量子暗号通信システム及び方法
【課題】鍵管理数をエンティティの数程度に抑えることができ、また、各エンティティの保持する量子暗号通信装置を安価にすることができるとともに、トロイの木馬攻撃に対して秘匿性を保証することができ、さらに、計算量的に無条件な安全性と鍵管理局に対する秘匿性を保証することができる量子暗号通信システム及び方法を得る
【解決手段】ネットワークのノードとして単一の鍵管理局１と複数のエンティティ２を備えた量子暗号通信システムであって、鍵管理局１及び複数のエンティティ２が、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網３にそれぞれ接続され、鍵管理局１を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う。
【解決手段】ネットワークのノードとして単一の鍵管理局１と複数のエンティティ２を備えた量子暗号通信システムであって、鍵管理局１及び複数のエンティティ２が、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網３にそれぞれ接続され、鍵管理局１を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、量子暗号を大規模ネットワークに適用する際に想定される鍵管理問題を、鍵管理局を設定することにより解決した量子暗号通信システム及び方法に関するものである。
【背景技術】
【０００２】
従来の量子暗号は、計算量的に無条件な安全性をもたらすが、基本的にエンド・ツー・エンドの通信であり、必要な古典認証通信もエンド・ツー・エンドで行うため、ネットワーク規模が大きくなると、エンティティの数をＮとして、認証用秘密鍵をＮ２個も管理しなければならない（鍵爆発）。また、各エンティティが高価な量子送信装置、量子受信装置を保有しなければならなかった（例えば、非特許文献１参照）。
【０００３】
また、各エンティティが高価な量子暗号装置を持たなくてよい改良として、量子送受信装置をセンタに集約し、センタが量子受信結果を公開する量子暗号方式がある。この方式は量子暗号通信を行う２つのエンティティ双方を量子通信路が貫通するため、プローブ光を量子通信路の途中で挿入し、対象となるエンティティの内部を透過した後、プローブ光を測定することで盗聴を実現するトロイの木馬攻撃に対して、安全性が脆弱であるという問題点がある（例えば、特許文献１参照）。
【０００４】
なお、トロイの木馬攻撃に対して、一方のエンティティだけを量子通信路が貫通する場合、量子源として十分強いコヒーレント光を用い、当該エンティティが分岐路と光検出器を用いて入力前の光を一部モニタし、アッテネータを用いて出力後の光強度を量子レベルまで低減する方式が、プローブ光が十分強いときはトロイの木馬攻撃を検知し、検知できないほど弱いプローブ光を使ったときは攻撃は無効化するという意味で、実用的な安全性を保っていることが知られている（例えば、非特許文献２参照）。
【０００５】
また、古典暗号を用いた鍵管理方式においても、鍵管理数の爆発は回避する方式がいくつか知られているが、量子暗号と異なり計算量的な安全性しか保証できない。特に公開鍵暗号を用いた鍵管理方式では、量子コンピュータを用いることができれば容易に解読できることが知られており、長期的な視点での安全性は脆弱である。一方、共通鍵暗号を用いた鍵管理方式では、量子コンピュータによって、極端に計算量的安全性が低減するわけではないが、当該エンティティ間で共有できる秘密鍵の秘匿性が、鍵管理局に対しては理論上無いという問題点がある（例えば、非特許文献３参照）。
【０００６】
【特許文献１】米国特許第５,７６４,７６５号明細書
【非特許文献１】Bennett and Brassard, “QUANTUM CRYPTOGRAPHY: PUBLIC KEY DISTRIBUTION AND COIN TOSSING” International Conference on Computers, Systems & Signal Processing Bangalore, India, Dec. 12-14,1984
【非特許文献２】Gisin, et. al., “Quantum Cryptography” Review of Modern Physics, 74 pp.189, 2002
【非特許文献３】Steiner, et. al., “Kerberos: An Authentication Service for Open Network Systems” Proc. of the Winter USENIX Conf. Feb. 1988
【非特許文献４】M. N. Wegman and J. L. Carter, “New Hash Functions and Their Use in Authentication and Set Equality” Journal of Computer and Systems Science 22, pp.265-279, 1981
【発明の開示】
【発明が解決しようとする課題】
【０００７】
従来の量子暗号は、大規模ネットワークに適用すると、鍵管理数が爆発するという問題点があった。
【０００８】
また、従来の量子暗号は、各エンティティが高価な量子暗号通信装置を保持しなければならず、安価な量子暗号通信装置にするとトロイの木馬攻撃に対して脆弱となるという問題点があった。
【０００９】
さらに、従来の鍵管理局を持った古典暗号に基づく鍵管理方式では、安全性が計算量に依存しており、その上、鍵管理局に対してエンティティ間で共有される秘密鍵の秘匿性が保証されないという問題点があった。
【００１０】
この発明は、上述のような課題を解決するためになされたもので、第１の目的は、鍵管理数をエンティティの数程度に抑えることができる量子暗号通信システム及び方法を得るものである。
【００１１】
この発明は、上述のような課題を解決するためになされたもので、第２の目的は、各エンティティの保持する量子暗号通信装置を安価にすることができるとともに、トロイの木馬攻撃に対して秘匿性を保証することができる量子暗号通信システム及び方法を得るものである。
【００１２】
この発明は、上述のような課題を解決するためになされたもので、第３の目的は、計算量的に無条件な安全性と鍵管理局に対する秘匿性を保証することができる量子暗号通信システム及び方法を得るものである。
【課題を解決するための手段】
【００１３】
この発明に係る量子暗号通信システムは、ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行うものである。
【発明の効果】
【００１４】
この発明に係る量子暗号通信システムは、鍵管理数をエンティティの数程度に抑えることができ、また、各エンティティの保持する量子暗号通信装置を安価にすることができるとともに、トロイの木馬攻撃に対して秘匿性を保証することができ、さらに、計算量的に無条件な安全性と鍵管理局に対する秘匿性を保証することができるという効果を奏する。
【発明を実施するための最良の形態】
【００１５】
実施の形態１．
この発明の実施の形態１に係る量子暗号通信システムについて図１から図１１までを参照しながら説明する。図１は、この発明の実施の形態１に係る量子暗号通信システムの構成を示す図である。なお、各図中、同一符号は同一又は相当部分を示す。
【００１６】
図１において、この実施の形態１に係る量子暗号通信システムは、鍵管理局１と、複数のエンティティ２（Ａ〜Ｄ）と、古典通信網３とが設けられている。
【００１７】
この量子暗号通信システムのネットワークのノードは、単一の鍵管理局１と複数のエンティティ２から構成され、各エンティティ２、及び鍵管理局１は量子暗号通信可能な量子通信路で１対１に接続されている。また、古典通信網３にも接続されている。
【００１８】
図２は、この発明の実施の形態１に係る量子暗号通信システムの鍵管理局の構成を示す図である。図２において、鍵管理局（ＫＤＣ）１は、量子暗号通信を行うための、乱数生成手段１１と、データ処理手段１２と、量子送信手段１３と、量子受信手段１４とを有するとともに、また、古典認証通信を行うための、鍵管理手段１５と、認証子生成手段１６と、認証子照合手段１７と、古典通信手段１８とを持っている。
【００１９】
図３は、この発明の実施の形態１に係る量子暗号通信システムのエンティティの構成を示す図である。図３において、各エンティティ２は、量子暗号通信を行うための、乱数生成手段２１と、データ処理手段２２と、量子送信手段２３と、量子受信手段２４とを有するとともに、また、古典認証通信を行うための、秘密鍵保持手段２５と、認証子生成手段２６と、認証子照合手段２７と、古典通信手段２８とを持っている。
【００２０】
つぎに、この実施の形態１に係る量子暗号通信システムの動作について図面を参照しながら説明する。
【００２１】
図４は、この発明の実施の形態１に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。図４において、鍵管理局（ＫＤＣ）は、“信頼できる”第３者機関であるが、ＡＢ間の共有鍵に関する秘匿性はＫＤＣに対しても成り立っている。
【００２２】
図５は、この発明の実施の形態１に係る量子暗号通信システムの初期設定の様子を示す図である。図６及び図７は、この発明の実施の形態１に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【００２３】
まず、鍵管理局１は、図５のように、鍵管理手段１５により、全てのエンティティ２の認証用初期鍵ＫＡ０、ＫＢ０、ＫＣ０、ＫＤ０を生成し、守秘性の保証された方法で各エンティティ２に配送する。鍵管理手段１５は、この認証用初期鍵をどのエンティティ２にどれが対応するかをわかるように保持しておく。各エンティティ２は、秘密鍵保持手段２５がこの配送された認証用初期鍵を保持しておく。
【００２４】
任意のエンティティＡと任意のエンティティＢの間で秘密鍵を共有したいイベントが開始されると、図６、図７のように、エンティティＡ、エンティティＢは、独立に鍵管理局１との間で量子暗号通信を実行し、秘密鍵の拡張を行う。
【００２５】
ここで、鍵拡張とは、予め共有している認証用初期鍵を費消して、より長い鍵を共有することである。例えば、エンティティＡと鍵管理局１との量子暗号通信では、エンティティＡと鍵管理局１は独立にそれぞれの乱数生成手段２１、１１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い量子送信手段２３をもちいて量子を生成・変調した後、量子通信路を通じて鍵管理局１に伝送する。鍵管理局１は、生成した乱数に従い量子受信手段１４を調整して、伝送された量子を測定する。
【００２６】
この量子伝送後、エンティティＡと鍵管理局１は古典通信網３を用いて、量子暗号通信を完了させるための、一部の乱数情報や、誤り訂正情報等の情報交換を行う。この情報交換の過程で、エンティティＡと鍵管理局１は各々のデータ処理手段２２、１２を用いて、盗聴者の有無、および鍵共有を実行する。上記古典通信は、エンティティＡと鍵管理局１の備える古典通信手段２８、１８が古典通信網３を介して実行される。この通信の認証は、両者の備える認証子生成手段２６、１６、認証子照合手段２７、１７が上記認証用初期鍵ＫＡ０を費消して実行される。例えば、使い捨て鍵を用いたＷｅｇｍａｎ Ｃａｒｔｅｒの認証子（非特許文献４、図８）を使って、図６、図７のようにおこなわれる。
【００２７】
使用済みの認証用初期鍵は廃棄される。生成された共有鍵の一部が認証用初期鍵の更新にあてられ、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が新たな認証用初期鍵ＫＡ０として保持する。残った共有鍵は、当該イベントの作業鍵ＷＫＡとして、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が保持する。
【００２８】
図９は、この発明の実施の形態１に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。図１０は、この発明の実施の形態１に係る量子暗号通信システムの通信３（第３の通信）の様子を示す図である。図１１は、この発明の実施の形態１に係る量子暗号通信システムの古典通信の認証の様子を示す図である。
【００２９】
つぎに、図９のように、エンティティＡとエンティティＢは相互に接続された量子通信路を使って量子通信を行う。例えば、エンティティＡとエンティティＢは、独立にそれぞれの乱数生成手段２１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い量子送信手段２３をもちいて量子を生成・変調した後、量子通信路を通じてエンティティＢに伝送する。エンティティＢは、生成した乱数に従い量子受信手段２４を調整して、伝送された量子を測定する。
【００３０】
最後に、図１０のように、古典通信網３を使って、上記量子伝送に伴う量子暗号通信を完了するために、エンティティＡとエンティティＢは、一部の乱数情報や、誤り訂正情報等の情報交換に鍵管理局１を介して行う。この情報交換の過程で、エンティティＡとエンティティＢは、各々のデータ処理手段２２を用いて、盗聴者の有無、および鍵共有を実行する。
【００３１】
上記古典通信の認証は、図１１のように、エンティティＡと鍵管理局１が先の通信で共有した作業鍵ＷＫＡの一部を用いて、エンティティＡと鍵管理局１の間で認証子生成手段２６、１６、認証子照合手段２７、１７により認証し、鍵管理局１はエンティティＡとの認証に成功すると、エンティティＢとの先の通信で共有した作業鍵ＷＫＢの一部を用いて、鍵管理局１とエンティティＢの間で認証子生成手段１６、２６、認証子照合手段１７、２７が認証する。エンティティＢは、鍵管理局１との認証に成功すると、同様な手順で、エンティティＡへの認証通信も鍵管理局１を介して実行される。このとき、エンティティＡ、Ｂ間で生成された鍵がＫＡＢとして共有される。
【００３２】
以上のように、任意のエンティティ間での量子暗号通信における古典通信の認証が鍵管理局１を介して行われるので、各エンティティ２は認証用初期鍵として鍵管理局１との鍵１個だけを保持すればよく、システム全体での管理すべき鍵の総数はシステムに参加するエンティティ２の総数程度で済む。また、鍵管理局１が古典暗号を使って鍵管理する方式と比して、量子暗号を使って鍵配送を行うため、計算量的に無条件な安全性が保証され、量子計算機の実現に際して解読されてしまう古典暗号として公開鍵暗号を使った方式よりもはるかに強度な安全性を実現できる。一方、古典暗号として共通鍵暗号を使った方式では、任意のエンティティ間で共有される秘密鍵の鍵管理局１に対する秘匿性が無いのであるが、当方式では、エンティティ間で最終的に共有される秘密鍵に関する秘密情報が鍵管理局１には全く流れないので、その秘匿性が鍵管理局１に対しても保証されている。このため鍵管理局１に要求される信頼度が緩和され、システム構築が容易になっている。
【００３３】
実施の形態２．
この発明の実施の形態２に係る量子暗号通信システムについて図１２から図２０までを参照しながら説明する。図１２は、この発明の実施の形態２に係る量子暗号通信システムの構成を示す図である。
【００３４】
上記の実施の形態１では、各エンティティ２および鍵管理局１が相互に１対１の量子通信路で接続され、すべてのエンティティ２がそれぞれ量子送信手段２３と量子受信手段２４を保有しているが、この実施の形態２では、量子通信路がシステム全体で１本となり、その両端が鍵管理局１に接続され、各エンティティ２はこの量子通信路に貫通されている。鍵管理局１を除く各エンティティ２は、量子送信手段２３、量子受信手段２４の代わりに量子変調手段２９ｄを保有すればよい。
【００３５】
図１２において、この実施の形態２に係る量子暗号通信システムは、鍵管理局１と、複数のエンティティ２（Ａ〜Ｄ）と、古典通信網３とが設けられている。
【００３６】
この量子暗号通信システムのネットワークのノードは、複数のエンティティ２と単一の鍵管理局１から構成され、鍵管理局１からでた量子通信路は再び鍵管理局１に戻るループ状の形態をとっている。各エンティティ２は、この量子通信路上に１次元的に配列されている。また、鍵管理局１および各エンティティ２は、古典通信網３にも接続されている。
【００３７】
図１３は、この発明の実施の形態２に係る量子暗号通信システムのエンティティの構成を示す図である。図１３において、各エンティティ２は、量子暗号通信を行うための、乱数生成手段２１と、データ処理手段２２と、量子変調手段２９ｄとを有するとともに、また、古典認証通信を行うための、秘密鍵保持手段２５と、認証子生成手段２６と、認証子照合手段２７と、古典通信手段２８とを持つ。更に、盗聴者がプローブ光を各エンティティ内部に入射し、量子変調手段２９ｄの情報を直接盗み出そうとするトロイの木馬攻撃に備えて、量子通信路を流れる光信号の強度をモニタし、トロイの木馬攻撃を検知するために、光信号の一部を分岐光路へ導くビームスプリッタ２９ａと、分岐光路に導かれた光信号の強度を測定するモニタ用光検出手段２９ｂと、量子通信路を流れる光信号がエンティティ内部を通過し出力されるときに、その光強度が量子レベルまでに減光する可変アッテネータ２９ｃを有する。
【００３８】
鍵管理局は、図２のように、量子暗号通信を行うための、乱数生成手段１１と、データ処理手段１２と、量子送信手段１３と、量子受信手段１４とを有するとともに、また、古典認証通信を行うための、鍵管理手段１５と、認証子生成手段１６と、認証子照合手段１７と、古典通信手段１８とを持っている。
【００３９】
つぎに、この実施の形態２に係る量子暗号通信システムの動作について図面を参照しながら説明する。
【００４０】
図１４は、この発明の実施の形態２に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。図１４において、鍵管理局（ＫＤＣ）は、“信頼できる”第３者機関であるが、ＡＢ間の共有鍵に関する秘匿性はＫＤＣに対しても成り立っている。
【００４１】
図１５及び図１６は、この発明の実施の形態２に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。図１７は、この発明の実施の形態２に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。
【００４２】
まず、鍵管理局１は、図５のように、鍵管理手段１５により、全てのエンティティ２の認証用初期鍵ＫＡ０、ＫＢ０、ＫＣ０、ＫＤ０を生成し、守秘性の保証された方法で各エンティティ２に配送する。鍵管理手段１５は、この認証用初期鍵をどのエンティティ２にどれが対応するかをわかるように保持しておく。各エンティティ２は、秘密鍵保持手段２５がこの配送された認証用初期鍵を保持しておく。
【００４３】
任意のエンティティＡと任意のエンティティＢの間で秘密鍵を共有したいイベントが開始されると、まず、通信１（第１の通信）として、図１５、図１６のように、エンティティＡ、エンティティＢは、独立に鍵管理局１との間で量子暗号通信を実行し、秘密鍵の拡張を行う。
【００４４】
ここで、鍵拡張とは、予め共有している認証用初期鍵を費消して、より長い鍵を共有することである。例えば、エンティティＡと鍵管理局１との量子暗号通信では、エンティティＡと鍵管理局１は、独立にそれぞれの乱数生成手段２１、１１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い量子変調手段２９ｄをもちいて、鍵管理局１の量子送信手段１３が生成し、量子通信路を通って伝送されてきた量子を変調した後、量子通信路を通じて鍵管理局１に伝送する。鍵管理局１は、生成した乱数に従い量子受信手段１４を調整して、伝送された量子を測定する。
【００４５】
この量子伝送後、エンティティＡと鍵管理局１は古典通信網３を用いて、量子暗号通信を完了させるための、一部の乱数情報や、誤り訂正情報等の情報交換を行う。この情報交換の過程で、エンティティＡと鍵管理局１は、各々のデータ処理手段２２、１２を用いて、盗聴者の有無、および鍵共有を実行する。上記古典通信は、エンティティＡと鍵管理局１の備える古典通信手段２８、１８が古典通信網３を介して実行される。この通信の認証は、両者の備える認証子生成手段２６、１６、認証子照合手段２７、１７が上記認証用初期鍵ＫＡ０を費消して実行される。例えば、使い捨て鍵を用いたＷｅｇｍａｎ Ｃａｒｔｅｒの認証子を使っておこなわれる。
【００４６】
使用済みの認証用初期鍵は廃棄される。生成された共有鍵の一部が認証用初期鍵の更新にあてられ、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が新たな認証用初期鍵ＫＡ０として保持する。残った共有鍵は当該イベントの作業鍵ＷＫＡとして、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が保持する。
【００４７】
なお、鍵管理局１が出力する量子信号は十分な強度を持った光信号でもよく、エンティティＡの内部にあるビームスプリッタ２９ａで１部分岐光路に導かれ、モニタ用光検出手段２９ｂでその光強度がモニタされている。また、量子変調手段２９ｄに導かれる光信号は可変アッテネータ２９ｃにより、光信号中に光子が１個しかない光強度まで減光される。従って、エンティティＡから出力される光信号は量子レベルの光強度になっている。
【００４８】
このため、トロイの木馬攻撃が行われた場合、モニタ用光検出手段２９ｂによりプローブ光の有無が検出され、攻撃検知ができる。また、可変アッテネータ２９ｃにより、プローブ光が十分すぎるほど減光されるので、攻撃者は量子変調手段２９ｄの内部情報を得ることができない。
【００４９】
つぎに、通信２（第２の通信）として、図１７のように、エンティティＡとエンティティＢは、鍵管理局１からループ状に敷設されている量子通信路を使って量子通信を行う。なお、量子通信路の上流側にあるエンティティをＡ、下流側にあるエンティティをＢとする。例えば、エンティティＡとエンティティＢは、独立にそれぞれの乱数生成手段２１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い、鍵管理局１の量子送信手段１３が生成し、量子通信路を伝送されてきた量子に量子変調手段２９ｄをもちいて変調した後、量子をエンティティＢに伝送する。エンティティＢは、生成した乱数に従い、エンティティＡから伝送されてきた量子に量子変調手段２９ｄをもちいて変調した後、鍵管理局１に伝送する。鍵管理局１は、量子受信手段１４により伝送された量子を測定する。
【００５０】
なお、鍵管理局１が出力する量子信号は十分な強度を持った光信号でもよい。エンティティＡの内部にあるビームスプリッタ２９ａで１部分岐光路に導かれ、モニタ用光検出手段２９ｂでその光強度がモニタされている。また、量子変調手段２９ｄに導かれる光信号は可変アッテネータ２９ｃにより、光信号中に光子が１個しかない光強度まで減光される。従って、エンティティＡから出力される光信号は量子レベルの光強度になっている。エンティティＢでも同様に、その内部にあるビームスプリッタ２９ａで１部分岐光路に導かれ、モニタ用光検出手段２９ｂでその光強度がモニタされている。しかし、エンティティＢに入力される光信号は既に量子レベルの強度なので、エンティティＢの持つ可変アッテネータ２９ｃは開放しておく。
【００５１】
このため、トロイの木馬攻撃に対して、エンティティＡの量子変調手段２９ｄの内部情報は漏れることがないが、エンティティＢの量子変調手段２９ｄの内部情報は漏洩対策に関して若干脆弱となっている。以下に述べる通信５（第５の通信）はこの対策を施したものである。
【００５２】
図１８は、この発明の実施の形態２に係る量子暗号通信システムの通信３（第３の通信）〜通信５（第５の通信）の様子を示す図である。図１９は、この発明の実施の形態２に係る量子暗号通信システムの公開検出ＢＢ８４プロトコル（位相変調）を示す図である。図２０は、この発明の実施の形態２に係る量子暗号通信システムの通信５（第５の通信）の様子を示す図である。
【００５３】
通信３（第３の通信）として、図１８のように、鍵管理局１は、通信２（第２の通信）で得た量子受信手段１４の測定結果を、エンティティＡとエンティティＢに各古典通信手段２８により古典通信網３を用いて公表する。
【００５４】
このとき、古典通信の認証は、通信１（第１の通信）でエンティティＡ、Ｂと鍵管理局１が先の通信で共有したそれぞれの作業鍵ＷＫＡ、ＷＫＢの一部を用いて、エンティティＡ、Ｂと鍵管理局１の間で認証子生成手段２６、１６、認証子照合手段２７、１７により認証することで実行される。
【００５５】
通信４（第４の通信）として、図１８のように、古典通信網３を使って、通信２（第２の通信）における量子伝送に伴う量子暗号通信を完了するために、エンティティＡとエンティティＢは、一部の乱数情報や、誤り訂正情報等の情報交換に鍵管理局１を介して行う。この情報交換の過程で、エンティティＡとエンティティＢは、各々のデータ処理手段２２を用いて、盗聴者の有無、および鍵共有を実行する。この通信のプロトコルは、例えば、特許文献１記載のプロトコルと類似なものである。
【００５６】
特に、図１９は、エンティティＡとエンティティＢが１部の乱数情報を交換することで、鍵共有が実現可能であることを示している。ここで、エンティティＡ、Ｂは、通信２（第２の通信）でそれぞれ乱数２ビット（（ａ１、ａ０）および（ｂ１、ｂ０））を用いて、１つの量子パルスに位相変調をかけている。この光子パルスを鍵管理局１が量子受信手段１４で測定した結果が１ビット（ｄ）である。通信３（第３の通信）により、鍵管理局１がエンティティＡ、Ｂにこの測定結果ｄを公表しているので、通信４（第４の通信）で、エンティティＡが乱数の上位ビットａ１、エンティティＢが乱数の上位ビットｂ１を交換することで、エンティティＡ、Ｂは、相互の乱数上位ビットの一致不一致を知ることができ、一致した場合に、エンティティＡは１ビットの秘密鍵ｋとして、ｋ＝ａ０を、エンティティＢは秘密鍵ｋとして、ｋ＝ｂ０ ｘｏｒ ｄ ｘｏｒ ｂ１を秘密に共有することができる。ここで、各下位１ビットは各エンティティのみしか知らない秘密情報なので秘匿性が保証されている。
【００５７】
上記古典通信の認証は、図１１のように、エンティティＡと鍵管理局１が先の通信で共有した作業鍵ＷＫＡの一部を用いて、エンティティＡと鍵管理局１の間で認証子生成手段２６、１６、認証子照合手段２７、１７により認証し、鍵管理局１は、エンティティＡとの認証に成功すると、エンティティＢとの先の通信で共有した作業鍵ＷＫＢの一部を用いて、鍵管理局１とエンティティＢの間で認証子生成手段１６、２６、認証子照合手段１７、２７が認証する。エンティティＢは、鍵管理局１との認証に成功すると、同様な手順で、エンティティＡへの認証通信も鍵管理局１を介して実行される。
【００５８】
このようにして、エンティティＡ、Ｂ間で生成された秘密鍵がＫＡＢとして共有される。但し、この秘密鍵ＫＡＢは上述の通信２（第２の通信）がトロイの木馬攻撃に対して脆弱性を持っているため、安全性の保証された秘密鍵を得るために以下に述べる通信５（第５の通信）を行う。
【００５９】
通信５（第５の通信）として、図１８のように、古典通信網３を使い、エンティティＡから鍵管理局１へ、鍵管理局１からエンティティＢへと２重暗号通信を行う。
【００６０】
例えば、図２０のように、エンティティＡは、乱数生成手段２１を用いて新たに乱数Ｒを生成する。エンティティＡは、通信４（第４の通信）で得られたエンティティＢと共有されている秘密鍵ＫＡＢを用いて、乱数Ｒを暗号化した後、通信１（第１の通信）で鍵管理局１と共有された作業鍵ＷＫＡの残りを用いて暗号化する。こうして２重暗号化された暗号文ＣＡ，ＫＤＣ、例えば、ＣＡ，ＫＤＣ＝Ｒ ｘｏｒ ＫＡＢ ｘｏｒ ＷＫＡは鍵管理局１へ、それぞれの古典通信手段２８、１８を用いて古典通信網３を通って伝送される。鍵管理局１は、受信した暗号文ＣＡ，ＫＤＣをエンティティＡと共有された作業鍵ＷＫＡの残りで復号した後、通信１（第１の通信）でエンティティＢと共有された作業鍵ＷＫＢの残りを用いて暗号化する。この暗号文ＣＫＤＣ，Ｂ、例えば、ＣＫＤＣ，Ｂ＝ＣＡ，ＫＤＣ ｘｏｒ ＷＫＡ ｘｏｒ ＷＫＢ＝Ｒ ｘｏｒ ＫＡＢ ｘｏｒ ＷＫＢはエンティティＢへ、それぞれの古典通信手段１８、２８を用いて古典通信網３を通って伝送される。エンティティＢは、受信した暗号文ＣＫＤＣ，Ｂを鍵管理局１と共有された作業鍵ＷＫＢの残りで復号した後、エンティティＡと共有された秘密鍵ＫＡＢを用いて暗号化する。
【００６１】
こうして、エンティティＡ、Ｂで秘密に共有された乱数Ｒが、エンティティＡ、Ｂ間で最終的に共有される秘密鍵である。
【００６２】
このため、仮に秘密鍵ＫＡＢがトロイの木馬攻撃により盗聴者に漏洩されていても、トロイの木馬攻撃に対して安全な作業鍵ＷＫＡ、ＷＫＢで暗号化したことにより、盗聴者への最終秘密鍵Ｒの漏洩はありえない。また、秘密鍵ＫＡＢは鍵管理局１に対して秘匿性が保証されているので、Ｒの伝送途上での鍵管理局１へのＲの漏洩もありえない。
【００６３】
以上のように、上記実施の形態１と同様に、任意のエンティティ間での量子暗号通信における古典通信の認証が鍵管理局１を介して行われるので、各エンティティ２は認証用初期鍵として鍵管理局１との鍵１個だけを保持すればよく、システム全体での管理すべき鍵の総数はシステムに参加するエンティティ２の総数程度で済む。また、鍵管理局１が古典暗号を使って鍵管理する方式と比して、量子暗号を使って鍵配送を行うため、計算量的に無条件な安全性が保証され、量子計算機の実現に際して解読されてしまう古典暗号として公開鍵暗号を使った方式よりもはるかに強度な安全性を実現できる。その上、古典暗号として共通鍵暗号を使った方式では、任意のエンティティ間で共有される秘密鍵の鍵管理局１に対する秘匿性が無いのであるが、当方式では、エンティティ間で最終的に共有される秘密鍵の秘匿性が鍵管理局１に対しても保証されるため、鍵管理局１に要求される信頼度が緩和され、システム構築が容易になっている。
【００６４】
なおかつ、当実施の形態２では、高価な量子送信手段１３および量子受信手段１４が鍵管理局１に集約され、各エンティティ２は安価な量子変調手段２９ｄのみで済み、コスト削減が実現できる。また、このような鍵管理局１に高価な装置を集約した方式が持たざるおえないトロイの木馬攻撃に対する脆弱性が改善され、強固な安全性を有した量子暗号通信システムを提供することができる。
【００６５】
実施の形態３．
この発明の実施の形態３に係る量子暗号通信システムについて図２１を参照しながら説明する。図２１は、この発明の実施の形態３に係る量子暗号通信システムの構成を示す図である。
【００６６】
上記の実施形態２では、量子通信路がループ状の形態をとったものであるが、この実施の形態３では、量子通信路に関して、一端に鍵管理局１が設置され、他端にファラデーミラーのように量子を反射するミラー４を設けたバス型の形態をもつ。この量子通信路上に各エンティティ２が配置されている。
【００６７】
図２１において、この実施の形態３に係る量子暗号通信システムは、鍵管理局１と、複数のエンティティ２（Ａ〜Ｄ）と、古典通信網３と、ミラー４とが設けられている。
【００６８】
鍵管理局１、各エンティティ２の構成は、上記実施の形態２と同様である。さらに、各々の動作も、鍵管理局１を発した量子信号が他端のファラデーミラー４で反射されて鍵管理局１へもどるので、上記実施の形態２と同様である。
【図面の簡単な説明】
【００６９】
【図１】この発明の実施の形態１に係る量子暗号通信システムの構成を示す図である。
【図２】この発明の実施の形態１に係る量子暗号通信システムの鍵管理局の構成を示す図である。
【図３】この発明の実施の形態１に係る量子暗号通信システムのエンティティの構成を示す図である。
【図４】この発明の実施の形態１に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。
【図５】この発明の実施の形態１に係る量子暗号通信システムの初期設定の様子を示す図である。
【図６】この発明の実施の形態１に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図７】この発明の実施の形態１に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図８】この発明の実施の形態１に係る量子暗号通信システムにおけるＷｅｇｍａｎ Ｃａｒｔｅｒの認証子を示す図である。
【図９】この発明の実施の形態１に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。
【図１０】この発明の実施の形態１に係る量子暗号通信システムの通信３（第３の通信）の様子を示す図である。
【図１１】この発明の実施の形態１に係る量子暗号通信システムの古典通信の認証の様子を示す図である。
【図１２】この発明の実施の形態２に係る量子暗号通信システムの構成を示す図である。
【図１３】この発明の実施の形態２に係る量子暗号通信システムのエンティティの構成を示す図である。
【図１４】この発明の実施の形態２に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。
【図１５】この発明の実施の形態２に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図１６】この発明の実施の形態２に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図１７】この発明の実施の形態２に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。
【図１８】この発明の実施の形態２に係る量子暗号通信システムの通信３（第３の通信）〜５の様子を示す図である。
【図１９】この発明の実施の形態２に係る量子暗号通信システムの公開検出ＢＢ８４プロトコル（位相変調）を示す図である。
【図２０】この発明の実施の形態２に係る量子暗号通信システムの通信５（第５の通信）の様子を示す図である。
【図２１】この発明の実施の形態３に係る量子暗号通信システムの構成を示す図である。
【符号の説明】
【００７０】
１ 鍵管理局、２ エンティティ、３ 古典通信網、４ ミラー、１１ 乱数生成手段、１２ データ処理手段、１３ 量子送信手段、１４ 量子受信手段、１５ 鍵管理手段、１６ 認証子生成手段、１７ 認証子照合手段、１８ 古典通信手段、２１ 乱数生成手段、２２ データ処理手段、２３ 量子送信手段、２４ 量子受信手段、２５ 秘密鍵保持手段、２６ 認証子生成手段、２７ 認証子照合手段、２８ 古典通信手段、２９ａ ビームスプリッタ、２９ｂ モニタ用光検出手段、２９ｃ 可変アッテネータ、２９ｄ 量子変調手段。
【技術分野】
【０００１】
この発明は、量子暗号を大規模ネットワークに適用する際に想定される鍵管理問題を、鍵管理局を設定することにより解決した量子暗号通信システム及び方法に関するものである。
【背景技術】
【０００２】
従来の量子暗号は、計算量的に無条件な安全性をもたらすが、基本的にエンド・ツー・エンドの通信であり、必要な古典認証通信もエンド・ツー・エンドで行うため、ネットワーク規模が大きくなると、エンティティの数をＮとして、認証用秘密鍵をＮ２個も管理しなければならない（鍵爆発）。また、各エンティティが高価な量子送信装置、量子受信装置を保有しなければならなかった（例えば、非特許文献１参照）。
【０００３】
また、各エンティティが高価な量子暗号装置を持たなくてよい改良として、量子送受信装置をセンタに集約し、センタが量子受信結果を公開する量子暗号方式がある。この方式は量子暗号通信を行う２つのエンティティ双方を量子通信路が貫通するため、プローブ光を量子通信路の途中で挿入し、対象となるエンティティの内部を透過した後、プローブ光を測定することで盗聴を実現するトロイの木馬攻撃に対して、安全性が脆弱であるという問題点がある（例えば、特許文献１参照）。
【０００４】
なお、トロイの木馬攻撃に対して、一方のエンティティだけを量子通信路が貫通する場合、量子源として十分強いコヒーレント光を用い、当該エンティティが分岐路と光検出器を用いて入力前の光を一部モニタし、アッテネータを用いて出力後の光強度を量子レベルまで低減する方式が、プローブ光が十分強いときはトロイの木馬攻撃を検知し、検知できないほど弱いプローブ光を使ったときは攻撃は無効化するという意味で、実用的な安全性を保っていることが知られている（例えば、非特許文献２参照）。
【０００５】
また、古典暗号を用いた鍵管理方式においても、鍵管理数の爆発は回避する方式がいくつか知られているが、量子暗号と異なり計算量的な安全性しか保証できない。特に公開鍵暗号を用いた鍵管理方式では、量子コンピュータを用いることができれば容易に解読できることが知られており、長期的な視点での安全性は脆弱である。一方、共通鍵暗号を用いた鍵管理方式では、量子コンピュータによって、極端に計算量的安全性が低減するわけではないが、当該エンティティ間で共有できる秘密鍵の秘匿性が、鍵管理局に対しては理論上無いという問題点がある（例えば、非特許文献３参照）。
【０００６】
【特許文献１】米国特許第５,７６４,７６５号明細書
【非特許文献１】Bennett and Brassard, “QUANTUM CRYPTOGRAPHY: PUBLIC KEY DISTRIBUTION AND COIN TOSSING” International Conference on Computers, Systems & Signal Processing Bangalore, India, Dec. 12-14,1984
【非特許文献２】Gisin, et. al., “Quantum Cryptography” Review of Modern Physics, 74 pp.189, 2002
【非特許文献３】Steiner, et. al., “Kerberos: An Authentication Service for Open Network Systems” Proc. of the Winter USENIX Conf. Feb. 1988
【非特許文献４】M. N. Wegman and J. L. Carter, “New Hash Functions and Their Use in Authentication and Set Equality” Journal of Computer and Systems Science 22, pp.265-279, 1981
【発明の開示】
【発明が解決しようとする課題】
【０００７】
従来の量子暗号は、大規模ネットワークに適用すると、鍵管理数が爆発するという問題点があった。
【０００８】
また、従来の量子暗号は、各エンティティが高価な量子暗号通信装置を保持しなければならず、安価な量子暗号通信装置にするとトロイの木馬攻撃に対して脆弱となるという問題点があった。
【０００９】
さらに、従来の鍵管理局を持った古典暗号に基づく鍵管理方式では、安全性が計算量に依存しており、その上、鍵管理局に対してエンティティ間で共有される秘密鍵の秘匿性が保証されないという問題点があった。
【００１０】
この発明は、上述のような課題を解決するためになされたもので、第１の目的は、鍵管理数をエンティティの数程度に抑えることができる量子暗号通信システム及び方法を得るものである。
【００１１】
この発明は、上述のような課題を解決するためになされたもので、第２の目的は、各エンティティの保持する量子暗号通信装置を安価にすることができるとともに、トロイの木馬攻撃に対して秘匿性を保証することができる量子暗号通信システム及び方法を得るものである。
【００１２】
この発明は、上述のような課題を解決するためになされたもので、第３の目的は、計算量的に無条件な安全性と鍵管理局に対する秘匿性を保証することができる量子暗号通信システム及び方法を得るものである。
【課題を解決するための手段】
【００１３】
この発明に係る量子暗号通信システムは、ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行うものである。
【発明の効果】
【００１４】
この発明に係る量子暗号通信システムは、鍵管理数をエンティティの数程度に抑えることができ、また、各エンティティの保持する量子暗号通信装置を安価にすることができるとともに、トロイの木馬攻撃に対して秘匿性を保証することができ、さらに、計算量的に無条件な安全性と鍵管理局に対する秘匿性を保証することができるという効果を奏する。
【発明を実施するための最良の形態】
【００１５】
実施の形態１．
この発明の実施の形態１に係る量子暗号通信システムについて図１から図１１までを参照しながら説明する。図１は、この発明の実施の形態１に係る量子暗号通信システムの構成を示す図である。なお、各図中、同一符号は同一又は相当部分を示す。
【００１６】
図１において、この実施の形態１に係る量子暗号通信システムは、鍵管理局１と、複数のエンティティ２（Ａ〜Ｄ）と、古典通信網３とが設けられている。
【００１７】
この量子暗号通信システムのネットワークのノードは、単一の鍵管理局１と複数のエンティティ２から構成され、各エンティティ２、及び鍵管理局１は量子暗号通信可能な量子通信路で１対１に接続されている。また、古典通信網３にも接続されている。
【００１８】
図２は、この発明の実施の形態１に係る量子暗号通信システムの鍵管理局の構成を示す図である。図２において、鍵管理局（ＫＤＣ）１は、量子暗号通信を行うための、乱数生成手段１１と、データ処理手段１２と、量子送信手段１３と、量子受信手段１４とを有するとともに、また、古典認証通信を行うための、鍵管理手段１５と、認証子生成手段１６と、認証子照合手段１７と、古典通信手段１８とを持っている。
【００１９】
図３は、この発明の実施の形態１に係る量子暗号通信システムのエンティティの構成を示す図である。図３において、各エンティティ２は、量子暗号通信を行うための、乱数生成手段２１と、データ処理手段２２と、量子送信手段２３と、量子受信手段２４とを有するとともに、また、古典認証通信を行うための、秘密鍵保持手段２５と、認証子生成手段２６と、認証子照合手段２７と、古典通信手段２８とを持っている。
【００２０】
つぎに、この実施の形態１に係る量子暗号通信システムの動作について図面を参照しながら説明する。
【００２１】
図４は、この発明の実施の形態１に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。図４において、鍵管理局（ＫＤＣ）は、“信頼できる”第３者機関であるが、ＡＢ間の共有鍵に関する秘匿性はＫＤＣに対しても成り立っている。
【００２２】
図５は、この発明の実施の形態１に係る量子暗号通信システムの初期設定の様子を示す図である。図６及び図７は、この発明の実施の形態１に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【００２３】
まず、鍵管理局１は、図５のように、鍵管理手段１５により、全てのエンティティ２の認証用初期鍵ＫＡ０、ＫＢ０、ＫＣ０、ＫＤ０を生成し、守秘性の保証された方法で各エンティティ２に配送する。鍵管理手段１５は、この認証用初期鍵をどのエンティティ２にどれが対応するかをわかるように保持しておく。各エンティティ２は、秘密鍵保持手段２５がこの配送された認証用初期鍵を保持しておく。
【００２４】
任意のエンティティＡと任意のエンティティＢの間で秘密鍵を共有したいイベントが開始されると、図６、図７のように、エンティティＡ、エンティティＢは、独立に鍵管理局１との間で量子暗号通信を実行し、秘密鍵の拡張を行う。
【００２５】
ここで、鍵拡張とは、予め共有している認証用初期鍵を費消して、より長い鍵を共有することである。例えば、エンティティＡと鍵管理局１との量子暗号通信では、エンティティＡと鍵管理局１は独立にそれぞれの乱数生成手段２１、１１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い量子送信手段２３をもちいて量子を生成・変調した後、量子通信路を通じて鍵管理局１に伝送する。鍵管理局１は、生成した乱数に従い量子受信手段１４を調整して、伝送された量子を測定する。
【００２６】
この量子伝送後、エンティティＡと鍵管理局１は古典通信網３を用いて、量子暗号通信を完了させるための、一部の乱数情報や、誤り訂正情報等の情報交換を行う。この情報交換の過程で、エンティティＡと鍵管理局１は各々のデータ処理手段２２、１２を用いて、盗聴者の有無、および鍵共有を実行する。上記古典通信は、エンティティＡと鍵管理局１の備える古典通信手段２８、１８が古典通信網３を介して実行される。この通信の認証は、両者の備える認証子生成手段２６、１６、認証子照合手段２７、１７が上記認証用初期鍵ＫＡ０を費消して実行される。例えば、使い捨て鍵を用いたＷｅｇｍａｎ Ｃａｒｔｅｒの認証子（非特許文献４、図８）を使って、図６、図７のようにおこなわれる。
【００２７】
使用済みの認証用初期鍵は廃棄される。生成された共有鍵の一部が認証用初期鍵の更新にあてられ、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が新たな認証用初期鍵ＫＡ０として保持する。残った共有鍵は、当該イベントの作業鍵ＷＫＡとして、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が保持する。
【００２８】
図９は、この発明の実施の形態１に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。図１０は、この発明の実施の形態１に係る量子暗号通信システムの通信３（第３の通信）の様子を示す図である。図１１は、この発明の実施の形態１に係る量子暗号通信システムの古典通信の認証の様子を示す図である。
【００２９】
つぎに、図９のように、エンティティＡとエンティティＢは相互に接続された量子通信路を使って量子通信を行う。例えば、エンティティＡとエンティティＢは、独立にそれぞれの乱数生成手段２１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い量子送信手段２３をもちいて量子を生成・変調した後、量子通信路を通じてエンティティＢに伝送する。エンティティＢは、生成した乱数に従い量子受信手段２４を調整して、伝送された量子を測定する。
【００３０】
最後に、図１０のように、古典通信網３を使って、上記量子伝送に伴う量子暗号通信を完了するために、エンティティＡとエンティティＢは、一部の乱数情報や、誤り訂正情報等の情報交換に鍵管理局１を介して行う。この情報交換の過程で、エンティティＡとエンティティＢは、各々のデータ処理手段２２を用いて、盗聴者の有無、および鍵共有を実行する。
【００３１】
上記古典通信の認証は、図１１のように、エンティティＡと鍵管理局１が先の通信で共有した作業鍵ＷＫＡの一部を用いて、エンティティＡと鍵管理局１の間で認証子生成手段２６、１６、認証子照合手段２７、１７により認証し、鍵管理局１はエンティティＡとの認証に成功すると、エンティティＢとの先の通信で共有した作業鍵ＷＫＢの一部を用いて、鍵管理局１とエンティティＢの間で認証子生成手段１６、２６、認証子照合手段１７、２７が認証する。エンティティＢは、鍵管理局１との認証に成功すると、同様な手順で、エンティティＡへの認証通信も鍵管理局１を介して実行される。このとき、エンティティＡ、Ｂ間で生成された鍵がＫＡＢとして共有される。
【００３２】
以上のように、任意のエンティティ間での量子暗号通信における古典通信の認証が鍵管理局１を介して行われるので、各エンティティ２は認証用初期鍵として鍵管理局１との鍵１個だけを保持すればよく、システム全体での管理すべき鍵の総数はシステムに参加するエンティティ２の総数程度で済む。また、鍵管理局１が古典暗号を使って鍵管理する方式と比して、量子暗号を使って鍵配送を行うため、計算量的に無条件な安全性が保証され、量子計算機の実現に際して解読されてしまう古典暗号として公開鍵暗号を使った方式よりもはるかに強度な安全性を実現できる。一方、古典暗号として共通鍵暗号を使った方式では、任意のエンティティ間で共有される秘密鍵の鍵管理局１に対する秘匿性が無いのであるが、当方式では、エンティティ間で最終的に共有される秘密鍵に関する秘密情報が鍵管理局１には全く流れないので、その秘匿性が鍵管理局１に対しても保証されている。このため鍵管理局１に要求される信頼度が緩和され、システム構築が容易になっている。
【００３３】
実施の形態２．
この発明の実施の形態２に係る量子暗号通信システムについて図１２から図２０までを参照しながら説明する。図１２は、この発明の実施の形態２に係る量子暗号通信システムの構成を示す図である。
【００３４】
上記の実施の形態１では、各エンティティ２および鍵管理局１が相互に１対１の量子通信路で接続され、すべてのエンティティ２がそれぞれ量子送信手段２３と量子受信手段２４を保有しているが、この実施の形態２では、量子通信路がシステム全体で１本となり、その両端が鍵管理局１に接続され、各エンティティ２はこの量子通信路に貫通されている。鍵管理局１を除く各エンティティ２は、量子送信手段２３、量子受信手段２４の代わりに量子変調手段２９ｄを保有すればよい。
【００３５】
図１２において、この実施の形態２に係る量子暗号通信システムは、鍵管理局１と、複数のエンティティ２（Ａ〜Ｄ）と、古典通信網３とが設けられている。
【００３６】
この量子暗号通信システムのネットワークのノードは、複数のエンティティ２と単一の鍵管理局１から構成され、鍵管理局１からでた量子通信路は再び鍵管理局１に戻るループ状の形態をとっている。各エンティティ２は、この量子通信路上に１次元的に配列されている。また、鍵管理局１および各エンティティ２は、古典通信網３にも接続されている。
【００３７】
図１３は、この発明の実施の形態２に係る量子暗号通信システムのエンティティの構成を示す図である。図１３において、各エンティティ２は、量子暗号通信を行うための、乱数生成手段２１と、データ処理手段２２と、量子変調手段２９ｄとを有するとともに、また、古典認証通信を行うための、秘密鍵保持手段２５と、認証子生成手段２６と、認証子照合手段２７と、古典通信手段２８とを持つ。更に、盗聴者がプローブ光を各エンティティ内部に入射し、量子変調手段２９ｄの情報を直接盗み出そうとするトロイの木馬攻撃に備えて、量子通信路を流れる光信号の強度をモニタし、トロイの木馬攻撃を検知するために、光信号の一部を分岐光路へ導くビームスプリッタ２９ａと、分岐光路に導かれた光信号の強度を測定するモニタ用光検出手段２９ｂと、量子通信路を流れる光信号がエンティティ内部を通過し出力されるときに、その光強度が量子レベルまでに減光する可変アッテネータ２９ｃを有する。
【００３８】
鍵管理局は、図２のように、量子暗号通信を行うための、乱数生成手段１１と、データ処理手段１２と、量子送信手段１３と、量子受信手段１４とを有するとともに、また、古典認証通信を行うための、鍵管理手段１５と、認証子生成手段１６と、認証子照合手段１７と、古典通信手段１８とを持っている。
【００３９】
つぎに、この実施の形態２に係る量子暗号通信システムの動作について図面を参照しながら説明する。
【００４０】
図１４は、この発明の実施の形態２に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。図１４において、鍵管理局（ＫＤＣ）は、“信頼できる”第３者機関であるが、ＡＢ間の共有鍵に関する秘匿性はＫＤＣに対しても成り立っている。
【００４１】
図１５及び図１６は、この発明の実施の形態２に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。図１７は、この発明の実施の形態２に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。
【００４２】
まず、鍵管理局１は、図５のように、鍵管理手段１５により、全てのエンティティ２の認証用初期鍵ＫＡ０、ＫＢ０、ＫＣ０、ＫＤ０を生成し、守秘性の保証された方法で各エンティティ２に配送する。鍵管理手段１５は、この認証用初期鍵をどのエンティティ２にどれが対応するかをわかるように保持しておく。各エンティティ２は、秘密鍵保持手段２５がこの配送された認証用初期鍵を保持しておく。
【００４３】
任意のエンティティＡと任意のエンティティＢの間で秘密鍵を共有したいイベントが開始されると、まず、通信１（第１の通信）として、図１５、図１６のように、エンティティＡ、エンティティＢは、独立に鍵管理局１との間で量子暗号通信を実行し、秘密鍵の拡張を行う。
【００４４】
ここで、鍵拡張とは、予め共有している認証用初期鍵を費消して、より長い鍵を共有することである。例えば、エンティティＡと鍵管理局１との量子暗号通信では、エンティティＡと鍵管理局１は、独立にそれぞれの乱数生成手段２１、１１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い量子変調手段２９ｄをもちいて、鍵管理局１の量子送信手段１３が生成し、量子通信路を通って伝送されてきた量子を変調した後、量子通信路を通じて鍵管理局１に伝送する。鍵管理局１は、生成した乱数に従い量子受信手段１４を調整して、伝送された量子を測定する。
【００４５】
この量子伝送後、エンティティＡと鍵管理局１は古典通信網３を用いて、量子暗号通信を完了させるための、一部の乱数情報や、誤り訂正情報等の情報交換を行う。この情報交換の過程で、エンティティＡと鍵管理局１は、各々のデータ処理手段２２、１２を用いて、盗聴者の有無、および鍵共有を実行する。上記古典通信は、エンティティＡと鍵管理局１の備える古典通信手段２８、１８が古典通信網３を介して実行される。この通信の認証は、両者の備える認証子生成手段２６、１６、認証子照合手段２７、１７が上記認証用初期鍵ＫＡ０を費消して実行される。例えば、使い捨て鍵を用いたＷｅｇｍａｎ Ｃａｒｔｅｒの認証子を使っておこなわれる。
【００４６】
使用済みの認証用初期鍵は廃棄される。生成された共有鍵の一部が認証用初期鍵の更新にあてられ、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が新たな認証用初期鍵ＫＡ０として保持する。残った共有鍵は当該イベントの作業鍵ＷＫＡとして、エンティティＡの秘密鍵保持手段２５、鍵管理局１の鍵管理手段１５が保持する。
【００４７】
なお、鍵管理局１が出力する量子信号は十分な強度を持った光信号でもよく、エンティティＡの内部にあるビームスプリッタ２９ａで１部分岐光路に導かれ、モニタ用光検出手段２９ｂでその光強度がモニタされている。また、量子変調手段２９ｄに導かれる光信号は可変アッテネータ２９ｃにより、光信号中に光子が１個しかない光強度まで減光される。従って、エンティティＡから出力される光信号は量子レベルの光強度になっている。
【００４８】
このため、トロイの木馬攻撃が行われた場合、モニタ用光検出手段２９ｂによりプローブ光の有無が検出され、攻撃検知ができる。また、可変アッテネータ２９ｃにより、プローブ光が十分すぎるほど減光されるので、攻撃者は量子変調手段２９ｄの内部情報を得ることができない。
【００４９】
つぎに、通信２（第２の通信）として、図１７のように、エンティティＡとエンティティＢは、鍵管理局１からループ状に敷設されている量子通信路を使って量子通信を行う。なお、量子通信路の上流側にあるエンティティをＡ、下流側にあるエンティティをＢとする。例えば、エンティティＡとエンティティＢは、独立にそれぞれの乱数生成手段２１を用いて乱数を生成し、エンティティＡは、生成した乱数に従い、鍵管理局１の量子送信手段１３が生成し、量子通信路を伝送されてきた量子に量子変調手段２９ｄをもちいて変調した後、量子をエンティティＢに伝送する。エンティティＢは、生成した乱数に従い、エンティティＡから伝送されてきた量子に量子変調手段２９ｄをもちいて変調した後、鍵管理局１に伝送する。鍵管理局１は、量子受信手段１４により伝送された量子を測定する。
【００５０】
なお、鍵管理局１が出力する量子信号は十分な強度を持った光信号でもよい。エンティティＡの内部にあるビームスプリッタ２９ａで１部分岐光路に導かれ、モニタ用光検出手段２９ｂでその光強度がモニタされている。また、量子変調手段２９ｄに導かれる光信号は可変アッテネータ２９ｃにより、光信号中に光子が１個しかない光強度まで減光される。従って、エンティティＡから出力される光信号は量子レベルの光強度になっている。エンティティＢでも同様に、その内部にあるビームスプリッタ２９ａで１部分岐光路に導かれ、モニタ用光検出手段２９ｂでその光強度がモニタされている。しかし、エンティティＢに入力される光信号は既に量子レベルの強度なので、エンティティＢの持つ可変アッテネータ２９ｃは開放しておく。
【００５１】
このため、トロイの木馬攻撃に対して、エンティティＡの量子変調手段２９ｄの内部情報は漏れることがないが、エンティティＢの量子変調手段２９ｄの内部情報は漏洩対策に関して若干脆弱となっている。以下に述べる通信５（第５の通信）はこの対策を施したものである。
【００５２】
図１８は、この発明の実施の形態２に係る量子暗号通信システムの通信３（第３の通信）〜通信５（第５の通信）の様子を示す図である。図１９は、この発明の実施の形態２に係る量子暗号通信システムの公開検出ＢＢ８４プロトコル（位相変調）を示す図である。図２０は、この発明の実施の形態２に係る量子暗号通信システムの通信５（第５の通信）の様子を示す図である。
【００５３】
通信３（第３の通信）として、図１８のように、鍵管理局１は、通信２（第２の通信）で得た量子受信手段１４の測定結果を、エンティティＡとエンティティＢに各古典通信手段２８により古典通信網３を用いて公表する。
【００５４】
このとき、古典通信の認証は、通信１（第１の通信）でエンティティＡ、Ｂと鍵管理局１が先の通信で共有したそれぞれの作業鍵ＷＫＡ、ＷＫＢの一部を用いて、エンティティＡ、Ｂと鍵管理局１の間で認証子生成手段２６、１６、認証子照合手段２７、１７により認証することで実行される。
【００５５】
通信４（第４の通信）として、図１８のように、古典通信網３を使って、通信２（第２の通信）における量子伝送に伴う量子暗号通信を完了するために、エンティティＡとエンティティＢは、一部の乱数情報や、誤り訂正情報等の情報交換に鍵管理局１を介して行う。この情報交換の過程で、エンティティＡとエンティティＢは、各々のデータ処理手段２２を用いて、盗聴者の有無、および鍵共有を実行する。この通信のプロトコルは、例えば、特許文献１記載のプロトコルと類似なものである。
【００５６】
特に、図１９は、エンティティＡとエンティティＢが１部の乱数情報を交換することで、鍵共有が実現可能であることを示している。ここで、エンティティＡ、Ｂは、通信２（第２の通信）でそれぞれ乱数２ビット（（ａ１、ａ０）および（ｂ１、ｂ０））を用いて、１つの量子パルスに位相変調をかけている。この光子パルスを鍵管理局１が量子受信手段１４で測定した結果が１ビット（ｄ）である。通信３（第３の通信）により、鍵管理局１がエンティティＡ、Ｂにこの測定結果ｄを公表しているので、通信４（第４の通信）で、エンティティＡが乱数の上位ビットａ１、エンティティＢが乱数の上位ビットｂ１を交換することで、エンティティＡ、Ｂは、相互の乱数上位ビットの一致不一致を知ることができ、一致した場合に、エンティティＡは１ビットの秘密鍵ｋとして、ｋ＝ａ０を、エンティティＢは秘密鍵ｋとして、ｋ＝ｂ０ ｘｏｒ ｄ ｘｏｒ ｂ１を秘密に共有することができる。ここで、各下位１ビットは各エンティティのみしか知らない秘密情報なので秘匿性が保証されている。
【００５７】
上記古典通信の認証は、図１１のように、エンティティＡと鍵管理局１が先の通信で共有した作業鍵ＷＫＡの一部を用いて、エンティティＡと鍵管理局１の間で認証子生成手段２６、１６、認証子照合手段２７、１７により認証し、鍵管理局１は、エンティティＡとの認証に成功すると、エンティティＢとの先の通信で共有した作業鍵ＷＫＢの一部を用いて、鍵管理局１とエンティティＢの間で認証子生成手段１６、２６、認証子照合手段１７、２７が認証する。エンティティＢは、鍵管理局１との認証に成功すると、同様な手順で、エンティティＡへの認証通信も鍵管理局１を介して実行される。
【００５８】
このようにして、エンティティＡ、Ｂ間で生成された秘密鍵がＫＡＢとして共有される。但し、この秘密鍵ＫＡＢは上述の通信２（第２の通信）がトロイの木馬攻撃に対して脆弱性を持っているため、安全性の保証された秘密鍵を得るために以下に述べる通信５（第５の通信）を行う。
【００５９】
通信５（第５の通信）として、図１８のように、古典通信網３を使い、エンティティＡから鍵管理局１へ、鍵管理局１からエンティティＢへと２重暗号通信を行う。
【００６０】
例えば、図２０のように、エンティティＡは、乱数生成手段２１を用いて新たに乱数Ｒを生成する。エンティティＡは、通信４（第４の通信）で得られたエンティティＢと共有されている秘密鍵ＫＡＢを用いて、乱数Ｒを暗号化した後、通信１（第１の通信）で鍵管理局１と共有された作業鍵ＷＫＡの残りを用いて暗号化する。こうして２重暗号化された暗号文ＣＡ，ＫＤＣ、例えば、ＣＡ，ＫＤＣ＝Ｒ ｘｏｒ ＫＡＢ ｘｏｒ ＷＫＡは鍵管理局１へ、それぞれの古典通信手段２８、１８を用いて古典通信網３を通って伝送される。鍵管理局１は、受信した暗号文ＣＡ，ＫＤＣをエンティティＡと共有された作業鍵ＷＫＡの残りで復号した後、通信１（第１の通信）でエンティティＢと共有された作業鍵ＷＫＢの残りを用いて暗号化する。この暗号文ＣＫＤＣ，Ｂ、例えば、ＣＫＤＣ，Ｂ＝ＣＡ，ＫＤＣ ｘｏｒ ＷＫＡ ｘｏｒ ＷＫＢ＝Ｒ ｘｏｒ ＫＡＢ ｘｏｒ ＷＫＢはエンティティＢへ、それぞれの古典通信手段１８、２８を用いて古典通信網３を通って伝送される。エンティティＢは、受信した暗号文ＣＫＤＣ，Ｂを鍵管理局１と共有された作業鍵ＷＫＢの残りで復号した後、エンティティＡと共有された秘密鍵ＫＡＢを用いて暗号化する。
【００６１】
こうして、エンティティＡ、Ｂで秘密に共有された乱数Ｒが、エンティティＡ、Ｂ間で最終的に共有される秘密鍵である。
【００６２】
このため、仮に秘密鍵ＫＡＢがトロイの木馬攻撃により盗聴者に漏洩されていても、トロイの木馬攻撃に対して安全な作業鍵ＷＫＡ、ＷＫＢで暗号化したことにより、盗聴者への最終秘密鍵Ｒの漏洩はありえない。また、秘密鍵ＫＡＢは鍵管理局１に対して秘匿性が保証されているので、Ｒの伝送途上での鍵管理局１へのＲの漏洩もありえない。
【００６３】
以上のように、上記実施の形態１と同様に、任意のエンティティ間での量子暗号通信における古典通信の認証が鍵管理局１を介して行われるので、各エンティティ２は認証用初期鍵として鍵管理局１との鍵１個だけを保持すればよく、システム全体での管理すべき鍵の総数はシステムに参加するエンティティ２の総数程度で済む。また、鍵管理局１が古典暗号を使って鍵管理する方式と比して、量子暗号を使って鍵配送を行うため、計算量的に無条件な安全性が保証され、量子計算機の実現に際して解読されてしまう古典暗号として公開鍵暗号を使った方式よりもはるかに強度な安全性を実現できる。その上、古典暗号として共通鍵暗号を使った方式では、任意のエンティティ間で共有される秘密鍵の鍵管理局１に対する秘匿性が無いのであるが、当方式では、エンティティ間で最終的に共有される秘密鍵の秘匿性が鍵管理局１に対しても保証されるため、鍵管理局１に要求される信頼度が緩和され、システム構築が容易になっている。
【００６４】
なおかつ、当実施の形態２では、高価な量子送信手段１３および量子受信手段１４が鍵管理局１に集約され、各エンティティ２は安価な量子変調手段２９ｄのみで済み、コスト削減が実現できる。また、このような鍵管理局１に高価な装置を集約した方式が持たざるおえないトロイの木馬攻撃に対する脆弱性が改善され、強固な安全性を有した量子暗号通信システムを提供することができる。
【００６５】
実施の形態３．
この発明の実施の形態３に係る量子暗号通信システムについて図２１を参照しながら説明する。図２１は、この発明の実施の形態３に係る量子暗号通信システムの構成を示す図である。
【００６６】
上記の実施形態２では、量子通信路がループ状の形態をとったものであるが、この実施の形態３では、量子通信路に関して、一端に鍵管理局１が設置され、他端にファラデーミラーのように量子を反射するミラー４を設けたバス型の形態をもつ。この量子通信路上に各エンティティ２が配置されている。
【００６７】
図２１において、この実施の形態３に係る量子暗号通信システムは、鍵管理局１と、複数のエンティティ２（Ａ〜Ｄ）と、古典通信網３と、ミラー４とが設けられている。
【００６８】
鍵管理局１、各エンティティ２の構成は、上記実施の形態２と同様である。さらに、各々の動作も、鍵管理局１を発した量子信号が他端のファラデーミラー４で反射されて鍵管理局１へもどるので、上記実施の形態２と同様である。
【図面の簡単な説明】
【００６９】
【図１】この発明の実施の形態１に係る量子暗号通信システムの構成を示す図である。
【図２】この発明の実施の形態１に係る量子暗号通信システムの鍵管理局の構成を示す図である。
【図３】この発明の実施の形態１に係る量子暗号通信システムのエンティティの構成を示す図である。
【図４】この発明の実施の形態１に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。
【図５】この発明の実施の形態１に係る量子暗号通信システムの初期設定の様子を示す図である。
【図６】この発明の実施の形態１に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図７】この発明の実施の形態１に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図８】この発明の実施の形態１に係る量子暗号通信システムにおけるＷｅｇｍａｎ Ｃａｒｔｅｒの認証子を示す図である。
【図９】この発明の実施の形態１に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。
【図１０】この発明の実施の形態１に係る量子暗号通信システムの通信３（第３の通信）の様子を示す図である。
【図１１】この発明の実施の形態１に係る量子暗号通信システムの古典通信の認証の様子を示す図である。
【図１２】この発明の実施の形態２に係る量子暗号通信システムの構成を示す図である。
【図１３】この発明の実施の形態２に係る量子暗号通信システムのエンティティの構成を示す図である。
【図１４】この発明の実施の形態２に係る量子暗号通信システムの初期設定から任意のエンティティＡ、Ｂ間での秘密鍵を共有するまでの動作を示すフローチャートである。
【図１５】この発明の実施の形態２に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図１６】この発明の実施の形態２に係る量子暗号通信システムの通信１（第１の通信）の様子を示す図である。
【図１７】この発明の実施の形態２に係る量子暗号通信システムの通信２（第２の通信）の様子を示す図である。
【図１８】この発明の実施の形態２に係る量子暗号通信システムの通信３（第３の通信）〜５の様子を示す図である。
【図１９】この発明の実施の形態２に係る量子暗号通信システムの公開検出ＢＢ８４プロトコル（位相変調）を示す図である。
【図２０】この発明の実施の形態２に係る量子暗号通信システムの通信５（第５の通信）の様子を示す図である。
【図２１】この発明の実施の形態３に係る量子暗号通信システムの構成を示す図である。
【符号の説明】
【００７０】
１ 鍵管理局、２ エンティティ、３ 古典通信網、４ ミラー、１１ 乱数生成手段、１２ データ処理手段、１３ 量子送信手段、１４ 量子受信手段、１５ 鍵管理手段、１６ 認証子生成手段、１７ 認証子照合手段、１８ 古典通信手段、２１ 乱数生成手段、２２ データ処理手段、２３ 量子送信手段、２４ 量子受信手段、２５ 秘密鍵保持手段、２６ 認証子生成手段、２７ 認証子照合手段、２８ 古典通信手段、２９ａ ビームスプリッタ、２９ｂ モニタ用光検出手段、２９ｃ 可変アッテネータ、２９ｄ 量子変調手段。
【特許請求の範囲】
【請求項１】
ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、
前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、
前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う
ことを特徴とする量子暗号通信システム。
【請求項２】
前記鍵管理局は、量子暗号通信を行うためであって、第１の乱数を生成する第１の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第１のデータ処理手段と、生成した第１の乱数に従い量子を生成・変調して前記量子通信路へ伝送する第１の量子送信手段と、生成した第１の乱数に従い前記量子通信路へ伝送された量子を測定する第１の量子受信手段とを有するとともに、古典認証通信を行うためであって、全てのエンティティの認証用初期鍵を生成し、守秘性の保証された方法で各エンティティに配送する鍵管理手段と、認証子を生成する第１の認証子生成手段と、認証子を照合する第１の認証子照合手段と、前記古典通信網を介して古典通信を実行する第１の古典通信手段とを有し、
前記エンティティは、量子暗号通信を行うためであって、第２の乱数を生成する第２の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第２のデータ処理手段と、生成した第２の乱数に従い量子を生成・変調して前記量子通信路へ伝送する第２の量子送信手段と、生成した第２の乱数に従い前記量子通信路へ伝送された量子を測定する第２の量子受信手段とを有するとともに、古典認証通信を行うためであって、配送された認証用初期鍵を保持する秘密鍵保持手段と、認証子を生成する第２の認証子生成手段と、認証子を照合する第２の認証子照合手段と、前記古典通信網を介して古典通信を実行する第２の古典通信手段とを有する
ことを特徴とする請求項１記載の量子暗号通信システム。
【請求項３】
鍵管理局及び複数のエンティティが、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網にそれぞれ接続されている量子暗号通信システムにおいて、
前記鍵管理局が各エンティティと秘密に共有する認証用初期鍵を各エンティティに配布する初期設定ステップと、
任意の第１及び第２のエンティティが量子暗号通信において秘密鍵を共有しようとするときに、前記第１及び第２のエンティティが、各々独立に前記鍵管理局と量子暗号通信を行って秘密鍵の拡張を行い、前記第１及び第２のエンティティ及び前記鍵管理局は、このとき量子暗号通信で使用した前記認証用初期鍵を破棄し、鍵拡張された秘密鍵の一部を費消して次回の鍵管理局との量子暗号通信に備えて認証用秘密鍵として更新しておく第１の通信ステップと、
前記第１及び第２のエンティティ間で接続された量子通信路を用いて量子暗号通信のための量子伝送を行う第２の通信ステップと、
前記第１及び第２のエンティティが前記鍵管理局を介して、伝送された量子を用いた量子暗号通信を完了するための古典情報の伝送を行い、このとき前記第１の通信ステップで各エンティティと鍵管理局で鍵拡張された秘密鍵を費消して各エンティティと鍵管理局の間で認証通信を行う第３の通信ステップと
を含むことを特徴とする量子暗号通信方法。
【請求項４】
ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、
前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な１本の量子通信路によってループ状に前記鍵管理局を始点及び終点とし前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、
前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う
ことを特徴とする量子暗号通信システム。
【請求項５】
前記鍵管理局は、量子暗号通信を行うためであって、第１の乱数を生成する第１の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第１のデータ処理手段と、生成した第１の乱数に従い量子を生成・変調して前記量子通信路へ伝送する量子送信手段と、生成した第１の乱数に従い前記量子通信路へ伝送された量子を測定する量子受信手段とを有するとともに、古典認証通信を行うためであって、全てのエンティティの認証用初期鍵を生成し、守秘性の保証された方法で各エンティティに配送する鍵管理手段と、認証子を生成する第１の認証子生成手段と、認証子を照合する第１の認証子照合手段と、前記古典通信網を介して古典通信を実行する第１の古典通信手段とを有し、
前記エンティティは、量子暗号通信を行うためであって、第２の乱数を生成する第２の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第２のデータ処理手段と、生成した第２の乱数に従い前記量子通信路を通って伝送されてきた量子を変調した後、前記量子通信路へ伝送する量子変調手段と、前記量子変調手段に入射する信号光を量子レベルまで減光する可変アッテネータと、前記量子通信路から信号光を一部分岐するビームスプリッタと、分岐された信号光をモニタするモニタ用光検出手段とを有するとともに、古典認証通信を行うためであって、配送された認証用初期鍵を保持する秘密鍵保持手段と、認証子を生成する第２の認証子生成手段と、認証子を照合する第２の認証子照合手段と、前記古典通信網を介して古典通信を実行する第２の古典通信手段とを有する
ことを特徴とする請求項４記載の量子暗号通信システム。
【請求項６】
鍵管理局及び複数のエンティティが、量子暗号通信可能な１本の量子通信路によってループ状に前記鍵管理局を始点及び終点とし前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続されている量子暗号通信システムにおいて、
前記鍵管理局が各エンティティと秘密に共有する認証用初期鍵を各エンティティに配布する初期設定ステップと、
任意の第１及び第２のエンティティが量子暗号通信において秘密鍵を共有しようとするときに、前記第１及び第２のエンティティが、各々独立に前記鍵管理局と量子暗号通信を行って秘密鍵の拡張を行い、前記第１及び第２のエンティティ及び前記鍵管理局は、このとき量子暗号通信で使用した前記認証用初期鍵を破棄し、鍵拡張された秘密鍵の一部を費消して次回の鍵管理局との量子暗号通信に備えて認証用秘密鍵として更新しておく第１の通信ステップと、
前記第１及び第２のエンティティは、前記鍵管理局から送信され、各エンティティを貫通する量子通信路を通り、前記鍵管理局により受信される量子に対して、各々で生成した乱数に従い、独立にランダムな量子変調をかける第２の通信ステップと、
前記鍵管理局は、前記第１及び第２のエンティティに量子受信結果を古典通信で公表する第３の通信ステップと、
前記第１及び第２のエンティティが前記鍵管理局を介して、伝送された量子を用いた量子暗号通信を完了するための古典情報の伝送を行い、このとき前記第１の通信ステップで各エンティティと鍵管理局で鍵拡張された秘密鍵を費消して各エンティティと鍵管理局の間で認証通信を行う第４の通信ステップと
前記第１のエンティティは、乱数を生成し、前記第１の通信ステップで前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドで暗号化し、この暗号文を、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドで暗号化して前記古典通信網を使って前記鍵管理局に送信するとともに、
前記鍵管理局は、前記第１の通信ステップにおいて前記第１のエンティティとの間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第１の通信ステップにおいて前記第２のエンティティとの間で鍵拡張された秘密鍵を費消して、ワンタイムパッドで暗号化して、前記古典通信網を使って前記第２のエンティティに送信し、
前記第２のエンティティは、前記第１の通信ステップにおいて前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドを復号することで前記第１のエンティティが生成した乱数を最終的な秘密鍵として共有する第５の通信ステップと
を含むことを特徴とする量子暗号通信方法。
【請求項７】
ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、
前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な１本の量子通信路によってバス型に前記鍵管理局を一端に設置し量子を反射するミラーを他端に設置し両者の間に設置された前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、
前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う
ことを特徴とする量子暗号通信システム。
【請求項８】
前記鍵管理局は、量子暗号通信を行うためであって、第１の乱数を生成する第１の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第１のデータ処理手段と、生成した第１の乱数に従い量子を生成・変調して前記量子通信路へ伝送する量子送信手段と、生成した第１の乱数に従い前記量子通信路へ伝送された量子を測定する量子受信手段とを有するとともに、古典認証通信を行うためであって、全てのエンティティの認証用初期鍵を生成し、守秘性の保証された方法で各エンティティに配送する鍵管理手段と、認証子を生成する第１の認証子生成手段と、認証子を照合する第１の認証子照合手段と、前記古典通信網を介して古典通信を実行する第１の古典通信手段とを有し、
前記エンティティは、量子暗号通信を行うためであって、第２の乱数を生成する第２の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第２のデータ処理手段と、生成した第２の乱数に従い前記量子通信路を通って伝送されてきた量子を変調した後、前記量子通信路へ伝送する量子変調手段と、前記量子変調手段に入射する信号光を量子レベルまで減光する可変アッテネータと、前記量子通信路から信号光を一部分岐するビームスプリッタと、分岐された信号光をモニタするモニタ用光検出手段とを有するとともに、古典認証通信を行うためであって、配送された認証用初期鍵を保持する秘密鍵保持手段と、認証子を生成する第２の認証子生成手段と、認証子を照合する第２の認証子照合手段と、前記古典通信網を介して古典通信を実行する第２の古典通信手段とを有する
ことを特徴とする請求項７記載の量子暗号通信システム。
【請求項９】
鍵管理局及び複数のエンティティが、量子暗号通信可能な１本の量子通信路によってバス型に前記鍵管理局を一端に設置し量子を反射するミラーを他端に設置し両者の間に設置された前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続されている量子暗号通信システムにおいて、
前記鍵管理局が各エンティティと秘密に共有する認証用初期鍵を各エンティティに配布する初期設定ステップと、
任意の第１及び第２のエンティティが量子暗号通信において秘密鍵を共有しようとするときに、前記第１及び第２のエンティティが、各々独立に前記鍵管理局と量子暗号通信を行って秘密鍵の拡張を行い、前記第１及び第２のエンティティ及び前記鍵管理局は、このとき量子暗号通信で使用した前記認証用初期鍵を破棄し、鍵拡張された秘密鍵の一部を費消して次回の鍵管理局との量子暗号通信に備えて認証用秘密鍵として更新しておく第１の通信ステップと、
前記第１及び第２のエンティティは、前記鍵管理局から送信され、各エンティティを貫通する量子通信路を通り、前記鍵管理局により受信される量子に対して、各々で生成した乱数に従い、独立にランダムな量子変調をかける第２の通信ステップと、
前記鍵管理局は、前記第１及び第２のエンティティに量子受信結果を古典通信で公表する第３の通信ステップと、
前記第１及び第２のエンティティが前記鍵管理局を介して、伝送された量子を用いた量子暗号通信を完了するための古典情報の伝送を行い、このとき前記第１の通信ステップで各エンティティと鍵管理局で鍵拡張された秘密鍵を費消して各エンティティと鍵管理局の間で認証通信を行う第４の通信ステップと
前記第１のエンティティは、乱数を生成し、前記第１の通信ステップで前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドで暗号化し、この暗号文を、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドで暗号化して前記古典通信網を使って前記鍵管理局に送信するとともに、
前記鍵管理局は、前記第１の通信ステップにおいて前記第１のエンティティとの間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第１の通信ステップにおいて前記第２のエンティティとの間で鍵拡張された秘密鍵を費消して、ワンタイムパッドで暗号化して、前記古典通信網を使って前記第２のエンティティに送信し、
前記第２のエンティティは、前記第１の通信ステップにおいて前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドを復号することで前記第１のエンティティが生成した乱数を最終的な秘密鍵として共有する第５の通信ステップと
を含むことを特徴とする量子暗号通信方法。
【請求項１】
ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、
前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、
前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う
ことを特徴とする量子暗号通信システム。
【請求項２】
前記鍵管理局は、量子暗号通信を行うためであって、第１の乱数を生成する第１の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第１のデータ処理手段と、生成した第１の乱数に従い量子を生成・変調して前記量子通信路へ伝送する第１の量子送信手段と、生成した第１の乱数に従い前記量子通信路へ伝送された量子を測定する第１の量子受信手段とを有するとともに、古典認証通信を行うためであって、全てのエンティティの認証用初期鍵を生成し、守秘性の保証された方法で各エンティティに配送する鍵管理手段と、認証子を生成する第１の認証子生成手段と、認証子を照合する第１の認証子照合手段と、前記古典通信網を介して古典通信を実行する第１の古典通信手段とを有し、
前記エンティティは、量子暗号通信を行うためであって、第２の乱数を生成する第２の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第２のデータ処理手段と、生成した第２の乱数に従い量子を生成・変調して前記量子通信路へ伝送する第２の量子送信手段と、生成した第２の乱数に従い前記量子通信路へ伝送された量子を測定する第２の量子受信手段とを有するとともに、古典認証通信を行うためであって、配送された認証用初期鍵を保持する秘密鍵保持手段と、認証子を生成する第２の認証子生成手段と、認証子を照合する第２の認証子照合手段と、前記古典通信網を介して古典通信を実行する第２の古典通信手段とを有する
ことを特徴とする請求項１記載の量子暗号通信システム。
【請求項３】
鍵管理局及び複数のエンティティが、量子暗号通信可能な量子通信路によって相互に１対１で接続され、かつ古典通信可能な古典通信網にそれぞれ接続されている量子暗号通信システムにおいて、
前記鍵管理局が各エンティティと秘密に共有する認証用初期鍵を各エンティティに配布する初期設定ステップと、
任意の第１及び第２のエンティティが量子暗号通信において秘密鍵を共有しようとするときに、前記第１及び第２のエンティティが、各々独立に前記鍵管理局と量子暗号通信を行って秘密鍵の拡張を行い、前記第１及び第２のエンティティ及び前記鍵管理局は、このとき量子暗号通信で使用した前記認証用初期鍵を破棄し、鍵拡張された秘密鍵の一部を費消して次回の鍵管理局との量子暗号通信に備えて認証用秘密鍵として更新しておく第１の通信ステップと、
前記第１及び第２のエンティティ間で接続された量子通信路を用いて量子暗号通信のための量子伝送を行う第２の通信ステップと、
前記第１及び第２のエンティティが前記鍵管理局を介して、伝送された量子を用いた量子暗号通信を完了するための古典情報の伝送を行い、このとき前記第１の通信ステップで各エンティティと鍵管理局で鍵拡張された秘密鍵を費消して各エンティティと鍵管理局の間で認証通信を行う第３の通信ステップと
を含むことを特徴とする量子暗号通信方法。
【請求項４】
ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、
前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な１本の量子通信路によってループ状に前記鍵管理局を始点及び終点とし前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、
前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う
ことを特徴とする量子暗号通信システム。
【請求項５】
前記鍵管理局は、量子暗号通信を行うためであって、第１の乱数を生成する第１の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第１のデータ処理手段と、生成した第１の乱数に従い量子を生成・変調して前記量子通信路へ伝送する量子送信手段と、生成した第１の乱数に従い前記量子通信路へ伝送された量子を測定する量子受信手段とを有するとともに、古典認証通信を行うためであって、全てのエンティティの認証用初期鍵を生成し、守秘性の保証された方法で各エンティティに配送する鍵管理手段と、認証子を生成する第１の認証子生成手段と、認証子を照合する第１の認証子照合手段と、前記古典通信網を介して古典通信を実行する第１の古典通信手段とを有し、
前記エンティティは、量子暗号通信を行うためであって、第２の乱数を生成する第２の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第２のデータ処理手段と、生成した第２の乱数に従い前記量子通信路を通って伝送されてきた量子を変調した後、前記量子通信路へ伝送する量子変調手段と、前記量子変調手段に入射する信号光を量子レベルまで減光する可変アッテネータと、前記量子通信路から信号光を一部分岐するビームスプリッタと、分岐された信号光をモニタするモニタ用光検出手段とを有するとともに、古典認証通信を行うためであって、配送された認証用初期鍵を保持する秘密鍵保持手段と、認証子を生成する第２の認証子生成手段と、認証子を照合する第２の認証子照合手段と、前記古典通信網を介して古典通信を実行する第２の古典通信手段とを有する
ことを特徴とする請求項４記載の量子暗号通信システム。
【請求項６】
鍵管理局及び複数のエンティティが、量子暗号通信可能な１本の量子通信路によってループ状に前記鍵管理局を始点及び終点とし前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続されている量子暗号通信システムにおいて、
前記鍵管理局が各エンティティと秘密に共有する認証用初期鍵を各エンティティに配布する初期設定ステップと、
任意の第１及び第２のエンティティが量子暗号通信において秘密鍵を共有しようとするときに、前記第１及び第２のエンティティが、各々独立に前記鍵管理局と量子暗号通信を行って秘密鍵の拡張を行い、前記第１及び第２のエンティティ及び前記鍵管理局は、このとき量子暗号通信で使用した前記認証用初期鍵を破棄し、鍵拡張された秘密鍵の一部を費消して次回の鍵管理局との量子暗号通信に備えて認証用秘密鍵として更新しておく第１の通信ステップと、
前記第１及び第２のエンティティは、前記鍵管理局から送信され、各エンティティを貫通する量子通信路を通り、前記鍵管理局により受信される量子に対して、各々で生成した乱数に従い、独立にランダムな量子変調をかける第２の通信ステップと、
前記鍵管理局は、前記第１及び第２のエンティティに量子受信結果を古典通信で公表する第３の通信ステップと、
前記第１及び第２のエンティティが前記鍵管理局を介して、伝送された量子を用いた量子暗号通信を完了するための古典情報の伝送を行い、このとき前記第１の通信ステップで各エンティティと鍵管理局で鍵拡張された秘密鍵を費消して各エンティティと鍵管理局の間で認証通信を行う第４の通信ステップと
前記第１のエンティティは、乱数を生成し、前記第１の通信ステップで前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドで暗号化し、この暗号文を、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドで暗号化して前記古典通信網を使って前記鍵管理局に送信するとともに、
前記鍵管理局は、前記第１の通信ステップにおいて前記第１のエンティティとの間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第１の通信ステップにおいて前記第２のエンティティとの間で鍵拡張された秘密鍵を費消して、ワンタイムパッドで暗号化して、前記古典通信網を使って前記第２のエンティティに送信し、
前記第２のエンティティは、前記第１の通信ステップにおいて前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドを復号することで前記第１のエンティティが生成した乱数を最終的な秘密鍵として共有する第５の通信ステップと
を含むことを特徴とする量子暗号通信方法。
【請求項７】
ネットワークのノードとして単一の鍵管理局と複数のエンティティを備えた量子暗号通信システムであって、
前記鍵管理局及び前記複数のエンティティが、量子暗号通信可能な１本の量子通信路によってバス型に前記鍵管理局を一端に設置し量子を反射するミラーを他端に設置し両者の間に設置された前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続され、
前記鍵管理局を介して、任意のエンティティ間での量子暗号通信における古典通信の認証を行う
ことを特徴とする量子暗号通信システム。
【請求項８】
前記鍵管理局は、量子暗号通信を行うためであって、第１の乱数を生成する第１の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第１のデータ処理手段と、生成した第１の乱数に従い量子を生成・変調して前記量子通信路へ伝送する量子送信手段と、生成した第１の乱数に従い前記量子通信路へ伝送された量子を測定する量子受信手段とを有するとともに、古典認証通信を行うためであって、全てのエンティティの認証用初期鍵を生成し、守秘性の保証された方法で各エンティティに配送する鍵管理手段と、認証子を生成する第１の認証子生成手段と、認証子を照合する第１の認証子照合手段と、前記古典通信網を介して古典通信を実行する第１の古典通信手段とを有し、
前記エンティティは、量子暗号通信を行うためであって、第２の乱数を生成する第２の乱数生成手段と、盗聴者の有無及び鍵共有を実行する第２のデータ処理手段と、生成した第２の乱数に従い前記量子通信路を通って伝送されてきた量子を変調した後、前記量子通信路へ伝送する量子変調手段と、前記量子変調手段に入射する信号光を量子レベルまで減光する可変アッテネータと、前記量子通信路から信号光を一部分岐するビームスプリッタと、分岐された信号光をモニタするモニタ用光検出手段とを有するとともに、古典認証通信を行うためであって、配送された認証用初期鍵を保持する秘密鍵保持手段と、認証子を生成する第２の認証子生成手段と、認証子を照合する第２の認証子照合手段と、前記古典通信網を介して古典通信を実行する第２の古典通信手段とを有する
ことを特徴とする請求項７記載の量子暗号通信システム。
【請求項９】
鍵管理局及び複数のエンティティが、量子暗号通信可能な１本の量子通信路によってバス型に前記鍵管理局を一端に設置し量子を反射するミラーを他端に設置し両者の間に設置された前記複数のエンティティを貫通するように接続され、かつ古典通信可能な古典通信網にそれぞれ接続されている量子暗号通信システムにおいて、
前記鍵管理局が各エンティティと秘密に共有する認証用初期鍵を各エンティティに配布する初期設定ステップと、
任意の第１及び第２のエンティティが量子暗号通信において秘密鍵を共有しようとするときに、前記第１及び第２のエンティティが、各々独立に前記鍵管理局と量子暗号通信を行って秘密鍵の拡張を行い、前記第１及び第２のエンティティ及び前記鍵管理局は、このとき量子暗号通信で使用した前記認証用初期鍵を破棄し、鍵拡張された秘密鍵の一部を費消して次回の鍵管理局との量子暗号通信に備えて認証用秘密鍵として更新しておく第１の通信ステップと、
前記第１及び第２のエンティティは、前記鍵管理局から送信され、各エンティティを貫通する量子通信路を通り、前記鍵管理局により受信される量子に対して、各々で生成した乱数に従い、独立にランダムな量子変調をかける第２の通信ステップと、
前記鍵管理局は、前記第１及び第２のエンティティに量子受信結果を古典通信で公表する第３の通信ステップと、
前記第１及び第２のエンティティが前記鍵管理局を介して、伝送された量子を用いた量子暗号通信を完了するための古典情報の伝送を行い、このとき前記第１の通信ステップで各エンティティと鍵管理局で鍵拡張された秘密鍵を費消して各エンティティと鍵管理局の間で認証通信を行う第４の通信ステップと
前記第１のエンティティは、乱数を生成し、前記第１の通信ステップで前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドで暗号化し、この暗号文を、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドで暗号化して前記古典通信網を使って前記鍵管理局に送信するとともに、
前記鍵管理局は、前記第１の通信ステップにおいて前記第１のエンティティとの間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第１の通信ステップにおいて前記第２のエンティティとの間で鍵拡張された秘密鍵を費消して、ワンタイムパッドで暗号化して、前記古典通信網を使って前記第２のエンティティに送信し、
前記第２のエンティティは、前記第１の通信ステップにおいて前記鍵管理局との間で鍵拡張された秘密鍵の残りを費消して、ワンタイムパッドを復号し、前記第２〜４の通信ステップで生成された前記第１及び第２のエンティティ間での秘密鍵を費消してワンタイムパッドを復号することで前記第１のエンティティが生成した乱数を最終的な秘密鍵として共有する第５の通信ステップと
を含むことを特徴とする量子暗号通信方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２００６−２０３５５９（Ｐ２００６−２０３５５９Ａ）
【公開日】平成１８年８月３日（２００６．８．３）
【国際特許分類】
【出願番号】特願２００５−１３１４９（Ｐ２００５−１３１４９）
【出願日】平成１７年１月２０日（２００５．１．２０）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、独立行政法人情報通信研究機構、「量子暗号技術の研究開発」委託契約、産業活力再生特別措置法第３０条の適用を受ける特許出願
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成１８年８月３日（２００６．８．３）
【国際特許分類】
【出願日】平成１７年１月２０日（２００５．１．２０）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、独立行政法人情報通信研究機構、「量子暗号技術の研究開発」委託契約、産業活力再生特別措置法第３０条の適用を受ける特許出願
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]