JP2008533910A - ＱＫＤをＩＰＳｅｃと統合する方法 - Google Patents

Abstract

【課題】ＩＰＳｅｃのセキュリティを向上するために、量子鍵配送（ＱＫＤ）をインターネットプロトコルセキュリティ（ＩＰＳｅｃ）と統合する方法。標準ＩＰＳｅｃプロトコルは、鍵を変更することができる頻度に制限を課している。このことは、量子鍵の使用によるＩＰＳｅｃのセキュリティを向上する取り組みを、不確実なものにしている。
【解決手段】その方法は、高度なキーフリッピングレートを可能にするとともに、量子鍵をインターネット鍵交換（ＩＫＥ）によって生成された古典鍵と組み合わせるように、複数のセキュリティアソシエーション（ＳＡ）を使用する工程を備えており、これにより、ＱＫＤベースのＩＰＳｅｃを可能にする。
【選択図】図４

Description

本発明は、量子暗号の分野に関し、量子暗号における産業上の有用性を有している。より詳細には、インターネットベースのデータ通信のセキュリティを強化するために、量子鍵配送（ＱＫＤ）をインターネットプロトコルセキュリティ（“ＩＰＳｅｃ”）と統合する方法に関し、産業上の有用性を有している。

（量子鍵配送）
量子鍵配送は、“量子チャネル”上で、“キュービット”（つまり、平均で、１未満の光子を有する弱い光学パルス）を送信することによって、送信器（“アリス”）と受信器（“ボブ”）との間の鍵を確立すること、を含んでいる。量子鍵配送の安全性は、不確定状態にある量子システムのどのような測定もその状態を変えてしまうという量子力学的原理に基づいている。その結果、キュービットを傍受あるいは測定することを試みる盗聴者（“イブ”）は、エラーを引き起こし、その存在を明かすことになる。一度、その鍵が、ボブとアリスの間で正常に確立されると、彼らは、完全に安全なワンタイムパッド暗号あるいは他のいくつかの対称鍵暗号方式アルゴリズムを用いて、メッセージを暗号化するための交換鍵を用いることによって、公衆通信回線上で通信することができる。今日のＱＫＤ技術においては、適切な長さ（例えば、２５６ビット）の鍵を、アリスとボブとの間の離隔（例えば、その２つを接続する光ファイバーの長さ）に応じて、毎秒約１〜１００のレートで生成することができる。

量子暗号の概略的な原理は、ＢｅｎｎｅｔｔおよびＢｒａｓｓａｒｄによる論文（非特許文献１）において述べられている。ＱＫＤシステムの詳細は、Ｂｅｎｎｅｔｔに付与された米国特許第５３０７４１０号（特許文献１）と、ＣＨ．Ｂｅｎｎｅｔｔによる論文（非特許文献２）とに記載されており、その開示内容を本願に引用して援用する。
ＱＫＤを行なう概略的なプロセスは、Ｂｏｕｗｍｅｅｓｔｅｒらによる書籍（非特許文献３）に記載されており、その開示内容を本願に引用して援用する。
（ＩＰＳｅｃ）
頭文字「ＩＰＳｅｃ」は、語“インターネットプロトコル（ＩＰ）セキュリティ”の短縮形である。ＩＰＳｅｃは、主なインターネット標準化組織、インターネットエンジニアリングタスクフォース（ＩＥＴＦ）によって開発されたプロトコルのセットである。プロトコルは、インターネット上の情報の安全な交換、より詳細には、ＩＰレイヤにおけるパケットの交換を、サポートするよう設計されている。ＩＰＳｅｃは、インターネット上の安全なデータ通信チャネルを実現する最もポピュラーな方法で、仮想プライベートネットワーク（ＶＰＮ）のオペレーションのためのセキュリティを提供するため広く使用されている。

ＩＰＳｅｃの基礎は、Ｓｔｅｐｈｅｎ Ｋｅｎｔおよび Ｒａｎｄａｌｌ Ａｔｋｉｎｓｏｎによる出版物（非特許文献４）に記載されており、また、ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４０１．ｔｘｔ．にも見つけることができる。
インターネット上で情報を送信する場合、情報は“パケット”へと分割されて、これにより、インターネットトラフィックの効率的な管理が可能になる。パケットは、インターネット上を、指定のアドレスの受信器へ、別々に進む。そして、パケットは、受信器で元の順序となるよう、再組立される。

インターネット上に送信された機密情報は、ＩＰＳｅｃを通じて暗号化することができ、これにより、情報の秘密を維持する。ＩＰｓｅｃは、“トランスポートモード”および“トンネルモード”の暗号モードをサポートする。トランスポートモードは、それぞれのパケットのデータ部分（ペイロード）のみを暗号化し、ヘッダーはそのまま残しておく。トンネルモードは、ヘッダーとペイロードとの両方を暗号化する。したがってより安全である。受信側で、ＩＰＳｅｃ準拠のデバイスが、個別の暗号化モードに応じて、それぞれのパケットを復号化する。

２つの主なＩＰＳｅｃプロトコルとして、認証ヘッダ（ＡＨ）と暗号ペイロード（ＥＳＰ）がある。ＡＨプロトコルは、データ認証のために、主に使用される。一方、ＥＳＰプロトコルは、認証およびデータ機密性を提供している。ＡＨおよびＥＳＰのプロトコルは、ＩＰペイロード（トンネルモード）全体あるいはＩＰペイロードの上位レイヤプロトコル（トランスポートモード）のいずれも保護することができる。

ＩＰｓｅｃのオペレーションでは、ネットワークにおける送信器および受信器は、秘密鍵のセットを共有することを要する。これは、“インターネット鍵交換”すなわちＩＫＥとして知られるプロトコルを通じて行われる。“インターネット鍵交換”すなわちＩＫＥは、Ｄ． ＨａｒｋｉｎｓおよびＤ． Ｃａｒｒｅｌによる出版物（非特許文献５）に記載されており、また、ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４０９．ｔｘｔにも見つけることができる。

このプロトコルは、送信器および受信器が、公開鍵のセットを得て、電子証明書を通じて互いに識別する（“認証する”）ことを可能にする。ＩＰｓｅｃプロトコルは、セキュリティアソシエーション（ＳＡ）を生成するための鍵を用いる。最高２つの復号ＳＡが、ＩＰＳｅｃの標準実装（インプリメンテーション）において、一度にサポートされる。
米国特許第５，３０７，４１０号 "Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ，" Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒｓ， Ｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ， Ｂａｎｇａｌｏｒｅ， Ｉｎｄｉａ， １９８４， ｐｐ． １７５−１７９ （ＩＥＥＥ， Ｎｅｗ Ｙｏｒｋ，１９８４） "Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ Ｕｓｉｎｇ Ａｎｙ Ｔｗｏ Ｎｏｎ−Ｏｒｔｈｏｇｏｎａｌ Ｓｔａｔｅｓ"， Ｐｈｙｓ． Ｒｅｖ． Ｌｅｔｔ． ６８ ３１２１（１９９２） "Ｔｈｅ Ｐｈｙｓｉｃｓ ｏｆ Ｑｕａｎｔｕｍ Ｉｎｆｏｒｍａｔｉｏｎ，"Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ ２００１， ｉｎ Ｓｅｃｔｉｏｎ ２．３， ｐａｇｅｓ ２７−３３ "Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ，" ＲＦＣ ２４０１, ｐｕｂｌｉｓｈｅｄ ｂｙ Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ （ＩＥＴＦ）, １９９８， ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４０１．ｔｘｔ． "Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ（ＩＫＥ），"ＲＦＣ ２４０９， ｐｕｂｌｉｓｈｅｄ ｂｙ Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ （ＩＥＴＦ）， １９９８， ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４０９．ｔｘｔ．

ＩＰＳｅｃの標準実装は、鍵をどれくらい頻繁に変更することができるかに対する固有の規制を課している。セキュリティを向上させるためにＱＫＤとＩＰＳｅｃを組み合わせることを試みる場合、このことは中心問題となる。上述の通り、ＱＫＤは、１秒当たり多くの鍵（例えば、１００個の鍵／秒、あるいはそれよりさらに多く）を提供することができる。一方、ＩＰＳｅｃの最も速い鍵変化レートは、１秒当たりおよそ一度である。ＱＫＤで生成された鍵をＩＰＳｅｃに活用するには、ＱＫＤで生成された鍵を可能な限り速く変化させたくなるであろう。

また、ＩＫＥは、ＩＰＳｅｃの鍵を供給するために使用される。そして、ＱＫＤは、ＩＫＥの一部ではない。したがって、ＱＫＤで生成された鍵をＩＰＳｅｃにおいて使用することができるようにＱＫＤで生成された鍵をＩＫＥプロセスに組み入れる方法は、現在のところない。

本発明は、量子暗号およびインターネット通信に関し、詳細には、インターネットベースのデータ通信のセキュリティを強化するために、量子鍵配送（ＱＫＤ）をインターネットプロトコルセキュリティ（“ＩＰｓｅｃ”）と統合する方法に関する。
標準ＩＰＳｅｃプロトコルは、鍵を変更できる頻度に制限を課していることは、量子鍵の使用によってＩＰＳｅｃのセキュリティを向上するための取り組みを問題のあるものにしている。

その方法は、高速キーフリッピングレートを可能にするようにセキュリティアソシエーション（ＳＡ）テーブルのサイズを増加させる工程、を含んでおり、その結果、量子鍵とインターネット鍵交換（ＩＫＥ）によって生成された古典鍵とを組み合わせることが可能になる。
本発明は、ＱＫＤプロセスによって生成された量子鍵とＩＫＥプロセスによって生成された古典鍵とを組み合わせること（例えば、排他的論理和（ＸＯＲ）演算すること）により、ＳＡテーブルを生成する方法を含んでおり、それによって、ＱＫＤベースのＩＰＳｅｃを可能にする。

上述の通り、ＩＰＳｅｃの標準実装においては、それぞれのＩＰＳｅｃトンネルは、２つのＳＡテーブルを維持する。一方は、インバウンドデータトラフィックのテーブルであり、他方は、アウトバウンドデータトラフィックのテーブルである。それぞれのテーブルは、ひいては、最高２つのＳＡを一度に含んでいる。このことは、鍵をどれくらい頻繁に変更することができるかに対する制限を課す。ＩＰパケットが、復号側に遅れをもってしかも順番がずれて配信されることがあるからである。パケットがインターネットを通らなければならない場合、このことは、特によく起こる。

インターネット上の情報伝送の際に、ＩＰパケットは、受信器に、順番がずれて、到着することもある。したがって、ＳＡテーブルは、すべての暗号化されたパケットが受信器で適切な順番で受信されて適切に復号化されることを確実にするのに十分に長い必要がある。
従って、本発明の一つの態様は、ＳＡテーブルサイズを増加させる工程を含んでいる。このことは、高速キーフリッピングを可能にすると同時に、また、適切な暗号化／復号化およびパケットの配信順序を確実にする。以下に説明するのは、Ｓａｎｔａ Ｃｌａｒａ， ＣＡのＣａｖｉｕｍ Ｎｅｔｗｏｒｋｓから入手可能な商標ＮＩＴＲＯＸ ＩＩとして知られるプロセッサに基づいた実装例である。テーブルにおけるトンネルおよびＳＡの数は、種々の実装に対して、変更可能である。

図１は、３つのＩＰＳｅｃトンネルの実装例を示す、ＳＡテーブル構造の概略図である。図１は、６つのＳＡテーブルを有するＣａｖｉｕｍ ＮＩＴＲＯＸ ＩＩ（Ｎ２）メモリを示している。それぞれのＩＰｓｅｃトンネルは、２つのＳＡテーブルを用いる。１つのテーブルは、トラフィックのそれぞれの方向に対応する。それぞれのＳＡテーブルは、２¹⁶までのＳＡ（３２メガバイト、または、０ｘ２００００００）を有する。“フリッピングキー”は、アウトバウンドＳＡテーブルにおける次のＳＡを用いることを意味する。Ｎ２カード当たり３つまでのトンネルがある。データトンネル０：ＳＡテーブル０（インバウンドおよびアウトバウンド）と、データトンネル１：ＳＡテーブル１（インバウンドおよびアウトバウンド）と、コントロールトンネル：ＳＡテーブル２（インバウンドおよびアウトバウンド）と、である。オペレーションにおいて、ホストソフトウェアは、Ｎ２メモリにおけるＳＡテーブルをセットアップし、また、Ｎ２マイクロコードは、ＳＡテーブルにアクセスしてパケットを暗号化／復号化する。

図２は、送信器側のＳＡテーブル構造の概略図である。それぞれのＳＡテーブルには、２¹⁶個のＳＡがある。それぞれのＳＡは、たとえば、５１２バイトの長さである。ＳＡテーブルは、０〜２¹⁶−１まで番号が付けられている。
次の２つのＳＡポインターが、ＳＡテーブルを管理するために用いられる。
アクティブＳＡ：現在アクティブなＳＡのＳＡ番号。Ｎ２マイクロコードは、アクティブによって示されたＳＡを用いてパケットを暗号化する。初期値は、０である。

フリーＳＡ：第１のフリーＳＡスロットのＳＡ番号。新しいＳＡの追加は、フリーＳＡを１ずつインクリメントし、０から２¹⁶−１まで繰り返す。初期値は、ＳＡ０を示す０である。
ＳＡテーブルにおけるＳＡテーブルＩＤおよびＳＡ番号は、ＥＳＰヘッダーのセキュリティペイロードインデックス（ＳＰＩ）フィールドに暗号化される。復号ノードは、ＳＡテーブルＩＤおよびＳＡ番号を受信されたパケットのＳＰＩフィールドから抽出して、パケットを復号化する。時間的な有効期間あるいはバイト的な有効期間が終了するとき、暗号化ノードは、アクティブＳＡを次のアクティブＳＡに進める。

図３は、受信器側のＳＡテーブル構造の概略図である。受信器側構造は、まさに送信側（図２）のそれと同じ構造である。受信器側は、ＳＡテーブルＩＤおよびＳＡ番号を受信されたパケットのＳＰＩフィールドから抽出し、適切なＳＡを見つける。メモリにおける多くのＳＡは、すべての適度に遅延しているパケットが復号化される前には、メモリから取り除かれないことを確実にする。キーフリッピングレートおよびテーブルサイズは、最大許容パケット遅延時間を決定する。この遅延は、適切なサイズのＳＡテーブルを形成することにより、調整することができる。
（ＱＫＤのＩＫＥとの統合）
上述の通り、ＩＫＥは、標準ＩＰＳｅｃを実装するための“古典暗号”鍵を提供する。一般的に、ＱＫＤは、ＩＫＥを直接置き換えることができる。また、“量子鍵”は、ＩＫＥによって提供される鍵の代わりに用いることができる。しかしながら、よりよいアプローチは、ＱＫＤとＩＫＥを組み合わせることである。攻撃者が、暗号化された情報へのアクセスするためには、両方のレイヤを破る必要があることから、これは、階層化セキュリティアプローチとなる。

図４は、ＱＫＤをＩＫＥと統合するＳＡ生成の例を示す概略図である。ＳＡは、３つのステップで生成される。まず、標準ＩＫＥプロトコルを用いて、古典ＳＡペア（インバウンドおよびアウトバウンド）が生成される。第２に、暗号鍵および認証鍵を、ＱＫＤプロトコルによって生成された鍵と組み合わせる（例えば、排他的論理和（ＸＯＲ）演算すること）ことにより、古典ＳＡペアから最終ＳＡペアが生成される。このプロセスは、異なるＱＫＤ鍵を用いて、Ｎ回行なわれる。第３に、Ｎ個の最終ＳＡペアが、ＳＡテーブルに自動的に追加される。新しい古典ＳＡペアは、標準ＩＫＥプロシージャによって、周期的に生成することもできる。

図４に示す通り、ＩＫＥとＱＫＤは並列に実行される。ＳＡを生成するために用いられる最終の“量子・古典”鍵は、ＩＫＥとＱＫＤによって提供される鍵の組み合わせである。実施形態の例においては、最終鍵は、ＩＫＥとＱＫＤの鍵のＸＯＲ値（つまり、（古典鍵）ＸＯＲ（量子鍵））である。このアプローチでは、ＱＫＤは、従来の暗号の上に、透過的に位置する。したがって、最終鍵をクラックするには、従来の暗号および量子暗号の両方をクラッキングすることを要する。最終鍵のエントロピーは、古典鍵のエントロピー以上であることが保証される。

古典ＳＡから最終ＳＡの生成には、時間がほとんどかからない。それが、ローカルオペレーションであるからである。したがって、ＳＡ有効期間は、古典ＩＫＥ再キーイング時間よりも、小さいオーダーにできる。

３つのＩＰＳｅｃトンネルの実装例を示す、高速キーフリッピングに適応された本発明のＳＡテーブル構造の概略図。 送信器側の図１のＳＡテーブル構造の概略図。 受信器側の図１のＳＡテーブル構造の概略図。 ＱＫＤをＩＫＥと並列に統合するＳＡを生成するステップを示す概略図。

Claims (10)

1. 量子鍵とセキュリティアソシエーション（ＳＡ）テーブルを用いるＩＰＳｅｃの古典鍵とを統合する方法であって、
   ａ） それぞれのＩＰＳｅｃトンネルに対して、標準インターネット鍵交換（ＩＫＥ）プロトコルを用いるインバウンドおよびアウトバウンド古典ＳＡペアを生成する工程と、
   ｂ） 前記古典ＳＡペアと関連する前記古典鍵を前記量子鍵と組み合わせることにより、前記古典ＳＡペアから最終ＳＡペアを生成する工程と、
   ｃ） Ｎ個の前記最終ＳＡペアを生成するように異なる前記量子鍵を用いて、前記工程ｂ）をＮ回繰り返す工程と、
   ｄ） Ｎ個の前記最終ＳＡペアを前記ＳＡテーブルに追加する工程と、
   を備えている、ＱＫＤとＩＰｓｅｃとを統合する方法。
2. 前記組み合わせることは、前記古典鍵および前記量子鍵のＸＯＲ演算することを含んでいる、
   請求項１に記載のＱＫＤとＩＰｓｅｃとを統合する方法。
3. 前記古典鍵および前記量子鍵を並行して生成する工程を備えている、
   請求項１に記載のＱＫＤとＩＰｓｅｃとを統合する方法。
4. 前記古典鍵は、それぞれ認証鍵と暗号鍵とを含んでいる、
   請求項１に記載のＱＫＤとＩＰｓｅｃとを統合する方法。
5. 量子鍵配送を通じて量子鍵を生成する工程と、
   インターネット鍵交換（ＩＫＥ）プロトコルを通じて古典鍵を提供する工程と、
   量子・古典組み合わせ暗号鍵を形成するように前記量子鍵および前記古典鍵を統合する工程と、
   前記量子・古典組み合わせ暗号鍵に基づいてＩＰＳｅｃを実行する工程と、
   を備えている、古典・量子組み合わせ暗号化方法。
6. それぞれの双方向ＩＰＳｅｃ通信は、高速キーフリッピングを可能とするように、それぞれが複数のセキュリティアソシエーション（ＳＡ）を含んでいる１ペアのセキュリティアソシエーションテーブルを含んでいる、
   請求項５に記載の古典・量子組み合わせ暗号化方法。
7. それぞれのＩＰＳｅｃトンネルに対して、
   ａ） 標準ＩＫＥを用いて、古典ＳＡペア（インバウンドおよびアウトバウンド）を生成する工程と、
   ｂ） 暗号鍵および認証鍵を前記量子鍵と組み合わせることによって、前記古典ＳＡペアから最終ＳＡペアを生成する工程と、
   ｃ） それぞれ異なる前記量子鍵を用いて、前記工程ｂ）を複数回繰り返す工程と、
   ｄ） 前記工程ｃ）の結果をそれぞれの前記ＳＡテーブルに追加する工程と、
   を含んでいる、請求項６に記載の古典・量子組み合わせ暗号化方法。
8. 量子鍵配送（ＱＫＤ）を通じて量子鍵を生成する工程と、
   インターネット鍵交換（ＩＫＥ）を通じて古典鍵を提供する工程と、
   を備えており、
   ＩＰＳｅｃプロトコルは、標準ＩＰＳｅｃプロトコルに関連する標準サイズの複数のセキュリティアソシエーション（ＳＡ）テーブルを使用し、
   高速キーフリッピングレートを可能にするように前記ＳＡテーブルサイズを増加させる工程と、
   量子・古典組み合わせ暗号鍵を形成するように、前記量子鍵および前記古典鍵を統合する工程と、
   前記量子・古典組み合わせ暗号鍵に基づいて前記ＩＰＳｅｃプロトコルを実行する工程と、
   を備えている、ＩＰＳｅｃプロトコルを実行する方法。
9. 前記キーフリッピングレートおよび前記ＳＡテーブルサイズは、最大許容パケット遅延時間を決定し、前記ＳＡテーブルサイズを調整することによって前記パケット遅延時間を調整する工程を含んでいる、
   請求項８に記載のＩＰＳｅｃプロトコルを実行する方法。
10. 前記古典鍵および前記量子鍵は、ＸＯＲオペレーションを用いて統合される、
    請求項８に記載のＩＰＳｅｃプロトコルを実行する方法。

Images