古典的なビット暗号化を有するＱＫＤ
【課題】ＱＫＤステーションであるアリスとボブ(１０)を有する量子鍵配送（ＱＫＤ）システムの安全を強化するための方法を示す。
【解決手段】この方法は、真の乱数発生器（ＴＲＮＧ）によって生成され偏光又は位相変調器に送られた鍵ビットを暗号化して、アリスとボブ(１０)によって共有される量子ビットとしての弱い光パルスを符号化することを含む。鍵ビット暗号化は、共有パスワードとストリーム暗号を用いて実現される。ボブは、同じ暗号ストリームと共有パスワードを利用することで、アリス(１０)によって用いられた元の鍵ビットの少なくとも一つのサブセットを得る。
【解決手段】この方法は、真の乱数発生器（ＴＲＮＧ）によって生成され偏光又は位相変調器に送られた鍵ビットを暗号化して、アリスとボブ(１０)によって共有される量子ビットとしての弱い光パルスを符号化することを含む。鍵ビット暗号化は、共有パスワードとストリーム暗号を用いて実現される。ボブは、同じ暗号ストリームと共有パスワードを利用することで、アリス(１０)によって用いられた元の鍵ビットの少なくとも一つのサブセットを得る。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、量子暗号化に関し、特に、古典的な暗号化を量子鍵配送プロセスに付加することによって、量子鍵配送（ＱＫＤ）システムの安全を強化するシステム及び方法に関連しており、さらにそれらシステム及び方法について産業上の利用性を有している。
【背景技術】
【０００２】
量子鍵配送は、「量子チャネル」越しに送信された弱い光信号（例えば、平均で０．１フォトン）を用いて、送信者（「アリス」）と受信者（「ボブ」）との間で、鍵を設定することに関係する。鍵配送の安全性は、不確定状態にある量子系はどれでも測定するとその状態を変えるという、量子力学の原則に基づいている。結果として、量子信号を妨害あるいは測定しようとする盗聴者（「イブ」）は、送信信号にエラーを引き起こしてしまうため、その存在が明らかになる。
【０００３】
量子暗号の一般的な原則は、ベネットとブラッザールの論文（非特許文献１参照）の中で初めて発表された。具体的なＱＫＤシステムは、ベネットの論文（非特許文献２，３参照）に記載されている。
上述の文献は、それぞれ、いわゆる「一方向」型ＱＫＤシステムについて述べている。一方向型ＱＫＤシステムとは、アリスが単一光子の偏光又は位相をランダムに符号化して、ボブがそれら光子の偏光又は位相をランダムに測定するものである。非特許文献３に述べられている一方向型システムは、二光束マッハ・ツェンダー干渉計に基づいている。アリス及びボブは、各々が干渉計の位相を制御できるように、干渉システムの各部にアクセス可能となっている。アリスからボブに送られる信号（パルス）は、時間多重分割されて異なる経路をたどる。その結果、干渉計は、熱的ドリフトを補償するために、伝送中は数十ナノ秒内で動的に安定する必要がある。
【０００４】
ギシンの特許文献１（以下、‘２３４特許と称す）では、偏光や熱ゆらぎを自動補正する、いわゆる「双方向」型ＱＫＤシステムについて開示されている。このように、‘２３４特許の双方向型ＱＫＤシステムは、一方向型システムに比べて環境の影響を受けにくい。
ＱＫＤを実行する一般的なプロセスは、ボーミスターの著作（非特許文献４参照）に記載されている。ＱＫＤプロセス中は、アリスは真の乱数発生器(ＴＲＮＧ)を用いて、基底（「基底ビット」）のためのランダム・ビットと鍵(「鍵ビット」)のためのランダム・ビットとを発生させ、それによって、量子ビットを作り出して(例えば、偏光又は位相符号化を用いて)それをボブに送る。
【特許文献１】米国特許第６，４３８，２３４号公報
【非特許文献１】Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒｓ、Ｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，１９８４，ｐｐ．１７５−１７９（ＩＥＥＥ、Ｎｅｗ Ｙｏｒｋ，１９８４）
【非特許文献２】Ｅｘｐｅｒｉｍｅｎｔａｌ Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ
【非特許文献３】Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ Ｕｓｉｎｇ Ａｎｙ Ｔｗｏ Ｎｏｎ-Ｏｒｔｈｏｇｏｎａｌ Ｓｔａｔｅｓ， Ｐｈｙｓ. Ｒｅｖ. Ｌｅｔｔ． ６８３１２１(１９９２)
【非特許文献４】Ｔｈｅ Ｐｈｙｓｉｃｓ ｏｆ Ｑｕａｎｔｕｍ Ｉｎｆｏｒｍａｔｉｏｎ， Ｓｐｒｉｎｇｅｒ-Ｖｅｒｌａｇ ２００１， ｉｎ Ｓｅｃｔｉｏｎ２.３， ｐａｇｅｓ２７-３３
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＱＫＤは理論的には安全なのであるが、ＱＫＤを実際に実行すると、盗聴者が鍵ビットに関する情報を入手するいくつかの方法を許してしまう。例えば、一つの光子における鍵ビットの値を符号化するためには、電磁放射を行う高速な電子機器回路が必要になる。この放射は、盗聴者のいわゆる「サイド・チャンネル攻撃」によって測定可能である。位相変調器は実際に十分に測定可能な電磁放射を行うので、位相符号化されたＱＫＤにとっては、この攻撃は深刻な問題となり得る。第２に、盗聴者は、ファイバ内の伝送をモニタすることによって、鍵についての部分的な情報を得るかもしれない。このことは、多光子パルスが弱いコヒーラント源によって生成される場合に起こる。盗聴者は、伝送にエラーを起こさせることなく、このようなパルスを測定可能である。第３に、盗聴者は、位相変調器の状態についての情報を得るために、タイミングをとった探索パルスを用いて、いわゆる「トロイの木馬攻撃」をアリスに仕掛けることができるかもしれない。
【課題を解決するための手段】
【０００６】
下記に詳細に説明するように、本発明の第一の見地は量子鍵配送(ＱＫＤ)を実行する方法である。この方法は、鍵ビットのランダム・セットを生成すること、鍵ビットを暗号化すること、そして暗号化された鍵ビットを用いて暗号化された量子ビットを形成することを含む。
【０００７】
本発明の第二の見地は、ＱＫＤを実行する方法である。この方法は、第１ステーションにおいて、鍵ビットのランダム・セットを生成すること、ストリーム暗号(例えば、ＣＴＲモードのＡＥＳ-２５６)によってパッド(パスワード)を生成すること、鍵ビットとパッドを排他的論理和演算して暗号化された鍵ビットを得ること、暗号化された鍵ビットを用いて弱い光パルスを変調して、暗号化された量子ビットを生成することを含む。
【０００８】
本発明の第三の見地は、本発明の第二の見地に関連しており、第１ＱＫＤステーションに光学的に連結された第２ＱＫＤステーションにおいて、下記の行為を行うことをさらに含む。暗号化された量子ビットをランダムな基底を用いて測定すること、測定された暗号化された量子ビットとパッドを排他的論理和演算することで、測定された暗号化された量子ビットから鍵ビットの少なくとも一つのサブセットを復帰させることである。本発明のこれら及び他の見地は下記に述べられる。
【発明を実施するための最良の形態】
【０００９】
図１は、送り側ステーション・アリスと受け手側ステーション・ボブを有する一方向型ＱＫＤシステム１０の概略図である。アリスとボブは、より一般的にはしばしばＱＫＤステーションと言われる。アリスは、ＴＲＮＧ３０とそれに接続された暗号化／解読（ｅ／ｄ）モジュール４０を有するコントローラ２０を含んでいる。アリスは、さらに、光学的放射線源５０(例えば、レーザ)と、その下流に配置されてさらに光学的に連結された偏光又は位相変調器ＰＭ１を有している。ＰＭ１はｅ／ｄモジュール４０に機能的に連結され、レーザ５０はコントローラ２０に機能的に連結されている。一実施例では、光学的放射線源５０は、光パルスの強度を減じる減衰器を含んでおり、そのために強度は「弱く」、つまり、単一光子レベル以下になっている。一実施例では、光学的放射線源は単一光子源である。
【００１０】
ボブは、ＴＲＮＧ１３０とｅ／ｄモジュール１４０を有するコントローラ１２０を含んでいる。一実施例では、ＴＲＮＧ１３０及びｅ／ｄモジュール１４０は互いに連結されており、そのためＴＲＮＧ１３０で生成されボブ用の基底ビットとして用いられる乱数は、ｅ／ｄモジュール１４０にも記憶され得る。ボブは、単一光子検出器１５０と、その上流に配置されてさらに光学的に連結された偏光又は位相変調器ＰＭ２をさらに含んでいる。ＰＭ２はＴＲＮＧ１３０に機能的に連結され、検出器１５０はｅ／ｄモジュール１４０に機能的に連結されている。
【００１１】
ボブとアリスは機能的に量子コミュニケーション・リンク(チャンネル)２００によって連結され、このリンクは一実施例では光ファイバである。さらに一実施例では、アリスのコントローラ２０とボブのコントローラ１２０は、システム１０の動作のタイミングを取ったり同期を取ったりするために、又はボブとアリスの間で情報をオープンにやりとりするために、公共のコミュニケーション・リンク(チャンネル)２２０を介して機能的に連結されている。例えば、暗号化された基底ビットは、アリスからボブにチャンネル２２０を介して送られ得る。一実施例では、ｅ／ｄモジュール４０及び／又は１４０は、下記に述べる本発明の方法を実行するためのコントローラ２０，１２０で実行可能なインストラクションを含む暗号化ソフトウェアが実現されたコンピュータによる読み取り可能な媒体を含む。
【００１２】
図１の参照を続けると、ＱＫＤシステム１０のようなＱＫＤシステムの正常な動作では、量子ビットがコントローラ２０によってアリスとボブの間で交換され、レーザ５０に弱い(例えば、〜０．１フォトンの)光パルスを発射させる。コントローラ２０は次に基底及び鍵ビットをＴＲＮＧ３０を介して(又は別の例では２つのＴＲＮＧ３０を介して）ＰＭ１に供給して、弱いパルスをランダムに符号化する。ボブでは、コントローラ１２０はさらにＰＭ２にランダムに基底を選択させ(ＴＲＮＧ１２０を介して）、被変調量子ビットを検出器１５０で測定及び検出させる。
【００１３】
しかし、上述したように、このＱＫＤプロセスには安全に関する潜在的な欠点がある。この欠点に取り組むために、本発明はさらに、アリスの位相変調器状態を各量子ビットのために設定するのに用いられる、少なくともＴＲＮＧ３０からの鍵ビットを、ｅ／ｄモジュール４０を用いて(例えば、ソフトウェアレベルで)暗号化する。これによって、「暗号化された量子ビット」がボブに送られる。
【００１４】
本発明はさらに、ボブによって受信された暗号化された量子ビットから、対応する鍵ビットのセットを、ｅ／ｄモジュール１４０を用いて復帰させることを含んでいる。下記に述べるように、鍵ビットの「対応するセット」は、通常は、暗号化された量子ビットが量子チャンネル２００を通過する際の損失によって、鍵ビットの元のセットのサブセットである。
【００１５】
アリスの鍵ビットを暗号化する方法は、図２及び３に例示されている。基底のためにＴＲＮＧ３０から、ｂ１，ｂ２，・・・，ｂｉ，・・・，ｂｎビットと、量子ビットの一セットを形成するためにｋ１，ｋ２，・・・，ｋｉ，・・・ｋｎビットがもたらされていると推定してみる。一実施例では、２つのＴＲＮＧ３０が用いられて、基底及び鍵ビットをそれぞれ別に生成する。
【００１６】
本発明の一実施例では、鍵ビットの値ｋｉは、ｅ／ｄモジュール３０によってストリーム暗号(例えば、ＣＴＲモードのＡＥＳ)を用いて暗号化される。これを行うため、ボブとアリスは予め決められたパスワードを共有していなければならない。量子チャンネル２００で失われる量子ビットがあるので、ストリーム暗号が必要になる。伝送中の量子ビットの損失は他のタイプの暗号の使用を妨げる。
【００１７】
アリスとボブがパスワードＰを共有していると推定してみる。一実施例では、パスワードＰは、ＱＫＤによって生成されたそれらの鍵の断片を用いて作り出される。他の実施例では、パスワードＰは、安全なクーリエ又はディフィーヘルマン・プロトコルといった周知の方法の一つを用いて作り出される。一実施例では、アリスとボブは選択されたレートでパスワードＰを更新するのに同意している。このパスワードを有することで、アリスとボブはストリーム暗号を用いることでパッドｐ１，ｐ２，・・・ｐｉ，・・・，ｐｎを作り出すことができる。
【００１８】
パッドが生成されると、次にアリスはｅ／ｄモジュール３０内で「排他的ＯＲ(ＸＯＲ)動作」を実行する。
ｋｉ ＸＯＲ ｐｉ ＝ ｃｉ
アリスは、さらに、一つの量子ビットにおけるｃｉを（ｋｉではなく）符号化するために自らの位相変調器ＰＭ１を設定する。このプロセスは、図３のフロー図に例示されている。この結果は、ここで「暗号化された量子ビット」又は「符号化された量子ビット」と呼ばれるものである。
【００１９】
ボブがランダムに変調されたＰＭ２と検出器１５０を用いて暗号化された量子ビットを測定すると、ボブはｃ*ｉの値を得る。この値は、量子チャンネル２００内での損失によって伝送中に失われる量子ビットが通常あるため、ｃｉのサブセットであることが多い。一実施例では、ｃ*ｉはｅ／ｄモジュール１４０に記憶される。
図４のフロー図に例示するように、暗号化された量子ビットから対応する鍵ビットｋ*ｉを復帰させるため、ボブはこれらのビットをｅ／ｄモジュール１３０でパッドｐｉを用いて次のような排他的論理和演算を行う必要がある。
【００２０】
ｋ*ｉ＝ｃ*ｉ ＸＯＲ ｐｉ
鍵ビットのセットｋ*ｉは、量子チャンネル２００を通過する際の暗号化された量子ビットの損失によって、通常は元の鍵ビットのセットのサブセットである。
この時点で、ボブとアリスは標準ＱＫＤ手続きを実行する(例えば、ふるいかけ、エラー訂正、プライバシ増幅)。後者の手続き中に送られる全ての情報は、ストリーム暗号より低くない暗号化強度の暗号によって暗号化されるのが好ましい。ＢＢ８４プロトコルで要求されているように、認証が必要な情報もある。
【００２１】
別の場合は、アリスとボブは、ふるいかけ及び／又はエラー訂正を最初に実行し、その後でビットを復号化することができる。この方法は復号化プロセスの簡単な変更を必要とすることになる。
上述のように動作するＱＫＤシステム１０に対してサイド・チャンネル又はいかなる光学的な攻撃を仕掛けることで盗聴者が得ることができるいずれの情報も、実際の鍵ビットｋｉではなく、暗号化された鍵ビットｃｉについての情報を生み出すことができるだけである。
【００２２】
本発明の一実施例では、鍵ビットに加えて、基底ビットが暗号化されることで、さらに高いレベルの安全性が提供される。一実施例では、これは、基底ビットを暗号化して、次にそれを標準コミュニケーション・チャンネル２２０を通して送ることによって行われる。しかし、鍵ビットのみを暗号化することは、先行技術のＱＫＤプロセスを超えた、安全性の大きな増加をもたらす。
【００２３】
本発明の実施をすることによって、ＱＫＤ装置に致命的な間違いがあった場合でも、盗聴者がプレーンテキスト鍵にアクセスすることを防止する。ＱＫＤシステムに致命的な間違いが生じた場合に、盗聴者が得ることができる情報の最大量は、古典的な方法で暗号化された鍵である。
本発明は、説明のために一方向型ＱＫＤシステム関連づけて説明された。当業者にとっては、本発明が量子暗号化全般に適用可能なこと、特に、双方向型ＱＫＤシステム、さらには変調器タイプ・エレメントを用いる弱いパルスの位相又は偏光を符号化するいかなるＱＫＤシステムにも適用できることは明白である。
【００２４】
本発明は、さらに、古典的な暗号化システムのために存在する米国の連邦情報処理規格(ＦＩＰＳ)のような情報処理スタンダードを満たすための量子ベースの暗号化システム用の方法を提供する。現在のところ、所定の国のための該当する情報処理スタンダードを満たすことは、そのようなスタンダードが現在のところ存在しないため、量子暗号化システムの商用化を求めている者にとっては不都合である。
【００２５】
情報処理スタンダードは見たところは政府による装置の調達のためであるが、実際の効果は、私企業も装置を購入する際にそのようなスタンダードを当てにしている。このことは特に例えば米国において当てはまる。なぜなら、特定の政府機関(例えば、国立標準技術研究所（「ＮＩＳＴ」）)は、各国及び国際的な規格委員会、ユーザ、産業グループ、コンソーシアム及び研究・商業団体と協同してスタンダードを発展させているからである。このように、当該政府機関に装置を売る意図がない場合であっても、自分たちの装置において特別な情報処理スタンダードを満足させることは、会社にとって商売上の有利な点になる。本発明に従って量子暗号化をローカルな情報処理スタンダードに合致する古典的な暗号化システムに重ねることで、システム全体を古典的な暗号化情報処理スタンダードに一致させることができる。
【００２６】
以上、本特許出願は、２００３年１１月１３日に出願された、米国仮特許出願第６０／５１９，４８９号から、優先権を主張するものである。
【図面の簡単な説明】
【００２７】
【図１】図１は、本発明の方法を実行するための、ＴＲＮＧと暗号化／解読（ｅ／ｄ）モジュールを有するコントローラを各々が有する送り側ステーション・アリスと受け手側ステーション・ボブを備えた一方向型ＱＫＤシステムの概略図である。
【図２】図２は、各量子ビットを生成する際に、アリスの位相変調器の状態を設定するために用いられる鍵ビットの暗号化を示す概略図である。
【図３】図３は、アリスがストリーム暗号によってどのようにして乱数発生器によって生成された鍵ビットを暗号化するかを示すフロー図である。
【図４】図４は、ボブがどのようにしてアリスと同じストリーム暗号を共有のパスワードに組み合わせて用いて、暗号化された量子ビットから鍵ビットを復帰させるかを示すフロー図である。
【技術分野】
【０００１】
本発明は、量子暗号化に関し、特に、古典的な暗号化を量子鍵配送プロセスに付加することによって、量子鍵配送（ＱＫＤ）システムの安全を強化するシステム及び方法に関連しており、さらにそれらシステム及び方法について産業上の利用性を有している。
【背景技術】
【０００２】
量子鍵配送は、「量子チャネル」越しに送信された弱い光信号（例えば、平均で０．１フォトン）を用いて、送信者（「アリス」）と受信者（「ボブ」）との間で、鍵を設定することに関係する。鍵配送の安全性は、不確定状態にある量子系はどれでも測定するとその状態を変えるという、量子力学の原則に基づいている。結果として、量子信号を妨害あるいは測定しようとする盗聴者（「イブ」）は、送信信号にエラーを引き起こしてしまうため、その存在が明らかになる。
【０００３】
量子暗号の一般的な原則は、ベネットとブラッザールの論文（非特許文献１参照）の中で初めて発表された。具体的なＱＫＤシステムは、ベネットの論文（非特許文献２，３参照）に記載されている。
上述の文献は、それぞれ、いわゆる「一方向」型ＱＫＤシステムについて述べている。一方向型ＱＫＤシステムとは、アリスが単一光子の偏光又は位相をランダムに符号化して、ボブがそれら光子の偏光又は位相をランダムに測定するものである。非特許文献３に述べられている一方向型システムは、二光束マッハ・ツェンダー干渉計に基づいている。アリス及びボブは、各々が干渉計の位相を制御できるように、干渉システムの各部にアクセス可能となっている。アリスからボブに送られる信号（パルス）は、時間多重分割されて異なる経路をたどる。その結果、干渉計は、熱的ドリフトを補償するために、伝送中は数十ナノ秒内で動的に安定する必要がある。
【０００４】
ギシンの特許文献１（以下、‘２３４特許と称す）では、偏光や熱ゆらぎを自動補正する、いわゆる「双方向」型ＱＫＤシステムについて開示されている。このように、‘２３４特許の双方向型ＱＫＤシステムは、一方向型システムに比べて環境の影響を受けにくい。
ＱＫＤを実行する一般的なプロセスは、ボーミスターの著作（非特許文献４参照）に記載されている。ＱＫＤプロセス中は、アリスは真の乱数発生器(ＴＲＮＧ)を用いて、基底（「基底ビット」）のためのランダム・ビットと鍵(「鍵ビット」)のためのランダム・ビットとを発生させ、それによって、量子ビットを作り出して(例えば、偏光又は位相符号化を用いて)それをボブに送る。
【特許文献１】米国特許第６，４３８，２３４号公報
【非特許文献１】Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒｓ、Ｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，１９８４，ｐｐ．１７５−１７９（ＩＥＥＥ、Ｎｅｗ Ｙｏｒｋ，１９８４）
【非特許文献２】Ｅｘｐｅｒｉｍｅｎｔａｌ Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ
【非特許文献３】Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ Ｕｓｉｎｇ Ａｎｙ Ｔｗｏ Ｎｏｎ-Ｏｒｔｈｏｇｏｎａｌ Ｓｔａｔｅｓ， Ｐｈｙｓ. Ｒｅｖ. Ｌｅｔｔ． ６８３１２１(１９９２)
【非特許文献４】Ｔｈｅ Ｐｈｙｓｉｃｓ ｏｆ Ｑｕａｎｔｕｍ Ｉｎｆｏｒｍａｔｉｏｎ， Ｓｐｒｉｎｇｅｒ-Ｖｅｒｌａｇ ２００１， ｉｎ Ｓｅｃｔｉｏｎ２.３， ｐａｇｅｓ２７-３３
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＱＫＤは理論的には安全なのであるが、ＱＫＤを実際に実行すると、盗聴者が鍵ビットに関する情報を入手するいくつかの方法を許してしまう。例えば、一つの光子における鍵ビットの値を符号化するためには、電磁放射を行う高速な電子機器回路が必要になる。この放射は、盗聴者のいわゆる「サイド・チャンネル攻撃」によって測定可能である。位相変調器は実際に十分に測定可能な電磁放射を行うので、位相符号化されたＱＫＤにとっては、この攻撃は深刻な問題となり得る。第２に、盗聴者は、ファイバ内の伝送をモニタすることによって、鍵についての部分的な情報を得るかもしれない。このことは、多光子パルスが弱いコヒーラント源によって生成される場合に起こる。盗聴者は、伝送にエラーを起こさせることなく、このようなパルスを測定可能である。第３に、盗聴者は、位相変調器の状態についての情報を得るために、タイミングをとった探索パルスを用いて、いわゆる「トロイの木馬攻撃」をアリスに仕掛けることができるかもしれない。
【課題を解決するための手段】
【０００６】
下記に詳細に説明するように、本発明の第一の見地は量子鍵配送(ＱＫＤ)を実行する方法である。この方法は、鍵ビットのランダム・セットを生成すること、鍵ビットを暗号化すること、そして暗号化された鍵ビットを用いて暗号化された量子ビットを形成することを含む。
【０００７】
本発明の第二の見地は、ＱＫＤを実行する方法である。この方法は、第１ステーションにおいて、鍵ビットのランダム・セットを生成すること、ストリーム暗号(例えば、ＣＴＲモードのＡＥＳ-２５６)によってパッド(パスワード)を生成すること、鍵ビットとパッドを排他的論理和演算して暗号化された鍵ビットを得ること、暗号化された鍵ビットを用いて弱い光パルスを変調して、暗号化された量子ビットを生成することを含む。
【０００８】
本発明の第三の見地は、本発明の第二の見地に関連しており、第１ＱＫＤステーションに光学的に連結された第２ＱＫＤステーションにおいて、下記の行為を行うことをさらに含む。暗号化された量子ビットをランダムな基底を用いて測定すること、測定された暗号化された量子ビットとパッドを排他的論理和演算することで、測定された暗号化された量子ビットから鍵ビットの少なくとも一つのサブセットを復帰させることである。本発明のこれら及び他の見地は下記に述べられる。
【発明を実施するための最良の形態】
【０００９】
図１は、送り側ステーション・アリスと受け手側ステーション・ボブを有する一方向型ＱＫＤシステム１０の概略図である。アリスとボブは、より一般的にはしばしばＱＫＤステーションと言われる。アリスは、ＴＲＮＧ３０とそれに接続された暗号化／解読（ｅ／ｄ）モジュール４０を有するコントローラ２０を含んでいる。アリスは、さらに、光学的放射線源５０(例えば、レーザ)と、その下流に配置されてさらに光学的に連結された偏光又は位相変調器ＰＭ１を有している。ＰＭ１はｅ／ｄモジュール４０に機能的に連結され、レーザ５０はコントローラ２０に機能的に連結されている。一実施例では、光学的放射線源５０は、光パルスの強度を減じる減衰器を含んでおり、そのために強度は「弱く」、つまり、単一光子レベル以下になっている。一実施例では、光学的放射線源は単一光子源である。
【００１０】
ボブは、ＴＲＮＧ１３０とｅ／ｄモジュール１４０を有するコントローラ１２０を含んでいる。一実施例では、ＴＲＮＧ１３０及びｅ／ｄモジュール１４０は互いに連結されており、そのためＴＲＮＧ１３０で生成されボブ用の基底ビットとして用いられる乱数は、ｅ／ｄモジュール１４０にも記憶され得る。ボブは、単一光子検出器１５０と、その上流に配置されてさらに光学的に連結された偏光又は位相変調器ＰＭ２をさらに含んでいる。ＰＭ２はＴＲＮＧ１３０に機能的に連結され、検出器１５０はｅ／ｄモジュール１４０に機能的に連結されている。
【００１１】
ボブとアリスは機能的に量子コミュニケーション・リンク(チャンネル)２００によって連結され、このリンクは一実施例では光ファイバである。さらに一実施例では、アリスのコントローラ２０とボブのコントローラ１２０は、システム１０の動作のタイミングを取ったり同期を取ったりするために、又はボブとアリスの間で情報をオープンにやりとりするために、公共のコミュニケーション・リンク(チャンネル)２２０を介して機能的に連結されている。例えば、暗号化された基底ビットは、アリスからボブにチャンネル２２０を介して送られ得る。一実施例では、ｅ／ｄモジュール４０及び／又は１４０は、下記に述べる本発明の方法を実行するためのコントローラ２０，１２０で実行可能なインストラクションを含む暗号化ソフトウェアが実現されたコンピュータによる読み取り可能な媒体を含む。
【００１２】
図１の参照を続けると、ＱＫＤシステム１０のようなＱＫＤシステムの正常な動作では、量子ビットがコントローラ２０によってアリスとボブの間で交換され、レーザ５０に弱い(例えば、〜０．１フォトンの)光パルスを発射させる。コントローラ２０は次に基底及び鍵ビットをＴＲＮＧ３０を介して(又は別の例では２つのＴＲＮＧ３０を介して）ＰＭ１に供給して、弱いパルスをランダムに符号化する。ボブでは、コントローラ１２０はさらにＰＭ２にランダムに基底を選択させ(ＴＲＮＧ１２０を介して）、被変調量子ビットを検出器１５０で測定及び検出させる。
【００１３】
しかし、上述したように、このＱＫＤプロセスには安全に関する潜在的な欠点がある。この欠点に取り組むために、本発明はさらに、アリスの位相変調器状態を各量子ビットのために設定するのに用いられる、少なくともＴＲＮＧ３０からの鍵ビットを、ｅ／ｄモジュール４０を用いて(例えば、ソフトウェアレベルで)暗号化する。これによって、「暗号化された量子ビット」がボブに送られる。
【００１４】
本発明はさらに、ボブによって受信された暗号化された量子ビットから、対応する鍵ビットのセットを、ｅ／ｄモジュール１４０を用いて復帰させることを含んでいる。下記に述べるように、鍵ビットの「対応するセット」は、通常は、暗号化された量子ビットが量子チャンネル２００を通過する際の損失によって、鍵ビットの元のセットのサブセットである。
【００１５】
アリスの鍵ビットを暗号化する方法は、図２及び３に例示されている。基底のためにＴＲＮＧ３０から、ｂ１，ｂ２，・・・，ｂｉ，・・・，ｂｎビットと、量子ビットの一セットを形成するためにｋ１，ｋ２，・・・，ｋｉ，・・・ｋｎビットがもたらされていると推定してみる。一実施例では、２つのＴＲＮＧ３０が用いられて、基底及び鍵ビットをそれぞれ別に生成する。
【００１６】
本発明の一実施例では、鍵ビットの値ｋｉは、ｅ／ｄモジュール３０によってストリーム暗号(例えば、ＣＴＲモードのＡＥＳ)を用いて暗号化される。これを行うため、ボブとアリスは予め決められたパスワードを共有していなければならない。量子チャンネル２００で失われる量子ビットがあるので、ストリーム暗号が必要になる。伝送中の量子ビットの損失は他のタイプの暗号の使用を妨げる。
【００１７】
アリスとボブがパスワードＰを共有していると推定してみる。一実施例では、パスワードＰは、ＱＫＤによって生成されたそれらの鍵の断片を用いて作り出される。他の実施例では、パスワードＰは、安全なクーリエ又はディフィーヘルマン・プロトコルといった周知の方法の一つを用いて作り出される。一実施例では、アリスとボブは選択されたレートでパスワードＰを更新するのに同意している。このパスワードを有することで、アリスとボブはストリーム暗号を用いることでパッドｐ１，ｐ２，・・・ｐｉ，・・・，ｐｎを作り出すことができる。
【００１８】
パッドが生成されると、次にアリスはｅ／ｄモジュール３０内で「排他的ＯＲ(ＸＯＲ)動作」を実行する。
ｋｉ ＸＯＲ ｐｉ ＝ ｃｉ
アリスは、さらに、一つの量子ビットにおけるｃｉを（ｋｉではなく）符号化するために自らの位相変調器ＰＭ１を設定する。このプロセスは、図３のフロー図に例示されている。この結果は、ここで「暗号化された量子ビット」又は「符号化された量子ビット」と呼ばれるものである。
【００１９】
ボブがランダムに変調されたＰＭ２と検出器１５０を用いて暗号化された量子ビットを測定すると、ボブはｃ*ｉの値を得る。この値は、量子チャンネル２００内での損失によって伝送中に失われる量子ビットが通常あるため、ｃｉのサブセットであることが多い。一実施例では、ｃ*ｉはｅ／ｄモジュール１４０に記憶される。
図４のフロー図に例示するように、暗号化された量子ビットから対応する鍵ビットｋ*ｉを復帰させるため、ボブはこれらのビットをｅ／ｄモジュール１３０でパッドｐｉを用いて次のような排他的論理和演算を行う必要がある。
【００２０】
ｋ*ｉ＝ｃ*ｉ ＸＯＲ ｐｉ
鍵ビットのセットｋ*ｉは、量子チャンネル２００を通過する際の暗号化された量子ビットの損失によって、通常は元の鍵ビットのセットのサブセットである。
この時点で、ボブとアリスは標準ＱＫＤ手続きを実行する(例えば、ふるいかけ、エラー訂正、プライバシ増幅)。後者の手続き中に送られる全ての情報は、ストリーム暗号より低くない暗号化強度の暗号によって暗号化されるのが好ましい。ＢＢ８４プロトコルで要求されているように、認証が必要な情報もある。
【００２１】
別の場合は、アリスとボブは、ふるいかけ及び／又はエラー訂正を最初に実行し、その後でビットを復号化することができる。この方法は復号化プロセスの簡単な変更を必要とすることになる。
上述のように動作するＱＫＤシステム１０に対してサイド・チャンネル又はいかなる光学的な攻撃を仕掛けることで盗聴者が得ることができるいずれの情報も、実際の鍵ビットｋｉではなく、暗号化された鍵ビットｃｉについての情報を生み出すことができるだけである。
【００２２】
本発明の一実施例では、鍵ビットに加えて、基底ビットが暗号化されることで、さらに高いレベルの安全性が提供される。一実施例では、これは、基底ビットを暗号化して、次にそれを標準コミュニケーション・チャンネル２２０を通して送ることによって行われる。しかし、鍵ビットのみを暗号化することは、先行技術のＱＫＤプロセスを超えた、安全性の大きな増加をもたらす。
【００２３】
本発明の実施をすることによって、ＱＫＤ装置に致命的な間違いがあった場合でも、盗聴者がプレーンテキスト鍵にアクセスすることを防止する。ＱＫＤシステムに致命的な間違いが生じた場合に、盗聴者が得ることができる情報の最大量は、古典的な方法で暗号化された鍵である。
本発明は、説明のために一方向型ＱＫＤシステム関連づけて説明された。当業者にとっては、本発明が量子暗号化全般に適用可能なこと、特に、双方向型ＱＫＤシステム、さらには変調器タイプ・エレメントを用いる弱いパルスの位相又は偏光を符号化するいかなるＱＫＤシステムにも適用できることは明白である。
【００２４】
本発明は、さらに、古典的な暗号化システムのために存在する米国の連邦情報処理規格(ＦＩＰＳ)のような情報処理スタンダードを満たすための量子ベースの暗号化システム用の方法を提供する。現在のところ、所定の国のための該当する情報処理スタンダードを満たすことは、そのようなスタンダードが現在のところ存在しないため、量子暗号化システムの商用化を求めている者にとっては不都合である。
【００２５】
情報処理スタンダードは見たところは政府による装置の調達のためであるが、実際の効果は、私企業も装置を購入する際にそのようなスタンダードを当てにしている。このことは特に例えば米国において当てはまる。なぜなら、特定の政府機関(例えば、国立標準技術研究所（「ＮＩＳＴ」）)は、各国及び国際的な規格委員会、ユーザ、産業グループ、コンソーシアム及び研究・商業団体と協同してスタンダードを発展させているからである。このように、当該政府機関に装置を売る意図がない場合であっても、自分たちの装置において特別な情報処理スタンダードを満足させることは、会社にとって商売上の有利な点になる。本発明に従って量子暗号化をローカルな情報処理スタンダードに合致する古典的な暗号化システムに重ねることで、システム全体を古典的な暗号化情報処理スタンダードに一致させることができる。
【００２６】
以上、本特許出願は、２００３年１１月１３日に出願された、米国仮特許出願第６０／５１９，４８９号から、優先権を主張するものである。
【図面の簡単な説明】
【００２７】
【図１】図１は、本発明の方法を実行するための、ＴＲＮＧと暗号化／解読（ｅ／ｄ）モジュールを有するコントローラを各々が有する送り側ステーション・アリスと受け手側ステーション・ボブを備えた一方向型ＱＫＤシステムの概略図である。
【図２】図２は、各量子ビットを生成する際に、アリスの位相変調器の状態を設定するために用いられる鍵ビットの暗号化を示す概略図である。
【図３】図３は、アリスがストリーム暗号によってどのようにして乱数発生器によって生成された鍵ビットを暗号化するかを示すフロー図である。
【図４】図４は、ボブがどのようにしてアリスと同じストリーム暗号を共有のパスワードに組み合わせて用いて、暗号化された量子ビットから鍵ビットを復帰させるかを示すフロー図である。
【特許請求の範囲】
【請求項１】
量子鍵配送を実行する方法(ＱＫＤ)であって、
ａ）鍵ビットｋ１，ｋ２，・・・，ｋｉ・・・ｋｎのランダム・セットを生成すること、
ｂ)前記鍵ビットを暗号化すること、
ｃ)前記暗号化された鍵ビットを用いて暗号化された量子ビットを形成すること、
を備えた方法。
【請求項２】
ストリーム暗号を用いて前記鍵ビットを暗号化することを含む、請求項１に記載の方法。
【請求項３】
前記ストリーム暗号用のパスワードは、ＱＫＤ鍵の断片から形成される、請求項２に記載の方法。
【請求項４】
前記暗号化された量子ビットを前記ストリーム暗号によって解読することを含む、請求項２に記載の方法。
【請求項５】
量子鍵配送(ＱＫＤ)を実行する方法であって、
第１ＱＫＤステーションにおいて、
ａ）鍵ビットのランダム・セットを生成すること、
ｂ）ストリーム暗号によってパッドを生成すること、
ｃ）前記鍵ビットと前記パッドを排他的論理和演算して暗号化された鍵ビットを得ること、
ｄ）前記暗号化された鍵ビットを用いて弱い光パルスを変調して、暗号化された量子ビットを生成すること、
を備えた方法。
【請求項６】
前記第１ＱＫＤステーションに光学的に連結された第２ＱＫＤステーションにおいて、さらに、
ａ）前記暗号化された量子ビットを、ランダムな基底を用いて測定すること、
ｂ）前記測定された暗号化された量子ビットと前記パッドを排他的論理和演算をすることで、前記測定された暗号化された量子ビットから前記鍵ビットの少なくとも一つのサブセットを復帰させることを含む、請求項５に記載の方法。
【請求項７】
前記第１ＱＫＤステーションで生成された前記鍵ビットと前記第２ＱＫＤステーションで復帰された前記鍵ビットに基づいて、前記第１及び第２ＱＫＤステーション間にふるいにかけられた鍵を確立することをさらに含む、請求項６に記載の方法。
【請求項８】
ａ)第１ＱＫＤステーションと、ｂ)前記第１ＱＫＤステーションに光学的に連結された第２ＱＫＤステーションとを備え、
ａ)前記第１ＱＫＤステーションは、
ａ．放射の弱い光パルスを発射するようになっている光学的放射線源と、
ｂ．第１鍵ビットとして用いられる乱数を発生するようになっている第１乱数発生器と、
ｃ．前記第１乱数発生器に連結され、前記鍵ビットを暗号化しそれによって暗号化された鍵ビットを形成する第１ｅ／ｄモジュールと、
ｄ．前記弱い光パルスを受信するように配置され、暗号化された量子ビットを形成するように前記暗号化された鍵ビットに基づいて前記弱い光パルスの前記偏光又は位相を変調するようになっている、偏光又は位相変調器とを有しており、
ｂ)前記第２ＱＫＤステーションは、
ａ．受信する第２偏光又は位相変調器と、
ｂ．前記暗号化された量子ビットをランダムに変調することと、
ｃ．前記変調された暗号化された量子ビットを検出するための検出器と、
ｄ．前記検出器に連結され、前記変調された暗号化された量子ビットから前記第１鍵ビットに対応する第２鍵ビットを復帰させるようになっている第２ｅ／ｄモジュールとを有している、
ＱＫＤシステム。
【請求項９】
ａ)鍵ビットと基底ビットとを利用して弱い光パルスを符号化することで、量子ビットを形成する量子鍵配送（ＱＫＤ）システムと、
ｂ)前記鍵ビットと前記基底ビットの少なくとも一方を符号化することで暗号化された量子ビットを形成する古典的な暗号化システムと、
を備えた量子暗号化システム。
【請求項１】
量子鍵配送を実行する方法(ＱＫＤ)であって、
ａ）鍵ビットｋ１，ｋ２，・・・，ｋｉ・・・ｋｎのランダム・セットを生成すること、
ｂ)前記鍵ビットを暗号化すること、
ｃ)前記暗号化された鍵ビットを用いて暗号化された量子ビットを形成すること、
を備えた方法。
【請求項２】
ストリーム暗号を用いて前記鍵ビットを暗号化することを含む、請求項１に記載の方法。
【請求項３】
前記ストリーム暗号用のパスワードは、ＱＫＤ鍵の断片から形成される、請求項２に記載の方法。
【請求項４】
前記暗号化された量子ビットを前記ストリーム暗号によって解読することを含む、請求項２に記載の方法。
【請求項５】
量子鍵配送(ＱＫＤ)を実行する方法であって、
第１ＱＫＤステーションにおいて、
ａ）鍵ビットのランダム・セットを生成すること、
ｂ）ストリーム暗号によってパッドを生成すること、
ｃ）前記鍵ビットと前記パッドを排他的論理和演算して暗号化された鍵ビットを得ること、
ｄ）前記暗号化された鍵ビットを用いて弱い光パルスを変調して、暗号化された量子ビットを生成すること、
を備えた方法。
【請求項６】
前記第１ＱＫＤステーションに光学的に連結された第２ＱＫＤステーションにおいて、さらに、
ａ）前記暗号化された量子ビットを、ランダムな基底を用いて測定すること、
ｂ）前記測定された暗号化された量子ビットと前記パッドを排他的論理和演算をすることで、前記測定された暗号化された量子ビットから前記鍵ビットの少なくとも一つのサブセットを復帰させることを含む、請求項５に記載の方法。
【請求項７】
前記第１ＱＫＤステーションで生成された前記鍵ビットと前記第２ＱＫＤステーションで復帰された前記鍵ビットに基づいて、前記第１及び第２ＱＫＤステーション間にふるいにかけられた鍵を確立することをさらに含む、請求項６に記載の方法。
【請求項８】
ａ)第１ＱＫＤステーションと、ｂ)前記第１ＱＫＤステーションに光学的に連結された第２ＱＫＤステーションとを備え、
ａ)前記第１ＱＫＤステーションは、
ａ．放射の弱い光パルスを発射するようになっている光学的放射線源と、
ｂ．第１鍵ビットとして用いられる乱数を発生するようになっている第１乱数発生器と、
ｃ．前記第１乱数発生器に連結され、前記鍵ビットを暗号化しそれによって暗号化された鍵ビットを形成する第１ｅ／ｄモジュールと、
ｄ．前記弱い光パルスを受信するように配置され、暗号化された量子ビットを形成するように前記暗号化された鍵ビットに基づいて前記弱い光パルスの前記偏光又は位相を変調するようになっている、偏光又は位相変調器とを有しており、
ｂ)前記第２ＱＫＤステーションは、
ａ．受信する第２偏光又は位相変調器と、
ｂ．前記暗号化された量子ビットをランダムに変調することと、
ｃ．前記変調された暗号化された量子ビットを検出するための検出器と、
ｄ．前記検出器に連結され、前記変調された暗号化された量子ビットから前記第１鍵ビットに対応する第２鍵ビットを復帰させるようになっている第２ｅ／ｄモジュールとを有している、
ＱＫＤシステム。
【請求項９】
ａ)鍵ビットと基底ビットとを利用して弱い光パルスを符号化することで、量子ビットを形成する量子鍵配送（ＱＫＤ）システムと、
ｂ)前記鍵ビットと前記基底ビットの少なくとも一方を符号化することで暗号化された量子ビットを形成する古典的な暗号化システムと、
を備えた量子暗号化システム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公表番号】特表２００７−５１１９５６（Ｐ２００７−５１１９５６Ａ）
【公表日】平成１９年５月１０日（２００７．５．１０）
【国際特許分類】
【出願番号】特願２００６−５３９４４６（Ｐ２００６−５３９４４６）
【出願日】平成１６年２月１３日（２００４．２．１３）
【国際出願番号】ＰＣＴ／ＵＳ２００４／００４４５０
【国際公開番号】ＷＯ２００５／０５７９２７
【国際公開日】平成１７年６月２３日（２００５．６．２３）
【出願人】（５０５１８８９３９）マジック テクノロジーズ，インコーポレーテッド (27)
【氏名又は名称原語表記】ＭＡＧＩＱ ＴＥＣＨＮＯＬＯＧＩＥＳ，ＩＮＣ．
【Ｆターム（参考）】
【公表日】平成１９年５月１０日（２００７．５．１０）
【国際特許分類】
【出願日】平成１６年２月１３日（２００４．２．１３）
【国際出願番号】ＰＣＴ／ＵＳ２００４／００４４５０
【国際公開番号】ＷＯ２００５／０５７９２７
【国際公開日】平成１７年６月２３日（２００５．６．２３）
【出願人】（５０５１８８９３９）マジック テクノロジーズ，インコーポレーテッド (27)
【氏名又は名称原語表記】ＭＡＧＩＱ ＴＥＣＨＮＯＬＯＧＩＥＳ，ＩＮＣ．
【Ｆターム（参考）】
[ Back to top ]