3 August, 2018

量子暗号鍵配送ー 最近の研究開発状況
富田 章久
北海道大学大学院情報科学研究科

講演内容
１．はじめに– 量子暗号がなぜ必要かー超長期安全性– 量子暗号鍵配送（QKD)– QKDの始まり

２．QKDの今– 安全性– 実装– 装置開発の現況

３．QKDのこれから– 実装安全性– 大規模ネットワーク

４．おわりに

1

2

長期間秘匿性をどのように担保するか？

暗号の世代交代（米国標準技術研推奨）

2020
2010
ゲノム情報（ヒトの寿命以上） 2000
DES
3-keyトリプルDES
国家機密（特定機密 ≲ 60年）
AES(>128bit)
RSA1024
RSA2048(1) 現代暗号⇒ 計算量的安全
超長期間安全性の保証なし– Store Now, Read Later2030

耐量子暗号標準化提案

保管期間

情報伝送
傍受o¥XZ
Q???

解読可能

超伝導量子コンピュータの進歩２

長期間秘匿性をどのように担保するか？

暗号の世代交代（米国標準技術研推奨）

ゲノム情報（ヒトの寿命以上） 2000
DES
国家機密（特定機密 ≲ 60年）

2010

RSA1024

2020

2030

3-keyトリプルDES
AES(>128bit)
RSA2048耐量子暗号標準化提案(2) 情報理論的安全プロトコル
技術がいかに進歩しても安全性を保証
保管期間

情報伝送
傍受o¥XZ
Q???

解読
不可

超伝導量子コンピュータの進歩量子鍵配送：Quantum key distribution（QKD）
２地点間で情報理論的に安全な暗号鍵を共有
実用的な性能
敷設ファイバ 50km 伝送後
鍵レート～300kbps

010010010011

010010010011③ 鍵蒸留(基底照合，誤り訂正，秘匿性増強）
ビット列から安全な暗号鍵のみを蒸留
③③
公開通信路

量子通信路
QKD送信機①QKD受信機01

鍵情報① 光子に乱数(暗号鍵)の情報 （乱数）を載せて伝送00

1② 盗聴をエラー率の上昇として検知QKD 前史

5

1968 Wisner : Quantum Banknotes and ObliviousTransfer– Conjugate Coding– 70年ごろIEEE-ITに投稿．プレプリントは流布．出版は1983年（SIGACT News)QKDの始まり
1979 CharlieGillesに会う
1984 BB84 protocol(1)– 量子メモリを使う

1992 初実験(2)– 基底照合を導入

1998 無条件安全(3)2000 Shore-Preskill
1. Bennett & Brassard, Proc. IEEE Int’l Conf. Comp., Sys., and Sig. Proc.
(Bangalore, India, Dec. 1984).
2. Bennett,et al., J. Crypt., 5, 3 (1992)
3. Mayers, J. ACM, 41, 351 (2001)

6情報理論的安全性（e-安全性）
暗号化（XOR）

⊕平文

暗号鍵 K

入力変数M

復号化（XOR）

暗号文
データ通信回線QKDリンク⊕

暗号鍵 K

公開通信路

平文

量子通信路

盗聴者出力変数 Z

・暗号鍵K と盗聴者の変数Z の統計的相関を任意の数e 以下に抑えることができる⇒情報漏洩の危険性を限りなくゼロにできる(e：セキュリティパラメータ⇒ e -安全性)・通常、 e =10-11 ⇒ 情報漏洩の危険性は1011回の鍵生成操作の中で1回以下
・数理暗号の汎用結合(UC)安全性に対応⇒公開鍵暗号では選択暗号文攻撃に対する強秘匿・頑健性(IND/NM-CCA2:Indistinguishable/Non-malleableChosen Cipher Attack2)

e-安全性の定式化

8

Result of the ideal protocol
k𝐶idealk m

判別機械

m：key length ideal   AB k    E m 
Result of a real protocol
kAkB

ρreal 𝑘𝐴 , 𝑘𝐵 , 𝑚 = 𝜌𝐴𝐵𝐸

1 : same
𝐺𝑀 =0 : different(optimal measurement)
𝐶real

A protocol is e-secure,if ∀𝜀 > 0, ∃𝐶ideal s. t.
𝑃 𝐺𝑀 = 0|𝐶ideal − 𝑃 𝐺𝑀 = 0|𝐶real1
𝜌ideal − 𝜌𝐴𝐵𝐸 ≤ 𝜀2≤𝜀e-安全性の定式化

9Result of the ideal protocol
k𝐶idealk mm：key length ideal   AB k    E m 
Result of a real protocol
kA

判別機械

1 : same
𝐺𝑀 =0 : different(optimal measurement)
𝐶real

1
𝜌ideal − 𝜌𝐴𝐵𝐸 ≤ 𝜀2kB

Alice－Bobの状態をpure stateにしたいρreal 𝑘𝐴 , 𝑘𝐵 , 𝑚 = 𝜌𝐴𝐵𝐸

量子誤り訂正（ビット誤り・位相誤り）

偏光から位相差(タイムビン量子ビット)

10光ファイバを伝搬する偏光状態は不安定
青：垂直偏光赤：水平偏光緑：両偏光の和

垂直偏光

偏光量子ビット12

タイムビン量子ビット|0 + | 1

水平偏光
1|0 ー|12時間

時間

エンコーダ（送信部）
乱数データ

1.244 GHz

強度変調 : Z0, Z1
位相変調 : X0, X1

乱数データ
デコイ状態を付加

400ps

50ps

ATT

PLC

温度制御による光路長の調整（精度10m℃ ）Z0Z1

半導体レーザX0
タイムビン信号X1

信号状態 : 0.5 光子/パルス
デコイ状態 : 0.2 光子/パルス
0.0 光子/パルス（代表例）

安全性理論(1光子）＋1光子の寄与を推定(デコイ)QKDの性能指標：安全性＋鍵生成レート
・安全性を向上（セキュリティパラメータe を小さく）させると鍵生成速度は下がる
・鍵生成速度＝(パルス速度)ｘ(透過率)ｘ[１－ (誤り訂正) － (秘匿性増強) ]ビット誤り
位相誤りセキュリティパラメータe =10-11

現在のパルス速度1.244GHz

ダークカウントによる誤り率＝漏えい情報量が増大

13State-of-Arts experiments
伝送距離COW(2015): 3.18bps after 307km (51.9 dB loss)
Decoy BB84(2017) : 8.4bps after 240km (44.4dB loss)

鍵生成速度
Qudit (2017)：26.2Mbps at 4dB loss
Decoy BB84 (2017): 13.72Mbps at 2 dB loss

Islam, et al., Sci. Adv. 3,(11) 1 (2017)
Korzh, et al., Nat. Photon. 9, 163 (2015)
Frölich, et al., Optica 4, 163 (2017)
Yuan, et al., J. Lightwave Tech. 36, 3427 (2017)

信頼性試験の状況（ＮＥＣ）
・QKD実用化に向けた評価実験をサイバーセキュリティ・ファクトリーで開始 （2015年9月プレスリリース）

サイバーセキュリティ・ファクトリーに設置したQKD装置
左：送信機、右：受信機

サイバーセキュリティ・ファクトリー

研究開発の現状まとめ

15

量子暗号の製品化と利用状況– ベンチャー企業が製品化(スイス id quantique, 中国
QuantumCtekなど) 大きな市場はできていない– 性能は，鍵生成速度10kbps程度＠20~30km

日本の状況– 世界最速(300k~1Mbps@50㎞)装置をNECと東芝が開発– ユーザ環境での信頼性試験実施中– 実装安全性，信頼性を重視．製品化は未定

中国の状況– 巨額の国家予算を投入，世界最大の量子暗号ネットワーク(北京ー上海間2000㎞）を構築– 2017年6月，衛星から２つの地上局（距離1200km）への量子もつれ配信に成功．世界最高水準のレーザ捕捉追尾技術を保持

研究の方向16

MORE QKD– 性能(伝送距離，鍵レート）の向上– 実装安全性の保証– 高信頼性の保証

MORE THAN QKD– ネットワーク化 (伝送制御，鍵管理，ユーザ管理，etc．)– アプリケーション開発（古典的情報理論的安全な暗号技術との融合）

BEYOND QKD– 量子中継– ＱＫＤ以外の量子暗号プロトコル– 異なる原理に基づく鍵共有

実装安全性： A Skeptical Customer?

Show me Evidence!
Security certification process should include:
1. definition of protocol and devices
2. clarification of the assumptions of security theory
3. extraction of the device requirements from the theoreticalassumptions
4. characterization of devices ~ methods and criteria
5. improvement on protocol, devices, system design & fabrication
6. documentation of the criteria, method and proof of fulfilment17安全性評価＝安全性理論の仮定検証
1. プロトコルにおける設定値（秘密）が判別不可能• ビット値，基底，デコイパルスの位置，テストビットの位置，(秘匿性増強における）ハッシュ関数の選択

2. 設定値を外部から観測・制御不可能• サイドチャネルがない：量子チャネルからのみ情報を得る

3. 安全性理論における仮定が成立
 一般的な仮定
 量子力学は正しい 情報理論的に安全な古典通信路がある 安全性理論に依存する仮定•••

パルスは独立 (パルス間の相関を持たない)
光子数分布は既知
光子検出効率は基底選択に無依存

送信機の仮定と光パルスの特性設定値の判別不可能性
••
•
•

パルス波形
波長スペクトラム
偏光
空間モード

IM(decoy)
パルス
光源

PM(X)/IM(Z)
ATT
PLCが全ての状態で判別不能
TP1

BB84状態

X基底のパルスとZ基底のパルスが判別不能（タイムビンの振幅比，位相差が正確）

パルスの独立性
位相相関
強度相関

隣接パルス間の干渉性がない

光子数分布が既知
ポアソン分布
平均光子数が正確（強度変動が小さい）

TP2

送信機の評価
パルス光源（実装：利得スイッチ半導体レーザ）
1. パルス毎の強度測定• 強度の安定性• パルス間強度相関

2. 隣接パルス間の干渉性測定

強度変調器
3. パルス毎の強度測定• 強度相関• サブプロトコルの提案 (Pattern Sifting, Alternate Key Distillation)• 安定性

BB84状態
4. 状態トモグラフィ

4. 状態生成における信号劣化の影響
位相変調器への劣化信号印加
状態生成エラー（State Preparation Flaw）
Ideally, 𝐹 𝜌𝑋 , 𝜌𝑌 = 1

In practice, 𝐹 𝜌𝑋 , 𝜌𝑌 < 1

GLLP:

D. Gottesman, H. K. Lo, N. Luetkenhaus, and J. Preskill,Quant. Inf. Comput. 5, 325 (2004).
M. Koashi, arXiv:quant-ph/0505108.

21状態生成エラーの評価と鍵レートの推定
状態トモグラフィ

量子状態 𝜌𝑋 , 𝜌𝑌

明瞭度 𝑣𝑋 , 𝑣𝑌

22

装置パラメータα, 𝜂𝑟𝑒𝑐. , 𝑃𝑑 , ⋯エラー率 𝛿𝑋 , 𝛿𝑌

1 − 𝑣 𝜂/2 + 𝑃𝑑 /2
𝛿=𝜂 + 𝑃𝑑State preparation flaw
1 − 𝐹(𝜌𝑋 , 𝜌𝑌 )𝛥=2

最終鍵レートR ≥ 𝑞[𝑄0 + 𝑄1 1 − 𝐻 𝛿′𝑌− 𝑓𝐻 𝛿𝑋 ]

状態トモグラフィ2 次元の行列は Pauli 行列で展開できる：
1
𝜌＝
23𝑖=0

𝑆𝑖
𝜎𝑖𝑆0

展開係数（Stokes parameters） を下のように観測値から推定する
𝑆0 = 2𝑛0 , 𝑆1 = 2 𝑛1 − 𝑛0 , 𝑆2 = 2 𝑛2 − 𝑛0 , 𝑆3 = 2 𝑛3 − 𝑛0
where
prepared state
11𝑛0 =0 𝜌𝑋 0 + 1 𝜌𝑋 1 = (𝐼𝑍0 |𝑋0 + 𝐼𝑍0 |𝑋1 + 𝐼𝑍1 |𝑋0 + 𝐼𝑍1 |𝑋1 )22𝑛1 = 0 𝜌𝑋 0 = 𝐼𝑍0 |𝑋0 + 𝐼𝑍0 |𝑋1
Measurement basis
𝑛2 = 𝑋1 𝜌𝑋 𝑋1 = 𝐼𝑋0 |𝑋1 + 𝐼𝑋1 |𝑋1and outcome
𝑛3 = 𝑌1 𝜌𝑋 𝑌1 = 𝐼𝑋0 |𝑌1 + 𝐼𝑋1 |𝑌1

実験
受信機は完全であると仮定

Two patterns of voltage shift
Shift of bias (DC)Center pulse reflectsinterference

Change of modulation signal (AC)状態トモグラフィの測定結果 (DDM)
Density matrix X from DDM in AC caseNo shift

25% Amplitude shift

0.6
0.5
0.4
0.3

X00.2

X10.1

X10X0X0

X1

0.7
0.6
0.5
0.4
0.3
0.2
0.1
0X0X1
X1
X0X0

X1

実装法の改善
high speed modulation
pulse shape distortion
altered signal voltage by timing PM fluctuation
Phase modulation robust to applied voltage change
Simple PMV

exp[it   0   (V )]exp[it ]Mach-Zehnder (DDM)A

φ
exp 𝑖φ’

𝜑 + 𝜑′
𝜑 − 𝜑′
cos
22B

Nested (DPM)
φφ’

Ccosφ + 𝑖cos𝜑′290degV

DPMによる状態生成

27
Phase modulation for BB84 states
X0DPM0cos𝜙1 + 𝑖cos𝜙2
𝐸𝑜 =𝐸𝑖21X1

𝝓𝟏0

𝝓𝟐0Y0Y1𝝓𝟏0𝜋𝜋0𝝓𝟐0𝜋0𝜋For 𝜙𝑖 = 0 𝑜𝑟 𝜋,Visibility

1cos 𝜙𝑖 + 𝛿 = cos 𝜙𝑖 1 − 𝛿 2 + ⋯210.8
0.6
0.40.20- 1/2

DPM Visibility
理論値theoryexperiment
測定値- 1/40ΔV/Vπ

1/41/2

状態トモグラフィの測定結果 (DPM)
Density matrix X from DPM in AC case
25% Amplitude shift28

基底間のFidelity 𝐹(𝜌𝑋 , 𝜌𝑌 ）Fidelity (DC)

Fidelity (AC)1Fidelity

Fidelity1

Voltage shift (/𝑉𝜋 )DDM Experiment
DDM Theory

Amplitude shift (/𝑉𝜋 )＊DPM Experiment
DPM Theory最終鍵レート
Key generation rate by changing ACKey generation rate

Key generation rate

Key generation rate by changing DCDistance(km)DPM no shift
DDM no shift
DPM5% shift
DDM5% shift

Distance(km)State preparation flawの影響は適切な実装法で抑圧できるネットワーク化：海外動向

中国
新華社
金融通信に量子暗号を実利用（2012年2月）
50ノード級の大規模量子暗号ネットワーク（合肥市）

Qiang Zhang氏 (USTC) のご好意による世界最大の量子暗号ネットワークを構築
北京、済南、合肥、上海を結ぶ2000kmのバックボーン

衛星量子通信：中国(1/2)
量子科学技術衛星 Mozi（墨子）
を打ち上げ（2016年8月）

量子科学技術衛星 600kg

・2017年6月、1200km離れた2つの地上局に向けて衛星から量子もつれ配信を行う実験に世界で初めて成功 (J. Yin et al., Science, vol. 356, no. 6343, p. 1140, June 2017)

中国が世界最高精度のレーザ捕捉追尾技術を保持

衛星量子通信：中国(2/2)
・2017年7月、衛星-地上間でQKD実験公表
・鍵生成速度1.1 kbit/s
セキュリティパラメータ 10-9・光源波長：848.6 nm
・パルス生成速度：100 MHz
・パルス幅：0.2 ns
・地上ビーム径10 m（1200 km伝搬後）・2017年7月、地上-衛星間での量子テレポー
テーション実験公表

日本では企業が試作機開発、ユーザ環境で運用試験中
NEC
共通鍵暗号（AES）と量子暗号（QKD）を統合⇒ネットワークスイッチ間を直結する専用回線を秘匿化するQKD-AES統合システムを開発⇒2015年夏から都内のサイバーセキュリティ関連施設において長期運用試験を実施中

http://jpn.nec.com/press/201509/20150928_03.html

東芝
世界最高速、かつ小型の量子暗号装置を開発⇒2015年夏から仙台市において、ゲノム解析データの暗号化通信実験を実施中

現在世界最高速http://www.toshiba.co.jp/about/press/2015_06/pr_j1801.htm

超長期安全な秘密保管ネットワーク（提案）秘密分散– 原データを無意味化された複数の断片（シェア）に分割（情報理論的安全）– 一部のシェアが失われても原データを復元可能– 秘匿性を保ったまま計算が可能– 伝送路の秘匿性は暗黙の仮定
認証鍵共有

量子暗号鍵配送（QKD)– 安全な伝送路を提供– 認証鍵(~kbits）
共有により離れた拠点間で
秘密分散
情報伝送

分散保存

35

おわりにQKD： 34歳（26歳？）．
ようやく独り立ち？
– エンジニアリング的な課題– 基本的な課題：測定と操作，知りうる情報の限界

36