JP2005503716A

JP2005503716A - ネットワークダイナミックスに基づく鍵一致プロトコル

Info

Publication number: JP2005503716A
Application number: JP2003529686A
Authority: JP
Inventors: ブリュエン、エイデン; フォーチニト、マリオ; ウェラウ、デイヴィッド
Original assignee: ノン − エレファントインクリプションシステムズ（バルバドス）インコーポレイテッド
Priority date: 2001-09-20
Filing date: 2002-09-20
Publication date: 2005-02-03
Also published as: WO2003026197A2; EP1436940A2; CA2462384A1; IL160829A0

Abstract

要約書なし。

Description

【技術分野】
【０００１】
本発明は暗号システムに関し、特に、無ノイズの公開チャンネル上で通信する二人の関係者間で記録される時間差分に基づく無条件に安全な暗号鍵を生成する方法、に関する。本出願は、「シルベスタ行列に基づくハッシュ関数」と題された同一日付で出願された我々の該当出願に関連している。
【背景技術】
【０００２】
古典的な暗号システムのアキレス健は、全面的に安全な通信チャンネル上で秘密裏に鍵が送信された後に始めて秘密裏の通信が実行可能となる、という事実である。［非特許文献６、７］においてロモナコは、この事実を暗号技術の「キャッチ２２」と呼び、以下のように言及している。
【０００３】
「キャッチ２２。アリスとボブが秘密裏に通信を実行できる以前に、彼等はまず秘密裏に通信を実行せねばならない。」
【０００４】
ロモナコは続けて、現在利用されている公開鍵暗号システムを含めた更なる諸々の困難に言及している。公開鍵インフラ（ＰＫＩ）の幾つかの他の欠陥に関する議論として、米国一般会計局報告［非特許文献９］がある。
【０００５】

を、アリスとボブ用に生成された共通鍵とする。即ち、

は長さ

のある二進ベクトルである。すると、

は一回性のパッドとして、以下のように使用し得る。

を、アリスがボブに送信したいメッセージとする。即ち、同様に

は長さ

のある二進ベクトルである。アリスは、

と符号化する。ここで、

は、ビット的加算即ち排他的論理和、を表わす。従って、

ではなく、

が公開チャンネル上に送信される。するとボブは、全く同様の仕方でこれを復号化する。即ち、ボブはメッセージ

を受け取り、このメッセージはビット的加算の性質から

に他ならない。
【０００６】
もう一つの方法として、リジンダエル［非特許文献１３］の鍵暗号システム又はＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ（ＤＥＳ）［非特許文献１４］のような標準的な対称鍵暗号システムにおいて、該鍵

が使用され得る。その際の基本的アイデアは、

をビット的加算即ち排他的論理和を表わすように符号化することである。従って、

ではなく、

を復号化し、このメッセージはビット的加算の性質から

に他ならない。
【０００７】
もう一つの方法として、リジンダエル［非特許文献１２］の鍵暗号システム又はＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ（ＤＥＳ）［非特許文献１３］のような標準的な対称鍵暗号システムにおいて、該鍵

が使用され得る。その際の基本的アイデアは、

と符号化することであり、ここで、

はパラメータ

を有するリジンダエル順列を表わす。すると、メッセージを獲得する為に、ボブは

によりこれを復号化する。ここで、

の逆関数である。
【０００８】
今日まで、このような共通鍵

を構築する為の実際的なプロトコルにおいては、セキュリティを確保する為に、様々な数学的問題に関係する未証明の数学的仮定が利用されて来た。このような数学的問題として、例えば、因数分解問題、離散対数問題、及びディフィ・ヘルマン問題が存在する。現在利用されている暗号システムに関連した他の重要な困難は、最小限のセキュリティを確保する為にさえ、非常に長い鍵長が必要であることである。［非特許文献１７］の論文においてＲ．Ａ．モリンは、楕円曲線暗号に関して、最小限のセキュリティ確保の為に必要最低限３００ビットの鍵長が使用されるべきであり、又より複雑で重要な通信の際には５００ビットの鍵長が使用されるべきである、と指摘している。更に、同文献において、ＲＳＡ暗号に関して２０４８ビットの鍵長を推奨している。
【０００９】
［非特許文献２０］の第５章においてジュリアンブラウンは、鍵長５１２ビットのＲＳＡに依拠した金融分野における暗号化システムの例を挙げている。これは即ち、イングランド銀行により１９９７年に導入されたＣＲＥＳＴシステムである。彼は、著名な暗号技術者Ａ・レンストラの、この暗号に関する以下の言葉を引用している。「５１２ビットの鍵でさえ、既に暗号パンク達の手の届く範囲にあるかも知れない。原理的には、彼等はこの程度の鍵長なら一夜にして破り得るのではないだろうか。」
【００１０】
（ネットワーク通信の到着時間におけるランダム性）
コンピュータネットワークは、幾つかのプロトコル層［非特許文献１４］の重ね合わせにより形成されている非常に複雑なシステムである。図１は、典型的なネットワークにおけるこのような層を示す。こうした層が如何に協働するかに関する以下の分析により、ネットワークにおけるランダム性が説明される。
【００１１】
最下層は、二個のコンピュータを接続する。即ち、最下層は何らかの物理的な手段によりこれらの間にチャンネルを形成する層であり、物理層と呼ばれる。
【００１２】
二番目の層は、該チャンネルから（「ノイズ」と呼ばれる）ランダムな物理エラーを除去し、一点から他の点に到る無エラーの通信路を形成する。この層即ちデータリンク層は、送信エラー処理を主として担当する。該送信エラーは、データが物理接続上を送信される際に（ビットを表わす）電気的インパルスとして生成される。エラー検出技術［非特許文献１５］は、多くのプロトコルにおける送信エラーを特定する為に使用される。一旦エラーが検出されると、該プロトコル層はデータの再送信を要求する。データリンク層におけるランダムエラーは、タイミング遅延を記録して測定され得る。
【００１３】
メディアアクセス層は、単一のチャンネル上における全通信の割り当て及びスケジュール調整処理、を担当する。ネットワーク化環境においては、インターネットを含めて、多くのコンピュータが単一のチャンネル上で通信を遂行する。パケット伝送におけるバースト現象は周知の特徴的現象であり、単一のチャンネル［非特許文献１６］上で通信を遂行する個々の多くのコンピュータの制御不能な振る舞いに起因し、送信時間におけるランダムな変動をもたらす。
【００１４】
ネットワーク層は、情報に対するルーティング処理を担当し、二個のコンピュータ間の現実的又は仮想的接続を形成する。該ルーティングは、ルーティングアルゴリズムの種類と各ルータに対する負荷、に依存する。これらの二つの因子は、送信時間をランダムに変動させる。
【００１５】
トランスポート層は、最後のアプリケーション層とのインターフェイスとして機能し、該トランスポート層は、送信者から受信者へ至る端末間の、信頼し得る接続志向のバイトストリーム、を提供する。この目的の為に、トランスポート層は接続の確立と管理を担当する。トランスポート層の動作と関係する時間は、ネットワーク内の全てのデバイスと使用中のアルゴリズム、に依存する。従って、送信時間の変動はトランスポート層においても発生して、タイミング遅延に寄与してしまう。
【００１６】
しかしながら、ネットワークのみがタイミングの変動に影響を与えるのではない。送信と受信のコンピュータは、ネットワーク内のパケットに対するサービスに起因する内部遅延、を有する。従って、タイミングを測定する動作さえも又、ランダムな変動を導入してしまう。（到着タイミングに対する摂動効果の分析を示す［００３５］の補遺Ｂ，を参照せよ。）
【非特許文献１】
ＣｈａｒｌｅｓＢｅｎｎｅｔｔ，ＦｒａｎｃｏｉｓＢｅｓｓｅｔｔｅ，ＧｉｌｌｅｓＢｒａｓｓａｒｄ，ＬｏｕｉｓＳａｌｖａｉｌ，ａｎｄＪｏｈｎＳｍｏｌｉｎ，Ｅｘｐｅｒｉｍｅｎｔａｌｑｕａｎｔｕｍｃｒｙｐｔｏｇｒａｐｈｙ，ＥＵＲＯＰＣＲＹＰＴ ’９０（Ａｒｈｕｓ，Ｄｅｎｍａｒｋ），１９９０，ｐｐ．２５３−２６５．
【非特許文献２】
ＣｈａｒｌｅｓＨ．Ｂｅｎｎｅｔｔ，ＧｉｌｌｅｓＢｒａｓｓａｒｄ，ａｎｄＪｅａｎ−ＭａｒｃＲｏｂｅｒｔ，ＰｒｉｖａｃｙＡｍｐｌｉｆｉｃａｔｉｏｎｂｙＰｕｂｌｉｃＤｉｓｃｕｓｓｉｏｎ，ＳｉａｍＪ．ｏｆＣｏｍｐｕｔｉｎｇ，１７，ｎｏ．２（１９８８），ｐｐ．２１０−２２９．
【非特許文献３】
ＡｉｄｅｎＢｒｕｅｎａｎｄＤａｖｉｄＷｅｈｌａｕ，ＭｅｔｈｏｄｆｏｒｔｈｅＣｏｎｓｔｒｕｃｔｉｏｎｏｆＨａｓｈＦｕｎｃｔｉｏｎｓＢａｓｅｄｏｎＳｙｌｖｅｓｔｅｒＭａｔｒｉｃｅｓ，ＢａｌａｎｃｅｄＩｎｃｏｍｐｌｅｔｅＢｌｏｃｋＤｅｓｉｇｎｓ，ａｎｄＥｒｒｏｒ−ＣｏｒｒｅｃｔｉｎｇＣｏｄｅｓ，ＩｒｉｓｈＰａｔｅｎｔＣｏ−ｐｅｎｄｉｎｇＩｒｉｓｈＰａｔｅｎｔＡｐｐｌｉｃａｔｉｏｎ．
【非特許文献４】
ＡｉｄｅｎＢｒｕｅｎａｎｄＤａｖｉｄＷｅｈｌａｕ，ＡＮｏｔｅＯｎＢｉｔ−ＲｅｃｏｎｃｉｌｉａｔｉｏｎＡｌｇｏｒｉｔｈｍｓ，Ｎｏｎ−ＥｌｅｐｈａｎｔＥｎｃｒｙｐｔｉｏｎＳｙｓｔｅｍｓＴｅｃｈｎｉｃａｌＮｏｔｅ０１．ｘｘＮＥ２，２００１．
【非特許文献５】
ＳａｍｕｅｌＪ．Ｌｏｍｏｎａｃｏ，Ａｑｕｉｃｋｇｌａｎｃｅａｔｑｕａｎｔｕｍｃｒｙｐｔｏｇｒａｐｈｙ，Ｃｒｙｐｔｏｌｏｇｉａ２３（１９９９），ｎｏ．１，ｐｐ．１−４１．
【非特許文献６】
ＡＲｏｓｅｔｔａＳｔｏｎｅｆｏｒＱｕａｎｔｕｍＭｅｃｈａｎｉｃｓＷｉｔｈＡｎＩｎｔｒｏｄｕｃｔｉｏｎｔｏＱｕａｎｔｕｍＣｏｍｐｕｔａｔｉｏｎ，ｑｕａｎｔ−ｐｈ／０００７０４５（２０００）．
【非特許文献７】
ＵｅｌｉＭ．Ｍａｕｒｅｒ，ＳｅｃｒｅｔＫｅｙＡｇｒｅｅｍｅｎｔＢｙＰｕｂｌｉｃＤｉｓｃｕｓｓｉｏｎＦｒｏｍＣｏｍｍｏｎＩｎｆｏｒｍａｔｉｏｎ，ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＩｎｆｏｒｍａｔｉｏｎＴｈｅｏｒｙ３９ｎｏ．３（１９９３），ｐｐ．７３３−７４２．
【非特許文献８】
ＵｎｉｔｅｄＳｔａｔｅｓＧｅｎｅｒａｌＡｃｃｏｕｎｔｉｎｇＯｆｆｉｃｅ，ＡｄｖａｎｃｅｓａｎｄＲｅｍａｉｎｉｎｇＣｈａｌｌｅｎｇｅｓｔｏＡｄｏｐｔｉｏｎｏｆＰｐｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅＴｅｃｈｎｏｌｏｇｙ，ＧＡＯ０１−２２７Ｒｅｐｏｒｔ，Ｆｅｂｒｕａｒｙ２００１，ＲｅｐｏｒｔｔｏｔｈｅＣｈａｉｒｍａｎ，ＳｕｂｃｏｍｍｉｔｔｅｅｏｎＧｏｖｅｒｎｍｅｎｔＥｆｆｉｃｉｅｎｃｙ，ＦｉｎａｎｃｉａｌＭａｎａｇｅｍｅｎｔａｎｄＩｎｔｅｒｇｏｖｅｒｎｍｅｎｔａｌＲｅｌａｔｉｏｎｓ，ＣｏｍｍｉｔｔｅｅｏｎＧｏｖｅｒｎｍｅｎｔＲｅｆｏｒｍ，ＨｏｕｓｅｏｆＲｅｐｒｅｓｅｎｔａｔｉｖｅｓ．
【非特許文献９】
ＣｌａｕｄｅＥ．Ｓｈａｎｎｏｎ，ＣｏｍｍｕｎｉｃａｔｉｏｎＴｈｅｏｒｙｏｆＳｅｃｒｅｃｙＳｙｓｔｅｍｓ，ＢｅｌｌＳｙｓｔｅｍＴｅｃｈｎｉｃａｌＪｏｕｒｎａｌ２８（１９４９），６５６−７１５．
【非特許文献１０】
ＤａｖｉｄＷｅｈｌａｕ，ＲｅｐｏｒｔｆｏｒＮｏｎ−ＥｌｅｐｈａｎｔＥｎｃｒｙｐｔｉｏｎ，Ｎｏｎ−ＥｌｅｐｈａｎｔＥｎｃｒｙｐｔｉｏｎＴｅｃｈｎｉｃａｌＮｏｔｅ０１．０８．２００１．
【非特許文献１１】
Ａ．Ｄ．Ｗｙｎｅｒ，ＴｈｅｒＷｉｒｅ−ＴａｐＣｈａｎｎｅｌ，ＢｅｌｌＳｙｓｔｅｍＴｅｃｈｎｉｃａｌＪｏｕｒｎａｌ５４ｎｏ．８（１９７５），１３５５−１３８７．
【非特許文献１２】
ＪｏａｎＤａｅｍｏｎａｎｄＶｉｎｃｅｎｔＲｉｊｎｍｅｉｅｎ，ＴｈｅＲｉｊｎｄａｅｌＢｌｏｃｋＣｙｐｈｅｒ，Ｊｕｎｅ１９９８，ｈｔｔｐ：／／ｃｓｒｃ．ｎｉｓｔ．ｇｏｖ／ｅｎｃｒｙｐｔｉｏｎ／ａｅｓ／ｒｉｊｎｄａｅｌ／ｒｉｊｎｄａｅｌ．ｐｄｆ
【非特許文献１３】
ＢｒｕｃｅＳｃｈｎｅｉｅｒ，ＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，２ｎｄＥｄｉｔｉｏｎ，ＪｏｈｎＷｉｌｅｙ＆Ｓｏｎｓ，ＮｅｗＹｏｒｋ，１９９６，Ｃｈａｐｔｅｒ１２．
【非特許文献１４】
ＡｎｄｒｅｗＴａｎｅｎｂａｕｍ，ＣｏｍｐｕｔｅｒＮｅｔｗｏｒｋｓ，ＰｒｅｎｔｉｃｅＨａｌｌ，１９９６．
【非特許文献１５】
ＣｌａｕｄｅＥ．Ｓｈａｎｎｏｎ，ＡＭａｔｈｅｍａｔｉｃａｌｔｈｅｏｒｙｏｆＣｏｍｍｕｎｉｃａｔｉｏｎ，ＢｅｌｌＳｙｓｔｅｍＴｅｃｈｎｉｃａｌＪｏｕｒｎａｌ２７（１９４８），ｐｐ．３７９−４２３ａｎｄ６２３−６５６．
【非特許文献１６】
ＷｉｌｌＥ．Ｌｅｌａｎｄ，ＭｕｒａｄＳ．Ｔａｑｑ，ＷａｌｔｅｒＷｉｌｌｉｎｇｅｒ，ａｎｄＤａｎｉｅｌＶ．Ｗｉｌｓｏｎ，ＯｎｔｈｅＳｅｌｆ−ＳｉｍｉｌａｒＮａｔｕｒｅｏｆＥｔｈｅｒｎｅｔ（登録商標）Ｔｒａｆｆｉｃ，Ｐｒｏｃ．ＳＩＧＣＯＭＭ（ＳａｎＦｒａｎｃｉｓｃｏ，ＣＡ；ＤｅｅｐｉｎｄｅｒＰ．Ｓｉｄｈｕ，Ｅｄ．），１９９３，ｐｐ．１８３−１９３．
【非特許文献１７】
Ｒ．Ａ．Ｍｏｌｌｉｎ，ＡｎＩｎｔｒｏｄｕｃｔｉｏｎｔｏＣｒｙｐｔｏｇｒａｐｈｙ，Ｃｈａｐｍａｎ＆Ｈａｌｌ／ＣＲＣ，２０００．Ｃｈａｐｔｅｒ６．
【非特許文献１８】
ＧｅｒａｌｄＳｔａｒｕｉａｌａａｎｄＭａｒｉｏＦｏｒｃｉｎｉｔｏ，ＡＮｏｖｅｌＡｐｐｌｉｃａｔｉｏｎｏｆＴｈｅＥｎｔｒｏｐｉｃＴｒａｎｓｆｏｒｍａｔｉｏｎＣｏｎｃｅｐｔｔｏＣｒｙｐｔｏｇｒａｐｈｙ，Ｎｏｎ−ＥｌｅｐｈａｎｔＥｎｃｒｙｐｔｉｏｎ，Ｉｎｃ．ＷｈｉｔｅＰａｐｅｒ，Ｎｏｖｅｍｂｅｒ２０００．
【非特許文献１９】
ＤｏｕｇｌａｓＲ．Ｓｔｉｎｓｏｎ，Ｃｒｙｐｔｏｇｒａｐｈｙ：ＴｈｅｏｒｙａｎｄＰｒａｃｔｉｃｅ，ＣＲＣＰｒｅｓｓ，１９９５．
【非特許文献２０】
ＪｕｌｉａｎＲ．Ｂｒｏｗｎ，ＴｈｅＱｕｅｓｔｆｏｒｔｈｅＱｕａｎｔｕｍＣｏｍｐｕｔｅｒ，Ｓｉｍｏｎ＆Ｓｃｈｕｓｔｅｒ，ＮｅｗＹｏｒｋ，２００１．
【発明の開示】
【発明が解決しようとする課題】
【００１７】
本発明は、可能な最大強度のセキュリティ即ち無条件のセキュリティを有し、且つ如何なる追加ハードウエアも必要としない、ネットワークダイナミックスに基づく鍵一致プロトコル、の生成の為の効率的且つ現実的なシステムと方法を提供するものである。この分野における先行技術に関する仕事は、理論的［非特許文献１１］であるか又は現実的には無理であるか、のいずれかである。現実的には無理というのは、通信衛星や無線送信機アレイのような高価で複雑なハードウエアと、これらのデバイス［非特許文献７］と通信する為の付随コンピュータハードウエアに基づく追加チャンネル、の設置が必要であるからである。全ての先行する暗号鍵は、計算セキュリティの弱い基準を満たすに過ぎない。
【実施例】
【００１８】
本発明は、二人の通信当事者間でのパケットの往復動作タイミングに基づく相対的な時間系列を導入する。これらのパケットは効率的で無条件に安全な鍵一致プロトコルを生成する為の基本的な構成ブロックを形成し、又、該鍵一致プロトコルは現在の対称及び非対称鍵暗号システムに対する置換システムとして使用され得る。本発明は、量子暗号化［非特許文献１、５、及び２０第６章］の分野で使用されるアイデアに基づく無条件に安全な暗号システムと方法、を提供する。更に、本発明は初めて、情報理論、エラー訂正符号、ブロック設計、及び古典統計の諸分野における基本結果（とそれらの相互関連性）を利用した暗号プロトコル、を提供する。本発明のシステムと方法は、現存する暗号システムと比較して計算的により高速で、より単純で、且つより安全である。更に、本発明により提供される無条件のセキュリティにより、本発明のシステムと方法は、スーパーコンピュータからの全ての攻撃及び量子コンピュータからさえの全ての攻撃に対して難攻不落である。このことは、全ての先行プロトコルと鋭い対照を成すものである。
【００１９】
本発明は、ネットワーク遷移時間の二特性を利用するプロトコルを提供する。該二特性とは即ち、ネットワーク遷移時間のランダム性と、このランダム性にもかかわらず二人の通信当事者により測定されたその平均タイミングは多数回の反復測定において収束するという事実、の二点である。その結果は、以下の通りである。あるパケットが第一当事者即ちアリス即ちＡを基準にした往復動作を完了し、且つ第二当事者即ちボブ即ちＢを基準にした往復動作を完了する為に必要とする相対的な時間を測定することにより、二個の相関するランダム変数が得られる。
【００２０】
一好適実施例において、ＡとＢはパケットを交互にラリーする作業に従事して、パケットの往復動作の回数を個別に計算する。該パケットの内容は非本質的なので、パケットは何らかの付加目的に使用されても良い。該往復動作回数のみが、関心事である。図２は、本発明の相対往復動作回数ジェネレーターの一往復動作、を示す。図２は、その過程を模式的に示すものである。
【００２１】
段階１−アリスとボブは本発明のシステムと方法を採用して、測定されたパケット往復動作回数の系列から順列化された残留ビット列を構成する：
アリスとボブはネットワーク上でパケットを交換して、その往復動作回数を記録する。更に、連続する往復動作回数の所定個数の小桁数ビットを連結することにより、各々一個のビット列を形成する。一旦充分数のビットが連結されたら、この連結過程は停止される。次に、アリスとボブの双方は所定の順列化を該連結された各ビット列に適用して、互いに等鍵長の順列化された残留未処理鍵

を形成する。
【００２２】
段階２−アリスとボブはこれらの被順列化残留未処理鍵を採用して、調停鍵を生成する：
アリスとボブは各々の被順列化残留未処理鍵

を系統的に副ブロックに分割して、各副ブロック毎にパリティを計算、交換、比較する。次に、各副ブロックの低桁数ビットを切り捨てて、該変更された副ブロックをそれらの元々の順序で再連結する。不一致パリティを有するブロックの場合は、不一致ビットが特定され消去されるまで該分割過程が反復される。
【００２３】
段階３−アリスとボブは彼等の該共通の調停鍵から、無条件に安全なパッド即ち鍵を生成する：
盗聴者であるイヴが有し得るかもしれない如何なる部分情報も消去する為のプライバシー増幅が、所定の専用ハッシュ関数［非特許文献４］を用いてアリスとボブの双方により適用される。これにより、該調停鍵から、所定鍵長の、無条件に安全な最終鍵が生成される。
【００２４】
一好適実施例において、本発明の鍵一致システムは三つの段階を含む。第一段階は順列化された残留ビット列の構成であり、二人の通信当事者アリスとボブがパケットを交互にラリーしてその往復動作回数を記録する。この初期ビット列構成の後においても、幾つかのビットは依然として異なり得る。従って、アリスとボブは、情報調停と呼ばれる第二段階に参入する。該第二段階では、アリスとボブは完全に同一の鍵を所有することになる。しかしながら、イヴが調停されたビット列に関する部分知識をシャノンビットの形で有し得る。従って、プライバシー増強と呼ばれる第三の最終段階が実行されて、イヴにより収集された如何なる部分情報も消去される。
【００２５】
段階Ｉ−アリスとボブはパケットを交互にラリーして、載端された往復動作回数からビット列を生成する。次に、このビット列は系統的に順列化される。この処理手続きは、以下の通りである。
（ｉ）アリスはボブにネットワークパケットを送信し、その時間

をログ記録する。
（ｉｉ）ボブはその受信時間を

と記録し、他のネットワークパケットを用いて直ちにアリスに応答する。
（ｉｉｉ）アリスはその受信時間を

と記録し、ネットワークパケットを用いて直ちに応答する。
（ｉｖ）ボブはその受信時間を

と記録し、他のネットワークパケットを用いて直ちにアリスに応答する。
（ｖ）アリスとボブは、各々、

を計算する。
ネットワーク接続の品質に応じて、

の数ビットのみを保有する。高桁数ビットは落す即ち切り捨てる。典型的な実験データと該載端の基準は［非特許文献１８］に見出し得る。
適切な確率分布を取ることにより、

が等しいことを示し得る。
（ｖｉ）充分数のビットを生成する為に、ステップ（ｉ）乃至（ｖ）を繰り返す。該充分数のビットは、次に所定鍵長のビット列として連結される。
【００２６】
段階ＩＩ−一旦充分数のビットが生成されたら、この過程は停止される。アリスとボブは該相対的な時間系列を用いて、無条件に安全なパッド即ち鍵を生成せねばならない。技術に習熟した人ならば、参考文献リスト中の様々な論文の研究から、これ以後において様々なアプローチが存在し得ることを推測できよう。本発明では、大雑把に言ってベネット他［非特許文献１］のそれに初期状態で関連するアプローチ、を用いる。しかしながら、［非特許文献３、４、１０］において、幾つかの変更と改良が指摘されている。これらの変更は、代数符号理論、情報理論、ブロック設計、及び古典統計における基本結果に基づき、以下の諸結果をもたらす：
（ａ）鍵長に対する先験的制限；
（ｂ）初期ビット相関及び後続ビット相関と鍵長の見積もり方法；
（ｃ）各段階での最適アプローチ方法の正確な処理手続き；
（ｄ）

に収束することの厳密証明；
（ｅ）停止規則；
（ｆ）同等性の検証処理手続き；及び
（ｇ）プライバシー増強用の新規で系統的なハッシュ関数。
【００２７】
段階Ｉの後、アリスとボブは各々の二進アレイ

を所有し、双方が段階ＩＩの以下のステップを遂行する：
（ｖｉｉ）シャッフルと分割。アリスとボブは順列化を

に適用する。次に彼等は、これらの順列化された残留未処理鍵を長さ

の副ブロックに分割する。
（ｖｉｉｉ）

におけるパリティ交換と二分検索：アリスとボブにより、パリティは長さ４の各副ブロック毎に計算され交換される。同時に彼等は、如何なる新規情報もイヴに露呈しないように、各副ブロックの最下位ビットを切り捨てる。パリティが一致すれば、アリスとボブは各副ブロックの上位三ビットを保有する。パリティが不一致ならば、［非特許文献１］と［非特許文献５］（［非特許文献４］も参照）にまさしく言及されているように、アリスとボブは二分検索を遂行して各副ブロックの最下位因子を切り捨てる。ステップ（ｖｉｉ）と（ｖｉｉｉ）における該処理手続きは、

で表わされる。
（ｉｘ）相関の見積もり：該新規鍵の鍵長から、

間の求める初期ビット相関

［非特許文献４］を計算し得る。更に、

を用いて、求める相関

を計算し得る。
（ｘ）最適な

におけるシャッフル、パリティ交換、及び二分検索：隣接鍵を分離する為に、残留鍵

に対して順列化ｆを適用する。非限定的な例として、一つのこうしたｆは、ビット順序を

から順序

へシャッフルすることにより実装され得る。ここに、

である。
相関

が判明したら、［非特許文献４］中の表を用いて

に対するその最適値を選択する。

の場合の（ｖｉｉｉ）と（ｉｘ）と同様に、処理手続き

を実施する。

が適用された後に、

から、又は残留鍵の新規の共通鍵長から、求める該相関を計算する。停止条件が成立するまで、（ｘｉ）を繰り返す。
（ｘｉ）停止条件：鍵長

と相関

に対して、停止条件

が成立する。ここに、εは所定の小さな正数である。次に、検証処理手続きに進む。その例は、以下の通りである。
（ｘｉｉ）検証処理手続き：残留鍵

を、共に鍵長

の鍵とする。

を、

を満たす最小の整数とする。二進行列

を、以下のように構成する：
ａ．エントリ

は、

要素の恒等行列

のエントリである。
ｂ．

の

行目は、全要素が１のベクトルである。即ち、

である。
ｃ．

列目の最上位の

個のエントリを、二進ベクトル

で表わす。従って、

である。次に、該ベクトル

は全て異なるという条件を課す。従って、集合

は、長さ

の、異なる

個の全二進ベクトルの集合に同等である。
ｄ．

の行を、

で表わす。長さｎの行ベクトルとして書かれた残留鍵

を、ｘ，ｙで表わす。ゼロから成る長さ

の一行を

の右側に各々隣接させた結果生成されるベクトルを、

で表わす。従って、

である。
ｅ．該検証基準は、

の成立を点検することである。検証基準が満足されない場合は、

から最初の

個のビットを除去し、ステップ（ｘ）、（ｘｉ）を繰り返し、更に検証基準が満足されるか否かを再度チェックする。最終的には、検証基準は満足される。
この段階で、アリスとボブは、彼等が今や同一の鍵を共有している事実を確認したことになる。一旦この事実が確認されれば、段階２で変換されたような最終的な残留未処理鍵は、

から最初の

個のビットを除去することにより変更される。こうして生成された我々の新規鍵を「調停鍵」と改めて命名することとし、更に段階３でプライバシー増幅が遂行される。
【００２８】
段階ＩＩＩ−この段階では既に、アリスとボブは該共通の調停鍵を所有している。この調停鍵が盗聴者であるイヴに対して部分的にしか秘匿されていない、という場合があり得る。これは、イヴがこの鍵に関するある程度の情報をシャノンビットの形で有し得ているかもしれない、という意味である。そこでアリスとボブは、部分秘密鍵からの最終秘密鍵の抽出処理であるプライバシー増強処理、を開始する（［非特許文献１］と［非特許文献２］を参照）。ベネット、ブラサァード、ロバートによる周知結果（［非特許文献１９］を参照）によれば、該最終秘密鍵に関してイヴの有し得る平均情報は、以下に説明するように、２^−Ｓ／ｌｎ２シャノンビット以下である（シャノン［非特許文献９］も参照）。
（ｘｉｉｉ）プライバシー増強−イヴの有し得るシャノンビット数の上限を

とし、

をアリスとボブが自在に調整し得るセキュリティパラメータとする。「シルベスタ行列、平衡した不完全ブロック設計、及びエラー訂正符号に基づくハッシュ関数の構成方法」と題するアイルランド同時係属出願（その全開示内容は全面的に包含される［非特許文献３］）において開示されているハッシュ関数を、アリスとボブは適用する。このハッシュ関数は、鍵長

の調停鍵から鍵長

の最終秘密鍵を生成する。
【００２９】
本発明のシステムと方法は、以下のようにネットワークダイナミックスに基づく無条件に安全な鍵一致方式、を提供するものである。段階Ｉにおいて、アリスとボブは各々の未処理鍵の残留ビットを順列化し、鍵はネットワークノイズに起因する遅延を取り込む。段階ＩＩにおいて、段階Ｉで形成された鍵はロモナコ［非特許文献５］の処理を受ける。即ち、段階ＩＩにおいて、アリスとボブは残留未処理鍵を長さ

のブロックに分割する。最終鍵の鍵長の上限が見積もられ、この上限に任意に近い鍵長を生ずる

の値の系列も見積もられる［非特許文献４］。段階ＩＩにおいて、アリスとボブはこれらの各ブロック毎に全体的パリティチェックを公開的に比較し、比較されたブロックの最終ビットを切り捨てるべきかを各回確認する。全体的パリティチェックが一致しない毎に、アリスとボブはこのエラーの二進検索を開始する。即ち、不一致ブロックを二個の副ブロックに二分し、各副ブロックの最下位ビットを切り捨てながら、これらの各副ブロック毎にパリティを公開的に比較する。彼等は、パリティが一致しない副ブロックの二分検索を続行する。この二分検索は、エラービットが特定され消去されるまで続行される。その後、彼等は次の

ブロックに進む。
【００３０】
次に段階Ｉが反復される。即ち、適切な順列化が選択、適用されて、被順列化残留未処理鍵が得られる。次に段階ＩＩが反復される。即ち、該残留未処理鍵が長さ

のブロックに分割され、パリティが比較される、等である。各ステップに従う求めるビット相関（以下を参照）の正確な数式は、［非特許文献４］で得られている。［非特許文献４］では、この相関が１に収束することも示されている。［非特許文献４］では更に、調停鍵の鍵長と収束の為のステップ数が表に示されている。
【００３１】
該アレイ

において対応するビットが一致する確率は、ビット相関確率又は単にビット相関、として知られている。各往復動作がビット相関の増加の為に使用し得ることが示される（［非特許文献４］を参照）。例えば、０．７のビット相関で開始されたとすると、

において一往復動作後にはビット相関は略０．７７に増加し、更に０．８７に増加する。

においては、対応数は０．８４と０．９７である。

の様々な値に対して、本発明のプロトコルの一往復動作後の鍵長を見積もることも可能である［非特許文献４］。
【００３２】
今や該最終秘密鍵は、完全な秘匿性を実現する一回性のパッドとして使用し得るか、或いはリジンダエル［非特許文献１２］の鍵暗号システム又はトリプルＤＥＳ［１９］のような対称鍵暗号システム用の鍵として使用し得る。
値

と３に対する該アルゴリズムの単純化アルゴリズムが、［００３４］の補遺Ａに説明されている。
【００３３】
上述の実施例は添付請求範囲に定義される本発明の請求範囲から乖離することなく逸脱することが可能な単なる例に過ぎない、ことが技術に習熟した人には理解されよう。
【００３４】

前述した該調停鍵の抽出における

に対する処理手続きを、より詳細に説明する。

アリスとボブは彼等各々のビット列

を対

に分割する。

が奇数長を有していれば、その最終ビットを落とす。ブロック

の処理に当たり、以下のように進める。
アリスは、彼女のブロックのパリティは数

（モジュール２）である、と宣告する。
ボブは、このパリティと彼のブロックのパリティとを比較する。

（モジュール２）が

（モジュール２）と等しければ、要素

を破棄し、要素

を保有する。しかしながら、

（モジュール２）と

（モジュール２）が異なれば、四個の要素

を破棄する。

ビット列

をサイズ３のブロック、即ち

に各々分割する。

のサイズが３で割り切れなければ、

の最終の一個又は二個の要素を適当に切り捨てる。サイズ３の各ブロック、例えばブロック

の処理に当たり、再びそのパリティを検定し以下のように進める。
ケース１：パリティが一致すれば、要素

を破棄する。
ケース２：パリティが一致しなければ、要素

を破棄する。次に

であれば、サイズ３の両ブロックを破棄する。しかしながら

であれば、要素

を破棄する。

が増加するにつれ、収束に必要な往復動作数は増加するが、鍵長はより長くなる。最適な処理手続きは、［非特許文献４］に説明されている。
【００３５】
（補遺Ｂ−被摂動チャンネル模型）
単純化された理論模型によると、ノイズを有するチャンネルにおいて、観測者により導入された摂動はある条件下で検出し得る。ネットワークのダイナミックスを模倣した機械的なシステムを分析することにより、我々はこの検出確率を査定した。
該模型の動作は以下の通りである。一個の粒子がノードＡで放出される。該粒子は、ポテンシャルφ（ｘ，ｔ）上をノードＢに向かってポテンシャルＦ_０により駆動される。熱ノイズが存在するので、Ｂに向かう粒子の運動は該ポテンシャルにより偏向されたランダムウォークとなる。従って、粒子は有限時間でＢに到着する。その平均到着時間は、ランジュヴァン方程式：

により記述される。ここに、ｗはウイーナ過程｛ｄｗはガウス型の白ノイズ｝であり、ζはノイズ強度である。方程式１の解は、フォック・プランク方程式に従うマルコフ過程ｘ（ｔ）である。我々は、該粒子のＢへの第一到着時間に対応する解を捜した：

τ_Ａ，Ｂは元々のポテンシャルφ（ｘ）に対して一回計算され、次に被摂動ポテンシャルφ’（ｘ）に対して一回計算され、更に両者の差分を計算した。該ポテンシャルのこの被摂動ポテンシャルは、

と定義される。ここに、ｈは点ｃ∈［Ａ，Ｂ］におけるポテンシャル障壁の高さであり、εは摂動効果が伝播する距離の半値幅である。ε→０の極限で該摂動は点ｃにおけるディラックのδ関数となる。
単純なポテンシャルφ（ｘ）＝定数を用いて得た解によると、到着時間は摂動と共に変化（増加）し、この増加はノイズζ→０と共により顕著になる（図３）。この模型からの結論がある通信チャンネルに適用し得ることを保障する条件は、現在ＮＥ^２で活発に研究中である。
【図面の簡単な説明】
【００３６】
【図１】図１は、典型的な多層コンピュータネットワークプロトコルを示す。
【図２】図２は、順列化された残留ビット列を各通信関係者により生成する為の、二人の通信関係者間での一ラリー往復動作を示す。
【図３】図３は、平均到着時間をチャンネルノイズ（ノイズパラメータ）の関数として示す。

Claims

第一と第二の暗号局ＡとＢ間において無条件に安全な暗号鍵を生成する方法であって、
ａ）前記第一と第二局ＡとＢにおいて、所与の物理現象の測定の独立的記録から前もって決定された方法で第一と第二の被相関列Ｌ_Ａ，Ｌ_Ｂを構成する（即ち、前記第一と第二の被相関列Ｌ_Ａ，Ｌ_Ｂは対応する統計変数が独立ではない形態に構成される）段階から成り、前記被相関列の各々は有限のアルファベットから選択された桁数の所与の長さＮを有し；
ｂ）前記第一と第二局ＡとＢにおいて、所定の順列化ｇ＝ｇ_ＮをＬ_Ａ，Ｌ_Ｂに適用して第一と第二の被順列化列ｇ（Ｌ_Ａ）とｇ（Ｌ_Ｂ）を形成し、ｇ（Ｌ_Ａ），ｇ（Ｌ_Ｂ）を各々所定の連結Ｕ_１（＝Ｓ_Ａ），Ｕ_２，．．．，Ｕ_ｍとＶ_１（＝Ｓ_Ｂ），Ｖ_２，．．．，Ｖ_ｍとして表現する段階から成り、ここにｇ＝ｇ_Ｈは所定の順列化であり、Ｓ_Ａは前記第一の被順列化列ｇ（Ｌ_Ａ）の副列であり、Ｓ_Ｂは前記第二の被順列化列ｇ（Ｌ_Ｂ）の副列であり、且つ

に対してＵ_ｉの長さはＶ_ｉの長さに等しく；
ｃ）Ｐ（Ｓ_Ａ，Ｓ_Ｂ）＝Ｐ_ｌ（Ｓ_Ａ，Ｓ_Ｂ）を再帰的に査定する段階から成り、ここにｌ＝｜Ｓ_Ａ｜＝｜Ｓ_Ｂ｜はＳ_ＡとＳ_Ｂの共通長であり、Ｐは共通長ｓ＝｜Ｕ｜＝｜Ｖ｜を持つ列Ｕ，Ｖのある順序化された対（Ｕ，Ｖ）上で定義された関数であり、前記査定段階は
（ｉ）前記第一局Ａにおいて、Ｓ_Ａ上の所定の関数Γの計算値Γ（Ｓ_Ａ）を前記第二局Ｂに送信する副段階を含み、ここにΓは列から列への写像関数であり、空列を｜Ｘ｜＝｜Ｙ｜の列Ｘ，Ｙに対してΓ（Ｘ）＝Γ（Ｙ）なる性質を有する空列に写像し、更に前記値を前記第二局Ｂに送信する副段階と；
（ｉｉ）前記第二局Ｂにおいて、Γ（Ｓ_Ａ）が計算値Γ（Ｓ_Ｂ）に等しければ前記第一局Ａに桁数１を送信し、さもなければ桁数０を送信する副段階と；
（ｉｉｉ）前記第一と第二局ＡとＢにおいて、各々列ｆ（Ｓ_Ａ），ｆ（Ｓ_Ｂ）を計算する副段階であって、ここにｆは列から列への所定の写像関数であり、空列を空列に写像し、長さ１の全列を空列に写像し、任意の列Ｘに対してｆ（Ｘ）の長さはＸの長さ以下か又はそれに等しく、且つ｜Ｘ｜＝｜Ｙ｜の列Ｘ，Ｙに対して｜ｆ（Ｘ）｜＝｜ｆ（Ｙ）｜なる性質を有し；
（ｉｖ）前記第一と第二局ＡとＢにおいて、Γ（Ｓ_Ａ）＝Γ（Ｓ_Ｂ）の場合はＰ_ｌ（Ｓ_Ａ，Ｓ_Ｂ）＝（ｆ（Ｓ_Ａ），ｆ（Ｓ_Ｂ））と設定する副段階と；
（ｖ） Γ（Ｓ_Ａ）≠Γ（Ｓ_Ｂ）の場合は、
ａ．前記第一局Ａにおいて、λ＝｜Ｎ_Ａ｜＝（ｔが偶数又は奇数の場合に応じて各々）１／２ｔ又は１／２ｔ＋１／２を有する列Ｍ_Ａ，Ｎ_Ａの連結Ｍ_ＡＮ_Ａとしてｆ（Ｓ_Ａ）を書く副段階であって、ここにｔはｆ（Ｓ_Ａ），ｆ（Ｓ_Ｂ）の共通長であり、
ｂ．前記第二局Ｂにおいて、λ＝｜Ｎ_Ａ｜＝｜Ｎ_Ｂ｜を有する列Ｍ_Ｂ，Ｎ_Ｂの連結Ｍ_ＢＮ_Ｂとしてｆ（Ｓ_Ｂ）を書く副段階を実行する、副段階と；
（ｖｉ）前記第一局Ａにおいて、Γ（Ｎ_Ａ）を前記第二局Ｂに送信する副段階と；
（ｖｉｉ）前記第二局Ｂにおいて、Γ（Ｎ_Ａ）＝Γ（Ｎ_Ｂ）ならば前記第一局Ａに桁数１を送信し、さもなければ桁数０を送信する副段階と；
（ｖｉｉｉ） Γ（Ｎ_Ａ）＝Γ（Ｎ_Ｂ）の場合はＰ_ｌ（Ｓ_Ａ，Ｓ_Ｂ）＝（Ｘ_１，Ｙ_１）と設定する副段階であって、ここにＸ_１はＰ_ｔ−λ（Ｍ_Ａ，Ｍ_Ｂ）の第一要素と列ｆ（Ｎ_Ａ）との連結であり、Ｙ_１はＰ_ｔ−λ（Ｍ_Ａ，Ｍ_Ｂ）の第二要素と列ｆ（Ｎ_Ｂ）との連結であり；
（ｉｘ） Γ（Ｎ_Ａ）≠Γ（Ｎ_Ｂ）の場合はＰ_ｌ（Ｓ_Ａ，Ｓ_Ｂ）＝（Ｘ_２，Ｙ_２）と設定する副段階であって、ここにＸ_２はＭ_ＡとＰ_λ（Ｎ_Ａ，Ｎ_Ｂ）の第一要素との連結であり、Ｙ_２はＭ_ＢとＰ_λ（Ｎ_Ａ，Ｎ_Ｂ）の第二要素との連結であり；
（ｘ）Ｓ_Ａ＝Ｎ_Ａ，Ｓ_Ｂ＝Ｎ_Ｂ（又はＳ_Ａ＝Ｍ_Ａ，Ｓ_Ｂ＝Ｍ_Ｂ）の前記副段階（ｉ）から（ｉｘ）の繰り返しにより、Ｐ_λ（Ｎ_Ａ，Ｎ_Ｂ）（又はＰ_ｔ−λ（Ｍ_Ａ，Ｍ_Ｂ））を再帰的に計算してＰ_ｌ（Ｓ_Ａ，Ｓ_Ｂ）を得る副段階と
ｄ）Ｓ_Ａ＝Ｕ_ｉ，Ｓ_Ｂ＝Ｖ_ｉの前記段階（ｃ）の繰り返しによりｌ_ｉ＝｜Ｕ_ｉ｜＝｜Ｖ_ｉ｜なるＰ_ｌｉ（Ｕ_ｉ，Ｖ_ｉ）を連続的に計算し、Ｗ_１，Ｗ_２，Ｗ_３，．．．，Ｗ_ｍを連結して第一の被連結列Ｋ_Ａを前記第一局Ａにおいて構成する段階であって、ここにＷ_１は対Ｐ_ｌ（Ｕ_１，Ｖ_１）＝Ｐ_ｌ（Ｓ_Ａ，Ｓ_Ｂ）の第一要素であり、Ｗ_ｉは対

の第一要素であり；
ｅ）Ｓ_Ａ＝Ｕ_ｉ，Ｓ_Ｂ＝Ｖ_ｉの前記段階（ｃ）の繰り返しによりｌ_ｉ＝｜Ｕ_ｉ｜＝｜Ｖ_ｉ｜なるＰ_ｌｉ（Ｕ_ｉ，Ｖ_ｉ）を連続的に計算し、列Ｚ_１，Ｚ_２，Ｚ_３，．．．，Ｚ_ｍを連結して長さｎの第二の被連結列Ｋ_Ｂを前記第二局Ｂにおいて構成する段階であって、ここにＺ_１は前記対Ｐ_ｌ（Ｕ_１，Ｖ_１）＝Ｐ_ｌ（Ｓ_Ａ，Ｓ_Ｂ）の第二要素であり、Ｚ_ｉはｌ_ｉ＝｜Ｕ_ｉ｜＝｜Ｖ_ｉ｜の前記対

の第二要素であり；
ｆ）｜Ｋ_Ａ｜＝｜Ｋ_Ｂ｜から前記長さｎ＝｜Ｋ_Ａ｜＝｜Ｋ_Ｂ｜を用いて所定の公式よりビット相関ｘ＝ｘ（Ｋ_Ａ，Ｋ_Ｂ）を計算する段階であって、ここに、Ｋ_ＡとＫ_Ｂ間の前記ビット相関が０．５以下でｘ＞０．５となる場合は常にＫ_Ｂは（Ｋ_Ｂ内の１と０を各々０と１で置換して得られる）ブール補数Ｋ_Ｂ ^＊で置換され；
ｇ）ｘ（Ｋ_Ａ，Ｋ_Ｂ）が所定の停止不等式Ｓを満足するか否かを確認する段階と；
ｈ）前記停止不等式Ｓが満足されない場合は、Ｌ_Ａ＝Ｋ_Ａ，Ｌ_Ｂ＝Ｋ_Ｂの前記段階（ｂ）乃至（ｇ）を繰り返す段階から成り；
ｉ）前記停止不等式Ｓが満足される場合は、
（ｉ）前記第一局Ａにおいて、Ｃ（Ｋ_Ａ）を査定する副段階を実行し、ここにＣは全ての非空列上で定義された所定のハッシュ関数であり；
（ｉｉ）前記第一局Ａにおいて、Ｃ（Ｋ_Ａ）を前記第二局Ｂに送信する副段階を実行し；
（ｉｉｉ）前記第二局Ｂにおいて、Ｃ（Ｋ_Ｂ）を査定する副段階を実行し；
（ｉｖ）前記第二局Ｂにおいて、Ｃ（Ｋ_Ｂ）＝Ｃ（Ｋ_Ａ）ならば前記第一局Ａに桁数１を送信し、さもなければ桁数０を送信する副段階を実行する；
段階から成り；
ｊ）Ｃ（Ｋ_Ａ）＝Ｃ（Ｋ_Ｂ）の場合は、Λ（Ｋ_Ａ）＝Λ（Ｋ_Ｂ）即ち前記第一と第二局ＡとＢにより共有される無条件に安全な暗号鍵、を構成する段階から成り、ここにΛは盗聴者が有し得る全潜在情報を消去する所定のハッシュ関数であり；
ｋ）Ｃ（Ｋ_Ａ）≠Ｃ（Ｋ_Ｂ）の場合は、前記段階（ｂ）乃至（ｊ）を繰り返す段階から成り、ここに各々Ｌ_Ａ＝Ｋ_Ａ，Ｌ_Ｂ＝Ｋ_Ｂである、第一と第二の暗号局ＡとＢ間において無条件に安全な暗号鍵を生成する方法。
前記段階ａ）が
ａ．１）前記第一と第二局ＡとＢに第一の秘密列Ｒ_１と第二の秘密列Ｒ_２を各々提供する副段階を更に含み、Ｒ_１とＲ_２は相関しており（即ち、Ｒ_１とＲ_２に対応する統計変数は独立ではない）且つ同一長を有し；更に
ａ．２）前記第一と第二の列Ｌ_ＡとＬ_Ｂを前記第一と第二の秘密列Ｒ_１とＲ_２により各々置換する副段階を更に含む、請求項１に記載の第一と第二の暗号局ＡとＢ間において無条件に安全な暗号鍵を生成する方法。
第一と第二の暗号局ＡとＢ間において無条件に安全な暗号鍵を生成する方法であって、前記方法は、前記秘密列Ｒ_１とＲ_２が（マーラーとロビンの）限定格納模型から得られる請求項２に記載の方法、を含む。
前記段階ｉ）の前記所定のハッシュ関数Ｃは最小距離ｄの二進線形符号のシンドロームであり、ここにｄはある所定の正の整数である、請求項１に記載の方法。
前記段階ａ）が
ａ．１）前記第一と第二局ＡとＢにおいて、生成された第一と第二のランダム列Ｒ_ＡとＲ_Ｂを各々前記第一と第二の列Ｌ_ＡとＬ_Ｂに連結して、第一と第二の被連結列Ｌ_ＡＲ_ＡとＬ_ＢＲ_Ｂを生成する副段階と；
ａ．２）前記第一と第二局ＡとＢにおいて、前記第一の列Ｌ_Ａを前記第一の被連結列Ｌ_ＡＲ_Ａで置換し、前記第二の列Ｌ_Ｂを前記第二の被連結列Ｌ_ＢＲ_Ｂで置換する副段階を更に含む、請求項１に記載の方法。
前記列Ｒ_１とＲ_２は各々被連結列Ｒ_１Ｒ_ＡとＲ_２Ｒ_Ｂで置換され、Ｒ_Ａは前記局Ａで生成されたランダム列で、Ｒ_Ｂは前記局Ｂで生成されたランダム列で、且つＲ_ＡとＲ_Ｂは同一長を有する、請求項２に記載の方法。
前記段階ａ）が、前記第一と第二局ＡとＢにおいて、生成された第一と第二のランダムな二進列Ｒ_ＡとＲ_Ｂと前記第一と第二の列Ｌ_ＡとＬ_Ｂとの２を法とするドット積により前記第一と第二の列Ｌ_ＡとＬ_Ｂを各々置換して、第一と第二のドット積列Ｌ_Ａ・Ｒ_ＡとＬ_Ｂ・Ｒ_Ｂを形成する副段階を更に含み、Ｒ_ＡとＲ_Ｂは各々Ｌ_ＡとＬ_Ｂと同一長を有する生成されたランダムな二進列である、請求項１に記載の方法。
前記列Ｒ_１とＲ_２は各々列Ｒ_１・Ｒ_ＡとＲ_２・Ｒ_Ｂで置換され、Ｒ_Ａは前記局Ａで生成されたランダム列で、Ｒ_Ｂは前記局Ｂで生成されたランダム列で、且つＲ_ＡとＲ_Ｂは各々Ｒ_１とＲ_２と同一長を有する、請求項２に記載の方法。
第一と第二局ＡとＢにおいて各々第一と第二の列ＵとＶを生成する方法であって、前記第一と第二の列ＵとＶは所定のビット相関ｘ_０，０．５＜ｘ_０＜１を有し、前記方法は
ｉ．請求項１の前記段階ａ）乃至ｆ）を実行して、ビット相関ｘ＞０．５を有する第一と第二の列Ｋ_ＡとＫ_Ｂを構成する段階と；
ｉｉ．ｘ＜ｘ_０の場合には、前記ビット相関ｘ＝ｘ（Ｋ_Ａ，Ｋ_Ｂ）がｘ_０以上か又はそれと等しくなるまで請求項１の前記段階ａ）乃至ｆ）を繰り返して実行する段階と；
ｉｉｉ．ｘ＞ｘ_０の場合には、Ｋ_ＡとＫ_Ｂを各々第一と第二の被連結列Ｕ＝Ｒ_ＡＫ_ＡとＶ＝Ｒ_ＢＫ_Ｂで置換する段階から成り、ここに、Ｒ_ＡとＲ_Ｂは各々前記第一と第二局ＡとＢにおいて生成された第一と第二のランダム列で、且つＲ_ＡとＲ_Ｂは各々ＵとＶの前記ビット相関がｘ_０に等しいことを保障する長さを有する、第一と第二局ＡとＢにおいて各々第一と第二の列ＵとＶを生成する方法。
第一と第二局ＡとＢにおいて各々第一と第二の列ＵとＶを生成する方法であって、前記第一と第二の列は０＜ｘ_０＜０．５の範囲の所定のビット相関ｘ_０を有し、前記方法は
ｉ．請求項９の前記方法によるビット相関ｘ_１＝１−ｘ_０を有する第三と第四の列Ｋ_ＡとＫ_Ｂを構成する段階と；
ｉｉ．Ｋ_Ｂをそのブール補数Ｋ_Ｂ ^＊で置換する段階から成り、ここに前記補数はＫ_Ｂ内の１と０を各々０と１で置換して得られる、第一と第二局ＡとＢにおいて各々第一と第二の列ＵとＶを生成する方法。
第一と第二局ＡとＢにおいて各々第一と第二の列ＵとＶを生成する方法であって、前記第一と第二の列ＵとＶは０．５＜ｘ_０＜１の範囲の所定のビット相関ｘ_０を有し、前記方法は
ｉ．請求項２の前記段階ａ）乃至ｆ）を実行して、ビット相関ｘ＞０．５を有する第一と第二の被連結列Ｋ_ＡとＫ_Ｂを構成する段階と；
ｉｉ．ｘ＜ｘ_０の場合には、前記ビット相関ｘ＝ｘ（Ｋ_Ａ，Ｋ_Ｂ）がｘ_０以上か又はそれと等しくなるまで請求項２の前記段階ａ）乃至ｆ）を繰り返して実行する段階と；
ｉｉｉ．ｘ＞ｘ_０の場合には、Ｋ_ＡとＫ_Ｂを各々第三と第四の被連結列Ｕ＝Ｋ_ＡＲ_ＡとＶ＝Ｋ_ＢＲ_Ｂで置換する段階から成り、ここに、Ｒ_ＡとＲ_Ｂは各々前記第一と第二局ＡとＢにおいて生成された第一と第二のランダム列で、且つ前記第一と第二のランダム列は各々ＵとＶの前記ビット相関がｘ_０に等しいことを保障する長さを有する、第一と第二局ＡとＢにおいて各々第一と第二の列ＵとＶを生成する方法。
請求項２に記載の前記方法により生成される無条件に安全な暗号鍵の鍵長を任意の高精度で予測する方法であって、前記方法は
ｉ．請求項２の前記段階ａ）乃至ｅ）を実行して、第一と第二の被連結列Ｋ_ＡとＫ_Ｂを構成する段階と；
ｉｉ．初期ビット相関ｘ（Ｋ_Ａ，Ｋ_Ｂ）を計算する段階と；
ｉｉｉ．この計算された相関に基づいて無条件に安全な暗号鍵の鍵長を見積もる段階から成る、無条件に安全な暗号鍵の鍵長を任意の高精度で予測する方法。
ｉ．請求項１に記載の前記方法に従って第一と第二の無条件に安全な鍵Λ（Ｋ_Ａ）＝Λ（Ｋ_Ｂ）を生成する段階と；
ｉｉ．前記第一と第二の無条件に安全な鍵Λ（Ｋ_Ａ）とΛ（Ｋ_Ｂ）を連結して一回性のパッドを生成する段階から成る、無条件に安全な暗号化方法。
サーバが複数の通信する関係者を認証して前記関係者が請求項１に記載の前記方法に従って無条件に安全な暗号鍵を生成する標準的なケルベロス構成、を備える完全な暗号システム。
請求項１により生成された無条件に安全な鍵と；認証アルゴリズム、を備える完全な暗号システム。
全列が二進列である、請求項１に記載された方法。
前記関数ｆは非空列を末尾要素を消去した前記同一非空列に写像する、請求項１に記載の方法。
前記アルファベットは有限アーベル群Ｇであり；且つ前記関数ΓはＧ上の列を前記列内の要素の総和に写像する、請求項１に記載の方法。
Ｇは二進体でありΓは列をそのパリティに写像する、請求項１８に記載の方法。
前記関数Γは、二個の任意列ＸとＹに対してΓ（Ｘ）＝Γ（Ｙ）となる仕方で全列を一個の所与の固定列に写像する、請求項１に記載の方法。
長さ

の二進列Ｕに対してｆ（Ｕ）＝Ｕのパリティであり；且つＬ_ＡとＬ_Ｂの第一と第二の副列ＸとＹに対してＰ_ｌ（Ｘ，Ｙ）＝（パリティ（Ｘ），パリティ（Ｙ））となる仕方でΓ（Ｘ）＝Γ（Ｙ）である、請求項１に記載の方法。
ｆは非空列を末尾要素を消去した前記同一非ナル列に写像し；Γは二進列をそのパリティに写像し；且つ前記列Ｕ_１（＝Ｓ_Ａ），Ｕ_２，．．．，Ｕ_ｍとＶ_１（＝Ｓ_Ｂ），Ｖ_２，．．．，Ｖ_ｍは全て共通長ｌを有する、請求項１に記載の方法。
全列は前記アルファベットＧ上に存在し、ここにＧは有限アーベル群であり；且つ段階ａ）において、前記列Ｌ_ＡとＬ_ＢはＬ_Ａ＋Ｒ_ＡとＬ_Ｂ＋Ｒ_Ｂに各々置換され、Ｒ_ＡとＲ_ＢはＬ_ＡとＬ_Ｂと同一長を有するＧ上の第一と第二のランダム列であり、＋はＧ上の成分的和を示す、請求項１に記載の方法。
の各ｉに対してｆとΓは全巡回ｆ（Ｕ_ｉ），ｆ（ｆ（Ｕ_ｉ）），ｆ（ｆ（ｆ（Ｕ_ｉ））），．．．，及びｆ（Ｖ_ｉ），ｆ（ｆ（Ｖ_ｉ）），ｆ（ｆ（ｆ（Ｖ_ｉ））），．．．の全副列上で事前定義され；ｆとΓは前記空列を前記空列に写像し；且つｆは長さ１の全列を前記空列に写像する、請求項１に記載の方法。
前記段階ａ）において、前記物理現象は、前記第一局Ａから前記第二局Ｂに至る複数のメッセージ往復動作数の前記第一局Ａによる測定と、前記第二局Ｂから前記第一局Ａに至る複数のメッセージ往復動作数の前記第二局Ｂによる測定を含む、請求項１に記載の方法。
前記段階ａ）において、前記物理現象は、衛星、衛星群、無線送信機、及び無線送信機群の内少なくとも一つから選択された外部送信源から発信された共通信号を含む、請求項１に記載の方法。
前記段階ｇ）のＳは不等式ｎ（１−ｘ）＜εであり、ここにεは所定の正数である、請求項１に記載の方法。
λはｔの所定の分数であり、前記分数は０と１間の範囲に存する、請求項１に記載の方法。
第一局Ａ内の第一列Ｓ_１と第二局Ｂ内の第二列Ｓ_２の同等性を所定の確率で検証する方法であって、Ｓ_１とＳ_２は同一長を有し、前記方法は
ｉ．Ｒ_１＝Ｓ_１とＲ_２＝Ｓ_２なる請求項２の前記方法の前記段階ａ）乃至ｉ）を実行する段階と；
ｉｉ．Ｃ（Ｋ_Ａ）≠Ｃ（Ｋ_Ｂ）の場合は、請求項２の前記方法の前記段階ｂ）乃至ｆ）を実行する段階から成る、第一局Ａ内の第一列Ｓ_１と第二局Ｂ内の第二列Ｓ_２の同等性を所定の確率で検証する方法。
第一局Ａ内の第一秘密列Ｕと第二局Ｂ内の第二秘密列Ｖ間の相関を決定する方法であって、Ｒ_１＝ＵとＲ_２＝Ｖなる請求項２の前記方法の前記段階ａ）乃至ｉ）を実行する段階を含む前記方法。
第一と第二局ＡとＢにおいて各々第一と第二鍵ＵとＶの同等性を点検する方法であって、前記方法は前記第一と第二間で使用される公開鍵交換アルゴリズムから前記第一と第二鍵ＵとＶを得る段階と；Ｓ１＝ＵとＳ_２＝Ｖとした請求項２８の前記方法を実行する段階から成る、第一と第二局ＡとＢにおいて各々第一と第二鍵ＵとＶの同等性を点検する方法。