JP2000201144A - 認証通信方法および認証通信装置 - Google Patents

Abstract

(57)【要約】 【課題】 量子力学の不確定性原理によってその安全性
が原理的に保証されている認証通信方法および認証通信
装置を提供する。 【解決手段】 送信者は認証機関１からＩＤ番号を支給
され、互いに直交する四つ以上の量子力学内部状態を持
つ粒子または粒子系を情報キャリアとし、有意情報ビッ
トを符号化した情報キャリアとＩＤ情報ビットを符号化
した情報キャリアを生成し、有意情報ビット列にＩＤ情
報ビットをランダムに挿入した全情報キャリアを受信者
に送信し、受信者は全情報キャリアを受信して測定結果
を得、送信者の要求により幾つかの測定結果を送信者に
報告し、送信者は測定結果に基づき受信者の測定の確認
後、ＩＤ情報ビットの挿入位置を開示し、受信者はＩＤ
情報ビットの挿入位置に基づき有意情報ビットを復号し
文書情報を得、ＩＤ情報ビットを認証機関１に問い合わ
せ、送信者が本人であるかどうかを照合してもらう。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、送信者が受信者に
対して自分が本人であることを確認させるとともに受信
者が送信者に成り済ますことを防止し、かつ送信者に成
り済まそうとする第三者を受信者が見破ることを可能に
する認証通信方法および認証通信装置に関し、更に詳し
くは、四つ以上の互いに直交する量子力学的内部状態を
有する粒子または粒子系を情報キャリアとして利用して
送信すべき情報を符号化し、認証機関において送信者に
発行される個人認証用ＩＤ番号を送信すべき文書情報に
付加して送信者から受信者に送信する認証通信方法およ
び認証通信装置に関する。

【０００２】

【従来の技術】近年のインターネットをはじめとするコ
ンピュータネットワークの発展に伴い、電子的なデータ
に電子的に署名を行うデジタル署名や、各種の商取引な
どをネットワーク上で行う電子マネーなどの試みが検討
されている。署名や商取引などの行為を円滑に遂行する
ためには、当事者同士が互いに本人であることを他者に
対して証明すること、また契約書などの書類が改ざんさ
れていないことを証明することなどが必要不可欠にな
る。書面を主要な手段として行う従来の取り引きにおい
ては、印鑑や署名の使用によってこれらの要求を充たし
ていたが、全ての情報が電子的にデジタル化されたコン
ピュータネットワーク上では、通常の意味での印鑑や署
名は単なるデジタル画像情報にすぎず簡単に複製が可能
になってしまい、その本来の機能である証明・認証機能
を喪失してしまう。

【０００３】例えば、送信者が受信者に自分の署名を送
信することで本人であることを証明しようとしたとす
る。しかし、送信者の署名を入手した受信者は第三者に
対してこの送信者の署名を送ることで完全に送信者に成
り済ますことができる。これは送信者にとって自分の署
名が悪用されるという意味で非常に重大な問題である。
更に、このことは受信者の立場からみて受け取った署名
の送り主が本当に送信者本人であるのかどうか不明にな
ってしまうことも意味している。

【０００４】このように送信者が「本人であることの個
人証明」をみせつつ、なおかつその「個人証明」を受信
者に悪用されないようにする方法を構築することが重要
な課題になる。このような方法を一般的に認証通信方式
と呼んでいるが、公開鍵暗号方式の提案が行われるより
以前は通信ネットワーク上で認証を行うことは上述の理
由により原理的に不可能であると考えられていた。

【０００５】通信ネットワーク上での認証通信を可能に
したのは公開鍵暗号方式を応用したデジタル署名技術で
ある（太田、黒澤、渡部、「情報セキュリティの科
学」、講談社、１９９５参照）。デジタル署名では、ま
ず送信者は公開鍵暗号方式における鍵生成手段に基づい
て暗号鍵と復号鍵とからなる鍵の対を生成する。そのう
ち暗号鍵を公開鍵として（公的な、もしくは信頼できる
私的な）認証機関に登録して公表するとともに、一方で
復号鍵を非公開鍵として秘密にしておく。送信者が署名
を付けた文書を送る場合には署名と合わせた文書を非公
開鍵で暗号化した上で送信する。受信者は受け取った暗
号文を送信者が公表した公開鍵を用いて復号するが、も
し解読された文書の中に送信者の署名が現れれば相手を
本人であると認証できることになる。なぜならば、公開
鍵暗号方式の原理にしたがえば、送信者の公開鍵を用い
て復号した場合に送信者の署名入の文書が出現するよう
な暗号文を生成するためには送信者の非公開鍵を知って
いなくてはならない。しかしこの非公開鍵を知っている
のは送信者本人しかいないと見なすことができるからで
ある。

【０００６】このように現在ではデジタル署名技術を利
用することで通信ネットワーク上で認証通信を行うこと
が可能になっている。これは現在そして将来の情報通信
ネットワークにとって極めて重要な要素技術の一つであ
る。

【０００７】

【発明が解決しようとする課題】デジタル署名技術の信
頼性、すなわち安全性は、送信者の非公開鍵が第三者に
は「絶対に」わからないという理論的前提に基づいてい
る（太田、黒澤、渡部、「情報セキュリティの科学」、
講談社、１９９５参照）。この理論的前提は計算量理論
によって裏付けられている。計算量理論ではある問題を
解くのに必要な計算時間が問題のサイズの増大につれて
どのように増加するのかを評価することにより、その問
題が実際に解ける問題なのか解けない問題なのかを判別
している。ここでサイズの増加に対して指数関数的に天
文学的な値にまで計算時間が増大してしまう場合には、
一般にその問題は解けないと見なされ、サイズの有限多
項式で表わされる時間内で解ける場合にはその問題は易
しい問題とされる。

【０００８】公開鍵暗号方式の一つであるＲＳＡ方式で
は公開鍵と非公開鍵の対を生成する過程の途中の一段階
で二つの大きな素数の積を求めるという易しい問題（掛
け算）を利用しているが、逆に第三者が公表した公開鍵
から非公開鍵を逆算する場合には、この途中の一段階を
逆方向に演算するときに大きな整数の素因数分解を行わ
なくてはならなくなる。素因数分解に必要とされる計算
量は整数の桁（サイズ）に対して指数関数的に増大する
ことから、桁が大きい場合の素因数分解は事実上不可能
とみなされている問題の一つであり、公開鍵暗号方式
（ＲＳＡ方式）の安全性の根拠となっている。公開鍵暗
号方式として提案されている他の方式でも、離散対数問
題などの「順方向の演算は易しくても逆算は計算量理論
的に不可能な」演算を採用している。

【０００９】しかしながら、将来的に限りなく続くであ
ろう計算機の高速化により、かつて安全と見なされてい
た公開鍵／非公開鍵の対もやがては解かれてしまうこと
になる。この懸念を本質的に解消することはできない。
更に、素因数分解をはじめとする計算量理論的に難しい
とされる多くの問題に対して、高速解法（多項式計算時
間内で解けてしまうような効率的な解法）が存在しない
ことが証明されているわけではなく、将来これらが発見
される可能性が皆無なわけではない。実際に、量子力学
的な並列演算を行うことで素因数分解や離散対数問題は
多項式時間内で解けてしまうことが理論的に証明される
に至っている（西野、「量子コンピュータ入門」、東京
電機大学出版局、１９９７参照）。

【００１０】このようにデジタル署名の基礎を与える公
開鍵暗号方式といえども必ずしも原理的に絶対安全とは
言えないのが事実である。そこで原理的にも絶対安全な
認証通信方法の検討が必要になる。ここで認証通信にお
ける安全とは通信内容が秘密に保たれるという意味では
なく成り済ましや書き換え（改変）が不可能という意味
である。

【００１１】一方、近年提案されている量子暗号のアイ
ディアによれば原理的に絶対安全な共通秘密暗号鍵の共
有が可能になる（Ａ．エカート著、井元訳、「量子暗号
への招待」、パリティ、Vol.７，No．２，１９９２参
照）。公開鍵暗号方式の安全性が計算量理論的な裏付け
しかもたず原理的に破られてしまう危険性を内包してい
るのに対して、量子暗号の安全性は量子力学の不確定性
原理に基づいており原理的に破られることはない。しか
し、これまで量子暗号の基本的なアイディアを認証通信
に応用する試みはなされていなかった。

【００１２】本発明は、上記に鑑みてなされたもので、
その目的とするところは、量子力学の不確定性原理によ
ってその安全性が原理的に保証されている認証通信方法
および認証通信装置を提供することにある。

【００１３】

【課題を解決するための手段】上記目的を達成するた
め、請求項１記載の本発明は、四つ以上の互いに直交す
る量子力学的内部状態を有する粒子または粒子系を情報
キャリアとして利用して送信すべき情報を符号化し、認
証機関において送信者に発行される個人認証用ＩＤ番号
を送信すべき文書情報に付加して送信者から受信者に送
信する認証通信方法であって、前記四つ以上の互いに直
交する量子力学的内部状態を有する粒子または粒子系に
おいてそれぞれ二つの量子状態からなる第一および第二
の直交基底系の一方を用いて、送信者から受信者に送信
すべき文書情報に相当する有意情報ビットを符号化した
情報キャリアを生成し、前記第一および第二の両方の直
交基底系をランダムに用いて、前記個人認証用ＩＤ番号
に相当するＩＤ情報ビットを符号化した情報キャリアを
生成し、前記有意情報ビット列を表す情報キャリアの時
系列に前記ＩＤ情報ビットを符号化した情報キャリアを
ランダムに挿入した全情報キャリアの時系列を生成して
受信者に送信し、受信者は前記第一および第二の直交基
底系における量子状態の組合せ方とは異なる組合せ方に
より構成される第三または第四の直交基底系を用いて、
送信者から送信された前記全情報キャリアを受信するこ
とにより測定結果を得、受信者は送信者によって指定さ
れた幾つかの情報キャリアに対応する前記測定結果を送
信者に報告し、送信者は受信者から報告された前記測定
結果に基づき受信者が測定を行ったかどうかを確認した
後、受信者に対して前記ＩＤ情報ビットの挿入位置を開
示し、受信者は前記開示されたＩＤ情報ビットの挿入位
置情報に基づき有意情報ビットおよびＩＤ情報ビットを
復号して文書情報およびＩＤ情報ビットを得て、この復
号したＩＤ情報ビットを認証機関に問い合わせて、送信
者が本人であるかどうかを照合してもらうことを要旨と
する。

【００１４】請求項１記載の本発明にあっては、第一お
よび第二の直交基底系の一方を用いて文書情報に相当す
る有意情報ビットを符号化した情報キャリアを生成し、
両方の直交基底系をランダムに用いて個人認証用ＩＤ番
号に相当するＩＤ情報ビットを符号化した情報キャリア
を生成し、有意情報ビット列を表す情報キャリアの時系
列にＩＤ情報ビットを符号化した情報キャリアをランダ
ムに挿入した全情報キャリアの時系列を受信者に送信
し、受信者は第一および第二の直交基底系とは異なる組
合せ方により構成される第三または第四の直交基底系を
用いて全情報キャリアを受信することにより測定結果を
得、受信者は送信者により指定された幾つかの情報キャ
リアに対応する測定結果を送信者に報告し、送信者は報
告された測定結果に基づき受信者が測定を行ったかどう
かを確認した後、受信者にＩＤ情報ビットの挿入位置を
開示し、受信者はＩＤ情報ビットの挿入位置情報に基づ
き有意情報ビットおよびＩＤ情報ビットを復号して文書
情報を得、復号したＩＤ情報ビットを認証機関に問い合
わせて、送信者が本人であるかどうかを照合してもらう
ため、送信者が紛れもなく本人であることを認証するこ
とができ、受信者による署名の悪用や受信者の送信者へ
の成り済ましを適確に防止することができる。

【００１５】また、請求項２記載の本発明は、四つ以上
の互いに直交する量子力学的内部状態を有する粒子また
は粒子系を情報キャリアとして利用して送信すべき情報
を符号化し、認証機関において送信者に発行される個人
認証用ＩＤ番号を送信すべき文書情報に付加して送信者
から受信者に送信する認証通信方法であって、送信者は
認証機関から個人認証用ＩＤ番号の支給を受け、四つ以
上の互いに直交する量子力学的内部状態を有する粒子ま
たは粒子系においてそれぞれ二つの量子状態からなる第
一および第二の直交基底系の一方を用いて、送信者から
受信者に送信すべき文書情報に相当する有意情報ビット
を符号化した情報キャリアを生成し、送信者は前記第一
および第二の両方の直交基底系をランダムに用いて、前
記個人認証用ＩＤ番号に相当するＩＤ情報ビットを符号
化した情報キャリアを生成し、送信者は前記有意情報ビ
ット列を表す情報キャリアの時系列に前記ＩＤ情報ビッ
トを符号化した情報キャリアをランダムに挿入した全情
報キャリアの時系列を生成して受信者に送信し、受信者
は前記第一および第二の直交基底系における量子状態の
組合せ方とは異なる組合せ方により構成される第三また
は第四の直交基底系を用いて、送信者から送信された前
記全情報キャリアを受信することにより測定結果を得、
受信者は送信者によって指定された幾つかの情報キャリ
アに対応する前記測定結果を送信者に報告し、送信者は
受信者から報告された前記測定結果に基づき受信者が測
定を行ったかどうかを確認した後、受信者に対して前記
ＩＤ情報ビットの挿入位置を開示し、受信者は前記開示
されたＩＤ情報ビットの挿入位置情報に基づき有意情報
ビットおよびＩＤ情報ビットを復号して文書情報および
ＩＤ情報ビットを得て、この復号したＩＤ情報ビットを
認証機関に問い合わせて、送信者が本人であるかどうか
を照合してもらうことを要旨とする。

【００１６】請求項２記載の本発明にあっては、第一お
よび第二の直交基底系の一方を用いて文書情報に相当す
る有意情報ビットを符号化した情報キャリアを生成し、
両方の直交基底系をランダムに用いて個人認証用ＩＤ番
号に相当するＩＤ情報ビットを符号化した情報キャリア
を生成し、有意情報ビット列を表す情報キャリアの時系
列にＩＤ情報ビットを符号化した情報キャリアをランダ
ムに挿入した全情報キャリアの時系列を受信者に送信
し、受信者は第一および第二の直交基底系とは異なる組
合せ方により構成される第三または第四の直交基底系を
用いて全情報キャリアを受信することにより測定結果を
得、受信者は送信者により指定された幾つかの情報キャ
リアに対応する測定結果を送信者に報告し、送信者は報
告された測定結果に基づき受信者が測定を行ったかどう
かを確認した後、受信者にＩＤ情報ビットの挿入位置を
開示し、受信者はＩＤ情報ビットの挿入位置情報に基づ
き有意情報ビットおよびＩＤ情報ビットを復号して文書
情報を得、復号したＩＤ情報ビットを認証機関に問い合
わせて、送信者が本人であるかどうかを照合してもらう
ため、送信者が紛れもなく本人であることを認証するこ
とができ、受信者による署名の悪用や受信者の送信者へ
の成り済ましを適確に防止することができる。

【００１７】更に、請求項３記載の本発明は、四つ以上
の互いに直交する量子力学的内部状態を有する粒子また
は粒子系を情報キャリアとして利用して送信すべき情報
を符号化し、認証機関において送信者に発行される個人
認証用ＩＤ番号を送信すべき文書情報に付加して送信者
から受信者に送信する認証通信装置であって、前記四つ
以上の互いに直交する量子力学的内部状態を有する粒子
または粒子系においてそれぞれ二つの量子状態からなる
第一および第二の直交基底系の一方を用いて、送信者か
ら受信者に送信すべき文書情報に相当する有意情報ビッ
トを符号化した情報キャリアを生成する有意情報ビット
符号化手段と、前記第一および第二の両方の直交基底系
をランダムに用いて、前記個人認証用ＩＤ番号に相当す
るＩＤ情報ビットを符号化した情報キャリアを生成する
ＩＤ情報ビット符号化手段と、前記有意情報ビット列を
表す情報キャリアの時系列に前記ＩＤ情報ビットを符号
化した情報キャリアをランダムに挿入した全情報キャリ
アの時系列を生成して受信者に送信する送信手段と、受
信者側に設けられ、前記第一および第二の直交基底系に
おける量子状態の組合せ方とは異なる組合せ方により構
成される第三または第四の直交基底系を用いて、前記送
信手段から送信された前記全情報キャリアを受信するこ
とにより測定結果を得る受信測定手段と、この受信測定
手段で得た測定結果のうち、送信者によって指定された
幾つかの情報キャリアに対応する前記測定結果を送信者
に報告する測定結果報告手段と、送信者側に設けられ、
前記測定結果報告手段により報告された前記測定結果に
基づき受信者が測定を行ったかどうかを確認した後、受
信者に対して前記ＩＤ情報ビットの挿入位置を開示する
挿入位置開示手段と、受信者側に設けられ、前記開示さ
れたＩＤ情報ビットの挿入位置情報に基づき有意情報ビ
ットおよびＩＤ情報ビットを復号して文書情報およびＩ
Ｄ情報ビットを得る復号手段と、送信者が本人であるか
どうかを認証機関に照合してもらうべく前記復号手段で
復号されたＩＤ情報ビットを認証機関に提示して問い合
わせる問い合わせ手段とを有することを要旨とする。

【００１８】請求項３記載の本発明にあっては、第一お
よび第二の直交基底系の一方を用いて文書情報に相当す
る有意情報ビットを符号化した情報キャリアを生成し、
両方の直交基底系をランダムに用いて個人認証用ＩＤ番
号に相当するＩＤ情報ビットを符号化した情報キャリア
を生成し、有意情報ビット列を表す情報キャリアの時系
列にＩＤ情報ビットを符号化した情報キャリアをランダ
ムに挿入した全情報キャリアの時系列を受信者に送信
し、受信者は第一および第二の直交基底系とは異なる組
合せ方により構成される第三または第四の直交基底系を
用いて全情報キャリアを受信することにより測定結果を
得、受信者は送信者により指定された幾つかの情報キャ
リアに対応する測定結果を送信者に報告し、送信者は報
告された測定結果に基づき受信者が測定を行ったかどう
かを確認した後、受信者にＩＤ情報ビットの挿入位置を
開示し、受信者はＩＤ情報ビットの挿入位置情報に基づ
き有意情報ビットおよびＩＤ情報ビットを復号して文書
情報を得、復号したＩＤ情報ビットを認証機関に問い合
わせて、送信者が本人であるかどうかを照合してもらう
ため、送信者が紛れもなく本人であることを認証するこ
とができ、受信者による署名の悪用や受信者の送信者へ
の成り済ましを適確に防止することができる。

【００１９】

【発明の実施の形態】以下、図面を用いて本発明の実施
の形態について説明する。図１は、本発明の一実施形態
に係る認証通信方法を実施する認証通信システムの構成
および処理手順を示す図である。図１において、認証機
関１は、登録された各ユーザに対して個人認証番号（Ｉ
Ｄ番号）を発行するとともに、第三者からの照合依頼に
基づいて提示された個人認証番号の確認を行うことを任
務とする。認証機関は信頼できる機関として、公的もし
くは私的に設置されるものとする。具体的には、ＩＤ番
号として十分に大きな数Ｎを桁数とする二値ランダム列
等を採用する。

【００２０】送信装置２は、四つ以上の互いに直交する
量子力学的内部状態を有する粒子ないし粒子系を発生す
るとともに、第一および第二の直交基底の一方を用いて
文書に相当する有意情報ビットを符号化し、両方の直交
基底をランダムに用いて個人認証番号に相当するＩＤビ
ットを符号化し、有意情報ビット列を表わす情報キャリ
アの時系列にＩＤ情報ビットを符号化された情報キャリ
アをランダムに配置した全情報キャリアの時系列を送信
する。具体的には偏光相関光子対等を情報キャリアとし
て利用し、その二光子間の偏光相関や位相相関等を操作
することにより情報キャリアへの符号化を行う（特願平
１０−３１６９４号参照）。

【００２１】また、受信装置３は、前記送信装置から送
信される全情報キャリアを前記第一および第二の直交基
底とは異なる第三もしくは第四の直交基底の何れかをラ
ンダムに選択した後、受信し、測定結果を得る手段を有
する。偏光相関光子対を情報キャリアとして利用した場
合には、二光子干渉等のベル状態解析装置を受信装置と
して利用する（特願平１０−３１６９４号参照）。古典
チャネル４は、送信者と受信者が付加的な情報のやり取
りに利用するチャネルである。

【００２２】次に、図１の認証通信システムの処理手順
について図１に示すステップＳ１からステップＳ８を参
照して簡単に説明する。

【００２３】送信者は、信用できる認証機関１から他者
に知られることのないように個人認証用のＩＤ番号の支
給を予め受ける。そして、認証通信が必要とされる場合
には、この支給されたＩＤ番号を数回に限り使用する
（ステップＳ１）。

【００２４】ＩＤ番号のユーザである送信者は、四つ以
上の互いに直交する量子力学的内部状態を有する粒子ま
たは粒子系に対して、異なる二種類の互いに非直交な
（しかしそれぞれの基底系の二つの状態は直交してい
る）符号化基底系を用意し、文書に相当する有意情報ビ
ットについては一方の符号化基底のみを使用して符号化
し、個人認証を行うためのＩＤ情報を書き込むＩＤ情報
ビットに対しては両方の符号化基底をランダムに用いて
符号化する（ステップＳ２）。それから、有意情報ビッ
ト列の中のランダムな位置に、順番を替えることなくＩ
Ｄ情報ビットを挿入した後、送信装置２を用いて全情報
キャリアの時系列として受信者に送信する（ステップＳ
３）。

【００２５】受信者は受信装置３を用いて全情報キャリ
アを受信して適切な量子状態測定を実行する（ステップ
Ｓ４）。

【００２６】送信者は、受信者が本当に測定を行ったか
どうかを確認するために、古典通信チャネル４を介して
任意に抽出した幾つかのビットに対して受信者に測定結
果を報告するように要求し、それを照合する（ステップ
Ｓ５）。

【００２７】送信者は、受信者から報告された測定結果
が矛盾を含まないことを確認して、受信者の測定の履行
を確認した場合には、受信者に全ＩＤ情報ビットの挿入
位置を古典通信チャネル４を介して開示する（ステップ
Ｓ６）。ここで受信者による量子状態測定の実施を確認
することにより、送信者は受信者による署名の悪用や成
り済ましを防止することができる。

【００２８】受信者は、送信者による全ＩＤ情報ビット
の開示に基づいて有意情報ビットとＩＤ情報ビットを分
離し、有意情報ビットを復号して文書を得、更にＩＤ情
報ビットを復号する（ステップＳ７）。復号に成功しな
いものは捨て、復号に成功した符号値が確定したＩＤ情
報ビットについてのみ認証機関１に問い合わせ、この復
号したＩＤ情報ビットが本当に送信者のＩＤ番号である
のかどうか、すなわち送信者が本人であるかどうかを照
合してもらう（ステップＳ８）。そして、十分に多くの
符号値が確定したＩＤ情報ビットに対して、復号した符
号値と登録されてある符号値が一致した場合、送信者が
認証機関１に登録された本人であることを確認する。

【００２９】量子測定によってＩＤ番号に関する情報が
部分的に破壊されるため、受信者は文書を入手すること
はできても、もはや送信者のＩＤ番号を再利用すること
はできない。従って、例えば自分で書いた文書を第三者
に送る場合、そこに送信者の署名を付けることはもはや
できない。

【００３０】成り済ましを目的としてＩＤ番号を盗むた
めには量子測定を行わないことが必要であるが、この場
合には受信者は送信者による測定履行確認（ステップＳ
５）に合格することはできず、従って有意情報ビットと
ＩＤ情報ビットとを判別することができず、結果的に文
書を入手することも、従ってその内容を変更することも
不可能である。このように測定による量子状態の破壊に
伴う情報の喪失という不確定性原理によって認証の安全
性が保証されることになる。以下でその作用について各
ステップ毎に具体的に説明する。

【００３１】第１に、受信者が（送信者の）署名の悪用
を考えていない場合について図２、図３に示す流れ図お
よび図４、図５を参照しながら各ステップ毎に説明す
る。

【００３２】まず、ステップＳ１における個人認証用Ｉ
Ｄ番号の登録と支給について説明する。

【００３３】公開鍵暗号方式における公開鍵の身元保証
を行う従来の認証機関と同様に、本発明で設置を想定す
る認証機関は公的または私的に信頼できる機関とする。
送信者は図２のステップＳ１に示すように認証機関１か
ら二進数Ｎ桁のビット列からなる個人認証番号であるＩ
Ｄ番号を支給される。このときＩＤ番号の支給は他者に
は知られることがないように行われるものとする。

【００３４】また送信者はこのＩＤ番号を繰り返し使う
ことはできるが、その許容回数はＩＤ番号の桁数Ｎによ
って制限されている。

【００３５】次に、ステップＳ２における文書情報とＩ
Ｄ情報の量子状態への符号化について説明する。

【００３６】送信者は、四つの互いに直交する量子力学
的内部状態を有する粒子または粒子系をビット情報のキ
ャリアとして利用する。ここで四つの互いに直交する量
子状態を図４に示すように｜Ｐ＞，｜Ｑ＞，｜Ｒ＞，｜
Ｓ＞とする。系の任意の量子状態はこれら四つの状態の
線形結合で表わされる。この情報キャリアの具体例とし
ては偏光相関のある光子対などを想定している（特願平
１０−３１６９４号参照）。

【００３７】送信者は、文書に相当する有意情報ビット
を符号化する場合には、”０”および”１”に対してそ
れぞれ系の状態を ｜Ａ＞＝（｜Ｐ＞＋｜Ｑ＞）／√２ …（１） および ｜Ｂ＞＝（｜Ｒ＞＋｜Ｓ＞）／√２ …（２） で表わされる量子状態｜Ａ＞および｜Ｂ＞に設定する。
これら二つの量子状態は直交する。

【００３８】一方、Ｎ桁のビット列からなるＩＤ番号を
Ｎ個のＩＤ情報ビットとして符号化する場合には、更に
二つの互いに直交する量子状態 ｜Ｃ＞＝（｜Ｐ＞＋｜Ｒ＞）／√２ …（３） および ｜Ｄ＞＝（｜Ｑ＞＋｜Ｓ＞）／√２ …（４） を準備して、”０”を符号化する場合には｜Ａ＞か｜Ｃ
＞のどちらかをランダムに選び、”１”を符号化する場
合には｜Ｂ＞か｜Ｄ＞のどちらかをランダムに選んで符
号化する。

【００３９】ここで｛｜Ａ＞，｜Ｂ＞｝と｛｜Ｃ＞，｜
Ｄ＞｝は異なる直交基底に対応しており、｛｜Ａ＞，｜
Ｂ＞｝基底に属する量子状態と｛｜Ｃ＞，｜Ｄ＞｝基底
に属する量子状態とを同時に測定して意味のある測定結
果を得ることは、単一光子における直線偏光と円偏光と
の関係と同様の意味で量子力学の不確定性原理により不
可能である。従って符号化に利用する基底が未知である
場合には、受信者は正しいＩＤビット情報を得られたの
かどうか確信をもつことができない。つまり送信量子状
態に関する情報は伝わらない。

【００４０】次に、ステップＳ３における送信用ビット
列の準備と送信について説明する。

【００４１】送信者は予め用意した文書に、自分の名前
とアドレスを書き込んだ差出人記述子と相手（受信者）
の名前とアドレスを書き込んだ受取人記述子を付加す
る。例えば送信者、受信者をそれぞれAlice,Bob とした
場合、

【数１】差出人記述子：(From Alice,(Alice's address
………,date,time…))， 受取人記述子：(To Bob,(Bob's address………,date,ti
me…)) となる。これらは有意情報ビットとして文書に付加され
る。

【００４２】次に文書＋（差出人／受取人）記述子とか
らなる有意情報ビット列の中にＮ個のＩＤ情報ビットを
順序を保ったままランダムに挿入して送信用ビット列を
準備した後、ステップＳ２で述べた手続きに従って符号
化した全情報キャリアの列を送信する。

【００４３】次に、ステップＳ４における全情報キャリ
アの受信と量子測定について説明する。

【００４４】受信者は有意情報ビットとＩＤ情報ビット
を判別することができないうえ、更に｛｜Ａ＞，｜Ｂ
＞｝基底に属する量子状態と｛｜Ｃ＞，｜Ｄ＞｝基底に
属する量子状態との間の非直交性のため符号値を判別で
きない。従って｛｜Ａ＞，｜Ｂ＞｝基底または｛｜Ｃ
＞，｜Ｄ＞｝を測定基底として利用している限り受信者
は（符号値を確信できないという意味で）情報を得るこ
とができない。

【００４５】そこで受信者は情報キャリアを受信するに
あたって、測定に使用する基底を図４に示した量子状態
｜Ｐ＞，｜Ｑ＞，｜Ｒ＞，および｜Ｓ＞を識別する直交
基底｛｜Ｐ＞，｜Ｑ＞，｜Ｒ＞，｜Ｓ＞｝（第一の測定
基底）か、もしくは図５に示すように量子状態｜Ｐ
^* ＞，｜Ｑ^* ＞，｜Ｒ^* ＞，および｜Ｓ^* ＞を識別する
直交基底｛｜Ｐ^* ＞，｜Ｑ^* ＞，｜Ｒ^* ＞，｜Ｓ^* ＞｝
（第二の測定基底）の何れかをランダムに選択してキャ
リアを測定する。

【００４６】ここで

【数２】 ｜Ｐ^* ＞＝（ ｜Ｐ＞＋｜Ｑ＞＋｜Ｒ＞−｜Ｓ＞）／２ …（５．１） ｜Ｑ^* ＞＝（ ｜Ｐ＞＋｜Ｑ＞−｜Ｒ＞＋｜Ｓ＞）／２ …（５．２） ｜Ｒ^* ＞＝（−｜Ｐ＞＋｜Ｑ＞＋｜Ｒ＞＋｜Ｓ＞）／２ …（５．３） および

【数３】 ｜Ｓ^* ＞＝（ ｜Ｐ＞−｜Ｑ＞＋｜Ｒ＞＋｜Ｓ＞）／２ …（５．４） とする。この第二の測定基底の必要性は後述する。

【００４７】前述したように、ここでもし受信者が｛｜
Ａ＞，｜Ｂ＞｝基底を測定基底として選択すると、ＩＤ
情報ビットが｛｜Ｃ＞，｜Ｄ＞｝基底で符号化されてい
た場合には、ＩＤ情報ビットは完全に破壊されてしまい
符号値の情報は失われてしまう。同様に｛｜Ｃ＞，｜Ｄ
＞｝基底で測定を行うと有意情報ビットが完全に消失し
てしまい符号値の情報が伝わらなくなってしまう。

【００４８】それに対して上述の第一および第二の測定
基底を採用した場合には、約半数の割合でビット情報を
１００％確実に読み出すことが可能になる。つまり測定
に伴う情報の喪失は部分的なものになる。このことは以
下のようにして説明される。

【００４９】もし受信者が第一の測定基底を採用して量
子状態｜Ｐ＞を得たとすると、図４に示すように、受信
者は状態｜Ａ＞か｜Ｃ＞が送信されたことを知る。すな
わちビット値は”０”であることが判明する。以下同様
に、状態｜Ｑ＞を得たとすると状態｜Ａ＞か｜Ｄ＞が送
信されたことを、状態｜Ｒ＞を得たとすると状態｜Ｂ＞
か｜Ｃ＞が送信されたことを、状態｜Ｓ＞を得たとする
と状態｜Ｂ＞か｜Ｄ＞が送信されたことを知る（最後の
場合符号値は”１”であることが判明する）。

【００５０】また、もし受信者が第二の測定基底を採用
して、状態｜Ｐ^* ＞を得たとすると、図５に示すよう
に、状態｜Ａ＞か｜Ｃ＞が送信されたことを知る（最後
の場合符号値は”０”であることが判明する）。以下同
様に、状態｜Ｑ^* ＞を得たとすると状態｜Ａ＞か｜Ｄ＞
が送信されたことを、状態｜Ｒ^* ＞を得たとすると状態
｜Ｂ＞か｜Ｄ＞が送信されたことを（この場合符号値
は”１”であることが判明する）、状態｜Ｓ^* ＞を得た
とすると状態｜Ｂ＞か｜Ｃ＞が送信されたことを知る。

【００５１】偏光相関光子対を情報キャリアとして用い
る場合には、測定基底｛｜Ｐ＞，｜Ｑ＞，｜Ｒ＞，｜Ｓ
＞｝および｛｜Ｐ^* ＞，｜Ｑ^* ＞，｜Ｒ^* ＞，｜Ｓ
^* ＞｝の実現方法としてBell状態測定を行うことが考え
られる（特願平１０−３１６９４号参照）。

【００５２】次に、ステップＳ５における測定実施の確
認について説明する。

【００５３】送信者は、受信者に対して幾つかの情報キ
ャリアをランダムに指定し、それぞれ対応する測定結果
と選んだ測定基底の種類（第一か第二か）を報告させ
る。そして自分が送った送信状態と受信者が報告してき
た測定結果との間に矛盾がないかどうかを確認する。

【００５４】次に、ステップＳ６においてＩＤ情報ビッ
トの挿入位置を公表する。すなわち、ステップＳ５で受
信者の測定の履行を確認したら、送信者は受信者に全て
のＩＤ情報ビットの挿入位置を開示する。これは同時に
全ての有意情報ビットが明らかになることを意味してい
る。

【００５５】次に、ステップＳ７において文書の読み出
しとＩＤ番号の部分的読み出しを行う。ステップＳ６を
経ることにより、受信者は有意情報ビットとＩＤ情報ビ
ットとを分離することがはじめて可能になる。

【００５６】有意情報ビットは｛｜Ａ＞，｜Ｂ＞｝の基
底のみを使って符号化されているので、受信者は図４お
よび図５の関係に基づいて自分が得た測定結果から一意
に符号値を復号し、その結果文書情報を読み出すことが
できる。更に、このとき送信者が付加した差出人記述子
(From Alice,(Alice's address………,date,time…))、
および受取人記述子(To Bob,(Bob's address………,dat
e,time…))を読み出して内容に矛盾がないことを確認す
る。

【００５７】一方、Ｎ個あるＩＤ情報ビットについては
符号化の基底が｛｜Ａ＞，｜Ｂ＞｝なのか｛｜Ｃ＞，｜
Ｄ＞｝なのか依然として不明のままである。従っていつ
も確実にＩＤ情報ビットが読み出せるというわけではな
い。この様子を以下に説明する。

【００５８】第一の測定基底｛｜Ｐ＞，｜Ｑ＞，｜Ｒ
＞，｜Ｓ＞｝を用いた場合、図４からわかるように、

【数４】 量子状態｜Ｐ＞を得た場合：ＩＤビットの符号値”０”に確定、 量子状態｜Ｓ＞を得た場合：ＩＤビットの符号値”１”に確定 それに対して、

【数５】 量子状態｜Ｑ＞を得た場合：ＩＤビットの符号値 不確定、 量子状態｜Ｒ＞を得た場合：ＩＤビットの符号値 不確定 となる。

【００５９】また第二の測定基底｛｜Ｐ^* ＞，｜Ｑ
^* ＞，｜Ｒ^* ＞，｜Ｓ^* ＞｝を用いた場合、図５からわ
かるように、

【数６】 量子状態｜Ｐ^* ＞を得た場合：ＩＤビットの符号値”０”に確定、 量子状態｜Ｒ^* ＞を得た場合：ＩＤビットの符号値”１”に確定 それに対して、

【数７】 量子状態｜Ｑ^* ＞を得た場合：ＩＤビットの符号値 不確定、 量子状態｜Ｓ^* ＞を得た場合：ＩＤビットの符号値 不確定 となる。

【００６０】このように測定基底の種類（第一か第二
か）に関わらずＩＤ情報ビット１個あたり１／２の確率
で符号値は確定し、１／２の確率で符号値は不明であ
る。よって全部でＮ個のＩＤ情報ビットの中で約Ｎ／２
個は符号値が確定し、残りの約Ｎ／２個は不確定とな
る。従って受信者はもはや送信者のＩＤ番号を正確に再
現することはできなくなっている。これは測定によりＩ
Ｄ情報が部分的に失われたためと解釈することができ
る。

【００６１】次に、ステップＳ８における認証機関への
問い合わせについて説明する。

【００６２】ステップＳ７により送信者の部分的なＩＤ
情報を得た受信者は、符号値が確定した約Ｎ／２個のＩ
Ｄ情報ビットについてのみその場所（桁）と値を認証機
関１に連絡し、登録されているはずの送信者のＩＤ番号
との間に不一致がないかどうかを照合確認してもらう。

【００６３】このとき、もし申告した約Ｎ／２個のＩＤ
情報ビットのほとんど全てが登録されたものと一致した
場合には、受信者は送信者を本人であると認証すること
になる。もし不一致が多いようならば本人とは認めな
い。

【００６４】ここで受信者と認証機関との間の情報交換
は安全に行われるものと仮定した。つまり送信者が認証
機関に成り済ますことは不可能という前提をおいてい
る。認証機関が公的な性格を持ち受信者との間に幾つも
の通信経路が確保される場合、この前提は一般的なもの
である。このようにして受信者は送信者が本人であるこ
とを認証することになる。

【００６５】第２に、受信者が送信者を認証した後で送
信者への「成り済まし」を試みる場合について説明す
る。

【００６６】上述したように、送信者のＩＤ番号情報を
部分的に得た受信者が、今度は第三者に対して、送信者
に成り済まそうとした場合、どのようにしてその試みが
第三者に見破られてしまうのかを説明する。ここで第三
者も受信者同様に上述したステップＳ１〜Ｓ８の手順に
したがうものとする。なお、以下の説明では、（正規
の）送信者をAlice 、受信者をBob 、第三者をClare と
呼ぶことにする。

【００６７】Bob はClare に対してAlice に成り済ま
し、Clare に送る文書にAlice の署名を付けることを試
みるものとする。そこでまず送信文書にそれぞれ

【数８】差出人記述子：(From Alice,(Alice's address
………,date,time…))， 受取人記述子：(To Clare,(Clare's address………,dat
e,time…)) を付加する。このようにしてまず送信用の有意情報ビッ
ト列を用意する。

【００６８】次に、Ｎ個のＩＤ情報ビットを準備しなく
てはならない。Alice のＮ桁のＩＤ情報ビットのうちBo
b にとって符号値が確定しているものは約Ｎ／２個であ
り、残りの約Ｎ／２個については符号値は不明である。
それにも関わらずBob はClare に全部でＮ個のＩＤ情報
ビットを送る必要がある。前記のステップＳ５〜Ｓ７の
過程を経て最終的にClare が得るであろうＮ個のＩＤ情
報ビットの測定結果の中の約Ｎ／２個はClare にとって
符号値が確定するが、残りの約Ｎ／２個については符号
値が不明である。Clare はこれらの符号値が確定してい
る約Ｎ／２個のＩＤ情報ビットについて認証機関に照合
を依頼する。

【００６９】しかし、Bob にとって符号値が確定した約
Ｎ／２個のＩＤ情報ビットとClareにとって符号値が確
定した約Ｎ／２個のＩＤ情報ビットとは一般に一致しな
い。Clare にとって符号値が確定した約Ｎ／２個のＩＤ
情報ビットの中にはBob にとって符号値が不明だったＩ
Ｄ情報ビットが約半数含まれることになる。従って認証
機関は、Clare により申告された約Ｎ／２個のＩＤ情報
ビットをAlice のものと認めることはない。このように
してBob による成り済ましは最終的に見破られてしま
う。以下にこの過程を詳述する。

【００７０】まず、Bob にとってＩＤ情報ビットの符号
値が確定している場合について説明する。

【００７１】例えば、あるAlice のＩＤ情報ビットに対
してBob が測定結果として量子状態｜Ｐ＞を得たとす
る。このときこのＩＤ情報ビットの符号値は”０”に確
定する。次にBob がこのＩＤ情報ビットをClare に送る
場合には、符号値が”０”なので状態｜Ａ＞（式（１）
参照）か状態｜Ｃ＞（式（３）参照）のどちらかを送信
すればよい。

【００７２】Clare が第一の測定基底｛｜Ｐ＞，｜Ｑ
＞，｜Ｒ＞，｜Ｓ＞｝を選択した場合、Bob による送信
状態｜Ａ＞および｜Ｃ＞に対してそれぞれ測定結果とし
て次の量子状態；

【数９】 Bob の送信状態｜Ａ＞：Clare の測定結果｜Ｐ＞（符号値確定”０”）、 ：Clare の測定結果｜Ｑ＞（符号値不明） および

【数１０】 Bob の送信状態｜Ｃ＞：Clare の測定結果｜Ｐ＞（符号値確定”０”）、 ：Clare の測定結果｜Ｒ＞（符号値不明） を得ることになる（図４参照）。Bob が送ったＩＤ情報
ビットは１／２の確率でClare にとって符号値不明とな
るが、１／２の確率で符号値は”０”に確定する。従っ
て、Bob にとってＩＤ情報ビットの符号値が確定してい
る場合、Clare が受信したＩＤ情報ビットの符号値はBo
b のものと同じかもしくは符号値不明になるかのどちら
かであって、Clare がBob が得た値とは異なる符号値を
得るようなことは起こらない。

【００７３】このことはClare が第二の測定基底を採用
した場合も同様である（図５参照）。よって一般にBob
にとって符号値が確定している約Ｎ／２個のＩＤ情報ビ
ットの中の約半数（約Ｎ／４個）はClare によっても同
じ符号値をもったＩＤ情報ビットとして認識される。し
かしBob は、どの約Ｎ／４個がClare にとっても符号値
確定となるのか全く予想することはできない。Clare が
これらのＩＤ情報ビットについて前記ステップＳ８にし
たがって認証機関に照合を依頼した場合、これらのＩＤ
情報ビットは登録されているAlice の本来のものと一致
を示すことになる。従って（Bob にとって）符号値が確
定したＩＤ情報ビットからBob の成り済ましが見破られ
ることはない。

【００７４】次に、Bob にとってＩＤ情報ビットの符号
値が不明だった場合について説明する。

【００７５】Alice がＩＤ情報ビットとして”０”を送
るために状態｜Ａ＞を送信したとする。その情報キャリ
アに対して、Bob は第一の測定基底｛｜Ｐ＞，｜Ｑ＞，
｜Ｒ＞，｜Ｓ＞｝を選択して測定し、その結果、状態｜
Ｑ＞を得たとする。この場合Bob にとってＩＤ情報ビッ
トの符号値は不明である（図４参照）。Bob はAliceが
｜Ａ＞（”０”）か｜Ｄ＞（”１”）かのどちらか一方
を送信したものとみなすことができるが、そのどちらを
実際に送信したのかは全くわからない。この二つの非直
交な量子状態を識別することはBob にとって不可能であ
る。それにも関わらずBob はClare に状態｜Ａ＞か｜Ｄ
＞かを適当に（あて推量で）選択してＩＤ情報ビットを
送らなければならない。

【００７６】Clare が第一の測定基底｛｜Ｐ＞，｜Ｑ
＞，｜Ｒ＞，｜Ｓ＞｝を選択した場合には、Bob による
送信状態｜Ａ＞もしくは｜Ｄ＞に対してそれぞれ測定結
果として次の量子状態；

【数１１】 Bob の送信状態｜Ａ＞：Clare の測定結果｜Ｐ＞（符号値確定”０”）、 ：Clare の測定結果｜Ｑ＞（符号値不明） もしくは

【数１２】 Bob の送信状態｜Ｄ＞ ：Clare の測定結果｜Ｓ＞（符号値確定”１”＝反転）、 ：Clare の測定結果｜Ｑ＞（符号値不明） を得ることになる。

【００７７】Bob が（あて推量で）送った約Ｎ／２個の
（Bob にとって符号値が不明な）ＩＤ情報ビットの中の
約半数はClare にとっても符号値は不明となる（Clare
が状態｜Ｑ＞を得た場合に相当）。これらについてはCl
are は認証機関に照合をかけないのでBob にとって問題
はない。

【００７８】Bob が選択した送信状態がAlice が送った
送信状態とたまたま一致していたときには（この例では
Bob が状態｜Ａ＞を選択した場合）、もしClare にとっ
て符号値が確定すればその値はAlice が初めにBob に送
信した符号値と一致する（この例では”０”となる）。
このような場合符号値は反転しない。しかしながら、Bo
b が（あて推量で）選択した送信状態がAlice が送った
送信状態と不一致だったとき（ここではBob が状態｜Ｄ
＞を選択した場合）には、もしClare にとって符号値が
確定すれば、その値はAlice が初めにBob に送信した符
号値と反対になってしまう。この例では”１”となって
おり、Alice が最初に送ったＩＤ情報ビットの符号値”
０”に対して反転してしまっている。

【００７９】このようにClare にとって符号値が確定し
た約Ｎ／４個のＩＤ情報ビットのうち約半数のＮ／８個
については符号値の反転は生じない。しかし残りの約Ｎ
／８個についてはＩＤ情報ビットの符号値は反転する。
よってClare が前記のステップＳ８の段階で、符号値が
確定しているＩＤ情報ビットについて認証機関に照合を
依頼すれば、この約Ｎ／８個について登録されているAl
ice のＩＤ番号との間に顕著な不一致が発見されること
になる。

【００８０】Bob がClare に送る全情報キャリア列の中
に挿入した全部で合計Ｎ個のＩＤ情報ビットのうち、Bo
b にとって符号値が確定したものは約Ｎ／２個であり不
明のものは約Ｎ／２個である。一方、Clare が受信した
これらの合計Ｎ個のＩＤ情報ビットの中で、約半数のＮ
／２個のＩＤ情報ビットがClare にとって符号値確定と
なり、残りの半数は符号値不明となる。ここでBob は送
信したＩＤ情報ビットが符号値確定になるのか不明にな
るのか予測することはできない。

【００８１】Clare は符号値が確定した約Ｎ／２個のＩ
Ｄ情報ビットの位置（桁）と値について認証機関に照合
を依頼する。そのうち約３／４の３Ｎ／８個は本来のAl
iceのＩＤ情報ビットのものと一致する。しかし約１／
４のＮ／８個については符号値の反転が見られることに
なる。Clare にとって符号値確定したＮ／２個のＩＤ情
報ビットの中で半数の約Ｎ／４個は符号値反転の可能性
がないものであり、残りの半数Ｎ／４個は１／２の確率
で符号値が反転することになる。よってBob がClare に
成り済ましを見破られずにすむ確率はおおよそ

【数１３】 となり、Ｎの増加とともに指数関数的に０に漸近してい
く。よってＩＤ情報ビットの桁数Ｎが充分に大きければ
Bob による成り済ましはClare に見破られてしまう。

【００８２】次に、Bob が測定結果として得られた量子
状態を直接Clare に再送信して「成り済まし」を試みる
場合について説明する。

【００８３】Bob が、Clare にＩＤ情報ビットを送信す
るときに、正規の送信状態：｜Ａ＞，｜Ｂ＞，｜Ｃ＞も
しくは｜Ｄ＞ではなく、常に測定結果として得られた量
子状態｜Ｐ＞，｜Ｑ＞，｜Ｒ＞，｜Ｓ＞や｜Ｐ^* ＞，｜
Ｑ^* ＞，｜Ｒ^* ＞，｜Ｓ^* ＞を直接再送信した場合にど
うなるかを説明する。この場合でもやはりBob による成
り済ましはClare に見破られてしまうことを示す。

【００８４】Alice がＩＤ情報ビットとして”０”を送
るために状態｜Ａ＞をBob に送信したとする。その情報
キャリアに対してBob は第一の測定基底｛｜Ｐ＞，｜Ｑ
＞，｜Ｒ＞，｜Ｓ＞｝を選択して測定し、その結果、状
態｜Ｑ＞を得たとする。この場合Bob にとってＩＤ情報
ビットの符号値は不明である。そこで正規の送信状態｜
Ａ＞もしくは｜Ｄ＞を送信する代わりに、測定結果とし
て得られた量子状態｜Ｑ＞を直接Clare に再送信するも
のとする。

【００８５】このときClare が第一の測定基底｛｜Ｐ
＞，｜Ｑ＞，｜Ｒ＞，｜Ｓ＞｝を選択していたとする
と、Clare は状態｜Ｑ＞を得るが、この場合Clare にと
っても符号値は不明である。よってClare が常に第一の
測定基底を使うことに決まっていれば、Bob は符号値の
確定・不確定に関わらず常に測定結果に対応して状態｜
Ｐ＞，｜Ｑ＞，｜Ｒ＞もしくは｜Ｓ＞をそのままClare
に再送信することで、成り済ましの痕跡を残さないよう
に振舞うことができる。このときBob は符号値が確定し
た約Ｎ／２個のＩＤ情報ビットを全てClare に伝えるこ
とに成功し、そしてBob にとって符号値が不明な約Ｎ／
２個のＩＤ情報ビットは全てClare にとっても符号値不
明となる。よって、Clare は符号値が確定したＮ／２個
だけを照合に使うのでBob による成り済ましが露見する
ことはない。

【００８６】ところが、Clare が第二の測定基底｛｜Ｐ
^* ＞，｜Ｑ^* ＞，｜Ｒ^* ＞，｜Ｓ^*＞｝をランダムに併
用する場合には、このようなBob による直接再送信の方
法はClare に見破られてしまう。

【００８７】例えば、Bob が測定結果として得られた状
態｜Ｑ＞を直接Clare に再送信し、Clare はこれを第二
の測定基底を用いて測定したとする。ここで第一の測定
基底に属する量子状態を第二の測定基底で展開すると

【数１４】 ｜Ｐ＞＝（ ｜Ｐ^* ＞＋｜Ｑ^* ＞−｜Ｒ^* ＞＋｜Ｓ^* ＞）／２ …（６．１） ｜Ｑ＞＝（ ｜Ｐ^* ＞＋｜Ｑ^* ＞＋｜Ｒ^* ＞−｜Ｓ^* ＞）／２ …（６．２） ｜Ｒ＞＝（ ｜Ｐ^* ＞−｜Ｑ^* ＞＋｜Ｒ^* ＞＋｜Ｓ^* ＞）／２ …（６．３） および

【数１５】 ｜Ｓ＞＝（−｜Ｐ^* ＞＋｜Ｑ^* ＞＋｜Ｒ^* ＞＋｜Ｓ^* ＞）／２ …（６．４） となることから、｜Ｑ＞が送信された場合Clare は｜Ｐ
^* ＞，｜Ｑ^* ＞，｜Ｒ^*＞もしくは｜Ｓ^* ＞の何れかを
それぞれ確率１／４で得ることになる。図５によれば測
定結果とＩＤ情報ビットの符号値の関係は ｜Ｐ^* ＞：符号値は”０”に確定、 ｜Ｑ^* ＞：符号値は不明、 ｜Ｒ^* ＞：符号値は”１”に確定、 ｜Ｓ^* ＞：符号値は不明 である。

【００８８】よって、このときClare が照合に利用する
（符号値が確定した）約Ｎ／２個のＩＤ情報ビットには
確率１／２で符号値の反転が生じることになる。

【００８９】Bob が選択した測定基底（第一か第二か）
とClare が選択した測定基底が不一致である確率は１／
２であることを考慮すると、成り済ましによる符号値反
転が生じる確率はＩＤ情報ビット１個あたり１／４とな
る。よってBob が成り済ましを見破られずにすむ確率は
おおよそ

【数１６】 となり、やはりＩＤ情報ビットの桁数Ｎが充分に大きけ
ればBob による成り済ましはClare に見破られてしま
う。この場合も、Clare にとって符号値が確定したＮ／
２個のＩＤ情報ビットのうち約１／４のＮ／８個に符号
値反転が現れることになる。

【００９０】ここでBob は、符号値が確定した場合には
測定結果に対応した正規の送信状態｜Ａ＞，｜Ｂ＞，｜
Ｃ＞もしくは｜Ｄ＞をClare に送信し、符号値が不明の
場合に限って測定結果として得られた量子状態を直接送
る場合を考える。この場合、Bob が成り済ましを見破ら
れずにすむ確率はおおよそ

【数１７】 と見積もられ、幾らかBob にとって露見確率の低下が期
待されるが、しかしＮが充分に大きければやはりこの確
率は指数関数的に０に漸近していくことにはかわりな
い。

【００９１】Bob が測定時に｛｜Ａ＞，｜Ｂ＞｝基底を
利用すると、ＩＤ情報ビットとして｜Ｃ＞や｜Ｄ＞が送
られていた場合これらの情報を完全に破壊してしまうの
でBob はもはやClare に正しい符号値を送ることができ
なくなる。

【００９２】以上のように、送信者（Alice ）のＩＤ番
号情報を部分的に得た受信者（Bob）が、第三者（Clare
）に対して送信者（Alice ）に成り済まそうとした場
合、受信者Bob の試みは認証機関によるAlice のＩＤ情
報の照合の結果、見破られてしまう。Clare は前記のス
テップＳ５〜Ｓ７にしたがって有意情報ビットを復号し
文書を得て、たとえその中に差出人記述子：(From Alic
e,(Alice's address………,date,time…))、および受取
人記述子：(To Clare,(Clare's address………,date,ti
me…))を見い出したとしても、ＩＤ情報の照合の失敗か
ら文書が「改変」されたものであることを見抜けるので
ある。

【００９３】このように受信者Bob は情報キャリアに対
する測定により送信者Alice を認証することは可能であ
るが、もはやAlice のＩＤ情報を利用してClare に対し
てAlice に成り済ますことは不可能になる。

【００９４】第３に、受信者Bob が送信者Alice に対す
る認証を行わずに第三者に対してAlice に成り済まそう
とした場合について説明する。

【００９５】上述したように、Bob は（１）全ての情報
キャリアに対する測定を実行し（ステップＳ４）、
（２）Alice から指定された幾つかの情報キャリアにつ
いて測定基底と測定結果を報告し（ステップＳ５）、
（３）Alice からの情報にしたがって全ＩＤ情報ビット
と有意情報ビットとを分離し（ステップＳ６）、（４）
符号値が確定したＩＤ情報ビットについて認証機関に問
い合わせる（ステップＳ７，Ｓ８）ことで最終的にAlic
e を認証しかつ文書がAlice により書かれたものである
ことを確認できる。しかしBob がステップＳ４で測定を
行うことでAlice のＩＤ情報は部分的に失われてしまう
ために、もはやBob はClare に対してAlice に成り済ま
すことは不可能になる。

【００９６】ここで、もしステップＳ５において受信者
が本当は測定を行っていなかった場合には受信者は適当
に（あてずっぽうに）測定結果を「ねつ造」して報告せ
ざるをえない。このとき１／２の確率で誤りを生じるた
め、測定履行確認用の情報キャリアの個数がＭ個の場合
には測定不履行が露見しない確率は（１／２）^M にした
がって指数関数的に０に漸近していく。よって、たとえ
測定確認用の情報キャリアの数Ｍが全情報キャリアの数
に比べて少なくても、数Ｍが十分大きい場合には送信者
は受信者の測定の不履行を見破ることができる。

【００９７】このようにステップＳ５で測定履行を確認
することは、受信者をして送信者のＩＤ番号情報を部分
的に喪失せしめるために必要である。Ｍの値の設定は、
文書のビット数、ＩＤ番号のビット数、および必要とさ
れる安全性に基づいて決定される。測定不履行の場合に
はこの段階でステップは終了する。これはAlice がBob
による成り済ましを未然に防止したことに相当する。

【００９８】そこでBob の立場から考えると、「成り済
まし」を隠蔽しながらかつAlice のＩＤ番号情報の再利
用を試みる場合には、ＩＤ情報ビットを符号化された情
報キャリアを決して測定してはならないことになる。も
しBob にとって全てのＩＤ情報ビットの位置が既知であ
れば測定不履行は可能であり（後述の方法を採用すれば
ステップＳ５をクリアすることが可能である）、有意情
報ビットだけを測定して内容を変更しＩＤ情報ビットは
測定しないで直接Clare に送ることでBob は「改変」し
た文書に対してAlice の署名を付けることができてしま
う。

【００９９】この問題を避けるために、本発明の認証通
信方法では、有意情報ビット列へのＩＤ情報ビットのラ
ンダムな挿入（ステップＳ３）を行い、受信者にとって
初めは（ステップＳ７より前には）ＩＤ情報ビットの位
置がわからないようにしている。このためＩＤ情報ビッ
トを破壊しないで温存するためにはBob は有意情報ビッ
トとＩＤ情報ビットとを合わせた全ての情報キャリアに
対して測定を「行わない」ようにしなければならない。
ところが、Alice はBob による測定履行を確認した後
（ステップＳ５）でないと全ＩＤ情報ビットの挿入位置
を公表しないことになっているので（ステップＳ６）、
Bob は何番目の情報キャリアが有意情報ビットなのかを
判別するためにはどうしても測定を行わないわけにはい
かない。従って「Alice のＩＤ情報ビットを測定しない
で温存すること」と「有意文書を改変すること」とは両
立できない。

【０１００】次に、図６を参照して、以下のような場合
について考える。

【０１０１】（１）Bob はAlice から送信された全ての
情報キャリアを測定しないでそのままClare に送信す
る、（２）Clare はステップＳ５にしたがって全ての情
報キャリアを測定する、（３）ステップＳ５にしたがっ
てAlice はBob に測定確認用の情報キャリアをＭ個指定
する、（４）Bob はClare に、「Alice から指定され
た」これらＭ個の情報キャリアの位置をそのまま指定す
る、（５）Clare は「Alice に成り済ましている」Bob
に指定されたＭ個の情報キャリアの測定基底と測定結果
を報告する、（６）Bob はAlice に、Clare から報告さ
れたＭ個の情報キャリアの測定結果を報告する、（７）
Alice はBob による測定実行を確信し全ＩＤ情報ビット
の位置をBob に教える、（８）Bob は「Alice のふりを
して」全ＩＤ情報ビットの位置をClare に教える。

【０１０２】このとき確かにBob はAlice のＩＤ情報ビ
ットを一切測定しなくても最終的にＩＤ情報ビットの挿
入位置を知ることができる。つまりＩＤ情報ビットから
成り済ましが露見するようなことは避けられる。しか
し、この時点では既に有意情報ビット列のClare による
受信は完了しており、Clare に伝わる有意文書は本来Al
ice がBob に向けて送信した有意文書そのままである。
従って差出人記述子や受取人記述子はそれぞれ

【数１８】 差出人記述子：(From Alice,(Alice's address………,date,time…))， 受取人記述子：(To Bob,(Bob's address………,date,time…)) のままであり、Clare は復号した時点で有意文書が自分
宛に書かれたものではないことを簡単に見破ってしま
う。

【０１０３】Bob が「成り済まし」を成功させるために
は受取人記述子を(To Clare,(Clare's address………,d
ate,time…))に変更した後で有意情報ビットを送らなく
てはならない。そのためにはClare にビット列を送信す
る以前の段階（図６中の「Bob からClare へのキャリア
伝送」）で、Bob は有意情報ビットとＩＤ情報ビットと
を判別できなくてはならないが、時間的な順序としてCl
are が受信／測定を行った結果として最終的にＩＤ情報
ビットの挿入位置を知ることになっているので、Bob が
Alice のＩＤ情報を全く破壊しないように努めるかぎり
有意情報ビット列だけを恣意的に抽出して変更すること
は不可能である。

【０１０４】Bob がAlice のＩＤ情報ビットを測定した
場合、Bob は有意文書を任意に書き換えることができる
が、しかしClare によるＩＤ番号の照合時に「成り済ま
し」は露見してしまう。一方、Bob が上述の方法によっ
てＩＤ情報ビットの測定を回避した場合、Clare による
ＩＤ番号の照合には合格することができるが受取人記述
子の書き換えはできずはやり「成り済まし」は露見して
しまう。

【０１０５】以上、このようにしてClare は、（１）Al
ice のＩＤ番号が認証機関による照合に合格するか否
か、および（２）差出人記述子／受取人記述子に矛盾は
ないかの二点を確認することでAlice が本人であるかど
うかを認証し、他人がAlice に成り済ましていないかど
うかを確認することができる。

【０１０６】第４に、文書の書き換えに対する安全性、
すなわち有意文書に対する署名機能について説明する。

【０１０７】ここでは、正規の送受信者をそれぞれAlic
e およびBob とし、通信路の途中に介在する第三者のEv
e が有意文書の内容を改変しようと試みる場合を考え
る。この場合でもBob はAlice のＩＤ番号を認証機関に
照合することで書き換えの有無を判別可能である。

【０１０８】まずEve がBob に成り済まして全ての情報
キャリアを測定してステップＳ４〜Ｓ７にしたがう場
合、Eve は有意文書を任意に改変することができる。し
かし、第２の成り済ましの部分で説明したように、Eve
がBob に送るＩＤ情報は測定により部分的に破壊されて
しまっているためにもはやＩＤ照合に合格できない。い
わばEve は文書の内容を改変することによって「最初
は」文書についていたAlice の署名を部分的に消してし
まったことに相当する。

【０１０９】またEve が前述の第３の部分で説明したよ
うな方法によってAlice の署名の温存を図った場合に
は、ステップＳ５以前の段階で有意情報ビットを抽出す
ることができず、有意文書を書き換えることはできなく
なってしまう。これは署名を保持しようとするともはや
文書は変えられないことを意味する（文書を書き換えよ
うとすると署名は破壊される）。

【０１１０】このことは、ＩＤ番号の照合に合格した場
合には、その文書が紛れもなくAlice 本人によって書か
れた文書であることが証明されたことを意味する。また
は、Alice の立場からみると文書がAlice 本人によって
書かれたものであることを受信者に対して証明できるこ
とを意味している。さらに差出人記述子／受取人記述子
を付けることにより、文書の書き手がAlice 本人である
ことを証明するだけではなく送信者がAlice 本人である
ことをも証明できる。

【０１１１】

【発明の効果】以上説明したように、本発明によれば、
第一、第二の直交基底系の一方を用いて有意情報ビット
を符号化した情報キャリアを生成し、両方の直交基底系
をランダムに用いてＩＤ情報ビットを符号化した情報キ
ャリアを生成し、有意情報ビット列にＩＤ情報ビットを
ランダムに挿入した全情報キャリアを受信者に送信し、
受信者は第一、第二の直交基底系とは異なる組合せ方に
より構成される第三または第四の直交基底系を用いて全
情報キャリアを受信して測定結果を得、送信者の要求に
より幾つかの測定結果を送信者に報告し、送信者は測定
結果に基づき受信者の測定の確認後、ＩＤ情報ビットの
挿入位置を開示し、受信者はＩＤ情報ビットの挿入位置
に基づき有意情報ビットを復号して文書情報を得、復号
してＩＤ情報ビットを認証機関に問い合わせて、送信者
が本人であるかどうかを照合してもらうので、送信者が
紛れもなく本人であることを認証でき、受信者による署
名の悪用や受信者の送信者への成り済ましを適確に防止
することができる。また、送信者は文書が送信者本人に
よって書かれたものであることを受信者に対して証明す
ることが可能となる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る認証通信方法を実施
する認証通信システムの構成および処理手順を示す図で
ある。

【図２】図１に示す実施形態に係る認証通信方法の処理
手順の一部を示す流れ図である。

【図３】図１に示す実施形態に係る認証通信方法の処理
手順の図２に続く残りの一部を示す流れ図である。

【図４】図１に示す実施形態に使用される送信量子状態
と測定量子状態の関係を示す図である。

【図５】図１に示す実施形態に使用される送信量子状態
と測定量子状態の別の関係を示す図である。

【図６】図１に示す実施形態における成り済ましを説明
するための流れ図である。

【符号の説明】

１ 認証機関 ２ 送信装置 ３ 受信装置

Claims (3)

【特許請求の範囲】
1. 【請求項１】 四つ以上の互いに直交する量子力学的内
   部状態を有する粒子または粒子系を情報キャリアとして
   利用して送信すべき情報を符号化し、認証機関において
   送信者に発行される個人認証用ＩＤ番号を送信すべき文
   書情報に付加して送信者から受信者に送信する認証通信
   方法であって、 前記四つ以上の互いに直交する量子力学的内部状態を有
   する粒子または粒子系においてそれぞれ二つの量子状態
   からなる第一および第二の直交基底系の一方を用いて、
   送信者から受信者に送信すべき文書情報に相当する有意
   情報ビットを符号化した情報キャリアを生成し、 前記第一および第二の両方の直交基底系をランダムに用
   いて、前記個人認証用ＩＤ番号に相当するＩＤ情報ビッ
   トを符号化した情報キャリアを生成し、 前記有意情報ビット列を表す情報キャリアの時系列に前
   記ＩＤ情報ビットを符号化した情報キャリアをランダム
   に挿入した全情報キャリアの時系列を生成して受信者に
   送信し、 受信者は前記第一および第二の直交基底系における量子
   状態の組合せ方とは異なる組合せ方により構成される第
   三または第四の直交基底系を用いて、送信者から送信さ
   れた前記全情報キャリアを受信することにより測定結果
   を得、 受信者は送信者によって指定された幾つかの情報キャリ
   アに対応する前記測定結果を送信者に報告し、 送信者は受信者から報告された前記測定結果に基づき受
   信者が測定を行ったかどうかを確認した後、受信者に対
   して前記ＩＤ情報ビットの挿入位置を開示し、 受信者は前記開示されたＩＤ情報ビットの挿入位置情報
   に基づき有意情報ビットおよびＩＤ情報ビットを復号し
   て文書情報およびＩＤ情報ビットを得て、この復号した
   ＩＤ情報ビットを認証機関に問い合わせて、送信者が本
   人であるかどうかを照合してもらうことを特徴とする認
   証通信方法。
2. 【請求項２】 四つ以上の互いに直交する量子力学的内
   部状態を有する粒子または粒子系を情報キャリアとして
   利用して送信すべき情報を符号化し、認証機関において
   送信者に発行される個人認証用ＩＤ番号を送信すべき文
   書情報に付加して送信者から受信者に送信する認証通信
   方法であって、 送信者は認証機関から個人認証用ＩＤ番号の支給を受
   け、 四つ以上の互いに直交する量子力学的内部状態を有する
   粒子または粒子系においてそれぞれ二つの量子状態から
   なる第一および第二の直交基底系の一方を用いて、送信
   者から受信者に送信すべき文書情報に相当する有意情報
   ビットを符号化した情報キャリアを生成し、 送信者は前記第一および第二の両方の直交基底系をラン
   ダムに用いて、前記個人認証用ＩＤ番号に相当するＩＤ
   情報ビットを符号化した情報キャリアを生成し、 送信者は前記有意情報ビット列を表す情報キャリアの時
   系列に前記ＩＤ情報ビットを符号化した情報キャリアを
   ランダムに挿入した全情報キャリアの時系列を生成して
   受信者に送信し、 受信者は前記第一および第二の直交基底系における量子
   状態の組合せ方とは異なる組合せ方により構成される第
   三または第四の直交基底系を用いて、送信者から送信さ
   れた前記全情報キャリアを受信することにより測定結果
   を得、 受信者は送信者によって指定された幾つかの情報キャリ
   アに対応する前記測定結果を送信者に報告し、 送信者は受信者から報告された前記測定結果に基づき受
   信者が測定を行ったかどうかを確認した後、受信者に対
   して前記ＩＤ情報ビットの挿入位置を開示し、 受信者は前記開示されたＩＤ情報ビットの挿入位置情報
   に基づき有意情報ビットおよびＩＤ情報ビットを復号し
   て文書情報およびＩＤ情報ビットを得て、この復号した
   ＩＤ情報ビットを認証機関に問い合わせて、送信者が本
   人であるかどうかを照合してもらうことを特徴とする認
   証通信方法。
3. 【請求項３】 四つ以上の互いに直交する量子力学的内
   部状態を有する粒子または粒子系を情報キャリアとして
   利用して送信すべき情報を符号化し、認証機関において
   送信者に発行される個人認証用ＩＤ番号を送信すべき文
   書情報に付加して送信者から受信者に送信する認証通信
   装置であって、 前記四つ以上の互いに直交する量子力学的内部状態を有
   する粒子または粒子系においてそれぞれ二つの量子状態
   からなる第一および第二の直交基底系の一方を用いて、
   送信者から受信者に送信すべき文書情報に相当する有意
   情報ビットを符号化した情報キャリアを生成する有意情
   報ビット符号化手段と、 前記第一および第二の両方の直交基底系をランダムに用
   いて、前記個人認証用ＩＤ番号に相当するＩＤ情報ビッ
   トを符号化した情報キャリアを生成するＩＤ情報ビット
   符号化手段と、 前記有意情報ビット列を表す情報キャリアの時系列に前
   記ＩＤ情報ビットを符号化した情報キャリアをランダム
   に挿入した全情報キャリアの時系列を生成して受信者に
   送信する送信手段と、 受信者側に設けられ、前記第一および第二の直交基底系
   における量子状態の組合せ方とは異なる組合せ方により
   構成される第三または第四の直交基底系を用いて、前記
   送信手段から送信された前記全情報キャリアを受信する
   ことにより測定結果を得る受信測定手段と、 この受信測定手段で得た測定結果のうち、送信者によっ
   て指定された幾つかの情報キャリアに対応する前記測定
   結果を送信者に報告する測定結果報告手段と、 送信者側に設けられ、前記測定結果報告手段により報告
   された前記測定結果に基づき受信者が測定を行ったかど
   うかを確認した後、受信者に対して前記ＩＤ情報ビット
   の挿入位置を開示する挿入位置開示手段と、 受信者側に設けられ、前記開示されたＩＤ情報ビットの
   挿入位置情報に基づき有意情報ビットおよびＩＤ情報ビ
   ットを復号して文書情報およびＩＤ情報ビットを得る復
   号手段と、 送信者が本人であるかどうかを認証機関に照合してもら
   うべく前記復号手段で復号されたＩＤ情報ビットを認証
   機関に提示して問い合わせる問い合わせ手段とを有する
   ことを特徴とする認証通信装置。