(57)【要約】【課題】秘密鍵を認証側装置とクライアント側装置のみが安全かつ容易に共有する。【解決手段】もつれ光子対光源は、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させる。第１の検出部は、シグナル光子を検出し、検出した時刻を示す送信時刻情報を生成する。アイドラー光子は、量子チャンネルを経てクライアント側装置に送られる。判別部は、送信時刻情報と、クライアント側装置でアイドラー光子を検出した時刻から得られた第１時刻情報を用いて、同時イベント回数、及び、第１時刻情報の要素数を取得し、同時イベント回数及び要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する。判別情報が承認する旨の情報を含むとき、事前共有鍵を秘密鍵で暗号化して新たに事前共有鍵を生成する。【選択図】図１
2020053894.tif 000002
【特許請求の範囲】
【請求項１】
量子もつれ光子対光源、第１の検出部、復号化部、及び、判別部を含んで構成される認証側装置と、
第２の検出部、照合部、秘匿増幅部、及び、暗号化部を含んで構成されるクライアント側装置と
を備え、
前記量子もつれ光子対光源は、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させ、
前記第１の検出部は、前記シグナル光子を検出し、検出した時刻を示す送信時刻情報を生成し、
前記第２の検出部は、量子チャンネルを経て送られた前記アイドラー光子を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、該時刻における光子検出確率を示す乱数ビット値情報を生成し、
前記照合部は、前記光子検出確率がηｋ（ｋは０以上ｎ以下の整数、ｎは１以上の整数）であるときの、前記受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認し、
前記秘匿増幅部は、前記照合部で承認された場合に、前記受信時刻情報を第１時刻情報及び第２時刻情報に２分して、前記第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成し、
前記暗号化部は、事前共有鍵を用いて、前記第１時刻情報と前記秘密鍵を暗号化して暗号化信号を生成し、該暗号化信号を前記認証側装置に送り、
前記復号化部は、前記事前共有鍵を用いて前記暗号化信号を復号化して前記第１時刻情報及び秘密鍵を取得し、
前記判別部は、前記送信時刻情報と、前記第１時刻情報を用いて、同時イベント回数、及び、前記第１時刻情報の要素数を取得し、前記同時イベント回数及び前記要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成し、
前記判別情報が承認する旨の情報を含むとき、前記事前共有鍵を前記秘密鍵で暗号化して新たに事前共有鍵を生成する
ことを特徴とする認証システム。
【請求項２】
前記第２の検出部が、
ｎ＋１値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ以下の整数）と、該乱数値ｉを発生させた時刻を含む前記乱数ビット値情報を生成する乱数発生器と、
前記乱数値ｉによって定まる透過率Ｔｉで前記認証側装置からのアイドラー光子を強度変調する光強度変調器と、
前記光強度変調器で強度変調された前記アイドラー光子が入力され、単一光子を検出した時刻を前記受信時刻情報として生成する単一光子検出器と
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載の認証システム。
【請求項３】
前記第２の検出部が、
ｎ＋１値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ以下の整数）と、該乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、
前記乱数値ｉによって定まる電圧値Ｖｉのゲート電圧を生成するゲート電圧生成部と、
前記認証側装置からのアイドラー光子を前記ゲート電圧の電圧値Ｖｉで定まる検出効率ηｉで検出し、単一光子を検出した時刻を前記受信時刻情報として生成する単一光子検出器と
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載の認証システム。
【請求項４】
前記第２の検出部が、
前記認証側装置からのアイドラー光子の経路を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、
それぞれ、第ｊの入力光が入力され、単一光子を検出した時刻を受信情報として生成する第１及び第２の単一光子検出器と、
前記第１の単一光子検出器及び前記第２の単一光子検出器の受信情報の和集合を前記受信時刻情報として生成し、前記第１の単一光子検出器及び前記第２の単一光子検出器のいずれで検出されたかに基づいて前記乱数ビット値情報を生成する計数処理回路と
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載の認証システム。
【請求項５】
前記第２の検出部が、
前記認証側装置からの、周期Δｔのパルス光であるアイドラー光子の経路を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、
前記第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、
前記第２の入力光を遅延させて、前記光合波部で合波される前記第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、
前記入力合波光が入力され、単一光子を検出した時刻を前記受信時刻情報として生成し、幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロット及び偶数番目の時間スロットのいずれで検出されたかに基づいて前記乱数ビット値情報を生成する単一光子検出器と
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載の認証システム。
【請求項６】
前記秘匿増幅によって得られる前記秘密鍵の各要素の有する情報量が、前記第２の検出部が備える単一光子検出器の検出確率ηＢに対して、−ｌｏｇ２（ηＢ）以下である
ことを特徴とする請求項１〜５のいずれか一項に記載の認証システム。
【請求項７】
前記クライアント側装置が２以上設けられ、
前記量子もつれ光子対光源が、広帯域光源であり、
前記第１の検出部、前記復号化部、及び、前記判別部が２以上設けられ、
前記認証側装置は、さらに、
前記アイドラー光子を分配して、それぞれ２以上の前記クライアント側装置に送るアイドラー光子分配部、
前記シグナル光子を分配して、それぞれ２以上の前記第１の検出部に送るシグナル光子分配部
を備える
ことを特徴とする請求項１〜６のいずれか一項に記載の認証システム。
【請求項８】
認証側装置において行われる、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させる量子もつれ光子対生成過程と、
クライアント側装置において行われる、
量子チャンネルを経て前記認証側装置から送られた、前記アイドラー光子を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、該時刻における光子検出確率を示す乱数ビット値情報を生成する、光子検出過程、
前記光子検出確率がηｋ（ｋは０以上ｎ以下の整数、ｎは１以上の整数）であるときの、前記受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する、照合過程、
前記照合過程で承認された場合に、前記受信時刻情報を第１時刻情報及び第２時刻情報に２分して、前記第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する、秘匿増幅過程、及び、
事前共有鍵を用いて、前記第１時刻情報と前記秘密鍵を暗号化して暗号化信号を生成し、該暗号化信号を前記認証側装置に送る暗号化過程と、
前記認証側装置において行われる、
前記シグナル光子を検出し、検出した時刻を示す送信時刻情報を生成する、光子検出過程、
前記事前共有鍵を用いて前記暗号化情報を復号化して前記第１時刻情報及び秘密鍵を取得する、復号化過程、及び、
前記送信時刻情報と、前記第１時刻情報を用いて、同時イベント回数を取得し、かつ、前記第１時刻情報の要素数を取得し、前記同時イベント回数及び前記要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する判別過程
とを備え、
前記判別情報が承認する旨の情報を含むとき、前記事前共有鍵を前記秘密鍵で暗号化して新たに事前共有鍵を生成する
ことを特徴とする認証方法。
【請求項９】
もつれ光子対光源、第１の検出部、復号化部、及び、判別部を含んで構成され、
前記もつれ光子対光源は、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させ、
前記第１の検出部は、前記シグナル光子を検出し、検出した時刻を示す送信時刻情報を生成し、
前記アイドラー光子は、量子チャンネルを経てクライアント側装置に送られ、
前記判別部は、前記送信時刻情報と、前記クライアント側装置で前記アイドラー光子を検出した時刻から得られた第１時刻情報を用いて、同時イベント回数、及び、前記第１時刻情報の要素数を取得し、前記同時イベント回数及び前記要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成し、
前記判別情報が承認する旨の情報を含むとき、前記事前共有鍵を前記秘密鍵で暗号化して新たに事前共有鍵を生成する
ことを特徴とする認証側装置。
【請求項１０】
前記量子もつれ光子対光源が、広帯域光源であり、
前記第１の検出部、前記復号化部、及び、前記判別部が２以上設けられ、
前記認証側装置は、さらに、
前記アイドラー光子を分配して、それぞれ２以上の前記クライアント側装置に送るアイドラー光子分配部、
前記シグナル光子を分配して、それぞれ２以上の前記第１の検出部に送るシグナル光子分配部
を備える
ことを特徴とする請求項９に記載の認証側装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、光の量子力学的性質を利用した認証システムで用いられる認証側装置、この認証側装置を備える認証システム、及び、認証方法に関する。
【背景技術】
【０００２】
ある特定の相手との間でサービスを提供・享受し、またその内容を秘匿化したい場合、認証システムと暗号通信システムが一般的に利用されている。
【０００３】
認証システムにおいては、例えばサービスを提供する側（ここでは認証サーバと呼ぶ）と受ける側（ここではクライアントと呼ぶ）の両者が、第三者が知らない秘密情報を共有し、それを照合することで相手を識別認証する。その例として例えば秘密のパスワード、個体識別認識（ＩＤ：ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）番号、指紋、顔などの認証を利用した認証システム、あるいは装置機器の個体識別番号であるＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを利用したＭＡＣ認証などがよく利用される。
【０００４】
また暗号通信システムにおいては、公開鍵を利用した公開鍵方式や、共通鍵を利用した共通鍵方式を利用して、送受信される情報（平文）の暗号化・復号化を行う。
【０００５】
このような認証システム、暗号通信システムは、キャッシュカードやクレジットカードなどを利用した電子決済システム、オフィスビルやセキュリティルームなどの入退場を管理するセキュリティゲートシステムなど、様々な分野で利用されている。これらのシステムでは、正規な利用者と不正者を、迅速かつ確実に識別することが要求される。
【０００６】
一方で、例えばＩＤカードのコピーや偽造などによる不正者の攻撃もよく知られている。その対策の一つは、銀行の現金自動預払機（ＡＴＭ：Ａｕｔｏｍａｔｉｃ  Ｔｅｌｌｅｒ  Ｍａｃｈｉｎｅ）などで利用されるように、上記の認証システムに、利用者とシステム管理者のみが知る秘密のパスワードを組み合わせて利用する方法である。
【０００７】
このパスワードを利用する方法の問題点は、パスワードの生成とその管理にある。すなわち、どのように、パスワードを不正者に知られることなく認証システムの管理者と正規な利用者のみが共有するかが問題となる。
【０００８】
例えば複数の認証システムで、固定したパスワードを使いまわすようなことがあれば、不正者が容易にパスワードを類推できる。これを解決する有効な方法は、秘密のパスワードを頻繁に変更することである。しかし、パスワードの変更の都度、新しいパスワードを覚え直さなければならないなど、正規な利用者にとって、負担が大きい。
【０００９】
また、一般にも利用されるような通信回線を介して、頻繁にパスワードを受け渡せば、不正者は通信回線を盗聴してパスワードを盗むことが可能となる。この場合に通信回線等を経過する情報は古典的な情報量である。このため、パスワードを複製して利用することが可能であり、不正利用の可能性はさらに増大する。
【００１０】
なお、パスワードの生成及び配布については、量子力学的性質を利用した暗号通信において、究極の秘匿通信を実現できることが知られており、この暗号通信を利用する認証システムが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】特開２０００−２０１１４４号公報
【非特許文献】
【００１２】
【非特許文献１】Charles H. Bennett, Gilles Brassard, Claude Crkpeau, and Ueli M.Maurer, “Generalized Privacy Amplification,” IEEE transactions on  information theory, vol. 41, No. 6, pp. 1915-1923, November 1995
【非特許文献２】鶴丸豊広, “量子暗号の量子でない部分,” 電子情報通信学会情報理論とその応用学会（現 情報理論とその応用サブソサイエティ）ニューズレター No.60, 2006 年9 月30 日発行
【非特許文献３】Shin Arahira, Naoto Namekata, Tadashi Kishimoto, Hiroki Yaegashi, and Shuichiro Inoue, “Generation of polarization entangled photon pairs at telecommunication wavelength using cascaded χ(2) processes in a  periodically poled LiNbO3 ridge waveguide,” Optics Express, Vol. 19, No. 17, 16032-16043, 2011.
【非特許文献４】S. Arahira, H. Murai, and H. Sasaki, “Nonlinear version of Einstein coefficients in parametric conversions,” J. Opt. Soc. Am. B, vol. 34, no.2, pp. 527-532, Mar. 2017.
【発明の概要】
【発明が解決しようとする課題】
【００１３】
しかしながら、上述の暗号通信についても、秘密鍵の共有が困難であることなどから、ほとんど使用されていない。
【００１４】
この発明は、上述の問題点に鑑みてなされたものである。
【００１５】
したがって、この発明の目的は、秘密鍵を認証システムの認証側装置とクライアント側装置のみが安全かつ容易に共有できる、認証システム及び認証側装置と、認証方法を提供することにある。
【課題を解決するための手段】
【００１６】
上述の課題を解決するために、この発明の認証システムは、量子もつれ光子対光源、第１の検出部、復号化部、及び、判別部を含んで構成される認証側装置と、  第２の検出部、照合部、秘匿増幅部、及び、暗号化部を含んで構成されるクライアント側装置とを備えて構成される。
【００１７】
量子もつれ光子対光源は、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させる。第１の検出部は、シグナル光子を検出し、検出した時刻を示す送信時刻情報を生成する。第２の検出部は、量子チャンネルを経て送られたアイドラー光子を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、該時刻における光子検出確率を示す乱数ビット値情報を生成する。照合部は、光子検出確率がηｋ（ｋは０以上ｎ以下の整数、ｎは１以上の整数）であるときの、受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する。秘匿増幅部は、照合部で承認された場合に、受信時刻情報を第１時刻情報及び第２時刻情報に２分して、第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する。暗号化部は、事前共有鍵を用いて、第１時刻情報と秘密鍵を暗号化して暗号化信号を生成し、この暗号化信号を認証側装置に送る。復号化部は、事前共有鍵を用いて暗号化信号を復号化して第１時刻情報及び秘密鍵を取得する。判別部は、送信時刻情報と、第１時刻情報を用いて、同時イベント回数、及び、第１時刻情報の要素数を取得し、同時イベント回数及び要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する。判別情報が承認する旨の情報を含むとき、事前共有鍵を秘密鍵で暗号化して新たに事前共有鍵を生成する。
【００１８】
この認証システムの好適実施形態によれば、第２の検出部が、ｎ＋１値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ以下の整数）と、乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、乱数値ｉによって定まる透過率Ｔｉで認証側装置からのアイドラー光子を強度変調する光強度変調器と、光強度変調器で強度変調されたアイドラー光子が入力され、単一光子を検出した時刻を受信時刻情報として生成する単一光子検出器とを備えて構成される単一光子検出装置である。
【００１９】
また、この認証システムの他の好適実施形態によれば、第２の検出部が、ｎ＋１値の乱数を発生させ、乱数値ｉと、乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、乱数値ｉによって定まる電圧値Ｖｉのゲート電圧を生成するゲート電圧生成部と、認証側装置からのアイドラー光子をゲート電圧の電圧値Ｖｉで定まる検出効率ηｉで検出し、単一光子を検出した時刻を受信時刻情報として生成する単一光子検出器とを備えて構成される単一光子検出装置である。
【００２０】
また、この認証システムの他の好適実施形態によれば、第２の検出部が、認証側装置からのアイドラー光子の経路を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、それぞれ、第ｊの入力光が入力され、単一光子を検出した時刻を受信情報として生成する第１及び第２の単一光子検出器と、第１の単一光子検出器及び第２の単一光子検出器の受信情報の和集合を受信時刻情報として生成し、第１の単一光子検出器及び第２の単一光子検出器のいずれで検出されたかに基づいて乱数ビット値情報を生成する計数処理回路とを備えて構成される単一光子検出装置である。
【００２１】
また、この認証システムの他の好適実施形態によれば、第２の検出部が、周期Δｔのパルス光である、認証側装置からのアイドラー光子の経路を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、第２の入力光を遅延させて、光合波部で合波される第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、入力合波光が入力され、単一光子を検出した時刻を受信時刻情報として生成し、幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロット及び偶数番目の時間スロットのいずれで検出されたかに基づいて乱数ビット値情報を生成する単一光子検出器とを備えて構成される単一光子検出装置である。
【００２２】
上述した認証システムでは、秘匿増幅によって得られる秘密鍵の各要素の有する情報量が、検出部が備える単一光子検出器の検出確率ηＢに対して、−ｌｏｇ２（ηＢ）以下であるのが好ましい。
【００２３】
この認証システムの好適実施形態では、クライアント側装置が２以上設けられ、量子もつれ光子対光源が、広帯域光源であり、第１の検出部、復号化部、及び、判別部が２以上設けられる。認証側装置は、さらに、アイドラー光子を分配して、それぞれ２以上のクライアント側装置に送るアイドラー光子分配部、及び、シグナル光子を分配して、それぞれ２以上の第１の検出部に送るシグナル光子分配部を備える。
【００２４】
また、この発明の認証方法は、以下の過程を備えて構成される。
【００２５】
まず、認証側装置において、量子もつれ光子対生成過程において、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させる。
【００２６】
次に、クライアント側装置において、認証側装置から量子チャンネルを経て送られた、アイドラー光子を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、その時刻における光子検出確率を示す乱数ビット値情報を生成する。次に、照合過程において、光子検出確率がηｋであるときの、受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する。次に、照合過程で承認された場合に、受信時刻情報を第１時刻情報及び第２時刻情報に２分して、第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する。次に、暗号化過程において、事前共有鍵を用いて、第１時刻情報と秘密鍵を暗号化して暗号化信号を生成し、暗号化信号を認証側装置に送る。
【００２７】
また、認証側装置において、シグナル光子を検出し、検出した時刻を示す送信時刻情報を生成する。
【００２８】
その後、事前共有鍵を用いて暗号化信号を復号化して第１時刻情報及び秘密鍵を取得する。次に、量子もつれ光子対光源が量子もつれ光子対を生成させた時刻の情報を含む送信時刻情報と、第１時刻情報を用いて、同時イベント回数、及び、第１時刻情報の要素数を取得し、同時イベント回数及び要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する。
【００２９】
その後、判別情報が承認する旨の情報を含むとき、事前共有鍵を秘密鍵で暗号化して新たに事前共有鍵を生成する。
【００３０】
また、この発明の認証側装置は、もつれ光子対光源、第１の検出部、復号化部、及び、判別部を含んで構成される。もつれ光子対光源は、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させる。第１の検出部は、シグナル光子を検出し、検出した時刻を示す送信時刻情報を生成する。アイドラー光子は、量子チャンネルを経てクライアント側装置に送られる。判別部は、送信時刻情報と、クライアント側装置でアイドラー光子を検出した時刻から得られた第１時刻情報を用いて、同時イベント回数、及び、第１時刻情報の要素数を取得し、同時イベント回数及び要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する。判別情報が承認する旨の情報を含むとき、事前共有鍵を前記秘密鍵で暗号化して新たに事前共有鍵を生成する。
【発明の効果】
【００３１】
この発明の認証システム、認証方法及び認証側装置によれば、量子もつれ光子対を用いることで、不正な利用者の存在を探知でき、正規な利用者のみを認証することができる。
【図面の簡単な説明】
【００３２】
【図１】第１の認証システムの模式図である。
【図２】ワイヤタップ攻撃を説明するための模式図である。
【図３】実証実験の結果を示す図である。
【図４】第１の単一光子検出装置を説明する模式図である。
【図５】第２の単一光子検出装置を説明する模式図である。
【図６】第３の単一光子検出装置を説明する模式図である。
【図７】第４の単一光子検出装置を説明する模式図である。
【図８】第４の単一光子検出装置における、平均光子数とＳ０／Ｓ１の関係を示す図である。
【図９】第２の認証システムの模式図である。
【発明を実施するための形態】
【００３３】
以下、図を参照して、この発明の実施の形態について説明するが、各構成要素の形状、大きさ及び配置関係については、この発明が理解できる程度に概略的に示したものに過ぎない。また、以下、この発明の好適な構成例につき説明するが、各構成要素の材質及び数値的条件などは、単なる好適例にすぎない。従って、この発明は以下の実施の形態に限定されるものではなく、この発明の構成の範囲を逸脱せずにこの発明の効果を達成できる多くの変更又は変形を行うことができる。
【００３４】
（第１の認証システム）
図１を参照して、この発明の認証システムの第１の実施形態（以下、第１の認証システムと称する。）の構成及び動作について説明する。図１は、第１の認証システムの模式図である。
【００３５】
第１の認証システムは、認証側装置（認証サーバ）１０と、認証サーバ１０により認証を受ける被認証端末（クライアント側装置）２０を備えて構成される。認証サーバ１０及びクライアント側装置２０は事前に相手を認証するための秘密情報を持つものとする。ここでは、この秘密情報を事前共有鍵（ＰＳＫ：Ｐｒｅ−Ｓｈａｒｅｄ  Ｋｅｙ）と称する。また、認証サーバ１０及びクライアント側装置２０のシステムクロックを１ＧＨｚとし、タイムスロット幅を１ｎｓとして説明する。
【００３６】
認証サーバ１０は、送信情報記憶部１２０及び認証判別部１４０を備えている。送信情報記憶部１２０は、量子もつれ光子対光源１３２、第１の検出部１２２及び第１の記憶媒体１２４を備えている。また、認証判別部１４０は、第１の読込部１４２、判別部１４４及び復号化部１４６を備えている。
【００３７】
量子もつれ光子対光源１３２は、シグナル光子とアイドラー光子からなる量子もつれ光子対を発生させる。量子もつれ光子対は、自然乱数的に定まる時間位置に発生する。
【００３８】
量子もつれ光子対光源１３２で発生した量子もつれ光子対の一方（例えば、シグナル光子）は、第１の検出部１２２に送られる。量子もつれ光子対の他方（例えば、アイドラー光子）は、光ファイバ、空間光学系等で構成される量子チャンネル１０００を経てクライアント側装置２０に送られる。
【００３９】
第１の検出部１２２は、単一光子検出装置で構成され、量子もつれ光子対光源１３２から送られたシグナル光子を受光する。単一光子検出装置は、光子検出確率がηＡである単一光子検出器を含む。ここで、光子検出確率ηＡは、単一光子検出装置に含まれる単一光子検出器に、１個の光子が入力されたときにその光子が検出される確率である。近赤外波長領域での単一光子検出器としてよく利用される、ＩｎＧａＡｓ／ＩｎＰアバランシェフォトダイオード（ＡＰＤ：Ａｖａｌａｎｃｈｅ  ＰｈｏｔｏＤｉｏｄｅ）単一光子検出器自体の光子検出確率ηＡは６０〜７０％程度であるが、実際のデバイスとして用いる場合、入力系の光学損失などのため、高々４０％程度になる。
【００４０】
第１の検出部１２２は、全ての検出時刻を、送信時刻情報Ａ｛ｔａ１、ｔａ２、ｔａ３、…｝として第１の記憶媒体１２４に記録する。例えば、起点時刻を時刻０として、検出イベントが、時刻０ｎｓ、２ｎｓ、３ｎｓ、６ｎｓに発生したならば、ｔａ１＝０ｎｓ、ｔａ２＝２ｎｓ、ｔａ３＝３ｎｓ、ｔａ４＝６ｎｓとなる。
【００４１】
クライアント側装置２０は、第２の検出部２２２、第２の記憶媒体２２４、第２の読込部２４２、照合部２４４、秘匿増幅部２４５及び暗号化部２４６を備えている。
【００４２】
第２の検出部２２２は、第１の検出部１２２と同様に、単一光子検出装置で構成され、認証サーバ１０から送られたアイドラー光子を受光する。単一光子検出装置は、光子検出確率がηＢである単一光子検出器を含む。
【００４３】
第２の検出部２２２は、第１の記憶媒体１２４に記録されるのと同じ単位時間内に起きた第２の検出部２２２での全ての検出時刻を、受信時刻情報Ｂ｛ｔｂ１、ｔｂ２、ｔｂ３、…｝として第２の記憶媒体２２４に記録する。例えば、起点時刻を時刻０として、検出イベントが、時刻０ｎｓ、１ｎｓ、３ｎｓ、５ｎｓに発生したならば、ｔｂ１＝０ｎｓ、ｔｂ２＝１ｎｓ、ｔｂ３＝３ｎｓ、ｔｂ４＝５ｎｓとなる。
【００４４】
また、第２の検出部２２２では、第２の検出部２２２における光子検出確率ηが、クライアント以外の第三者にはわからないようにランダムに変調されている。第２の検出部２２２は、検出時刻における、光子検出確率ηの設定値の情報を乱数ビット値情報Ｃとして、第２の記憶媒体２２４に記録する。
【００４５】
なお、光子検出確率ηは、η０、η１、η２、…、ηｎ（ｎは１以上の整数）のように２値以上の値を取ることができる。光子検出確率ηが２値の場合は、一方の光子検出確率をビット「１」、他方の光子検出確率をビット「０」とした、「０」「１」のビット列として表現することができる。単一光子検出装置の構成については、後述する。なお、第１の検出部１２２については、第２の検出部２２２のような、光子検出確率ηの変調は特に必要ない。
【００４６】
第２の読込部２４２は、第２の記憶媒体２２４から、受信時刻情報Ｂと乱数ビット値情報Ｃを読み取り、照合部２４４に送る。
【００４７】
照合部２４４は、受信時刻情報Ｂと乱数ビット値情報Ｃから、光子検出確率がηｋ（ｋは０以上ｎ以下の整数）であるときの、受信時刻情報Ｂの要素数Ｓｋを取得する。照合部２４４は、光子検出確率ηｋと要素数Ｓｋが、Ｓｋ／ηｋ＝一定、すなわち、Ｓ０／η０＝Ｓ１／η１＝…＝Ｓｎ／ηｎなる判別式を満足するか否かを判定する。
【００４８】
判定の結果、判別式を満足する場合は承認され、認証セッションが続行される。この場合、照合部２４４は、受信時刻情報Ｂを秘匿増幅部２４５に送る。一方、判定の結果、判別式を満足しない場合は否認され、認証セッションが破棄される。クライアント側装置２０は、認証セッションを破棄した後、新たな認証セッションの要求を行う。
【００４９】
照合部２４４での判定の結果、承認された場合は、秘匿増幅部２４５において、秘匿増幅処理を行う。秘匿増幅部２４５は、受信時刻情報Ｂから第１時刻情報Ｂ１及び第２時刻情報Ｂ２の２つのグループをランダムに生成する。その後、秘匿増幅部２４５は、第２時刻情報Ｂ２の各要素ｔｂｋに対して秘匿増幅を行い、ｔｂｋの有する情報量より小さい情報量を有する秘密鍵情報ｑｋを得る。秘匿増幅については、後述する。第２時刻情報Ｂ２に属する全ての要素ｔｂｋに対して秘匿増幅の処理を行うことにより、秘密鍵Ｑ＝｛ｑ０、ｑ１、ｑ２、…｝が得られる。
【００５０】
暗号化部２４６は、第１受信時刻情報Ｂ１と、秘密鍵Ｑを合わせた全情報Ｄを、ＰＳＫを用いて暗号化して、暗号化情報ＰＳＫ＋Ｄを生成する。この暗号化情報ＰＳＫ＋Ｄは、古典チャンネル２０００を経て認証サーバ１０に送られる。
【００５１】
認証サーバ１０が備える復号化部１４６は、ＰＳＫを用いて暗号化情報ＰＳＫ＋Ｄを復号化し、第１時刻情報Ｂ１と秘密鍵Ｑを得る。また、認証サーバ１０が備える第１の読込部１４２は、第１の記憶媒体１２４から送信時刻情報Ａを読み込む。
【００５２】
第１の読込部１４２で得られた送信時刻情報Ａと、復号化部１４６で得られた第１時刻情報Ｂ１は、判別部１４４に送られる。
【００５３】
判別部１４４は、送信時刻情報Ａと第１時刻情報Ｂ１を照合して、要素が一致する回数（同時イベント回数）を取得する。ここで「要素が一致する」とは、ｔａｘ＝ｔｂｙ（ｘ、ｙは１以上の整数）となるｘとｙの組合せが存在することを意味する。実際のシステムでは、量子チャネル１０００の長さ等の影響で、同じイベントに対する送信時刻情報Ａの要素と受信時刻情報Ｂの要素とが一致するとは限らない。その場合には、判別部１４４が、量子チャネル１０００の長さ等の影響を補正したうえで、要素が一致するか否かを判別すればよい。
【００５４】
簡単のため、受信時刻情報Ｂと、第１時刻情報Ｂ１が同じであると仮定する。先の例では、送信時刻情報Ａは、ｔａ１＝０ｎｓ、ｔａ２＝２ｎｓ、ｔａ３＝３ｎｓ、ｔａ４＝６ｎｓである。また、受信時刻情報Ｂは、ｔｂ１＝０ｎｓ、ｔｂ２＝１ｎｓ、ｔｂ３＝３ｎｓ、ｔｂ４＝５ｎｓである。この場合、０ｎｓと３ｎｓが一致するので同時イベント回数は２である。また、受信時刻情報Ｂの要素数は０ｎｓ、１ｎｓ、３ｎｓ、５ｎｓの４個である。
【００５５】
判別部１４４は、同時イベント回数及び受信時刻情報Ｂの要素数が、それぞれ予め設定された所定の範囲内であるか否かを判別して、その結果を判別情報Ｅとして生成する。判別部１４４は、同時イベント回数及び要素数が所定の範囲内であれば承認し、同時イベント回数及び要素数の少なくとも一方が所定の範囲内に含まれなければ否認する。判別情報Ｅには、承認した旨の情報及び否認した旨の情報のいずれかが含まれる。
【００５６】
判別部１４４が承認した場合、すなわち、認証サーバとクライアントが、互いに一致したＰＳＫを有する、正規な送受信者である場合、秘密鍵Ｑを認証サーバ側でも知る事ができるようになる。判別部１４４は、判別情報Ｅをクライアント側装置２０に送る。
【００５７】
判別情報Ｅが否認した旨の情報を含んでいる場合は、クライアント側装置２０は、再度認証セッションを要求して上記の認証プロセスをやり直す等の処理を行う。一方、判別情報Ｅが承認した旨の情報を含んでいる場合は、認証サーバ１０及びクライアント側装置２０の両方で認証が成功したとの判定を行う。その際、次回の認証セッションで用いる事前共有鍵として、今回の認証セッションで用いたＰＳＫをＱで信号処理した情報Ｉ（ＰＳＫ、Ｑ）を作成する。
【００５８】
ここでＰＳＫ、秘密鍵Ｑは、ともに、認証サーバ１０及びクライアント側装置２０のみが知る秘密情報であるので、ＰＳＫを秘密鍵Ｑで信号処理した情報Ｉ（ＰＳＫ、Ｑ）もまた、認証サーバとクライアントのみが知る秘密情報となる。従って、情報Ｉ（ＰＳＫ、Ｑ）は、次回認証セッションでの事前共有鍵として利用できる。このような信号処理として簡易で適した方法の一つは、ＰＳＫと秘密鍵Ｑの排他的論理和をとる方法である。
【００５９】
各認証セッションで使用するＰＳＫは、認証に成功するたびに毎回更新されていくために、その推定はより困難になる。
【００６０】
また上記のプロセスで共有された秘密鍵Ｑは、一般の暗号用の共通鍵としても使用することができる。また認証サーバ１０及びクライアント側装置２０の両方で、共有された第１時刻情報Ｂ１の各要素ｔｂｋに対しても秘匿増幅を行ない、ｔｂｋの有する情報量より小さい情報量を有する情報ｒｋを得たとき、その結果得られる集合Ｒ＝｛ｒ０、ｒ１、ｒ２、…｝もまた秘密鍵となっており、これを一般の暗号用の秘密鍵（共通鍵）として利用することもできる。すなわち、この認証システムにおいては、認証と同時に暗号通信用の秘密鍵を共有することもできる。ここでは、ＰＳＫを秘密鍵Ｑで信号処理した情報Ｉ（ＰＳＫ、Ｑ）を次回認証セッションでの事前共有鍵として利用するとして説明したが、ＰＳＫを上記の秘密鍵Ｒで信号処理した情報Ｉ（ＰＳＫ、Ｒ）を次回認証セッションでの事前共有鍵として利用し、秘密鍵Ｑを一般の暗号用の共通鍵として利用する形態とすることもできる。
【００６１】
この第１の認証システムによれば、不正な利用者の存在を探知でき、正規な利用者のみを認証することができる。また、正規な利用者間での秘密鍵共有と事前共有鍵の更新が可能となる。
【００６２】
（不正者による攻撃)
ここで、第２の検出部２２２に含まれる単一光子検出器の暗電流カウント等が無視でき、第２の検出部２２２での検出イベントが、全て光子検出である場合を考える。
【００６３】
量子もつれ光子対の時間スロット当たりの平均光子対数をμとする。後述する不正者によるワイヤタップ攻撃に対する耐性を得るために、平均光子対数μを１より十分小さく（例えば、０．１程度）にして、時間スロット当たりに光子対が２以上含まれる可能性を十分低くする。
【００６４】
シグナル光子が第１の検出部１２２に至る光路で生じる損失をαＡ、第１の検出部１２２の光子検出確率をηＡとする。また、アイドラー光子が第２の検出部２２２に至る光路である量子チャンネル１０００での損失をαＢ、第２の検出部２２２での検出効率をηとする。また、第１の検出部１２２及び第２の検出部２２２における時間スロット当たりの暗電流検出確率をそれぞれ、ｄＡ、ｄＢとする。
【００６５】
量子もつれ光子対の光子対の数の確率分布は、ポアソン分布に従うものとする。このとき、第１の検出部１２２における時間スロット当たりの信号検出確率ｐＡは、以下の式（１）で与えられ、第２の検出部２２２における時間スロット当たりの信号検出確率ｐＢは、以下の式（２）で与えられる（例えば、非特許文献３参照）。
【００６６】
【数１】
2020053894.tif 000003
【００６７】
上式（１）及び（２）に単位時間当たりの時間スロット数をかけると、それぞれ、送信時刻情報Ａ及び受信時刻情報Ｂの要素数が得られる。
【００６８】
一方、非特許文献３に開示されているように、第１の検出部１２２及び第２の検出部２２２においてともに信号検出が生じる同時信号検出確率ｐＡＢは、以下の式（３）で与えられる。
【００６９】
【数２】
2020053894.tif 000004
【００７０】
上式（３）に、単位時間当たりの時間スロット数をかけた値が、正規なクライアント装置に対する同時イベント回数の期待値となる。なお、ここでは、受信時刻情報Ｂと、第１時刻情報Ｂ１が同じであると仮定するが、実際には、第１時刻情報Ｂ１は、受信時刻情報Ｂの一部である。従って、同時イベント回数の期待値は、受信時刻情報Ｂの要素数に対する、第１時刻情報Ｂ１の要素数の割合を乗算した値となる。
【００７１】
ここでは、上式（３）で与えられる同時イベント回数を基準にしてその近傍に閾値を設定し、同時イベント回数が閾値を超えたか否かを判断材料として認証を行う。
【００７２】
不正者のとりうる攻撃を考慮しながら、上記の閾値をいかにして設計するかについて説明する。古典的な攻撃方法としては、不正者が量子チャンネルや古典チャンネルへの攻撃無しに、自ら受信時刻情報ＢＥを用意して、その受信時刻情報を用いて識別認証を行う方法と、古典チャンネルにアクセスして得た暗号化情報ＰＳＫ＋Ｄから受信時刻情報Ｂを類推する方法が考えられる。
【００７３】
μ＜１である場合、量子もつれ光子対は平均して１／μ箇所の時間スロットのうち１箇所に存在する。
【００７４】
そして、量子もつれ光子対がどの時間スロットに存在するかは、実際に光子が検出されるまでは、不正者はもちろん、認証側装置及びクライアント側装置にもわからない。すなわち、このような量子もつれ光子対は、その存在する時間位置が量子力学的な重ね合わせ状態にある。また、光子対が存在する時間位置は、認証セッションごとに自然乱数的に変化する。従って、不正者は認証サーバ１０が持つ送信時刻情報Ａを事前に知ることはできない。
【００７５】
また、送信時刻情報Ａは、シグナル光子を受信する認証側装置のみが知り得る。認証サーバ１０は、送信時刻情報Ａを正規なクライアントを含め第三者に教える必要はない。このため、不正者は、送信時刻情報Ａを事後においても知ることはできない。
【００７６】
このとき、不正者が送信時刻情報Ａの要素、すなわち、第１の検出部１２２がシグナル光子を受信した時刻を当てられる確率は、上式（１）で示したｐＡで与えられる。
【００７７】
ここで、不正者が送信時刻情報Ａの要素を当てるために試行できる回数は、上式（２）から得られる、受信時刻情報Ｂの要素数分までである。なぜなら、システム設計から想定される以上の要素数の受信時刻情報Ｂがクライアント側装置２０から送られてきた場合、認証サーバ１０が不正を探知できるからである。
【００７８】
この結果、不正者が用意した受信時刻情報ＢＥによって得ることのできる同時イベント回数の期待値は、以下の式（４）で与えられる。
【００７９】
【数３】
2020053894.tif 000005
【００８０】
上式（４）に、単位時間当たりの時間スロット数をかけた値が、不正者が用意したクライアント側装置での同時イベント回数の期待値となる。上式（３）及び（４）から、不正者が用意したクライアント側装置は、正規のクライアント側装置に比べて、少ない同時イベント回数しか得られないことになる。
【００８１】
従って、同時信号検出確率の閾値をｐＡＢとｐＡＥの間の値に設定しておけば、同時イベント回数が、閾値に時間スロット数を乗じて得られる回数以下の場合、受信時刻情報Ｂを送ってきたクライアント側装置を、不正な利用者であると判別できる。ここで、閾値は、ｐＡＢに近い値に設定するのが良い。
【００８２】
上述のように認証サーバ１０が持つ送信時刻情報Ａは、量子もつれ光子対が有する量子力学的性質により、セッションごとに自然乱数的に変わる。従って、不正者は、送信時刻情報Ａ又は受信時刻情報Ｂを類推することにより同時イベント回数を増やすこともできない。
【００８３】
一方、同時イベント回数が、閾値に時間スロット数を乗じて得られる回数より多い場合、受信時刻情報Ｂを送ってきたクライアント側装置を、正規の手順でアイドラー光子を受光した利用者であるとほぼ断定できる。従って、同時イベント回数が閾値に時間スロット数を乗じて得られる回数を超えたかどうかをもとに利用者の承認・否認を行うことができる。
【００８４】
上式（３）及び（４）から、ｐＡＢとｐＡＥの比ｐＡＢ／ｐＡＥは、平均光子対数μに応じて変化させることができることが分かる。平均光子対数μを小さくすると、ｐＡＢ／ｐＡＥは大きくなり、正規の利用者と不正者の判別がより容易になる。すなわち、認証サーバ１０は、システムの要求するセキュリティレベルに応じて、平均光子対数μを柔軟に設定すればよい。
【００８５】
量子もつれ光子対光源として、非特許文献３に開示されているような非線形光学媒体における自然パラメトリック蛍光を利用した場合、自然パラメトリック蛍光を発生させる励起光の強度によって、平均光子対数μを設定することができる。
【００８６】
この認証システムでは、同時イベント回数が上記で設定したような閾値に時間スロット数を乗じて得られる回数を超えたかどうかで認証を行う。従って不正者の行う攻撃とは、上式（３）で表される同時信号検出確率ｐＡＢに時間スロット数を乗じた回数と同程度の同時イベント回数を得ることのできる受信時刻情報ＢＥを認証サーバ１０の有する判別部１４４に入力することである。その際の受信時刻情報ＢＥの要素数も上式（２）で表される信号検出確率ｐＢに時間スロット数を乗じた回数で規定される。上述のように、不正者が適当に用意した受信時刻情報ＢＥでは閾値から得られるイベント数を超えることは困難である。
【００８７】
次に、暗号化情報ＰＳＫ＋Ｄからの類推による攻撃を考える。不正者は古典チャンネル２０００を盗聴してそこを流れる暗号化情報ＰＳＫ＋Ｄを知ることはできる。しかしながらＰＳＫを知らない不正者は暗号化情報ＰＳＫ＋Ｄから受信時刻情報Ｂを知ることはできない。
【００８８】
この場合、不正者が自ら用意した事前共有鍵ＰＳＫＥで復号して得られるＢＥに対する送信時刻情報Ａとの同時検出回数は、先に述べた不正者が自ら用意した受信時刻情報ＢＥとの同時検出回数と同程度になると考えられる。すなわち、不正者は認証を受けることができない。
【００８９】
次に不正者が行う攻撃として、認証サーバ１０と第２の検出部２２２の間の光路である量子チャンネル１０００を狙った盗聴を考える。すなわち、正規なクライアントが取得する受信時刻情報Ｂを盗む攻撃である。
【００９０】
このような攻撃として一般的にワイヤタップ攻撃と呼ばれる中間者攻撃が知られている。図２を参照して、ワイヤタップ攻撃について説明する。図２は、ワイヤタップ攻撃を説明するための模式図である。不正者が、光分岐回路３２及び不正者端末３４を設けたとする。
【００９１】
ここで、量子チャンネル１０００を通過するアイドラー光子は、平均光子数μを１より十分小さい値に設定されている。このため、量子チャンネル１０００を通過する光は、単一光子レベルの光である。光子はそれ以上に分割できないため、光分岐回路３２に入力された光子は、光分岐回路３２の一方の出力端から出力しクライアント側装置２０に設けられた第２の検出部２２２で受光されるか、他方の出力端を通過し不正者が設けた不正者端末３４の単一光子検出器で受光されるかのどちらか一方でしかない。
【００９２】
結果として、このケースは、光分岐回路３２の有する分岐比で決まる損失を、正規な利用者と不正者の両者に与えていることと等価である。損失があれば同時イベント回数が減少するため、承認情報を与える閾値を高めに設定しておけば、正規な利用者、不正者のいずれか一方が必ず否認される。
【００９３】
また、光子がクライアント及び不正者のいずれか一方でしか受信されないため、そもそもこの過程で不正者が得る受信時刻情報ＢＥは、クライアントが得る受信時刻情報Ｂとは相関がない。もっと単純には、ワイヤタップ攻撃などによる損失があれば受け取る受信時刻情報Ｂの要素数が減る。このため、同時イベント回数をテストすることなしに、受信時刻情報Ｂの要素数の減少により不正者の攻撃を探知できる。
【００９４】
一方、不正者が、損失を穴埋めするために別の光源を用意して、それからの光子を正規な利用者に送ることが考える。ここで、増やせる光子数の上限は、上式（２）で与えられる受信時刻情報Ｂの要素数分までである。光子数がそれ以上になると、正規なクライアント側装置２０にやはり不正を探知されてしまう。
【００９５】
また、不正者が上限未満の光子数を発生させて穴埋めしたとしても、不正者が発生させた光子は、送信時刻情報Ａと何ら時間相関がない。従って、不正者が発生させた光子により増やせる同時イベント回数は、上式（４）で与えられるものと同程度であり、閾値から得られる回数ほどには増やせない。
【００９６】
次に、ｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃と呼ばれる、不正者が量子チャンネル１０００を通過する光子をいったんすべて受信する攻撃を考える。この際、不正者は正規なクライアントにも光子を送らなければクライアントに不正を探知されてしまうのでクライアントにも光子を送る。
【００９７】
このｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃により、不正者は本来クライアントが受信するべき受信時刻情報Ｂを完全に取得し得たとする。不正者は古典チャンネル２０００に対する攻撃により、クライアントが認証サーバ側に送信する暗号化情報ＰＳＫ＋Ｄを知り、自らの持つ受信時刻情報ＢＥと照合することで、正規のＰＳＫやＤを類推する。
【００９８】
ここで、不正者が得た受信時刻情報ＢＥは、認証サーバが持つ送信時刻情報Ａとの間で閾値から得られる回数を超える同時検出数を得ることができる。しかし、不正者はＰＳＫを知らないため、不正者が用意した不正なＰＳＫＥを使って暗号化された暗号化情報ＰＳＫＥ＋ＤＥを復号した認証サーバは、受信時刻情報Ｂを正しく復元できない、つまり、不正者は、送信時刻情報Ａとの間で閾値を超える同時検出数を得ることができるが、“復号後に”送信時刻情報Ａとの間で閾値を超える同時検出数を得ることができる“暗号化された”受信時刻情報を用意することができない。この結果、不正者は認証を受けることができない。
【００９９】
不正者にとって最も望ましい攻撃は、ｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃で得た受信時刻情報ＢＥとクライアントが得る受信時刻情報Ｂを完全に一致させる攻撃である。このとき、不正者は、正規の全情報Ｄを知ることが可能であり、古典チャンネル２０００から得た暗号化情報ＰＳＫ＋Ｄから正規なＰＳＫを知ることができる。
【０１００】
一方、ｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃で不正者が得た受信時刻情報ＢＥとクライアントが得る受信時刻情報Ｂが完全に一致しない場合、不正者が得た受信時刻情報ＢＥからクライアントが得る受信時刻情報Ｂについてある程度の情報が得られたとしてもあいまいさが残る。
【０１０１】
このあいまいさを情報理論的に表した情報量Ｈ（Ｂ｜ＢＥ）（単位：ビット）に０より大きい下限があるならば、クライアントは受信時刻情報Ｂに対して、Ｂの持つ情報量をＨ（Ｂ｜ＢＥ）の下限以下に圧縮した情報を作成することで、不正者など第三者の知らない秘密情報を得ることができる。このプロセスは、秘匿増幅と呼ばれ、その例が、非特許文献１又は２に開示されている。
【０１０２】
クライアントがアイドラー光子を受信する確率は、暗電流受信確率を無視した場合、各タイムスロット当たり、μαＢηである。すなわち、１／（μαＢη）個のタイムスロットのうち、平均して１回の受信イベントが生じる。どのタイムスロットで光子が受信されるかは１／（μαＢη）通りある。各タイムスロットでの受信確率が同じであるならば、受信時刻情報Ｂの各要素ｔｂｋは、−ｌｏｇ２（μαＢη）ビット分の情報量を有することを意味する。
【０１０３】
不正者がｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃を行わない場合、不正者が得る受信時刻情報ＢＥはクライアントが得る受信時刻情報Ｂと相関が無い。このとき、Ｈ（Ｂ｜ＢＥ）＝−ｌｏｇ２（μαＢη）となる。クライアントが得る受信時刻情報Ｂの各要素ｔｂｋは、そのまま、−ｌｏｇ２（μαＢη）ビット分の秘密情報となる。
【０１０４】
一方、不正者がｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃を行なった場合において、不正者が得る受信時刻情報ＢＥが、クライアントが得る受信時刻情報Ｂと完全に一致する場合、Ｈ（Ｂ｜ＢＥ）＝０となり、不正者は正規の全情報Ｄを知ることができ、正規のＰＳＫを知ることができる。このとき、クライアントは秘匿増幅による秘密情報を得ることができない。
【０１０５】
ここで、不正者がタイムスロット当たり平均光子数μＥの光子を送信するとする。不正者からクライアントまでの伝送損失をαＢとすると、第２の検出部２２２内の単一光子検出器に届く時の平均光子数は高々μＥαＢである。ここでは、簡単のため、装置内での損失は無視している。単一光子検出装置の実際上の光子検出確率がη０であるとし、受信確率Ｓが、光子検出確率と入力光平均光子数の積に比例するとすれば、このときのタイムスロット当たりの受信確率Ｓ０＝μＥαＢη０となる。ここで受信確率は、単一光子検出装置において受信イベントが発生する確率であり、光子検出確率は、光子１個当たりに受信イベントが発生する確率である。
【０１０６】
一方、単一光子検出装置の実際上の光子検出確率がη１のときのタイムスロット当たりの受信確率Ｓ１はμＥαＥη１となる。Ｓ０＝μＥαＥη０及びＳ１＝μＥαＥη１の関係から、Ｓ０／η０＝Ｓ１／η１となる。すなわち、この場合、単一光子検出装置の実際上の光子検出確率ηｋとタイムスロット当たりの受信確率Ｓｋとは比例関係となる。総検出回数は、上記の受信確率Ｓｋに単位時間内でのマーク状態の光を送った回数を乗じたものであるから、単位時間内に受信イベントが生じる回数は実際上の光子検出確率ηｋに比例することになる。
【０１０７】
一方、上述のようなＳ＝μαηの比例関係は、一般的な単一光子検出器では成り立たない。これは、一般的に単一光子検出器の内部量子効率は１００％よりも小さく、実際のデバイスとしてはせいぜい４０％程度であることから、入力された光子数を知ることはできないためである。従って、一般的な単一光子検出器の動作は、最終的な（電気）出力に適当な閾値（Ｉｔｈ）を設けて、電気出力がＩｔｈ以上の時は信号検出、それ以下の時は信号検出なしの判別を行う、いわゆるスレショルド型検出器の動作を行う。
【０１０８】
このようなスレショルド型検出器においてタイムスロット当たりの受信確率Ｓは入力光の平均光子数をμ、単一光子検出器の光子検出確率をηとして以下の式（５）で与えられる。
【０１０９】
【数４】
2020053894.tif 000006
【０１１０】
不正者にとって最も望ましい攻撃は、上述のように不正者の送った光子を全てクライアントが受信する攻撃である。この攻撃は上式（５）のＳを１にする攻撃である。
【０１１１】
不正者はクライアントの持つ単一光子検出装置の光子検出確率η０及びη１を制御できないため、μ＞＞１なる状況を作り出す。つまり、クライアントのもつ単一光子検出装置内の単一光子検出器に届く時の平均光子数μＥαＥが１より十分大きくなるように、μＥ＞＞１の光を送信する。
【０１１２】
このとき、上式（５）から受信確率Ｓは単一光子検出器の光子検出確率ηに比例しない。クライアントが、不正者にわからないように単一光子検出装置の実際上の光子検出確率ηを、例えば、η０、η１の２通りにランダムに変化させた場合、μＥαＥ＞＞１であるならば、Ｓ０／η０、Ｓ１／η１を計算したとき、Ｓ０／η０＝Ｓ１／η１が成立しなくなる。すなわち、Ｓｋ／ηｋの値が単一光子検出装置の実際上の光子検出確率ηによって変化するかどうかを検証することで、クライアントは送られてきた光が、μＥαＥ＞＞１であるか否か、すなわち、不正者の攻撃を受けているか否かを検証できる。
【０１１３】
不正者の攻撃を受けていない、あるいは受けていてもμＥαＥ＜＜１である場合、タイムスロット当たりの受信確率Ｓ０及びＳ１はＳ０＝μＥαＥη０及びＳ１＝μＥαＥη１である。光子が受信されるかどうかはランダムなため、これは、それぞれのケースにおいて不正者がクライアントの受信時刻情報Ｂに対して、以下の式（６ａ）及び（６ｂ）で表される曖昧さを持つことを示している。
【０１１４】
【数５】
2020053894.tif 000007
【０１１５】
ここでη０、η１≦ηＢでありμＥαＥ＜＜１であるとき、以下の式（７）の関係がある。
【０１１６】
【数６】
2020053894.tif 000008
【０１１７】
このとき、Ｈ（Ｂ｜ＢＥ）は下限値−ｌｏｇ２（ηＢ）をもつため、受信時刻情報Ｂの各要素ｔｂｋを−ｌｏｇ２（ηＢ）ビット以下まで秘匿増幅して圧縮して得られた情報ｑｋは、クライアント以外の第三者にはわからない秘密情報（秘密鍵）となる。
【０１１８】
図３を参照して、上記の実証実験について説明する。図３は、実証実験の結果を示す図である。図３（Ａ）は、受信確率Ｓ０の入力光平均光子数依存性を示す図であり、横軸に平均光子数を取り、縦軸に受信確率Ｓ０を取って示している。また、図３（Ｂ）は、Ｓ０／Ｓ１の入力光平均光子数依存性を示す図であり、横軸に平均光子数を取り、縦軸にＳ０／Ｓ１を取って示している。
【０１１９】
実験に用いたのは、米国プリンストン・ライトウェーブ社製のｇａｔｅｄガイガーモード動作ＩｎＧａＡｓ／ＩｎＰ−ＡＰＤ単一光子検出器（型番：ＰＧＡ−６００ＨＳＵ）である。
【０１２０】
ゲート周波数を４０ＭＨｚ、光子検出確率ηＢを２５％、暗電流検出レートを４．０×１０−６／ｇａｔｅとして、単一光子検出器に、中心波長１５５０ｎｍ、パルス幅約７５ｐｓの光パルス列を、繰り返し周波数２０ＭＨｚ及び４０ｋＨｚで入力し、各光パルスあたりの平均光子数を変えた時の受信確率Ｓ０を測定した。このとき、入力端に光減衰器を配置せず、透過率Ｔ０（＝１００％）での受信確率Ｓ０を測定している。なお、繰り返し周波数２０ＭＨｚ及び４０ｋＨｚは、本発明を実施するにあたり、それぞれマーク率Ｍ＝１／２、１／１０００の光パルスを単一光子検出装置に入力した条件に相当する。ここで、マーク率は、時間スロットのうち、ビット「１」が占める割合、すなわち、光子を検出する割合をマーク率Ｍとして定義する。
【０１２１】
また、入力端に透過率Ｔ１（＝５０％）の光減衰器を配置し、このときの受信確率Ｓ１を測定し、Ｓ０／Ｓ１比を計算した。
【０１２２】
光減衰器を配置しない構成（透過率Ｔ０＝１００％）と、光減衰器を配置した構成（透過率Ｔ１＝５０％）はそれぞれ単一光子検出装置の実際上の光子検出確率をη０＝２５％と、η１＝１２．５％に設定した条件に相当する。光減衰器の透過率をランダムに変調した場合、本発明で利用される単一光子検出装置を模擬した構成となっている。
【０１２３】
図３中の実線は、上式（５）から計算した理論曲線を示す。また、□は入力光パルスの繰り返し周波数が２０ＭＨｚの場合、△は入力光パルスの繰り返し周波数が４０ｋＨｚの場合の実験結果である。
【０１２４】
図３（Ａ）に示されるように、入力光平均光子数が十分低い場合（およそ０．２以下の場合）、Ｓ０は入力光平均光子数にほぼ比例している。入力光平均光子数がおよそ１０−４以下である場合、実験値が理論値より大きいのは単一光子検出器の暗電流検出の影響によるものである。
【０１２５】
一方、入力光平均光子数が大きくなるとＳ０は飽和し、１に漸近していく。繰り返し周波数が４０ｋＨｚの場合の実験結果は理論値とほぼ一致するが、繰り返し周波数が２０ＭＨｚの場合の実験結果は理論値より小さい。これは単一光子検出器で生じるクエンチング効果や測定装置の計測不能時間（ｄｅａｄｔｉｍｅ）の影響によるものである。
【０１２６】
図３（Ｂ）に示されるように、Ｓ０／Ｓ１は入力光平均光子数が十分低い場合（およそ０．１以下の場合）、ほぼ２であり、η０／η１（＝Ｔ０／Ｔ１）に一致する。すなわち、Ｓ０／η０＝Ｓ１／η１が成立する。一方、入力光平均光子数が大きくなると２より低下していくことがわかる。繰り返し周波数が４０ｋＨｚの場合の実験結果は上式（５）で得られる理論値とほぼ一致する。一方、繰り返し周波数が２０ＭＨｚの場合は低減率がさらに大きい。これも、クエンチング等の影響によるものであり、入力光平均光子数が高くなるほどクエンチング等の影響が大きくなることによる。
【０１２７】
図３の結果から、Ｓを１に近づける、すなわち、入力光平均光子数を１より十分大きくすると、Ｓ０／Ｓ１が理想値２より小さくなり、Ｓ０／η０＝Ｓ１／η１が成立しない。したがって不正者の攻撃を探知できることがわかる。
【０１２８】
図３に示す実験結果から、例えば入力光平均光子数が１の時、Ｓ０＝０．２２、及びＳ０／Ｓ１＝１．８８２であることがわかる。従って、Ｓ０／Ｓ１≧１．８８２を判別条件にすればクライアントは入力光平均光子数が１以下であることを探知できる。このとき、ｔｂｋの情報量を−ｌｏｇ２（０．２２）≒２．１８ビット程度まで秘匿増幅すれば、秘匿増幅後の情報ｑｋは秘密情報となる。入力光平均光子数が１の時のＳ０値はη０に依存するが、η０≦ηＢならばＳ０≦ηＢである。すなわち、ｔｂｋの情報量を−ｌｏｇ２（ηＢ）ビット程度まで秘匿増幅すれば、秘匿増幅後の情報ｑｋは秘密情報となる。
【０１２９】
また、繰り返し周波数が４０ｋＨｚの場合、Ｓ０＝０．５であるとき、Ｓ０／Ｓ１は約１．７である。従って、Ｓ０／Ｓ１≧１．７を判別条件にすれば、Ｓ０≦０．５であることを探知できる。このとき、ｔｂｋの情報量を−ｌｏｇ２（０．５）＝１ビット程度まで秘匿増幅すれば、秘匿増幅後の情報ｑｋは秘密情報となる。
【０１３０】
なお、Ｓ０／Ｓ１等の判別条件は、η０、η１の組み合わせによっても変化する。例えばη０／η１＝４であるとき、入力光平均光子数が１より十分小さい時のＳ０／Ｓ１は４になる。このように、Ｓ０／Ｓ１等の判別条件は設計的事項であり、秘匿増幅後の情報ｑｋの情報量もそれによって変化する。例えばη０／η１＝４のとき、入力光平均光子数が１以下である判別式はＳ０／Ｓ１≧３．６５となり、その理想値からのずれは、η０／η１＝２とした時よりもより高い精度で判別できる。  
【０１３１】
入力光平均光子数が１より十分小さいと判別されたとき、上述のようにＨ（Ｂ｜ＢＥ）≧−ｌｏｇ２（ηＢ）であるから、ｑｋの情報量として、少なくとも−ｌｏｇ２（ηＢ）程度は期待できる。
【０１３２】
なお、上記の秘匿増幅後の情報ｑｋの情報量は、Ｔ０＝１００％の時にクライアントで受信されるｔｂｋに対してのものであり、光子検出確率がその半分になるＴ１＝５０％の時のｑｋについての情報量はより大きくなる。
【０１３３】
いずれにしても、不正者が受信時刻情報Ｂについて完全な情報を得られるときには、Ｓ０／Ｓ１は２より十分小さくなる。そしてそれは、クライアントは認証サーバ等との間で何らの情報交換することなく、クライアント自身が探知することができる。また利用する判別式に応じて秘匿増幅後のｑｋの情報量を適宜調整すれば、秘匿増幅後の情報ｑｋは秘密情報となる。
【０１３４】
クライアントがＳ０／Ｓ１を計算することで不正者の存在の可能性を探知した場合、クライアントがそこでセッションを打ち切ることができる。この場合、暗号化情報ＰＳＫ＋Ｄは生成されず、古典チャンネル２０００から漏洩することもない。従って、不正者は正しい受信時刻情報Ｂを持つことができても正規なＰＳＫを類推することができない。
【０１３５】
なお単一光子検出装置の実際上の光子検出確率を２通りではなく、η０、η１、η２、…のように３個以上の乱数値で変調してもよい。この場合、入力光平均光子数が１より十分小さい場合、Ｓ０／η０＝Ｓ１／η１＝・・・＝Ｓｎ／ηｎなる関係式を満足するため、これを判別条件に用いて、秘匿増幅により秘密鍵ｑｋを得ればよい。
【０１３６】
（第１の単一光子検出装置の構成）
図４を参照して、この発明の第１の認証システムの第２の検出部で用いられる単一光子検出装置の第１構成例（以下、第１の単一光子検出装置とも称する。）を説明する。図４は、第１の単一光子検出装置を説明する模式図である。
【０１３７】
第１の単一光子検出装置は、乱数発生器４２０、光強度変調器４１０、及び、単一光子検出器４３０を備えて構成される。
【０１３８】
乱数発生器４２０は、ｎ＋１値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ以下の整数）と、この乱数値ｉを発生させた時刻を含む乱数ビット値情報Ｃを生成する。乱数ビット値情報Ｃは、光強度変調器４１０に送られる。
【０１３９】
光強度変調器４１０は、乱数値ｉによって定まる透過率Ｔｉで外部からの入力光を強度変調する。
【０１４０】
認証サーバからのアイドラー光子は、光強度変調器４１０で強度変調されたのち、単一光子検出器４３０に送られる。単一光子検出器４３０は、単一光子を検出した時刻を受信時刻情報Ｂとして生成する。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１４１】
第１の単一光子検出装置の実際上の光子検出確率は、乱数発生器の発する乱数値によって、ランダムに変調されている。乱数発生器の発する乱数値を第三者に秘匿しておけば、不正者が乱数発生器の発する乱数値に応じて不正攻撃用の光パルスの強度を適宜設定し、上記のＳ０／η０、Ｓ１／η１を制御するのは不可能となる。
【０１４２】
（第２の単一光子検出装置の構成）
図５を参照して、この発明の第１の認証システムの第２の検出部で用いられる単一光子検出装置の第２構成例（以下、第２の単一光子検出装置とも称する。）を説明する。図５は、第２の単一光子検出装置を説明する模式図である。
【０１４３】
第２の単一光子検出装置は、乱数発生器４２０、ゲート電圧生成部４５０、及び、単一光子検出器４３０を備えて構成される。
【０１４４】
乱数発生器４２０は、ｎ＋１値の乱数を発生させ、乱数値ｉと、この乱数値ｉを発生させた時刻を含む乱数ビット値情報Ｃを生成する。乱数ビット値情報Ｃは、ゲート電圧生成部４５０に送られる。
【０１４５】
ゲート電圧生成部４５０は、乱数値ｉによって定まる電圧値Ｖｉのゲート電圧を生成する。ゲート電圧生成部４５０は、例えば、変調電圧源４５２と定常電圧源４５４を備えて構成される。変調電圧源４５２は、乱数値ｉによって定まる変調電圧を生成し、定常電圧源４５４は、定常電圧を生成する。ゲート電圧生成部４５０は、変調電圧と定常電圧を加算してゲート電圧を生成する。このように、ゲート電圧は、乱数発生器４２０の乱数値ｉに基づいて変調される。ゲート電圧は、単一光子検出器４３０に送られる。
【０１４６】
ここで、変調電圧源４５２が発生する変調電圧が単一光子検出器４３０でブレークダウン電圧を超えるほど十分大きな値であるときは、定常電圧源４５４を省略し、変調電圧をそのままゲート電圧として用いてもよい。
【０１４７】
認証サーバからのアイドラー光子は、単一光子検出器４３０に送られる。単一光子検出器３０は、単一光子を検出した時刻を受信時刻情報Ｂとして生成する。Ｇａｔｅｄ  Ｇｅｉｇｅｒ  ｍｏｄｅ  ＡＰＤの検出効率ηは、印加電圧によって変化することが知られている。従って、ＡＰＤに印加されるゲート電圧Ｖｉが異なると、検出効率ηｉも異なる。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１４８】
第２の単一光子検出装置では、光強度変調器が不要なため、第１の単一光子検出装置よりも装置を小型化することができる。
【０１４９】
（第３の単一光子検出装置の構成）
図６を参照して、この発明の第１の認証システムの第２の検出部で用いられる単一光子検出装置の第３構成例（以下、第３の単一光子検出装置とも称する。）を説明する。図６は、第３の単一光子検出装置を説明する模式図である。
【０１５０】
第３の単一光子検出装置は、光分岐部４６０、第１の単一光子検出器４３１、第２の単一光子検出器４３２、及び、計数処理回路４４０を備えて構成される。
【０１５１】
光分岐部４６０は、認証サーバからのアイドラー光子の経路を２分岐して、第１及び第２の入力光を生成する。また、外部からの入力光に対して第１及び第２の入力光の強度の割合をそれぞれＴ１、Ｔ２とする。
【０１５２】
光分岐部４６０は、例えば、ハーフミラー、第１の光減衰器、第２の光減衰器を備えて構成される。この場合、外部からの入力光はハーフミラーで２分岐されて、一方は透過率Ｔ１の第１の光減衰器を経て、第１の入力光として出力され、他方は透過率Ｔ２の第２の光減衰器を経て、第２の入力光として出力される。第１及び第２の入力光は、それぞれ、第１及び第２の単一光子検出装置４３１及び４３２に送られる。なお、Ｔ１＝１の場合は、第１の光減衰器を備えない構成にすることができる。
【０１５３】
第１の単一光子検出器４３１は、入力された第１の入力光について、単一光子を検出した時刻を第１の受信情報として生成する。また、第２の単一光子検出器４３２は、入力された第２の入力光について、単一光子を検出した時刻を第２の受信情報として生成する。
【０１５４】
計数処理回路４４０は、第１の受信情報及び第２の受信情報の和集合を受信時刻情報Ｂとして生成する。また、第１の単一光子検出器４３１及び第２の単一光子検出器４３２のいずれで受信したかの情報を乱数ビット値情報Ｃとして生成する。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１５５】
第３の単一光子検出装置では、乱数発生器を備えておらず、ハーフミラーなど受動素子で構成される光分岐部の動作により自然乱数的に透過率を選択できる。このため、より安全なシステム構成を実現できる。
【０１５６】
（第４の単一光子検出装置の構成）
図７を参照して、この発明の第１の認証システムの第２の検出部で用いられる単一光子検出装置の第４構成例（以下、第４の単一光子検出装置とも称する。）を説明する。図７は、第４の単一光子検出装置を説明する模式図である。
【０１５７】
第４の単一光子検出装置は、光分岐部４６０、単一光子検出器４３０、光遅延器４７０及び光合波部４８０を備えて構成される。
【０１５８】
光分岐部４６０は、周期Δｔのパルス状の、認証サーバからのアイドラー光子の経路を２分岐して、第１及び第２の入力光を生成する。また、認証サーバからのアイドラー光子に対して第１及び第２の入力光の強度の割合をそれぞれＴ１、Ｔ２とする。
【０１５９】
光分岐部４６０は、第３の単一光子検出装置の光分岐部と同様に構成することができるので、重複する説明を省略する。
【０１６０】
第１の入力光は光合波部４８０に送られ、第２の入力光は光遅延器４７０で所定の遅延を受けた後、光合波部４８０に送られる。光合波部４８０は、第１の入力光及び第２の入力光を合波して、入力合波光を生成する。光合波部４８０は、例えば、ハーフミラーで構成される。なお、光遅延器４７０は、光合波部４８０で合波される第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与えるように、第２の入力光に遅延を与える。
【０１６１】
単一光子検出器４３０は、入力合波光が入力され、単一光子を検出した時刻を受信時刻情報Ｂとして生成する。また、奇数番目の時間スロットと偶数番目の時間スロットのいずれで受信したかの情報を乱数ビット値情報Ｃとして生成する。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１６２】
第４の単一光子検出装置では、１つの単一光子検出器を備える構成で第３の単一光子検出器と同様の効果を達成できる。
【０１６３】
また、第４の単一光子検出装置では、単一光子検出器又は第２の記憶媒体における不感時間（ｄｅａｄｔｉｍｅ）が存在する場合、入力光平均光子数が１より十分小さいか否かの判別が、さらに簡易、かつ、正確になる利点がある。ここで不感時間は、単一光子検出器４３０において生じるクエンチングの回復時間や、また第２の記憶媒体に受信時間ｔｂｋを書き込むための回路（受信時間取得回路）における不感時間によるものである。本件で必要とされる受信時間取得回路としては、一般にｔｉｍｅ−ａｍｐｌｉｔｕｄｅ  ｃｏｎｖｅｒｔｏｒ（ＴＡＣ）もしくはｔｉｍｅ  ｉｎｔｅｒｖａｌ  ａｎａｌｙｚｅｒ（ＴＩＡ）と呼ばれる回路が利用される。市販されている装置（例えば、独Ｂｅｃｋｅｒ  ａｎｄ  Ｈｉｃｋｌ社、型番：ＳＰＣ−１３０）においては約１００ｎｓ程度の不感時間があることが知られている。
【０１６４】
一般化のために、時間遅延を受けていない光子に対しての実際上の光子検出確率がη０＝Ｔ０ηＢ、タイムスロット当たりの受信確率がＳ０であるとする。また、Δｔ／２の時間遅延を受けている光子に対しての実際上の光子検出確率がη１＝Ｔ１ηＢ、タイムスロット当たりの受信確率がＳ１であるとする。この場合、Ｓ０は単一光子検出器４３０に先に到達する光子に対しての受信確率であり、Ｓ１は単一光子検出器４３０に後に到達する光子に対しての受信確率である。
【０１６５】
今、不感時間がΔｔより十分大きいとする。このとき、第１の入力光が受信されるのに連続して第２の入力光が受信されることはない。従ってこの場合、Ｓ０及びＳ１は以下の式（８ａ）及び（８ｂ）で与えられる。
【０１６６】
【数７】
2020053894.tif 000009
【０１６７】
Ｔ０＝１、Ｔ１＝０．５又はＴ０＝０．５、Ｔ１＝１としてＳ０／Ｓ１を計算し、これを不感時間が影響しない場合と比較した結果を図８に示す。図８では、横軸に平均光子数を取り、縦軸にＳ０／Ｓ１を取って示している。
【０１６８】
ここではηＢ＝０．２０として計算を行った。またＴ０＝０．５、Ｔ１＝１の場合、Ｓ０／Ｓ１は、Ｔ１＝１の場合の受信確率をＳ０、Ｔ０＝０．５の場合の受信確率をＳ１と読み替えて計算している。
【０１６９】
μが十分小さいときにはこれら３つの条件に違いはなく、いずれの条件でも、Ｓ０／Ｓ１＝２である。
【０１７０】
一方、μが大きくなると違いが生じる。例えばμ＝１であるとき、不感時間を考慮しないときのＳ０／Ｓ１は約１．９０であるのに対し、Ｔ０＝１、Ｔ０＝０．５である場合にはこれが２．３３に増加し、Ｔ０＝０．５，Ｔ１＝１の場合には１．７２へと減少する。
【０１７１】
これは、上式（８ｂ）に示されるように、先頭する光子での受信確率Ｓ０が高まる分、後続する光子への受信確率Ｓ１が低下するためである。つまり、第４の単一光子検出装置で装置不感時間より短く遅延時間Δｔ／２を設定することで、入力光平均光子数が１より十分小さいかの判別がより容易に、かつ正確になる。
【０１７２】
なお、第１、第３及び第４の単一光子検出装置において用いられる、光強度変調器や光分岐部、ハーフミラーの動作は一般的に波長依存性を持つことが予想される。例えば第３の単一光子検出装置において、不正者がｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃を行うときに、ある時には光分岐部の一方のポートからのみ出力される波長の光を入力し、また、別の時には他方のポートからのみ出力される波長の光を入力することで、クライアントの取得する受信時刻情報Ｂを制御する攻撃が考えられる。
【０１７３】
このような攻撃に対しては、単一光子検出装置の入力端に、システムの想定する波長の光のみを透過するバンドパスフィルタを挿入することで上記のような攻撃を回避できる。
【０１７４】
（第２の認証システム）
図９を参照して、この発明の認証システムの第２の実施形態（以下、第２の認証システムと称する。）について説明する。図９は、第２の認証システムの模式図である。
【０１７５】
第２の認証システムは、クライアント側装置２０がｍ個設けられている点、及び、認証サーバ１１が、アイドラー光子分配部１８、シグナル光子分配部１９、ｍ個の第１の検出部１２２ａ〜１２２ｃ、ｍ個の第１の記憶媒体１２４ａ〜１２４ｃ、及び、ｍ個の認証判別部１４０ａ〜１４０ｃを備える点が、第１の認証システムと異なっている。なお、ｍは２以上の整数であるが、ここでは、ｍ＝３の例を説明する。
【０１７６】
各クライアント側装置２０から見れば、受信する光は、第１の認証システムと同様であるので、各クライアント側装置２０を、第１の認証システムと同様に構成することができる。ｍ個のクライアント側装置２０の構成、認証サーバが備える、ｍ個の第１の検出部及びｍ個の第１の記憶媒体の構成は、第１の認証システムと同様なので、説明を省略する。また、ｍ個のクライアント側装置と、ｍ個の認証判別部は、一対一に対応して設けられており、その関係は、第１の認証システムと同様であるので、詳細な説明を省略する。
【０１７７】
量子もつれ光子対光源１３１として、広範なスペクトル帯域を有する広帯域量子もつれ光子対光源を利用する。このような広帯域量子もつれ光子対光源の一例として、非特許文献３に開始されるような周期分極反転ＬｉＮｂＯ３導波路デバイスにおける、カスケード光第２高調波発生（ＳＨＧ：Ｓｅｃｏｎｄ  Ｈａｒｍｏｎｉｃ  Ｇｅｎｅｒａｔｉｏｎ）／自然パラメトリック下方変換（ＳＰＤＣ：Ｓｐｏｎｔａｎｅｏｕｓ  Ｐａｒａｍｅｔｒｉｃ  Ｄｏｗｎ  Ｃｏｎｖｅｒｓｉｏｎ）を利用した量子もつれ光源がある。量子もつれ光源としては、ＳＰＤＣを利用したものや、自然４光波金剛を利用したものでもよい。
【０１７８】
カスケードＳＨＧ／ＳＰＤＣを利用した場合、波長λｐの励起光を中心として対称に、ＳＰＤＣによる広帯域量子もつれ光子対が発生する。エネルギー保存の関係から、以下の式（９）を満足する、波長λｓｉｇ，ｉのシグナル光子と波長λｉｄｌ，ｉのアイドラー光子が相関のある、すなわち、量子もつれ状態にある光子対となっている。ここで、ｉは１以上の整数である。
【０１７９】
【数８】
2020053894.tif 000010
【０１８０】
アイドラー光子分配部１８は、例えば、波長分割回路で構成される。アイドラー光子分配部１８は、広帯域量子もつれ光子対光源１３１が生成した、広帯域アイドラー光子を波長分割して、それぞれ、量子チャンネル１０００ａ〜１０００ｃに出力する。
【０１８１】
シグナル光子分配部１９は、例えば、波長分割回路で構成される。シグナル光子分配部１９は、広帯域量子もつれ光子対光源１３１が生成した、広帯域シグナル光子を波長分割して、それぞれ、第１の検出部１２２ａ〜１２２ｃに出力する。
【０１８２】
アイドラー光子分配部１８及びシグナル光子分配部１９において波長分割するときの各波長チャンネルのスペクトル帯域が、広帯域量子もつれ光子対光源の持つスペクトル帯域より十分狭い場合、上式（９）を満足する波長ペアを複数得ることができる。
【０１８３】
例えば、素子長６ｃｍの周期分極反転ＬｉＮｂＯ３導波路デバイスで生じるカスケードＳＨＧ／ＳＰＤＣスペクトルのスペクトル帯域幅（半値半幅）は約３６ｎｍである。これを波長分割回路として一般的な、透過スペクトル帯域幅約０．４ｎｍ（光周波数にして５０ＧＨｚ）のＡｒｒｙｅｄ  Ｗａｖｅｇｕｉｄｅ  Ｇｒａｔｉｎｇ（ＡＷＧ）で波長分割した場合、およそ９０波長ペアを得ることができる。
【０１８４】
上式（９）を満足する波長ペアは量子もつれの状態にあるため、第１の認証システムと同様に、波長λｉｄｌ，ｉであるアイドラー光についての受信時刻情報Ｂ−ｉと、波長λｓｉｇ，ｉ であるシグナル光についての送信時刻情報Ａ−ｉは、上式（３）に相当する同時信号検出確率を得ることができる。
【０１８５】
一方、上式（９）を満足しない波長ペアは量子もつれによる相関がないため、波長λｉｄｌ，ｊであるアイドラー光についての受信時刻情報Ｂ−ｊと、波長λｓｉｇ，ｉであるシグナル光についての送信時刻情報Ａ−ｉ（ｉ≠ｊ）は、上式（４）に相当する同時信号検出確率しか得られない。ｊは１以上の整数である。
【０１８６】
従って認証側装置 は、波長λｉｄｌ，ｉであるアイドラー光を送信したクライアントｉが正規なクライアントであるかどうかを送信時刻情報Ａ−ｉとの同時イベント回数を認証判別部１４０で判別することで識別できる。
【０１８７】
また、第１の認証システムで説明したように、不正者が量子チャンネル１０００ａ〜１０００ｃを攻撃することでクライアントｉの受信時刻情報Ｂ−ｉ及び事前共有鍵ＰＳＫ−ｉを知ることはできない。
【０１８８】
また今、クライアントｊが他のクライアントに対する不正者であり、不正者が得た正規な受信時刻情報Ｂ−ｊから異なるクライアントｉを攻撃することを考える。しかしながら、この場合、上述したように上式（９）を満足しない波長ペアは量子もつれによる相関がないため、不正者が得た受信時刻情報Ｂ−ｊはクライアントｉの得た受信時刻情報Ｂ−ｉとは何ら相関がない。従って、不正者はこのような攻撃でクライアントｉを攻撃することはできない。
【０１８９】
これはすべてのクライアントが正規なクライアントである場合にも成り立つ。すなわち、クライアントｉはクライアントｊの受信時刻情報を知ることはできない。従って、すべてのクライアントが同時にセッションを行ったとしても、自らの秘密情報が他者に知られることはなく、すべてのクライアントに対して安全な認証、秘密鍵生成・共有・更新セッションを実行できる。
【０１９０】
また第２の認証システムでは、アイドラー光子分配部１８及びシグナル光子分配部１９において波長分割した後のスペクトル帯域幅は、シグナル光子側、アイドラー光子側に対して必ずしも同じである必要はない。その性質を利用して、低コスト化が可能である。
【０１９１】
今、ＳＰＤＣスペクトルが平坦であるとして、単位光周波数当たりの平均光子対数をμ０、波長分割後のシグナル光子のスペクトル形状をＴｓｉｇ（ｆ）、同じく波長分割後のアイドラー光子のスペクトル形状をＴｉｄｌ（ｆ）であるとする。このとき、非特許文献４で開示されるように、シグナル光子、アイドラー光子を受信するそれぞれ第１の検出部１２２、第２の検出部２２２における時間スロット当たりの信号検出確率ｐＡ及びｐＢ、正規なクライアントとの同時信号検出確率ｐＡＢ、並びに、不正なクライアントとの同時信号検出確率ｐＡＥはそれぞれ以下の式（１０）〜（１３）で与えられる。
【０１９２】
【数９】
2020053894.tif 000011
【０１９３】
ここでｔｓｉｇ及びｔｉｄｌはそれぞれシグナル光子及びアイドラー光子の等価的なスペクトル帯域幅を表す。また、ｔｊは量子もつれ光子対を同時検出した場合の等価的な結合スペクトル帯域幅を表す。ｔｓｉｇ、ｔｉｄｌ及びｔｊはそれぞれ以下の式（１４ａ）〜（１４ｃ）で与えられる。
【０１９４】
【数１０】
2020053894.tif 000012
【０１９５】
ここでｆｐｕｍｐはカスケードＳＨＧ／ＳＰＤＣ過程の励起光の光周波数である。
【０１９６】
上式（１２）及び（１３）に、単位時間当たりの時間スロット数をかけた値が、それぞれ正規及び不正なクライアントに対する同時イベント回数の期待値となる。
【０１９７】
今仮に、波長分割後のスペクトル形状Ｔｓｉｇ（ｆ）及びＴｉｄｌ（ｆ）が、それぞれ半値全幅がΔｆｓｉｇ及びΔｆｉｄｌのガウス形状であり、シグナル光子側のスペクトル帯域幅はアイドラー光子側のスペクトル帯域幅に比べて十分広い、すなわち、Δｆｓｉｇ＞＞Δｆｉｄｌとし、また、単一光子検出器の暗電流検出確率を無視できるものとする。この場合、ｐＡＢ及びｐＡＥは、概ね、以下の式（１５）及び（１６）で与えられる。
【０１９８】
【数１１】
2020053894.tif 000013
【０１９９】
ここで、ｇはガウス波形補正値で、以下の式（１７）で与えられる。
【０２００】
【数１２】
2020053894.tif 000014
【０２０１】
また、ｐＡＢとｐＡＥの比は、以下の式（１８）で与えられる。
【０２０２】
【数１３】
2020053894.tif 000015
【０２０３】
上式（１８）は、シグナル光側のスペクトル帯域幅がアイドラー光側のスペクトル帯域幅に比べて十分広い（Δｆｓｉｇ＞＞Δｆｉｄｌ）場合であっても、単位光周波数当たりの平均光子対数μ０を下げることで十分大きなｐＡＢ／ｐＡＥを得ることができることを意味している。すなわち、この場合でも正規者／不正者の識別認証が可能である。
【０２０４】
また結合スペクトル帯域幅ｔｊは、Δｆｓｉｇ＞＞Δｆｉｄｌである場合、アイドラー光子側フィルタの中心波長がシグナル光子側フィルタのスペクトル帯域幅の範囲内で変化してもほとんど変わらない。このことは、スペクトル帯域幅の広いシグナル光に対して得られる一つの送信時刻情報Ａを用いて、スペクトル帯域幅の狭いアイドラー光を受信した複数のクライアントの持つ複数の受信時刻情報に対しての同時イベント回数を評価できることを意味する。Δｆｓｉｇ／Δｆｉｄｌ＝Ｋとしたとき、一つの送信時刻情報Ａを用いておおよそＫ人分のクライアントの識別認証が可能となる（秘密鍵共有や更新も可能）。すなわちこのとき、認証側装置１１に必要な第１の検出部１２２ａ〜１２２ｃや認証判定部１４０ａ〜１４０ｃの個数はクライアント側装置数より少なくて済み、装置コスト面等で利点がある。
【０２０５】
ここでは、広帯域量子もつれ光子対光源について、カスケードＳＨＧ／ＳＰＤＣ効果を利用した量子もつれ光源として説明したが、通常の１段構成のＳＰＤＣや、あるいは光ファイバなど３次の非線形光学媒体で生じる自然４光波混合を利用した量子もつれ光源を利用してもよい。
【０２０６】
また、照合部における不正者の攻撃を探知する判別条件もまた設計的事項である。例えば、入力光平均光子数が１以下である判別条件（Ｓ０／Ｓ１≧１．８８２）を課せば、受信時刻情報Ｂの１要素あたり−ｌｏｇ２（ηＢ）〜２ビット程度（ηＢ＝２５％のとき）の秘密鍵ｑｋを得られる。一方、Ｓ０／Ｓ１≧１．７なる緩い判別条件を用いるとＳ０≦０．５であることが保証されるため、受信時刻情報Ｂの１要素あたりｌｏｇ２（０．５）＝１ビット程度の秘密鍵ｑｋを得ることができる。これらの値はη０及びη１の設計値等に応じて柔軟に変更することができる。
【０２０７】
また暗号化部、復号化部における暗号化の方法、すなわち、Ｅｎｃ（Ｄ，ＰＳＫ）の生成方法も設計的事項であり、システムの要求するセキュリティ強度に応じて柔軟な設計ができる。例えば、ＡＥＳ暗号のようなブロック暗号はその一手法である。
【０２０８】
さらにまた、第１時刻情報Ｂ１の１要素（ｔｂｋ）が持つ情報量は−ｌｏｇ２（μαη）ビット程度、第１の秘密鍵Ｑの１要素ｑｋが持つ情報量は−ｌｏｇ２（ηＢ）ビット程度であることから、Ｂ１の要素数ｎＢ１とＱの要素数ｎＱとがｎＢ１ｌｏｇ２（μαη）＝ｎＱｌｏｇ２（ηＢ）なる関係を満たし、また事前共有鍵の情報量がｎＢ１ｌｏｇ２（μαη）であるとき、暗号化される平文と暗号鍵の情報量が等しくまた事前共有鍵は毎回更新されることから、情報理論的に安全な暗号通信（ワンタイムパッド）の実現が可能となる。
【符号の説明】
【０２０９】
１０、１１    認証サーバ
２０    クライアント側装置
１２０    送信情報記憶部
１２２    第１の検出部
１２４    第１の記憶媒体
１３２    量子もつれ光子対光源
１４０    認証判別部
１４２    第１の読込部
１４４    判別部
１４６    復号化部
２２２    第２の検出部
２２４    第２の記憶媒体
２４２    第２の読込部
２４４    照合部
２４５    秘匿増幅部
２４６    暗号化部
４１０    光強度変調器
４２０    乱数発生器    
４３０、４３１、４３２    単一光子検出器
４４０    計数処理回路    
４５０    ゲート電圧生成部
４５２    変調電圧源
４５４    定常電圧源
４６０    光分岐部
４７０    光遅延器
４８０    光合波部
【図１】
2020053894.tif 000016
【図２】
2020053894.tif 000017
【図３】
2020053894.tif 000018
【図４】
2020053894.tif 000019
【図５】
2020053894.tif 000020
【図６】
2020053894.tif 000021
【図７】
2020053894.tif 000022
【図８】
2020053894.tif 000023
【図９】
2020053894.tif 000024