(57)【要約】【課題】量子キー配送（ＱＫＤ）のキーバンキング方法とシステムについて開示する。【解決手段】本発明の方法は、２つのＱＫＤステーション（ボブ、アリス）間で真の量子パルス（８２）を交換することに関連した、完全に安全なキー（Ｋ１）を格納するプライマリキーバンク（５０）を確立することを含む。本方法は、また、ボブおよびアリス間で比較的強い量子パルス（８４）を交換することに関連した、完全に安全とはいえないキー（Ｋ２）を格納するセカンダリキーバンク（５２）を確立することを含む。プライマリキーは認証などのような最高に高い安全性を要求される選択されたアプリケーションに用いられ、一方、セカンダリキーは暗号化ビットシフティングなどのような完全な安全性を要求しないアプリケーションに用いられる。２つのキーバンクを有するアーキテクチャの利点は、プライマリおよびセカンダリキーを交換することで、プライマリキーが安全に配送され得る距離を実際に大きくすることができる点がある。
2008500774.tif 000002
【特許請求の範囲】
【請求項１】
ＱＫＤシステムにおいてキーを交換する方法であって、
平均光子数μ１を有する弱いパルスを用いて、第１および第２ＱＫＤステーション間で第１キーを交換し、
各前記第１および前記第２ＱＫＤステーションにおける各プライマリキーバンクに前記第１キーを格納し、
平均光子数μ２＞μ１を有する強いパルスを用いて、前記第１および前記第２ＱＫＤステーション間で第２キーを交換し、
各前記第１および前記第２ＱＫＤステーションにおける各セカンダリキーバンクに前記第２キーを格納する、
キー交換方法。
【請求項２】
前記第１ＱＫＤステーションの前記プライマリキーバンクからの前記第１キーを用いて第１アプリケーションを暗号化し、
前記第１ＱＫＤステーションの前記セカンダリキーバンクからの前記第２キーを用いて第２アプリケーションを暗号化する、
請求項１に記載の方法。
【請求項３】
キーマネジメントシステムを用いて前記第１および前記第２アプリケーションを対応するキーに関連付けすることによって、前記第１および前記第２アプリケーションを暗号化する、
請求項２に記載の方法。
【請求項４】
各前記ＱＫＤステーションにおける各前記プライマリおよび前記セカンダリキーバンクへの前記第１および前記第２キーの格納は、前記第１および前記第２キーを各々のタグに関連付けすることを含み、
前記タグは、前記キーが格納される前記キーバンクを示す、
請求項１に記載の方法。
【請求項５】
前記第１および前記第２キーに対して、別個にシフティングおよびエラー修正を実行する、
請求項１に記載の方法。
【請求項６】
前記第１および前記第２キーを、各前記ＱＫＤステーションにおける前記プライマリおよび前記セカンダリキーバンクに事前に格納し、
前記交換された前記弱いおよび前記強いパルスに対応するビットを、対応する前記各ＱＫＤステーションにおけるプライマリおよびセカンダリバッファにセットし、前記プライマリおよび前記セカンダリバッファは、各前記ＱＫＤステーションにおける各前記プライマリおよび前記セカンダリキーバンクに連結されている、
請求項１に記載の方法。
【請求項７】
前記第１ＱＫＤステーションにおいて、
光減衰レベルを変動させることが可能な電界吸収変調器を介して、光源から光パルスを通過させることによって、前記弱いおよび前記強いパルスを形成し、
前記電界吸収変調器の前記減衰レベルをランダムに変動させる、
請求項１に記載の方法。
【請求項８】
各前記弱いおよび前記強いパルスを、前記パルスの強度を示す対応するタグに関連付けし、
前記対応するタグに基づいて、前記交換された前記弱いおよび前記強いパルスに関連付けられたビットを各前記ＱＫＤステーションにおける対応するバッファにセットする、
請求項１に記載の方法。
【請求項９】
ＱＫＤシステムの第１ステーションであって、
光レイヤと、
前記光レイヤに連結されたコントローラと、を備え、
前記コントローラは、第２ＱＫＤステーションと弱いおよび強いパルスを交換することから形成されたプライマリおよびセカンダリキーを格納するように調整されたプライマリおよびセカンダリキーバンクと、前記プライマリおよび前記セカンダリキーバンクに連結され、かつ情報を暗号化および復号化するために、前記プライマリおよび前記セカンダリキーバンクのいずれかからのキーを用いるように調整された暗号化／復号化（ｅ／ｄ）エンジンと、を有する、
第１ステーション。
【請求項１０】
前記コントローラは、前記情報の種類に基づいて前記プライマリおよび前記セカンダリキーバンクからのキーを前記ｅ／ｄエンジンに割り当てるように調整されたキーマネジメントシステムをさらに有する、
請求項９に記載のステーション。
【請求項１１】
前記第１ＱＫＤステーションおよび前記第２ＱＫＤステーション間で交換された弱いおよび強いビットを各々格納するための、前記プライマリおよび前記セカンダリキーバンクに各々連結されたプライマリおよびセカンダリバッファをさらに備える、
請求項９に記載のステーション。
【請求項１２】
前記光レイヤは、
電界吸収変調器（ＥＡＭ）と、
前記ＥＡＭおよび前記コントローラに連結された第１乱数生成器（ＲＮＧ）と、を有する、
請求項９に記載のステーション。
【請求項１３】
前記光レイヤは、光軸に沿って順に、
光パルスを放出するように調整された光源と、
第１ＲＮＧに機能的に連結された位相変調器（ＰＭ）と、
第２ＲＮＧに機能的に連結された電界吸収変調器（ＥＡＭ）と、さらにを有し、
前記ＰＭおよび前記第１ＲＮＧは、選択されたＱＫＤプロトコルに従って前記光パルスにランダム位相を与えるように調整されており、
前記ＥＡＭおよび前記第２ＲＮＧは、変調された前記光パルスが量子チャネルに入る前に、前記変調された前記光パルスをランダムに減衰するように調整されている、
請求項９に記載のステーション。
【請求項１４】
第１および第２ＱＫＤステーションを接続する量子チャネル越しにキーを交換する方法であって、
前記第１ＱＫＤステーション（アリス）において、ＱＫＤプロトコルに従って光パルスを位相変調し、
弱いおよび強い光パルスを生成するために前記光パルスの減衰レベルをランダムに変化させ、
前記量子チャネル越しに前記第２ＱＫＤステーション（ボブ）に、前記弱いおよび前記強い光パルスを送信し、
前記ＱＫＤプロトコルに従って前記弱いおよび前記強い光パルスを位相変調し、
前記ボブおよび前記アリスに位置する各プライマリキーバンクにおいて、前記弱い光パルスに関連付けられたビットを格納し、
前記ボブおよび前記アリスに位置する各セカンダリキーバンクにおいて、前記強い光パルスに関連付けられたビットを格納する、
キー交換方法。
【請求項１５】
前記アリスおよび前記ボブの両方において、さらに、
弱いおよび強いビットを、各前記プライマリおよび前記セカンダリキーバンクに連結された対応するプライマリおよびセカンダリバッファに格納し、
前記プライマリおよび前記セカンダリバッファに格納された前記ビットを処理し、
対応する前記プライマリおよび前記セカンダリキーバンクに前記処理されたビットを提供する、
請求項１４に記載の方法。
【請求項１６】
前記光パルスの前記減衰レベルをランダムに変化させることは、第１平均光子カウントμ１および第２平均光子カウントμ２（μ１＜μ２）間の前記光パルスの強度を変化させることを含む、
請求項１４に記載の方法。
【請求項１７】
前記第１平均光子カウントμ１は、パルス当たり約０．１フォトンであり、前記第２平均光子カウントμ２は、パルス当たり約１フォトンである、
請求項１６に記載の方法。
【請求項１８】
前記アリスは、前記量子チャネル越しに送信された各前記光パルスの前記強度についての情報を前記ボブに送信する、
請求項１４に記載の方法。
【請求項１９】
前記ビットを対応する前記プライマリおよび前記セカンダリキーバンクへ送信する前に、交換されたビットについて、シフティング、エラー修正、およびプライバシ増幅を実行する、
請求項１４に記載の方法。
【請求項２０】
前記ビットを対応する前記プライマリおよび前記セカンダリキーバンクへ送信する前に、各弱いおよび強いビットのセットについて、シフティング、エラー修正、およびプライバシ増幅を実行する、
請求項１４に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は量子暗号の分野に関連し、その分野において産業上の実用性を有する。特に、量子キー配送（ＱＫＤ）システムにおいてキーを生成、管理する先進的なシステムとその方法に関連し、その分野において産業上の実用性を有する。
【背景技術】
【０００２】
量子キー配送（ＱＫＤ）は、「量子チャネル」越しに送信された弱い（例えば、平均で０．１フォトン）の光信号を用いて、送信者（「アリス」）および受信者（「ボブ」）の間でキーを確立することに関係する。キー配送の安全性は、不確定状態にある量子系はどれでも測定するとその状態を変えるという、量子力学の原則に基づいている。結果として、量子信号を妨害あるいは測定しようとする盗聴者（「イブ」）は、送信信号にエラーを引き起こしてしまうため、その存在が明らかになる。
【０００３】
量子暗号の一般的な原則は、ベネットとブラッザールの論文（非特許文献１参照）の中で、初めて発表された。具体的なＱＫＤシステムは、Ｃ．Ｈ．ベネットらの論文（非特許文献２参照）、およびＣ．Ｈ．ベネットの論文（非特許文献３参照）に記載されている。ＱＫＤを実行する一般的なプロセスは、ボーミスターの著作（非特許文献４参照）に記載されている。
【０００４】
上記文献は各々、いわゆる「一方向型」ＱＫＤシステムについて記載している。一方向型ＱＫＤシステムとは、アリスが単一光子の偏光又は位相をランダムに暗号化して、ボブがそれらその光子の偏光又は位相をランダムに測定するものである。ベネットの１９９２年の論文に述べられている一方向型システムは、共有干渉システムに基づいている。アリスおよびボブは、干渉計の位相を制御できるように、干渉計システムの各部にアクセスすることが可能である。アリスからボブに送信された信号（パルス）は、時分割され、異なったパスをたどる。結果として、干渉計は、熱ドリフトを補正するために、能動的に安定化している必要がある。
【０００５】
ギシンの特許文献１（‘２３４特許）では、偏光や熱ゆらぎを自動補正する、いわゆる「双方向」型ＱＫＤシステムについて開示されている。このように、‘２３４特許の双方向型ＱＫＤシステムは、一方向型システムに比べて環境の影響を受けにくい。
ＱＫＤシステムの安全性は、認証に非常に依存する。認証は、通信リンク越しに互いに通信している当事者達が、彼らが誰であるかを確実に言えるようにするプロセスである。ＱＫＤシステムにおいて、アリスおよびボブは、互いに通信していること、およびボブもしくはアリスのいずれかのふりをする介入者がいないことを確実に知っておかねばならない。この問題は、認証により対処される。認証は、実質は古典的で、かつ認証が基礎としているキーの安全性に完全に依存している。もし用いられているキーが無条件に安全ならば認証も同様に無条件に安全になり得るような、無条件に安全な認証プロトコルが存在している。もし安全性が危うくなれば、アリスおよびボブは、自分たちの間にいる盗聴者／介入者とではなく、本当に互いと通信しているのかを再確認しなければならない。もし、彼らが絶対的に信頼できるキーを共有していれば、認証を繰り返し実行することが可能である。
【０００６】
認証プロトコルはまた、イブが、アリスおよびボブ間の古典通信におけるデータを変更できないことを保証しているに過ぎない。ＱＫＤにおける重要な仮定の１つは、イブは古典通信を覗くことはできても、認証が必要であるためにこの通信を変更することはできないというものである。
認証の手順は、次のようにとおりである。認証のための初期キーは、信頼できる関係者によってプレインストールされる。ＱＫＤシステムは、キーを生成することができ（キー再生成として扱うこともできる）、従って、認証を目的とした新しいキーが十分に配送される。新しいキーの安全性は、ＱＫＤプロトコルの安全性に依存する。この手順は、単一光子源およびＢＢ８４などのような適切なプロトコルを用いることで、絶対的に安全にできることが証明されている。今日用いられる実用的なＱＫＤシステムのほとんどは、弱いコヒーレントパルス源を用いている。弱いコヒーレントパルスを用いたＱＫＤシステムの安全性は、いくらかのパルスは、パルス当たり１以上の光子を有している確率があるという事実により、複雑になる。
【特許文献１】米国特許第６，４３８，２３４号公報
【非特許文献１】“Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ  ｋｅｙ  ｄｉｓｔｒｉｂｕｔｉｏｎ  ａｎｄ  ｃｏｉｎ  ｔｏｓｓｉｎｇ，”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｏｍｐｕｔｅｒｓ、Ｓｙｓｔｅｍｓ  ａｎｄ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，１９８４，ｐｐ．１７５−１７９（ＩＥＥＥ、Ｎｅｗ  Ｙｏｒｋ、１９８４）
【非特許文献２】“Ｅｘｐｅｒｉｍｅｎｔａｌ  Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ”
【非特許文献３】“Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ  Ｕｓｉｎｇ  Ａｎｙ  Ｔｗｏ  Ｎｏｎ−Ｏｒｔｈｏｇｏｎａｌ  Ｓｔａｔｅｓ，”Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．６８  ３１２１（１９９２）
【非特許文献４】“Ｔｈｅ  Ｐｈｙｓｉｃｓ  ｏｆ  Ｑｕａｎｔｕｍ  Ｉｎｆｏｒｍａｔｉｏｎ，”Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ  ２００１，ｉｎ  Ｓｅｃｔｉｏｎ２．３，ｐａｇｅｓ２７−３３
【発明の開示】
【発明が解決しようとする課題】
【０００７】
通常、弱いコヒーレントパルスに依存するＱＫＤシステムにとって、ＱＫＤの手順は、常に距離および損失により決定される安全レベルに設定されている、パルス（μ）当たりの平均光子数を用いて実行されると仮定される。このアプローチの主な問題は、距離が長くなると、キーを確立するために必要なより長い時間が要求される点である。従って、キー再生成レートは極端に低くなってしまう。これは特に、重大な問題である。なぜなら、実際の作動形態において、量子暗号システムは様々な目的、すなわち、メッセージの暗号化、公開チャネル越しのＱＫＤプロトコルの実行、および認証のために、キーを必要としているからである。さらに、必要ならばキー配送プロセスが安全に再起動できるように、十分な数の安全なキーが格納される必要がある。
【課題を解決するための手段】
【０００８】
従来のＱＫＤシステムは、典型的には、パルスμ当たりの固定平均光子数で作動し、全ての（すなわち、情報が処理される）アプリケーションで用いられる１つのキーバンクを生成する。本発明の一態様は、２つのキーセットを形成するために異なる平均光子数を有する量子チャネルパルスを用いることを含む。量子（「弱い」）パルスに関連するキーＫ１の第１（プライマリ）セットは、通常のＱＫＤパラメータに基づいて最も高い安全性レベルを示す。まだ量子ではあるがより強いパルス（「強い」パルス）に関連しているキーＫ２の第２（セカンダリ）セットは、完全とはいえない安全性を示す。キーの第１セットは、完全な安全性を要求するアプリケーション（例えば、認証、機密データの暗号化など）に用いられる。一方、キーの第２セットは、例えば、古典データをＡＥＳなどのようなワンタイムパッドプロトコル以外を用いて暗号化する、完全とまではいかない安全性を要求するアプリケーションに用いられる。本発明の一態様では、アプリケーションは、どのタイプのキーが用いられるかを識別するタグを有している。
【０００９】
弱いおよび強いパルスに対応する２つの異なるキーを用いる方法によって、伝送距離および／またはキー生成レートを増加させることができる。また、事前共有認証キーを配布する必要なしに、システムを安全に再起動できるように、初期認証の目的で用いられるキーの効率的な再生成も可能になる。
本発明の他の態様は、ＱＫＤシステムのためのステーションである。ステーションは、コントローラに連結された光レイヤを含む。コントローラは、第２ＱＫＤステーションと弱いおよび強いパルスを交換することで形成されたプライマリおよびセカンダリキーを格納するために調整されたプライマリおよびセカンダリキーバンクを含む。コントローラは、プライマリおよびセカンダリキーバンクに連結された暗号化／復号化（ｅ／ｄ）エンジンをさらに含む。ｅ／ｄエンジンは、情報を暗号化および復号化するために、プライマリおよびセカンダリキーバンクのいずれかからのキーを用いるように調整されている。
【発明を実施するための最良の形態】
【００１０】
本発明は、一方向型もしくは双方向型ＱＫＤシステムのいずれかで用いられる、典型的にはアリスとして参照されるＱＫＤステーションの実施例に関連して述べる。安全性について検討し、弱いおよび強いパルスを共に交換することによりキー生成レートの向上を示す数値解析について示す。次いで、プライマリおよびセカンダリキーバンクを形成するためにキーを交換する動作方法について説明し、様々なアプリケーションにキーを割り当てる方法について議論する。また、議論の文脈に対応して「信号」、「パルス」、および「ビット」の用語を互換可能に用いる。
＜アリスの実施例＞
図１は、折り返し型（「双方向型」）ＱＫＤシステムに用いるのが適切なＱＫＤステーション「アリス」の一実施例の概略図である。アリスは、光軸Ａ１に沿って、ファラデミラー１２と、位相変調器１６と、高速電界吸収変調器（ＥＡＭ）２０とを含んでいる。ＥＡＭ２０は、通常は所望のビットレートに十分対応できるほど早く切り換えができない、標準的な可変光減衰器（ＶＯＡ）に代わるものである。真の第１乱数生成器（ＲＮＧ）３０は位相変調器１６に連結されており、第２ＲＮＧ３６はＥＡＭに連結されている。ＲＮＧ３０および３６は、コントローラ４０に連結されている。コントローラ４０は、下記に示すように、プライマリおよびセカンダリキ―を格納するためのプライマリキーバンク５０およびセカンダリキーバンク５２を含んでいる。
【００１１】
また、コントローラ４０は、対応するキーバンクを作動させ、キーバンクに送信される（各々弱いおよび強いビットに対応する）生キー情報を格納するためのプライマリおよびセカンダリバッファ６０および６２を含んでいる。コントローラ４０は、さらに、プライマリキーバンクおよびセカンダリキーバンク６０および６２に接続される暗号化／復号化（ｅ／ｄ）エンジン７０を含む。ｅ／ｄエンジン７０は、プライマリおよびセカンダリキーバンクからキーを受け取り、与えられたキーを用いて情報を暗号化もしくは復号化するように調整されている。
【００１２】
コントローラ４０は、ＲＮＧ３０および３６の動作を制御する。ＲＮＧ３６は、量子チャネル９０越しに送信された光信号８２および８４の減衰レベルを確実にランダムに選択するように十分に速い。量子チャネル９０は、アリスを第２ＱＫＤステーションであるボブに機能的に連結している（下記に図３に関して議論する）。また、コントローラ４０は、送信された各ビットを「タグ」付けするために、各ＲＮＧの状態を記録する。
【００１３】
量子チャネル９０は、ボブおよびアリス間で弱いおよび強い光信号８２および８４を運ぶ。古典（公開）通信チャネル９２は、アリスおよびボブの各コントローラ（ボブのコントローラは図１に示されていない）を接続する。古典通信チャネル９２は、同期信号９４がボブおよびアリスの動作を調整するためと、信号９５を介してボブおよびアリス間で、あるいはボブおよびアリスを介して外部装置へ公開メッセージを交換するためと、の両方に用いられる。
【００１４】
図２は、ＱＫＤの一方向型干渉計システムに用いるのが適切なアリスの一実施例の概略図である。図２のアリスは、光軸Ａ２に沿って、レーザ１００と、可変光アッテネータ１０６と、位相変調器１６と、ＥＡＭ２０とを含んでいる。図１のアリスのように、第１真数ＲＮＧ３０は位相変調器１６に、連結されており、第２ＲＮＧはＥＡＭに連結されている。ＲＮＧ３０および３６は、コントローラ４０に連結されている。コントローラ４０は、下記に示すように、プライマリおよびセカンダリキ―を格納するためのプライマリキーバンク５０およびセカンダリキーバンク５２を含んでいる。また、コントローラ４０は、対応するキーバンクを作動させ、キーバンクに送信される（弱いおよび強いビットに対応する）生キー情報を格納するためのプライマリおよびセカンダリバッファ６０および６２を含んでいる。コントローラ４０は、さらに、プライマリおよびセカンダリキーバンクに接続され、プライマリおよびセカンダリキーバンクからキーを受け取り、与えられたキーを用いて情報を暗号化するように調整されているｅ／ｄエンジン７０を含んでいる。
【００１５】
コントローラ４０は、ＲＮＧ３０および３６を動作させる。ＲＮＧ３６は、アリスをボブに機能的に連結する量子チャネル９０越しに送信された光信号８２および８４の減衰レベルを、確実にランダムに選択できるように十分に速い。量子チャネル９０は、ボブおよびアリス間で弱いおよび強い光信号を運ぶように調整されており、アリスおよびボブ（ボブのコントローラは図示されていない）の各コントローラ４０を接続する古典通信チャネル９２は、同期および公開信号９４および９５を共に運ぶように調整されている。
＜ＱＫＤシステム＞
図３は、本発明に係る一般化されたＱＫＤシステム１１０の概略図であり、共に量子チャネル９０および古典通信チャネル９２によって連結されているＱＫＤステーションアリスおよびボブを示す。一実施例では、量子チャネルおよび古典チャネルは、同じ通信媒体、例えば、光ファイバに組み込まれている。各コントローラ４０（図３において、アリスでは４０Ａ、ボブでは４０Ｂと示す）は、量子信号８２および８４のタイミングを調整するために用いられる対応するタイミングシステム１２０Ａおよび１２０Ｂを、さらに有する。タイミングシステムの例は、「ロバストなタイミングを備えたＱＫＤシステム」（ＰＣＴ特許出願番号ＰＣＴ／ＵＳ０４／０３３９４）に開示されている。
【００１６】
ＱＫＤステーションであるアリスおよびボブは共に、光レイヤ１３０（アリスでは１３０Ａ、ボブでは１３０Ｂ）を含む。例えば、図１を再び参照すると、アリスの光レイヤ１３０Ａは、ファラデミラー１２と、位相変調器１６と、ＥＡＭ２０とを含んでいる。ＲＮＧ３０および３６は、コントローラ電子部品の一部と見なすこともできるが、便宜上、光レイヤの一部分と見なす。
【００１７】
同様に、図２を再び参照すると、アリスの光レイヤ１３０Ａは、ＲＮＧ３０および３６に加えて、レーザ１００と、ＶＯＡ１０６と、位相変調器１６と、ＥＡＭ２０とを含む。
各々の場合において、光レイヤ１３０は、対応するコントローラおよび量子チャネル９０に連結されている。
＜安全性の検討＞
ここでは、システムの安全性およびキー生成レート間のトレードオフについて検証する。典型的には、ＱＫＤシステムは、最も先進の量子コンピューティング攻撃や高性能な量子測定および／または量子メモリの使用に基づく攻撃を含む、いかなるタイプの攻撃にも耐えるように設計されていると仮定する。また、典型的には、情報を暗号化するために、キー配送はワンタイムパッドデータ暗号化と組み合わせて用いられると仮定する。
【００１８】
現実には、ほとんどの場合でワンタイムパッドデータ暗号化を用いることはやりすぎであり、より安全性の低い暗号化のオプション、例えばＡＥＳ暗号化で十分である。ＡＥＳがより小さいキー長対メッセージ長比で用いられると、安全性を適度に高く−それでも、ＱＫＤキー生成と組み合わせて用いられると、これまで知られているほとんどの技術よりもずっと高く−保ちながら、暗号化チャネルの容量は非常に大きくなる。
【００１９】
暗号化されたチャネルの安全性が緩むと、キー生成の安全性も同様に緩む。最も単純な場合では、キー生成プロセスの安全性の緩みは、アリスからボブへ送信されたパルスの平均光子数μが増加することによって生じる。その場合、準古典プロトコルは、例えば、ＡＥＳｅ／ｄエンジンを用いて生キーにおけるビットをシフティングする暗号化プロセスなどに用いられてもよい。盗聴者イブ（図示せず）は今は、たとえ自分の量子メモリに状態のコピーを保存している場合であっても、公開ディスカッションからベーシスを（少なくとも一時的には）知ることはできず、ビットを知ることもできない。なぜなら、イブはＡＥＳ暗号化された古典チャネルを素早く解読するための計算処理能力を実際に持たないためである。
【００２０】
このアプローチは、合理的な妥協案を表している。すなわち、安全性は、古典通信チャネル９２上のデータ暗号化プロセスおよび量子チャネル９０上のキー交換プロセスの両方において緩む。そして、シフティングプロセスを暗号化に加えることで、キー交換プロセスはさらに安全になる。
用いられる安全性のレベルは、典型的には含まれる特定のアプリケーションに依存する。例えば、認証のような調整プロトコルの段階では、高レベルの保護が要求され、完全に安全であることが好ましい。しかしながら、通常、認証は大量のビットを必要としない。一方、アリスは平均光子数μを増加させることができ、従ってキー生成レートが増加する。この段階で生成されたキー（「セカンダリキー」）は安全とはいえないが、もしイブがこのキーで妥協したとしてもまだシステムの安全性を破壊することはできず、間に自分の装置を置くことはできない。従って、もしアリスおよびボブがそれらの通信リンクの安全性について疑い始めた場合には、完全に安全なプライマリキーを用いてシステムを再起動するオプションを常に有しているのである。
【００２１】
従って、完全に安全とはいえないセカンダリキーを用いると、距離の範囲ではなくキーレートを増加させてしまう（正確には、所定の限界を超えて距離を伸ばさない−下記の数値例を参照）。ここで、アリスおよびボブが完全に安全である既知の距離を超えて通信する必要がある場合、システムの安全性はイブの計算能力に依存する。この場合、イブは、例えば、パラメータの変動、トロイの木馬攻撃などを用いて知識を積み重ね、ある点においてシステムに進入することができる。これにより、イブは、アリスおよびボブに安全性が失われていることを気付かれずに、通信チャネルに割り込むことが可能になるかもしれない。この場合、ＱＫＤを用いる最も強力な点は盗聴の検出能力にあるので、イブによる攻撃に対して最も脆弱である。
＜２つのキーバンクアーキテクチャ＞
本発明の一実施例では、１つのキーバンクの代わりに、アリスおよびボブは、各々２つのバンクと２つの対応するキー生成モードを用いる。交換されたパルスは最初から、完全な安全性の要求、例えば、μ１＝０．１を満たすのに十分な小さい平均光子数μ１を有する弱いレーザパルス８２である。これらのパルスは、プライマリキーＫ１を生成するために用いられる。対応するキーは、アリスおよびボブの各プライマリキーバンク５０に格納され、システム全体のアーキテクチャおよびエンドユーザの要求に基づいて、ほとんどの重要なアプリケーションに用いられる。
【００２２】
セカンダリキーを生成するために、アリスおよびボブは、比較的大きな平均光子数μ２＞μ１（例えば、μ２≒１）を有する強い量子パルス８４を交換する。アリスおよびボブは、セカンダリキーＫ２を各々のセカンダリキーバンク５２に格納する。セカンダリキーは、例えば、古典チャネルの暗号化（例えば、シフティング）や、完全な安全性が必須ではない所定の最終暗号化アプリケーションのような、あまり重要でないアプリケーションに用いられる。プライマリキーバンクの存在によって、ＱＫＤシステムが介入者タイプの攻撃を突破するため、もしくはサービス妨害シャットダウンの場合に、信頼できるクーリエ（技術者）の必要なしに再起動できることが保証される。
【００２３】
一実施例では、プライマリおよびセカンダリキーの生成は、アリスがＥＡＭ２０およびＲＮＧ３６の動作を介してパルス強度をμ１およびμ２の間でランダムに切り換えることで、同時に実行される。
μ１を有する弱いパルス８２で生成されたキーはプライマリキーとなり、μ２を有する強いパルス８４で生成されたキーはセカンダリキーとなる。一実施例では、本方法は、要求が類似している（μのフリッピング）ことから、任意にＰＮＳ攻撃検出のおとり方法に加えることもできる。
【００２４】
驚くべきことに、キーをプライマリおよびセカンダリキーに分割することで、プライマリキーが交換される距離を増加させる手助けになり得る。これについては、数値解析のセクションの直下に示してある。
＜数値解析＞
初期キー交換プロセスの後、シフトされたビット数（すなわち、アリスおよびボブがクリック、ダブルクリック、もしくはミスマッチのベースがないビットを破棄した後に残ったビット）は、平均光子カウントμ１およびμ２を有するパルスと推定することができる。μ１のみが用いられる場合のシフトされたビット数ζは、以下のように表すことができる。
【００２５】
ζ１＝１／２ＲηFηDμ１，またはζ１＝ＲηFηDηF
これは、ηFをチャネル透過性、Ｒを繰り返しレート、ηDを検出器の量子効率として、この場合の完全な安全性はμ１＝ηFとなるためである。
μ１およびμ２間のランダム選択の場合、シフトされたビット数ζは、以下のように表すことができる。
【００２６】
ζ２＝１／２ＲηFηD（μ１ｃ１＋μ２ｃ２）
ここで、ｃ１＋ｃ２＝１である。ｍ＞１でμ２＝ηFｍの場合、シフトされたビット数は次のようになる。
ζ２＝１／２ＲηFηDηF（ｃ１＋ｃ２ｍ）
これより、ζ２のζ１に対する比は、（ｃ１＋ｃ２ｍ）＞１に等しいことがわかる。長さが増加するとチャネル透過性は低下することから、この比は、μ１およびμ２のランダム選択によってより高いキー生成レートが保証され、また量子チャネル９０の伝達距離を増加させることが可能になることを示している。
＜動作方法＞
図１および２を再度参照すると、一実施例では、アリスは２つのパルスのセットを用意する。すなわち、完全な安全性のための、パルスμ１当たり小さい平均光子数を有する弱いパルス８２（例えば、０．１≦μ１≦１、もしくはμ１＝ηF、ここでηFはチャネル透過率）、および安全性は低いがより速いキー生成のための、パルスμ２当たり比較的大きい平均光子数を有する強いパルス８４（例えば、μ２≒１）である。上述のように、弱いおよび強いパルスは共に、ボブに連結されている量子チャネル９０越しに送信される（図３）。
【００２７】
アリスは、光パルスを標準的な方法で（例えば、ＢＢ８４に従って）暗号化する。しかし、各パルスのキーおよびベーシスの情報に加えて、アリスはまた、どのパルスが弱く、どのパルスが強いかに関する情報も有している。アリスは、イブにどのパルスが弱く、どのパルスが強いかを知られないように、ＲＮＧ３６を介して弱いパルス８２および強いパルス８４をランダムに混ぜて、量子チャネル９０越しにボブにそれらのパルスを送信する。
【００２８】
一旦、アリスがパルス８２および８４をボブに送信すると、次いでボブは、それらのパルスを通常のように検出してビットを格納する。次に、調整プロセスが実行される。一実施例では、アリスは、公開チャネル越しにどのパルスが弱く、どのパルスが強いかをボブに伝える。次いで、彼らは、例えば、アリスおよびボブ両方の各バッファ６０および６２において格納されているビットに対応する２つのセット（すなわち、２つの生キー）を形成する。
【００２９】
一実施例では、アリスおよびボブは、これよりも前の段階で、パルスが弱いか強いかを識別するタグについて意見が一致している。２つの生キーが確立された後、次いで一実施例では、彼らはシフティング、エラー修正、およびプライバシをこれら２つのセットに独立に実施する。システムの状態に従って、アリスおよびボブは、どのセットを初めに処理するかを決めることができる。例えば、もしキーマネージメントプログラムが、システムでプライマリキーが不足していると示せば、まず弱いパルスに関連したキーセットの処理を行うことができる。プライマリキーバンクの充填が要求レベルに達すると、彼らは強いパルスのキーセットの処理に切り換え、またその逆も同様である。他の実施例では、プライマリおよびセカンダリセットは、プライマリおよびセカンダリキーを形成するのと平行して処理される。
【００３０】
他の実施例では、弱いおよび強いパルスに対応するビット分割は、シフティングプロセスの一部として実行される。この段階では、ベーシス情報に加えて、アリスはボブにパルスが弱いか強いかを伝える。この観点から、それらは、エラー修正およびプライバシ増幅を、ビット全てのセット（すなわち、分割されていない弱いおよび強いパルス）に対して実行してもよいし、あるいはビットのセット２つを形成し、それらを別個に処理してもよい。
【００３１】
シフティング、エラー修正、およびプライバシ増幅が終了してキーが生成された後、キーは、プライマリキーバンク（弱いパルス）もしくはセカンダリキーバンク（強いパルス）のいずれかに（例えば、そのタグに従って）セットされる。
プライマリおよびセカンダリキーバンク５０および５２を適切に用いることを確実にするために、実施例では、キーマネージメントプログラム（下記に説明する）に入っている各アプリケーションはタグを有している。タグは、特定のアプリケーションがプライマリもしくはセカンダリキーバンクからのキーを要求しているかどうかを、キーマネジメントプログラムに対して示すものである。一実施例では、デフォルトで、認証にはプライマリキーバンクからのキーを要求するタグが割り当てられ、そして他のアプリケーション（例えば、暗号化ビットシフティング）には、セカンダリキーバンクからのキーを要求するタグが割り当てられる。他の実施例では、ユーザが好みに応じて、所定のアプリケーションのためにタグを割り当てる。
【００３２】
オプションとして、アリスおよびボブは、プライマリおよびセカンダリキーレートを比較し、Ｈｗａｎｇのプロトコルを用いて盗聴者の存在を決定する。Ｈｗａｎｇのプロトコルは、例えば、Ｈｗａｎｇの論文である“Ｑｕａｎｔｕｍ  ｋｅｙ  ｄｉｓｔｒｉｂｕｔｉｏｎ  ｗｉｔｈ  ｈｉｇｈ  ｌｏｓｓ：ｔｏｗａｒｄ  ｇｌｏｂａｌ  ｓｅｃｕｒｅ  ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，”  ａｒＸｉｖ：ｑｕａｎｔ−ｐｈ／０２１１５３  ｖ１  ａｎｄ  ｖ４（２４  Ｎｏｖｅｍｂｅｒ  ２００２  ａｎｄ  １９  Ｍａｙ  ２００３）に記載されている。
【００３３】
図４は、本発明の一実施形態に係る改良されたシフティング、エラー修正、およびプライバシ増幅段階を示すフロー図２００である。ボックス２０２は、アリスが各ビットに対してどのベーシスを用いたかをボブに伝える、標準的なシフティング手順に対応する。次いでボブは、自分の単一光子検出器がクリックもしくはダブルクリックを与えなかった全てのビットを破棄し、そして誤ったベーシスを有するビットを破棄する。アリスも、同じビットを破棄する。
【００３４】
本発明の一実施形態に従って、ボックス２０４で、ボブおよびアリスは、平均光子カウントμ１を有するビットを含む各ビットのタグを確認する。次いで、ボックス２０６Ａおよび２０６Ｂにおいて、対応するビットは各コントローラ４０における対応するバッファ６０および６２にセットされる。ボックス２０８Ａおよび２０８Ｂで、アリスおよびボブは、各キーセットについて標準的なエラー修正およびプライバシ増幅手順を実行する。次いで、ボックス２１０Ａおよび２１０Ｂにおいて、各バッファの最終キーが、プライマリおよびセカンダリバッファ６０および６２から対応するプライマリおよびセカンダリキーバンク５０および５２に送信される。
＜様々なアプリケーションへのキーの割り当て＞
図５は、様々なアプリケーション（すなわち、選択された情報が暗号化される）にプライマリおよびセカンダリキーを割り当てる方法の一実施例を示すフロー図３００である。
【００３５】
本発明の一実施例では、各コントローラ４０は、キーマネージャ５０２を含む。一実施例では、キーマネージャ５０２は、どのタイプのアプリケーション（例えば、認証、メッセージ暗号化、暗号化ビットシフティングなど）がどのタイプのキーを得るかを決定する、例えばプロセッサなどの実現可能なメディア、もしくはコントローラにおけるハードドライブなどのストレージデバイスに組み込まれたソフトウェアである。
【００３６】
一実施例では、アプリケーションは、割り当てられるべき（プライマリもしくはセカンダリ）キーのタイプを示すタグを含む。従って、３０２において、特定のアプリケーションは、キーマネージャに入るか、そうでなければキーマネージャに知らされる。次いで３０４において、キーマネージャはアプリケーションタグを確認する。３０６において、キーマネージャは、例えば、アプリケーションが高い安全性を要求するかどうかを問い合わせることによって、どのような安全性のタイプがアプリケーションに割り当てられるべきかを決定する。３０６において、回答が肯定的であると、次いで、３０８において、アプリケーションには、プライマリキーバンクからのキーＫ１が割り当てられる。一方、もし３０６の問い合わせが否定的であると、３１０においてアプリケーションには、セカンダリバンクからのキーＫ２が割り当てられる。次いで３１２において、一旦キーが割り当てられると、暗号化される情報および対応するキーは、暗号化のためにｅ／ｄエンジン７０に送信される。なお、３１２からの情報は、例えば、コントローラ通信チャネル９２越しに、ボブのｅ／ｄエンジンによる暗号化のために適切なキーが用いられるように、ボブのコントローラ４０Ｂとも共有される。
【００３７】
以上、本特許出願は、２００４年５月２４日に出願された、米国通常特許出願第１０／８５２，０７１号（「ＱＫＤのキーバンクシステムおよびその方法」）から、優先権を主張するものである。
【図面の簡単な説明】
【００３８】
【図１】折り返し型（「双方向型」）干渉計ＱＫＤシステムにおけるアリスの一実施例の概略図である。アリスは標準的な可変光アッテネータ（ＶＯＡ）ではなく、高速電界吸収変調器（ＥＡＭ）を有し、ＥＡＭ（２０）には、量子チャネル（９０）越しにボブに送信される光信号（すなわち、パルスまたはビット）の減衰レベルがランダムに選択されることを保証するために、真の乱数生成器（３６）が接続されている。
【図２】一方向型干渉計ＱＫＤシステムにおけるアリスの一実施例の概略図である。高速ＥＡＭは、量子チャネル（９０）越しにボブに送信される光信号（すなわち、パルスまたはビット）の減衰レベルがランダムに選択されることを保証するために、真の乱数生成器（３６）に接続されている。
【図３】ＱＫＤステーションであるボブおよびアリスの両方を示す、本発明の一般的なＱＫＤシステムの概略図である。
【図４】量子チャネル越しに送信された弱いおよび強いビットを処理し、対応するプライマリおよびセカンダリキーバンクにおいて処理されたビットを格納する本発明の方法に係る一実施例を示すフロー図である。
【図５】キーマネージャを用いることで異なるアプリケーションにプライマリおよびセカンダリキーを割り当てる、本発明の方法に係る一実施例を示すフロー図である。
【００３９】
図面に描かれた様々な構成は単に代表的なものであり、必ずしも実寸通りに描かれていない。強調された部分もあれば、縮小された部分もあり得る。これら図面は、当業者にとって理解および適切な実施が可能な本発明の様々な実施形態を例示することを意図している。
【図１】
2008500774.tif 000003
【図２】
2008500774.tif 000004
【図３】
2008500774.tif 000005
【図４】
2008500774.tif 000006
【図５】
2008500774.tif 000007
【国際調査報告】
2008500774.tif 000008