(57)【要約】  追加のカスタマイゼーションパラメータを受け入れるように変更された発信機（１００）および受信機（２００）の間で暗号鍵を安全に交換するために用いられるＱＫＤシステムである。当該ＱＫＤシステムは、プロトコルのファミリーを形成する複数のＱＫＤプロトコルを実装できるＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）によって構成される。量子チャンネル（５００）を介して接続されたＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）は、量子ビット列を生成および検出するように適合される、光学的および電子的な構成要素によって構成される。長さＬｉ（５１１）を有する複数の量子ビット（５２０）の各ブロック（５１０）に対して、発信機（１００）および送信機（２００）を用いて実装できるプロトコルのファミリーから選択された１つのＱＫＤプロトコル（５３０）が用いられる。
2018538760.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１つの量子鍵を交換するための量子鍵配送（ＱＫＤ）の装置であって、
ＱＫＤコントローラ（１１０）およびＱＫＤ送信機（１２０）を有する発信機（１００）と、
ＱＫＤコントローラ（１２０）およびＱＫＤ受信機（２２０）を有する受信機（２００）と、
発信機（１００）および受信機（２００）の同期およびふるい分けステップを実現させるための１つのサービスチャンネル（４００）と、
量子ビットを交換するための１つの量子チャンネル（５００）とを備え、
発信機（１００）および受信機（２００）は、カスタマイゼーションパラメータ（１６０）およびカスタマイゼーションパラメータ（２６０）をそれぞれ受信するように適合され、
前記ＱＫＤシステムは、少なくとも２つのプロトコルＰ１およびプロトコルＰ２をサポートするように適合され、
前記ＱＫＤシステムは、第１のプロトコルＰ１から第２のプロトコルＰ２に切り替えるように適合される
装置。
【請求項２】
複数のプロトコルＰｉに従って交換された量子ビット列は、量子ビットの、長さＬｉの複数のブロックによって定義される
請求項１に基づく装置。
【請求項３】
ビット値の割り当てに対する量子ビットは、量子ビットの複数のブロックに依存する
請求項１に基づく装置。
【請求項４】
ＱＫＤコントローラ（１１０および２１０）は、少なくとも２つのサブコントローラであるコントローラ１（１１１）およびコントローラ２（１１２）、ならびにスイッチ（１１３）を備える
請求項１に基づく装置。
【請求項５】
前記プロトコルの選択は、前記複数の機器製造業者パラメータ（１００および２００）または前記複数のカスタマイゼーションパラメータ（１６０および２６０）に格納された複数のデフォルトパラメータによって、定義されることができる
請求項１に基づく装置。
【請求項６】
複数のプロトコルＰｉに従って交換された量子ビット列は、量子ビット（ｑｕｂｉｔｓ）の、長さＬｉの複数のブロックによって定義される
請求項１に基づく装置。
【請求項７】
プロトコルの切り替えは、ＱＫＤの実行中に実現される
請求項１に基づく装置。
【請求項８】
実装されているプロトコルＰ１およびＰ２は、ビット値の論理的な割り当てにおいて異なる
請求項１に基づく装置。
【請求項９】
サポートされる複数のプロトコル間の差異は、前記蒸留するステップにおいて定義される
請求項１に基づく装置。
【請求項１０】
前記ＱＫＤ装置（１００）および（２００）内で複数のカスタマイゼーションパラメータを使用する方法であって、
−ＱＫＤコントローラ（１１０）および（２１０）における複数のカスタマイゼーションパラメータ値を定義するステップと、
−１つの量子ビットに対して複数のカスタマイゼーションパラメータを読み取り、格納するステップと、
−前記量子ビットをふるい分けし、ふるい分けされた鍵の前記新たなビットを格納するために、複数のカスタマイゼーションパラメータを使用するステップと、
−前記ふるい分けされた鍵が、十分に大きいか否かを分析するステップと、
−前記ふるい分けされた鍵が十分に大きい場合に、前記格納された、ふるい分けされた鍵の蒸留を実現するステップとを含む
方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、全般的には量子鍵配送の分野に関し、より正確には、量子鍵配送（ＱＫＤ：Ｑｕａｎｔｕｍ  Ｋｅｙ  Ｄｉｓｔｒｉｂｕｔｉｏｎ）システムの安全性を向上させる装置および方法に関する。
【背景技術】
【０００２】
量子暗号または量子鍵配送（ＱＫＤ）の主要な目標は、有限の仮定の下で秘匿性を証明することができるビット列を、発信者および受信者間で共有できるようにすることである。
【０００３】
２人のユーザが、共有のランダムな秘密情報（以下、「鍵」と呼ぶ）を所有すれば、ユーザらは、証明可能な安全性によって、暗号手法の目標のうちの以下の２つを達成することができる。１）ユーザらのメッセージを盗聴者が理解できないようにすること、および２）真のメッセージと、偽造または改竄されたメッセージとを区別することである。ワンタイムパッドの暗号アルゴリズムにより第１の目標が達成され、ウェッグマン―カーター（Ｗｅｇｍａｎ−Ｃａｒｔｅｒ）認証により第２の目標が達成される。残念ながら、これらの暗号方式は、どちらも鍵材料を消費し、この鍵材料をさらに使用するには不適当なものにしてしまう。そのため、これらの暗号技術のうちのいずれか、または両方を用いて、交換するメッセージの保護を望む二者は、新しい鍵材料を交換する方法を考案する必要がある。第１の可能性として、一方の者が鍵を生成し、それを第二者に渡す前に、物理的媒体（ディスク、ＣＤ−ＲＯＭ、ロム）に書き込むことである。この手法には、鍵の安全性が、鍵が生成され、使用されて最終的に破棄されるまでの全寿命を通して保護されているか否かということに依存するという問題がある。さらに、これは非現実的であり、非常に手間がかかる。
【０００４】
これらの難点から、その代わりとして、多くの用途において純粋な数学的方法に依存することにより、二者が安全ではない通信チャンネル上で機密を共有することについて合意することができる。残念ながら、鍵を一致させるそのような数学的方法はすべて、大きな整数を因数分解することが難解であるというような証明されていない仮定に基づくものである。そのため、それらの安全性は、条件付きであり、疑わしいものに過ぎない。今後の数学的な発展により、これらは全く安全ではないと証明されるであろう。
【０００５】
量子暗号化または量子鍵配送（ＱＫＤ）は、証明可能な安全性で、離れた二者である発信者と受信者との間で秘密鍵を配信することができる方法である。この方法の説明は、Ｎｉｃｏｌａｓ  Ｇｉｓｉｎ，Ｇｒeｇｏｉｒｅ  Ｒｉｂｏｒｄｙ，Ｗｏｌｆｇａｎｇ  Ｔｉｔｔｅｌ，  ａｎｄ  Ｈｕｇｏ  Ｚｂｉｎｄｅｎ，“Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ”，Ｒｅｖ．  ｏｆ  Ｍｏｄ．  Ｐｈｙｓ．７４，（２００２）において見つけることができ、この内容は、当業者に知られていると思われる。この二者は、光ファイバなどの量子チャンネル上で交換する鍵を、光子などの基本的な量子系で符号化する。この方法の安全性は、未知の量子系の量子状態を観測することが、系自体を変更するという周知の事実に由来するものである。すなわち、量子通信チャンネルで盗聴する密偵者は、発信者と受信者との間で交換された鍵に誤りを生じさせることなく鍵についての情報を得ることはできない。同じように、ＱＫＤは、量子力学の複製不能定理のため安全であり、これによって密偵者が送信された量子系を複製して受信者に完全な複製を送ることができないことが保証される。
・原理
いくつかのＱＫＤプロトコルが存在する。これらのプロトコルは、以下の２つの部分を記述するものである。
１−複数の量子状態セットを用いて、ビット値がどのように量子系で符号化されるか、ならびに
２−発信者および受信者は、どのように協力して量子ビットの観測から秘密鍵を作成するかである。
これらのプロトコルのうちで最も一般的に使用され、また最初に発明されたものは、ベネット−ブラザード８４プロトコル（ＢＢ８４）として知られており、Ｐｒｏｃｅｅｄｉｎｇｓ  ＩＥＥＥ  Ｉｎｔ．  Ｃｏｎｆ．  ｏｎ  Ｃｏｍｐｕｔｅｒｓ，  Ｓｙｓｔｅｍｓ  ａｎｄ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｉｎｇ，  Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ  （ＩＥＥＥ，  Ｎｅｗ  Ｙｏｒｋ，  １９８４），ｐｐ．１７５−１７９）においてチャールズ・ベネット（Ｃｈａｒｌｅｓ  Ｂｅｎｎｅｔｔ）およびジャイルス・ブラザード（Ｇｉｌｌｅｓ  Ｂｒａｓｓａｒｄ）によって開示され、この内容は、当業者にも知られていると思われる。この例は、上記で引用した２つの部分を説明するために用いることができる。
【０００６】
１−例えば、偏光状態を用いて、発信者は、水平−垂直基底の（「＋」基底）固有状態として、または対角基底の（「ｘ」基底）固有状態として、２準位量子系の各ビットを符号化する。ビットは、相反する２つの基底で符号化されると言われている。量子系を交換する前に、発信者および受信者は、ビット値と基底状態との論理的な割り当てについて合意している。論理的なビット割り当ての一例において、両者は、「１」ビット値が、垂直状態|Ｉ＞（水平−垂直基底）として、および＋４５度状態|／＞（対角基底）として符号化されると決定する。この場合、「０」ビット値は、水平状態|−＞（水平−垂直基底）として、または−４５度状態|＼＞（対角基底）として符号化される。
【０００７】
２−各ビットに対して、発信者は、適切な乱数発生器を用いて、ビット値（１つのランダムなビット）および基底情報（１つのランダムなビット）の決定に用いられる、ランダムな２つのビットの情報を生成する。量子系は、受信者に送信され、受信者は２つの基底のうちの１つで分析する。受信者は、適切な乱数発生器を用いて、観測基底（基底情報）を決定するために用いられたランダムなビットの情報を生成する。観測基底は、各量子系に対してランダムに選択される。多数の量子系を交換した後に、発信者および受信者は、基底照合と呼ばれる、またはふるい分けとしても知られている処理を行う。第１ステップにおいて、発信者は、それぞれの量子系に用意した基底＋またはｘを、サービスチャンネルと呼ばれる従来の公衆通信回線上で受信者に知らせる。第２ステップにおいて、受信者は、各量子ビットの基底の一致を考える。発信者と同じ基底を受信者が観測に用いたとき、受信者は、観測したビット値が発信者によって送られたものに違いないことを知っている。受信者は、どの量子系に対してこの条件が満たされるのかを（サービスチャンネルを介して）公開する。間違った基底が用いられた観測は単に破棄される。密偵者がいなければ、共有されたビット列には誤りがない。交換されているビット列について何らかの情報を得たい密偵者は、いくつかの攻撃の中から選ぶことができるが、量子物理学の法則によって、密偵者が鍵に顕著な乱れを発生させることなくそのようなことができないことが保証される。
【０００８】
しかしながら、実用上の設定において、誤りは、実験上の不完全性によっても生成され得る。したがって、プロトコルはすべて、サービスチャンネル上で動作する鍵蒸留プロトコルによって補完され、鍵蒸留プロトコルは、一般的に、誤り訂正ステップおよび秘匿性増幅ステップから構成され、古典通信が認証される。
【０００９】
ＱＫＤプロトコル（Ｇｉｓｉｎらの適切な概要を参照）は、いくつか存在し、これらのＱＫＤプロトコルはファミリーにグループ化することができ、１つのファミリーのプロトコルはすべて同じハードウェアで実現されることができる。一例として、２つの共役な基底の固有状態である４つの量子ビット状態に基づくプロトコルはすべて、プロトコルの１つのファミリーを形成する。この例については、上述した同じファミリーに属する、ＢＢ８４およびＳＡＲＧプロトコルによって説明される（Ｖａｌｅｒｉｏ  Ｓｃａｒａｎｉ，  Ａｎｔｏｎｉｏ  Ａｃiｎ，  Ｇｒeｇｏｉｒｅ  Ｒｉｂｏｒｄｙ，  ａｎｄ  Ｎｉｃｏｌａｓ  Ｇｉｓｉｎ  （２００４）．“Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ  Ｐｒｏｔｏｃｏｌｓ  Ｒｏｂｕｓｔ  ａｇａｉｎｓｔ  Ｐｈｏｔｏｎ  Ｎｕｍｂｅｒ  Ｓｐｌｉｔｔｉｎｇ  Ａｔｔａｃｋｓ  ｆｏｒ  Ｗｅａｋ  Ｌａｓｅｒ  Ｐｕｌｓｅ  Ｉｍｐｌｅｍｅｎｔａｔｉｏｎｓ”を参照）。この場合、基底照合（またはふるい分け）ステップによってのみ、１つのプロトコルから別のプロトコルに変えられる。先に説明したように、ＢＢ８４プロトコルの場合には、受信者は、観測基底の選択に用いたランダムなビット値を知らせ、観測された量子ビットのビット値を秘密にしたままである。発信者が基底の一致を知らせるとき、発信者および受信者は、定義に用いられた、または量子ビットの観測で得られたそれぞれのビット値は同一であることを知っている。ＳＡＲＧプロトコルの場合には、ふるい分けが異なる。受信者は、観測された量子ビットのビット値を知らせ、観測基底の選択に用いられたビット値は、秘密にしておく。発信者は、２つのビット値（１つは量子ビットによって保持されたビット値であり、もう１つは、この量子ビットの基底を定義するビット値）を用いて受信者の秘密のビット値を推測することができるときに知らせる。
【００１０】
鍵配送のための他の手法とは反対に、ＱＫＤは、量子物理学の法則に基づく証明可能な安全性を提供する。これは、理想的なＱＫＤシステムには当てはまるが、実用のハードウェアは、情報漏洩を導く欠陥を含んでいることがある。そのような欠陥は、自身の製品ユーザをだまそうとする悪意のある製造者によってさえも導入されることがある。
【００１１】
システムの製造者を信頼することは、すべての状況で適切ではないかもしれない。この問題は、従来の暗号法の分野においても周知である。一例として、例えば、ＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）の場合には、ＳｕｂＢｙｔｅｓステップで用いられるサブスティチューションボックス（Ｓボックス）を変更することにより、この目標を達成することができる。これを行うことによって、ＡＥＳ構造を共有しているが異なる複数のアルゴリズムを得ることは可能である。Ｓボックスを変更した後は、ユーザのみが、使用された実際の暗号化アルゴリズムを知っている。しかしながら、量子暗号に対する同様の解決策は開発されていない。
【００１２】
量子鍵配送において、不正手段などの、システムに脆弱性が生じる可能性を低下させることが望ましい。さらに、別の問題としては、量子ハッキングにおいて定義されたＱＫＤシステムに対するほとんどの攻撃が、特定のＱＫＤプロトコルに対して最適に定義されるということである。これらの問題に対処する１つの方法としては、製造者が自身の製品の安全性関連のパラメータのうちのいくつかを変更することを可能にすることである。このような変更は、典型的には、装置が製造者の構内から出た後にユーザによって行われ、その結果、ユーザのみが変更されたパラメータを知っていることになる。
【００１３】
しかしながら、この手法は、先行技術において考えられているように、ＱＫＤのコンセプトに適合しない。実際のところ、ＱＫＤの証明において主な仮定のうちの１つは、プロトコルが誰にでも（例えば密偵者にも）完全に知られるということである。一旦プロトコルが選択されれば、量子ビットの状態の生成または分析から選択するために用いられるランダムなビットの値以外のすべてのパラメータ値を、誰もが知っている。ＱＫＤの原理とその実装との間に相違が生じることがあるため、未知の変数を余分に導入することが必要かもしれない。そのような１つの手法は、ゲート抑制に関し、盗聴者がＱＫＤ装置の単一光子を制御することを防止する解決策が開示されているＥＰ２６２５８１７の特許において考慮された。この場合、顧客には知られていないが、おそらくＱＫＤ製造者には知られていたランダムな値が、この検知器の効率値をランダムに変えるために導入される。この種の解決策によって、盗聴者に知られていないランダムなパラメータを導入することにより、盗聴しようとする試みに対するＱＫＤの安全性を向上させることができる。しかしながら、この種の解決策は、盗聴の試みに対する安全性を向上させることを可能にするが、顧客の観点からある特定の安全性問題には対処していない。ＱＫＤ製造者から保護されることを希望する顧客は、製造者が予め知ることができないように、顧客のＱＫＤ装置の安全性関連のパラメータのうちのいくつかを変えることが可能になるように求めるかもしれない。先行技術では、ＱＫＤユーザは、ＱＫＤシステムパラメータをＱＫＤ製造者に予め知られないように、ＱＫＤシステムパラメータを変更することはできない。
【００１４】
定義された本発明は、この課題を克服することを目的とする。
【００１５】
非特許文献は以下の通りである。
【先行技術文献】
【非特許文献】
【００１６】
【非特許文献１】−Ｎｉｃｏｌａｓ  Ｇｉｓｉｎ，  Ｇｒeｇｏｉｒｅ  Ｒｉｂｏｒｄｙ，  Ｗｏｌｆｇａｎｇ  Ｔｉｔｔｅｌ，  ａｎｄ  Ｈｕｇｏ  Ｚｂｉｎｄｅｎ，  （２００２）  “Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ”，  Ｒｅｖ．  ｏｆ  Ｍｏｄ．  Ｐｈｙｓ．  ７４．
【非特許文献２】−Ｃ．  Ｈ．  Ｂｅｎｎｅｔｔ  ａｎｄ  Ｇ．  Ｂｒａｓｓａｒｄ．  “Ｑｕａｎｔｕｍ  ｃｒｙｐｔｏｇｒａｐｈｙ：  Ｐｕｂｌｉｃ  ｋｅｙ  ｄｉｓｔｒｉｂｕｔｉｏｎ  ａｎｄ  ｃｏｉｎ  ｔｏｓｓｉｎｇ”．Ｉｎ  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｏｍｐｕｔｅｒｓ，  Ｓｙｓｔｅｍｓ  ａｎｄ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｉｎｇ，  ｖｏｌｕｍｅ  １７５，  ｐａｇｅ  ８．  Ｎｅｗ  Ｙｏｒｋ，  １９８４．
【非特許文献３】−Ｖａｌｅｒｉｏ  Ｓｃａｒａｎｉ，  Ａｎｔｏｎｉｏ  Ａｃiｎ，Ｇｒeｇｏｉｒｅ  Ｒｉｂｏｒｄｙ，  ａｎｄ  Ｎｉｃｏｌａｓ  Ｇｉｓｉｎ  （２００４）．“Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ  Ｐｒｏｔｏｃｏｌｓ  Ｒｏｂｕｓｔ  ａｇａｉｎｓｔ  Ｐｈｏｔｏｎ  Ｎｕｍｂｅｒ  Ｓｐｌｉｔｔｉｎｇ  Ａｔｔａｃｋｓ  ｆｏｒ  Ｗｅａｋ  Ｌａｓｅｒ  Ｐｕｌｓｅ  Ｉｍｐｌｅｍｅｎｔａｔｉｏｎｓ”
【発明の概要】
【発明が解決しようとする課題】
【００１７】
上述した課題に対処する１つの方法としては、ＱＫＤ製品における安全性関連のパラメータのうちのいくつかを変更することを可能にすることである。このような変更は、典型的には、装置が製造者の構内から出た後に、ユーザによって行われ、その結果、ユーザのみが変更されたパラメータを知っていることになる。従来の暗号手法の分野におけるそのようなパラメータの変更の一例は、カスタマイズされる暗号化アルゴリズムを使用することによって得られる。この場合の従来の暗号手法では、背景技術の部分で示したような一般的な構造を保持しつつ、暗号化アルゴリズムのいくつかのパラメータを変更するという概念である。
【００１８】
本発明の目的は、実装されたプロトコルを定義するために用いられるいくつかのパラメータを変更することによりＱＫＤに同じ原理を適用することである。そうすることにより、敵対者が実装攻撃を仕かけて有益な情報を抽出することが、さらに困難になる。また、ユーザは、これによって製品製造者に知られないようにそのシステムを変更することで、製品特性に基づいた攻撃に対して保護を向上させることができる。
【００１９】
したがって、本発明は、少なくとも１つの量子鍵を交換するための量子鍵配送（ＱＫＤ）の装置であって、ＱＫＤコントローラおよびＱＫＤ送信機を有する発信機と、ＱＫＤコントローラおよびＱＫＤ受信機を有する受信機と、発信機および受信機の同期およびふるい分けステップを実現させるための１つのサービスチャンネルと、量子ビットを交換するための１つの量子チャンネルとを備え、発信機および受信機は、カスタマイゼーションパラメータおよびカスタマイゼーションパラメータをそれぞれ受信するように適合され、前記ＱＫＤシステムは、少なくとも２つのプロトコルＰ１およびプロトコルＰ２をサポートするように適合され、前記ＱＫＤシステムは、第１のプロトコルＰ１から第２のプロトコルＰ２に切り替えるように適合される装置に関する。
【００２０】
ＱＫＤコントローラは、少なくとも２つのサブコントローラであるコントローラ１およびコントローラ２、ならびにスイッチ（１１３）を備えることが好ましい。
【００２１】
前記プロトコルの選択は、前記複数の機器製造業者パラメータまたは前記複数のカスタマイゼーションパラメータに格納された複数のデジタル値によって、定義することができることが好ましい。
【００２２】
プロトコルＰｉ列は、量子ビットの、長さＬｉの複数のブロックによって定義されることが好ましい。
【００２３】
プロトコルの切り替えは、ＱＫＤの実行中に実現されることが好ましい。
【００２４】
サポートされた複数のプロトコル間の差異は、ふるい分けステップにおいて定義されることが好ましい。
【００２５】
本発明の第２の態様は、前記ＱＫＤ装置内で複数のカスタマイゼーションパラメータを使用する方法であって、ＱＫＤコントローラにおける複数のカスタマイゼーションパラメータ値を定義するステップと、１つの量子ビットに対して複数のカスタマイゼーションパラメータを読み取り、格納するステップと、前記量子ビットをふるい分けし、前記ふるい分けされた新たな鍵を格納するために、複数のカスタマイゼーションパラメータを使用するステップと、前記ふるい分けされた鍵が、十分に大きいか否かを分析するステップと、前記ふるい分けされた鍵が十分に大きい場合に、前記格納された、ふるい分けされた鍵の蒸留を実現するステップとを含む方法に関する。
【図面の簡単な説明】
【００２６】
本発明の好ましい実施の形態を限定することなく図示している図面を参照して、本発明の好ましい実施の形態を以下に説明する。当該図面において、
【図１】図１は、追加のパラメータを有するＱＫＤシステムに基づく本発明の装置を示す図である。
【図２】図２は、異なるプロトコルのブロックを有する本発明の装置を示す図である。
【図３】図３は、異なる論理的ビット値を割り当てたプロトコルブロックの特定の事例を示す図である。
【図４】図４は、本発明の装置の実装に関連する方法を示す図である。
【発明を実施するための形態】
【実施例】
【００２７】
本発明の説明は、いくつかの図面に基づく。
【００２８】
本発明の主要な目的は、ＱＫＤシステムによって提供される安全性を向上させて、機器製造業者に対するＱＫＤユーザの信頼要件を減少させることである。
【００２９】
図１に示されるように、本発明は、発信機（１００）と受信機（２００）との間で暗号鍵を安全に交換するために用いることができる。本発明は、追加のカスタマイゼーションパラメータを受け入れるために変更された従来のＱＫＤシステムに基づいている。ＱＫＤシステムのハードウェアは、量子チャンネル（５００）を介して接続されたＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）によって構成される。ＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）は、典型的には、量子ビット（５２０）のストリームを生成および検知するように適合される、光学的な構成要素および電子的な構成要素によって構成される。ＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）は、通信回線（１１５および２１５）を介してＱＫＤコントローラ（１１０および２１０）によって制御される。これらのコントローラは、例えば、１つまたは複数のマイクロプロセッサまたはコンピュータからだけでなく、ソフトウェアからも構成される。ＱＫＤコントローラ（１１０および２１０）は、サービスチャンネル（４００）を介して接続される。サービスチャンネルは、複数のコントローラが一連のメッセージを交換可能にする通信チャンネルである。これらは、例えばインターネット接続または直接的な光学的なリンクによって構成される。
【００３０】
ＱＫＤコントローラ（１１０および２１０）は、量子ビット（５２０）列の交換を始めるようにＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）の動作を制御する。
【００３１】
発信機（１００）におけるＱＫＤコントローラ（１１０）は、異なるプロトコルでＱＫＤ装置を実行することができる一連のサブコントローラを含む。図１において、２つの異なるプロトコルを実行する装置の事例を示す。しかしながら、この事例は、任意の整数値まで拡大することができる。図１において、ＱＫＤコントローラ（１１０）は、ＱＫＤシステムがプロトコル１で動作可能にするコントローラ１（１１１）と、ＱＫＤシステムがプロトコル２で動作可能にするコントローラ２（１１２）と、プロトコル１からプロトコル２への変換を制御するスイッチ（１１３）とを備える。同様に、受信機（２００）におけるＱＫＤコントローラ（１２０）は、ＱＫＤシステムをプロトコル１で動作可能にするコントローラ１（２１１）と、ＱＫＤシステムをプロトコル２で動作可能にするコントローラ２（２１２）と、プロトコル１からプロトコル２への変換を制御するスイッチ（２１３）とを備える。
【００３２】
ＱＫＤコントローラ（１１０）は、送信された量子ビット（５２０）のリストを記録する。同様に、ＱＫＤコントローラ（２１０）は、各量子ビット（５２０）に対して、観測基底および検知結果がある場合は記録する。そうすると、ＱＫＤコントローラ（１１０および２１０）は、サービスチャンネル（４００）におけるメッセージを交換することによって、ふるい分けとして知られているプロトコルを実行して、ふるい分けされた鍵を生成する。このプロトコルは、典型的には、量子ビット（５２０）列に対して準備基底および観測基底を量子ビット毎に比較することを意味する。盗聴および実験上の不完全性がないとき、発信機（１００）および受信機（２００）のふるい分けされた鍵は全く同一である。
【００３３】
ふるい分けされた鍵（ｓｉｆｔｅｄ  ｋｅｙ）における誤り率がしきい値より低いと仮定すると、ＱＫＤコントローラ（１１０および２１０）は、この共通鍵材料（１５０および２５０）にふるい分けされたものを蒸留することができる。この蒸留段階は、典型的には誤り訂正ステップと秘匿性増幅ステップとを含むが、他のステップも用いることができる。鍵材料（１５０および２５０）は、通信回線（１５１および２５１）を介して、ＱＫＤコントローラ（１１０および２２０）によって出力されるビット列から構成される。通信回線（１５１）は、例えばＱＫＤコントローラ（１１０）と、カスタマイゼーションパラメータ（１６０）が定義される顧客の装置とを繋げる銅線によって伝送されるシリアル通信リンクによって実装することができる。盗聴者が物理学の法則に従うという条件の下で、この鍵材料（１５０および２５０）に関して盗聴者が得られる情報の量を、任意の小さな値に制限することができる。
【００３４】
発信機（１００）と受信機（２００）とから構成されるこのＱＫＤシステムは、プロトコルのファミリーを形成する複数のＱＫＤプロトコルを実装することができる。本発明の第１の実施の形態において、このシステムは、通信回線（１６１）を介して、発信機（１００）のＱＫＤコントローラ（１１０）へのカスタマイゼーションパラメータ（１６０）の導入を受け入れるように変更される。カスタマイゼーションパラメータ（１６０）は、例えば、ＱＫＤ装置が秘密鍵の交換に用いるべきプロトコルを定義するデジタル値として実装される。同様に、カスタマイゼーションパラメータ（２６０）は、通信回線（２６１）を介して受信機（２００）のＱＫＤコントローラ（２１０）に導入される。カスタマイゼーションパラメータ（２６０）および通信回線（２６１）は、カスタマイゼーションパラメータ（１６０）および通信回線（１６１）として実装することができる。カスタマイゼーションパラメータ（１６０および２６０）は、実施の形態によって同一または異なる。前述の例において、カスタマイゼーションパラメータ（１６０）によって、ユーザはスイッチ（１１３）を始動させることができるようになる。スイッチ（１１３）は、コントローラ１（１１１）起動させることによってプロトコル１を起動させるか、またはコントローラ２（１１２）を起動させることによってＱＫＤシステムのプロトコル２を起動させる。
【００３５】
各ＱＫＤコントローラ（１１０）および（１２０）において、１セットのデフォルトパラメータがメモリに格納される。ＱＫＤコントローラ（１１０）または（１２０）の２つのうちの少なくとも１つが、カスタマイゼーションパラメータ（１６０）または（２６０）のいずれも受信しない場合、カスタマイゼーションパラメータが定義されていなくても、ＱＫＤデバイスを実行させることができるデフォルト構成において、スイッチ（１１３）および（２１３）を調整するために、デフォルトパラメータが用いられる。例えば、ＱＫＤ装置（１００）および（２００）は、コントローラ１（１１１）および（２１１）とともに連続的に実行される。
【００３６】
図２は、カスタマイゼーションパラメータ（１６０および２６０）の第１の可能な使用を示す。量子チャンネル（５００）上で交換された量子ビット（５２０）は、長さＬｉ（５１１）を有する少なくとも１つの量子ビットから構成される複数のブロック（５１０）にグループ分けされる。「ｉ」は量子ビットの数において指定されるブロックの添え字を示し、同一であっても異なっていてもよい。このグループ分けは、機器製造業者によって発信機（１００）および送信機（２００）に予め定義することができる。その代わりに、それをカスタマイゼーションパラメータ（１６０および２６０）において指定することもできる。複数の量子ビット（５２０）の各ブロック（５１０）に対して、発信機（１００）および送信機（２００）を用いて実装されることができるプロトコルのファミリーから選択されたＱＫＤプロトコル（５３０）が用いられる。異なるブロックに対して用いられるプロトコル（５３０）のリストは、機器製造業者によって発信機（１００）および送信機（２００）において予め定義することができる。または、それをカスタマイゼーションパラメータ（１６０および２６０）において指定することもできる。本発明の実装には、少なくとも２つのプロトコル（５３０）の使用を可能にすることが必要である。可能な実施の形態の１つは、ＢＢ８４およびＳＡＲＧプロトコルの使用に基づく。これらの２つのプロトコルは、同じＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）のハードウェアを用いて実装されることができる。唯一の差異は、ＱＫＤコントローラ（１１０）および（２１０）においてふるい分けステップを実施することであり、これによって、これらのプロトコルを本発明の実装のために特に適切に適応させる。
【００３７】
ＱＫＤ送信機（１２０）およびＱＫＤ受信機（２２０）を用いて実装することができるプロトコルのファミリーのうちの選択されたプロトコル（５３０）に依存して、量子ビット（５２０）のいくつかの物理的パラメータは、プロトコル毎に異なってもよい。この場合、これらのパラメータはブロック毎に調整することができる。その代わりに、すべてのプロトコルに対して最適ではないが適切である値を１セット用いてもよい。
【００３８】
ＢＢ８４のプトロコルおよびＳＡＲＧのプロトコルのいずれかを選択する場合、弱いレーザパルスが量子ビット（５２０）として用いられると仮定すると、上述のような調整の一例は、当該量子ビット（５２０）の平均光子数である。最適な平均光子数は、ＢＢ８４のプロトコルおよびＳＡＲＧのプロトコルによって異なる。発信機（１００）は、このプロトコルに関連付けられたプロトコルに従って、ブロック（５１０）のうちの特定のブロックに対して平均光子数を調整することができる。その代わりに、発信機（１００）は、量子ビット（５２０）の平均光子数も、用いられているプロトコルの最悪のケースに対応する値に設定することもできる。
【００３９】
各ブロック（５１０）に対して、ＱＫＤコントローラ（１１０および２１０）を用いてふるい分けされた鍵を生成した後に、この鍵材料を蒸留しなければならない。典型的には、動作を最適化するために大きなビットのブロックを蒸留に用いることが好ましい。鍵の蒸留の第１の手法は、後で蒸留されるより大きなブロックの特定のプロトコルに対応する、ふるい分けされた鍵のブロックをすべて照合することである。この手法により、各プロトコルを用いて生成された鍵材料に対して蒸留パラメータを最適化することが可能になる。別の手法としては、少なくとも２つのプロトコルに対応するふるい分けされた鍵のブロックを、より大きなブロックに組み合わせた後、蒸留される。この手法を用いて、１つまたはいくつかのプロトコルには最適ではないかもしれないが、すべてのプロトコルに対して適切な値に蒸留パラメータを調整しなければならない。鍵を蒸留した後、鍵材料（１５０）および（２５０）を、従来のＱＫＤの場合と同様に、通信回線（１５１）および（２５１）を用いて、例えばリンク暗号化のような外部の用途に利用できるようにする。本発明の利点は、ユーザが、発信機（１００）および受信機（２００）の動作を、製造者の構内を出た後にユーザが変更することによって、機器製造業者への信頼要件を減少させることができるということである。特定の量子ビットに対して、どのプロトコルに攻撃が仕かけられるべきであるのかを、外部の攻撃者は知らないため、本発明は、攻撃者が実装攻撃を仕かけることをより困難にし得る。
【００４０】
本発明の第２の実施の形態において、ブロック（５１０）に用いられるプロトコル（５２０）は、ビット値の割り当てに対して異なる量子ビットを用いて実現される。ＢＢ８４プロトコルの変形例が用いられる場合のそのような割り当ての２つの例を、図３に示す。ＢＢ８４プロトコルは、２つのセットの２つの状態に依存する。２進数のビット値が、これらのセットの各状態に割り当てられ、この割り当てを変えることができる。図３において、ビット値対応に対する量子ビットの可能性＃１（５４０）および＃２（５５０）間の主な差異は、対角基底に対する差異である。この割り当ては、機器製造業者によって発信機（１００）および送信機（２００）において予め定義することができる。その代わりに、この割り当てをカスタマイゼーションパラメータ（１６０および２６０）に指定することができる。量子ビット（５２０）のブロック（５１０）のそれぞれに対して、特定のビット値の割り当てが指定される。異なるブロックに対して用いられるビット値のリストの割り当ては、機器製造業者によって発信機（１００）および送信機（２００）において予め定義することができる。その代わりに、これをカスタマイゼーションパラメータ（１６０および２６０）において指定することができる。ビット値の割り当ての選択は、機器製造業者（１００および２００）に格納された、またはカスタマイゼーションパラメータ（１６０および２６０）に格納されたデジタル値によって、定義することができる。この第２の実施の形態の他の態様は、第１の実施の形態の態様と同一である。本発明の第２の実施の形態において、ビット値の割り当ては、プロトコルを変えるために用いられるパラメータである。
【００４１】
第３の実施の形態は、プロトコルおよびビット値の割り当てのどちらもブロック毎に変更される、第１および第２の実施の形態の組み合わせから構成される。
【００４２】
図４は、ＱＫＤ装置（１００）および（２００）によって、カスタマイゼーションパラメータを用いる方法（６００）を示す図である。第１ステップ（６１０）において、ＱＫＤコントローラ（１１０）および（２１０）は、顧客からカスタマイゼーションパラメータを受信する。この受信は、ブロック毎、または連続的に行われる。受信の処理能力は、ＱＫＤ装置の処理能力の需要と比較して、十分なものであるべきである。このステップ（６１０）と並行して、ＱＫＤコントローラ（１１０）および（２１０）は、ループプロセスを開始する。このループプロセスの第１のステップ（６２０）において、ＱＫＤコントローラに用いられるすべてのバッファを空にする。第２ステップ（６３０）において、ＱＫＤコントローラは、１つの量子ビットに対するカスタマイゼーションパラメータの値を読み込み、格納する。例えば、カスタマイゼーションパラメータは、当該量子ビットに用いられたプロトコルがＢＢ８４またはＳＡＲＧであることを定義する。第３ステップ（６４０）において、適切なパラメータ値をＱＫＤ送信機（１２０）および（２２０）に送信するために、これらのカスタマイゼーションパラメータは、ＱＫＤコントローラによって使用される。これは、スイッチ（１１３）によって選択された適切なサブコントローラであるサブコントローラ（１１１）または（１１２）によって行われる。例えば、量子ビットの生成および分析は、選択されたＢＢ８４またはＳＡＲＧのプロトコルに対して行われる。第４ステップ（６５０）において、カスタマイゼーションパラメータは、当該量子ビットのふるい分けをどのように行うかを定義するＱＫＤコントローラ（１１０）および（２１０）によって、使用される。これは、スイッチ（１１３）によって選択された適切なサブコントローラ（１１１）または（１１２）によって行われる。例えば、ふるい分けは、ＢＢ８４またはＳＡＲＧのプロトコルにおいて定義されているため、行うことができる。この新たにふるい分けされたビット値は、ＱＫＤコントローラ（１１０）および（２１０）に格納される。第５のステップ（６６０）において、ＱＫＤコントローラは、格納された、ふるい分けされたビット数が蒸留を開始させることができるほど十分に大きいかを確証する。それに該当しない場合、この方法は、別の量子ビットに交換する準備を行うために、ステップ（６３０）に戻る。格納された、ふるい分けされたビットの数が十分に大きい場合、蒸留が開始される。第６ステップ（６７０）において、カスタマイゼーションパラメータは、鍵の蒸留を適切な方法で行うために、ＱＫＤコントローラ（１１０）および（２１０）によって用いられる。これは、スイッチ（１１３）によって選択された適切なサブコントローラ（１１１）または（１１２）によって行われる。例えば、ふるい分けされたビットは、ソートされた２つのグループであり、１つは量子ビット交換およびふるい分けプロセスのためのＢＢ８４の使用に対応し、もう１つは、ＳＡＲＧの使用に対応する。その後、ビットの２つのグループは、これらのグループプロトコルを基準にして蒸留される。そうすると、この方法（６００）は、鍵の生成が開始されて、すべてのバッファを空にするステップ（６２０）にループバックする。
【００４３】
本発明の一部ではないが、本発明の動作に重要な態様の１つは、カスタマイゼーションパラメータの２つのリストを同期することである。実際は、本発明が適切に動作するために、発信機（１００）および受信機（２００）は、各量子ビットに対してそれぞれのＱＫＤコントローラ（１１０）または（１２０）を同じサブコントローラに切り替える必要がある。以下のパラグラフにおいて、このタスクを行うために用いることができるいくつかの技術を説明する。
【００４４】
カスタマイゼーションパラメータ（１６０）および（２６０）に対応する値は、発信機（１００）および受信機（２００）が利用可能でなければならならず、この利用可能性を確保する２つの手法が存在する。第１の手法において、パラメータは、発信機（１００）および（２００）の間で手動で配送される。従来のＱＫＤの実装には、最初のＱＫＤセッション中にサービスチャンネル（４００）上におけるコミュニケーションの認証に用いられる、事前に共有された秘密を配送することが必要である。この事前に共有された秘密に対してカスタマイゼーションパラメータ（１６０）および（２６０）を付加し、発信機（１００）および受信機（２００）にこの情報を手動で配布することは可能である。
【００４５】
発信機（１００）および受信機（２００）に対してカスタマイゼーションパラメータ（１６０）および（２６０）の利用可能性を確保するための第２の手法は、二者のうちの一者（１００または２００）にカスタマイゼーションの局所的な選択を割り当て、この一者がその相手にこの情報を送信する。この送信は、悪意のある者によってこの情報の傍受を防ぐために、暗号鍵を用いて、暗号化形式で行うことができる。この送信は、量子ビット（５２０）を交換する前、またはこの送信の後に行うことができる。この第２の事例において、悪意のある者は量子ビット（５２０）の交換中にカスタマイゼーションパラメータ（１６０および２６０）にアクセスできず、どの情報を搭載するかを選択するためにこの情報を用いることができない。この非同時性は、当該カスタマイゼーションパラメータ（１６０および２６０）を暗号化形式で送信するための条件を緩和するために用いられてもよい。
【００４６】
当該カスタマイゼーションパラメータ（１６０および２６０）は、例えば量子ビット（５２０）をブロック（５１０）にグループ分けし、さらに、各ブロックに割り当てられたプロトコルのように、ＱＫＤシステムの厳密なカスタマイゼーションを定義するために直接用いることができる。その代わりに、これらのカスタマイゼーションパラメータ（１６０および２６０）は、アルゴリズムのプロセスを用いて、後処理を行って拡張して、厳密なカスタマイゼーションを生成することができる。カスタマイゼーションパラメータ（１６０および２６０）がシードとして用いられる場合、そのようなアルゴリズムの拡張の一例は、擬似乱数発生器によって構成される。
【００４７】
最後に、カスタマイゼーションパラメータ（１６０および２６０）は、システムによって生成された鍵材料（１５０および２５０）のうちのいくつかを用いることにより、ＱＫＤシステムの動作中に更新することができる。この鍵材料は、新たなカスタマイゼーションパラメータとして用いてもよく、またはカスタマイゼーションパラメータの新たな値の送信を暗号化するために用いることができる。
【００４８】
以上、本発明を好ましい実施の形態に関連して説明したが、上述の実施の形態または図示された実施の形態に限定されず、添付の特許請求の範囲によって限定されることが理解される。
【図１】
2018538760.tif 000003
【図２】
2018538760.tif 000004
【図３】
2018538760.tif 000005
【図４】
2018538760.tif 000006
【国際調査報告】
2018538760.tif 000007
2018538760.tif 000008