(57)【要約】【課題】秘密鍵を認証側装置とクライアント側装置のみが安全かつ容易に共有する。【解決手段】検出部、照合部、秘匿増幅部及び暗号化部を備える。検出部は、マーク状態の平均光子数が１以下であり、かつ、マーク状態の時間位置がランダムに変調された微弱強度変調光を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、検出した時刻における光子検出確率を示す乱数ビット値情報を生成する。照合部は、光子検出確率がηｋであるときの、受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する。秘匿増幅部は、照合部で承認された場合に、受信時刻情報を第１時刻情報及び第２時刻情報に２分して、第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する。暗号化部は、事前共有鍵を用いて、第１時刻情報と秘密鍵を暗号化して暗号化信号を生成する。【選択図】図１
2019205144.tif 000002
【特許請求の範囲】
【請求項１】
認証側装置から量子チャンネルを経て送られた、マーク状態の平均光子数が１以下であり、かつ、マーク状態の時間位置がランダムに変調された微弱強度変調光を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、該時刻における光子検出確率を示す乱数ビット値情報を生成する、検出部と、
前記光子検出確率がηｋ（ｋは０以上ｎ−１以下の整数、ｎは２以上の整数）であるときの、前記受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する、照合部と、
前記照合部で承認された場合に、前記受信時刻情報を第１時刻情報及び第２時刻情報に２分して、前記第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する、秘匿増幅部と、
事前共有鍵を用いて、前記第１時刻情報と前記秘密鍵を暗号化して暗号化信号を生成し、該暗号化信号を前記認証側装置に送る暗号化部と
を備えることを特徴とするクライアント側装置。
【請求項２】
前記検出部が、
ｎ値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ−１以下の整数）と、該乱数値ｉを発生させた時刻を含む前記乱数ビット値情報を生成する乱数発生器と、
前記乱数値ｉによって定まる透過率Ｔｉで前記認証側装置からの前記微弱強度変調光を強度変調する光強度変調器と、
前記光強度変調器で強度変調された微弱強度変調光が入力され、単一光子を検出した時刻を前記受信時刻情報として生成する単一光子検出器と
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載のクライアント側装置。
【請求項３】
前記検出部が、
ｎ値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ−１以下の整数）と、該乱数値ｉを発生させた時刻を含む前記乱数ビット値情報を生成する乱数発生器と、
前記乱数値ｉによって定まる電圧値Ｖｉのゲート電圧を生成するゲート電圧生成部と、
前記認証側装置からの前記微弱強度変調光を前記ゲート電圧の電圧値Ｖｉで定まる検出効率ηｉで検出し、単一光子を検出した時刻を前記受信時刻情報として生成する単一光子検出器と、
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載のクライアント側装置。
【請求項４】
前記検出部が、
前記認証側装置からの前記微弱強度変調光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、
それぞれ、第ｊの入力光が入力され、単一光子を検出した時刻を受信情報として生成する第１及び第２の単一光子検出器と、
前記第１の単一光子検出器及び前記第２の単一光子検出器の受信情報の和集合を前記受信時刻情報として生成し、前記第１の単一光子検出器及び前記第２の単一光子検出器のいずれで検出されたかに基づいて前記乱数ビット値情報を生成する計数処理回路と
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載のクライアント側装置。
【請求項５】
前記検出部が、
前記認証側装置からの、周期Δｔのパルス光である前記微弱強度変調光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、
前記第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、
前記第２の入力光を遅延させて、前記光合波部で合波される前記第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、
前記入力合波光が入力され、単一光子を検出した時刻を前記受信時刻情報として生成し、幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロット及び偶数番目の時間スロットのいずれで検出されたかに基づいて前記乱数ビット値情報を生成する単一光子検出器と
を備えて構成される単一光子検出装置である
ことを特徴とする請求項１に記載のクライアント側装置。
【請求項６】
前記秘匿増幅によって得られる前記秘密鍵の各要素の有する情報量が、前記検出部が備える単一光子検出器の光子検出確率ηＢに対して、−ｌｏｇ２（ηＢ）以下である
ことを特徴とする請求項１〜５のいずれか一項に記載のクライアント側装置。
【請求項７】
請求項１〜６のいずれか一項に記載のクライアント側装置と、
微弱強度変調光源、復号化部、及び、判別部を含んで構成される認証側装置と
を備え、
前記微弱強度変調光源は、前記微弱強度変調光を発生させ、
前記復号化部は、前記事前共有鍵を用いて前記暗号化信号を復号化して前記第１時刻情報及び秘密鍵を取得し、
前記判別部は、前記微弱強度変調光源が前記マーク状態に設定した時刻の情報を含む送信時刻情報と、前記第１時刻情報を用いて、同時イベント回数、及び、前記第１時刻情報の要素数を取得し、前記同時イベント回数及び前記要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成し、
前記判別情報が承認する旨の情報を含むとき、前記事前共有鍵を前記秘密鍵で暗号化して新たに事前共有鍵を生成する
ことを特徴とする認証システム。
【請求項８】
前記クライアント側装置が２以上設けられ、
前記認証側装置は、さらに、前記微弱強度変調光を分岐して、各前記クライアント側装置に送る光分岐回路を備える
ことを特徴とする請求項７に記載の認証システム。
【請求項９】
認証側装置において行われる、マーク状態の平均光子数が１以下であり、かつ、マーク状態の時間位置がランダムに変調された微弱強度変調光を、生成する変調光生成過程と、
クライアント側装置において行われる、
量子チャンネルを経て前記認証側装置から送られた、前記微弱強度変調光を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、該時刻における光子検出確率を示す乱数ビット値情報を生成する、光子検出過程、
前記光子検出確率がηｋ（ｋは０以上ｎ−１以下の整数、ｎは２以上の整数）であるときの、前記受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する、照合過程、
前記照合過程で承認された場合に、前記受信時刻情報を第１時刻情報及び第２時刻情報に２分して、前記第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する、秘匿増幅過程、及び、
事前共有鍵を用いて、前記第１時刻情報と前記秘密鍵を暗号化して暗号化信号を生成し、該暗号化信号を前記認証側装置に送る暗号化過程と、
前記認証側装置において行われる、
前記事前共有鍵を用いて前記暗号化情報を復号化して前記第１時刻情報及び秘密鍵を取得する、復号化過程、及び、
前記微弱強度変調光源が前記マーク状態に設定した時刻の情報を含む送信時刻情報と、前記第１時刻情報を用いて、同時イベント回数を取得し、かつ、前記第１時刻情報の要素数を取得し、前記同時イベント回数及び前記要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する判別過程
とを備え、
前記判別情報が承認する旨の情報を含むとき、前記事前共有鍵を前記秘密鍵で暗号化して新たに事前共有鍵を生成する
ことを特徴とする認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、光の量子力学的性質を利用した認証システムで用いられるクライアント側装置、このクライアント側装置を備える認証システム、及び、認証方法に関する。
【背景技術】
【０００２】
ある特定の相手との間でサービスを提供・享受し、またその内容を秘匿化したい場合、認証システムと暗号通信システムが一般的に利用されている。
【０００３】
認証システムにおいては、例えばサービスを提供する側（ここでは認証サーバと呼ぶ）と受ける側（ここではクライアントと呼ぶ）の両者が、第三者が知らない秘密情報を共有し、それを照合することで相手を識別認証する。その例として例えば秘密のパスワード、個体識別認識（ＩＤ：ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）番号、指紋、顔などの認証を利用した認証システム、あるいは装置機器の個体識別番号であるＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを利用したＭＡＣ認証などがよく利用される。
【０００４】
また暗号通信システムにおいては、公開鍵を利用した公開鍵方式や、共通鍵を利用した共通鍵方式を利用して、送受信される情報（平文）の暗号化・復号化を行う。
【０００５】
このような認証システム、暗号通信システムは、キャッシュカードやクレジットカードなどを利用した電子決済システム、オフィスビルやセキュリティルームなどの入退場を管理するセキュリティゲートシステムなど、様々な分野で利用されている。これらのシステムでは、正規な利用者と不正者を、迅速かつ確実に識別することが要求される。
【０００６】
一方で、例えばＩＤカードのコピーや偽造などによる不正者の攻撃もよく知られている。その対策の一つは、銀行の現金自動預払機（ＡＴＭ：Ａｕｔｏｍａｔｉｃ  Ｔｅｌｌｅｒ  Ｍａｃｈｉｎｅ）などで利用されるように、上記の認証システムに、利用者とシステム管理者のみが知る秘密のパスワードを組み合わせて利用する方法である。
【０００７】
このパスワードを利用する方法の問題点は、パスワードの生成とその管理にある。すなわち、どのように、パスワードを不正者に知られることなく認証システムの管理者と正規な利用者のみが共有するかが問題となる。
【０００８】
例えば複数の認証システムで、固定したパスワードを使いまわすようなことがあれば、不正者が容易にパスワードを類推できる。これを解決する有効な方法は、秘密のパスワードを頻繁に変更することである。しかし、パスワードの変更の都度、新しいパスワードを覚え直さなければならないなど、正規な利用者にとって、負担が大きい。
【０００９】
また、一般にも利用されるような通信回線を介して、頻繁にパスワードを受け渡せば、不正者は通信回線を盗聴してパスワードを盗むことが可能となる。この場合に通信回線等を経過する情報は古典的な情報量である。このため、パスワードを複製して利用することが可能であり、不正利用の可能性はさらに増大する。
【００１０】
なお、パスワードの生成及び配布については、量子力学的性質を利用した暗号通信において、究極の秘匿通信を実現できることが知られており、この暗号通信を利用する認証システムが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】特開２０００−２０１１４４号公報
【非特許文献】
【００１２】
【非特許文献１】Charles H. Bennett, Gilles Brassard, Claude Crkpeau, and Ueli M.Maurer, “Generalized Privacy Amplification,” IEEE transactions on  information theory, vol. 4, No. 6, pp. 1915-1923, November 1995
【非特許文献２】鶴丸豊広, “量子暗号の量子でない部分,” 電子情報通信学会情報理論とその応用学会（現 情報理論とその応用サブソサイエティ）ニューズレター vol.60, 2006 年9 月30 日発行
【発明の概要】
【発明が解決しようとする課題】
【００１３】
しかしながら、上述の暗号通信についても、秘密鍵の共有が困難であることなどから、ほとんど使用されていない。
【００１４】
この発明は、上述の問題点に鑑みてなされたものである。
【００１５】
したがって、この発明の目的は、秘密鍵を認証システムの認証側装置とクライアント側装置のみが安全かつ容易に共有できる認証システム及びクライアント側装置と、認証方法を提供することにある。
【課題を解決するための手段】
【００１６】
上述の課題を解決するために、この発明のクライアント側装置は、検出部と、照合部と、秘匿増幅部と、暗号化部とを備えて構成される。検出部は、認証側装置から量子チャンネルを経て送られた、マーク状態の平均光子数が１以下であり、かつ、マーク状態の時間位置がランダムに変調された微弱強度変調光を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、検出した時刻における光子検出確率を示す乱数ビット値情報を生成する。照合部は、光子検出確率がηｋ（ｋは０以上ｎ−１以下の整数、ｎは２以上の整数）であるときの、受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する。秘匿増幅部は、照合部で承認された場合に、受信時刻情報を第１時刻情報及び第２時刻情報に２分して、第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する。暗号化部は、事前共有鍵を用いて、第１時刻情報と秘密鍵を暗号化して暗号化信号を生成し、暗号化信号を認証側装置に送る。
【００１７】
このクライアント側装置の好適実施形態によれば、検出部が、ｎ値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ−１以下の整数）と、乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、乱数値ｉによって定まる透過率Ｔｉで認証側装置からの微弱強度変調光を強度変調する光強度変調器と、光強度変調器で強度変調された微弱強度変調光が入力され、単一光子を検出した時刻を受信時刻情報として生成する単一光子検出器とを備えて構成される単一光子検出装置である。
【００１８】
また、このクライアント側装置の他の好適実施形態によれば、検出部が、ｎ値の乱数を発生させ、乱数値ｉと、乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、乱数値ｉによって定まる電圧値Ｖｉのゲート電圧を生成するゲート電圧生成部と、認証側装置からの微弱強度変調光をゲート電圧の電圧値Ｖｉで定まる検出効率ηｉで検出し、単一光子を検出した時刻を受信時刻情報として生成する単一光子検出器とを備えて構成される単一光子検出装置である。
【００１９】
また、このクライアント側装置の他の好適実施形態によれば、検出部が、認証側装置からの微弱強度変調光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、それぞれ、第ｊの入力光が入力され、単一光子を検出した時刻を受信情報として生成する第１及び第２の単一光子検出器と、第１の単一光子検出器及び第２の単一光子検出器の受信情報の和集合を受信時刻情報として生成し、第１の単一光子検出器及び第２の単一光子検出器のいずれで検出されたかに基づいて乱数ビット値情報を生成する計数処理回路とを備えて構成される単一光子検出装置である。
【００２０】
また、このクライアント側装置の他の好適実施形態によれば、検出部が、周期Δｔのパルス光である、認証側装置からの微弱強度変調光を２分岐して、第ｊの入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴｊとする光分岐部と、第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、第２の入力光を遅延させて、光合波部で合波される第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、入力合波光が入力され、単一光子を検出した時刻を受信時刻情報として生成し、幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロット及び偶数番目の時間スロットのいずれで検出されたかに基づいて乱数ビット値情報を生成する単一光子検出器とを備えて構成される単一光子検出装置である。
【００２１】
上述したクライアント側装置では、秘匿増幅によって得られる秘密鍵の各要素の有する情報量が、検出部が備える単一光子検出器の光子検出確率ηＢに対して、−ｌｏｇ２（ηＢ）以下であるのが好ましい。
【００２２】
また、この発明の認証システムは、上述した、クライアント側装置と、微弱強度変調光源、復号化部、及び、判別部を含んで構成される認証側装置とを備えて構成される。
【００２３】
微弱強度変調光源は、微弱強度変調光を発生させ、復号化部は、事前共有鍵を用いて暗号化信号を復号化して第１時刻情報及び秘密鍵を取得し、判別部は、微弱強度変調光源がマーク状態に設定した時刻の情報を含む送信時刻情報と、第１時刻情報を用いて、同時イベント回数、及び、第１時刻情報の要素数を取得し、同時イベント回数及び要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する。判別情報が承認する旨の情報を含むとき、事前共有鍵を秘密鍵で暗号化して新たに事前共有鍵を生成する。
【００２４】
この認証システムの好適実施形態では、クライアント側装置が２以上設けられ、認証側装置は、さらに、微弱強度変調光を分岐して、各クライアント側装置に送る光分岐部を備える。
【００２５】
また、この発明の認証方法は、以下の過程を備えて構成される。
【００２６】
まず、認証側装置において、マーク状態の平均光子数が１以下であり、かつ、マーク状態の時間位置がランダムに変調された微弱強度変調光を、生成する。
【００２７】
次に、クライアント側装置において、認証側装置から量子チャンネルを経て送られた、微弱強度変調光を、光子検出確率をランダムに変更して検出し、検出した時刻を示す受信時刻情報と、その時刻における光子検出確率を示す乱数ビット値情報を生成する。次に、光子検出確率がηｋであるときの、受信時刻情報の要素数Ｓｋから、Ｓｋ／ηｋが予め定めた基準を満たしている場合は承認し、満たしていない場合は否認する。次に、照合過程で承認された場合に、受信時刻情報を第１時刻情報及び第２時刻情報に２分して、第２時刻情報に含まれる各要素に対して秘匿増幅を行って秘密鍵を生成する。次に、事前共有鍵を用いて、第１時刻情報と秘密鍵を暗号化して暗号化信号を生成し、暗号化信号を認証側装置に送る。
【００２８】
その後、認証側装置において、事前共有鍵を用いて暗号化信号を復号化して第１時刻情報及び秘密鍵を取得する。次に、微弱強度変調光源がマーク状態に設定した時刻の情報を含む送信時刻情報と、第１時刻情報を用いて、同時イベント回数、及び、第１時刻情報の要素数を取得し、同時イベント回数及び要素数の両者が、予め設定された設定値の範囲内であれば承認する旨の情報を含む判別情報を生成し、それ以外の場合は否認する旨の情報を含む判別情報を生成する。
【００２９】
その後、判別情報が承認する旨の情報を含むとき、事前共有鍵を秘密鍵で暗号化して新たに事前共有鍵を生成する。
【発明の効果】
【００３０】
この発明のクライアント側装置、認証システム及び認証方法によれば、微弱強度変調光を用いることで、不正な利用者の存在を探知でき、正規な利用者のみを認証することができる。
【図面の簡単な説明】
【００３１】
【図１】第１の認証システムの模式図である。
【図２】ワイヤタップ攻撃を説明するための模式図である。
【図３】実証実験の結果を示す図である。
【図４】第１の単一光子検出装置を説明する模式図である。
【図５】第２の単一光子検出装置を説明する模式図である。
【図６】第３の単一光子検出装置を説明する模式図である。
【図７】第４の単一光子検出装置を説明する模式図である。
【図８】第４の単一光子検出装置における、平均光子数とＳ０／Ｓ１の関係を示す図である。
【図９】第２の認証システムの模式図である。
【発明を実施するための形態】
【００３２】
以下、図を参照して、この発明の実施の形態について説明するが、各構成要素の形状、大きさ及び配置関係については、この発明が理解できる程度に概略的に示したものに過ぎない。また、以下、この発明の好適な構成例につき説明するが、各構成要素の材質及び数値的条件などは、単なる好適例にすぎない。従って、この発明は以下の実施の形態に限定されるものではなく、この発明の構成の範囲を逸脱せずにこの発明の効果を達成できる多くの変更又は変形を行うことができる。
【００３３】
（第１の認証システム）
図１を参照して、この発明の認証システムの第１の実施形態（以下、第１の認証システムと称する。）の構成及び動作について説明する。図１は、第１の認証システムの模式図である。
【００３４】
第１の認証システムは、認証サーバ（認証側装置）１０と、認証サーバ１０により認証を受ける被認証端末（クライアント側装置）２０を備えて構成される。認証サーバ１０及びクライアント側装置２０は事前に相手を認証するための秘密情報を持つものとする。ここでは、この秘密情報を事前共有鍵（ＰＳＫ：Ｐｒｅ−Ｓｈａｒｅｄ  Ｋｅｙ）と称する。また、認証サーバ１０及びクライアント側装置２０のシステムクロックを１ＧＨｚとし、タイムスロット幅を１ｎｓとして説明する。
【００３５】
認証サーバ１０は、送信情報記憶部１２０及び認証判別部１４０を備えている。送信情報記憶部１２０は、微弱強度変調光源１３１及び第１の記憶媒体１２４を備えている。また、認証判別部１４０は、第１の読込部１４２、判別部１４４及び復号化部１４６を備えている。
【００３６】
微弱強度変調光源１３１は、例えば、乱数発生器１２２、レーザ光源１３２、光強度変調器１３４及び光減衰器１３６を備えて構成される。微弱強度変調光源１３１は、マーク状態の平均光子数が１以下であり、かつ、マーク状態の時間位置が無作為（ランダム）に変調された微弱強度変調光を発生させる。
【００３７】
乱数発生器１２２は、乱数としてビット「０」及びビット「１」をランダムに発生させる。乱数発生器１２２は、生成した乱数をタイムスロットに順に割り当てて、起点時刻を時刻０としたビット「１」に対応する時刻を、送信時刻情報Ａ｛ｔａ１、ｔａ２、ｔａ３、…｝として第１の記憶媒体１２４に記録する。例えば、乱数発生器１２２が生成した乱数が「１０１１００１」である場合、ｔａ１＝０ｎｓ、ｔａ２＝２ｎｓ、ｔａ３＝３ｎｓ、ｔａ４＝６ｎｓとなる。
【００３８】
また、乱数発生器１２２が生成した乱数は電気信号として光強度変調器１３４に送られる。
【００３９】
レーザ光源１３２からの出力光は、光強度変調器１３４に送られる。光強度変調器１３４は、乱数発生器１２２で生成された、各タイムスロットに割り当てられた乱数に基づいて、レーザ光源１３２からの出力光を強度変調して強度変調光を生成する。乱数がビット「１」であるタイムスロットでは、光強度変調器１３４は、強度変調光に光子が含まれるマーク状態に設定される。また、乱数がビット「０」であるタイムスロットでは、光強度変調器１３４は、強度変調光に光子が含まれないスペース状態に設定される。
【００４０】
ここでは、乱数発生器１２２が出力する乱数の全ビットのうち、ビット「１」が占める割合をマーク率Ｍとして定義する。例えば、ビット「１」と「０」の割合が半々である場合、Ｍ＝０．５となり、１００個のビットのうちビット「１」が１個である場合、Ｍ＝０．０１となる。
【００４１】
光減衰器１３６は、ビット「１」、すなわちマーク状態の時に含まれる平均光子数（μ）が１より十分小さい値（例えば、０．１程度）になるように強度変調光を減衰して微弱強度変調光を生成する。微弱強度変調光では、１つのタイムスロットに光子が２個以上含まれる可能性が十分低く、また、スペース状態における平均光子数は、ほぼ０である。
【００４２】
ここでは、微弱強度変調光源１３１が、乱数発生器１２２、レーザ光源１３２、光強度変調器１３４及び光減衰器１３６を備える例を説明したがこれに限定されない。例えば、光強度変調器１３４を用いずに、レーザ光源１３２の駆動電流を乱数発生器１２２の出力で変調する直接変調技術で強度変調光を生成する構成にしてもよい。
【００４３】
認証サーバ１０は、クライアント側装置２０から認証セッションの要求があったとき、光ファイバ、空間光学系等で構成される量子チャンネル１０００を経てクライアント側装置２０に、微弱強度変調光を送信する。
【００４４】
クライアント側装置２０は、検出部２２２、第２の記憶媒体２２４、第２の読込部２４２、照合部２４４、秘匿増幅部２４５及び暗号化部２４６を備えている。
【００４５】
検出部２２２は、単一光子検出装置で構成され、認証サーバ１０から送られた微弱強度変調光を受光する。単一光子検出装置は、光子検出確率がηＢである単一光子検出器を含む。ここで、光子検出確率ηＢは、単一光子検出装置に含まれる単一光子検出器に、１個の光子が入力されたときにその光子が検出される確率である。近赤外波長領域での単一光子検出器としてよく利用される、ＩｎＧａＡｓ／ＩｎＰアバランシェフォトダイオード（ＡＰＤ：Ａｖａｌａｎｃｈｅ  ＰｈｏｔｏＤｉｏｄｅ）単一光子検出器自体の光子検出確率ηＢは６０〜７０％程度であるが、実際のデバイスとして用いる場合、入力系の光学損失などのため、高々４０％程度になる。
【００４６】
検出部２２２は、第１の記憶媒体１２４に記録されるのと同じ単位時間内に起きた検出部２２２での全ての検出時刻を、受信時刻情報Ｂ｛ｔｂ１、ｔｂ２、ｔｂ３、…｝として第２の記憶媒体２２４に記録する。例えば、起点時刻を時刻０として、検出イベントが、時刻０ｎｓ、１ｎｓ、３ｎｓ、５ｎｓに発生したならば、ｔｂ１＝０ｎｓ、ｔｂ２＝１ｎｓ、ｔｂ３＝３ｎｓ、ｔｂ４＝５ｎｓとなる。
【００４７】
また、検出部２２２では、検出部２２２における光子検出確率ηが、クライアント以外の第三者にはわからないようにランダムに変調されている。検出部２２２は、検出時刻における、光子検出確率ηの設定値の情報を乱数ビット値情報Ｃとして、第２の記憶媒体２２４に記録する。
【００４８】
なお、光子検出確率ηは、η０、η１、η２、…、ηｎ−１（ｎは２以上の整数）のように２値以上の値を取ることができる。光子検出確率ηが２値の場合は、一方の光子検出確率をビット「１」、他方の光子検出確率をビット「０」とした、「０」「１」のビット列として表現することができる。単一光子検出装置の構成については、後述する。
【００４９】
第２の読込部２４２は、第２の記憶媒体２２４から、受信時刻情報Ｂと乱数ビット値情報Ｃを読み取り、照合部２４４に送る。
【００５０】
照合部２４４は、受信時刻情報Ｂと乱数ビット値情報Ｃから、光子検出確率がηｋ（ｋは０以上ｎ−１以下の整数）であるときの、受信時刻情報Ｂの要素数Ｓｋを取得する。照合部２４４は、光子検出確率ηｋと要素数Ｓｋが、Ｓｋ／ηｋ＝一定、すなわち、Ｓ０／η０＝Ｓ１／η１＝…＝Ｓｎ−１／ηｎ−１なる判別式を満足するか否かを判定する。
【００５１】
判定の結果、判別式を満足する場合は承認され、認証セッションが続行される。この場合、照合部２４４は、受信時刻情報Ｂを秘匿増幅部２４５に送る。一方、判定の結果、判別式を満足しない場合は否認され、認証セッションが破棄される。クライアント側装置２０は、認証セッションを破棄した後、新たな認証セッションの要求を行う。
【００５２】
照合部２４４での判定の結果、承認された場合は、秘匿増幅部２４５において、秘匿増幅処理を行う。秘匿増幅部２４５は、受信時刻情報Ｂから第１時刻情報Ｂ１及び第２時刻情報Ｂ２の２つのグループをランダムに生成する。その後、秘匿増幅部２４５は、第２時刻情報Ｂ２の各要素ｔｂｋに対して秘匿増幅を行い、ｔｂｋの有する情報量より小さい情報量を有する秘密鍵情報ｑｋを得る。秘匿増幅については、後述する。第２時刻情報Ｂ２に属する全ての要素ｔｂｋに対して秘匿増幅の処理を行うことにより、秘密鍵Ｑ＝｛ｑ０、ｑ１、ｑ２、…｝が得られる。
【００５３】
暗号化部２４６は、第１受信時刻情報Ｂ１と、秘密鍵Ｑを合わせた全情報Ｄを、ＰＳＫを用いて暗号化して、暗号化情報ＰＳＫ＋Ｄを生成する。この暗号化情報ＰＳＫ＋Ｄは、古典チャンネル２０００を経て認証サーバ１０に送られる。
【００５４】
認証サーバ１０が備える復号化部１４６は、ＰＳＫを用いて暗号化情報ＰＳＫ＋Ｄを復号化し、第１時刻情報Ｂ１と秘密鍵Ｑを得る。また、認証サーバ１０が備える第１の読込部１４２は、第１の記憶媒体１２４から送信時刻情報Ａを読み込む。
【００５５】
第１の読込部１４２で得られた送信時刻情報Ａと、復号化部１４６で得られた第１時刻情報Ｂ１は、判別部１４４に送られる。
【００５６】
判別部１４４は、送信時刻情報Ａと第１時刻情報Ｂ１を照合して、要素が一致する回数（同時イベント回数）を取得する。ここで「要素が一致する」とは、ｔａｘ＝ｔｂｙ（ｘ、ｙは１以上の整数）となるｘとｙの組合せが存在することを意味する。実際のシステムでは、量子チャネル１０００の長さ等の影響で、同じイベントに対する送信時刻情報Ａの要素と受信時刻情報Ｂの要素とが一致するとは限らない。その場合には、判別部１４４が、量子チャネル１０００の長さ等の影響を補正したうえで、要素が一致するか否かを判別すればよい。
【００５７】
簡単のため、受信時刻情報Ｂと、第１時刻情報Ｂ１が同じであると仮定する。先の例では、送信時刻情報Ａは、ｔａ１＝０ｎｓ、ｔａ２＝２ｎｓ、ｔａ３＝３ｎｓ、ｔａ４＝６ｎｓである。また、受信時刻情報Ｂは、ｔｂ１＝０ｎｓ、ｔｂ２＝１ｎｓ、ｔｂ３＝３ｎｓ、ｔｂ４＝５ｎｓである。この場合、０ｎｓと３ｎｓが一致するので同時イベント回数は２である。また、受信時刻情報Ｂの要素数は０ｎｓ、１ｎｓ、３ｎｓ、５ｎｓの４個である。
【００５８】
判別部１４４は、同時イベント回数及び受信時刻情報Ｂの要素数が、それぞれ予め設定された所定の範囲内であるか否かを判別して、その結果を判別情報Ｅとして生成する。判別部１４４は、同時イベント回数及び要素数が所定の範囲内であれば承認し、同時イベント回数及び要素数の少なくとも一方が所定の範囲内に含まれなければ否認する。判別情報Ｅには、承認した旨の情報及び否認した旨の情報のいずれかが含まれる。
【００５９】
判別部１４４が承認した場合、すなわち、認証サーバ１０とクライアント側装置２０が、互いに一致したＰＳＫを有する、正規な送受信者である場合、秘密鍵Ｑを認証サーバ１０側でも知る事ができるようになる。判別部１４４は、判別情報Ｅをクライアント側装置２０に送る。
【００６０】
判別情報Ｅが否認した旨の情報を含んでいる場合は、クライアント側装置２０は、再度認証セッションを要求して上記の認証プロセスをやり直す等の処理を行う。一方、判別情報Ｅが承認した旨の情報を含んでいる場合は、認証サーバ１０及びクライアント側装置２０の両方で認証が成功したとの判定を行う。その際、次回の認証セッションで用いる事前共有鍵として、今回の認証セッションで用いたＰＳＫをＱで信号処理した情報Ｉ（ＰＳＫ、Ｑ）を作成する。
【００６１】
ここでＰＳＫ、秘密鍵Ｑは、ともに、認証サーバ１０及びクライアント側装置２０のみが知る秘密情報であるので、ＰＳＫを秘密鍵Ｑで信号処理した情報Ｉ（ＰＳＫ、Ｑ）もまた、認証サーバとクライアント側装置のみが知る秘密情報となる。従って、情報Ｉ（ＰＳＫ、Ｑ）は、次回認証セッションでの事前共有鍵として利用できる。このような信号処理として簡易で適した方法の一つは、ＰＳＫと秘密鍵Ｑの排他的論理和をとる方法である。
【００６２】
各認証セッションで使用するＰＳＫは、認証に成功するたびに毎回更新されていくために、その推定はより困難になる。
【００６３】
また上記のプロセスで共有された秘密鍵Ｑは、一般の暗号用の共通鍵としても使用することができる。また認証サーバ１０及びクライアント側装置２０の両方で、共有された第１時刻情報Ｂ１の各要素ｔｂｋに対しても秘匿増幅を行ない、ｔｂｋの有する情報量より小さい情報量を有する情報ｒｋを得たとき、その結果得られる集合Ｒ＝｛ｒ０、ｒ１、ｒ２、…｝もまた秘密鍵となっており、これを一般の暗号用の共通鍵として利用することもできる。すなわち、本システムにおいては、認証と同時に暗号通信用の秘密鍵を共有することもできる。
【００６４】
この第１の認証システムに依れば、不正な利用者の存在を探知でき、正規な利用者のみを認証することができる。また、正規な利用者間での秘密鍵共有と事前共有鍵の更新が可能となる。
【００６５】
(不正者による攻撃)
ここで、検出部２２２に含まれる単一光子検出器の暗電流カウント等が無視でき、検出部２２２での検出イベントが、全て光子検出である場合を考える。
【００６６】
ここでは、量子チャンネル１０００での損失をα、検出部２２２での検出効率をηとする。また、サンプル数（タイムスロットの数）をｎ／Ｍ（ｎは１以上の整数）とし、このタイムスロットｎ／Ｍ個に対応する時間での検出イベントを考える。マーク率がＭであるため、送信時刻情報Ａの要素数はｎ（＝（ｎ／Ｍ）×Ｍ）となる。
【００６７】
一方、検出部２２２での検出イベント数、すなわち、受信時刻情報Ｂの要素数の期待値は、以下の式（１）で与えられる。
【００６８】
【数１】
2019205144.tif 000003
【００６９】
検出部２２２での検出イベントが光子検出でのみ生じる場合を考えているので、検出イベントが発生するのはマーク状態の場合のみである。従って、送信時刻情報Ａと受信時刻情報Ｂを照合して得られる同時イベント回数の期待値もまた、上式（１）で与えられる。なお、ここでは、受信時刻情報Ｂと、第１時刻情報Ｂ１が同じであると仮定しているが、実際には、第１時刻情報Ｂ１は、受信時刻情報Ｂの一部である。従って、同時イベント回数の期待値は、受信時刻情報Ｂの要素数に対する、第１時刻情報Ｂ１の要素数の割合を乗算した値となる。
【００７０】
ここでは、上式（１）で与えられる同時イベント回数を基準にしてその近傍に閾値を設定し、同時イベント回数が閾値を超えたか否かを判断材料として認証を行う。
【００７１】
不正者のとりうる攻撃を考慮しながら、上記の閾値をいかにして設計するかについて説明する。古典的な攻撃方法としては、不正者が量子チャンネルや古典チャンネルへの攻撃無しに、自ら受信時刻情報ＢＥを用意して、その受信時刻情報を用いて識別認証を行う方法と、古典チャンネルにアクセスして得た暗号化情報ＰＳＫ＋Ｄから受信時刻情報Ｂを類推する方法が考えられる。
【００７２】
認証サーバ１０が１／Ｍビット分のうちどの１ビットをマーク状態にしたか、不正者が知りえないと仮定する。この仮定は乱数発生器１２２で発生する乱数が自然乱数的であるならば成り立つ。また、第１の認証システムでは、認証サーバ１０が１／Ｍビットのうちどのビットをマーク状態にしたかを正規なクライアントを含め第三者に教える必要はない。このため、不正者がどのビットがマーク状態であるかを知ることは極めて困難である。
【００７３】
そこで、不正者が、マーク状態の位置を自ら適当に決めて、識別認証を受けるための受信時刻情報ＢＥを作成したと考える。
【００７４】
１／Ｍビットのうち、不正者がマーク状態の位置を当てられる確率はＭである。ここで、不正者がマーク状態の位置を当てるために試行できる回数は、上式（１）で与えられる受信時刻情報Ｂの要素数分までである。なぜなら、システム設計から想定される以上の要素数の受信時刻情報Ｂがクライアント側装置２０から送られてきた場合、認証サーバ１０が不正を探知できるからである。
【００７５】
不正者が用意した受信時刻情報ＢＥによって得ることのできる同時イベント回数の期待値は、以下の式（２）で与えられる。
【００７６】
【数２】
2019205144.tif 000004
【００７７】
すなわち、不正者は、正規なクライアント側装置２０に対して、マーク率Ｍ（例えば、１／１００）程度の同時イベント回数しか得られない。
【００７８】
従って、同時イベント回数の閾値を上式（１）及び（２）の間に設定しておけば、認証サーバ１０は、閾値以下の同時イベント回数となる受信時刻情報Ｂを送ってきたクライアントは不正な利用者であると判別できる。
【００７９】
マーク率Ｍのランダム信号に対してマーク状態の時間位置を言い当てられる確率はＭである。そしてＮ（Ｎは、上式（１）で与えられる受信時刻情報Ｂの要素数）回試行を繰り返したとき、ｋ（ｋは、１≦ｋ≦Ｎを満たす整数）個分のマーク状態の時間位置を当てられる確率Ｐｒ（ｋ）は以下の式（３）で与えられる。
【００８０】
【数３】
2019205144.tif 000005
【００８１】
従って、ｋ個以上の同時イベント回数が与えられる累積確率は、以下の式（４）となる。
【００８２】
【数４】
2019205144.tif 000006
【００８３】
今仮にＭ＝０．１、Ｎ＝１００とする。この時、不正者は、２項分布の期待値ＮＭ＝１０に相当する同時イベント回数を得ることはできる。ここで、ｋ＝５７として、５７回以上の同時イベント回数を得る累積確率を、上式（４）を用いて計算すると、約４．５×１０−３１となる。これは、毎秒１×１０１５回の演算を行うスーパーコンピュータを使って全数検索しても、５７回以上の同時カウントを得られる時刻情報を見つけるのに約１億年かかることを意味する。
【００８４】
例えば、システム管理者が、正規な利用者又は不正者に対して、時刻情報の入力を数回程度しか許容しないならば、不正者が適した時刻情報を見つける前にシステム管理者に不正者と見破られてしまう。
【００８５】
すなわちこの場合、システム管理者は、同時イベント回数が５７回より小さくなる時刻情報ＢＥを送ってきた利用者は、１−４．５×１０−３１の確率で不正な利用者であると判別できる。
【００８６】
また認証サーバ１０は、送信時刻情報Ａをクライアント側装置２０に教える必要が無い。このため、各セッションにおいて送信時刻情報Ａを任意に変えることが可能である。この場合、不正者がセッション要求を繰り返し行っても、その都度、送信時刻情報Ａ及び受信時刻情報Ｂが変わるため、送信時刻情報Ａ又は受信時刻情報Ｂを類推することで同時イベント回数を増やすことはできない。
【００８７】
一方、同時イベント回数が５７より大きくなる受信時刻情報Ｂを送ってきた利用者は、認証サーバ１０が発生した微弱強度変調光を、正規な手順で受光した利用者であるとほぼ断定できる。従って同時イベント回数が閾値（上記でいうｋ）を超えたかどうかをもとに利用者の承認・否認を行うことができる。
【００８８】
Ｍを小さく、Ｎ、ｋを大きくすれば、上式（４）の累積確率を小さくすることができる。従って認証サーバ１０は、システムの要求するセキュリティレベルに応じて、Ｍ、Ｎ、ｋを柔軟に設定できる。
【００８９】
第１の認証システムでは、同時イベント回数が上記で設定したような閾値を超えたかどうかで認証を行う。従って不正者の行う攻撃とは、正規な同時イベント回数と同程度の同時イベント回数を得ることのできる受信時刻情報ＢＥを認証サーバ１０の有する判別部１４４に入力することである。その際の受信時刻情報ＢＥの要素数も上式（１）で規定される。上述のように、不正者が適当に用意した受信時刻情報ＢＥでは閾値を超えることは困難である。
【００９０】
次に、暗号化情報ＰＳＫ＋Ｄからの類推による攻撃を考える。不正者は古典チャンネル２０００を盗聴してそこを流れる暗号化情報ＰＳＫ＋Ｄを知ることはできる。しかしながらＰＳＫを知らない不正者は暗号化情報ＰＳＫ＋Ｄから受信時刻情報Ｂを知ることはできない。
【００９１】
この場合、不正者が自ら用意した事前共有鍵ＰＳＫＥで復号して得られるＢＥに対するＡとの同時検出回数は、先に述べた不正者が自ら用意した受信時刻情報ＢＥとの同時検出回数と同程度になると考えられる。すなわち、不正者は認証を受けることができない。
【００９２】
次に不正者が行う攻撃として、認証サーバ１０と検出部２２２の間の光路を狙った盗聴を考える。すなわち、正規なクライアントが取得する受信時刻情報Ｂを盗む攻撃である。
【００９３】
このような攻撃として一般的にワイヤタップ攻撃と呼ばれる中間者攻撃が知られている。図２を参照して、ワイヤタップ攻撃について説明する。図２は、ワイヤタップ攻撃を説明するための模式図である。不正者が、光分岐回路３２及び不正者端末３４を設けたとする。
【００９４】
ここで、量子チャンネル１０００を通過する光は、認証サーバ１０から出力されるときのマーク状態での平均光子数μが１より十分小さい値に設定されている。このため、量子チャンネル１０００を通過する光は、単一光子レベルの光である。光子はそれ以上に分割できないため、光分岐回路３２に入力された光子は、光分岐回路３２の一方の出力端を出力しクライアント側装置２０に設けられた検出部２２２で受光されるか、他方の出力端を通過し不正者が設けた不正者端末３４の単一光子検出器で受光されるかのどちらか一方でしかない。
【００９５】
結果として、このケースは、光分岐回路３２の有する分岐比で決まる損失を、正規な利用者と不正者の両者に与えていることと等価である。損失があれば同時イベント回数が減少するため、承認情報を与える閾値ｋを高めに設定しておけば、正規な利用者、不正者のいずれか一方が必ず否認される。
【００９６】
また、光子がクライアント及び不正者のいずれか一方でしか受信されないため、そもそもこの過程で不正者が得る受信時刻情報ＢＥは、クライアントが得る受信時刻情報Ｂとは相関がない。もっと単純には、ワイヤタップ攻撃などによる損失があれば受け取る受信時刻情報Ｂの要素数が減る。このため、同時イベント回数をテストすることなしに、受信時刻情報Ｂの要素数の減少により不正者の攻撃を探知できる。
【００９７】
一方、不正者が、損失を穴埋めするために別の光源を用意して、それからの光子を正規な利用者に送ることが考える。ここで、増やせる光子数の上限は、上式（１）で与えられる受信時刻情報Ｂの要素数分までである。光子数がそれ以上になると、正規なクライアント側装置２０にやはり不正を探知されてしまう。
【００９８】
しかし、不正者が上限未満の光子数を発生させて穴埋めしたとしても、不正者が発生させた光子は、送信時刻情報Ａと何ら時間相関がない。従って、不正者が発生させた光子により増やせる同時イベント回数は、上式（３）で与えられる２項分布の期待値程度であり、閾値を超えるほどには増やせない。
【００９９】
次に、ｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃と呼ばれる、不正者が量子チャンネル１０００を通過する光子をいったん全て受信する攻撃を考える。この際、不正者は正規なクライアントにも光子を送らなければクライアントに不正を探知されてしまうのでクライアントにも光子を送る。
【０１００】
このｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃により、不正者は本来クライアントが受信するべき受信時刻情報Ｂを完全に取得し得たとする。不正者は古典チャンネル２０００に対する攻撃により、クライアントが認証サーバ側に送信する暗号化情報ＰＳＫ＋Ｄを知り、自らの持つ受信時刻情報ＢＥと照合することで、正規のＰＳＫやＤを類推する。
【０１０１】
ここで、不正者が得た受信時刻情報ＢＥは、認証サーバが持つ送信時刻情報Ａとの間で閾値を超える同時検出数を得ることができる。しかし、不正者はＰＳＫを知らないため、不正者が用意した不正なＰＳＫＥを使って暗号化された暗号化情報ＰＳＫＥ＋ＤＥを復号した認証サーバは、受信時刻情報Ｂを正しく復元できない、つまり、不正者は、送信時刻情報Ａとの間で閾値を超える同時検出数を得ることができるが、“復号後に”送信時刻情報Ａとの間で閾値を超える同時検出数を得ることができる“暗号化された”受信時刻情報を用意することができない。この結果、不正者は認証を受けることができない。
【０１０２】
不正者にとって最も望ましい攻撃は、ｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃で得た受信時刻情報ＢＥとクライアントが得る受信時刻情報Ｂを完全に一致させる攻撃である。このとき、不正者は、正規の全情報Ｄを知ることが可能であり、古典チャンネル２０００から得た暗号化情報ＰＳＫ＋Ｄから正規なＰＳＫを知ることができる。
【０１０３】
一方、ｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃で不正者が得た受信時刻情報ＢＥとクライアントが得る受信時刻情報Ｂが完全に一致しない場合、不正者が得た受信時刻情報ＢＥからクライアントが得る受信時刻情報Ｂについてある程度の情報が得られたとしてもあいまいさが残る。
【０１０４】
このあいまいさを情報理論的に表した情報量Ｈ（Ｂ｜ＢＥ）（単位：ビット）により大きい下限があるならば、クライアントは受信時刻情報Ｂに対して、Ｂの持つ情報量をＨ（Ｂ｜ＢＥ）の下限以下に圧縮した情報を作成することで、不正者など第三者の知らない秘密情報を得ることができる。このプロセスは、秘匿増幅と呼ばれ、その例が、非特許文献１又は２に開示されている。
【０１０５】
クライアントが光子を受信する確率は、各タイムスロット当たり、μαηＭである。すなわち、１／（μαηＭ）個のタイムスロットのうち、平均して１回の受信イベントが生じる。どのタイムスロットで光子が受信されるかは１／（μαηＭ）通りある。各タイムスロットでの受信確率が同じであるならば、受信時刻情報Ｂの各要素ｔｂｋは、−ｌｏｇ２（μαηＭ）ビット分の情報量を有することを意味する。
【０１０６】
不正者がｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃を行わない場合、不正者が得る受信時刻情報ＢＥはクライアントが得る受信時刻情報Ｂと相関が無い。このとき、Ｈ（Ｂ｜ＢＥ）＝−ｌｏｇ２（μαηＭ）となる。クライアントが得る受信時刻情報Ｂの各要素ｔｂｋは、そのまま、−ｌｏｇ２（μαηＭ）ビット分の秘密情報となる。
【０１０７】
一方、不正者がｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃を行なった場合において、不正者が得る受信時刻情報ＢＥが、クライアントが得る受信時刻情報Ｂと完全に一致する場合、Ｈ（Ｂ｜ＢＥ）＝０となり、不正者は正規の全情報Ｄを知ることができ、正規のＰＳＫを知ることができる。このとき、クライアントは秘匿増幅による秘密情報を得ることができない。
【０１０８】
ここで、不正者がタイムスロット当たり平均光子数μＥの光子を送信するとする。不正者からクライアントまでの伝送損失をαＢとすると、検出部２２２内の単一光子検出器に届く時の平均光子数は高々μＥαＢである。ここでは、簡単のため、装置内での損失は無視している。単一光子検出装置の実際上の光子検出確率がη０であるとし、受信確率Ｓが、光子検出確率と入力平均光子数の積に比例するとすれば、このときのタイムスロット当たりの受信確率Ｓ０＝μＥαＢη０となる。ここで受信確率は、単一光子検出装置において受信イベントが発生する確率であり、光子検出確率は、光子１個当たりに受信イベントが発生する確率である。
【０１０９】
一方、単一光子検出装置の実際上の光子検出確率がη１のときのタイムスロット当たりの受信確率Ｓ１はμＥαＢη１となる。Ｓ０＝μＥαＢη０及びＳ１＝μＥαＢη１の関係から、Ｓ０／η０＝Ｓ１／η１となる。すなわち、この場合、単一光子検出装置の実際上の光子検出確率ηｋとタイムスロット当たりの受信確率Ｓｋとは比例関係となる。総検出回数は、上記の受信確率Ｓｋに単位時間内でのマーク状態の光を送った回数を乗じたものであるから、単位時間内に受信イベントが生じる回数は実際上の光子検出確率ηｋに比例することになる。また、受信時刻情報Ｂの要素数と受信確率を同じＳで表す。
【０１１０】
一方、上述のようなＳ＝μαηの比例関係は、一般的な単一光子検出器では成り立たない。これは、一般的に単一光子検出器の内部量子効率は１００％よりも小さく、実際のデバイスとしてはせいぜい４０％程度であることから、入力された光子数を知ることはできないためである。従って、一般的な単一光子検出器の動作は、最終的な（電気）出力に適当な閾値（Ｉｔｈ）を設けて、電気出力がＩｔｈ以上の時は信号検出、それ以下の時は信号検出なしの判別を行う、いわゆるスレショルド型検出器の動作を行う。
【０１１１】
このようなスレショルド型検出器においてタイムスロット当たりの受信確率Ｓは入力光の平均光子数をμ、単一光子検出器の光子検出確率をηとして以下の式（５）で与えられる。
【０１１２】
Ｓ＝１−ｅ−μη（５）
不正者にとって最も望ましい攻撃は、上述のように不正者の送った光子を全てクライアントが受信する攻撃である。この攻撃は式（５）のＳを１にする攻撃である。
【０１１３】
不正者はクライアントの持つ単一光子検出装置の光子検出確率η０及びη１を制御できないため、μ＞＞１なる状況を作り出す。つまり、クライアントのもつ単一光子検出装置内の単一光子検出器に届く時の平均光子数μＥαＢが１より十分大きくなるように、μＥ＞＞１の光を送信する。
【０１１４】
このとき、上式（５）から受信確率Ｓは単一光子検出器の光子検出確率ηに比例しない。クライアントが、不正者にわからないように単一光子検出装置の実際上の光子検出確率ηを、例えば、η０、η１の２通りにランダムに変化させた場合、μＥαＢ＞＞１であるならば、Ｓ０／η０、Ｓ１／η１を計算したとき、Ｓ０／η０＝Ｓ１／η１が成立しなくなる。すなわち、Ｓｋ／ηｋの値が単一光子検出装置の実際上の光子検出確率ηによって変化するかどうかを検証することで、クライアントは送られてきた光が、μＥαＢ＞＞１であるか否か、すなわち、不正者の攻撃を受けているか否かを検証できる。
【０１１５】
不正者の攻撃を受けていない、あるいは受けていてもμＥαＢ＜＜１である場合、タイムスロット当たりの受信確率Ｓ０及びＳ１はＳ０＝μＥαＢη０及びＳ１＝μＥαＢη１である。光子が受信されるかどうかはランダムなため、これは、それぞれのケースにおいて不正者がクライアントの受信時刻情報Ｂに対して、以下の式（６ａ）及び（６ｂ）で表される曖昧さを持つことを示している。
【０１１６】
Ｈ（Ｂ｜ＢＥ）＝−ｌｏｇ２（μＥαＢη０）   （６ａ）
Ｈ（Ｂ｜ＢＥ）＝−ｌｏｇ２（μＥαＢη１）   （６ｂ）
ここでη０、η１≦ηＢでありμＥαＢ＜＜１であるとき、以下の式（７）の関係がある。
【０１１７】
Ｈ（Ｂ｜ＢＥ）≧−ｌｏｇ２（ηＢ）    （７）
このとき、Ｈ（Ｂ｜ＢＥ）は下限値−ｌｏｇ２（ηＢ）をもつため、受信時刻情報Ｂの各要素ｔｂｋを−ｌｏｇ２（ηＢ）ビット以下まで秘匿増幅して圧縮して得られた情報ｑｋは、クライアント以外の第三者にはわからない秘密情報（秘密鍵）となる。
【０１１８】
図３を参照して、上記の実証実験について説明する。図３は、実証実験の結果を示す図である。図３（Ａ）は、受信確率Ｓ０の入力光平均光子数依存性を示す図であり、横軸に平均光子数を取り、縦軸に受信確率Ｓ０と取って示している。また、図３（Ｂ）は、Ｓ０／Ｓ１の入力光平均光子数依存性を示す図であり、横軸に平均光子数を取り、縦軸にＳ０／Ｓ１を取って示している。
【０１１９】
実験に用いたのは、米国プリンストン・ライトウェーブ社製のｇａｔｅｄガイガーモード動作ＩｎＧａＡｓ／ＩｎＰ−ＡＰＤ単一光子検出器（型番：ＰＧＡ−６００ＨＳＵ）である。
【０１２０】
ゲート周波数を４０ＭＨｚ、光子検出確率ηＢを２５％、暗電流検出レートを４．０×１０−６／ｇａｔｅとして、単一光子検出器に、中心波長１５５０ｎｍ、パルス幅約７５ｐｓの光パルス列を、繰り返し周波数２０ＭＨｚ及び４０ｋＨｚで入力し、各光パルスあたりの平均光子数を変えた時の受信確率Ｓ０を測定した。このとき、入力端に光減衰器を配置せず、透過率Ｔ０（＝１００％）での受信確率Ｓ０を測定している。なお、繰り返し周波数２０ＭＨｚ及び４０ｋＨｚは、本発明を実施するにあたり、それぞれマーク率Ｍ＝１／２、１／１０００の光パルスを単一光子検出装置に入力した条件に相当する。
【０１２１】
また、入力端に透過率Ｔ１（＝５０％）の光減衰器を配置し、このときの受信確率Ｓ１を測定し、Ｓ０／Ｓ１比を計算した。
【０１２２】
光減衰器を配置しない構成（透過率Ｔ０＝１００％）と、光減衰器を配置した構成（透過率Ｔ１＝５０％）はそれぞれ単一光子検出装置の実際上の光子検出確率をη０＝２５％と、η１＝１２．５％に設定した条件に相当する。光減衰器の透過率をランダムに変調した場合、本発明で利用される単一光子検出装置を模擬した構成となっている。
【０１２３】
図３中の破線は、上式（５）から計算した理論曲線を示す。また、□は入力光パルスの繰り返し周波数が２０ＭＨｚの場合、△は入力光パルスの繰り返し周波数が４０ｋＨｚの場合の実験結果である。
【０１２４】
図３（Ａ）に示されるように、入力光平均光子数が十分低い場合（およそ０．２  以下の場合）、Ｓ０は入力平均光子数にほぼ比例している。入力平均光子数がおよそ１０−４以下である場合、実験値が理論値より大きいのは単一光子検出器の暗電流検出の影響によるものである。
【０１２５】
一方、入力光平均光子数が大きくなるとＳ０は飽和し、１に漸近していく。繰り返し周波数が４０ｋＨｚの場合の実験結果は理論値とほぼ一致するが、繰り返し周波数が２０ＭＨｚの場合の実験結果は理論値より小さい。これは単一光子検出器で生じるクエンチング効果や測定装置の計測不能時間（ｄｅａｄｔｉｍｅ）の影響によるものである。
【０１２６】
図３（Ｂ）に示されるように、Ｓ０／Ｓ１は入力光平均光子数が十分低い場合（およそ０．１以下の場合）、ほぼ２であり、η０／η１（＝Ｔ０／Ｔ１）に一致する。すなわち、Ｓ０／η０＝Ｓ１／η１が成立する。一方、入力光平均光子数が大きくなると２より低下していくことがわかる。繰り返し周波数が４０ｋＨｚの場合の実験結果は上式（５）で得られる理論値とほぼ一致する。一方、繰り返し周波数が２０ＭＨｚの場合は低減率がさらに大きい。これも、クエンチング等の影響によるものであり、入力光平均光子数が高くなるほどクエンチング等の影響が大きくなることによる。
【０１２７】
図３の結果から、Ｓを１に近づける、すなわち、平均光子数を１より十分大きくすると、Ｓ０／Ｓ１が理想値２より小さくなり、Ｓ０／η０＝Ｓ１／η１が成立しない。したがって不正者の攻撃を探知できることがわかる。
【０１２８】
図３に示す実験結果から、例えば入力光平均光子数が１の時、Ｓ０＝０．２２、及びＳ０／Ｓ１＝１．８８２であることがわかる。従って、Ｓ０／Ｓ１≧１．８８２を判別条件にすればクライアントは入力光平均光子数が１以下であることを探知できる。このとき、ｔｂｋの情報量を−ｌｏｇ２（０．２２）≒２．１８ビット程度まで秘匿増幅すれば、秘匿増幅後の情報ｑｋは秘密情報となる。入力光平均光子数が１の時のＳ０値はη０に依存するが、η０≦ηＢならばＳ０≦ηＢである。すなわち、ｔｂｋの情報量を−ｌｏｇ２（ηＢ）ビット程度まで秘匿増幅すれば、秘匿増幅後の情報ｑｋは秘密情報となる。
【０１２９】
また、繰り返し周波数が４０ｋＨｚの場合、Ｓ０＝０．５であるとき、Ｓ０／Ｓ１は約１．７である。従って、Ｓ０／Ｓ１≧１．７を判別条件にすれば、Ｓ０≦０．５であることを探知できる。このとき、ｔｂｋの情報量を−ｌｏｇ２（０．５）＝１ビット程度まで秘匿増幅すれば、秘匿増幅後の情報ｑｋは秘密情報となる。
【０１３０】
なお、Ｓ０／Ｓ１等の判別条件は、η０、η１の組み合わせによっても変化する。例えばη０／η１＝４であるとき、平均光子数が１より十分小さい時のＳ０／Ｓ１は４になる。このように、Ｓ０／Ｓ１等の判別条件は設計的事項であり、秘匿増幅後の情報ｑｋの情報量もそれによって変化する。例えばη０／η１＝４のとき、入力光平均光子数が１以下である判別式はＳ０／Ｓ１≧３．６５となり、その理想値からのずれは、η０／η１＝２とした時よりもより高い精度で判別できる。  
【０１３１】
平均光子数が１より十分小さい時と判別されたとき、上述のようにＨ（Ｂ｜ＢＥ）≧−ｌｏｇ２（ηＢ）であるから、ｑｋの情報量として、少なくとも−ｌｏｇ２（ηＢ）程度は期待できる。
【０１３２】
なお、上記の秘匿増幅後の情報ｑｋの情報量は、Ｔ０＝１００％の時にクライアントで受信されるｔｂｋに対してのものであり、光子検出確率がその半分になるＴ１＝５０％の時のｑｋについての情報量はより大きくなる。
【０１３３】
いずれにしても、不正者が受信時刻情報Ｂについて完全な情報を得られるときには、Ｓ０／Ｓ１は２より十分小さくなる。そしてそれは、クライアントは認証サーバ等との間で何らの情報交換することなく、クライアント自身が探知することができる。また利用する判別式に応じて秘匿増幅後のｑｋの情報量を適宜調整すれば、秘匿増幅後の情報ｑｋは秘密情報となる。
【０１３４】
クライアントがＳ０／Ｓ１を計算することで不正者の存在の可能性を探知した場合、クライアントがそこでセッションを打ち切ることができる。この場合、暗号化情報ＰＳＫ＋Ｄは生成されず、古典チャンネル２０００から漏洩することもない。従って、不正者は正しい受信時刻情報Ｂを持つことができても正規なＰＳＫを類推することができない。
【０１３５】
なお単一光子検出装置の実際上の光子検出確率を２通りではなく、η０、η１、η２、…のように３個以上の乱数値で変調してもよい。この場合、入力光平均光子数が１より十分小さい場合、Ｓ０／η０＝Ｓ１／η１＝・・・＝Ｓｎ−１／ηｎ−１なる関係式を満足するため、これを判別条件に用いて、秘匿増幅により秘密鍵ｑｋを得ればよい。
【０１３６】
上記の議論をより一般化するために、単一光子検出器が暗電流雑音や雑音光子の検出など、認証サーバが送った光子とは無関係な検出イベントが存在する場合を考える。
【０１３７】
検出部２２２におけるタイムスロットあたりの暗電流カウント率をｄとする。また同様にタイムスロットあたりの雑音光子カウント率をμｎであるとする。これら暗電流雑音や雑音光子は、検出部２２２の各タイムスロットで等確率に検出されるとする。
【０１３８】
サンプル数（タイムスロットの数）をｎ／Ｍとすると、検出部２２２での検出イベント数（受信時刻情報Ｂの要素数）の期待値は、以下の式（８）で与えられる。
【０１３９】
【数５】
2019205144.tif 000007
【０１４０】
上式（８）の第１項は、微弱強度変調光を検出したイベントに相当する。このイベントは、全て乱数発生器１２２がマーク状態に設定されたときの検出イベントである。従って、これらは、全て同時検出イベントとして計数される。
【０１４１】
上式（８）の第２項は、暗電流雑音と雑音光子を検出したイベントに相当する。この第２項は、乱数発生器１２２の状態と相関がない。従って、同時検出イベントとして検出される回数の期待値は、上式（８）の第２項にマーク率Ｍをかけた値となる。
【０１４２】
この結果、正規なクライアント側装置２０が得る同時イベント回数は、以下の式（９）で与えられる。
【０１４３】
【数６】
2019205144.tif 000008
【０１４４】
一方、送信時刻情報Ａを知らない不正者が得ることができる同時イベント回数の期待値は、高々、上式（８）で与えられる受信時刻情報Ｂの要素数にマーク率Ｍを乗じた値であり、以下の式（１０）で与えられる。
【０１４５】
【数７】
2019205144.tif 000009
【０１４６】
暗電流雑音や雑音光子の存在により、同時イベント回数は正規なクライアント側装置２０、不正者端末３４ともに増加する。しかしその差分は、暗電流雑音や雑音光子が存在しない場合の上式（１）及び（２）によっても、暗電流雑音や雑音光子が存在する場合の上式（９）及び（１０）によっても、μαηｎ（１−Ｍ）のままで変わらない。
【０１４７】
認証サーバ１０は自身の設定値やクライアントの有する検出部２２２の検出効率、また量子チャンネル１０００での損失などからｎ、Ｍ、μ、α、ηを知ることができる。
【０１４８】
また、認証サーバ１０は受け取った受信時刻情報Ｂの要素数からｄ＋μｎを知ることができる。
【０１４９】
従って認証サーバは、上式（９）と上式（１０）の間の適当な値に閾値を設定し、認証プロセスを実行することで、また、先述した暗電流雑音や雑音光子の存在がない場合と同様な認証セッションを実行できる。
【０１５０】
さらにまた、上記のような暗電流雑音や雑音光子による検出イベントが生じる時間は、不正者が量子チャンネル１０００を攻撃したとしても知る事ができない。このことは、上式（７）の下限−ｌｏｇ２（ηＢ）がさらに増加すること意味する。すなわち、秘匿増幅により−ｌｏｇ２（ηＢ）ビットまで情報量を減衰させた秘密鍵Ｑは、上記のような暗電流雑音や雑音光子の存在があってもクライアント以外には知られない秘密鍵となっていることを意味する。
【０１５１】
（第１の単一光子検出装置の構成）
図４を参照して、この発明の第１の認証システムで用いられる単一光子検出装置の第１構成例（以下、第１の単一光子検出装置とも称する。）を説明する。図４は、第１の単一光子検出装置を説明する模式図である。
【０１５２】
第１の単一光子検出装置は、乱数発生器４２０、光強度変調器４１０、及び、単一光子検出器４３０を備えて構成される。
【０１５３】
乱数発生器４２０は、ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ−１以下の整数）と、この乱数値ｉを発生させた時刻を含む乱数ビット値情報Ｃを生成する。乱数ビット値情報Ｃは、光強度変調器４１０に送られる。
【０１５４】
光強度変調器４１０は、乱数値ｉによって定まる透過率Ｔｉで外部からの入力光を強度変調する。
【０１５５】
認証サーバからの微弱強度変調光は、光強度変調器４１０で強度変調されたのち、単一光子検出器４３０に送られる。単一光子検出器４３０は、単一光子を検出した時刻を受信時刻情報Ｂとして生成する。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１５６】
第１の単一光子検出装置の実際上の光子検出確率は、乱数発生器の発する乱数値によって、ランダムに変調されている。乱数発生器の発する乱数値を第三者に秘匿しておけば、不正者が乱数発生器の発する乱数値に応じて不正攻撃用の光パルスの強度を適宜設定し、上記のＳ０／η０、Ｓ１／η１を制御するのは不可能となる。
【０１５７】
（第２の単一光子検出装置の構成）
図５を参照して、この発明の第１の認証システムで用いられる単一光子検出装置の第２構成例（以下、第２の単一光子検出装置とも称する。）を説明する。図５は、第２の単一光子検出装置を説明する模式図である。
【０１５８】
第２の単一光子検出装置は、乱数発生器４２０、ゲート電圧生成部４５０、及び、単一光子検出器４３０を備えて構成される。
【０１５９】
乱数発生器４２０は、ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ−１以下の整数）と、この乱数値ｉを発生させた時刻を含む乱数ビット値情報Ｃを生成する。乱数ビット値情報Ｃは、ゲート電圧生成部４５０に送られる。
【０１６０】
ゲート電圧生成部４５０は、乱数値ｉによって定まる電圧値Ｖｉのゲート電圧を生成する。ゲート電圧生成部４５０は、例えば、変調電圧源４５２と定常電圧源４５４を備えて構成される。変調電圧源４５２は、乱数値ｉによって定まる変調電圧を生成し、定常電圧源４５４は、定常電圧を生成する。ゲート電圧生成部４５０は、変調電圧と定常電圧を加算してゲート電圧を生成する。このように、ゲート電圧は、乱数発生器４２０の乱数値ｉに基づいて変調される。ゲート電圧は、単一光子検出器４３０に送られる。
【０１６１】
ここで、変調電圧源４５２が発生する変調電圧が単一光子検出器４３０でブレークダウン電圧を超えるほど十分大きな値であるときは、定常電圧源４５４を省略し、変調電圧をそのままゲート電圧として用いてもよい。
【０１６２】
認証サーバからの微弱強度変調光は、単一光子検出器４３０に送られる。単一光子検出器４３０は、単一光子を検出した時刻を受信時刻情報Ｂとして生成する。Ｇａｔｅｄ  Ｇｅｉｇｅｒ  ｍｏｄｅ  ＡＰＤの検出効率ηは、印加電圧によって変化することが知られている。従って、ＡＰＤに印加されるゲート電圧Ｖｉが異なると、検出効率ηｉも異なる。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１６３】
第２の単一光子検出装置では、光強度変調器が不要なため、第１の単一光子検出装置よりも小型化することができる。
【０１６４】
（第３の単一光子検出装置の構成）
図６を参照して、この発明の第１の認証システムで用いられる単一光子検出装置の第３構成例（以下、第３の単一光子検出装置とも称する。）を説明する。図６は、第３の単一光子検出装置を説明する模式図である。
【０１６５】
第３の単一光子検出装置は、光分岐部４６０、第１の単一光子検出器４３１、第２の単一光子検出器４３２、及び、計数処理回路４４０を備えて構成される。
【０１６６】
光分岐部４６０は、認証サーバからの微弱強度変調光を２分岐して、第１及び第２の入力光を生成する。また、外部からの入力光に対して第１及び第２の入力光の強度の割合をそれぞれＴ１、Ｔ２とする。
【０１６７】
光分岐部４６０は、例えば、ハーフミラー、第１の光減衰器、第２の光減衰器を備えて構成される。この場合、外部からの入力光はハーフミラーで２分岐されて、一方は透過率Ｔ１の第１の光減衰器を経て、第１の入力光として出力され、他方は透過率Ｔ２の第２の光減衰器を経て、第２の入力光として出力される。第１及び第２の入力光は、それぞれ、第１及び第２の単一光子検出装置に送られる。なお、Ｔ１＝１の場合は、第１の光減衰器を備えない構成にすることができる。
【０１６８】
第１の単一光子検出器４３１は、入力された第１の入力光について、単一光子を検出した時刻を第１の受信情報として生成する。また、第２の単一光子検出器４３２は、入力された第２の入力光について、単一光子を検出した時刻を第２の受信情報として生成する。
【０１６９】
計数処理回路４４０は、第１の受信情報及び第２の受信情報の和集合を受信時刻情報Ｂとして生成する。また、第１の単一光子検出器４３１及び第２の単一光子検出器４３２のいずれで受信したかの情報を乱数ビット値情報Ｃとして生成する。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１７０】
第３の単一光子検出装置では、乱数発生器を備えておらず、ハーフミラーなど受動素子で構成される光分岐部の動作により自然乱数的に透過率を選択できる。このため、より安全なシステム構成を実現できる。
【０１７１】
（第４の単一光子検出装置の構成）
図７を参照して、この発明の第１の認証システムで用いられる単一光子検出装置の第４構成例（以下、第４の単一光子検出装置とも称する。）を説明する。図７は、第４の単一光子検出装置を説明する模式図である。
【０１７２】
第４の単一光子検出装置は、光分岐部４６０、単一光子検出器４３０、光遅延器４７０及び光合波部４８０を備えて構成される。
【０１７３】
光分岐部４６０は、周期Δｔのパルス状の、認証サーバからの微弱強度変調光を２分岐して、第１及び第２の入力光を生成する。また、認証サーバからの微弱強度変調光に対して第１及び第２の入力光の強度の割合をそれぞれＴ１、Ｔ２とする。
【０１７４】
光分岐部４６０は、第３の単一光子検出装置の光分岐部と同様に構成することができるので、重複する説明を省略する。
【０１７５】
第１の入力光は光合波部４８０に送られ、第２の入力光は光遅延器４７０で所定の遅延を受けた後、光合波部４８０に送られる。光合波部４８０は、第１の入力光及び第２の入力光を合波して、入力合波光を生成する。光合波部４８０は、例えば、ハーフミラーで構成される。なお、光遅延器４７０は、光合波部４８０で合波される第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与えるように、第２の入力光に遅延を与える。
【０１７６】
単一光子検出器４３０は、入力合波光が入力され、単一光子を検出した時刻を受信時刻情報Ｂとして生成する。また、幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロットと偶数番目の時間スロットのいずれで受信したかの情報を乱数ビット値情報Ｃとして生成する。受信時刻情報Ｂ及び乱数ビット値情報Ｃは、第２の記憶媒体に書き込まれる。
【０１７７】
第４の単一光子検出装置では、１つの単一光子検出器を備える構成で第３の単一光子検出器と同様の効果を達成できる。
【０１７８】
また、第４の単一光子検出装置では、単一光子検出器又は第２の記憶媒体における不感時間（ｄｅａｄｔｉｍｅ）が存在する場合、入力平均光子数が１より十分小さいか否かの判別が、さらに簡易、かつ、正確になる利点がある。ここで不感時間は、単一光子検出器４３０において生じるクエンチングの回復時間や、また第２の記憶媒体に受信時間ｔｂｋを書き込むための回路（受信時間取得回路）における不感時間によるものである。本件で必要とされる受信時間取得回路としては、一般にｔｉｍｅ−ａｍｐｌｉｔｕｄｅ  ｃｏｎｖｅｒｔｏｒ（ＴＡＣ）もしくはｔｉｍｅ  ｉｎｔｅｒｖａｌ  ａｎａｌｙｚｅｒ（ＴＩＡ）と呼ばれる回路が利用される。市販されている装置（例えば、独Ｂｅｃｋｅｒ  ａｎｄ  Ｈｉｃｋｌ社、型番：ＳＰＣ−１３０）においては約１００ｎｓ程度の不感時間があることが知られている。
【０１７９】
一般化のために、時間遅延を受けていない光子に対しての実際上の光子検出確率がη０＝Ｔ０ηＢ、タイムスロット当たりの受信確率がＳ０であるとする。また、Δｔ／２の時間遅延を受けている光子に対しての実際上の光子検出確率がη１＝Ｔ１ηＢ、タイムスロット当たりの受信確率がＳ１であるとする。この場合、Ｓ０は単一光子検出器４３０に先に到達する光子に対しての受信確率であり、Ｓ１は単一光子検出器４３０に後に到達する光子に対しての受信確率である。
【０１８０】
今、不感時間がΔｔより十分大きいとする。このとき、第１の入力光が受信されるのに連続して第２の入力光が受信されることはない。従ってこの場合、Ｓ０及びＳ１は以下の式（１１ａ）及び（１１ｂ）で与えられる。
【０１８１】
Ｓ０＝１−ｅ−μＴ０ηＢ                  （１１ａ）
Ｓ１＝（１−Ｓ０）（１−ｅ−μＴ０ηＢ）  （１１ｂ）
Ｔ０＝１、Ｔ１＝０．５又はＴ０＝０．５、Ｔ１＝１としてＳ０／Ｓ１を計算し、これを不感時間が影響しない場合と比較した結果を図８に示す。図８では、横軸に平均光子数を取り、縦軸にＳ０／Ｓ１を取って示している。
【０１８２】
ここではηＢ＝０．２０として計算を行った。またＴ０＝０．５、Ｔ１＝１の場合、Ｓ０／Ｓ１は、Ｔ１＝１の場合の受信確率をＳ０、Ｔ０＝０．５の場合の受信確率をＳ１と読み替えて計算している。
【０１８３】
μが十分小さいときにはこれら３つの条件に違いはなく、いずれの条件でも、Ｓ０／Ｓ１＝２である。
【０１８４】
一方、μが大きくなると違いが生じる。例えばμ＝１であるとき、不感時間を考慮しないときのＳ０／Ｓ１は約１．９０であるのに対し、Ｔ０＝１、Ｔ０＝０．５である場合にはこれが２．３３に増加し、Ｔ０＝０．５，Ｔ１＝１の場合には１．７２へと減少する。
【０１８５】
これは、上式（１１ｂ）に示されるように、先頭する光子での受信確率Ｓ０が高まる分、後続する光子への受信確率Ｓ１が低下するためである。つまり、第４の単一光子検出装置で装置不感時間より短く遅延時間Δｔ／２を設定することで、入力光平均光子数が１より十分小さいかの判別がより容易に、かつ正確になる。
【０１８６】
なお、第１、第３及び第４の単一光子検出装置において用いられる、光強度変調器や光分岐部、ハーフミラーの動作は一般的に波長依存性を持つことが予想される。例えば第３の単一光子検出装置において、不正者がｉｎｔｅｒｃｅｐｔ／ｒｅｓｅｎｄ攻撃を行うときに、ある時には光分岐回路の一方のポートからのみ出力される波長の光を入力し、また、別の時には他方のポートからのみ出力される波長の光を入力することで、クライアントの取得する受信時刻情報Ｂを制御する攻撃が考えられる。
【０１８７】
このような攻撃に対しては、単一光子検出装置の入力端に、システムの想定する波長の光のみを透過するバンドパスフィルタを挿入することで上記のような攻撃を回避できる。
【０１８８】
（第２の認証システム）
図９を参照して、この発明の認証システムの第２の実施形態（以下、第２の認証システムと称する。）について説明する。図９は、第２の認証システムの模式図である。
【０１８９】
第２の認証システムは、クライアント側装置２０がｍ個設けられている点、及び、認証サーバが、１入力ｍ出力の光分配部１８、及び、ｍ個の認証判別部１４０を備える点が、第１の認証システムと異なっている。なお、ｍは２以上の整数であるが、ここでは、ｍ＝３の例を説明する。
【０１９０】
それぞれのクライアント側装置２０の構成と、認証サーバが備える送信情報記憶部１２０及びそれぞれの認証判別部１４０の構成は、第１の認証システムと同様なので、説明を省略する。また、ｍ個のクライアント側装置２０と、ｍ個の認証判別部１４０は、一対一に対応して設けられており、その関係は、第１の認証システムと同様であるので、詳細な説明を省略する。
【０１９１】
光分配部１８は、微弱強度変調光源１３１からの微弱強度変調光を受け入れて空間的にｍ分岐して出力する。光分配部１８のいずれかの出力端から出力された光子は、出力端に一対一に対応するクライアント側装置２０に送られる。ここで、光子は分割できないため、光分配部１８に入力された光子は、第１〜ｍの出力端のいずれかにのみ出力される。
【０１９２】
光分配部１８としては、具体的には例えば１×ｍ型の光スイッチを利用することができる。つまり認証要求があったクライアント側装置２０に向けてのみ光子が出力されるように、光スイッチによって経路を切り替える。
【０１９３】
一方、この方式では、複数のクライアント側装置２０から認証要求がある場合には対応できない。これに対応する一つの方法は、光分配部１８として１×ｍ型の光カプラを利用する方法である。この場合、光子は各クライアント側装置２０に向けて等確率に配布される。このため、同時イベント回数は原理的に１／ｍに減少するが、これを加味して承認・否認の閾値値や平均光子対数などを設計することは容易である。
【０１９４】
光分配部１８の３個の出力端はそれぞれ量子チャンネル１０００ａ〜１０００ｃに接続されており、それぞれの光路を通過した微弱強度変調光がクライアント側装置２０ａ〜２０ｃに送られる。
【０１９５】
光分配部１８のｍ個の出力端のそれぞれにおいてマーク状態での平均光子数が１より十分小さい値になるように、送信情報記憶部１２０の光減衰器１３６で光強度が調整されている。ここでは、ｍ個の出力端のそれぞれにおけるマーク状態での平均光子数をμ（＜１）とする。この値は出力端によってばらつきがあっても発明の効果に変化はない。
【０１９６】
各クライアント側装置２０から見れば、受信する光は、第１の認証システムと同様に、マーク率Ｍ、マーク状態での平均光子数μである微弱強度変調光である。従って各クライアント側装置２０は、第１の認証システムと同様に構成することができる。
【０１９７】
次に、それぞれのクライアント側装置２０が認証サーバ１１と共有する受信時刻情報Ｂａ〜Ｂｃの間の相関関係はどのようになっているかを考える。
【０１９８】
よく知られているように、レーザ光の量子力学的状態はコヒーレント状態で表わされる。そしてコヒーレント状態をビームスプリッタで分岐した後の出力状態は、それぞれの出力端のコヒーレント状態の直積となることもよく知られている。
【０１９９】
ｍ分岐の光分配部１８はビームスプリッタを複数個結合した回路と等価である。従って、光分配部１８の出力状態は、ｍ個の出力端のコヒーレント状態の直積状態となる。直積状態とは個々の量子状態に相関がないことを意味する。このことは、光分配部１８の複数の出力端に対する測定結果には、互いに相関がないことを意味している。
【０２００】
すなわち、光強度変調器１３４における送信時刻情報Ａが同じであっても、各クライアント側装置２０ａ〜２０ｃが受信する受信時刻情報Ｂａ〜Ｂｃは互いに異なり、そして相関がない。
【０２０１】
従って、各クライアント側装置２０ａ〜２０ｃと認証サーバ１１が共有する事前共通鍵ＰＳＫａ〜ＰＳＫｃが互いに異っており、他のクライアント側装置２０に知られていなければ、各クライアント側装置２０は他のクライアント側装置２０が認証サーバ１１と共有した受信時刻情報Ｂを知ることができない。
【０２０２】
その結果、認証サーバ１１は個々のクライアント側装置２０ａ〜２０ｃを個別に認証できる。かつ各クライアント側装置２０が他のクライアント側装置２０になりすますことができない。
【０２０３】
またｍ個の出力端のそれぞれにおけるマーク状態での平均光子数にばらつきがあっても、光分配部１８の出力状態がｍ個の出力端のコヒーレント状態の直積状態となることには変わりがない。ゆえにこの分岐比が予めわかっていれば、それを考慮した閾値設定を行えばよいだけで、発明の効果に影響はない。
【符号の説明】
【０２０４】
１０、１１    認証サーバ
２０      クライアント側装置
１２０    送信情報記憶部
１２２    乱数発生器
１２４    第１の記憶媒体
１３１    微弱強度変調光源
１３２    レーザ光源
１３４    光強度変調器
１３６    光減衰器
１４０    認証判別部
１４２    第１の読込部
１４４    判別部
１４６    復号化部
２２２    検出部
２２４    第２の記憶媒体
２４２    第２の読込部
２４４    照合部
２４５    秘匿増幅部
２４６    暗号化部
４１０    光強度変調器
４２０    乱数発生器    
４３０、４３１、４３２    単一光子検出器
４４０    計数処理回路    
４５０    ゲート電圧生成部
４５２    変調電圧源
４５４    定常電圧源
４６０    光分岐部
４７０    光遅延器
４８０    光合波部
【図１】
2019205144.tif 000010
【図２】
2019205144.tif 000011
【図３】
2019205144.tif 000012
【図４】
2019205144.tif 000013
【図５】
2019205144.tif 000014
【図６】
2019205144.tif 000015
【図７】
2019205144.tif 000016
【図８】
2019205144.tif 000017
【図９】
2019205144.tif 000018