。
代表的パラメータと実務の勘所
現在主流は素数体𝔽p上の曲線で、P-256はa=-3のWeierstrass形を採る。一方でCurve25519/Ed25519はMontgomery/Edwards形を用い、高速かつ実装安全性に配慮した設計である。座標圧縮（x座標＋符号）により鍵や署名の転送サイズを抑えられるが、復元や検証の手順を正しく実装することが前提となる。実務ではライブラリの成熟度、ハードウェアアクセラレーションの有無、証明書やプロトコルの既定曲線サポートを総合評価し、自組織の脅威モデルと運用要件に適合するECC暗号の採用計画を立てるべきである。