秘匿通信システムおよび共有秘密情報の生成方法
【課題】 量子暗号鍵配布において更新鍵の安全性についてユーザの要求を反映することができる秘匿通信システムを提供する。
【解決手段】 送信器１００と受信器２００とが光ファイバ３００で接続され、送信器１００の量子送信器ＴＸ１１１と受信器の量子受信器ＲＸ２１１は、量子チャネル３０１を通してＴＸ１１１が送信した鍵の素とＲＸ２１１が受信した生鍵とに基づいて、基底照合および誤り訂正を実行する。誤り訂正後の鍵情報から、安全度制御部１２０、２２０の制御により、ユーザ要求の安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に暗号鍵を生成する。こうして更新された暗号鍵を用いて暗号化／復号化部１３０、２３０により秘匿通信が行われる。
【解決手段】 送信器１００と受信器２００とが光ファイバ３００で接続され、送信器１００の量子送信器ＴＸ１１１と受信器の量子受信器ＲＸ２１１は、量子チャネル３０１を通してＴＸ１１１が送信した鍵の素とＲＸ２１１が受信した生鍵とに基づいて、基底照合および誤り訂正を実行する。誤り訂正後の鍵情報から、安全度制御部１２０、２２０の制御により、ユーザ要求の安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に暗号鍵を生成する。こうして更新された暗号鍵を用いて暗号化／復号化部１３０、２３０により秘匿通信が行われる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は秘匿通信システムに係り、特に秘密情報を送信器および受信器の双方で共有する方法およびシステムに関する。
【背景技術】
【０００２】
インターネットは様々なデータが行き交う経済社会インフラとなっており、それゆえにネット上を流れるデータを盗聴リスクから事前に守る予防策を整えることが重要な課題となっている。予防策の一つとして、通信するデータを暗号化する秘匿通信システムが挙げられる。暗号化の方法としては、共通鍵暗号と公開鍵暗号の二種類がある。
【０００３】
共通鍵暗号は、ＡＥＳ(Advanced Encryption Standard)に代表されるように暗号化と復号化に共通の暗号化鍵を用いる方式で高速処理が可能である。そのため本方式はデータ本体の暗号化に用いられている。
【０００４】
一方、公開鍵暗号はＲＳＡ暗号方式に代表されるように一方向性関数を用いた方式で、公開鍵によって暗号化を行い、秘密鍵によって復号化を行う。高速処理には適していないため、共通鍵方式の暗号鍵配送などに用いられている。
【０００５】
データの暗号化によって秘匿性を確保する秘匿通信において、秘匿性を確保するために重要なことは、たとえ盗聴者によって暗号化データを盗聴されたとしても、その暗号化データを解読されないことである。そのため、暗号化に同じ暗号鍵を使い続けないことが必要である。それは、同じ暗号鍵を使い続けて暗号化していると、盗聴された多くのデータから暗号鍵を推測される可能性が高くなるからである。
【０００６】
そこで送信側と受信側で共有している暗号化鍵を更新することが求められる。鍵更新時には更新する鍵を盗聴・解読されないことが必須であるので、（１）公開鍵暗号によって暗号化して送る方法、（２）予め鍵更新用に設定した共通鍵であるマスター鍵を用いて暗号化して送る方法、の大きく二通りがある。たとえば特開２００２−３４４４３８号公報（特許文献１）および特開２００２−３００１５８号公報（特許文献２）を参照のこと。これらの方法における安全性は、解読するための計算量が膨大であることに依っている。
【０００７】
一方、量子暗号鍵配布技術（ＱＫＤ）は、通常の光通信とは異なり、１ビットあたりの光子数を1個として伝送することにより送信−受信間で暗号鍵を生成・共有する技術であり、量子力学によって盗聴が不可能であることが証明されている暗号鍵共有技術である（非特許文献１および２参照）。但し、完全な単一光子源が存在していないので、実際には、コヒーレント光を減衰させることで、１パルスあたりの平均光子数が１以下、すなわち１パルスに光子が２個以上存在する確率を小さくして用いている。
【０００８】
非特許文献１を参照して、ＢＢ８４プロトコルと呼ばれる最も代表的な量子暗号鍵配送アルゴリズムについて簡単に説明する。
【０００９】
図８はＢＢ８４プロトコルによる量子暗号鍵配布方法の概念を示す模式図である。ここではＡｌｉｃｅ（送信器）１４１とＢｏｂ（受信器）１４３とが光伝送路１４２で接続されているものとする。この方法では、Ａｌｉｃｅ１４１が乱数源を２つ持ち、一方の乱数１を暗号鍵の素データ、他方の乱数２を基底とし、これらの組み合わせにより１つの光子に対して、０、π／２、π、３π／２の４通りの変調をランダムに施してＢｏｂ１４３へ送信する。
【００１０】
一方、Ｂｏｂ１４３では基底に対応する乱数源（乱数３）を持ち、Ａｌｉｃｅ１４１より送られてきた光子に対して、乱数３の値が“０”である場合には位相０（＋基底）の変調を、“１”である時には位相π／２（×基底）の変調を施す。これによって、Ａｌｉｃｅ１４１とＢｏｂ１４３の両者が施した変調の基底が同一である場合（乱数２＝乱数３）、乱数１の値をＢｏｂ１４３は正しく検出することができ（乱数１＝乱数４）、異なる場合（乱数２≠乱数３）には乱数１の値に依らずＢｏｂ１４３は乱数４として０／１の値をランダムに得る。乱数１／２／３は共に１ビット毎に変化する乱数であるから、基底が一致する確率と不一致である確率は共に５０％となるが、後段の基底照合(Basis Reconciliation)によって基底が不一致となるビットを削除するから、Ａｌｉｃｅ１４１とＢｏｂ１４３は乱数１に対応する０／１ビット列を共有することができる。
【００１１】
図９は、一般的な量子暗号鍵生成の流れを示すフローチャートである。上述したように、量子暗号鍵配布によりＡｌｉｃｅおよびＢｏｂの間の変調位相深さの差によって０または１の出力（生鍵）が得られ、その後、基底の一部分を照合することにより基底が一致したビット列（選別鍵）を共有する（基底処理）。先行文献としては、特開２０００−１７４７４７号公報（特許文献３）に量子チャネルと古典チャネルとを用いて送信側および受信側で選別鍵を共有する量子暗号装置が開示されている。
【００１２】
しかしながら、上記のようにして共有したビット列には伝送路１４２や受信器に起因する誤りが含まれており、この誤りを訂正する誤り訂正処理(Error Correction)が必要となる。加えて伝送路途中に存在する盗聴者が光子情報を覗き見た場合にも共有ビット列に誤りが発生する。したがって、最終的に使用する暗号鍵を共有するためには、誤りを訂正する誤り訂正処理だけでなく、誤りの頻度（誤り率）に基づいて、盗聴されたと想定し得る情報量を削減する秘匿増強処理(Privacy Amplification)が必要となる。
【００１３】
（誤り訂正）
誤り訂正処理としては、たとえば非特許文献３に示されたような方法がある。この方法では、送信器および受信器において選別鍵のビット列を複数のブロックに分割し、各ブロックのパリティを照合することによって誤りを含むブロックを特定し、当該ブロックに関してハミング符号を適用する等して誤り訂正を行う。加えて、１つのブロック内に偶数個の誤りを含む場合を想定し、ビット列をランダムに並び替えて再度パリティ照合並びに誤り訂正を行う。このような確認作業を複数回（Ｖ回）繰り返すことによって秘密ビット列の残留エラー検知を行う。たとえば、パリティ検査ビット数を選別鍵ビット数の約半数とすれば、パリティ照合をＶ回繰り返した場合、残留エラーが検知できない確率は１／２V以下となる。このようなパリティ公開によってＶビットの情報量が第三者に漏れているので、Ｖビットの鍵を破棄する。この誤り訂正過程を経て、Ｇビットの鍵情報が残ったとする。
【００１４】
（秘匿増強）
秘匿増強処理としては非特許文献４に示されたような方法がある。秘匿増強処理は、鍵配布中に漏洩した可能性のある情報量を除去し新たな乱数を生成する過程である。ここではＧビットの鍵情報をＦビット（Ｆ＜Ｇ）に振るい落とす。具体的には、次のような手順となる。
【００１５】
Ａｌｉｃｅは内部で乱数（パリティ計算ビット）を生成し、自身の保有するＧビットの鍵情報に対して上記乱数で指定されたビット位置のパリティを計算し、そのパリティを鍵の１ビット目とし、それら乱数(パリティ計算ビット)をＢｏｂに送信する。Ｂｏｂは受け取った乱数に基づいて自身の保有するＧビットの鍵情報のパリティを計算し、そのパリティを鍵の１ビット目とする。このような作業を繰り返し、伝送路において盗聴されたと考えうる分の情報量を破棄して、新たなＦビットの最終鍵を作成する。盗聴者は、パリティ計算ビットの全てを知らないと秘匿増強後の新乱数（最終鍵）を知ることができない。
【００１６】
誤り訂正後のＧビット鍵情報に対して上記秘匿増強処理を実行し、Ｆビットの新規乱数を生成する場合、新規乱数のビット数Ｆは次式により表される。
【００１７】
Ｆ＝Ｇ−ｅＧ−Ｖ−Ｓ
ここで、ｅは量子通信を盗聴されて盗まれた情報の割合であり、ｅＧビットの情報が盗聴者Ｅｖｅにより所有されているものとみなされる。Ｖは残留エラー検知過程で開示されたビット数である。Ｓは秘匿増強におけるセキュリティパラメータであり、大きいほど完全秘匿に近づく。
【００１８】
【特許文献１】特開２００２−３４４４３８号公報
【特許文献２】特開２００２−３００１５８号公報
【特許文献３】特開２０００−１７４７４７号公報
【非特許文献１】"QUANTUM CRYPTOGRAPHY: PUBLIC KEY DISTRIBUTION AND COIN TOSSING" C. H. Bennett and G. Brassard, IEEE Int. Conf. on Computers, Systems, and Signal Processing, Bangalore, India, December 10-12, 1984 pp.175-179
【非特許文献２】"Automated 'plug & play' quantum key distribution" G. Ribordy, J. Gauiter, N. Gisin, O. Guinnard and H. Zbinden, Electron. Lett., Vol. 34, No. 22 pp.2116-2117, (1998)
【非特許文献３】"Secret-key Reconciliation by Public Discussion" G. Brassard and L. Salvail, in Advances in Cryptology - EUROCRYPT'93 Proceedings, Lecture Notes in Computer Science, Vol.765, p410-423
【非特許文献４】"Generalized Privacy Amplification" C. H. Bennett, G. Brassard, C. Crepeau, and U. M. Maurer, IEEE Trans. Inf. Theory, Vol.41, No.6, p1915
【非特許文献５】A. Tanaka、A. Tomita、A. Tajima、T. Takeuchi、S. Takahashi、and Y. Nambu、 Proc. of ECOC 2004, Tu4.5.3 (2004)
【発明の開示】
【発明が解決しようとする課題】
【００１９】
送信側と受信側で共有している暗号化鍵を更新する際、上述したように、更新鍵を公開鍵暗号によって暗号化して送る方法や予め更新用に設定した共通鍵を用いて暗号化して送る方法は、膨大な計算量が必要である点に安全性の根拠がある。このために、計算機の性能向上や暗号解読アルゴリズムの進化といった暗号解読技術の進化によって秘匿性が低下するという問題があった。例えば、共通鍵暗号であるＤＥＳの解読時間を競う５６ｂｉｔ ＤＥＳ解読コンテストの解読日数は１９９７年に９６日間であったものが、１９９９年には２２時間に短縮されている。公開鍵暗号についても、ＲＳＡ公開鍵暗号解読が１９９４年に鍵長４２９ｂｉｔに対して８ヶ月要していたものが、２００４年には鍵長５７６ｂｉｔに対して約３ヶ月と解読技術が進化している。
【００２０】
これに対して、量子暗号鍵配布技術（ＱＫＤ）は、より安全性の高いシステムを実現することについて研究開発がなされてきたため、鍵の安全度については、どんな攻撃があっても理論上絶対に盗聴できないということにのみ着目していた。そのため、ＱＫＤでは１パルスあたりの平均光子数１．０個以下に固定されている。
【００２１】
その際に想定される盗聴方法は、現時点で最強の盗聴方法と考えられているPhoton Number Splitting(ＰＮＳ)攻撃である。ＰＮＳ攻撃は、光子２個以上のパルスから１個を盗み、さらに光子１個のパルスからは光子を相関させて盗むという方法であるが、実現は困難であり非現実的でさえある。
【００２２】
比較的実現性がある盗聴方法としては、偽ＢｏｂとなってＡｌｉｃｅから受信し、偽ＡｌｉｃｅとなってＢｏｂへ再送信するIntercept/Resend攻撃が知られている。この盗聴が存在すると誤り率は原理的に２５％になる。また、光子２個以上のパルスから１個を盗む方法（Beam splitting攻撃１）も知られているが、この盗聴方法では、Ｂｏｂに到達する光子数が減少するので盗聴検出が容易である。さらに、ＡｌｉｃｅとＢｏｂの途中の地点で光分岐させ、そこからＢｏｂまでを無損失伝送路に置換することで、Ｂｏｂまでの伝送損失に相当する強度の光を分岐して盗む方法（Beam splitting攻撃２）もあるが、この方法は無損失伝送路が非現実的である。更に実現が困難なものとしては、光子を相関させて量子状態を少しコピーして盗むIndividual (Incoherent)攻撃も知られている。このIndividual (Incoherent)攻撃のみを適用した場合には、盗聴情報量は光子数に依存しなくなる。上述したＰＮＳ攻撃は、上記Beam splitting攻撃２とIndividual (Incoherent)攻撃とを組み合わせた盗聴法である。
【００２３】
図１０は量子暗号鍵配布システムにおける平均光子数と伝送可能距離との関係を盗聴方法別に概略的に示したグラフである。各盗聴方法に対応する曲線は、当該盗聴方法を想定した場合にＡｌｉｃｅとＢｏｂとの間の共有情報量とＥｖｅの盗聴情報量とが等しくなる境界を意味しており、この場合の鍵生成速度は０となる。当該曲線より伝送距離が長くなると盗聴情報量の方が多くなって鍵生成不可能となり、当該曲線より短い伝送距離では共有情報量が多くなって鍵生成可能となり、短距離ほど鍵生成速度が高くなる。
【００２４】
このグラフから分かるように、ＰＮＳ対抗レベルの安全性を求める場合には１パルスあたりの平均光子数を１．０個よりかなり少なくすることが伝送距離の点で望ましいが、Beam splitting攻撃１に対抗するレベルの安全性であれば、平均光子数１．０〜４．０でも伝送距離をある程度維持することができる。
【００２５】
言い換えれば、光パルスの光子数を１．０以下に設定するのはＰＮＳクラスの攻撃に対抗するために必要であるが、常にこのような最高レベルの安全性が要求されるわけではない。ユーザによっては、安全度をある程度犠牲にしても伝送距離や鍵更新の速度あるいは鍵量を優先する場合もある。従来の量子暗号鍵配布システムでは、このような更新鍵の安全性についてユーザの要求を反映することができなかった。
【課題を解決するための手段】
【００２６】
本発明は上記従来の課題を解決しようとするものである。本発明者等は次の点に着目した。
【００２７】
（１）光パルスの光子数が多くなれば、送信できる情報量が増大する一方で第三者に盗聴される可能性も増大し（したがって安全度が低下し）、逆に光子数が減少すれば、送信できる情報量が減少し安全度が上昇すること、および
（２）秘匿増強処理において、上述したように、秘匿増強処理後の鍵量（新規乱数のビット数）Ｆは、誤り訂正後のＧビット鍵情報から盗聴者Ｅｖｅにより所有されているとみなされるｅＧビットの情報を差し引くことで求められること（Ｆ＝Ｇ−ｅＧ−Ｖ−Ｓ）。ただし、Ｖは残留エラー検知過程で開示されたビット数、Ｓはセキュリティパラメータであるが、ユーザ要求を反映するのはパラメータとしては盗聴可能性の割合ｅを用いるのが望ましい。盗聴可能性の割合ｅおよびセキュリティパラメータＳの両方を変化させることも可能である。
【００２８】
すなわち、光パルスの平均光子数および／または秘匿増強処理における盗聴可能性の割合ｅまたはセキュリティパラメータＳをユーザに要求に従って変更可能にすることで、ユーザの指定に従った鍵長／更新速度および安全度で暗号鍵を配布することが可能となる。
【００２９】
本発明によれば、複数の通信チャネルにより接続された第１通信器と第２通信器との間で共有される共有秘密情報は、ａ）前記共有すべき秘密情報に対してユーザが要求する安全度を入力し、ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に生成される。
【００３０】
本発明の実施例として、前記共有秘密情報の更新は、前記ａ）〜ｃ）あるいは前記ｂ）およびｃ）を実行することにより行われる。また、前記共有秘密情報に要求された安全度に応じて、前記共有秘密情報を用いた通信に対して課金することも可能である。
本発明の他の側面によれば、複数の通信チャネルにより接続された第１通信器と第２通信器との間で秘匿通信に使用される共有秘密情報を共有する方法は、ａ）共有すべき秘密情報に対してユーザが要求する安全度を入力し、ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで共有秘密情報を生成し、ｄ）前記ａ）−ｃ）を繰り返すことで複数の共有秘密情報を格納し、ｅ）前記秘匿通信に使用される共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択する、ことを特徴とする。一実施例として、前記複数の共有秘密情報は複数の安全度毎に格納されることが望ましい。
【００３１】
本発明による秘匿通信システムにおける第１通信器および第２通信器の各々は、共有秘密情報に対する安全度を入力する安全度制御手段と、一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成する第１生成手段と、前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、を有することを特徴とする。
【００３２】
前記第１通信器および前記第２通信器の各々は、さらに、前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段を有する。
【００３３】
本発明の実施形態によれば、予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することができる。また、複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することができる。
【００３４】
本発明の好ましい実施例によれば、前記複数の通信チャネルは光ファイバ伝送路に多重され、前記共通秘密情報は量子暗号鍵配布技術を用いて生成される。特に、前記第２生成手段は秘匿増強処理を実行し、前記安全度制御手段は、前記安全度に応じて前記秘匿増強処理における盗聴可能性を有する情報量の割合を変化させることが望ましい。
【００３５】
前記第１通信器は、前記安全度制御手段の制御に従って、前記一の通信チャネルの光パルスの平均光子数を変化させる可変光減衰手段をさらに有することができる。
【発明の効果】
【００３６】
本発明によれば、第１通信器と第２通信器との間で共有された第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に共有される共有秘密情報を生成するので、ユーザの要求に応じた安全性と情報量とを有する共有秘密情報（共通暗号鍵）を生成することができる。すなわち、更新する共通暗号鍵の安全度や鍵長／鍵更新速度をユーザの要求に従って設定することができ、さらにユーザの要求に応じた課金を行うこともできる。
【発明を実施するための最良の形態】
【００３７】
１．ＰＮＳを想定したシミュレーション
以下、盗聴者ＥｖｅがＰＮＳ攻撃を行うものと想定して本発明の基本的動作を説明する。他の盗聴方法を想定しても同様である。
【００３８】
図１（Ａ）はシミュレーションシステムを示すブロック図であり、（Ｂ）はそのシミュレーション結果を示すグラフである。ここでは、ＡｌｉｃｅとＢｏｂとの間にＰＮＳを行う盗聴者Ｅｖｅが介在し、伝送距離１０ｋｍ、伝送損失０．２５ｄＢ／ｋｍ、Ｂｏｂの誤り率５％固定とする。ただし、図１（Ｂ）のグラフでは、平均光子数の増大にしたがって増大するＢｏｂの情報量を基準としている。
【００３９】
図１（Ｂ）に示すように、Ｂｏｂが受信する情報量に対して、Ｅｖｅが盗聴したとみなされる情報量（安全でない鍵量）の割合は平均光子数が増大するに従って増大し、平均光子数１．０ではＢｏｂの情報量とＥｖｅの情報量とがほぼ等しくなる。言い換えれば、平均光子数が増大するに従って、ＰＮＳに対して安全な鍵量は減少し、平均光子数１．０になるとＢｏｂは安全な鍵情報を受信できなくなる。
【００４０】
このようなＰＮＳに対抗しようとすれば、平均光子数を１．０より小さく設定し、秘匿増強処理において、漏洩した可能性のある情報量ｅＧを除去することで安全な最終鍵を得る必要がある。しかしながら、ＰＮＳクラスの攻撃に対抗する安全性が要求されない場合には、Ｅｖｅの情報量ｅＧを全て除去する必要はない。後述するように、平均光子数μと振り落とされる情報の割合ｅDとを変更することで、ユーザの要求に応じて安全性と鍵量（鍵生成速度）との間の調整を図ることができる。
【００４１】
２．安全度／鍵量の制御
図２は平均光子数に対する秘匿増強後の鍵量および安全度の変化を示すグラフである。図２において、曲線１０はＰＮＳを想定した場合の完全秘匿増強後の鍵量の平均光子数に対する変化、曲線１１は秘匿増強を行わない場合の鍵量の平均光子数に対する変化、曲線１１ａは０．５ｅ秘匿増強後の鍵量の平均光子数に対する変化、曲線１２は曲線１１に対応する安全度の変化、曲線１２ａは曲線１１ａに対応する安全度の変化をそれぞれ示す。ただし、μは平均光子数、ＩＢはＢｏｂの情報量（鍵量）、ＩＥＶＥはＥｖｅの情報量（盗聴の可能性がある鍵量）である。
【００４２】
完全秘匿増強後の鍵量（曲線１０）はμ×（ＩＢ−ＩＥＶＥ）と表現でき、これはＦ＝Ｇ−ｅＧに対応する。すなわち、完全秘匿増強とは、Ｅｖｅに盗まれた情報量を完全に排除する秘匿増強という。秘匿増強なしの鍵量（曲線１１）はμ×ＩＢと表現でき、これはＦ＝Ｇに対応する。秘匿増強により除去される情報量をｅD×Ｇとすれば、ｅDを０とｅとの間で変化させることで曲線１１と曲線１０との間の任意の曲線で示される秘匿増強設定を選択することができる。図２の曲線１１ａは、ｅD＝０．５とした場合の鍵量の変化を示す。ｅDを任意の値に設定することで、曲線１０より更に鍵量を減少させ（安全性を上昇させ）、あるいは曲線１１より更に鍵量を増大させる（安全性を低下させる）ことも可能である。
【００４３】
ここで、安全度を（安全な鍵量）／（秘匿増強後の残留鍵量）と定義し、（安全な鍵量）＝（１−ｅ）Ｇ、（秘匿増強後の残留鍵量）＝（１−ｅD）Ｇとすることで、安全度＝（１−ｅ）／（１−ｅD）を得る。Ｅｖｅに盗まれた情報量を完全に排除する完全秘匿増強の場合には、ｅD＝ｅとなり、安全度＝１である。秘匿増強なしの場合には、ｅD＝０であり、安全度＝１−ｅとなる。このように安全度を定義すれば、ｅDを選択することで設定された鍵量曲線に対応する安全度の曲線を得ることができる。図２における曲線１２ａはｅD＝０．５とした場合の安全度の変化を示す。このように、ユーザの要求に応じた安全性で暗号鍵を更新できるように、秘匿増強処理での振り落とし情報量ｅD×Ｇおよび／または平均光子数μを決定することができる。なお、セキュリティパラメータＳを変更することで秘匿増強設定を選択することもできる。以下、本発明を適用した通信システムについて具体的に説明する。
【００４４】
３．第１実施形態
図３は本発明の第１実施形態による通信システムの概略的構成を示すブロック図である。本実施形態では送信器１００と受信器２００とが光ファイバ伝送路３００を介して接続されている場合を例示する。
【００４５】
送信器１００は、量子暗号鍵配布（ＱＫＤ）部１１０、安全度制御部１２０および暗号化／符号化部１３０を含んで構成される。ＱＫＤ部１１０にはＱＫＤ送信器（ＴＸ）１１１および可変光減衰器（ＡＴＴ）１１２が設けられている。受信器２００は、量子暗号鍵配布（ＱＫＤ）部２１０、安全度制御部２２０および暗号化／符号化部２３０を含んで構成される。ＱＫＤ部２１０にはＱＫＤ受信器（ＲＸ）２１１が設けられている。
【００４６】
安全度制御部１２０は、ユーザ要求に応じてＴＸ１１１の秘匿増強設定およびＡＴＴ１１２の減衰量を制御し、安全度制御部２２０は、ＲＸ２１１に対して、ＴＸ１１１と同様の秘匿増強処理制御を行う。
【００４７】
送信器１００のＴＸ１１１は、既に述べたように、鍵の素となる乱数に従って光パルスを位相変調し、位相変調された光パルスがＡＴＴ１１２によって減衰し、量子チャネル３０１を通して受信器２００へ送信される。受信器２００のＲＸ２１１は、到達した光パルスを乱数によって位相変調し、干渉によって生鍵を検出する。続いて、ＴＸ１１１とＲＸ２１１とは、古典チャネル３０２を通して鍵生成のためのシーケンス、すなわち上述した基底照合および誤り訂正処理が実行され、さらに本発明による安全度制御に従った秘匿増強処理が実行される。
【００４８】
送信器１００の安全度制御部１２０と受信器２００の安全度制御部２２０とは古典チャネル３０３を通して通信可能である。送信器１００の安全度制御部１２０は、ユーザの要求に応じてＴＸ１１１の秘匿増強設定（ｅDの選択）を行い、更に必要に応じてＡＴＴ１１２の減衰量を制御する。選択されたｅDは古典チャネル３０３を通して受信側の安全度制御部２２０へ通知される。受信器２００の安全度制御部２２０は、通知されたｅDに従ってＲＸ２１１における秘匿増強処理を制御する。
【００４９】
こうしてＴＸ１１１およびＲＸ２１１により最終的な暗号鍵が生成されると、安全度制御部１２０および２２０はそれぞれ暗号化/復号化部１３０および２３０へ最終の暗号鍵を出力する。この暗号鍵を用いてユーザ信号の暗号化／復号化が行われる。このようにユーザの要求する安全性や鍵量あるいは鍵生成速度に従って暗号鍵を更新することができるために、状況に応じたユーザの判断を暗号鍵の生成に反映させることができ、適切な暗号鍵の更新が可能となる。
【００５０】
なお、受信側のユーザが安全度制御部２２０にユーザ要求を与えてもよい。安全度制御部２２０は、安全度制御部１２０と同様に、ユーザの要求に応じてＲＸ２１１の秘匿増強設定（ｅDの選択）を行い、選択されたｅDを古典チャネル３０３を通して送信側の安全度制御部１２０へ通知する。送信器１００の安全度制御部１２０は、通知されたｅDに従ってＲＸ１１１における秘匿増強処理を制御する。以下同様にして、ＴＸ１１１およびＲＸ２１１により最終的な暗号鍵が生成されると、安全度制御部１２０および２２０はそれぞれ暗号化/復号化部１３０および２３０へ最終の暗号鍵を出力し、この暗号鍵を用いてユーザ信号の暗号化／復号化が行われる。
【００５１】
なお、上述したところから、本発明は量子暗号鍵配布システム一般に適用可能であることは明白であり、後述する実施例で示されるPlug & Play方式に限定されるものではなく、単一伝送方式であっても同様に適用可能である。
【００５２】
また、上述した、ＴＸ１１１およびＲＸ２１１で実行される鍵生成プロセス、安全度制御部１２０および２２０の制御、および暗号化／復号化部１３０および２３０の動作は、プログラム制御プロセッサあるいはコンピュータ上で対応するプログラムを実行することにより実現することもできる。
【実施例１】
【００５３】
本発明の第１実施例による秘匿通信システムとして、Plug & Play方式の量子暗号鍵配布(QKD)システムを説明する。
【００５４】
図４（Ａ）は送信側ＴＸ１１１の一例を示すブロック図、（Ｂ）は受信側ＲＸ２１１の一例を示すブロック図、（Ｃ）は送信側および受信側の暗号化／復号化部１３０および２３０の一例を示すブロック図である。
【００５５】
まず受信側ＲＸ２１１において、ドライバ２１１−１１により駆動されたレーザ光源２１１−１０は光パルスＰを出射し、偏光保存光サーキュレータ２１１−７を通して偏光保存光カプラ２１１−６により２分割される。分割された一方の光パルスＰ１は短いパスを通って直接ＰＢＳ２１１−１へ送られ、分割された他方の光パルスＰ２は長いパスに設けられた位相変調器２１１−２を通してＰＢＳ２１１−１へ送られる。これら光パルスＰ１およびＰ２はＰＢＳ２１１−１で合波され、ダブルパルスとして波長合分波器（図示せず）および量子チャネル３０１を通して送信器１００へ送信される。
【００５６】
送信器１００において、波長合分波器（図示せず）およびＡＴＴ１１２を通して到来したダブルパルスＰ１およびＰ２は、ファラデーミラー１１１−１で偏光を９０度回転させて折り返し、光パルスＰ２のみが位相変調器１１１−２によって変調されて受信器２００へ送信される。位相変調器１１１−２はドライバ１１１−３によって駆動され、位相変調の深さは乱数発生部１１１−４で発生した乱数によって０、π/２、π、３/２ πの４位相のいずれかとなる。以下、位相変調された光パルスＰ２をＰ２*aと記す。
【００５７】
受信側ＲＸ２１１のＰＢＳ２１１−１は、送信器１００から受信した光パルスＰ１およびＰ２*aの偏光状態が９０度回転していることから、これら受信パルスをそれぞれ送信時とは異なるパスへ導く。すなわち受信した光パルスＰ１は長いパスを通り、位相変調器２１１−２で位相変調され、位相変調された光パルスＰ１*bが光カプラ２１１−６に到達する。位相変調器２１１−２はドライバ２１１−３により駆動され、その際の位相変調の深さは乱数生成器２１１−４で発生した乱数によって０、π/２の２位相のいずれかとなる。他方、光パルスＰ２*aは送信時とは異なる短いパスを通って同じく光カプラ２１１−６に到達する。
【００５８】
こうしてＴＸ１１１で位相変調された光パルスＰ２*aとＲＸ２１１で位相変調された光パルスＰ１*bとが干渉し、その結果が光子検出器ＡＰＤ２１１−８またはＡＰＤ２１１−９により検出される。それぞれの検出データは受信回路２１１−１２に順次格納され、生鍵として鍵生成部２１１−５へ出力される。
【００５９】
ＴＸ１１１の鍵生成部１１１−５とＲＸ２１１の鍵生成部２１１−５とは、古典チャネル３０２を通して、既に述べたＢＢ８４プロトコルに従って基底照合および誤り訂正を実行し、さらに安全度制御部１２０および２２０からの制御信号(Cont.)に従って本実施例による秘匿増強処理を実行することで、ユーザ要求に応じた暗号鍵を共有する。こうして更新された暗号鍵が暗号化／復号化部１３０および２３０にそれぞれ出力される。
【００６０】
更新された暗号鍵を用いて、暗号化／復号化部１３０はユーザ信号を暗号化し古典チャネル３０４を通じて受信器２００へ伝送し、受信器２００の暗号化／復号化部２３０は受信した暗号化信号を更新された暗号鍵を用いて復号化する。本実施例では、暗号化／復号化部１３０及び２３０は、図４（Ｃ）に示すようなＡＥＳ(Advanced Encryption Standard)暗号に従い、鍵長はユーザ要求に応じて１２８／１９２／２５６ビットから選択される。また、本実施例では、暗号化通信は双方向通信であるので、暗号化／復号化部２３０で暗号化して伝送したユーザ信号を暗号化／復号化部１３０で復号化するという使い方もできる。このときユーザの更新する暗号鍵に対する要求は、安全度制御部２２０から古典チャネル３０３を通じて送信器１００に含まれる安全度制御部１２０へ伝えられ、更新時にその要求が反映される。
【実施例２】
【００６１】
本発明の第２実施例による秘匿通信システムとして、Vernam暗号およびＰＢＳループを用いたPlug & Play方式の量子暗号鍵配布システムを説明する。
【００６２】
図５（Ａ）は送信側および受信側の暗号化／復号化部１３０および２３０の他の例を示すブロック図、（Ｂ）は送信側ＴＸ１１１の他の例を示すブロック図である。本実施例では、図５（Ａ）に示すように、本実施例における暗号化／復号化部１３０および２３０は、Vernam暗号を用いている。Vernam暗号は、平文と暗号化の鍵が全く同じ長さの暗号であるために、通信速度は鍵の更新速度とほぼ等しくなる。暗号化／復号化部１３０および２３０は、安全度制御部１２０、２２０によって通知される鍵更新速度情報によってデータ通信の速度を制御してVernam暗号によって秘匿通信を行う。安全度制御部１２０、２２０は、ユーザの要求に基づいて更新する鍵の鍵更新速度を設定する。
【００６３】
送信側ＴＸ１１１は、図５（Ｂ）に示すように、交互シフト位相変調型のＱＫＤ送信器である（非特許文献５参照）。上述したように、送信器１００から到来したダブルパルスＰ１およびＰ２はＰＢＳ１１１−６でさらに分離され、時計回りのダブルパルスＰ１CWおよびＰ２CWと反時計回りのダブルパルスＰ１CCWおよびＰ２CCWの４つのパルス、すなわちカルテットパルスとなって位相変調器１１１−２をそれぞれ反対方向で通過し、それぞれ出射したポートとは反対のＰＢＳポートへ入射する。
【００６４】
位相変調器１１１−２は、時計回りのダブルパルスの後方のパルスＰ２CWを前方のパルスＰ１CWに対して位相変調するとともに、反時計回りのダブルパルスと時計回りのダブルパルスとの間にπの位相差を与える。位相変調器１１１−２は、乱数生成器１１１−４の乱数に従ってドライバ１１１−３により駆動され、カルテットパルスの各パルスに位相変調を施す。
【００６５】
このように位相変調されたカルテットパルスはＰＢＳ１１１−６で合波され再びダブルパルスに戻る。上述したように後方のパルスのみが伝送情報により位相変調されたので出射ダブルパルスはＰ１およびＰ２*aとなる。このときＰＢＳループ入射時に対して出射時は偏波が９０°回転しているので、結果的にファラデーミラーと同等の効果が得られる。その他の構成および動作は第１実施例と同様であるから説明は省略する。
【００６６】
４．第２実施形態
上述した第１実施形態では、ユーザ要求に応じた安全度や鍵量／鍵生成速度で最終的な暗号鍵が生成されるが、本発明の第２実施形態では、ユーザからの要求を予め受け付けておき、事前に固定長の暗号鍵を複数個生成して格納しておく。すなわち、予めユーザ要求に応じた安全度に対応する暗号鍵を複数個生成して厳重に格納しておき、暗号鍵を更新する際に、格納された複数の暗号鍵から１つを選択して暗号化／復号化部へ出力する。ただし、Vernam暗号の場合は鍵とデータとが同じ長さとなり鍵は固定長ではない。
【００６７】
本発明の第２実施形態によれば、予め定められた安全度の暗号鍵を複数個上述したように生成しておき、安全度制御部１２０および２２０にはこれら複数の暗号鍵を格納する鍵ストレージが設けられている。安全度制御部１２０および２２０は、ユーザ要求に従って指定された安全度の暗号鍵を１つ選択して暗号化／復号化部１３０および２３０へそれぞれ出力する。予め暗号鍵が保管されているので、迅速な鍵更新が可能となる。なお鍵ストレージはタンパレジスタント対応である。その他安全度に応じた鍵の生成、秘匿通信方法については第１実施形態と同様である。
【００６８】
５．第３実施形態
図６は本発明の第２実施形態による通信システムの概略的構成を示すブロック図である。本実施形態によるシステムは複数のユーザにそれぞれの要求に応じた安全度の秘匿通信を提供することができる。
【００６９】
送信器１０１は、量子暗号鍵配布（ＱＫＤ）部１１０、安全度制御部１２２、暗号化／符号化部１３２および鍵サーバ１４０を含んで構成される。ＱＫＤ部１１０は第１実施形態と同様にＱＫＤ送信器（ＴＸ）１１１および可変光減衰器（ＡＴＴ）１１２が設けられている。受信器２０１は、量子暗号鍵配布（ＱＫＤ）部２１０、安全度制御部２２２、暗号化／符号化部２３２および鍵サーバ２４０を含んで構成される。ＱＫＤ部２１０は第１実施形態と同様にＱＫＤ受信器（ＲＸ）２１１が設けられている。安全度制御部１２２および２２２と暗号化／復号化部１３３および２３３とは複数ユーザ１〜Ｍの秘匿通信に対応したものとなっている。
【００７０】
鍵サーバ１４０および２４０には、予め定められた複数の安全度にそれぞれ対応した複数の暗号鍵が上述したように生成され、安全度毎に厳重に保存管理されている。これらの安全度は予め複数のユーザ１〜Ｍにより要求されたものであってもよい。暗号化／復号化部１３３および２３３は、ユーザからのユーザ信号を受信すると、対応するユーザの要求に従って暗号鍵を鍵サーバ１４０および２４０から選択し、選択された暗号鍵を用いてユーザ信号を暗号化／復号化する。
【００７１】
図７は第３実施形態によるシステムの鍵サーバの構成を示すブロック図である。図７に示すように、鍵サーバ１４０および２４０は、それぞれ安全度に対応した複数の鍵ストレージ４２、４３を有し、安全度を指定された選択部４１を通して暗号鍵が対応する鍵ストレージに登録され、安全度が選択された選択部４４によって対応する鍵ストレージから暗号鍵が選択され出力される。当然のことながら、鍵ストレージ４２、４３はタンパレジスタント対応となっている。その他安全度に応じた鍵の生成、秘匿通信方法については第１実施形態と同様である。
【００７２】
６．適用例
上述したように、ユーザ要求に応じた安全度や鍵量／鍵生成速度で最終的な暗号鍵が生成され、その暗号鍵を用いてユーザ信号の暗号化および復号化が行われる。本発明によるシステムでは、このような安全度や鍵量／鍵生成速度の指定に対して安全度や鍵量／鍵生成速度に応じた課金を行うことができる。
【００７３】
システム構成としては、図３あるいは図６の送信器および受信器に課金機能を設けることができる。あるいは、図示されていないシステム管理装置に課金機能を設けてもよい。
【００７４】
なお、上述した、ＴＸ１１１およびＲＸ２１１で実行される鍵生成プロセス、安全度制御部１２２および２２２の制御、暗号化／復号化部１３２および２３２の動作および課金機能は、プログラム制御プロセッサあるいはコンピュータ上で対応するプログラムを実行することにより実現することもできる。
【産業上の利用可能性】
【００７５】
量子暗号鍵配布技術に代表される共通暗号鍵配布技術を用いた秘匿情報通信に利用可能である。量子暗号鍵配布技術は、Plug & Play方式に限らず、単一方向型でも構わない。量子暗号鍵配布プロトコルは、ＢＢ８４プロトコルに限らず、Ｂ９２でもＥ９１でも問題なく、上記実施例は本発明を限定するものではない。
【図面の簡単な説明】
【００７６】
【図１】（Ａ）はシミュレーションシステムを示すブロック図であり、（Ｂ）はそのシミュレーション結果を示すグラフである。
【図２】平均光子数に対する秘匿増強後の鍵量および安全度の変化を示すグラフである。
【図３】本発明の第１実施形態による通信システムの概略的構成を示すブロック図である。
【図４】（Ａ）は送信側ＴＸ１１１の一例を示すブロック図、（Ｂ）は受信側ＲＸ２１１の一例を示すブロック図、（Ｃ）は送信側および受信側の暗号化／復号化部１３０および２３０の一例を示すブロック図である。
【図５】（Ａ）は送信側および受信側の暗号化／復号化部１３０および２３０の他の例を示すブロック図、（Ｂ）は送信側ＴＸ１１１の他の例を示すブロック図である。
【図６】本発明の第２実施形態による通信システムの概略的構成を示すブロック図である。
【図７】第３実施形態によるシステムの鍵サーバの構成を示すブロック図である。
【図８】ＢＢ８４プロトコルによる量子暗号鍵配布方法の概念を示す模式図である。
【図９】一般的な量子暗号鍵生成の流れを示すフローチャートである。
【図１０】量子暗号鍵配布システムにおける平均光子数と伝送可能距離との関係を盗聴方法別に概略的に示したグラフである。
【符号の説明】
【００７７】
１００ 送信器
２００ 受信器
１１０ ２１０ 量子暗号鍵配布(QKD)部
１１１ 量子暗号鍵配布送信器（ＴＸ）
２１１ 量子暗号鍵配布受信器（ＲＸ）
１１２ 可変光減衰器（ＡＴＴ）
１２０、２２０、１２１、２２１ 安全度制御部
１３０、２３０、１３２、２３２ 暗号化／復号化部
１４０、２４０ 鍵サーバ
４１ 選択部
４２、４３ 鍵ストレージ
４４ 選択部
３００ 光ファイバ伝送路
３０１ 量子チャネル
３０２〜３０５ 古典チャネル
【技術分野】
【０００１】
本発明は秘匿通信システムに係り、特に秘密情報を送信器および受信器の双方で共有する方法およびシステムに関する。
【背景技術】
【０００２】
インターネットは様々なデータが行き交う経済社会インフラとなっており、それゆえにネット上を流れるデータを盗聴リスクから事前に守る予防策を整えることが重要な課題となっている。予防策の一つとして、通信するデータを暗号化する秘匿通信システムが挙げられる。暗号化の方法としては、共通鍵暗号と公開鍵暗号の二種類がある。
【０００３】
共通鍵暗号は、ＡＥＳ(Advanced Encryption Standard)に代表されるように暗号化と復号化に共通の暗号化鍵を用いる方式で高速処理が可能である。そのため本方式はデータ本体の暗号化に用いられている。
【０００４】
一方、公開鍵暗号はＲＳＡ暗号方式に代表されるように一方向性関数を用いた方式で、公開鍵によって暗号化を行い、秘密鍵によって復号化を行う。高速処理には適していないため、共通鍵方式の暗号鍵配送などに用いられている。
【０００５】
データの暗号化によって秘匿性を確保する秘匿通信において、秘匿性を確保するために重要なことは、たとえ盗聴者によって暗号化データを盗聴されたとしても、その暗号化データを解読されないことである。そのため、暗号化に同じ暗号鍵を使い続けないことが必要である。それは、同じ暗号鍵を使い続けて暗号化していると、盗聴された多くのデータから暗号鍵を推測される可能性が高くなるからである。
【０００６】
そこで送信側と受信側で共有している暗号化鍵を更新することが求められる。鍵更新時には更新する鍵を盗聴・解読されないことが必須であるので、（１）公開鍵暗号によって暗号化して送る方法、（２）予め鍵更新用に設定した共通鍵であるマスター鍵を用いて暗号化して送る方法、の大きく二通りがある。たとえば特開２００２−３４４４３８号公報（特許文献１）および特開２００２−３００１５８号公報（特許文献２）を参照のこと。これらの方法における安全性は、解読するための計算量が膨大であることに依っている。
【０００７】
一方、量子暗号鍵配布技術（ＱＫＤ）は、通常の光通信とは異なり、１ビットあたりの光子数を1個として伝送することにより送信−受信間で暗号鍵を生成・共有する技術であり、量子力学によって盗聴が不可能であることが証明されている暗号鍵共有技術である（非特許文献１および２参照）。但し、完全な単一光子源が存在していないので、実際には、コヒーレント光を減衰させることで、１パルスあたりの平均光子数が１以下、すなわち１パルスに光子が２個以上存在する確率を小さくして用いている。
【０００８】
非特許文献１を参照して、ＢＢ８４プロトコルと呼ばれる最も代表的な量子暗号鍵配送アルゴリズムについて簡単に説明する。
【０００９】
図８はＢＢ８４プロトコルによる量子暗号鍵配布方法の概念を示す模式図である。ここではＡｌｉｃｅ（送信器）１４１とＢｏｂ（受信器）１４３とが光伝送路１４２で接続されているものとする。この方法では、Ａｌｉｃｅ１４１が乱数源を２つ持ち、一方の乱数１を暗号鍵の素データ、他方の乱数２を基底とし、これらの組み合わせにより１つの光子に対して、０、π／２、π、３π／２の４通りの変調をランダムに施してＢｏｂ１４３へ送信する。
【００１０】
一方、Ｂｏｂ１４３では基底に対応する乱数源（乱数３）を持ち、Ａｌｉｃｅ１４１より送られてきた光子に対して、乱数３の値が“０”である場合には位相０（＋基底）の変調を、“１”である時には位相π／２（×基底）の変調を施す。これによって、Ａｌｉｃｅ１４１とＢｏｂ１４３の両者が施した変調の基底が同一である場合（乱数２＝乱数３）、乱数１の値をＢｏｂ１４３は正しく検出することができ（乱数１＝乱数４）、異なる場合（乱数２≠乱数３）には乱数１の値に依らずＢｏｂ１４３は乱数４として０／１の値をランダムに得る。乱数１／２／３は共に１ビット毎に変化する乱数であるから、基底が一致する確率と不一致である確率は共に５０％となるが、後段の基底照合(Basis Reconciliation)によって基底が不一致となるビットを削除するから、Ａｌｉｃｅ１４１とＢｏｂ１４３は乱数１に対応する０／１ビット列を共有することができる。
【００１１】
図９は、一般的な量子暗号鍵生成の流れを示すフローチャートである。上述したように、量子暗号鍵配布によりＡｌｉｃｅおよびＢｏｂの間の変調位相深さの差によって０または１の出力（生鍵）が得られ、その後、基底の一部分を照合することにより基底が一致したビット列（選別鍵）を共有する（基底処理）。先行文献としては、特開２０００−１７４７４７号公報（特許文献３）に量子チャネルと古典チャネルとを用いて送信側および受信側で選別鍵を共有する量子暗号装置が開示されている。
【００１２】
しかしながら、上記のようにして共有したビット列には伝送路１４２や受信器に起因する誤りが含まれており、この誤りを訂正する誤り訂正処理(Error Correction)が必要となる。加えて伝送路途中に存在する盗聴者が光子情報を覗き見た場合にも共有ビット列に誤りが発生する。したがって、最終的に使用する暗号鍵を共有するためには、誤りを訂正する誤り訂正処理だけでなく、誤りの頻度（誤り率）に基づいて、盗聴されたと想定し得る情報量を削減する秘匿増強処理(Privacy Amplification)が必要となる。
【００１３】
（誤り訂正）
誤り訂正処理としては、たとえば非特許文献３に示されたような方法がある。この方法では、送信器および受信器において選別鍵のビット列を複数のブロックに分割し、各ブロックのパリティを照合することによって誤りを含むブロックを特定し、当該ブロックに関してハミング符号を適用する等して誤り訂正を行う。加えて、１つのブロック内に偶数個の誤りを含む場合を想定し、ビット列をランダムに並び替えて再度パリティ照合並びに誤り訂正を行う。このような確認作業を複数回（Ｖ回）繰り返すことによって秘密ビット列の残留エラー検知を行う。たとえば、パリティ検査ビット数を選別鍵ビット数の約半数とすれば、パリティ照合をＶ回繰り返した場合、残留エラーが検知できない確率は１／２V以下となる。このようなパリティ公開によってＶビットの情報量が第三者に漏れているので、Ｖビットの鍵を破棄する。この誤り訂正過程を経て、Ｇビットの鍵情報が残ったとする。
【００１４】
（秘匿増強）
秘匿増強処理としては非特許文献４に示されたような方法がある。秘匿増強処理は、鍵配布中に漏洩した可能性のある情報量を除去し新たな乱数を生成する過程である。ここではＧビットの鍵情報をＦビット（Ｆ＜Ｇ）に振るい落とす。具体的には、次のような手順となる。
【００１５】
Ａｌｉｃｅは内部で乱数（パリティ計算ビット）を生成し、自身の保有するＧビットの鍵情報に対して上記乱数で指定されたビット位置のパリティを計算し、そのパリティを鍵の１ビット目とし、それら乱数(パリティ計算ビット)をＢｏｂに送信する。Ｂｏｂは受け取った乱数に基づいて自身の保有するＧビットの鍵情報のパリティを計算し、そのパリティを鍵の１ビット目とする。このような作業を繰り返し、伝送路において盗聴されたと考えうる分の情報量を破棄して、新たなＦビットの最終鍵を作成する。盗聴者は、パリティ計算ビットの全てを知らないと秘匿増強後の新乱数（最終鍵）を知ることができない。
【００１６】
誤り訂正後のＧビット鍵情報に対して上記秘匿増強処理を実行し、Ｆビットの新規乱数を生成する場合、新規乱数のビット数Ｆは次式により表される。
【００１７】
Ｆ＝Ｇ−ｅＧ−Ｖ−Ｓ
ここで、ｅは量子通信を盗聴されて盗まれた情報の割合であり、ｅＧビットの情報が盗聴者Ｅｖｅにより所有されているものとみなされる。Ｖは残留エラー検知過程で開示されたビット数である。Ｓは秘匿増強におけるセキュリティパラメータであり、大きいほど完全秘匿に近づく。
【００１８】
【特許文献１】特開２００２−３４４４３８号公報
【特許文献２】特開２００２−３００１５８号公報
【特許文献３】特開２０００−１７４７４７号公報
【非特許文献１】"QUANTUM CRYPTOGRAPHY: PUBLIC KEY DISTRIBUTION AND COIN TOSSING" C. H. Bennett and G. Brassard, IEEE Int. Conf. on Computers, Systems, and Signal Processing, Bangalore, India, December 10-12, 1984 pp.175-179
【非特許文献２】"Automated 'plug & play' quantum key distribution" G. Ribordy, J. Gauiter, N. Gisin, O. Guinnard and H. Zbinden, Electron. Lett., Vol. 34, No. 22 pp.2116-2117, (1998)
【非特許文献３】"Secret-key Reconciliation by Public Discussion" G. Brassard and L. Salvail, in Advances in Cryptology - EUROCRYPT'93 Proceedings, Lecture Notes in Computer Science, Vol.765, p410-423
【非特許文献４】"Generalized Privacy Amplification" C. H. Bennett, G. Brassard, C. Crepeau, and U. M. Maurer, IEEE Trans. Inf. Theory, Vol.41, No.6, p1915
【非特許文献５】A. Tanaka、A. Tomita、A. Tajima、T. Takeuchi、S. Takahashi、and Y. Nambu、 Proc. of ECOC 2004, Tu4.5.3 (2004)
【発明の開示】
【発明が解決しようとする課題】
【００１９】
送信側と受信側で共有している暗号化鍵を更新する際、上述したように、更新鍵を公開鍵暗号によって暗号化して送る方法や予め更新用に設定した共通鍵を用いて暗号化して送る方法は、膨大な計算量が必要である点に安全性の根拠がある。このために、計算機の性能向上や暗号解読アルゴリズムの進化といった暗号解読技術の進化によって秘匿性が低下するという問題があった。例えば、共通鍵暗号であるＤＥＳの解読時間を競う５６ｂｉｔ ＤＥＳ解読コンテストの解読日数は１９９７年に９６日間であったものが、１９９９年には２２時間に短縮されている。公開鍵暗号についても、ＲＳＡ公開鍵暗号解読が１９９４年に鍵長４２９ｂｉｔに対して８ヶ月要していたものが、２００４年には鍵長５７６ｂｉｔに対して約３ヶ月と解読技術が進化している。
【００２０】
これに対して、量子暗号鍵配布技術（ＱＫＤ）は、より安全性の高いシステムを実現することについて研究開発がなされてきたため、鍵の安全度については、どんな攻撃があっても理論上絶対に盗聴できないということにのみ着目していた。そのため、ＱＫＤでは１パルスあたりの平均光子数１．０個以下に固定されている。
【００２１】
その際に想定される盗聴方法は、現時点で最強の盗聴方法と考えられているPhoton Number Splitting(ＰＮＳ)攻撃である。ＰＮＳ攻撃は、光子２個以上のパルスから１個を盗み、さらに光子１個のパルスからは光子を相関させて盗むという方法であるが、実現は困難であり非現実的でさえある。
【００２２】
比較的実現性がある盗聴方法としては、偽ＢｏｂとなってＡｌｉｃｅから受信し、偽ＡｌｉｃｅとなってＢｏｂへ再送信するIntercept/Resend攻撃が知られている。この盗聴が存在すると誤り率は原理的に２５％になる。また、光子２個以上のパルスから１個を盗む方法（Beam splitting攻撃１）も知られているが、この盗聴方法では、Ｂｏｂに到達する光子数が減少するので盗聴検出が容易である。さらに、ＡｌｉｃｅとＢｏｂの途中の地点で光分岐させ、そこからＢｏｂまでを無損失伝送路に置換することで、Ｂｏｂまでの伝送損失に相当する強度の光を分岐して盗む方法（Beam splitting攻撃２）もあるが、この方法は無損失伝送路が非現実的である。更に実現が困難なものとしては、光子を相関させて量子状態を少しコピーして盗むIndividual (Incoherent)攻撃も知られている。このIndividual (Incoherent)攻撃のみを適用した場合には、盗聴情報量は光子数に依存しなくなる。上述したＰＮＳ攻撃は、上記Beam splitting攻撃２とIndividual (Incoherent)攻撃とを組み合わせた盗聴法である。
【００２３】
図１０は量子暗号鍵配布システムにおける平均光子数と伝送可能距離との関係を盗聴方法別に概略的に示したグラフである。各盗聴方法に対応する曲線は、当該盗聴方法を想定した場合にＡｌｉｃｅとＢｏｂとの間の共有情報量とＥｖｅの盗聴情報量とが等しくなる境界を意味しており、この場合の鍵生成速度は０となる。当該曲線より伝送距離が長くなると盗聴情報量の方が多くなって鍵生成不可能となり、当該曲線より短い伝送距離では共有情報量が多くなって鍵生成可能となり、短距離ほど鍵生成速度が高くなる。
【００２４】
このグラフから分かるように、ＰＮＳ対抗レベルの安全性を求める場合には１パルスあたりの平均光子数を１．０個よりかなり少なくすることが伝送距離の点で望ましいが、Beam splitting攻撃１に対抗するレベルの安全性であれば、平均光子数１．０〜４．０でも伝送距離をある程度維持することができる。
【００２５】
言い換えれば、光パルスの光子数を１．０以下に設定するのはＰＮＳクラスの攻撃に対抗するために必要であるが、常にこのような最高レベルの安全性が要求されるわけではない。ユーザによっては、安全度をある程度犠牲にしても伝送距離や鍵更新の速度あるいは鍵量を優先する場合もある。従来の量子暗号鍵配布システムでは、このような更新鍵の安全性についてユーザの要求を反映することができなかった。
【課題を解決するための手段】
【００２６】
本発明は上記従来の課題を解決しようとするものである。本発明者等は次の点に着目した。
【００２７】
（１）光パルスの光子数が多くなれば、送信できる情報量が増大する一方で第三者に盗聴される可能性も増大し（したがって安全度が低下し）、逆に光子数が減少すれば、送信できる情報量が減少し安全度が上昇すること、および
（２）秘匿増強処理において、上述したように、秘匿増強処理後の鍵量（新規乱数のビット数）Ｆは、誤り訂正後のＧビット鍵情報から盗聴者Ｅｖｅにより所有されているとみなされるｅＧビットの情報を差し引くことで求められること（Ｆ＝Ｇ−ｅＧ−Ｖ−Ｓ）。ただし、Ｖは残留エラー検知過程で開示されたビット数、Ｓはセキュリティパラメータであるが、ユーザ要求を反映するのはパラメータとしては盗聴可能性の割合ｅを用いるのが望ましい。盗聴可能性の割合ｅおよびセキュリティパラメータＳの両方を変化させることも可能である。
【００２８】
すなわち、光パルスの平均光子数および／または秘匿増強処理における盗聴可能性の割合ｅまたはセキュリティパラメータＳをユーザに要求に従って変更可能にすることで、ユーザの指定に従った鍵長／更新速度および安全度で暗号鍵を配布することが可能となる。
【００２９】
本発明によれば、複数の通信チャネルにより接続された第１通信器と第２通信器との間で共有される共有秘密情報は、ａ）前記共有すべき秘密情報に対してユーザが要求する安全度を入力し、ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に生成される。
【００３０】
本発明の実施例として、前記共有秘密情報の更新は、前記ａ）〜ｃ）あるいは前記ｂ）およびｃ）を実行することにより行われる。また、前記共有秘密情報に要求された安全度に応じて、前記共有秘密情報を用いた通信に対して課金することも可能である。
本発明の他の側面によれば、複数の通信チャネルにより接続された第１通信器と第２通信器との間で秘匿通信に使用される共有秘密情報を共有する方法は、ａ）共有すべき秘密情報に対してユーザが要求する安全度を入力し、ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで共有秘密情報を生成し、ｄ）前記ａ）−ｃ）を繰り返すことで複数の共有秘密情報を格納し、ｅ）前記秘匿通信に使用される共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択する、ことを特徴とする。一実施例として、前記複数の共有秘密情報は複数の安全度毎に格納されることが望ましい。
【００３１】
本発明による秘匿通信システムにおける第１通信器および第２通信器の各々は、共有秘密情報に対する安全度を入力する安全度制御手段と、一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成する第１生成手段と、前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、を有することを特徴とする。
【００３２】
前記第１通信器および前記第２通信器の各々は、さらに、前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段を有する。
【００３３】
本発明の実施形態によれば、予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することができる。また、複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することができる。
【００３４】
本発明の好ましい実施例によれば、前記複数の通信チャネルは光ファイバ伝送路に多重され、前記共通秘密情報は量子暗号鍵配布技術を用いて生成される。特に、前記第２生成手段は秘匿増強処理を実行し、前記安全度制御手段は、前記安全度に応じて前記秘匿増強処理における盗聴可能性を有する情報量の割合を変化させることが望ましい。
【００３５】
前記第１通信器は、前記安全度制御手段の制御に従って、前記一の通信チャネルの光パルスの平均光子数を変化させる可変光減衰手段をさらに有することができる。
【発明の効果】
【００３６】
本発明によれば、第１通信器と第２通信器との間で共有された第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に共有される共有秘密情報を生成するので、ユーザの要求に応じた安全性と情報量とを有する共有秘密情報（共通暗号鍵）を生成することができる。すなわち、更新する共通暗号鍵の安全度や鍵長／鍵更新速度をユーザの要求に従って設定することができ、さらにユーザの要求に応じた課金を行うこともできる。
【発明を実施するための最良の形態】
【００３７】
１．ＰＮＳを想定したシミュレーション
以下、盗聴者ＥｖｅがＰＮＳ攻撃を行うものと想定して本発明の基本的動作を説明する。他の盗聴方法を想定しても同様である。
【００３８】
図１（Ａ）はシミュレーションシステムを示すブロック図であり、（Ｂ）はそのシミュレーション結果を示すグラフである。ここでは、ＡｌｉｃｅとＢｏｂとの間にＰＮＳを行う盗聴者Ｅｖｅが介在し、伝送距離１０ｋｍ、伝送損失０．２５ｄＢ／ｋｍ、Ｂｏｂの誤り率５％固定とする。ただし、図１（Ｂ）のグラフでは、平均光子数の増大にしたがって増大するＢｏｂの情報量を基準としている。
【００３９】
図１（Ｂ）に示すように、Ｂｏｂが受信する情報量に対して、Ｅｖｅが盗聴したとみなされる情報量（安全でない鍵量）の割合は平均光子数が増大するに従って増大し、平均光子数１．０ではＢｏｂの情報量とＥｖｅの情報量とがほぼ等しくなる。言い換えれば、平均光子数が増大するに従って、ＰＮＳに対して安全な鍵量は減少し、平均光子数１．０になるとＢｏｂは安全な鍵情報を受信できなくなる。
【００４０】
このようなＰＮＳに対抗しようとすれば、平均光子数を１．０より小さく設定し、秘匿増強処理において、漏洩した可能性のある情報量ｅＧを除去することで安全な最終鍵を得る必要がある。しかしながら、ＰＮＳクラスの攻撃に対抗する安全性が要求されない場合には、Ｅｖｅの情報量ｅＧを全て除去する必要はない。後述するように、平均光子数μと振り落とされる情報の割合ｅDとを変更することで、ユーザの要求に応じて安全性と鍵量（鍵生成速度）との間の調整を図ることができる。
【００４１】
２．安全度／鍵量の制御
図２は平均光子数に対する秘匿増強後の鍵量および安全度の変化を示すグラフである。図２において、曲線１０はＰＮＳを想定した場合の完全秘匿増強後の鍵量の平均光子数に対する変化、曲線１１は秘匿増強を行わない場合の鍵量の平均光子数に対する変化、曲線１１ａは０．５ｅ秘匿増強後の鍵量の平均光子数に対する変化、曲線１２は曲線１１に対応する安全度の変化、曲線１２ａは曲線１１ａに対応する安全度の変化をそれぞれ示す。ただし、μは平均光子数、ＩＢはＢｏｂの情報量（鍵量）、ＩＥＶＥはＥｖｅの情報量（盗聴の可能性がある鍵量）である。
【００４２】
完全秘匿増強後の鍵量（曲線１０）はμ×（ＩＢ−ＩＥＶＥ）と表現でき、これはＦ＝Ｇ−ｅＧに対応する。すなわち、完全秘匿増強とは、Ｅｖｅに盗まれた情報量を完全に排除する秘匿増強という。秘匿増強なしの鍵量（曲線１１）はμ×ＩＢと表現でき、これはＦ＝Ｇに対応する。秘匿増強により除去される情報量をｅD×Ｇとすれば、ｅDを０とｅとの間で変化させることで曲線１１と曲線１０との間の任意の曲線で示される秘匿増強設定を選択することができる。図２の曲線１１ａは、ｅD＝０．５とした場合の鍵量の変化を示す。ｅDを任意の値に設定することで、曲線１０より更に鍵量を減少させ（安全性を上昇させ）、あるいは曲線１１より更に鍵量を増大させる（安全性を低下させる）ことも可能である。
【００４３】
ここで、安全度を（安全な鍵量）／（秘匿増強後の残留鍵量）と定義し、（安全な鍵量）＝（１−ｅ）Ｇ、（秘匿増強後の残留鍵量）＝（１−ｅD）Ｇとすることで、安全度＝（１−ｅ）／（１−ｅD）を得る。Ｅｖｅに盗まれた情報量を完全に排除する完全秘匿増強の場合には、ｅD＝ｅとなり、安全度＝１である。秘匿増強なしの場合には、ｅD＝０であり、安全度＝１−ｅとなる。このように安全度を定義すれば、ｅDを選択することで設定された鍵量曲線に対応する安全度の曲線を得ることができる。図２における曲線１２ａはｅD＝０．５とした場合の安全度の変化を示す。このように、ユーザの要求に応じた安全性で暗号鍵を更新できるように、秘匿増強処理での振り落とし情報量ｅD×Ｇおよび／または平均光子数μを決定することができる。なお、セキュリティパラメータＳを変更することで秘匿増強設定を選択することもできる。以下、本発明を適用した通信システムについて具体的に説明する。
【００４４】
３．第１実施形態
図３は本発明の第１実施形態による通信システムの概略的構成を示すブロック図である。本実施形態では送信器１００と受信器２００とが光ファイバ伝送路３００を介して接続されている場合を例示する。
【００４５】
送信器１００は、量子暗号鍵配布（ＱＫＤ）部１１０、安全度制御部１２０および暗号化／符号化部１３０を含んで構成される。ＱＫＤ部１１０にはＱＫＤ送信器（ＴＸ）１１１および可変光減衰器（ＡＴＴ）１１２が設けられている。受信器２００は、量子暗号鍵配布（ＱＫＤ）部２１０、安全度制御部２２０および暗号化／符号化部２３０を含んで構成される。ＱＫＤ部２１０にはＱＫＤ受信器（ＲＸ）２１１が設けられている。
【００４６】
安全度制御部１２０は、ユーザ要求に応じてＴＸ１１１の秘匿増強設定およびＡＴＴ１１２の減衰量を制御し、安全度制御部２２０は、ＲＸ２１１に対して、ＴＸ１１１と同様の秘匿増強処理制御を行う。
【００４７】
送信器１００のＴＸ１１１は、既に述べたように、鍵の素となる乱数に従って光パルスを位相変調し、位相変調された光パルスがＡＴＴ１１２によって減衰し、量子チャネル３０１を通して受信器２００へ送信される。受信器２００のＲＸ２１１は、到達した光パルスを乱数によって位相変調し、干渉によって生鍵を検出する。続いて、ＴＸ１１１とＲＸ２１１とは、古典チャネル３０２を通して鍵生成のためのシーケンス、すなわち上述した基底照合および誤り訂正処理が実行され、さらに本発明による安全度制御に従った秘匿増強処理が実行される。
【００４８】
送信器１００の安全度制御部１２０と受信器２００の安全度制御部２２０とは古典チャネル３０３を通して通信可能である。送信器１００の安全度制御部１２０は、ユーザの要求に応じてＴＸ１１１の秘匿増強設定（ｅDの選択）を行い、更に必要に応じてＡＴＴ１１２の減衰量を制御する。選択されたｅDは古典チャネル３０３を通して受信側の安全度制御部２２０へ通知される。受信器２００の安全度制御部２２０は、通知されたｅDに従ってＲＸ２１１における秘匿増強処理を制御する。
【００４９】
こうしてＴＸ１１１およびＲＸ２１１により最終的な暗号鍵が生成されると、安全度制御部１２０および２２０はそれぞれ暗号化/復号化部１３０および２３０へ最終の暗号鍵を出力する。この暗号鍵を用いてユーザ信号の暗号化／復号化が行われる。このようにユーザの要求する安全性や鍵量あるいは鍵生成速度に従って暗号鍵を更新することができるために、状況に応じたユーザの判断を暗号鍵の生成に反映させることができ、適切な暗号鍵の更新が可能となる。
【００５０】
なお、受信側のユーザが安全度制御部２２０にユーザ要求を与えてもよい。安全度制御部２２０は、安全度制御部１２０と同様に、ユーザの要求に応じてＲＸ２１１の秘匿増強設定（ｅDの選択）を行い、選択されたｅDを古典チャネル３０３を通して送信側の安全度制御部１２０へ通知する。送信器１００の安全度制御部１２０は、通知されたｅDに従ってＲＸ１１１における秘匿増強処理を制御する。以下同様にして、ＴＸ１１１およびＲＸ２１１により最終的な暗号鍵が生成されると、安全度制御部１２０および２２０はそれぞれ暗号化/復号化部１３０および２３０へ最終の暗号鍵を出力し、この暗号鍵を用いてユーザ信号の暗号化／復号化が行われる。
【００５１】
なお、上述したところから、本発明は量子暗号鍵配布システム一般に適用可能であることは明白であり、後述する実施例で示されるPlug & Play方式に限定されるものではなく、単一伝送方式であっても同様に適用可能である。
【００５２】
また、上述した、ＴＸ１１１およびＲＸ２１１で実行される鍵生成プロセス、安全度制御部１２０および２２０の制御、および暗号化／復号化部１３０および２３０の動作は、プログラム制御プロセッサあるいはコンピュータ上で対応するプログラムを実行することにより実現することもできる。
【実施例１】
【００５３】
本発明の第１実施例による秘匿通信システムとして、Plug & Play方式の量子暗号鍵配布(QKD)システムを説明する。
【００５４】
図４（Ａ）は送信側ＴＸ１１１の一例を示すブロック図、（Ｂ）は受信側ＲＸ２１１の一例を示すブロック図、（Ｃ）は送信側および受信側の暗号化／復号化部１３０および２３０の一例を示すブロック図である。
【００５５】
まず受信側ＲＸ２１１において、ドライバ２１１−１１により駆動されたレーザ光源２１１−１０は光パルスＰを出射し、偏光保存光サーキュレータ２１１−７を通して偏光保存光カプラ２１１−６により２分割される。分割された一方の光パルスＰ１は短いパスを通って直接ＰＢＳ２１１−１へ送られ、分割された他方の光パルスＰ２は長いパスに設けられた位相変調器２１１−２を通してＰＢＳ２１１−１へ送られる。これら光パルスＰ１およびＰ２はＰＢＳ２１１−１で合波され、ダブルパルスとして波長合分波器（図示せず）および量子チャネル３０１を通して送信器１００へ送信される。
【００５６】
送信器１００において、波長合分波器（図示せず）およびＡＴＴ１１２を通して到来したダブルパルスＰ１およびＰ２は、ファラデーミラー１１１−１で偏光を９０度回転させて折り返し、光パルスＰ２のみが位相変調器１１１−２によって変調されて受信器２００へ送信される。位相変調器１１１−２はドライバ１１１−３によって駆動され、位相変調の深さは乱数発生部１１１−４で発生した乱数によって０、π/２、π、３/２ πの４位相のいずれかとなる。以下、位相変調された光パルスＰ２をＰ２*aと記す。
【００５７】
受信側ＲＸ２１１のＰＢＳ２１１−１は、送信器１００から受信した光パルスＰ１およびＰ２*aの偏光状態が９０度回転していることから、これら受信パルスをそれぞれ送信時とは異なるパスへ導く。すなわち受信した光パルスＰ１は長いパスを通り、位相変調器２１１−２で位相変調され、位相変調された光パルスＰ１*bが光カプラ２１１−６に到達する。位相変調器２１１−２はドライバ２１１−３により駆動され、その際の位相変調の深さは乱数生成器２１１−４で発生した乱数によって０、π/２の２位相のいずれかとなる。他方、光パルスＰ２*aは送信時とは異なる短いパスを通って同じく光カプラ２１１−６に到達する。
【００５８】
こうしてＴＸ１１１で位相変調された光パルスＰ２*aとＲＸ２１１で位相変調された光パルスＰ１*bとが干渉し、その結果が光子検出器ＡＰＤ２１１−８またはＡＰＤ２１１−９により検出される。それぞれの検出データは受信回路２１１−１２に順次格納され、生鍵として鍵生成部２１１−５へ出力される。
【００５９】
ＴＸ１１１の鍵生成部１１１−５とＲＸ２１１の鍵生成部２１１−５とは、古典チャネル３０２を通して、既に述べたＢＢ８４プロトコルに従って基底照合および誤り訂正を実行し、さらに安全度制御部１２０および２２０からの制御信号(Cont.)に従って本実施例による秘匿増強処理を実行することで、ユーザ要求に応じた暗号鍵を共有する。こうして更新された暗号鍵が暗号化／復号化部１３０および２３０にそれぞれ出力される。
【００６０】
更新された暗号鍵を用いて、暗号化／復号化部１３０はユーザ信号を暗号化し古典チャネル３０４を通じて受信器２００へ伝送し、受信器２００の暗号化／復号化部２３０は受信した暗号化信号を更新された暗号鍵を用いて復号化する。本実施例では、暗号化／復号化部１３０及び２３０は、図４（Ｃ）に示すようなＡＥＳ(Advanced Encryption Standard)暗号に従い、鍵長はユーザ要求に応じて１２８／１９２／２５６ビットから選択される。また、本実施例では、暗号化通信は双方向通信であるので、暗号化／復号化部２３０で暗号化して伝送したユーザ信号を暗号化／復号化部１３０で復号化するという使い方もできる。このときユーザの更新する暗号鍵に対する要求は、安全度制御部２２０から古典チャネル３０３を通じて送信器１００に含まれる安全度制御部１２０へ伝えられ、更新時にその要求が反映される。
【実施例２】
【００６１】
本発明の第２実施例による秘匿通信システムとして、Vernam暗号およびＰＢＳループを用いたPlug & Play方式の量子暗号鍵配布システムを説明する。
【００６２】
図５（Ａ）は送信側および受信側の暗号化／復号化部１３０および２３０の他の例を示すブロック図、（Ｂ）は送信側ＴＸ１１１の他の例を示すブロック図である。本実施例では、図５（Ａ）に示すように、本実施例における暗号化／復号化部１３０および２３０は、Vernam暗号を用いている。Vernam暗号は、平文と暗号化の鍵が全く同じ長さの暗号であるために、通信速度は鍵の更新速度とほぼ等しくなる。暗号化／復号化部１３０および２３０は、安全度制御部１２０、２２０によって通知される鍵更新速度情報によってデータ通信の速度を制御してVernam暗号によって秘匿通信を行う。安全度制御部１２０、２２０は、ユーザの要求に基づいて更新する鍵の鍵更新速度を設定する。
【００６３】
送信側ＴＸ１１１は、図５（Ｂ）に示すように、交互シフト位相変調型のＱＫＤ送信器である（非特許文献５参照）。上述したように、送信器１００から到来したダブルパルスＰ１およびＰ２はＰＢＳ１１１−６でさらに分離され、時計回りのダブルパルスＰ１CWおよびＰ２CWと反時計回りのダブルパルスＰ１CCWおよびＰ２CCWの４つのパルス、すなわちカルテットパルスとなって位相変調器１１１−２をそれぞれ反対方向で通過し、それぞれ出射したポートとは反対のＰＢＳポートへ入射する。
【００６４】
位相変調器１１１−２は、時計回りのダブルパルスの後方のパルスＰ２CWを前方のパルスＰ１CWに対して位相変調するとともに、反時計回りのダブルパルスと時計回りのダブルパルスとの間にπの位相差を与える。位相変調器１１１−２は、乱数生成器１１１−４の乱数に従ってドライバ１１１−３により駆動され、カルテットパルスの各パルスに位相変調を施す。
【００６５】
このように位相変調されたカルテットパルスはＰＢＳ１１１−６で合波され再びダブルパルスに戻る。上述したように後方のパルスのみが伝送情報により位相変調されたので出射ダブルパルスはＰ１およびＰ２*aとなる。このときＰＢＳループ入射時に対して出射時は偏波が９０°回転しているので、結果的にファラデーミラーと同等の効果が得られる。その他の構成および動作は第１実施例と同様であるから説明は省略する。
【００６６】
４．第２実施形態
上述した第１実施形態では、ユーザ要求に応じた安全度や鍵量／鍵生成速度で最終的な暗号鍵が生成されるが、本発明の第２実施形態では、ユーザからの要求を予め受け付けておき、事前に固定長の暗号鍵を複数個生成して格納しておく。すなわち、予めユーザ要求に応じた安全度に対応する暗号鍵を複数個生成して厳重に格納しておき、暗号鍵を更新する際に、格納された複数の暗号鍵から１つを選択して暗号化／復号化部へ出力する。ただし、Vernam暗号の場合は鍵とデータとが同じ長さとなり鍵は固定長ではない。
【００６７】
本発明の第２実施形態によれば、予め定められた安全度の暗号鍵を複数個上述したように生成しておき、安全度制御部１２０および２２０にはこれら複数の暗号鍵を格納する鍵ストレージが設けられている。安全度制御部１２０および２２０は、ユーザ要求に従って指定された安全度の暗号鍵を１つ選択して暗号化／復号化部１３０および２３０へそれぞれ出力する。予め暗号鍵が保管されているので、迅速な鍵更新が可能となる。なお鍵ストレージはタンパレジスタント対応である。その他安全度に応じた鍵の生成、秘匿通信方法については第１実施形態と同様である。
【００６８】
５．第３実施形態
図６は本発明の第２実施形態による通信システムの概略的構成を示すブロック図である。本実施形態によるシステムは複数のユーザにそれぞれの要求に応じた安全度の秘匿通信を提供することができる。
【００６９】
送信器１０１は、量子暗号鍵配布（ＱＫＤ）部１１０、安全度制御部１２２、暗号化／符号化部１３２および鍵サーバ１４０を含んで構成される。ＱＫＤ部１１０は第１実施形態と同様にＱＫＤ送信器（ＴＸ）１１１および可変光減衰器（ＡＴＴ）１１２が設けられている。受信器２０１は、量子暗号鍵配布（ＱＫＤ）部２１０、安全度制御部２２２、暗号化／符号化部２３２および鍵サーバ２４０を含んで構成される。ＱＫＤ部２１０は第１実施形態と同様にＱＫＤ受信器（ＲＸ）２１１が設けられている。安全度制御部１２２および２２２と暗号化／復号化部１３３および２３３とは複数ユーザ１〜Ｍの秘匿通信に対応したものとなっている。
【００７０】
鍵サーバ１４０および２４０には、予め定められた複数の安全度にそれぞれ対応した複数の暗号鍵が上述したように生成され、安全度毎に厳重に保存管理されている。これらの安全度は予め複数のユーザ１〜Ｍにより要求されたものであってもよい。暗号化／復号化部１３３および２３３は、ユーザからのユーザ信号を受信すると、対応するユーザの要求に従って暗号鍵を鍵サーバ１４０および２４０から選択し、選択された暗号鍵を用いてユーザ信号を暗号化／復号化する。
【００７１】
図７は第３実施形態によるシステムの鍵サーバの構成を示すブロック図である。図７に示すように、鍵サーバ１４０および２４０は、それぞれ安全度に対応した複数の鍵ストレージ４２、４３を有し、安全度を指定された選択部４１を通して暗号鍵が対応する鍵ストレージに登録され、安全度が選択された選択部４４によって対応する鍵ストレージから暗号鍵が選択され出力される。当然のことながら、鍵ストレージ４２、４３はタンパレジスタント対応となっている。その他安全度に応じた鍵の生成、秘匿通信方法については第１実施形態と同様である。
【００７２】
６．適用例
上述したように、ユーザ要求に応じた安全度や鍵量／鍵生成速度で最終的な暗号鍵が生成され、その暗号鍵を用いてユーザ信号の暗号化および復号化が行われる。本発明によるシステムでは、このような安全度や鍵量／鍵生成速度の指定に対して安全度や鍵量／鍵生成速度に応じた課金を行うことができる。
【００７３】
システム構成としては、図３あるいは図６の送信器および受信器に課金機能を設けることができる。あるいは、図示されていないシステム管理装置に課金機能を設けてもよい。
【００７４】
なお、上述した、ＴＸ１１１およびＲＸ２１１で実行される鍵生成プロセス、安全度制御部１２２および２２２の制御、暗号化／復号化部１３２および２３２の動作および課金機能は、プログラム制御プロセッサあるいはコンピュータ上で対応するプログラムを実行することにより実現することもできる。
【産業上の利用可能性】
【００７５】
量子暗号鍵配布技術に代表される共通暗号鍵配布技術を用いた秘匿情報通信に利用可能である。量子暗号鍵配布技術は、Plug & Play方式に限らず、単一方向型でも構わない。量子暗号鍵配布プロトコルは、ＢＢ８４プロトコルに限らず、Ｂ９２でもＥ９１でも問題なく、上記実施例は本発明を限定するものではない。
【図面の簡単な説明】
【００７６】
【図１】（Ａ）はシミュレーションシステムを示すブロック図であり、（Ｂ）はそのシミュレーション結果を示すグラフである。
【図２】平均光子数に対する秘匿増強後の鍵量および安全度の変化を示すグラフである。
【図３】本発明の第１実施形態による通信システムの概略的構成を示すブロック図である。
【図４】（Ａ）は送信側ＴＸ１１１の一例を示すブロック図、（Ｂ）は受信側ＲＸ２１１の一例を示すブロック図、（Ｃ）は送信側および受信側の暗号化／復号化部１３０および２３０の一例を示すブロック図である。
【図５】（Ａ）は送信側および受信側の暗号化／復号化部１３０および２３０の他の例を示すブロック図、（Ｂ）は送信側ＴＸ１１１の他の例を示すブロック図である。
【図６】本発明の第２実施形態による通信システムの概略的構成を示すブロック図である。
【図７】第３実施形態によるシステムの鍵サーバの構成を示すブロック図である。
【図８】ＢＢ８４プロトコルによる量子暗号鍵配布方法の概念を示す模式図である。
【図９】一般的な量子暗号鍵生成の流れを示すフローチャートである。
【図１０】量子暗号鍵配布システムにおける平均光子数と伝送可能距離との関係を盗聴方法別に概略的に示したグラフである。
【符号の説明】
【００７７】
１００ 送信器
２００ 受信器
１１０ ２１０ 量子暗号鍵配布(QKD)部
１１１ 量子暗号鍵配布送信器（ＴＸ）
２１１ 量子暗号鍵配布受信器（ＲＸ）
１１２ 可変光減衰器（ＡＴＴ）
１２０、２２０、１２１、２２１ 安全度制御部
１３０、２３０、１３２、２３２ 暗号化／復号化部
１４０、２４０ 鍵サーバ
４１ 選択部
４２、４３ 鍵ストレージ
４４ 選択部
３００ 光ファイバ伝送路
３０１ 量子チャネル
３０２〜３０５ 古典チャネル
【特許請求の範囲】
【請求項１】
複数の通信チャネルにより接続された第１通信器と第２通信器との間で共有される共有秘密情報を生成する方法において、
ａ）前記共有すべき秘密情報に対してユーザが要求する安全度を入力し、
ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する、
ことを特徴とする共有秘密情報の生成方法。
【請求項２】
前記共有秘密情報を更新するときには、前記ｂ）およびｃ）を実行することを特徴とする請求項１に記載の共有秘密情報の生成方法。
【請求項３】
前記共有秘密情報を更新するときには、前記ａ）〜ｃ）を実行することを特徴とする請求項１に記載の共有秘密情報の生成方法。
【請求項４】
前記共有秘密情報に要求された安全度に応じて、前記共有秘密情報を用いた通信に対して課金することを特徴とする請求項１−３のいずれかに記載の共有秘密情報の生成方法。
【請求項５】
複数の通信チャネルにより接続された第１通信器と第２通信器との間で秘匿通信に使用される共有秘密情報を共有する方法において、
ａ）共有すべき秘密情報に対してユーザが要求する安全度を入力し、
ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで共有秘密情報を生成し、
ｄ）前記ａ）−ｃ）を繰り返すことで複数の共有秘密情報を格納し、
ｅ）前記秘匿通信に使用される共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択する、
ことを特徴とする共有秘密情報を共有する方法。
【請求項６】
前記複数の共有秘密情報は複数の安全度毎に格納されることを特徴とする請求項５に記載の方法。
【請求項７】
複数の通信チャネルにより接続された第１通信器と第２通信器とを含む秘匿通信システムにおいて、
前記第１通信器および前記第２通信器の各々は、
共有秘密情報に対する安全度を入力する安全度制御手段と、
一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成する第１生成手段と、
前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、
を有することを特徴とする秘匿通信システム。
【請求項８】
前記第１通信器および前記第２通信器の各々は、さらに、前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段を有することを特徴とする請求項７に記載の秘匿通信システム。
【請求項９】
予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項７に記載の秘匿通信システム。
【請求項１０】
複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項７に記載の秘匿通信システム。
【請求項１１】
前記共有秘密情報に要求された安全度に応じて前記共有秘密情報を用いた秘匿通信に対して課金する課金手段を更に有することを特徴とする請求項７−１０のいずれかに記載の秘匿通信システム。
【請求項１２】
前記複数の通信チャネルは光ファイバ伝送路に多重され、前記共通秘密情報は量子暗号鍵配布技術を用いて生成されることを特徴とする請求項７に記載の秘匿通信システム。
【請求項１３】
前記第２生成手段は秘匿増強処理を実行し、前記安全度制御手段は、前記安全度に応じて前記秘匿増強処理における盗聴可能性を有する情報量の割合を変化させることを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１４】
前記第１通信器は、前記安全度制御手段の制御に従って、前記一の通信チャネルの光パルスの平均光子数を変化させる可変光減衰手段をさらに有することを特徴とする請求項１２または１３に記載の秘匿通信システム。
【請求項１５】
前記第１通信器および前記第２通信器の各々は、さらに、前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段を有することを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１６】
予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１７】
複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１８】
前記共有秘密情報に要求された安全度に応じて前記共有秘密情報を用いた秘匿通信に対して課金する課金手段を更に有することを特徴とする請求項１２−１７のいずれかに記載の秘匿通信システム。
【請求項１９】
複数の通信チャネルにより他の秘匿通信装置に接続された秘匿通信装置において、
共有秘密情報に対する安全度を入力する安全度制御手段と、
一の通信チャネルを通して前記他の秘匿通信装置へ送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置が受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有する第１生成手段と、
前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、
を有することを特徴とする秘匿通信装置。
【請求項２０】
複数の通信チャネルにより他の秘匿通信装置に接続された秘匿通信装置において、
共有秘密情報に対する安全度を入力する安全度制御手段と、
一の通信チャネルを通して前記他の秘匿通信装置が送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置から受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有する第１生成手段と、
前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、
を有することを特徴とする秘匿通信装置。
【請求項２１】
前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段をさらに有することを特徴とする請求項１９または２０に記載の秘匿通信装置。
【請求項２２】
予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１９または２０に記載の秘匿通信装置。
【請求項２３】
複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１９または２０に記載の秘匿通信装置。
【請求項２４】
前記共有秘密情報に要求された安全度に応じて前記共有秘密情報を用いた秘匿通信に対して課金する課金手段を更に有することを特徴とする請求項１９−２３のいずれかに記載の秘匿通信装置。
【請求項２５】
コンピュータに、複数の通信チャネルにより接続された他の秘匿通信装置との間で共有される共有秘密情報を生成させるプログラムにおいて、
ａ）共有秘密情報に対する安全度を入力するステップと、
ｂ）一の通信チャネルを通して前記他の秘匿通信装置へ送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置が受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有するステップと、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成するステップと、
を有することを特徴とするプログラム。
【請求項２６】
コンピュータに、複数の通信チャネルにより接続された他の秘匿通信装置との間で共有される共有秘密情報を生成させるプログラムにおいて、
ａ）共有秘密情報に対する安全度を入力するステップと、
ｂ）一の通信チャネルを通して前記他の秘匿通信装置が送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置から受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有するステップと、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成するステップと、
を有することを特徴とするプログラム。
【請求項２７】
前記共有秘密情報を更新するときには、前記ｂ）およびｃ）を実行することを特徴とする請求項２５または２６に記載のプログラム。
【請求項２８】
前記共有秘密情報を更新するときには、前記ａ）〜ｃ）を実行することを特徴とする請求項２５または２６に記載のプログラム。
【請求項２９】
前記共有秘密情報に要求された安全度に応じて、前記共有秘密情報を用いた通信に対して課金することを特徴とする請求項２５−２８のいずれかに記載のプログラム。
【請求項１】
複数の通信チャネルにより接続された第１通信器と第２通信器との間で共有される共有秘密情報を生成する方法において、
ａ）前記共有すべき秘密情報に対してユーザが要求する安全度を入力し、
ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する、
ことを特徴とする共有秘密情報の生成方法。
【請求項２】
前記共有秘密情報を更新するときには、前記ｂ）およびｃ）を実行することを特徴とする請求項１に記載の共有秘密情報の生成方法。
【請求項３】
前記共有秘密情報を更新するときには、前記ａ）〜ｃ）を実行することを特徴とする請求項１に記載の共有秘密情報の生成方法。
【請求項４】
前記共有秘密情報に要求された安全度に応じて、前記共有秘密情報を用いた通信に対して課金することを特徴とする請求項１−３のいずれかに記載の共有秘密情報の生成方法。
【請求項５】
複数の通信チャネルにより接続された第１通信器と第２通信器との間で秘匿通信に使用される共有秘密情報を共有する方法において、
ａ）共有すべき秘密情報に対してユーザが要求する安全度を入力し、
ｂ）一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成し、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで共有秘密情報を生成し、
ｄ）前記ａ）−ｃ）を繰り返すことで複数の共有秘密情報を格納し、
ｅ）前記秘匿通信に使用される共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択する、
ことを特徴とする共有秘密情報を共有する方法。
【請求項６】
前記複数の共有秘密情報は複数の安全度毎に格納されることを特徴とする請求項５に記載の方法。
【請求項７】
複数の通信チャネルにより接続された第１通信器と第２通信器とを含む秘匿通信システムにおいて、
前記第１通信器および前記第２通信器の各々は、
共有秘密情報に対する安全度を入力する安全度制御手段と、
一の通信チャネルを通して前記第１通信器が送信した第１秘密情報と前記一の通信チャネルを通して前記第２通信器が受信した第２秘密情報とに基づいて、前記第１通信器と前記第２通信器との双方に第３秘密情報を生成する第１生成手段と、
前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、
を有することを特徴とする秘匿通信システム。
【請求項８】
前記第１通信器および前記第２通信器の各々は、さらに、前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段を有することを特徴とする請求項７に記載の秘匿通信システム。
【請求項９】
予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項７に記載の秘匿通信システム。
【請求項１０】
複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項７に記載の秘匿通信システム。
【請求項１１】
前記共有秘密情報に要求された安全度に応じて前記共有秘密情報を用いた秘匿通信に対して課金する課金手段を更に有することを特徴とする請求項７−１０のいずれかに記載の秘匿通信システム。
【請求項１２】
前記複数の通信チャネルは光ファイバ伝送路に多重され、前記共通秘密情報は量子暗号鍵配布技術を用いて生成されることを特徴とする請求項７に記載の秘匿通信システム。
【請求項１３】
前記第２生成手段は秘匿増強処理を実行し、前記安全度制御手段は、前記安全度に応じて前記秘匿増強処理における盗聴可能性を有する情報量の割合を変化させることを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１４】
前記第１通信器は、前記安全度制御手段の制御に従って、前記一の通信チャネルの光パルスの平均光子数を変化させる可変光減衰手段をさらに有することを特徴とする請求項１２または１３に記載の秘匿通信システム。
【請求項１５】
前記第１通信器および前記第２通信器の各々は、さらに、前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段を有することを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１６】
予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１７】
複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１２に記載の秘匿通信システム。
【請求項１８】
前記共有秘密情報に要求された安全度に応じて前記共有秘密情報を用いた秘匿通信に対して課金する課金手段を更に有することを特徴とする請求項１２−１７のいずれかに記載の秘匿通信システム。
【請求項１９】
複数の通信チャネルにより他の秘匿通信装置に接続された秘匿通信装置において、
共有秘密情報に対する安全度を入力する安全度制御手段と、
一の通信チャネルを通して前記他の秘匿通信装置へ送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置が受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有する第１生成手段と、
前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、
を有することを特徴とする秘匿通信装置。
【請求項２０】
複数の通信チャネルにより他の秘匿通信装置に接続された秘匿通信装置において、
共有秘密情報に対する安全度を入力する安全度制御手段と、
一の通信チャネルを通して前記他の秘匿通信装置が送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置から受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有する第１生成手段と、
前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成する第２生成手段と、
を有することを特徴とする秘匿通信装置。
【請求項２１】
前記共有秘密情報を用いてユーザ信号の暗号化および復号化を行う秘匿通信手段をさらに有することを特徴とする請求項１９または２０に記載の秘匿通信装置。
【請求項２２】
予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１９または２０に記載の秘匿通信装置。
【請求項２３】
複数の安全度ごとに予め生成された複数の共有秘密情報を格納する格納手段を更に有し、前記共有秘密情報を更新するときには、入力された安全度に対応して前記格納された複数の共有秘密情報から１つを選択することを特徴とする請求項１９または２０に記載の秘匿通信装置。
【請求項２４】
前記共有秘密情報に要求された安全度に応じて前記共有秘密情報を用いた秘匿通信に対して課金する課金手段を更に有することを特徴とする請求項１９−２３のいずれかに記載の秘匿通信装置。
【請求項２５】
コンピュータに、複数の通信チャネルにより接続された他の秘匿通信装置との間で共有される共有秘密情報を生成させるプログラムにおいて、
ａ）共有秘密情報に対する安全度を入力するステップと、
ｂ）一の通信チャネルを通して前記他の秘匿通信装置へ送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置が受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有するステップと、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成するステップと、
を有することを特徴とするプログラム。
【請求項２６】
コンピュータに、複数の通信チャネルにより接続された他の秘匿通信装置との間で共有される共有秘密情報を生成させるプログラムにおいて、
ａ）共有秘密情報に対する安全度を入力するステップと、
ｂ）一の通信チャネルを通して前記他の秘匿通信装置が送信した第１秘密情報と前記一の通信チャネルを通して前記他の秘匿通信装置から受信した第２秘密情報とに基づいて、前記他の秘匿通信装置との間で第３秘密情報を共有するステップと、
ｃ）前記第３秘密情報から、前記安全度に応じて決定される盗聴可能性を有する情報量を除去することで最終的に前記共有秘密情報を生成するステップと、
を有することを特徴とするプログラム。
【請求項２７】
前記共有秘密情報を更新するときには、前記ｂ）およびｃ）を実行することを特徴とする請求項２５または２６に記載のプログラム。
【請求項２８】
前記共有秘密情報を更新するときには、前記ａ）〜ｃ）を実行することを特徴とする請求項２５または２６に記載のプログラム。
【請求項２９】
前記共有秘密情報に要求された安全度に応じて、前記共有秘密情報を用いた通信に対して課金することを特徴とする請求項２５−２８のいずれかに記載のプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００７−５３５９０（Ｐ２００７−５３５９０Ａ）
【公開日】平成１９年３月１日（２００７．３．１）
【国際特許分類】
【出願番号】特願２００５−２３７２８４（Ｐ２００５−２３７２８４）
【出願日】平成１７年８月１８日（２００５．８．１８）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、独立行政法人情報通信研究機構、「量子暗号技術の研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成１９年３月１日（２００７．３．１）
【国際特許分類】
【出願日】平成１７年８月１８日（２００５．８．１８）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、独立行政法人情報通信研究機構、「量子暗号技術の研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]