JP2013539324A - 通信信頼機関によって管理される量子鍵配送を伴う安全なマルチパーティ通信 - Google Patents

Abstract

量子鍵配送（「ＱＫＤ」）の後に安全なマルチパーティ通信のためのプロトコルを実施する技術およびツールについて説明する。例示的な実装形態では、通信信頼機関は、複数のユーザデバイス間の安全な通信を促進する。通信信頼機関は、様々なユーザとの信頼関係の下でのＱＫＤによってそれぞれの異なる量子鍵を配送する。通信信頼機関は、量子鍵を使用して複合鍵を求め、複合鍵を配送できるようにする（例えば、パブリックチャネルを介した非秘密配送）。複合鍵は、２つのユーザデバイス間でＱＫＤが行われないときでも２つのユーザデバイス間の安全な通信を促進する。これらのプロトコルでは、ＱＫＤの利点がマルチパーティ通信シナリオに拡張される。また、これらのプロトコルは、通信信頼機関がオフラインであるかまたは大規模なグループがグループ内に安全な通信を確立することを求めるときでもＱＫＤの利点を保持することができる。

Description

本発明は、通信信頼機関が様々なユーザデバイスに量子鍵を配送し、それらのユーザデバイスが量子鍵を使用して安全なマルチパーティ通信を行うことに関する。

量子通信では、２人の当事者が量子状態で符号化された情報を交換する。通常、量子状態は、偏光状態の対（例えば、０°と９０°もしくは４５°と１３５°）または円状基底状態の対（例えば、左回りと右回り）のような光子の特別に定義された特性である。２人の当事者は、量子通信（「ＱＣ」）によって、それらの当事者にのみ既知の共有されるランダムな一連のビットを生成し、それらのビットを後にメッセージを暗号化し解読する際に秘密鍵として使用することができる。ＱＣによってそのような鍵を生成するプロセスを量子鍵配送（「ＱＫＤ」）とも呼ぶ。

第三者は、理論的には、２人の当事者間のＱＣを盗聴することができる。しかし、そのような盗聴はＱＣに障害をもたらし、対象となる２人の当事者が検出することのできる異常を導入する。従来の通信を使用する場合、２人の当事者は、ＱＣの結果を後処理して、盗聴者によって取得されたあらゆる部分的な情報を削除し、ＱＣの結果として得られた残りの情報から共有秘密鍵を形成する。

例えば、ＱＫＤのある一般的な手法によれば、送信者がバイナリ情報の量子状態を設定し、量子状態をどのように設定したかを記録し、その情報を送信する。表１は、光子のそれぞれの異なる偏光に関する量子状態および基底の例を示している。表１に示されている基底および状態の場合、送信側は基底（直線または対角）を選択し、選択された基底における光子の偏光状態を設定し、ビット値（０または１）、選択された送信基底、および送信の時間を記録する。

受信側は、バイナリ情報を受信し、その情報の量子状態を測定し、量子状態をどのように測定したかを記録する。測定される状態は、受信側が測定をどのように実行するかによって決まる（例えば、直線または対角の測定基底）。送信側と受信側は、量子状態符号化情報をそれぞれの異なる方法で設定／測定することがあるので、場合によってはそれぞれの異なるビット値を記録することが予期される。従って、量子状態の情報を交換した後、送信側と受信側は、量子状態がどのように設定され測定されたかの記録を比較する。この比較を行うために、送信側と受信側はパブリックチャネルを介して情報を交換する。次いで、送信側と受信側は、量子状態が送信側と受信側によって同様に設定され測定された符号化情報から共有される一連のビット（鍵）を生成する。

表１に示されている基底および状態の場合、例えば、受信側は基底（直線または対角）を選択し、選択された基底における偏光状態を測定し、測定されたビット値および測定基底を記録する。全ての４つの状態を区別できる測定基底はなく、従って、受信側は基本的に直線または対角のいずれかを推定する。測定基底がたまたま送信基底と一致する場合、受信側は正しいビット値を測定するはずである。しかし、測定基底が送信基底と一致しない場合、測定されるビット値は正しい値である可能性も誤った値である可能性もある。例えば、送信基底がビット値０について対角である（偏光状態４５°）が測定基底が直線である場合、測定されるビット値は０（９０°）である可能性も１（０°）である可能性もある。送信側と受信側は、所与の光子について送信基底と測定基底を比較し、送信基底と測定基底が一致した場合に光子のビット値を維持する。

盗聴者が光子を傍受し測定した場合、この測定が光子の量子状態に障害を与える。盗聴者は、この光子を再符号化し対象となる宛先に再送するときに元の送信基底を推定するしかない。受信側による測定時に、この盗聴は検出されない。その代わり、送信側と受信側は、送信基底と測定基底が一致することが判明したビット値のサブセットに関して、パリティ値を比較する。システムが送信および受信において適切に同調されており欠陥がない場合、パリティ値は厳密に一致するはずである。盗聴はビット値の知覚できる不一致を導入し、それによって、送信側と受信側は、この盗聴を検出し、鍵を補正し、盗聴者の部分的な情報に対する上限を定めることができる。

次いで、送信側と受信側によって共有されるエラーのないビット列を（例えば、ハッシング関数によるビットハッシングによって）プライバシー増幅してビット列の長さを短くしてもよい。（あるいは、ビットを単純に省略してもよいが、この場合、プライバシー増幅の利点が失われる。）共有されるビット列の最終的な長さは、検出されるエラーの数に応じて決まってもよい。プライバシー増幅によって共有されるビット列を短くすると、盗聴者が有する可能性のある知識が、任意の低レベル、通常単一ビットよりもずっと少ない程度に低減する。

ＱＣの他の手法は、他の量子特性（例えば、量子エンタングルメント）を利用して、量子状態で符号化された情報を交換する手法である。また、プライバシー増幅などの技術を使用して、盗聴者が取得することのできる部分的な情報をなくしてもよい。情報リコンシリエーションなどの技術を使用して送信側と受信側の共有されるビット値のわずかな不一致を解消してもよい。

ＱＣの理論的枠組が確立されてから２５年になるが、鍵のセキュリティに関するＱＣの利点は広く受け入れられている。過去２０年にわたって、ＱＫＤシステムの実装形態はより安価で、より信頼性が高く、より維持が容易であり（例えば、自己同調、自己チェック）、より使いやすいものになっている。それにもかかわらず、ＱＫＤシステムは、公開鍵暗号化を使用する他のセキュリティ解決手段と比べて、高価であり実施が困難である傾向がある。代表的なＱＫＤシステムは大規模であり、送信側と受信側との間のファイバ接続を介したポイントツーポイントモードにおいてのみ動作する。いくつかの市販のＱＫＤシステムは、ポイントツーポイントリンクを介してのみＱＫＤを実行し、携帯不能であり、専用のファイバ接続を必要とする。さらに、これらのＱＣはネットワークトラフィックと共存できない。その結果、公開鍵暗号化に対するずっと強力なコンピュータからの脅威が存在するという常識があるにもかかわらず、ＱＫＤは商業的に確立されていない。

Peters et al., "Dense Wavelength Multiplexing of 1550 nm QKD with Strong Classical Channels in Reconfigurable Networking Environments," New Journal of Physics 11, 17 pp. (2009年4月) Chapuran et al., "Optical Networking for Quantum Key Distribution and Quantum Communications," New Journal of Physics 11, 19 pp. (2009年10月) FIPS 197 "The Advanced Encryption Standard (AES)" FIPS 198 "The Keyed-Hash Message Authentication Code (HMAC)" Damgard et al., "Secure Identification and QKD in the Bounded-Quantum-Storage Model," Crypto 2007, Lecture Notices Computer Science 4622, pages 342-359 (2007) Hillery et al., "Quantum Secret Sharing," Physical Review A, vol. 59, no. 3, pages 1829-1834 (1999)

本明細書に記載された新規の手法は、量子鍵配送（「ＱＫＤ」）の使用を容易にする。これらの新規の手法は、安全なマルチパーティ通信、認証、アクセス制御、およびその他の用途に対するＱＫＤの実用性および有用性を向上させるのを助ける。

本明細書に記載された新規の手法の一態様によれば、通信信頼機関を実現するコンピューティングシステムが、複数のユーザデバイス間の安全な通信を促進する。コンピューティングシステムは、通信信頼機関と第１のユーザとの第１の信頼関係の下での第１のＱＫＤによって１つまたは複数の第１の量子鍵を配送し、通信信頼機関と第２のユーザとの第２の信頼関係の下での第２のＱＫＤによって１つまたは複数の第２の量子鍵を配送する。ＱＫＤは、通信信頼機関とユーザデバイスとの間で行われても、または通信信頼機関と（ユーザデバイスに鍵を伝達する）フィルガン（fillgun）デバイスとの間で行われてもよい。コンピュータシステムは、１つまたは複数の第１の量子鍵のうちの少なくとも１つおよび１つまたは複数の第２の量子鍵のうちの少なくとも１つに少なくとも部分的に基づいて１つまたは複数の複合鍵を求める。コンピューティングシステムは、１つまたは複数の複合鍵を配送（例えば、パブリックチャネルを介した非秘密配送）できるようにする。１つまたは複数の複合鍵は、第１のユーザデバイスと第２のユーザデバイスとの間でＱＫＤが行われないときでも第１のユーザデバイスと第２のユーザデバイスとの間の安全な通信を促進する。

いくつかの実装形態では、通信信頼機関を実現するコンピューティングシステムは、それぞれ第１のＱＫＤおよび第２のＱＫＤの前に第１のユーザおよび第２のユーザを認証し、それぞれの信頼関係を確立する。例えば、認証では、事前に用意された鍵をそれぞれのユーザに使用し、次いで、これらの鍵を、ＱＫＤの結果として得られる量子鍵と置き換えてもよい。通信信頼機関を実現するシステムは、パスワードベースの認証を量子識別プロトコル（「ＱＩＰ」）と一緒に使用してもよい。例えば、システムは、それぞれ第１のＱＫＤおよび第２のＱＫＤの前に、第１（または第２）のユーザと通信信頼機関との間の認証にＱＩＰ内の第１（または第２）のパスワードを使用する。パスワードは、ユーザによって入力された１組の複数の英数字、ユーザデバイスに格納されている高エントロピー鍵、および／またはユーザのバイオメトリック証印（indicia）に基づくダイジェストを含んでもよい。

いくつかの使用シナリオでは、１つまたは複数の第１の量子鍵は鍵導出鍵を含み、１つまたは複数の第２の量子鍵は、第２のユーザデバイス用の暗号鍵を含み、鍵導出鍵および第２のユーザデバイス用の暗号鍵から１つの複合鍵が求められる。１つまたは複数の第１の量子鍵は鍵認証鍵を含んでもよく、通信信頼機関を実現するコンピューティングシステムは、第２のユーザデバイス用の暗号鍵および鍵認証鍵から鍵認証値を作成してもよい。他の使用シナリオでは、第１の量子鍵および第２の量子鍵が他の方法で使用される。

いくつかの構成では、通信信頼機関を実現するコンピューティングシステムは単一の物理ノードを有する。他の構成では、通信信頼機関を実現するシステムは、複数の物理ノード間に分散され、所与のユーザと通信信頼機関の複数の物理ノードに関するＱＫＤを促進するために量子秘密分散が使用される。通信信頼機関は、ある階層の通信信頼機関の一部であっても、または唯一の通信信頼機関であってもよい。

本明細書に記載された新規の手法の他の態様によれば、第１のユーザデバイスは、通信信頼機関と第１のユーザとの信頼関係の下での通信信頼機関とのＱＫＤの結果として得られた１つまたは複数の第１の量子鍵を取り込む。第１のユーザデバイスは、１つまたは複数の第１の量子鍵と第２のユーザデバイス用の鍵の少なくとも一方に少なくとも部分的に基づく複合鍵も取り込む。第１のユーザデバイスは、１つまたは複数の第１の量子鍵と複合鍵の一方に少なくとも部分的に基づいて第２のユーザデバイスと通信する。複合鍵は、第１のユーザデバイスと第２のユーザデバイスとの間でＱＫＤが行われないときでも、第１のユーザデバイスと第２のユーザデバイスとの安全な通信を促進する。

いくつかの実装形態では、第１のユーザデバイスは、ＱＫＤの前に、第１のユーザ用のバイオメトリック証印を受信し、事前に用意された秘密鍵を使用してバイオメトリック証印を暗号化し、第１のユーザを認証して信頼関係を確立できるように暗号化されたバイオメトリック証印を通信信頼機関に送信する。１つまたは複数の第１の量子鍵は、第１のユーザについての以後の認証に使用される新しい鍵を含んでもよい。さらに、第１のユーザデバイスは、ＱＫＤの前に、ＱＩＰ内のパスワードを通信信頼機関に対する第１のユーザの認証および第１のユーザに対する通信信頼機関の認証に使用してもよい。

いくつかの使用シナリオでは、１つまたは複数の第１の量子鍵は鍵導出鍵を含み、第１のユーザデバイスは、鍵導出鍵および複合鍵から第２のユーザデバイス用の鍵を求める。１つまたは複数の第１の量子鍵は第１のユーザデバイス用の暗号鍵をさらに含んでもよく、第１のユーザデバイス用の暗号鍵は、第２のユーザデバイスへのメッセージを暗号化するのに使用され、第２のユーザデバイス用の鍵は、第２のユーザデバイスからのメッセージを解読するのに使用される。あるいは、第１のユーザデバイスは、第２のユーザデバイス用の鍵を使用して、セッション鍵を含む第２のユーザデバイスからのメッセージを解読し、次いでセッション鍵を使用して第２のユーザデバイスへのメッセージを暗号化し、第２のユーザデバイスからのメッセージを解読してもよい。あるいは、１つまたは複数の第１の量子鍵は、安全な通信に使用される他の鍵を含んでもよい。

グループ鍵シナリオでは、１つまたは複数の第１の量子鍵は、第１のユーザデバイス以外の複数のユーザデバイスの各々用の異なる鍵を含んでもよい。第１のユーザデバイスは、グループリーダーとしてグループセッション鍵を求める。第１のユーザデバイスは、第１のユーザデバイス以外の複数のユーザデバイスの各々について、第１のユーザデバイスと他のユーザデバイスとのペアワイズ（pair-wise）通信に特有の暗号鍵を使用してグループセッションを暗号化し、暗号化されたグループセッション鍵を他のユーザデバイスに伝達する。第１のユーザデバイスは、複数のユーザデバイスのサブグループにサブグループ鍵を割り当て、複数のユーザデバイスの個々のユーザデバイスに個々のグループメンバー鍵を割り当ててもよい。

本明細書に記載された新規の手法の別の態様によれば、ユーザデバイスは、プロセッサと、メモリと、ユーザデバイスに目標デバイスと安全に通信する方法を実行させるコンピュータ実行可能命令を格納するストレージとを含む。安全な通信が実施できるように、ユーザデバイスは、通信信頼機関とのＱＫＤの結果として得られた鍵導出鍵を取り込み、鍵導出鍵および目標デバイス用の鍵に少なくとも部分的に基づいて対鍵を取り込む。ユーザデバイスは、鍵導出鍵および対鍵から目標デバイス用の鍵を導き出す。ユーザデバイスは次いで、目標デバイスとの通信において目標デバイス用の鍵を使用する。いくつかの実装形態では、ユーザデバイスはまた、通信信頼機関とのＱＫＤの結果として得られた鍵認証鍵を取り込み、通信信頼機関によって利用可能にされた基準鍵認証値を取り込む。ユーザデバイスは、目標デバイス用の鍵および鍵認証鍵からチェック鍵認証値を求め、次いでチェック鍵認証値を基準鍵認証値と比較する。

本明細書に記載された新規の手法の別の態様によれば、通信信頼機関を実現するコンピューティングシステムは、ＱＫＤによって１つまたは複数の第１の量子鍵を配送し、１つまたは複数の第１の量子鍵は、第１のユーザデバイス用の暗号鍵を含む。コンピューティングシステムは、ＱＫＤによって１つまたは複数の第２の量子鍵も配送し、１つまたは複数の第２の量子鍵は、第２のユーザデバイス用の鍵導出鍵を含む。コンピューティングシステムは、第１のユーザデバイス用の暗号鍵および第２のユーザデバイス用の鍵導出鍵に少なくとも部分的に基づいて対鍵（pair key）を求め、対鍵を配送できるようにする。対鍵は、第２のユーザデバイスによって、第１のユーザデバイス用の暗号化鍵を求めるときに第２のユーザデバイス用の鍵導出鍵と組み合わせて使用可能である。いくつかの実装形態では、１つまたは複数の第２の量子鍵は、第２のユーザデバイス用の鍵認証鍵をさらに含む。通信信頼機関を実現するコンピューティングシステムは、第１のユーザデバイス用の暗号鍵および第２のユーザデバイス用の鍵認証鍵から鍵認証値を求める。コンピューティングシステムは、鍵認証値を配送できるようにする。鍵認証値は、第２のユーザデバイスによって、第１のユーザデバイス用の暗号鍵を認証するときに第２のユーザデバイス用の鍵認証鍵と組み合わせて使用可能である。

本明細書に記載された新規の手法の別の態様によれば、階層内の子通信信頼機関を実現するコンピューティングシステムは、複数のユーザデバイス間の安全な通信を促進する。例えば、第１の子通信信頼機関は、第２の子通信信頼機関および親通信信頼機関を含む階層の一部である。第１の子通信信頼機関は、第１の子通信信頼機関と第１のユーザとの信頼関係の下での第１のＱＫＤによって第１の量子鍵を配送する。これとは別に、第２の子通信信頼機関は、第２の子通信信頼機関と第２のユーザとの信頼関係の下での第２のＱＫＤによって第２の量子鍵を配送する。第１の子通信信頼機関は、親通信信頼機関との第３のＱＫＤの結果として得られた第３の量子鍵を取り込む。第１の子通信信頼機関は次いで、第３の量子鍵のうちの１つおよび第１の量子鍵のうちの１つを使用して２つのユーザデバイス間の通信を促進する。例えば、第１の子通信信頼機関は、親通信信頼機関から暗号化されたセッション鍵を受信し、第３の量子鍵のうちの１つを使用して暗号化されたセッション鍵を解読する。次いで、第１の子通信信頼機関は、第１の量子鍵のうちの１つを使用してセッション鍵を再暗号化し、再暗号化されたセッション鍵を第１のユーザデバイスに配送する。

本発明の前述の目的、特徴および利点、並びに他の目的、特徴および利点は、添付の図を参照して進められる以下の詳細な説明からより明らかになろう。

鍵がＱＫＤによって取得され、配送され、暗号化、認証、およびアクセス制御に使用される例示的な動作環境の図である。 鍵がＱＫＤによって取得され、配送され、暗号化、認証、およびアクセス制御に使用される例示的な動作環境の図である。 鍵がＱＫＤによって取得され、配送され、暗号化、認証、およびアクセス制御に使用される例示的な動作環境の図である。 ＱＣカード、基地局、および通信信頼機関を含む構成におけるＱＫＤのための汎用プロトコルのそれぞれの異なる態様を示すフローチャートである。 ＱＣカード、基地局、および通信信頼機関を含む構成におけるＱＫＤのための汎用プロトコルのそれぞれの異なる態様を示すフローチャートである。 汎用ＱＣカードのブロック図である。 ＱＣカード用の一体化された光学モジュールの例示的な実装形態のブロック図である。 ＱＣカード用の一体化された光学モジュールの例示的な実装形態のブロック図である。 ＱＣカード用の一体化された光学モジュールの例示的な実装形態のブロック図である。 いくつかの実施形態におけるＱＣカードを組み込んだモバイルデバイスのブロック図である。 ＱＣカード用の汎用基地局のブロック図である。 ＱＣカードとのＱＫＤ向けに構成された汎用通信信頼機関のブロック図である。 同じ光ファイバを量子チャネルおよびパブリックチャネルとして使用する方法を示すフローチャートである。 安全なマルチパーティ通信のための通信信頼機関と１つまたは複数のユーザデバイスとの間のＱＫＤを含む例示的なプロトコルを示す図である。 ユーザデバイス同士の間の安全なマルチパーティ通信における動作モードのためのプロトコルを示す図である。 ユーザデバイス同士の間の安全なマルチパーティ通信における動作モードのためのプロトコルを示す図である。 安全なマルチパーティ通信のための通信信頼機関と１つまたは複数のユーザデバイスとの間のＱＫＤを含む鍵配送のための汎用技術を示すフローチャートである。 ユーザデバイス同士の間の安全なマルチパーティ通信のための汎用技術を示すフローチャートである。

本明細書では、量子通信（「ＱＣ」）カードと基地局と通信信頼機関との間の量子鍵配送（「ＱＫＤ」）用の技術およびツールについて説明する。例示的な実装形態では、ＱＣカードは、基地局に結合され、通信信頼機関とのＱＫＤによって鍵を取得する、比較的安価で携帯可能なデバイスである。これらの鍵を使用して認証、アクセス制御、またはその他の目的のために安全な通信をセットアップしてもよい。

本明細書では、ＱＫＤの後の安全なマルチパーティ通信用のプロトコルを実施する技術およびツールについても説明する。このプロトコルによって、フォワードセキュリティ（forward security）およびアーカイブアタック（archival attack）に対する抵抗のようなＱＫＤの利点がマルチパーティ通信シナリオに拡張される。また、このプロトコルは、ユーザデバイス同士の量子リンクが存在しないか、通信信頼機関がオフラインであるか、または大規模なグループがグループ内で安全な通信を確立することを求めているときでもＱＫＤの利点を維持する。

安全なマルチパーティ通信用のプロトコルをＱＣカード、ＱＣカードから鍵を取得するデバイス、および／または通信信頼機関との従来のＱＫＤによって鍵を取得するデバイスと一緒に使用してもよい。逆に、ＱＣカード／通信信頼機関構成を本明細書に記載された安全なマルチパーティ通信プロトコルまたは他のプロトコルと一緒に使用してもよい。

説明の都合上、場合によっては、用語「通信信頼機関」は、通信信頼機関の役割を実施するコンピューティングシステムの省略表現として使用され、用語「ユーザ」はユーザに関連するコンピューティングシステムを示すのに使用される。文脈によって明確に示されていないかぎり、本明細書に記載された動作は、コンピューティングシステムを用いて実施され、コンピューティングシステムによって実行される。例えば、通信信頼機関またはユーザに情報を送信すること、値を求めること、通信信頼機関またはユーザから情報を受信することについての記述は、概して、通信信頼機関またはユーザに関連するコンピューティングシステムとの動作を示す。一方、ユーザデバイスへのユーザ入力またはバイオメトリック入力についての記述は、人間のユーザがそのような入力を供給することを意味する。

また、本明細書では用語「システム」と「デバイス」は同じ意味に使用される。文脈によって明確に示されていないかぎり、どちらの語もコンピューティングシステムまたはコンピューティングデバイスの種類に対する限定を意味しない。一般に、コンピューティングシステムまたはコンピューティングデバイスは、ローカルに配置されるかまたは分散配置されてもよく、本明細書に記載された機能を実現するソフトウェアを含む特殊用途ハードウェアおよび／または汎用コンピュータハードウェアの任意の組合せを含んでもよい。用語「ユーザデバイス」は概してユーザに関連するコンピューティングシステムを示す。

本明細書に記載された実装形態の様々な代替実装形態が可能である。フローチャートを参照して説明するある技術は、フローチャートに示されている段階の順序を変更するか、ある段階を分割、反復、または省略することなどによって変更されてもよい。本明細書に記載されたＱＫＤ構成および安全なマルチパーティ通信プロトコルの様々な態様を組み合わせて使用しても、別々に使用してもよい。様々な実施形態は前述の技術およびツールのうちの１つまたは複数を実施する。本明細書に記載された技術およびツールのうちのいくつかは、背景技術において指摘した問題のうちの１つまたは複数に対処する。通常、所与の技術／ツールが全てのそのような問題を解決するわけではない。

Ｉ．例示的な動作環境
図１は、様々なユーザデバイスが通信信頼機関（１０１）とのＱＫＤによって鍵を取得する例示的な動作環境（１００）を示している。ユーザデバイスは、基地局（１０３）に結合されたＱＣカード（１０２）と、ＱＣカードを有する携帯電話（１０７）と、衛星（１０８）と、従来のＱＣ送信機（１０５）に接続されたいくつかのコンピュータ（１０６）とを含む。ユーザデバイスは個人ユーザ用のユーザデバイス、またはユーザとしての企業、金融機関、もしくは政府機関用のユーザデバイスであってもよい。

コンピューティングシステムは通信信頼機関（１０１）を実現する。通信信頼機関（１０１）は、ユーザを認証し、ユーザデバイス（または従来のＱＣ送信機（１０５））との通信において量子鍵を生成し、量子鍵を格納する。ある時点で、通信信頼機関（１０１）は様々なデバイスとのＱＫＤを実行し、通信信頼機関（１０１）は、様々なＱＫＤセッションにおいて生成された量子鍵を格納する。所与のユーザデバイスは、通信信頼機関（１０１）から配布される量子鍵および他の情報を使用して、通信信頼機関（１０１）とのＱＫＤから得られた量子鍵を有する他のユーザデバイスと安全に通信することができる。

ＱＣカード（１０２）は小型ＱＣ送信機を含む。ＱＣカード（１０２）は、通信信頼機関（１０１）とのネットワーク接続を実現し、ＱＣカード（１０２）に電力を供給することができる基地局（１０３）に結合されている。基地局（１０３）、ＱＣカード（１０２）、およびＱＣカード（１０２）とのＱＫＤ向けに構成された通信信頼機関の例示的な実装形態については第ＩＩ節において詳しく説明する。従来のＱＫＤ解決手段は高価で実施が困難である傾向があるが、ＱＣカード（１０２）および基地局（１０３）の例示的な実装形態は比較的安価である。ＱＣカード（１０２）は携帯が容易であり、ＱＫＤによって生成された量子鍵は、従来の非量子鍵配送によってもたらされるセキュリティよりも強力なセキュリティを促進する。

ユーザは、量子鍵を生成するために、ＱＣカード（１０２）を基地局（１０３）に挿入する。通常、ＱＫＤの前提条件として、通信信頼機関（１０１）はユーザを認証する。例えば、ＱＣカード（１０２）は、ユーザからの指紋スキャンおよび個人識別番号（「ＰＩＮ」）を受け入れ、ＰＩＮおよび指紋スキャンデータを暗号化し、暗号化された材料を事前に通信信頼機関（１０１）から供給されている情報と比較するために通信信頼機関（１０１）に送信する。あるいは、ＱＣカード（１０２）は、ユーザを識別する他のバイオメトリック情報および／またはその他の情報を受け入れる。

ＱＣカード（１０２）は次いで、通信信頼機関（１０１）とのＱＫＤを実行し、結果として得られた量子鍵をＱＣカード（１０２）上のセキュアメモリに格納する。図１において、基地局（１０３）は、設置されたファイバ（１０４）を介して通信信頼機関（１０１）に接続されている。設置されたファイバ（１０４）は、ＱＣカード（１０２）と通信信頼機関（１０１）との間のポイントツーポイントＱＫＤ、例えば、量子状態情報を用いて符号化された光子の送信用の量子チャネルとして使用される。ポイントツーポイントＱＫＤは、トポロジーがＱＫＤをサポートするファイバネットワークにおいて単一光学スパンまたは複数のスパンにわたって行われてもよい。例えば、このトポロジーは、ＱＣカードと通信信頼機関との間の中間ルータを含むが、このルータは量子状態情報を保存する。図１では、設置されたファイバ（１０４）は、ＱＣカード（１０２）と通信信頼機関（１０１）との間で非量子情報、例えば、認証情報、ＱＫＤにおける測定基底、基底記録に関する非量子情報、および／または通信信頼機関（１０１）からの非秘密鍵情報を交換するときにパブリックチャネルとしても使用される。あるいは、ＱＣカード（１０２）と通信信頼機関（１０１）は、別の種類のネットワーク媒体（例えば、銅、ＲＦ）もしくは自由空間（光学）または別のネットワークトポロジーを有するファイバネットワークを介して非光量子情報を伝達する。

一使用シナリオでは、ある企業が、その従業員用のＱＣカード（１０２）を購入し、かつその施設に配置された１つまたは複数の基地局（１０３）を購入する。従業員は、定期的に自分のＱＣカード（１０２）を基地局に挿入して量子鍵をロードする。従業員は次いで、インターネットを介した購入、リモートサイトでの認証またはアクセス制御のような活動に量子鍵を使用する。

携帯電話（１０７）は、ＱＣカード（１０２）と従来の携帯電話構成要素とを含む。携帯電話（１０７）は、携帯電話（１０７）に接続されるようになっている基地局（１０３）に結合され、通信信頼機関（１０１）とのネットワーク接続を実現する。携帯電話の基地局（１０３）は、電力を供給するとともに、携帯電話（１０７）上で情報を同期させるためのデータ接続も実現する。携帯電話（１０７）は、ＱＣカード（１０２）および通信信頼機関（１０１）によって生成された量子鍵を格納する。ＱＣカードを含む携帯電話（１０７）の例示的な実装形態については以下に第ＩＩ節において説明する。

図１に示されているように、通信信頼機関（１０１）は、ＱＣカード（１０２）以外のデバイス用の量子鍵を生成してもよい。例えば、通信信頼機関（１０１）は、自由空間を通じたＱＣ送受信用の機器を使用して低軌道衛星（１０８）に量子鍵を配送するＱＫＤを実行する。あるいは、通信信頼機関（１０１）は、安全な施設においてＱＫＤによって生成された量子鍵をローカルに接続されたコンピュータ（１０６）に直接伝達する従来のＱＣ送信機（１０５）とのＱＫＤを実行する。従来のＱＣ送信機（１０５）は、設置されたファイバ（１０４）（例えば、建物、ＦＴＴｘリンク、メトロ領域などにおける電気通信用の標準的なファイバ）または自由空間（例えば、屋根から屋根、飛行機から地面、船から船、衛星から地面）を介して通信信頼機関（１０１）に接続されてもよい。

いずれの場合も、ＱＫＤは、暗号化、安全なマルチパーティ音声通信または映像通信、認証、銀行取引、施設アクセス制御、コンピューティングシステムまたはデータベースのアクセス制御、オンライン制御システムのアクセス制御、車両アクセス、デジタル署名、電子投票、テレプレゼンス、またはそのような用途に量子鍵として使用されてもよい安全な暗号並みの乱数を生成する。乱数として、量子鍵はフォワード秘匿性を有する。量子鍵は、事前に用意された秘密鍵に依存せず、従来のアタックを受けず、また、将来技術が発展して使用するコンピューティング電力が高くなったり、鍵生成アルゴリズムにおいて欠陥が発見されたりしても影響を受けることがない。ＱＫＤによって生成された量子鍵のうちのいくつかを認証および以後のＱＫＤセッションの前の他のセットアップ動作に使用してもよく、従って、そのようなセットアップ動作はユーザに対して自動的であり連続的である。

図１に示されている例では、通信信頼機関（１０１）を実現するコンピューティングシステムはＱＣ受信機を有する。あるいは、通信信頼機関（１０１）を実現するコンピューティングシステムはＱＣ送信機を有し、ＱＫＤの他方の当事者はＱＣ受信機を含む。

図２は、ＱＣカード（１０２）が通信信頼機関（１０１）とのＱＫＤによって得られた量子鍵をさらに配送する例示的な動作環境（２００）を示している。ＱＣカード（１０２）は、格納されている量子鍵を携帯電話（１０７）またはユーザのコンピュータ（１１６）に配送してもよい。例えば、ＱＣカード（１０２）はポイントツーポイントファイバ接続または無線接続を介して量子鍵を送信する。あるいは、ＱＣカード（１０２）は、衛星管制センタ（１１３）に量子鍵を配布し、衛星管制センタ（１１３）が量子鍵を衛星（１１８）にアップロードする。

このように、ＱＣカード（１０２）は、量子鍵をＱＣカード（１０２）のセキュアメモリから宇宙船、船舶、またはその他の乗物上のリモート暗号化装置にロードするときに「フィルガン（fillgun）」として使用されてもよい。例えば、ＱＣカード（１０２）は、端末において基地局に結合されている間に量子鍵をロードし、発射の前に宇宙船に運ばれ、次いで量子鍵を宇宙船上のコンピューティングデバイスにロードする。宇宙船上のコンピューティングデバイスは次いで、端末または別のデバイスとの安全な通信に量子鍵を使用してもよい。

図３は、ＱＫＤによって配送された量子鍵が、安全な通信を確立するのに使用されるか、認証に使用されるか、またはアクセス制御に使用される例示的な動作環境（３００）を示している。ユーザデバイスは、通信信頼機関（１０１）から配布された１つまたは複数の量子鍵および情報によって、他のユーザデバイスと直接またはインターネットなどの公衆網（１３０）を介して安全に通信することができる。あるいは、ユーザデバイスは、量子鍵を使用して他のユーザデバイスに対してユーザデバイス自体を認証するかまたはアクセス制御デバイス（１２０）によってある施設にアクセスすることができる。それぞれ通信信頼機関とのＱＫＤから量子鍵を受信したユーザデバイスのネットワーク内では、あるユーザデバイスは、任意の他のユーザデバイスとの接続を２つのユーザデバイス間のＱＫＤなしに確立することができる。

図３に示されているユーザデバイスは、通信信頼機関（１０１）との任意の形態のＱＫＤによってその量子鍵を取得することができる。図３に示されているユーザデバイスのうちのいくつかは、図１に示されているように、通信信頼機関（１０１）とのＱＫＤによって直接量子鍵を取得している。例えば、携帯電話（１０７）およびＱＣカード（１０２）は、通信信頼機関とのＱＫＤから量子鍵を取得している。ユーザコンピュータ（１０６）は、通信信頼機関とのＱＫＤにおいて従来のＱＣ送信機とのローカルな接続から直接量子鍵を取得している。図３に示されている他のユーザデバイスは、図２に示されているようにＱＣカードから量子鍵を取得している。例えば、衛星（１１８）、携帯電話（１１７）、およびユーザコンピュータ（１１６）は、ＱＣカード（１０２）から量子鍵を取得している。いずれの場合も、ユーザデバイスは、量子鍵がユーザデバイスに配送された位置とは異なる位置でユーザデバイスの量子鍵を使用することができる。

通信信頼機関（１０１）は、（図１のように）ＱＣノードであるとともに従来のネットワークコンタクトポイントでもある。通信信頼機関（１０１）は、ネットワークサーバの役割を果たすＱＫＤの他に、ネットワーククライアントの役割を果たすユーザデバイスとの従来のネットワーク通信を使用して情報を交換してもよい。このように、ユーザデバイスは、別のユーザデバイスとの安全な接続を確立するために、格納されている量子鍵のうちの１つと組み合わせて使用できる情報を受信することができる。あるいは、ユーザデバイスは、それに格納されている量子鍵によって暗号化された材料（material）を通信信頼機関（１０１）から受信してもよい。

量子鍵は、アルゴリズム暗号化に使用されないときでも安全な通信を促進することができる。２つのユーザデバイスが同じ量子鍵を有する場合、第１のユーザデバイスは格納されている量子鍵を使用して、信号の波長および／またはタイムスロット同士の間で情報内容を拡散するためのパターンを求め、次いで送信時にこのパターンに従って情報を拡散してもよい。第２のユーザデバイスは、格納されている量子鍵からパターンを求め、第２のユーザデバイスが受信した信号からの情報内容を逆拡散する。パターンは、格納されている量子鍵によって決まるが、格納されている量子鍵を暗号化時に使用しなくても、送信時に物理層においてセキュリティが実現される。

量子鍵を使用すると、通信信頼機関（１０１）をオンラインまたはオフラインにすることができる。例えば、２つのデバイスがそれぞれ、通信信頼機関（１０１）とのＱＫＤから量子鍵を取得していると仮定する。第１のユーザデバイスは、第２のユーザデバイスとの安全な接続を確立するために、インターネットなどの公衆網（１３０）を介して通信信頼機関（１０１）と連絡を取る。第１のユーザデバイスは、第２のユーザデバイスとの安全な接続を確立するために第１のユーザデバイスにおける量子鍵と一緒に使用できる情報を通信信頼機関（１０１）から受信する。次いで、第１のユーザデバイスおよび第２のユーザデバイスは、ジョイントセッション鍵を使用して公衆網（１３０）などを介して安全な通信を行うことができる。あるいは、通信信頼機関（１０１）はそのような情報を第１のユーザデバイスおよび／または第２のユーザデバイスに供給し、次いでオフラインになることができる。通信信頼機関がオフラインであっても、第１のユーザデバイスおよび第２のユーザデバイスはその後、公衆網（１３０）を介して安全な接続を確立するかあるいは互いに直接、安全な接続を確立することができる。量子鍵と一緒に使用される情報として通信信頼機関（１０１）が供給する情報を公衆網（１３０）を介して非秘密的に供給してもよい。これは、この情報が量子鍵のプロセッサにしか有効でないからである。第ＩＩＩ節では、安全なマルチパーティ通信のための例示的なプロトコルについて説明する。この例示的なプロトコルを図３の例示的な環境（３００）のような動作環境における安全な通信、認証、アクセス制御、およびその他の用途に使用してもよい。

ＩＩ．ＱＣカード、基地局、および通信信頼機関を使用したＱＫＤ
代表的なスマートカードは、マイクロプロセッサが埋め込まれた、クレジットカード大の小型プラスチック製デバイスである。いくつかのスマートカードはハッシング関数および事前に用意された秘密鍵を使用して暗号鍵を生成する。次いで、通信、認証、アクセス制御などのための従来の暗号化技術に従って暗号化鍵を使用する。スマートカードは比較的安価であり携帯が容易であるが、多くのシナリオに十分なセキュリティを実現しない。

ハッシング関数を使用して暗号化鍵を生成する機構は、従来のコンピュータによる攻撃を受けやすい。従来、ハッシング関数は、アルゴリズム攻撃がより強力になっているために弱体化しており、現在のスマートカード技術がまだ弱体化されていないという保証はない。要するに、既知のアルゴリズムを使用して鍵を生成するスマートカードは、完全なフォワード秘匿性を有さない乱数を生成し、すなわち、現在の鍵を直前の鍵から予測することができることを意味する。敵対者は、正当なユーザによって入力された数をこのユーザのスマートカードから再符号化し、アルゴリズムを破るかあるいは事前に用意された秘密鍵を求めることができ、それによって、正当なユーザになりすますための鍵を使用可能にすることができる。

一方、ＱＫＤによって生成された量子鍵は強力なフォワード秘匿性を有する。しかし、現在まで、ＱＣセキュリティ解決手段は高価であり実施が困難である傾向がある。

ＱＣカードは、スマートカード技術の利点をＱＫＤの利点と組み合わせる。例示的な実装形態では、ＱＣカードは比較的安価であり、軽量で携帯可能である。ＱＣカードは、通信信頼機関とのＱＫＤによって生成された量子鍵を格納し、量子鍵は強力なフォワードセキュリティを有する。

一般に、ＱＣカードは基地局に結合され、通信信頼機関とのＱＫＤによって量子鍵を生成する。例えば、ユーザはＱＣカードを基地局に挿入し、ＱＣカードは、通信信頼機関に認証情報を送信する。ユーザが認証された場合、ＱＣカードと通信信頼機関は、量子鍵用の暗号並みの秘密乱数を生成する。ＱＣカードは、量子鍵をセキュアメモリに格納する。ＱＣカードは後に、量子鍵を使用するかまたは量子鍵を別のデバイスが使用できるようにそのデバイスに配送してもよい。いずれにしても、ユーザは量子鍵を暗号化、認証、アクセス制御、またはデジタル署名に使用してもよい。ＱＫＤにおいて生成される量子鍵はランダムに生成され、事前に用意された秘密鍵に依存しないので、量子鍵は、施設へのアクセス、コンピューティングシステムへのアクセス、銀行取引、安全なマルチパーティ通信、およびその他の用途に関して強力なセキュリティを実現する。

いくつかの実施形態では、ＱＣカードは、小型ＱＣ送信機を含み、通信信頼機関のコンピューティングシステムはＱＣ受信機を含む。例えば、ＱＣカードは、ＱＫＤ用の４つの非直交偏光状態のいずれか（例えば、０°、４５°、９０°、または１３５°）を有する個々の光子を選択的に生成することのできる一体化された電子光学モジュールを含む。ＱＣカードは、フットプリントの小さな単一の一体化ユニットとして製造されてもよい。従来ＱＣ送信機と比べて、ＱＣカード内のＱＣ送信機は低出力送信機である。それにもかかわらず、ＱＣカードは、エネルギー消費量が問題にならない程度に、ＱＫＤが可能であるようにＱＣカードが結合された基地局から電力を引き出す。ＱＣカードは、軽量で堅固であり、携帯電話または限定されたサイズ、重量、および電力消費量が望ましい属性であるその他のデバイスに実装されてもよい。

ＱＣカード／通信信頼機関構成は、第ＩＩＩ節に記載されたプロトコルに従って安全なマルチパーティ通信および認証に使用される量子鍵を生成してもよい。例示的なプロトコルでは、通信信頼機関は量子鍵を様々なユーザデバイスに配送する。通信信頼機関がオンラインであるとき、ユーザデバイスは、別のデバイスとの通信をセットアップするか、このデバイスを認証するか、またはこのデバイスへのアクセスを許可するのに使用される情報を通信信頼機関に問い合わせてもよい。通信信頼機関がオフラインである場合でも、様々なユーザデバイスが、事前に通信信頼機関から供給されている情報を使用して互いに安全に通信するかまたは互いを認証することができる。例示的なプロトコルでは、安全なマルチパーティ通信および認証が比較的少数の量子鍵と一緒に効率的に働き、通信信頼機関によって量子鍵を定期的に更新してもよい。これらの点およびその他の点において、第ＩＩＩ節の例示的なプロトコルは、ＱＣカードおよび通信信頼機関によって生成された量子鍵と一緒に使用するのに適している。しかし、別の実施形態として、ＱＣカード／通信信頼機関構成は、鍵管理および／または認証のための別のプロトコルに従って安全なマルチパーティ通信または認証に使用される量子鍵を生成してもよい。例えば、鍵管理プロトコルは、レイトン−ミカリ（Leighton-Micali）プロトコルの変形例であってもよく、認証プロトコルはウェッグマン−カーター（Wegman-Carter）認証の変形例であってもよい。

Ａ．ＱＣカードと通信信頼機関との間のＱＫＤ用の汎用技術
図４ａは、ＱＣカードが通信信頼機関とのＱＫＤによって量子鍵を取得するための汎用技術（４００）を示している。図４ａのいくつかの動作（例えば、ＱＣカードの基地局への取付け、ＱＣカードの基地局からの取外し）はユーザによって物理的に実行されるが、ＱＣカードは対応する動作（例えば、結合、分断）を実行する。図４ｂは、通信信頼機関がＱＣカードとのＱＫＤによって量子鍵を取得するための対応する技術（４５０）を示している。

図４ａを参照する。ユーザがＱＣカードを基地局に取り付ける（４０５）。この時点で、ＱＣカードは、ＱＣカードと通信信頼機関との間でＱＣが可能になるように基地局に結合される。基地局は、通信信頼機関を実現するコンピューティングシステムとのネットワーク接続を確立する。ＱＣカードは、基地局に結合されると、基地局のネットワーク接続部に光学的に結合される。いくつかの実装形態では、ＱＣカードと基地局との光学的な結合はファイバ接続を使用する。あるいは、光学的な結合は無線接続（例えば、自由空間を介した送信）を使用する。

いくつかの実装形態では、基地局によって確立されるネットワーク接続は、通信信頼機関を実現するコンピューティングシステムとのファイバ接続である。このネットワーク接続は、ＱＣカードと通信信頼機関との間の直接的な通信用の専用ポイントツーポイントファイバ接続、１つまたは複数の光ルータを通じたＱＣ送受信を有効化するこれらの光ルータに接続された複数のスパンにわたる専用のファイバ接続、またはＱＣ送受信機器を含むデバイスのネットワークの単一のスパンまたは複数のスパンにわたる商用（非専用）ファイバ接続であってもよい。ＱＣは通常、弱光子パルスを使用して、余分な光子の傍受によって生じる可能性のある問題を軽減する。専用のファイバ（「ダーク」ファイバと呼ばれることもある）は、量子状態情報を符号化する弱光子パルスを伝達し、ブライト同期パルス（bright Synchronization pulses）を伝達してもよい。弱光子パルスは、他のトラフィックがないので検出が比較的容易である。一方、非専用ファイバを介したＱＣの場合、量子状態情報を符号化する弱光子パルスは検出がより困難である。非専用ファイバ（「ライト」ファイバと呼ばれることもある）は、弱光子パルスで量子状態符号化された情報を伝達するが、ブライトパルスで従来のネットワークトラフィックも伝達する。同期、時間多重化、および波長多重化を使用して量子信号の弱光子パルスを他のトラフィックのブライトパルスから分離するときでも、散乱またはその他の障害によって弱光子パルスを検出する作業が困難になることがある。非専用ファイバを介したＱＣ性能を向上させる様々な措置を講じることができる。詳細は、（１）非特許文献１および（２）非特許文献２を参照されたい。

ＱＣカードと通信信頼機関との間のネットワークは、単一のスパンを含んでも複数のスパンを含んでもよい。例えば、２つのスパンがあり、それらの間のルーティングが量子状態符号化情報の量子状態を妨害する場合、ＱＣカードは、同じく通信信頼機関とのＱＫＤを実行する中間信頼ノードとのＱＫＤを実行することができる。中間信頼ノードは続いて、それぞれのＱＫＤセッションの結果として得られた量子鍵を使用して暗号化された量子鍵を、ＱＣカードと通信信頼機関のそれぞれに配送する。あるいは、量子状態が妨害されない場合、ＱＣカードはＱＫＤを複数のスパンにわたって通信信頼機関と直接実行してもよい。

基地局は、ネットワーク接続を確立するだけでなく、ＱＣカードに電力を供給することもできる。例えば、ユーザがＱＣカードを取り付ける際（４０５）、ＱＣカードは基地局に電気的に結合される。ＱＣカードは基地局から電力を引き出す。ＱＣカードはこの電力を使用して、一体化された１つもしくは複数の光学モジュールへの電力供給および／または一体化された１つもしくは複数の光学モジュールの、ＱＣ用の動作温度までの冷却を実行することができる。ＱＣカードと基地局との電気的な結合は、従来の有線技術によって実施されてもよく、またはこの電気的な結合は、（例えば、ＱＣカードと基地局の充電パッドとの間で電磁誘導による短距離の電力伝送を行うために）無線技術によって実施されてもよい。いくつかの実装形態では、ＱＣカードと通信信頼機関は自由空間を介してＱＣを実行し、ＱＣカードが基地局に結合されたときに基地局がＱＣカードに電力を供給し、かつ／またはＱＣカードと位置が揃う。

概して、図４ａおよび図４ｂに示されている技術（４００、４５０）では、基地局は、ネットワーク接続を確立し、場合によっては電力を供給する「ダム（dumb）」端末である。通信信頼機関との実際のＱＫＤを実行するのはＱＣカードであるので、基地局が高い信頼性を有する必要はない。第ＩＩ．Ｃ節の終わりに記載されているような代替的実施形態では、基地局は、一部が高い信頼性を有するかまたは全体的に高い信頼性を有し、ＱＫＤの各態様に関するさらなる機能を実現する。

ユーザの認証がＱＫＤの条件である場合、ＱＣカードは、認証に関する情報を含むメッセージを送信する（４１０）。例えば、ＱＣカードは、指紋スキャン、その他のバイオメトリック証印、ＰＩＮ用の数値入力、または個人情報用のその他のユーザ入力のようなユーザの識別情報を受信する。ＱＣカードは、認証鍵を使用して識別情報を暗号化し、ユーザを認証できるように暗号化された情報をメッセージとして通信信頼機関に送信する。

通信信頼機関は、基地局に結合されたＱＣカードとのＱＣを確立するために、ユーザを認証する。通信信頼機関は、認証に関する情報を含むメッセージを受信する（４５５）。通信信頼機関は、メッセージを検査し（４６０）、適宜ユーザを認証する。例えば、通信信頼機関はメッセージなどの暗号化された情報を受信する。この情報は、認証鍵を使用して暗号化されたユーザの識別情報である。通信信頼機関は、認証鍵を使用して識別情報を解読し、その識別情報に基づいてユーザを認証すべきかどうかを判定する。

概して、ＱＣカードと通信信頼機関との初期ＱＫＤセッションの場合、識別情報を暗号化／解読するのに使用される認証鍵は、通信信頼機関に既知である、ＱＣカードに事前に用意された鍵である。この初期鍵は、続いてＱＣカードと通信信頼機関との間のＱＫＤにおいて生成された量子鍵によって置き換えられてもよい。新しい量子鍵は、次のＱＫＤセッションの前の認証に使用できるようにＱＣカードおよび通信信頼機関内の特別な位置に格納される。このように、初期認証鍵の再使用が回避され、セキュリティが向上する。

通信信頼機関は、ユーザが認証されたことを示すメッセージをＱＣカードに送信してもよい。ＱＣカードは、ユーザの認証が成功したかどうかを検査する（４１５）。

認証が成功した場合、ＱＣカードと通信信頼機関は互いのＱＫＤにおいて１つまたは複数の量子鍵を作成する（４２０、４７０）。１つまたは複数の量子鍵は、ＱＣ（量子状態で符号化された情報）およびＱＣカードと通信信頼機関との間の非量子通信（例えば、量子鍵を決定するためにパブリックチャネルを介して交換される情報）に基づいて生成される。

ＱＣの方法は実装形態によって決まる。例えば、ＱＣカードは、量子状態で符号化された情報を通信信頼機関のＱＣ受信機に送信するように構成されたＱＣ送信機用の一体化された１つまたは複数の光学モジュールに光学的に結合されたコネクタを含む。量子状態符号化情報は、基地局を介したＱＣカードと通信信頼機関との間のＱＣの一部として量子チャネル内で送信される。図５および図６ａ〜図６ｃは、例えばＱＣ送信機を含むＱＣカードの詳細を示しており、例示的なＱＣカードの動作について、以下に図５および図６ａ〜図６ｃを参照して説明する。あるいは、ＱＣカードは、通信信頼機関のＱＣ送信機から量子状態で符号化された情報を受信するＱＣ受信機用の一体化された１つまたは複数の光学モジュールを含む。ＱＣカードと通信信頼機関は、ＱＣと非量子通信に同じネットワーク接続を使用してもよい。例えば、ＱＣカードと通信信頼機関との間のＱＣは、光ファイバ上の量子チャネルを使用し、ＱＣカードと通信信頼機関との間の非量子通信は光ファイバ上のパブリックチャネルを使用する。あるいは、ＱＣと非量子通信はそれぞれの異なるネットワーク接続を使用する。例えば、ＱＣは光学接続を使用するが、非量子通信は非光学接続を使用する。

ＱＣカードは１つまたは複数の量子鍵を格納する（４３０）。通信信頼機関も１つまたは複数の量子鍵を格納する（４８０）。例えば、ＱＣカードは１つまたは複数の量子鍵をＱＣカードのセキュアメモリに格納し、通信信頼機関は１つまたは複数の量子鍵を通信信頼機関のセキュアメモリに格納する。

ユーザは次いで、ＱＣカードを基地局から取り外す（４４０）。この時点で、ＱＣカードは基地局から分断される。いくつかのシナリオでは、ＱＣカードは、フィルガンとして使用され、格納されている量子鍵を別のユーザデバイスに送信し、このユーザデバイスのメモリに格納できるようにする。他のシナリオでは、ＱＣカード自体が、通信信頼機関から量子鍵情報を受信した１つまたは複数の他のデバイスとの安全な通信、認証、アクセス制御などに、格納されている量子鍵を使用する。

例えば、いくつかの使用シナリオでは、ＱＣカード（またはＱＣカードを含むデバイス）が、パブリックチャネル（例えば、無線インターネット接続、携帯電話接続）を介して通信信頼機関と連絡を取り、格納されている量子鍵を使用して識別情報を暗号化し、暗号化された識別情報をパブリックチャネルを介して通信信頼機関に送信する。通信信頼機関は、同じ量子鍵または格納されている次の量子鍵を使用して解読された暗号化された鍵材料で応答する。次いで、この鍵材料を１つまたは複数の他のデバイスとの安全な通信、１つまたは複数の他のデバイスに対する認証、１つまたは複数の他のデバイスに対するアクセス制御などに使用してもよい。１つまたは複数の他のデバイスは、同様にパブリックチャネルを介して通信信頼機関と通信し、同様に、１つまたは複数の他のデバイスのそれぞれが解読し使用することのできる暗号化された鍵材料を受信する。

他の使用シナリオでは、それぞれのＱＣカード（またはデバイス）が通信信頼機関に暗号化された秘密鍵材料を供給するように問合せを行うのではなく、通信信頼機関が非秘密材料をＱＣカード（またはデバイス）に供給する。第１のＱＣカード（またはデバイス）は、非秘密材料の一部およびＱＣカードに格納されている量子鍵のうちの１つを使用して、第２のＱＣカード（またはデバイス）との安全な通信、認証などに使用できる別の鍵を求める。第ＩＩＩ節では、これらの使用シナリオの変形例について説明する。いずれかのＱＣカード（またはデバイス）は、格納されている量子鍵をこのように使用する前に、ローカルに格納されているかまたはリモートに格納されているバイオメトリック署名またはＰＩＮと突き合わせてユーザ認証を実行してもよい。オンライン通信信頼機関は、要求に応じて非秘密材料をＱＣカード（またはデバイス）に供給することができる。あるいは、通信信頼機関が非秘密材料をＱＣカード（またはデバイス）に供給し、次いで、ＱＣカードがその非秘密材料を格納してもよく、通信信頼機関は、後で非秘密材料が使用されるときにオンラインである必要はない。

他の使用シナリオでは、ＱＣカードは、リモートサイトにおいてペイロードデータを暗号化するのに使用される安全な暗号鍵を生成する。暗号化されたペイロードデータは、安全な位置に戻され、ＱＣカードがユーザを認証した後、ＱＣカードに格納されている安全な暗号鍵を使用して解読される。ＱＣカードは、セキュリティレベルに応じて、ローカルに格納されているバイオメトリック署名またはＰＩＮを使用してユーザを認証してもよく、またはＱＣカードは、ユーザ用の識別情報を暗号化し、認証を可能にする暗号化された識別情報を通信信頼機関に送信してもよい。あるいは、ＱＣカードは、先の２段落の１つで説明した手法を用いて、解読特権が与えられた別のコンピューティングシステムに安全な暗号鍵を伝達してもよく、解読特権が与えられたコンピューティングシステムは、この安全な暗号鍵を使用して暗号化されたペイロードデータを解読してもよい。レイトン−ミカリプロトコルの変形例を使用し、必要に応じて、数学的プロトコルをＱＣカード上の秘密鍵と一緒に使用することによって、安全な暗号鍵を機密扱いせずに転送してもよい。安全でない回線を介して鍵情報が転送されると、通信信頼機関はこのプロトコルおよびＱＣカード（および必要に応じて他のコンピュータ）上にすでに存在する秘密ビットの知識を使用して安全な鍵転送を実行する。

あるいは、ＱＣカードおよび１つまたは複数の他のデバイスは、別のプロトコルに従って安全な通信またはその他の機能に量子鍵を使用する。

Ｂ．例示的なＱＣカード
図５は、ＱＣカード／通信信頼機関構成において使用されるように構成された例示的なＱＣカード（５００）を示している。上位では、ＱＣカード（５００）は、１つまたは複数のコネクタと、一体化された光学モジュールと、量子鍵を格納するメモリとを含む。１つまたは複数のコネクタは、通信信頼機関とのＱＣが可能になるように基地局に（有線接続または無線接続を介して）結合されるように構成されている。一体化された光学モジュールは、基地局を介したＱＣの一部として情報を送信するように構成されている。図６ａ〜図６ｃは、鍵電気光学要素が、ＱＣ送信の安定性を増し、一方、重量を減らしてサイズを小さくするように小型化された、一体化された光学モジュールの例示的な実装形態を詳細に示している。

１．汎用ＱＣカード
図５において、一体化された光学モジュール（５１０）は、非専用光ファイバを介して通信できるように構成されている。量子チャネルとしての光ファイバを介したＱＣの場合、一体化された光学モジュール（５１０）は、量子状態の変調が（ＱＣ受信機によって）測定されるバイナリ情報を送信する。一体化された光学モジュール（５１０）は、光ファイバ上のパブリックチャネルにおいて情報を送受信するように構成されたネットワークトランシーバも実現し、量子状態の変調が（ＱＣ受信機によって）測定されないバイナリ情報を送受信する。

一体化された光学モジュール（５１０）のうちで、ドライバ電子機器を含むレーザ変調器（５１２）は、ＱＣにおいて送信される光子を生成するように構成されたレーザと、レーザの出力の量子状態（例えば、偏光状態）を変調するように構成された変調器とを含む。変調器は、レーザに光学的に結合され、例えば、偏光状態を０°と４５°と９０°と−４５°との間で変調するニオブ酸リチウム変調器によって実現されてもよい。（システムは、光ファイバ内で偏波追尾を使用して偏光状態をＱＣ送信機からＱＣ受信機へ維持してもよい。）あるいは、変調器は、別の種類の一体化された光変調器またはバルク結晶変調器によって実現される。どの変調器を選択するかは実装形態ごとに異なり、例えば、レーザの特定の波長に対する変調器の適切性、変調器の動作周波数、および／または生成される偏光状態の状態純度に依存するものであってよい。

可変光減衰器（５１４）はレーザに光学的に結合されている。この減衰器は、レーザのパルス当たり光子数を減らすように構成されており、余分な光子を傍受する盗聴の試みを失敗させることによってＱＣのセキュリティを向上させる。モニタアバランシェフォトダイオード（「ＡＰＤ」）（５１７）は、光ファイバスプリッタ（５１６）によって他のモジュールから分割され、ＱＣに使用されるレーザからパルス当たり光子数を測定するように構成されている。例えば、ＡＰＤ（５１７）は、１つまたは複数のＩｎＧａＡｓ光子検出器によって実現される。ＡＰＤ（５１７）は、レーザ減衰器（５１４）をＱＣに対して制御するのに使用されるフィードバックを供給する。別の検出器（図示せず）は、非量子通信用の従来の光ファイバ受信機として情報を受信する。

プロトコル論理を有するプロセッサ／フィールドプログラマブルゲートアレイ（「ＦＰＧＡ」）（５２０）は、通信信頼機関とのＱＣの一部としての様々な動作を制御する。特に、プロセッサ／ＦＰＧＡ（５２０）は、モジュール（５１２）に電気的に結合され、レーザ変調器（５１２）に付属するドライバ電子機器を通じてレーザ変調器の動作同士を調和させるように構成されている。乱数発生器は、高品質の乱数用の一連のランダムビットを生成する。プロセッサ／ＦＰＧＡ（５２０）は、高忠実度偏光制御によって、変調器と一緒に光子の偏光を制御し、ランダムビットをＱＣプロトコルに従ってそれぞれの異なる偏光状態として符号化する。プロセッサ／ＦＰＧＡ（５２０）は、ＱＣのパルス当たり光子数（ＡＰＤ（５１７）によって測定される）を監視する。プロセッサ／ＦＰＧＡ（５２０）は、レーザ可変光減衰器（５１４）を制御することによって、レーザのパルス当たり光子をパルス当たり単一光子の平均レベルまで選択的に減らすことができる。

従って、プロセッサ／ＦＰＧＡ（５２０）は、ＱＣのレーザによって生成される単一光子パルスのタイミングおよびパターンを制御する。プロセッサ／ＦＰＧＡ（５２０）は、同期、非量子通信、および／またはその他の目的で生成されるブライトパルスのタイミングおよびパルスも制御する。単一光子パルスおよびブライトパルスのタイミングおよびパターンは、ＧＰＳモジュール（５９０）および発振器によって厳密にタイミングが図られる既知のパターンに従うタイミングおよびパターンであってもよい。ブライトパルスは、ＱＣカード（５００）のＱＣ送信機と通信信頼機関におけるＱＣ受信機との同期を助けるだけでなく、通信信頼機関がＱＣカード（５００）と通信信頼機関とのファイバ接続による偏光状態の変動を追跡し補正できるように、偏光された光子を通信信頼機関に送信することができる。

いくつかの実装形態では、ブライトパルスは、従来のトランシーバ（ＱＣではない）の機能も実現する第２のレーザによって生成される。他の実装形態では、同じレーザがＱＣ送信、ＱＣ制御／同調、および従来のトランシーバ機能に使用されるが、従来のトランシーバ機能およびＱＣ制御／同調機能に加えられる減衰が弱くなる。例えば、一体化された光学モジュール（５１０）は、ブライトタイミング／制御パルスの送信から同じレーザによる単一光子パルス制御への切替えを容易にする複数の減衰器を含んでもよい。ＱＣカード（５００）内のレーザをＱＣ受信機との同期、同調、制御などの動作に使用することは、タイミング／制御パルスが量子状態符号化情報を含まないにもかかわらず、（ＱＣタイミング／制御パルスには量子状態符号化情報が組み込まれているので）ＱＣの一部とみなされてもよい。ＱＣカード（５００）は、パブリックチャネルとしての光ファイバを介した非光量子通信において他の情報（例えば、ＱＫＤにおける送信基底に関する情報、その他のＱＫＤプロトコル情報、通信信頼機関に対する非秘密鍵情報の要求）を送信する。

ＱＣプロトコルの他の態様では、プロセッサ／ＦＰＧＡ（５２０）は、通信信頼機関と動作を制御し、ＱＣに関する量子状態およびパルス当たり送信基底を記録し、記録された送信基底を（パブリックチャネルでの通信信頼機関との非量子通信において）通信信頼機関に送信し、従来のＱＣプロトコル要素を他の方法で処理して量子鍵を求める。プロセッサ／ＦＰＧＡ（５２０）は、プライバシー増幅の動作とデコイ状態との調和を図ってＱＫＤのセキュリティをさらに向上させてもよい。プライバシー増幅は、（例えば、ハッシュ関数を用いたハッシングによって）共有されるビット列の長さを短くし、盗聴者が得る可能性がある部分的な情報を減らす。列の最終的な長さは、検出されたエラーの数に応じて設定してもよい。弱レーザパルスのような不完全な単一光子源の場合、それぞれの異なる平均光子数（輝度）のデコイ状態を送信してもよく、それによって、ビット列内の単一光子のエラーレートおよび数を求め、それらを使用してプライバシー増幅の程度を調整してもよい。

メモリ（５２２）は、少なくとも部分的にＱＣに基づいて生成された１つまたは複数の鍵を格納する。例えば、メモリ（５２２）は、ＱＣカードと通信信頼機関との間のＱＫＤにおいて生成された量子鍵を格納する。メモリ（５２２）は、認証のために使用される事前に用意された初期秘密鍵のような他の鍵を格納してもよい。いくつかの実装形態では、メモリ（５２２）は、ＱＣカード（５００）がメモリ（５２２）へのアクセスを制御する点、鍵が暗号化形態でメモリ（５２２）に格納される点、および／またはメモリ（５２２）が物理的な改ざんに抵抗する点でセキュアメモリである。メモリ（５２２）は、一体化された光学モジュール（５１０）と一緒に製造されても、ＱＣカード（５００）内に別個に配置されてもよい。

電源（５８０）は、電力を供給してレーザ、変調器、およびＡＰＤ（５１７）を動作温度まで冷却する。ＱＣカード（５００）が基地局から電力を引き出すとき、電源（５８０）を迂回してもよく、電源を使用してＱＣカード（５００）の電池（図示せず）を再充電してもよい。

光ファイバコネクタ（５３２）は、ＱＣカードの一体化された光学モジュール（５１０）に光学的に結合されている。光ファイバコネクタ（５３２）は、ＱＣ用の単一光子パルス、ＱＣ制御／同調用のブライトパルス、および光ファイバ上のその他のパルスを伝達して出力する。言い換えれば、ＱＣカード（５００）が基地局に結合されると、光ファイバコネクタ（５３２）が一体化された光学モジュール（５１０）を基地局の光ファイバ接続部に光学的に結合する。あるいは、ＱＣカード（５００）は、ＱＣカード（５００）と基地局との間の自由空間送信を使用して基地局に光学的に結合され、かつＱＣカード（５００）は、そのような自由空間送信向けに構成されたコネクタを含む。

電気的／機械的コネクタ（５３４）は、電源（５８０）に電気的に結合され、場合によっては、一体化された光学モジュール（５１０）またはＱＣカード（５００）の他のモジュールに直接結合される。電気的／機械的コネクタ（５３４）は、ＱＣカード（５００）を基地局に機械的に取り付け、基地局から電力を引き出すように構成されている。この電力を使用して１つまたは複数の一体化された光学モジュール（５１０）への電力の供給、ＱＣカードの電池の再充電、および／または１つもしくは複数の一体化された光学モジュール（５１０）の動作温度までの冷却を実施してもよい。あるいは、電気的／機械的コネクタ（５３４）は電気コネクタと機械的コネクタに分離され、または電気的／機械的コネクタ（５３４）は光ファイバコネクタ（５３２）と組み合わされる。電気的コネクタを基地局との有線接続を通じて電力を引き出すように構成してもよい。あるいは、電気的コネクタを基地局との無線接続を通じて電力を引き出すように構成してもよい。例えば、ＱＣカード（５００）はその電気的コネクタの一部としてコイルを含み、基地局の充電パッドは、ＱＣカード（５００）が充電パッド上に位置するときに電磁誘導によって電力を伝送する対応するコイルを含む。この場合、機械的接続が可能になるように、ＱＣカード（５００）の全体的な形状を充電パッド内に嵌るように構成してもよい。フィルガンとして使用できるように、ＱＣカード（５００）は、別のデバイスに１つまたは複数の鍵を送信できるようにＱＣカードをそのデバイスに結合するように構成された別のコネクタ（図示せず）を含んでもよく、または光ファイバコネクタ（５３２）をそのような送信に使用してもよい。

バイオメトリックリーダ（５４０）は、ユーザのバイオメトリック証印を受け入れるように構成されたスキャナまたはその他のモジュールである。例えば、バイオメトリックリーダ（５４０）は指紋スキャナである。プロセッサ／ＦＰＧＡ（５２０）は、セキュアメモリ（５２２）に格納されている鍵を用いてバイオメトリック証印を暗号化する論理を含んでよい。あるいは、１つまたは複数の他の暗号化モジュール（図示せず）がそのような暗号化機能を実現してもよい。

タッチスクリーンディスプレイ（５５０）は、ユーザ認証の一部としてバイオメトリック証印と一緒に暗号化することのできる（例えば、数値キーパッドへの）ユーザ入力を受け入れる。タッチスクリーンディスプレイ（５５０）はまた、ユーザに情報（例えば、メモリ（５２２）内の量子鍵の数、通信信頼機関と連絡を取って量子鍵を作成することを求めるプロンプト、互いに安全な通信を開始することを求めるプロンプト、または別の機能に関するプロンプト）を表示し、ユーザ入力を受け入れてＱＣカード（５００）を制御する。あるいは、ＱＣカード（５００）は別の種類のユーザ入力デバイスおよび／またはユーザ出力デバイスを含む。

一体化された光学モジュール（５１０）の外側において、携帯デバイス用の標準的な構成要素によってＱＣカード（５００）の機能モジュールの大部分を実現してもよい。一体化された光学モジュール（５１０）のうちで、多くのモジュール（例えば、減衰器（５１４）、モニタＡＰＤ（５１７）、スプリッタ（５１６）およびＡＰＤ弁別器ハイブリッド（５１８））を光ファイバ通信用の標準的な構成要素によって実現してもよい。他の機能モジュール（例えば、ＦＰＧＡ）は、（１）光ファイバ変調器と一緒に特定の偏光状態を生成し、（２）通信信頼機関がＱＣを実施する際にタイミング変動および時間変動を追跡できるように、ＧＰＳ（５９０）および発振器または原子時計によって定められる既知のパターンを有する厳密にタイミングが図られたＱＣパルスおよびブライトパルスの生成を調整し、（３）タイミングシステムおよびＡＰＤ（５１７）を使用してパルス当たり平均光子数を監視し、（４）ＡＰＤバイアス、ゲーティングおよび弁別器（５１８）電子機器を制御し、（５）例えば、従来のＱＣプロトコル制御要素を処理して偏光状態情報を追跡し、補正し、交換するために従来のＱＣ送信機と一緒に使用されている既存のＱＫＤ制御構成要素によって実現されてもよい。一体化された光学モジュール（５１０）は、低コストの製造が可能になるように単一の基板上に実現されても、別々の基板上に実現されてもよい。

図５に示されているＱＣカード（５００）は、ＱＣ送信機を実現するモジュールを含む。代替的実施形態では、ＱＣカードは、ＱＣ受信機を実現するモジュールを含み、通信信頼機関を実現するコンピューティングデバイスはＱＣ送信機用のモジュールを含む。ＱＣカードは、量子チャネルとしての光ファイバを介した通信の一部として、１つまたは複数の鍵を作成するときに量子状態の変調が測定されるバイナリ情報を受信する。例えば、ＱＣカードは、図５のＱＣカード（５００）と同様に、バイオメトリックリーダ、電源、タッチスクリーンディスプレイ、およびコネクタを含む。ＱＣカードは、フィルタをＱＣ送信機の狭周波数レーザ出力に較正し、ＱＣ送信機からのブライトパルスおよび単一光子パルスについてパルスパターンを一致させ、ブライトパルスが受信されたときに単一光子検出器がオフになり、ブライトパルスが多光子検出器に光学的に切り替えられるように、パルスレートおよびクロックフェーズに応じてＱＣの単一光子パルス用の光子検出器のゲーティングを同期させるＱＣ受信機モジュールを含む。最後に、ＱＣカードは、ＱＣ受信機として動作できるように構成された、プロトコル論理を含むプロセッサ／ＦＰＧＡも含む（動作の詳細については、通信信頼機関のＦＰＧＡの説明を参照されたい）。

図５に示されているＱＣカード（５００）は、光ファイバを介した通信向けに構成されている。代替的実施形態では、ＱＣカードは、通信信頼機関との自由空間を介したＱＣ向けに構成される。例えば、ＱＣカードは、携帯電話塔またはその他の位置における受信機端末に自由空間を通じて光子を伝送する。この目的を実現するために、ＱＣカードを、ＱＣカードに電力を供給する基地局に結合し、受信機端末への送信が可能になるようにＱＣカードの位置を揃えてもよい。受信機端末は、ＱＣカードから光子を収集し、リモート通信信頼機関に接続された光ファイバに案内するが、この場合、複雑な光学機器が必要になり、情報が失われることがある。あるいは、ＱＫＤが可能になるように、受信機端末としては、ＱＣ受信および／またはＱＣ送信用の機器を含む信頼性の高い中間ノードが用いられている。受信機端末とＱＣカードは、自由空間を介したＱＫＤによって量子鍵を生成する。受信機端末と通信信頼機関も、ファイバ接続を介したＱＫＤによって量子鍵を生成する。受信機端末は次いで、レイトン−ミカリプロトコルの変形例またはその他のプロトコルを使用してランダムに生成された秘密鍵を（ＱＣカードと受信機端末との間のＱＫＤから得られた量子鍵を使用して）ＱＣカードに伝達するとともに、（受信機端末と通信信頼機関との間のＱＫＤから得られた量子鍵を使用して）通信信頼機関に伝達する。ＱＣカードと中央通信信頼機関は次いで、秘密鍵を使用できるように格納する。

２．一体化された光学モジュールの例示的な実装形態
図６ａ〜図６ｃは、ＱＣカード用の一体化された光学モジュールの例示的な実装形態（６００、６０１、６０２）を示している。図６ａに示されている実装形態（６００）では、テレコムレーザ（６１０）が、アイソレータ（６１２）および結合光学機器（６１４）を通じて導波管またはファイバ（６１６）に案内される光子を放出する。導波管またはファイバ（６１６）は、ファイバコネクタ（６９０）に結合された光ファイバ（６８８）に光子を伝送する。テレコム検出器（６１８）は、従来の光通信の一部としてファイバコネクタ（６９０）を通じて受信された光子を検出する。

量子レーザ（６５０）は、アイソレータ（６５２）および結合光学機器（６５４）を通じて導波管（６５５）に案内される光子を放出する。スイッチ（６５６）は、導波管（６５５）を減衰器（６６０）と可変減衰器（６６２）と偏光コントローラ（６７０）とを含む別の導波管に選択的に係合する。例えば、スイッチ（６５６）は、マッハ−ツェンダー干渉計の出力ポートを交換することによって実現されてもよい。この場合、図６ａに示されているスイッチ出力はどちらも実際には同じ出力であるが、スイッチ（６５６）が投入されたときに、消光比は約２７ｄＢだけ変化する。これによって、レーザ輝度が高速の単一ステップによって著しく変化する。より一般的には、スイッチ（６５６）は可変減衰器として働く。

導波管は、ファイバコネクタ（６９０）に結合された光ファイバ（６８８）に減衰された光子パルスを伝送する。複数の導波管の接合部の所で、サーキュレータ（６８３）が、光伝搬方向に応じて光をある導波管から別の導波管に送る。ファイバコネクタ（６９０）からの光はテレコム検出器（６１８）に送られ、テレコムレーザ（６１０）または量子レーザ（６５０）からの光はファイバコネクタ（６９０）の方へ送られる。サーキュレータ（６８５）は同様に、光伝搬方向に応じて光をファイバからファイバへと送る。

プロトコル論理（図示せず）は、可変減衰器（６６２）を制御して量子レーザ（６５０）から単一光子パルスを生成する。プロトコル論理は、偏光コントローラ（６７０）を制御して単一光子パルスの偏光状態を変調し、それによってＱＣ用の乱数のビットを符号化する。例えば、量子レーザ（６５０）は（ファイバ送信向けの１３１０ｎｍまたは１５５０ｎｍのような）適切なテレコム波長で動作し、偏光コントローラ（６７０）はニオブ酸リチウム変調器である。あるいは、量子レーザ（６５０）は（自由空間送信向けの７８０ｎｍのような）適切な別の波長で動作し、および／または偏光コントローラ（６７０）はガリウムヒ素（ＧａＡｓ）変調器である。量子状態情報が対角基底状態および円状基底状態で符号化される場合、偏光変調器ではなく、移相変調器を使用して偏光を対角から左回りに変更するか、または偏光を反対角から右回りに変更してもよい。最後に、図６ａは偏光コントローラ（６７０）から分離された量子レーザ（６５０）を示しているが、この代わりに、量子レーザ（６５０）と偏光コントローラ（６７０）／変調器を、場合によっては同じモジュール内に振幅変調器を含めてより密に一体化してもよい。

光子検出器（６８２）は、量子レーザ（６５０）のパルス当たり光子数を測定する。プロトコル論理は、光子検出器（６８２）からのフィードバックを使用して可変減衰器（６６２）を制御してもよい。別の光子検出器（６８４）をＱＣフィードバックのために使用してもよい。例えば、第１の光子検出器（６８２）は、量子レーザ（６５０）をテレコムレーザ（６１０）と相互運用することができるように量子レーザ（６５０）のシステム較正および正規化に使用され、第２の光子検出器（６８４）は、量子レーザ（６５０）からのパルスが単一光子パルスであるかどうかを評価するのに使用される単一光子検出器である。いくつかの実装形態では、光子検出器（６８２、６８４）はＩｎＧａＡｓ検出器である。

熱電気冷却構成要素（図示せず）は、レーザ（６１０、６５０）および光子検出器（６８２、６８４）を適切な動作温度まで冷却する。

図６ａは、２つのレーザを示している。あるいは、実装形態（６００）は、単一のレーザをテレコムレーザ（６１０）と量子レーザ（６５０）の両方として使用する。この場合、減衰器（６６２）は、量子レーザとしての動作を可能にする単一光子パルスとテレコムレーザとしての動作を可能にするブライトパルスとの切替えを容易にする。図６ｂおよび図６ｃに示されているように、さらなる可変減衰器を追加してそのような切替えを容易にしてもよい。

構成要素の多くは、図６ａ〜図６ｃの各実装形態（６００、６０１、６０２）において同じである。特に明記しないかぎり、図６ａ〜図６ｃにおいて同じ参照符号を有する構成要素については、図６ａに関する上記の説明が図６ｂおよび図６ｃにも当てはまる。

図６ｂの実装形態（６０１）には、図６ａのスイッチ（６５６）がないが、量子レーザ（６５０）を事実上離脱させるのに使用することのできるさらなる可変減衰器（６６４）を含む。図６ｃの実装形態（６０２）にもスイッチ（６５６）がなく、さらなる可変減衰器（６６４）を含む。図６ｃは、ルーティングおよび光学機器の別の変形例を示している。図６ｃの実装形態（６０２）は、導波管（光ファイバではない）と、導波管（６５５）を光学的にファイバコネクタ（６９０）に結合する結合光学機器（６８８）のみを含む。図６ｃの実装形態（６０２）における導波管は、サーキュレータ（６８３、６８５）の代わりに、光が必要に応じて送られるように形作られている。

３．ＱＣカードを有する例示的なモバイルデバイス
図７は、全体的に（７０２）に示されている様々なハードウェア構成要素およびソフトウェア構成要素を含む例示的なモバイルデバイス（７００）を示すシステム図である。モバイルデバイス内のあらゆる構成要素（７０２）が他の構成要素と通信することができる。ただし、図示を容易にするために、全ての接続が示されているわけではない。このモバイルデバイスは、様々なコンピューティングデバイス（例えば、携帯電話、スマートフォン、ハンドヘルドコンピュータ、パーソナルデジタルアシスタントなど）のいずれであってもよく、セルラネットワークまたは衛星ネットワークのような１つまたは複数のモバイル通信網（７０４）による無線２方向通信を可能にするものであってよい。

特に、モバイルデバイス（７００）は、ＱＣカード（７７０）と、量子鍵を格納するセキュアメモリ（７７２）とを含む。例えば、ＱＣカード（７７０）は、図５を参照して説明したＱＣカード（５００）の変形例であり、モバイルデバイス（７００）は、タッチスクリーンディスプレイ、バイオメトリックリーダ、およびＧＰＳモジュール（ＱＣカード（７７０）に含まれるそのような構成要素に代わる構成要素）を含む。

図示のモバイルデバイスは、信号符号化、データ処理、入出力処理、電力制御、および／またはその他の機能のようなタスクを実行するコントローラまたはプロセッサ（７１０）（例えば、信号プロセッサ、マイクロプロセッサ、ＡＳＩＣ、または他の制御処理論理回路）を含んでもよい。オペレーティングシステム（７１２）は、構成要素（７０２）の割当ておよび使用並びに１つまたは複数のアプリケーションプログラム（７１４）のサポートを制御することができる。アプリケーションプログラムは、共通モバイルコンピューティングアプリケーション（例えば、ｅメールアプリケーション、カレンダー、コンタクトマネージャ、ウェブブラウザ、メッセージングアプリケーションを含む）または任意の他のコンピューティングアプリケーションを含んでもよい。いくつかのシナリオでは、アプリケーションプログラムは、セキュアメモリ（７７２）格納されている量子鍵のうちの１つまたは複数を使用して、モバイルデバイス（７００）に伝達される情報の暗号化および／または解読を行う。

図示のモバイルデバイスはメモリ（７２０）を含んでもよい。メモリ（７２０）には非リムーバブルメモリ（７２２）および／またはリムーバブルメモリ（７２４）を含めてもよい。非リムーバブル（７２２）には、ＲＡＭ、ＲＯＭ、フラッシュメモリ、ディスクドライブ、またはその他の公知のメモリストレージ技術を含めてもよい。リムーバブルメモリ（７２４）には、フラッシュメモリ、またはＧＳＭ（登録商標）通信システムにおいて公知の加入者識別モジュールカード、またはその他の公知のメモリストレージ技術を含めてもよい。メモリ（７２０）は、オペレーティングシステム（７１２）およびアプリケーション（７１４）を実行するためのデータおよび／またはコードを格納するのに使用されてもよい。例示的なデータには、１つもしくは複数の有線ネットワークもしくは無線ネットワークを介して１つもしくは複数のネットワークサーバもしくはその他のモバイルデバイスとの間で送受信されるウェブページ、テキスト、画像、音声ファイル、映像データ、またはその他のデータセットを含めてよい。

モバイルデバイスは、タッチスクリーン（７３２）、マイクロフォン（７３４）、カメラ（７３６）、物理的キーボード（７３８）および／またはトラックボール（７３９）のような１つまたは複数の入力デバイス（７３０）と、スピーカ（７５２）およびディスプレイ（７５４）のような１つまたは複数の出力デバイス（７５０）とをサポートしてもよい。タッチスクリーン（７３２）および／またはカメラ（７３６）は、バイオメトリックリーダ用の機能を実現してもよく、またはモバイルデバイス（７００）は専用のバイオメトリックリーダ（７４０）を含んでもよい。考えられる他の出力デバイス（図示せず）には圧電出力デバイスまたはその他の触角出力デバイスを含めてもよい。いくつかのデバイスは複数の入出力機能を実行してもよい。例えば、タッチスクリーン（７３２）とディスプレイ（７５４）を単一の入出力デバイスとして組み合わせてもよい。

無線モデム（７６０）はアンテナ（図示せず）に結合されてもよく、当技術分野においてよく理解されているようにプロセッサ（７１０）と外部デバイスとの間の２方向通信をサポートしてもよい。モデム（７６０）は総体的に示されており、モバイル通信網（７０４）と通信するセルラモデムおよび／または無線ベースモデム（例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）またはＷｉ−Ｆｉ）を含めてもよい。無線モデム（７６０）は通常、単一のセルラネットワーク内のデータ通信および音声通信、セルラネットワーク同士の間のデータ通信および音声通信、またはモバイルデバイスと公衆交換電話網との間のデータ通信および音声通信用のＧＳＭネットワークのような１つまたは複数のセルラネットワークとの通信が可能になるように構成される。

モバイルデバイスは、少なくとも１つの入出力ポート（７８０）、電源（７８２）、ＧＰＳ受信機などの衛星ナビゲーションシステム受信機（７８４）、アクセレロメータ（７８６）、（アナログ信号またはデジタル信号を無線送信するための）トランシーバ（７８８）、並びに／またはＵＳＢポート、ＩＥＥＥ１３９４（ファイアウォール）ポートおよび／もしくはＲＳ−２３２ポートであってもよい物理的コネクタ（７９０）をさらに含んでもよい。図示の構成要素（７０２）は、必須のものでも包括的なものでもなく、構成要素を削除するかまたは他の構成要素を追加してもよい。セキュアメモリ（７７２）に格納されている量子鍵は、モデム（７６０）、ポート（７８０）、トランシーバ（７８８）または物理的コネクタ（７９０）を使用したパブリックチャネルを介した非量子通信において送信または受信される情報の暗号化および／または解読を行うのに使用されてもよい。

Ｃ．例示的な基地局
図８は、図５を参照して説明したＱＣカード（５００）のようなＱＣカードに結合されるように構成された汎用基地局（８００）を示している。図８に示されている基地局（８００）は、ＱＣカードに光学的および電気的に結合され、通信信頼機関とのＱＣ用のネットワーク接続を確立する基本構成要素を含む「ダム」端末である。

基地局（８００）は、基地局を通じたＱＣカードと通信信頼機関との間のＱＣの一部として量子チャネルにおいて情報を伝達するネットワーク接続部（８７０）を含む。例えば、ネットワーク接続部（８７０）は、量子チャネルにおけるＱＣに非専用光ファイバを使用し、ネットワーク接続部（８７０）は、ＱＣカードと通信信頼機関との間のパブリックチャネルにおける非量子通信にも非専用光ファイバを使用する。あるいは、ネットワーク接続部（８７０）は通信信頼機関との別の種類の光接続を使用する。

基地局（８００）は、ＱＣカードと通信信頼機関との間のＱＣ用のＱＣカードに結合されるように構成されたコネクタを含む。特に、基地局（８００）は、ＱＣカードが基地局（８００）に結合されるときに基地局（８００）のネットワーク接続部（８７０）にＱＣカードを光学的に結合するように構成された光ファイバコネクタ（８３２）を含む。あるいは、ＱＣカードは、ＱＣカードと基地局（８００）との間の自由空間送信を使用して基地局（８００）に光学的に結合され、基地局（８００）はそのような自由空間送信向けに構成されたコネクタを含む。

基地局（８００）は、ＱＣカードを基地局（８００）に機械的に取り付ける電気的／機械的コネクタ（８３４）も含む。コネクタ（８３４）は、ＱＣカードが基地局（８００）に結合されるときに電源（８８０）を通じてＱＣカードに電力を供給する。図８は、電気的コネクタおよび機械的コネクタを光ファイバコネクタ（８３２）とは別にまとめて単一のコネクタ（８３４）として示しているが、その代わりに、電気的コネクタ、光ファイバコネクタ、および機械的コネクタは、３つのコネクタとして分離されても、単一のコネクタとして組み合わされてもよい。電気的コネクタは、有線接続を通じてＱＣカードに電力を供給するように構成されてもよい。あるいは、電気的コネクタは、無線接続を通じてＱＣカードに電力を供給するように構成されてもよい。例えば、ＱＣカードはコイルを含み、基地局（８００）の充電パッドは、ＱＣカードが充電パッド上に位置するときに電磁誘導によって電力を伝送する基地局（８００）の電気的コネクタの一部としての対応するコイルを含む。この場合、機械的接続が可能になるように、基地局（８００）の全体的な形状を、ＱＣカードが充電パッド内に嵌るように構成してもよい。

基地局（８００）が「ダム」端末である実装形態では、基地局（８００）は、通信信頼機関とのファイバ接続を確立し、（例えば、ＱＣカードに電力を供給し、ＱＣカードの電池を再充電するために）ＱＣカードに電力を供給し、そのため、基地局には簡素で安価な設計が施されている。ＱＣカードと通信信頼機関によってシステムセキュリティが実現されるので、基地局がセキュリティ機能を実現する必要はない。

代替的実施形態では、基地局は、基地局に結合された通信信頼機関とＱＣカードとの間のＱＫＤ用のさらなる機能を実現する構成要素を含む信頼性の高い端末または部分的に信頼性の高い端末である。基地局は、信頼性の高い端末として、通信信頼機関とのＱＫＤを実行し、ＱＣカードを使用して通信信頼機関によりユーザが認証されたときにＱＣカードに鍵をアップロードする。このＱＣカードは、もはやＱＣ構成要素を有していないのでずっと小型でかつ安価であってもよい。

基地局は、部分的に信頼性の高い端末として、光子レベル監視、タイミング制御のようなサービスを実施する。例えば、基地局は、パルス当たり光子数を監視するように構成された光子検出器と、ＱＣ用のレーザによって生成されるパルスのタイミングおよびパターンを制御するように構成されたプログラム可能な論理とを含む。プログラム可能な論理は、タイミング、非量子通信、および／またはその他の目的のために別のレーザによって生成されるパルスを制御するように構成されてもよい。ＱＣカードは、ＱＣ送信を有効化するように部分的に信頼性の高い基地局に結合されるが、ＱＣカードは、ダム端末に結合されるように構成されたＱＣカードよりもずっと小型でかつ安価であってもよい。しかし、ＱＣカードは、部分的に信頼性の高い端末モデルではセキュリティが低い。部分的に信頼性の高い基地局にアクセスできる敵対者は、基地局に、より傍受または盗聴を受けやすい光子パルスをＱＣカードに送信させることができる。

Ｄ．ＱＣカードとのＱＫＤ向けに構成された例示的な通信信頼機関
図９は、ＱＣカードとのＱＫＤ向けに構成された通信信頼機関を実現する汎用コンピューティングシステム（９００）を示している。上位では、コンピューティングシステム（９００）はコネクタと、光学モジュールと、量子鍵を格納するメモリとを含む。

図９において、光学モジュールは、非専用光ファイバを介した通信向けに構成されている。量子チャネルとしての光ファイバを介したＱＣの場合、光学モジュールは、基地局に結合されたＱＣカードのＱＣ送信機から受信されたバイナリ情報の量子状態の変調を測定する。光学モジュールは、光ファイバ上のパブリックチャネルにおいて情報を送受信するように構成されたネットワークトランシーバも実現する。

光ファイバコネクタ（９３２）はコンピューティングシステム（９００）の光学モジュールを光学的に光ファイバ接続部に結合する。コネクタ（９３２）は、ＱＣ用の単一光子パルス、ＱＣ制御／同調用のブライトパルス、および光ファイバを介して受信されたその他のパルスをファイバスプリッタ（９１６）またはスプリッタに伝達する。（図９は、単純なスプリッタ（９１６）を示しているが、スプリッタは、以下にプロセッサ／ＦＰＧＡ（９２０）を参照して説明する高度なルーティングゲーティング論理を実現してもよい。）ＱＣ用の単一光子パルスはＡＰＤ（９１７）によって受信され、偏光計が単一光子パルスの量子状態を測定する。他のパルス（例えば、タイミング、同期、同調、従来の光ファイバ通信などのブライトパルス）は、従来の光ファイバ受信が可能になるように別のＡＰＤ（９１８）または他の検出器（図示せず）によって受信される。

ドライバ電子機器を含むレーザ変調器（９１２）は、従来の送信機としてパルスを生成する。コンピューティングシステム（９００）は、レーザによって、パブリックチャネルとしての光ファイバを介した非量子通信において情報（例えば、ＱＫＤにおける測定基底に関する情報、その他のＱＫＤプロトコル情報、通信信頼機関からの非秘密鍵情報）を送信する。

プロトコル論理を含むプロセッサ／ＦＰＧＡ（９２０）は、ユーザ認証に関する動作を制御する。例えば、パブリックチャネルとしての光ファイバを介した従来の送信によって、ユーザ認証に関する暗号化されたメッセージがＱＣカードから受信されると、プロセッサ／ＦＰＧＡ（９２０）は、メモリ（９２２）に事前に格納されている鍵を求め、その鍵を使用してメッセージを解読する。プロセッサ／ＦＰＧＡ（９２０）は、メッセージの内容を分析し（例えば、ユーザの、格納されているバイオメトリック証印、ＰＩＮ、その他の識別情報、などと内容を比較し）、適宜ユーザを認証する。

プロセッサ／ＦＰＧＡ（９２０）はまた、ＱＣプロトコルに関する動作を制御し、基地局に結合されたＱＣカードと一緒に量子鍵を生成し、次いで量子鍵をユーザに関連付けてメモリ（９２２）に格納する。例えば、プロセッサ／ＦＰＧＡ（９２０）は、偏光計を制御してＱＣのパルス当たり量子状態を測定し、測定された量子状態および測定基底を記録する。プロセッサ／ＦＰＧＡ（９２０）は、ＱＣ送信／受信の後に、記録された測定基底を送信しＱＣカードからＱＣプロトコル制御要素を受信する、光ファイバを介したＱＣカードとの非量子通信における情報の交換を制御する。プロセッサ／ＦＰＧＡは、ＱＣプロトコル制御要素を処理して量子鍵を求める。具体的には、プロセッサ／ＦＰＧＡ（９２０）は、ＱＣ受信および従来のトランシーバ機能を有効化するために、ＱＣ用に生成される単一光子パルスのタイミングおよびパターン並びにタイミングおよび／または非量子通信用に生成されるブライトパルスに従って光学モジュールを制御する。例えば、プロセッサ／ＦＰＧＡ（９２０）は、ＱＣ送信機の狭周波数レーザ出力にフィルタを較正し、ＱＣ送信機からのブライトパルスおよび単一光子パルスについてパルスパターンを一致させ、ブライトパルスが受信されたときに単一光子検出器がオフになり、ブライトパルスが多光子検出器に光学的に切り替えられるように、パルスレートおよびクロックフェーズに応じてＱＣの単一光子パルス用の光子検出器のゲーティングを同期させる。

プロセッサ／ＦＰＧＡ（９２０）は、量子鍵を使用する安全なマルチパーティ通信プロトコルに関する動作を制御してもよい。例えば、プロセッサ／ＦＰＧＡ（９２０）は、動作を制御して、格納されている量子鍵によってセッション鍵を生成して暗号化するか、または通信信頼機関との前のＱＫＤから得られた量子鍵を有するデバイスに非秘密材料を配送する。

メモリ（９２２）は、少なくとも部分的にＱＣに基づいて生成された１つまたは複数の鍵を格納する。例えば、メモリ（９２２）は、ＱＣカードと通信信頼機関との間のＱＫＤにおいて生成された量子鍵を格納する。メモリ（９２２）は、場合によっては、ユーザによってインデックス付けされた複数のユーザデバイス用の量子鍵を格納する。メモリ（９２２）は、所与のユーザを認証するために使用される事前に用意された初期秘密鍵のような他の鍵を格納してもよい。いくつかの実装形態では、メモリ（９２２）は、コンピューティングシステム（９００）がメモリ（９２２）へのアクセスを制御する点、鍵が暗号化形態でメモリ（９２２）に格納される点、および／またはメモリ（９２２）が物理的な改ざんに抵抗する点でセキュアメモリである。

図９に示されているコンピューティングシステム（９００）は、ＱＣ受信機を実現するモジュールを含む。代替的実施形態では、通信信頼機関用のコンピューティングシステムは、ＱＣ送信器を実現するモジュールを含む。ＱＣ送信機は、基地局に結合されたＱＣカードとのＱＣの一部として量子チャネルにおいて情報を送信する。例えば、通信信頼機関用のコンピューティングシステムには従来のＱＣ送信機が含まれる。

図９に示されているコンピューティングシステム（９００）は、光ファイバを介した通信向けに構成されている。代替的実施形態では、通信信頼機関を実現するコンピューティングシステムは、ＱＣカードとの自由空間を介したＱＣ向けに構成されている。

Ｅ．光ファイバのＱＣおよび非ＱＣへの使用例
図１０は、同じ光ファイバをＱＣと非量子通信の両方に使用する汎用技術（１０００）を示している。第１のデバイスが第２のデバイスと通信する際に技術（１０００）を実施する。例えば、第１のデバイスはＱＣカードであり、第２のデバイスは、通信信頼機関を実現するコンピューティングシステムである。あるいは、これらの役割が交換され、第１のデバイスが、通信信頼機関を実現するコンピューティングシステムであり、第２のデバイスがＱＣカードである。

第１のデバイスは、第２のデバイスとの非量子通信において、光ファイバ上のパブリックチャネルにおいて通信する（１０１０）。第１のデバイスは、第２のデバイスとのＱＣにおいて、同じく光ファイバ上の量子チャネルにおいて通信する（１０２０）。量子チャネルにおける情報内容は量子状態（例えば、単一光子パルスの偏光状態）で符号化される。パブリックチャネルにおける情報内容は、光ファイバを介したネットワーク通信用の従来の非量子技術を使用して符号化される。第１のデバイスと第２のデバイスは、例えばＱＣプロトコルに従ったＱＫＤによって１つまたは複数の鍵を生成する。第１のデバイスは次いで、結果として得られた鍵のうちの１つまたは複数を格納する。

第１のデバイスが小型化されたＱＣ送信機を含むＱＣカードであり、第２のデバイスが、通信信頼機関を実現するコンピューティングシステムであるとき、ＱＣカードは、パブリックチャネルにおいて情報を送受信し、かつＱＣカードは、通信信頼機関とのＱＣには量子チャネルにおいて情報を送信する。例えば、光ファイバ上のパブリックチャネルにおける非量子通信では、（１）ＱＣが始まる前に、ＱＣカードは、ＱＣカードのユーザを認証できるようにする暗号化された識別情報を通信信頼機関に送信し、（２）ＱＣが終了してから１つまたは複数の鍵が完成するまでの間に、ＱＣカードは、通信信頼機関との間でＱＣプロトコル要素を送受信し、（３）１つまたは複数の鍵が完成した後で、ＱＣカードは、ＱＣカードが格納している少なくとも１つの鍵と一緒に使用できる情報を受信する。

一方、第１のデバイスが、通信信頼機関を実現するコンピューティングシステムであり、第２のデバイスが、小型化されたＱＣ送信機を有するＱＣカードであるとき、通信信頼機関を実現するコンピューティングシステムは、パブリックチャネルにおいて情報を送受信し、コンピューティングシステムは、ＱＣカードとのＱＣについては量子チャネルにおいて情報を受信する。例えば、光ファイバ上のパブリックチャネルにおける非量子通信では、通信信頼機関を実現するコンピューティングシステムは、（１）ＱＣが始まる前に、ＱＣカードのユーザを認証できるようにする暗号化された識別情報を受信し、（２）ＱＣが終了してから１つまたは複数の鍵が完成するまでの間に、ＱＣカードとの間でＱＣプロトコル要素を送受信し、（３）１つまたは複数の鍵が完成した後で、コンピューティングシステムが格納している少なくとも１つの鍵と一緒に使用できる情報を送信する。

ＩＩＩ．量子鍵配送後の安全なマルチパーティ通信
共有秘密セッション鍵を確立することは、安全な通信の主要な目的である。共有秘密セッション鍵を使用すると、ユーザは機密性を確立し、ユーザのメッセージの真正性を検証することができる。複数のプロトコル（例えば、ニーダム−シュレーダー、シャウプ−ルービン）が、Ｎ人のユーザの安全な通信網用の共有秘密セッション鍵を確立する方法を実現する。そのようなプロトコルでは、各ユーザは、通信信頼機関と共有される事前に用意された秘密の長期鍵を有する。ユーザの対が、通信信頼機関とのさらなる通信によって、その長期鍵からアルゴリズムに従って鍵暗号化鍵を導き出す。次いで、鍵暗号化鍵を使用してユーザの対同士の間で秘密セッション鍵を確立する。

長期鍵を安全に配送すると問題が生じることがある。実際、長期鍵は、アウトバンド管理によって配送するか、宅配便によって配送するか、または長期鍵を直接配送できるように各ユーザにユーザのデバイスを通信信頼機関に物理的に近接させることによって配送することができる。長期鍵を配送するこのような方法は、厄介であり、障害を受けやすい。あるいは、長期鍵の配送に公開鍵暗号化を使用してもよいが、公開鍵暗号化はアーカイブアタックを受けやすい。

さらに、長期鍵の配送に加えて、鍵暗号化鍵が長期鍵からアルゴリズムに従って導き出されるので、これらのプロトコルはフォワードセキュリティが不十分である。長期鍵が漏洩するか、または長期鍵から鍵暗号化鍵を導き出すのに使用される暗号化アルゴリズムが破壊された場合、既知の前の鍵から後続の鍵を予測することができるので、後続の鍵の秘匿性は保証されない。

後述のプロトコルはＱＫＤを使用してユーザに鍵を配布する。長期鍵をアウトバンド管理によって事前に用意したり、宅配便によって事前に用意したり、公開鍵暗号化によって事前に用意したり、物理的に近接させて配送することによって事前に用意したりする必要はない。その代わり、各ユーザは、通信信頼機関と共有される事前に用意された短期認証鍵を有する。短期認証鍵は、ユーザと通信信頼機関との間の第１のＱＫＤセッションにおいてユーザを認証するのに使用される。第１のＱＫＤセッションが完了した後、もはや短期認証鍵を秘密にする必要はなくなり、第１のＱＫＤセッションにおいて生成された共有秘密ビットの小さな一部と置き換えて新しい認証鍵を形成してもよい。新しい認証鍵は、次のＱＫＤセッションの開始時にユーザを認証するのに使用されたり、別の認証鍵と置き換えられたりする。

ＱＫＤセッションにおいて生成された共有秘密ビットの残りは、従来のプロトコルにおける長期鍵および鍵暗号化鍵の役割を果たす。これらの鍵は、暗号鍵と呼ばれ、これらの暗号鍵を使用してユーザ同士の間でメッセージを暗号化／解読するための安全なセッション鍵を作成してもよい。暗号鍵は、暗号鍵はランダムに生成されるビットであるので、認証鍵からのアルゴリズム継承を有さない。さらなるオンデマンドＱＫＤセッションによって、強力なフォワードセキュリティを用いて暗号鍵を頻繁にかつ柔軟に更新することができる。さらに、ＱＫＤセッションにおけるＱＣは受動的な監視または盗聴を受けにくく、従って、暗号鍵および新しい認証鍵はアーカイブアタックを受けない。

要するに、従来のプロトコルとは異なり、新しい認証鍵がＱＫＤにおいて生成されるので、ユーザは長期秘密鍵を保護する必要がない。暗号鍵（および暗号鍵を使用して交換される共有セッション鍵）を強力なフォワードセキュリティを用いて頻繁に交換してもよい。フォーマットセキュリティが強力であり、認証鍵および暗号鍵の使用／交換時の利点が増大するので、セキュリティ違反の危険にさらされるデータの量は、従来のプロトコルにおいて長期鍵または鍵暗号化鍵が漏洩することによって危険にさらされるデータと比べてずっと少なくなる。

ＱＫＤ後の安全なマルチパーティ通信のための上述の技術およびツールは、ＱＣカードを含むユーザデバイスおよび／またはＱＣカードから鍵を受信するユーザデバイスによって実現されてもよい。また、前述の技術およびツールを他のユーザデバイス、例えば、通信信頼機関との従来のＱＫＤによって鍵を取得するデバイスによって実現されてもよい。

Ａ．通信信頼機関とユーザとの間のＱＫＤのための例示的なプロトコル
図１１は、安全なマルチパーティ通信用の鍵を確立するための通信信頼機関と１つまたは複数のユーザデバイスとの間のＱＫＤを含む例示的な汎用プロトコル（１１００）を示している。複数のユーザの各々は、プロトコル（１１００）によって、通信信頼機関とのポイントツーポイントＱＫＤを実行してフォワード秘匿性を有する鍵を確立する。通信信頼機関はまた、他のユーザの鍵を導き出すことのできる非秘密参照テーブルを各ユーザに供給する。ユーザ間ＱＫＤは必要ではないが、ユーザ間通信ではＱＫＤの利益および利点の多くが保持される。

図９は、第１のユーザデバイス（「ユーザデバイス１」）と通信信頼機関との間の動作を詳細に示している。通信信頼機関とＮ個のユーザデバイスｉ（１≦ｉ≦Ｎ）の各々との間で認証動作およびＱＫＤ動作が繰り返される。あるいは、通信信頼機関は、フィルガンとして働くデバイスと一緒に鍵を確立し、最終的に、１つまたは複数のユーザデバイスとの安全なマルチパーティ通信が可能になるようにその鍵をユーザデバイスに配送する。一般性を失わないように、説明の都合上、プロトコル（１１００）の動作についてはユーザデバイスに関連して説明する。

第１のユーザデバイスは、ユーザ用のバイオメトリック証印Ｂを受信する。例えば、バイオメトリック証印は指紋スキャンデータである。ユーザデバイスは、バイオメトリック証印の代わりにまたはバイオメトリック証印に加えて、個人識別番号のキーストローク入力を受け入れて暗号化してもよい。

第１のユーザデバイスは、暗号化アルゴリズムＥ［ａ；ｂ］を使用してバイオメトリック証印Ｂを暗号化する。例えば、第１のユーザデバイスは、通信信頼機関とのＱＫＤの第１のセッションに事前に用意された短い認証鍵ＡＫ_０（１）を使用する。暗号化アルゴリズムＥ［ａ；ｂ］は、ＡＥＳ（非特許文献３参照）または別の暗号化アルゴリズムのような、鍵ｂを含む情報ａの対称鍵暗号化アルゴリズムであってもよい。一般に、暗号化された認証情報は、公衆網などの非秘密ネットワークを介して送信される。

通信信頼機関は、暗号化された認証情報を受信し、その情報を適切なアルゴリズム（例えば、対称鍵暗号化アルゴリズム）および第１のユーザデバイスの事前に用意された認証鍵ＡＫ_０（１）を使用して解読する。通信信頼機関は、受信された認証情報を第１のユーザ用の事前に供給された識別情報と比較し、適宜ユーザを認証する。

ユーザが認証されたと仮定すると、第１のユーザデバイスと通信信頼機関は、ＱＫＤを実行し、解析されて鍵に変換される秘密の乱数ビットシーケンスを生成する。例えば、ユーザデバイスと通信信頼機関は、互いに独立したＮ−１個の秘密の暗号鍵と互いに独立したＮ−１個の秘密の鍵導出鍵を生成し、これらの鍵は、ユーザデバイスと通信信頼機関によって共有され、かつ通信信頼機関およびユーザデバイスにおけるセキュアメモリに格納される。例示的な実装形態では、共有されるビットシリーズは、通信信頼機関とユーザデバイスｉの両方によって解析され以下の鍵に変換される。
ｊ≠ｉの場合のＮ−１個の暗号鍵Ｋ（ｉ，ｊ）、
ｊ≠ｉの場合のＮ−１個の鍵導出鍵Ｌ（ｉ，ｊ）、
鍵認証鍵Ｍ（ｉ）、および
新しい認証鍵ＡＫ_ｘ（ｉ）

暗号鍵Ｋ（ｉ，ｊ）、鍵導出鍵Ｌ（ｉ，ｊ）、および鍵認証鍵Ｍ（ｉ）は、鍵当たり２５６ビットを有するか、または鍵当たりに他のあるビット数を有してもよい。図１１は、第１のユーザデバイス用の共有暗号鍵Ｋ（１，ｊ）、導出鍵Ｌ（１，ｊ）、鍵認証鍵Ｍ（１）、および新しい認証鍵ＡＫ_１（１）の配送を示している。暗号鍵Ｋ（１，ｊ）、鍵導出鍵Ｌ（１，ｊ）、および鍵認証鍵Ｍ（１）は、後述のように使用される。もはや第１のユーザデバイスの初期鍵認証鍵ＡＫ_０（１）を秘密にしておく必要はない。第１のユーザデバイスの初期鍵認証鍵ＡＫ_０（１）は、ＱＫＤにおいて生成され、通信信頼機関との将来のＱＫＤにおいてユーザを認証するのに使用される新しい認証鍵ＡＫ_１（１）と置き換えられる。

長期鍵をアウトバンド管理によって準備するか、宅配便によって準備するか、または物理的に近接させることによって準備する必要のある従来の手法とは異なり、ＱＫＤは、事前に用意された短い秘密の認証鍵ＡＫ_０（ｉ）から、通信信頼機関およびユーザｉによって共有される新しい秘密のビット列を生成するほとんど制約されない能力を実現する。また、Ｋ（ｉ，ｊ）、Ｌ（ｉ，ｊ）、Ｍ（ｉ）、およびＡＫ_ｘ（ｉ）の新しい秘密ビット列は、事前に用意された認証鍵ＡＫ_０（ｉ）に対するアルゴリズム依存性を有さない。

図１１に示されているプロトコル（１１００）によれば、通信信頼機関は、１つまたは複数の他のユーザデバイスの各々に対して認証およびＱＫＤを繰り返す。従って、各ユーザｉ（１≦ｉ≦Ｎ）は、事前に用意された自分の認証鍵ＡＫ_０（ｉ）を使用して、通信信頼機関とのＱＫＤセッションを確立し、通信信頼機関と一緒に共有される鍵を確立する。

通信信頼機関は、Ｎ個のユーザデバイスとのＱＫＤに続いて、Ｎ個のユーザデバイス用の暗号鍵Ｋ（ｉ，ｊ）、鍵導出鍵Ｌ（ｉ，ｊ）、および鍵認証鍵Ｍ（ｉ）を格納し、Ｎ個のユーザデバイスｉの各々は、そのユーザデバイスｉ用の暗号鍵Ｋ（ｉ，ｊ）、鍵導出鍵Ｌ（ｉ，ｊ）、および鍵認証鍵Ｍ（ｉ）を格納する。通常、鍵はセキュアメモリに格納される。例えば、５つのユーザデバイスがある場合、通信信頼機関は、以下のように暗号鍵および鍵導出鍵を格納する。

各ユーザデバイスｉは、各表の１つの列における暗号鍵および鍵導出鍵を格納する。

図１１を参照する。通信信頼機関は、対鍵Ｐ（ｉ，ｊ）および鍵認証値Ａ（ｉ，ｊ）を求める。各対鍵および各鍵認証値は、ユーザデバイスｉとユーザデバイスｊとの間のペアワイズ通信に特有の鍵である。例示的な実装形態では、通信信頼機関は、鍵Ｐ（ｉ，ｊ）および鍵認証値Ａ（ｉ，ｊ）を以下のように算出する。

上式において、

は、ビット単位ＸＯＲ演算を示し、Ｈ［ａ；ｂ］は、鍵ｂを含む入力ａの鍵付きハッシュ関数である。例えば、鍵付きハッシュ関数Ｈ［ａ；ｂ］はＨＭＡＣ−ＳＨＡ−２５６（非特許文献４参照）またはその他の鍵付きハッシュ関数のような鍵付き暗号ハッシュ関数である。対鍵および鍵認証値はそれぞれ、２５６ビットまたは他のある数のビットを有してもよい。通信信頼機関は、対鍵および鍵認証値を２つの参照テーブルとしてまたは他のデータ構造によって構成してもよい。例えば、５つのユーザデバイスがある場合、通信信頼機関は、上記に示した暗号鍵および鍵導出鍵から以下のように対鍵および鍵認証値を求める。

対鍵Ｐ（ｉ，ｊ）および鍵認証値Ａ（ｉ，ｊ）を秘密にしておく必要はない。概して、通信信頼機関は、対鍵Ｐ（ｉ，ｊ）および鍵認証値Ａ（ｉ，ｊ）を公衆網のような安全でないネットワークを介してそれぞれのユーザデバイスに配送できるようにする。所与のユーザデバイスｉは、それが使用する対鍵Ｐ（ｉ，ｊ）および鍵認証値Ａ（ｉ，ｊ）を取り込む。例えば、図１１の第１のユーザデバイスは、第１のユーザデバイスに特有の対鍵Ｐ（１，ｊ）および鍵認証値Ａ（１，ｊ）を取り込む。ユーザデバイスは、対鍵および鍵認証値を取り込んで、通信信頼機関がオフラインであってもユーザデバイス同士の間の以後の通信時に使用できるように格納する。あるいは、通信信頼機関が、ユーザデバイス同士の間の以後の通信時にオンラインである場合、ユーザデバイスｉは通信時にデバイスｉ用の対鍵および鍵認証値を取り込むか、またはユーザデバイスｉからユーザデバイスｊへの通信に特有の鍵および認証値のみをオンラインの通信信頼機関から取り込んでもよい。

後述のように、ユーザデバイスｉは、自分の鍵導出鍵Ｌ（ｉ，ｊ）および通信信頼機関から配布された対鍵Ｐ（ｉ，ｊ）から、別のユーザデバイスｊがユーザデバイスｉと通信する際に使用する暗号鍵Ｋ（ｊ，ｉ）を導き出してもよい。ユーザデバイスｉは、自分の鍵認証鍵Ｍ（ｉ）および通信信頼機関から供給された鍵認証値Ａ（ｉ，ｊ）から、暗号鍵Ｋ（ｊ，ｉ）が真正であることを検証してもよい。ユーザデバイスｊは同様に、ユーザデバイスｉの暗号鍵Ｋ（ｉ，ｊ）を導き出して認証してもよい。この２つのユーザデバイスは、一方または両方の暗号鍵を使用して、２つのユーザデバイス間の通信用の１つまたは複数の共有秘密セッション鍵を確立してもよい。

暗号鍵および鍵導出鍵は、ＱＫＤによって生成されるので、互いに独立しており、事前に用意された秘密鍵に依存しない。そのため、図１１に示されているプロトコル（１１００）は、マルチパーティ通信のための従来のプロトコルよりも優れた強力なフォワードセキュリティを実現する。さらに、ユーザデバイスと通信信頼機関との間の将来のＱＫＤセッションにおいて新しい暗号鍵および鍵導出鍵を生成してもよい。さらに、通信信頼機関によって通信網にさらなるユーザを追加してもよい。この目的を実現するために、通信信頼機関は、新たに判定されるユーザデバイスに使用される所与のユーザデバイスｉ用の特別な暗号鍵および鍵導出鍵を割り当てて、新しいユーザデバイスが追加されるときにその新しいユーザデバイスとのＱＫＤによってそれらの暗号鍵および鍵導出鍵を配送し、配送される対鍵および鍵認証値を更新してもよい。

Ｂ．ユーザ同士の間の安全な通信のための例示的なプロトコル
例示的な実装形態では、ユーザデバイスｉは、ユーザデバイスｊとの安全な通信を確立できるように、ユーザデバイスｉの鍵導出鍵Ｌ（ｉ，ｊ）および対鍵Ｐ（ｉ，ｊ）を使用してユーザデバイスｊの暗号鍵Ｋ（ｊ，ｉ）を導き出す。ユーザデバイスｉは暗号鍵Ｋ（ｊ，ｉ）を以下のように算出する。

例えば、第１のユーザデバイス（ｉ＝１）が第４のユーザデバイス（ｉ＝４）との安全な通信の確立を試みると仮定する。第１のユーザデバイスは、鍵導出鍵Ｌ（１，４）および対鍵Ｐ（１，４）から暗号鍵Ｋ（４，１）を導き出す。上記の表に示されている例示的な鍵の場合、鍵導出鍵Ｌ（１，４）はｌ_１，４であり、対鍵Ｐ（１，４）は

である。第１のユーザデバイスは暗号鍵Ｋ（４，１）を以下のように算出する。

この演算の結果はｋ_４，１、すなわちＫ（４，１）である。

ユーザデバイスｉは、ユーザデバイスｊに関して導き出された暗号鍵Ｋ（ｊ，ｉ）を認証してもよい。例えば、ユーザデバイスｉはその鍵認証鍵Ｍ（１）および暗号鍵Ｋ（ｊ，ｉ）からチェック値を算出する。
チェック＿値＝Ｈ［Ｋ（ｊ，ｉ）；Ｍ（ｉ）］

上式において、Ｈ［ａ；ｂ］は、通信信頼機関も使用する鍵付きハッシュ関数を示している。ユーザデバイスｉは次いで、チェック値を通信信頼機関からユーザデバイスｉに供給された基準認証値Ａ（ｉ，ｊ）と突き合わせる。値同士が一致した場合、暗号鍵Ｋ（ｊ，ｉ）は真正である。例えば、第１のユーザデバイス（ｉ＝１）は、暗号鍵Ｋ（４，１）を認証する場合、チェック値Ｈ［Ｋ（４，１）；Ｍ（１）］を計算する。上記の表に示されている例示的な鍵の場合、暗号鍵Ｋ（４，１）はｋ_４，１であり、鍵認証値Ａ（１，４）はＨ［ｋ_４，１；Ｍ（１）］である。第１のユーザデバイスは、チェック＿値＝Ｈ［ｋ_４，１；Ｍ（１）］を計算し、チェック値を基準値Ａ（１，４）と比較する。

ユーザデバイスｉおよびｊは次いで、ユーザデバイスｉとユーザデバイスｊとの間で安全な通信を行えるように１つまたは複数の暗号鍵を使用する。通常、安全な通信は、公衆網のような安全でないネットワークを介して行われる。図１２ａおよび図１２ｂは、ユーザデバイスｉおよびユーザデバイスｊが暗号鍵を使用するのを可能にする２つの代替的動作モードを示している。図１２ａおよび図１２ｂでは、この２つのユーザデバイスは第１のユーザデバイス（ｉ＝１）および第４のユーザデバイス（ｉ＝４）である。

図１２ａは、２つのユーザデバイスがどのように第１の動作モード（１２００）に従って暗号鍵を使用して安全な通信を確立するかを示している。第１の動作モード（１２００）において、第１のユーザデバイスは、第４のユーザデバイスの暗号鍵Ｋ（４，１）を導き出して認証する。第４のユーザデバイスは同様に、第１のユーザデバイスの暗号鍵Ｋ（１，４）を導き出して認証する。より一般的には、ユーザデバイスｉがユーザデバイスｊの暗号鍵Ｋ（ｊ，ｉ）を導き出して認証し、ユーザデバイスｊがユーザデバイスｉの暗号鍵Ｋ（ｉ，ｊ）を導き出して認証する。

図１２ａでは、第１のユーザデバイスが暗号鍵Ｋ（４，１）を使用して第４のユーザデバイスへのメッセージを暗号化し、第４のユーザデバイスが暗号鍵Ｋ（４，１）を使用してこのメッセージを解読する。第４のユーザデバイスは、暗号鍵Ｋ（１，４）を使用して第１のユーザデバイスへのメッセージを暗号化し、第１のユーザデバイスは暗号鍵Ｋ（１，４）を使用してこのメッセージを解読する。あるいは、第１のユーザデバイスと第４のユーザデバイスとの間で暗号鍵の役割が交換される（すなわち、第１のユーザデバイスが送信メッセージの暗号化に鍵Ｋ（１，４）を使用し、第４のユーザデバイスが送信メッセージの暗号化に鍵Ｋ（４，１）を使用する）。その場合も、ユーザデバイスにメッセージを送信しそのユーザデバイスからメッセージを受信する際に様々な鍵が使用される。他の代替実施形態として、両方のユーザデバイスが暗号化と解読の両方に一方の暗号鍵のみを使用し（例えば、第１のユーザデバイスと第４のユーザデバイスが暗号鍵Ｋ（４，１）のみを使用し）、すなわち、第４のユーザデバイスが暗号鍵Ｋ（１，４）を導き出す必要はない。使用される暗号鍵は、どのユーザデバイスが通信セッションを開始するかに応じて決まってもよい。いずれの場合も、第１の動作モード（１２００）では、ユーザデバイスは１つまたは複数の暗号鍵を直接１つまたは複数のセッション鍵として使用してメッセージを暗号化／解読する。

第１のユーザデバイスと第４のユーザデバイスは、ＡＥＳまたはその他の暗号化アルゴリズムのような対称鍵暗号化アルゴリズムであってよい暗号化アルゴリズムＥ［ａ；ｂ］を使用する。暗号化アルゴリズムは、ＱＫＤの前に認証情報を交換するのに使用される暗号化アルゴリズムと同じであっても、異なる暗号化アルゴリズムであってもよい。

第１の動作モード（１２００）に関する１つの問題は、ユーザデバイスｉとユーザデバイスｊとの間の様々なセッションにおいて暗号鍵Ｋ（ｉ，ｊ）が再使用されることである。（暗号鍵Ｋ（ｉ，ｊ）が再使用されると、通信が暗号化アルゴリズムＥ［ａ；ｂ］に対する従来の攻撃を受けやすくなる。）この問題に対処するために、通信信頼機関が（トランスペアレントファイバネットワークなどにおいて）オンラインである場合、ユーザデバイスｉおよびユーザデバイスｊは、各通信セッションの前に、フォワードセキュリティを有する新しい暗号鍵および鍵導出鍵を生成してもよい。これによって、任意の所与の鍵によって暗号化されるデータの量が少なくなる。

一方、通信信頼機関がオフラインである場合（一方のユーザデバイスが衛星であるか、または鍵が通信信頼機関からＱＣカードに配布されるときなど）、暗号鍵および鍵導出鍵を置き換える頻度を減らしてもよい。従って、通信信頼機関は、所与のＱＫＤセッションにおけるユーザデバイスｉおよびユーザデバイスｊに特有の単一の鍵Ｋ（ｉ，ｊ）および単一の鍵Ｌ（ｉ，ｊ）を配送するのではなく、ユーザデバイスｉおよびユーザデバイスｊに特有の複数の暗号鍵Ｋ（ｉ，ｊ）および複数の暗号鍵Ｌ（ｉ，ｊ）を配送する。例えば、図１２ａの第１のユーザデバイスはそれぞれの複数の暗号鍵Ｋ（１，４）、複数の鍵導出鍵Ｌ（１，４）、および複数の対応する対鍵Ｐ（１，４）を受信する。複数の鍵をユーザデバイスｉとユーザデバイスｊとの間の複数の異なる通信セッションに使用してもよく、または単一の通信セッション内で確立されたパターンに従って使用してもよい（例えば、ｘ分またはｘバイトの情報に使用する）。この場合も、任意の所与の鍵によって暗号化されるデータの量が少なくなる。

図１２ｂは、２つのユーザデバイスがどのように第２の動作モード（１２５０）に従って暗号鍵を使用して安全な通信を確立するかを示している。図１２ｂでは、第１のユーザデバイスが通信セッションを開始する。第１のユーザデバイスは、第４のユーザデバイスの暗号鍵Ｋ（４，１）を導き出して認証する。第１のユーザデバイスは、セッション鍵Ｓ（１，４）を生成し、第４のユーザデバイスの導き出された暗号鍵Ｋ（４，１）を使用してセッション鍵Ｓ（１，４）を暗号化する。より一般的には、ユーザデバイスｉがユーザデバイスｊの暗号鍵Ｋ（ｊ，ｉ）を導き出して認証し、セッション鍵Ｓ（ｉ，ｊ）を生成し、ユーザデバイスｊの暗号鍵Ｋ（ｊ，ｉ）を使用してセッション鍵Ｓ（ｉ，ｊ）を暗号化する：
Ｅ［Ｓ（ｉ，ｊ）；Ｋ（ｊ，ｉ）］

暗号化アルゴリズムＥ［ａ；ｂ］は、ＡＥＳまたはその他の暗号化アルゴリズムのような対称鍵暗号化アルゴリズムであってよい。暗号化アルゴリズムは、ＱＫＤの前に認証情報を交換するのに使用される暗号化アルゴリズムと同じであっても、異なる暗号化アルゴリズムであってもよい。

ユーザデバイスｊは、暗号化されたセッション鍵を受信し、暗号鍵Ｋ（ｊ，ｉ）を使用して解読し、その場合、セッション鍵は、ユーザデバイスｊの暗号鍵Ｋ（ｊ，ｉ）を使用してユーザデバイスｉから得られていることが保証されている。図１２ｂでは、第４のユーザデバイスが暗号化されたセッション鍵Ｅ［Ｓ（１，４）；Ｋ（４，１）］を受信し、暗号鍵Ｋ（４，１）を使用して解読する。あるいは、ユーザデバイスｊが通信を開始し、ユーザデバイスｉとユーザデバイスｊの役割が第２の動作モード（１２５０）において切り替えられる。あるいは、通信セッションを開始するユーザデバイスｉが、その暗号鍵Ｋ（ｉ，ｊ）を使用してセッション鍵を暗号化し、他のユーザデバイスｊが鍵Ｋ（ｉ，ｊ）を導き出してセッション鍵を回復する。

いずれの場合も、２つのユーザデバイスｉおよびユーザデバイスｊは、２つのユーザデバイス間の安全な通信において、共有セッション鍵を使用してメッセージを暗号化し解読する。図１２ｂでは、第１のユーザデバイスと第４のユーザデバイスは、２つのユーザデバイス間でセッション鍵Ｓ（１，４）を使用してメッセージを暗号化し解読する。将来の通信セッションのために、または第１の通信セッションにおける定められた期間の後でセッション鍵を切り替えるために、２つのユーザデバイスｉおよびユーザデバイスｊは新しい共有セッション鍵を確立してもよい。第１の動作モード（１２００）と比べて、第２の動作モード（１２５０）では、暗号化されるのがセッション鍵だけなので、所与の暗号鍵によって暗号化されるデータの量を大幅に減らすことができる。そのため、第２の動作モード（１２５０）は、ユーザデバイスがその暗号鍵および鍵導出鍵を置き換えるための通信信頼機関とのＱＫＤを頻繁に実行することができないシナリオにおいて有用である。しかし、第１の動作モード（１２００）とは異なり、暗号鍵が損傷した場合、（単一のセッションだけではなく）複数のセッションのセキュリティが脅かされる。また、このモードでのセッション鍵の管理は、通信信頼機関ではなく、セッションを開始するユーザデバイスによって行われる。

Ｃ．ＱＫＤによって安全なマルチパーティ通信を行うための汎用技術
図１３は、安全なマルチパーティ通信が可能になるように鍵を配送する通信信頼機関と１つまたは複数のユーザデバイスとの間の鍵配送のための汎用技術（１３００）を示している。通信信頼機関を実現するコンピューティングシステムがこの技術（１３００）を実現する。

通信信頼機関は、通信信頼機関とユーザとの間に信頼関係を確立する（１３１０）。例えば、通信信頼機関は、ユーザから供給されたバイオメトリック証印および／または個人識別情報（例えば、ＰＩＮ）を使用してユーザを認証し、信頼関係を確立する。いくつかの実装形態では、バイオメトリック証印および／または個人識別情報は、パブリックチャネルを介して通信信頼機関に送信される前に暗号化される。暗号化では、事前に用意された秘密鍵が使用され、この秘密鍵は、ＱＫＤの結果として得られ後続のＱＫＤセッションの前の認証において使用される別の秘密鍵によって置き換えられてもよい。あるいは、通信信頼機関は別の機構を使用して信頼関係を確立する。

信頼関係が確立された後、通信信頼機関は、通信信頼機関とユーザとの信頼関係の下でのＱＫＤによって１つまたは複数の量子鍵を配送する（１３２０）。このＱＫＤでは、１つまたは複数の量子鍵は、ユーザのユーザデバイスに直接配布されてもよい。あるいは、１つまたは複数の量子鍵は、後でこれらの量子鍵をユーザのユーザデバイスに配布するフィルガンデバイスに配布されてもよい。ＱＫＤによって配送される量子鍵は、ランダムに生成され、従って、ユーザごとに異なると仮定される。各量子鍵は、文字通りの意味で一連の２進値である。量子鍵の定義は、量子鍵が使用されるシナリオに依存する。例示的なシナリオについて以下に説明する。

通信信頼機関（１３３０）は、上記の動作を別のユーザのＱＫＤについて繰り返すべきであるかどうかを判定し、繰り返すべきである場合、別のユーザとの信頼関係を確立する（１３１０）ことによって続行する。このように、通信信頼機関は、安全なマルチパーティ通信を行ううえでユーザ（ユーザデバイス）によって使用される様々な量子鍵を配送する。

それに続いて、通信信頼機関は、通信信頼機関によって配送された量子鍵に少なくとも部分的に基づいて１つまたは複数の複合鍵を求める（１３４０）。特に、通信信頼機関は、第１のユーザ（第１のユーザデバイス）用に配送された量子鍵および第２のユーザ（第２のユーザデバイス）用に配送された量子鍵から複合鍵を求め、この複合鍵は、第１のユーザデバイスと第２のユーザデバイスとの間の通信向けに構成される。例えば、第１のユーザデバイスは、この複合鍵を第１のユーザデバイス用に配送された量子鍵と組み合わせて使用して、第２のユーザデバイス用に配送された量子鍵を求めてもよい。複合鍵は、文字通りの意味で一連の２進値である。複合鍵の定義は、複合鍵が生成され使用されるシナリオに依存する。例示的なシナリオについて以下に説明する。

通信信頼機関は、１つまたは複数の複合鍵をユーザデバイスに配送できるようにする（１３５０）。このように、通信信頼機関は、ユーザデバイス同士の間で直接ＱＫＤが行われないときでも、それぞれのユーザ同士の間の安全な通信を促進する。複合鍵を構成し配布する方法は実装形態によって決まる。例えば、複合鍵は、ウェブまたは別のパブリックチャネルを介した非秘密配送に利用できる参照テーブルとして構成される。あるいは、複合鍵を秘密にする必要がないにもかかわらず、複合鍵のうちのいくつかまたは全てが非パブリックチャネルを介してそれぞれのユーザデバイスに配布される。あるいは、複合鍵は、別の機構を使用して構成および／または配布される。

いくつかのシナリオでは、第１のユーザ（第１のユーザデバイス）用の量子鍵は鍵導出鍵であり、第２のユーザ（第２のユーザデバイス）用の量子鍵は第２のユーザデバイス用の暗号鍵である。例えば、図１１を参照して説明した例示的なプロトコルに関しては、鍵導出鍵はユーザデバイス１用の鍵Ｌ（１，２）であり、暗号鍵はユーザデバイス２用の鍵Ｋ（２，１）である。複合鍵は、Ｌ（１，２）およびＫ（２，１）のビット単位ＸＯＲとして算出される対鍵Ｐ（１，２）である。あるいは、複合鍵は、別の機構を使用して求められる。概して、任意の２つのユーザデバイスの場合、暗号鍵を有するユーザデバイスと鍵導出鍵を有するユーザデバイスの役割を切り替えて、どちらのユーザデバイスが他方の暗号鍵を導き出すかを変更してもよい。

他のシナリオでは、第１のユーザ（第１のユーザデバイス）用の量子鍵は、第１の鍵導出鍵と、第１のデバイス用の暗号鍵とを含む。第２のユーザ（第２のユーザデバイス）用の量子鍵は、第２の鍵導出鍵と、第２のデバイス用の暗号鍵とを含む。通信信頼機関は、第１の鍵導出鍵および第２のユーザデバイス用の暗号鍵から第１の複合鍵を求め、かつ第２の鍵導出鍵および第１のユーザデバイス用の暗号鍵から第２の複合鍵を求める。例えば、図１１を参照して説明した例示的なプロトコルに関しては、第１の量子鍵はユーザデバイス１用のＬ（１，２）およびＫ（１，２）を含み、第２の量子鍵はユーザデバイス２用のＬ（２，１）およびＫ（２，１）を含む。対鍵Ｐ（１，２）はＬ（１，２）およびＫ（２，１）のビット単位ＸＯＲであり、対鍵Ｐ（２，１）はＬ（２，１）およびＫ（１，２）のビット単位ＸＯＲである。あるいは、複合鍵は別の機構を使用して求められる。その後、第１のユーザデバイスは、第１の複合鍵および第１の鍵導出鍵から第２のユーザデバイスの暗号鍵を求めてもよい。同様に、第２のユーザデバイスは、第２の複合鍵および第２の鍵導出鍵から第１のユーザデバイスの暗号鍵を求めてもよい。

これらのシナリオのいずれでも、配送される量子鍵の数を増やしてより多くのユーザおよびユーザデバイスとの通信に対処してもよい。通信信頼機関は、ネットワークにさらなるユーザが追加されたときに複合鍵を更新してもよい。通信信頼機関は、必要に応じてユーザに新しい量子鍵を再配布し、それに応じて複合鍵を更新してもよい。

通信信頼機関は、複合鍵を求めて配送するだけでなく、ユーザデバイスを認証するための鍵認証鍵および鍵認証値を配送してもよい。例えば、ユーザ用に配送される量子鍵にはユーザ（ユーザデバイス）用の鍵認証鍵が含まれる。図１１を参照して説明した例示的なプロトコルに関しては、Ｍ（１）は、ユーザデバイス１用の量子鍵における鍵認証鍵の一例であり、Ｍ（２）は、ユーザデバイス２用の量子鍵における鍵認証鍵の一例である。通信信頼機関は、配送可能にされる１つまたは複数の鍵認証値を作成する。例えば、通信信頼機関は、あるユーザデバイス用の鍵認証鍵の暗号化ハッシュ関数および別のユーザデバイス用の暗号鍵を使用して鍵認証値を求める。あるいは、鍵認証値は別の機構を使用して作成される。その後、第１のユーザデバイスは、その鍵認証鍵および鍵認証値を使用して、他のユーザデバイスに関して導き出した暗号鍵の値を検査してもよい。

図１４は、複数のユーザデバイス間の安全なマルチパーティ通信のための汎用技術（１４００）を示している。第１のユーザデバイスは、通信信頼機関とユーザとの信頼関係の下での通信信頼機関とのＱＫＤから得られた１つまたは複数の量子鍵を取り込む（１４１０）。例えば、第１のユーザデバイスは、第１のユーザデバイスのセキュアメモリまたはストレージから１つまたは複数の量子鍵を取り込む。いくつかの実装形態では、１つまたは複数の量子鍵は、通信信頼機関と第１のユーザデバイス自体との間のＱＫＤから得られる。他の実装形態では、１つまたは複数の量子鍵は、通信信頼機関とフィルガンデバイスとの間のＱＫＤから得られ、フィルガンはその後、１つまたは複数の量子鍵を第１のユーザデバイスに配布する。量子鍵の定義は、量子鍵が使用されるシナリオに依存する。例示的なシナリオについて以下に説明する。

ＱＫＤの前に、ユーザデバイスは、ユーザを認証するための情報を通信信頼機関に供給してもよい。例えば、ユーザデバイスは、ユーザから供給されたバイオメトリック証印および／または個人識別情報（例えば、ＰＩＮ）を受信し、受信された材料を暗号化し、暗号化された材料をパブリックチャネルを介して通信信頼機関に送信する。この暗号化では、ＱＫＤの結果として得られ、ユーザデバイスが後続のＱＫＤセッションの前の認証において使用される別の秘密鍵と置き換える、事前に用意された秘密鍵を使用してもよい。あるいは、ユーザデバイスは、別の機構を使用して通信信頼機関との信頼関係を確立する。いずれの場合も、認証およびＱＫＤは、ユーザデバイスが安全な通信を可能にする技術（１４００）を実施するよりもずっと前に完了させることができる。

再び図１４を参照する。第１のユーザデバイスはまた、取り込まれた量子鍵および別のユーザデバイス用の鍵に少なくとも部分的に基づく複合鍵を取り込む（１４２０）。例えば、第１のユーザデバイスは、複合鍵をユーザデバイスのストレージから取り込むか、またはウェブもしくは別のパブリックチャネルを介してネットワークリソースから取り込む。複合鍵は、通信信頼機関から配布されて第１のユーザデバイスに格納されるか、または通信の前にオンラインの通信信頼機関から要求されてもよい。上記に図１３を参照して説明したように、複合鍵を構成し配布する方法は実装形態によって決まる。複合鍵の定義は、複合鍵が生成され使用されるシナリオに依存する。例示的なシナリオについて以下に説明する。

第１のユーザデバイスは次いで、取り込まれた１つまたは複数の量子鍵および複合鍵に少なくとも部分的に基づいて他のユーザデバイスと通信する（１４３０）。特に、第１のユーザデバイスは、複合鍵および取り込まれた量子鍵から他のユーザの鍵を導き出し、次いで他のユーザデバイスの鍵を使用する。従って、複合鍵は、２つのユーザデバイス間でＱＫＤを行わないときでも２つのユーザデバイス間の安全な通信を促進する。

いくつかのシナリオでは、第１のユーザデバイスの取り込まれた量子鍵は鍵導出鍵であり、第１のユーザデバイスは、鍵導出鍵および複合鍵を使用して他のユーザデバイス用の鍵を求める。例えば、図１２ａおよび図１２ｂを参照して説明した例示的なプロトコルに関しては、ユーザデバイス１は、ユーザデバイス２用の暗号鍵Ｋ（２，１）を鍵導出鍵Ｌ（１，２）および対鍵Ｐ（１，２）のビット単位ＸＯＲとして求める。あるいは、第１のユーザデバイスは、他の機構を使用して他のデバイス用の鍵を求める。

第１のユーザデバイスは、他のユーザデバイスの鍵を求めた後、ランダムなセッション鍵を生成し、求められた鍵を使用してセッション鍵を暗号化し、暗号化されたセッション鍵を他のユーザデバイスに送信する。他のユーザデバイスはセッション鍵を解読し、２つのユーザデバイスは、セッション鍵を使用して暗号化されたメッセージを交換する。あるいは、他のユーザデバイスは、セッション鍵を生成し、このユーザデバイス自体の鍵を使用してセッション鍵を暗号化し、暗号化されたセッション鍵を第１のユーザデバイスに配布し、第１のユーザデバイスが、他のユーザデバイスの導き出された鍵を使用してセッション鍵を解読する。概して、任意の２つのユーザデバイスの場合、鍵導出鍵を有するユーザデバイスと他のユーザデバイスの役割を切り替えて、どちらのユーザデバイスが他のユーザデバイスの暗号鍵を導き出すかを変更してもよい。

他のシナリオでは、第１のユーザによって取り込まれる量子鍵は、鍵導出鍵と暗号鍵とを含む。実際、２つのユーザデバイスの各々はそれ自体の鍵導出鍵およびそれ自体の暗号鍵を取り込み、次いで、取り込まれた鍵導出鍵および複合鍵から他方のユーザデバイスの暗号鍵を求める。各ユーザデバイスは、他方のユーザデバイスの暗号鍵をこのように求めた後、２つの暗号鍵の一方を使用して他方のユーザデバイスへの送信メッセージを暗号化し、他方の暗号鍵を使用して他方のユーザデバイスからの受信メッセージを解読する。

他のシナリオでは、第１のユーザデバイスによって取り込まれる量子鍵には複数の他のユーザデバイスの各々の異なる鍵が含まれる。第１のユーザデバイスは、グループセッション鍵を求め、グループセッション鍵を暗号化し、暗号化されたグループセッション鍵を他のユーザデバイスの各々に配送する。以下のセクションでは、グループセッション鍵の配送に関する例示的なプロトコルについて説明する。

いくつかの実装形態では、第１のユーザデバイスによって取り込まれる量子鍵には鍵認証鍵も含まれる。第１のユーザデバイスは、他のユーザデバイスの導き出された鍵を認証するために、通信信頼機関によって利用可能にされ、基準として使用される鍵認証値を取り込む。第１のユーザデバイスは、その鍵認証値および他のユーザデバイスの導き出された鍵から第１のユーザデバイス自体の鍵認証値を求める。例えば、第１のユーザデバイスは、暗号化ハッシュ関数を使用して鍵認証値を求める。あるいは、第１のユーザデバイスは、別の機構を使用して鍵認証値を求める。第１のユーザデバイスは次いで、取り込まれた基準値を新たに求められた値と比較し、それらの値が一致するかどうかを検査する。

Ｄ．グループ鍵確立のための例示的なプロトコル
いくつかの実装形態では、安全なマルチパーティ通信のための上述のプロトコルは、ユーザのグループが論理鍵階層原則を使用してグループセッション鍵を確立するのを可能にするように拡張される。Ｎ個のユーザデバイスのグループの場合、Ｎ個のユーザデバイスの各々が通信信頼機関とのＱＫＤから鍵を得る。Ｎ個のユーザデバイスの１つがグループリーダーとして指定される。グループリーダーは、グループ鍵を生成し、グループの他の各メンバー用の暗号鍵Ｋ（ｊ，ｉ）を導き出す（またはグループリーダーの暗号鍵Ｋ（ｉ，ｊ）をグループの他のメンバーに使用する）。グループリーダーは、グループの他の各メンバーについて、適切な暗号鍵を使用してグループ鍵を暗号化し、暗号化されたグループ鍵を他のメンバーに送信する。他のメンバーは、その暗号鍵Ｋ（ｊ，ｉ）を使用してグループ鍵を解読する（またはグループリーダーの暗号鍵Ｋ（ｉ，ｊ）を導き出して使用する）。グループのメンバーは次いで、グループ内で安全な通信が可能になるように、グループ鍵を共有セッション鍵として使用してメッセージを暗号化し解読する。

例えば、グループが、通信信頼機関とのＱＫＤを実行した１０人のメンバーＩ_１〜Ｉ_１０を有すると仮定する。共通グループ鍵を確立するためにメンバーの１人（例えば、Ｉ_１０）がグループリーダーとして指定される。グループリーダーＩ_１０はグループ鍵を生成し、グループの他のメンバー用の暗号鍵Ｋ（ｊ，Ｉ_１０）を導き出す。グループリーダーは、他のデバイスのそれぞれの暗号鍵を使用してグループ鍵を暗号化し、暗号化されたグループ鍵を他のデバイスに送信し、他のデバイスが、グループ鍵をグループ内の安全な通信に使用できるように解読する。

個々のグループメンバーとグループリーダーとの間のペアワイズ通信の場合、グループリーダーは、リーダー以外の各グループメンバーに１つずつ個々の鍵を生成してもよい。グループリーダーは、これらの個々の鍵を適切な暗号鍵Ｋ（ｊ，ｉ）（またはＫ（ｉ，ｊ））によって暗号化し、暗号化されたグループ鍵と一緒に他のメンバーに配布する。

グループリーダーは、メンバーがグループから去るときに新しいグループ鍵を配送するプロセスを簡略化するために、グループメンバーをさらにサブグループに分割し、それぞれのサブグループ用のサブグループ鍵を生成し、他の各メンバーに配布するのに適切なサブグループ鍵を暗号化する。例えば、グループリーダーＩ_１０は残りのメンバーＩ_１〜Ｉ_９を３つのサブグループ、ＳＧ１＝｛Ｉ_１，Ｉ_２，Ｉ_３｝、ＳＧ２＝｛Ｉ_４，Ｉ_５，Ｉ_６｝、およびＳＧ３＝｛Ｉ_７，Ｉ_８，Ｉ_９｝に分割する。グループリーダーＩ_１０は３つのサブグループ鍵を生成する。グループリーダーＩ_１０は、他のメンバーの各々について、他のメンバーｊを含むサブグループに適切なサブグループ鍵を選択し、メンバーｊに適切な暗号鍵Ｋ（ｊ，Ｉ_１０）（または鍵Ｋ（Ｉ_１０，ｊ））によってサブグループ鍵を暗号化し、暗号化されたサブグループ鍵をグループ鍵と一緒にまたは別個にメンバーｊに配布する。サブグループ鍵を他のサブグループに対して安全なサブグループ内の通信に使用してもよい。

メンバーＩ_１がグループを去る場合、残りのメンバーは新しいグループ鍵を得る。メンバーＩ_２およびＩ_３は新しいサブグループＳＧ１’を形成し、同じく新しいサブグループ鍵を得る。グループリーダーＩ_１０は、新しいグループ鍵を生成し、かつ新しいサブグループＳＧ１’用の新しいサブグループ鍵を生成する。グループリーダーＩ_１０は、それぞれメンバーＩ_２およびメンバーＩ_３に適切な個々の鍵を使用して、新しいグループ鍵および新しいサブグループ鍵を暗号化してサブグループＳＧ１’の各メンバーに送信する。グループリーダーＩ_１０はまた、新しいグループ鍵を暗号化してサブグループＳＧ２の各メンバーおよびサブグループＳＧ３の各メンバーに送信する。これを実施するために、グループリーダーＩ_１０は、それぞれのメンバーＩ_４〜Ｉ_９に適切な個々の鍵を使用するかまたはＳＧ２またはＳＧ３用の適切なサブグループ鍵を使用する。あるいは、グループリーダーＩ_１０は、新しいグループ鍵を変更されない各サブグループの１人のメンバーに配布してもよく、そのメンバーが、暗号化が可能になるように、サブグループ鍵を使用してサブグループの他のメンバーに新しいグループ鍵を伝達する。各ユーザに３つの鍵を与えることによって、グループメンバーが去った後に新しいグループ鍵を配布するプロセスを、新しいグループ鍵を各ユーザに別個に送信することよりも効率的に実現することができる。新しいグループ鍵およびサブグループ鍵が使用されるようになると、かつてのメンバーＩ_１は安全なグループ通信およびサブグループ通信に参加できなくなる。

グループ鍵再構成のより詳細な変形例は、より多くのユーザおよび／またはより多くの中間サブグループ層を伴う。このような変形例の場合、例えば、論理鍵階層を木構造のノードとして構成してもよい。

Ｅ．プロトコルの性能評価および利点
ユーザデバイス同士が安全な通信を行っている間通信信頼機関がオフラインになることが予期されるシナリオを考える。１０００個のユーザデバイスがある場合（Ｎ＝１０００）、各ユーザデバイスｉはＮ−１個の暗号鍵Ｋ（ｉ，ｊ）、Ｎ−１個の鍵導出鍵Ｌ（ｉ，ｊ）、Ｎ−１個の対鍵Ｐ（ｉ，ｊ）、およびＮ−１個の鍵認証値Ａ（ｉ，ｊ）、並びに鍵認可値Ｍ（ｉ）および新しい認可値ＡＫ_ｘ（ｉ）を格納する。鍵および認証値の各々の長さが２５６ビットである場合、メモリの総要件は（（４ｘ９９９）＋２）ｘ２５６＝１０２３４８８ビット、またはおおよそ１Ｍビットである。Ｎ＜１０２４であるので、所与のユーザデバイスｊ用の鍵または認証値は１０ビットによって指定されてもよい。各ユーザがＫ（ｉ，ｊ）およびＬ（ｉ，ｊ）用に通信信頼機関と一緒に生成する量子鍵材料の量は約５００ｋビットである。秘密ビットレートが〜１ｋｂｐｓである１０ＭＨｚクロックレートで動作するＱＫＤシステムでは、鍵Ｋ（ｉ，ｊ）および鍵Ｌ（ｉ，ｊ）を配送するのに各ユーザのＱＣが５００秒かかる（約８分）。

ＱＫＤの後の上述の安全なマルチパーティ通信は、安全なマルチパーティ通信のための従来のプロトコルと比べていくつかの改良点を有する。

事前に用意された短期認証鍵ＡＫ（ｉ）を使用し、ＱＫＤにおいて認証鍵ＡＫ（ｉ）を更新することによって、敵対者が所与の認証鍵ＡＫ（ｉ）を破る機会のウィンドウが小さくなる。

公開鍵暗号化は必要とされない。その代わり、ＱＫＤでは、フォワードセキュリティを有する共有される乱数を生成することができる。特に、暗号鍵Ｋ（ｉ，ｊ）および鍵導出鍵Ｌ（ｉ，ｊ）は、フォワードセキュリティを有し、通信信頼機関と共有される事前に用意された鍵からアルゴリズムに従って導き出されることはない。従って、ＱＫＤは、既存の手法がアーカイブアタックを受ける恐れなしに高いフォワードセキュリティによる保証を実現し、融通性に富んだ鍵の置換えを可能にする。ＱＫＤから得た鍵を格納し配送するフィルガンを使用することによって、直接的な量子リンクを有さないユーザもＱＣの利点（フォワード秘匿性およびアーカイブアタックに対する抵抗）を活用することができる。ランダムに生成され暗号鍵Ｋ（ｉ，ｊ）によって暗号化される秘密のセッション鍵もフォワードセキュリティを有する。

不正なユーザまたは信頼できないユーザ（または結託した複数のそのようなユーザ）が他のユーザ同士の通信を傍受することはできない。その代わり、他のユーザ同士の通信は、それらのユーザに特有の様々な暗号鍵および鍵導出鍵に依存する。

通信信頼機関は、ユーザ同士の間の通信セッションの間オンラインであってよいが、オフラインであってもよい。概して、通信信頼機関は、対鍵Ｐ（ｉ，ｊ）および鍵認証値Ａ（ｉ，ｊ）の関連する要素がユーザに配送された後オンラインである必要はない。

対鍵Ｐ（ｉ，ｊ）および鍵認証値Ａ（ｉ，ｊ）は、公衆網のような安全でないネットワークを介して配布されてもよい。暗号鍵Ｋ（ｊ，ｉ）および鍵導出鍵Ｌ（ｉ，ｊ）の知識がなければ、暗号鍵Ｋ（ｊ，ｉ）によって安全を確保された通信を解読するうえで対鍵Ｐ（ｉ，ｊ）は無用である。

ＱＫＤによる安全なマルチパーティ通信のためのプロトコルは、衛星を利用した通信信頼機関が地上のユーザ、水上のユーザ、および空上のユーザの組合せにおける大域的で安全な通信をサポートするシナリオを含む。これらのプロトコルは、通信信頼機関が光アクセスネットワーク、またはエンタープライズネットワークもしくはメトロエリアネットワークのようなトランスペアレント光ネットワーク内のＱＣノードであるシナリオで使用されてもよい。これらのプロトコルは、ＱＣカードが通信信頼機関とのＱＫＤによって鍵を取得するシナリオでは、アクセス制御、安全な電話、鍵配布、またはその他の目的のためのＱＣカードの使用をサポートする。

安全なマルチパーティ通信のためのプロトコルは、ユーザの大規模なグループにおける安全なテレビ会議をサポートするようにグループ鍵によって拡張されてもよい。より一般的には、安全なマルチパーティ通信のためのプロトコルによって、グループ鍵によるユーザの一時的で安全なグループを作成することができる。

Ｆ．ＱＩＰを使用した例示的なパスワードベースの認証
上述のＱＫＤプロトコルのいずれかを開始する前に、所与のユーザデバイスと通信信頼機関との間で量子識別プロトコル（「ＱＩＰ」）を使用したパスワードベースの認証を実施してもよい。例えば、ＱＩＰを使用したパスワードベースの認証を使用して（事前に用意された認証鍵を使用するのではなく）初期認証鍵が生成され、上述のＱＫＤプロトコルのいずれかを使用して、通信信頼機関とユーザデバイスとの間でＱＫＤが実行され、安全なマルチパーティ通信または別の目的のための鍵が確立される。

ＱＩＰを使用したパスワードベースの認証では、ユーザｉのパスワードｗ（ｉ）が通信信頼機関と共有される。様々なユーザがそれぞれの異なるパスワードを有する。通信信頼機関は、それぞれのユーザのそれぞれの異なるパスワードを、通信信頼機関を実現するシステム内のセキュアメモリに格納する。パスワードｗ（ｉ）は、通信信頼機関とユーザｉとの認証に使用されるが、パスワードｗ（ｉ）自体は、たとえ暗号化形態である場合でも、ユーザｉと通信信頼機関との間では伝達されない。そのため、ＱＩＰに従ってパスワードｗ（ｉ）に関する情報は明らかにされず、セキュリティを損なわずにパスワードを何度でも使用することができる。

パスワードｗ（ｉ）の各構成部分は実装形態によって決まる。例えば、パスワードｗ（ｉ）は、（１）（従来のキーボード上の一連の８個から１２個の英数字または特殊ＡＳＣＩＩ文字のような）ユーザｉによって入力され、ユーザが記憶するのが比較的容易である部分、（２）（高エントロピーキーを形成する乱数ビットから成るより長い文字列のような）ユーザデバイス上のセキュアメモリに格納される部分、および／または（３）ユーザｉから供給される（指紋スキャンデータのような）バイオメトリック証印のダイジェストを表す部分を含んでもよい。あるいは、パスワードｗはその他の部分および／またはさらなる部分を有してもよい。

ユーザｉと通信信頼機関との認証の場合、パスワードｗ（ｉ）は、ユーザが詐欺を行っていないことを通信信頼機関に納得させ、かつ正当なユーザが偽物の通信信頼機関によって量子鍵を確立するのを防止するためにＱＩＰ内で使用される。偽物の通信信頼機関が本物の通信信頼機関になりすますことができない場合、偽物の通信信頼機関が権限のあるユーザを納得させて偽物の通信信頼機関とのＱＫＤを実行させることはできない。例えば、ＱＩＰの一部として、以下のことが行われる。

ユーザｉのユーザデバイスが、乱数ビットの文字列を生成し、ランダムに割り当てられた基底（例えば、直線または対角）に従って各ビットを量子状態として符号化し、そのような量子状態情報を（量子チャネルを介して）通信信頼機関に送信し、
通信信頼機関が、量子状態情報を受信し、パスワードｗ（ｉ）に応じた基底のパターンに従って（例えば、パスワードｗ（ｉ）の関数として選択された直線／対角測定基底のパターンを使用して）量子状態を測定し、
ユーザデバイスｉが、共有される秘密ビットに適用すべき第１のハッシュ関数をＱＩＰから選択し、かつユーザデバイスが、第１のハッシュ関数を示すデータを、ユーザデバイスが量子送信において使用した送信基底のパターンと一緒に（従来のチャネルを介して）通信信頼機関に送信し、
ユーザデバイスｉと通信信頼機関がそれぞれ、ＱＩＰ用の共有される秘密ビットを送信基底が測定基底と一致したビットとして求め（ユーザデバイス自体が、パスワードｗ（ｉ）から測定基底のパターンを求め）、
通信信頼機関が、パスワードｗ（ｉ）に適用すべき第２のハッシュ関数を選択し、かつ通信信頼機関が、第２のハッシュ関数を示すデータを、パスワードｗ（ｉ）の一部（例えば、高エントロピー鍵）に応じたメッセージ認証コードと一緒に（従来のチャネルを介して）送信し、
ユーザデバイスｉが、メッセージ認証コードと、ユーザデバイスｉに格納されているパスワードｗ（ｉ）の一部（例えば、高エントロピー鍵）とに基づいて通信信頼機関を認証し、
ユーザデバイスｉが、（ａ）ユーザデバイスｉの共有秘密ビットへの第１のハッシュ関数の適用、（ｂ）パスワードｗ（ｉ）への第２のハッシュ関数の適用に基づいてチェック値を算出し、かつユーザデバイスがチェック値を（従来のチャネルを介して）通信信頼機関に送信し、
通信信頼機関が、通信信頼機関自体のチェック値を算出し、ユーザデバイスｉから受信されたチェック値と比較し、ユーザデバイスを認証する。
ＱＩＰの変形例に関する詳細は、非特許文献５を参照されたい。

ＱＩＰでは、ユーザデバイスｉによって求められる秘密ビットの文字列は、通信信頼機関がパスワードｗ（ｉ）を有しかつユーザデバイスがパスワードｗ（ｉ）を有する場合にのみ、通信信頼機関によって求められる秘密ビットの文字列と一致する。通信信頼機関およびユーザデバイスがパスワードｗ（ｉ）を有さない場合、通信信頼機関において求められる測定基底のパターンは、ユーザデバイスｉにおいて求められる測定基底のパターンと一致しない。さらに、ＱＩＰでは、パスワードｗ（ｉ）の詳細を漏洩せずに、ユーザの身元を検証し、かつ通信信頼機関が正当な通信信頼機関であることをユーザに納得させることができる。

ＱＩＰの結果として得られる秘密の乱数ビットを使用して、通信信頼機関と一緒に量子鍵を確立する際にユーザを認証するのに使用すべき初期認証鍵ＡＫ_０を生成してもよい。ＱＩＰの結果として得られた秘密ビットは、ユーザデバイスおよび通信信頼機関によって共有される。秘密ビットのいくつかもしくは全てを直接使用して鍵ＡＫ_０を形成するか、または秘密ビットのいくつかもしくは全てをハッシングして鍵ＡＫ_０を形成してもよい。ユーザデバイスと通信信頼機関は次いで、鍵ＡＫ_０を使用して、上述のＱＫＤプロトコルのうちの１つに従って、ＱＫＤを開始して安全なマルチパーティ通信または別の目的のための鍵を確立する。ＱＫＤにおいて確立される鍵のうちの１つを使用して、鍵ＡＫ_０を更新するのではなく、パスワードｗ（ｉ）の一部を更新してもよい（例えば、ユーザデバイスおよび通信信頼機関におけるセキュアメモリ内の高エントロピー鍵を置き換える）。あるいは、将来の認証のために単に同じパスワードｗ（ｉ）を再使用してもよい。あるいは、ＱＩＰを使用したパスワードベースの認証自体を使用して、（後で初期認証鍵ＡＫ_０を使用して認証を行うのではなく）通信信頼機関と所与のユーザとの間に信頼関係を確立する。

ＱＩＰを使用したパスワードベースの認証は、ユーザデバイスが紛失した場合のセキュリティを確立する。ユーザが入力として供給するパスワードの部分がない場合（またはユーザが入力として供給するバイオメトリック証印がない場合）、権限のないユーザが、通信信頼機関を納得させてユーザ自身をユーザデバイスの権限のあるユーザとして認めさせることはできず、かつ権限のないユーザが、デバイスを使用して通信信頼機関とのＱＫＤを実行することはできない。

Ｇ．通信信頼機関の例示的な階層
上述のＱＫＤプロトコルでは、通信信頼機関は複数のユーザの各々とのＱＫＤによって鍵を確立する。通信信頼機関は、通信信頼機関の階層の一部であってよく、その場合、通信信頼機関は１人または複数のユーザのネットワークと一緒に鍵を確立する。それぞれの異なる通信信頼機関に関連するユーザは、階層内の中間通信信頼機関によって共有秘密鍵を確立することができる。

例えば、階層は２つの子通信信頼機関と、中間通信信頼機関として働く親通信信頼機関とを含む。第１の子通信信頼機関は、第１のサブネットワーク内の１人または複数のユーザに関連付けられる。特に、第１の子通信信頼機関は、第１のサブネットワーク内の第１のユーザとの信頼関係の下でのＱＫＤによって鍵を配送する。第２の子通信信頼機関は、第２のサブネットワーク内の１人または複数のユーザに関連付けられる。特に、第２の子通信信頼機関は、第２のサブネットワーク内の第２のユーザとの信頼関係の下でのＱＫＤによって鍵を配送する。

第１の子通信信頼機関は、親通信信頼機関とのＱＫＤを実行するようにも動作可能である。（第２の子通信信頼機関は、親通信信頼機関とのＱＫＤを実行するように動作可能である。）第１の子通信信頼機関は、親通信信頼機関とのＱＫＤの結果として得られた鍵を取り込み、かつ第１の子通信信頼機関は、親通信信頼機関とのＱＫＤから得られた鍵のうちの１つ（および第１のユーザとのＱＫＤから得られた鍵のうちの１つ）を使用して第１のユーザと第２のユーザとの間の安全な通信を促進する。

例えば、第１の子通信信頼機関は、親通信信頼機関から暗号化されたセッション鍵を受信し、親通信信頼機関とのＱＫＤから得られた第１の子通信信頼機関の鍵のうちの１つを使用して、暗号化されたセッション鍵を解読する。第１の子通信信頼機関は、第１のユーザとのＱＫＤから得られた第１の子通信信頼機関の鍵のうちの１つを使用して、セッション鍵を再暗号化し、再暗号化されたセッション鍵を第１のユーザデバイスに配送する。同様に、第２の子通信信頼機関は、親通信信頼機関から暗号化されたセッション鍵を受信し、親通信信頼機関とのＱＫＤから得られた第２の子通信信頼機関の鍵のうちの１つを使用して、暗号化されたセッション鍵を解読し、第２のユーザとのＱＫＤから得られた第２の子通信信頼機関の鍵のうちの１つを使用して、セッション鍵を再暗号化し、再暗号化されたセッション鍵を第２のユーザデバイスに配送する。第１のユーザデバイスおよび第２のユーザデバイスの各々は、その通信信頼機関とのＱＫＤから得られた鍵を使用して、暗号化されたセッション鍵を解読し、次いで安全な通信または別の目的のためにセッション鍵を使用する。より一般的には、親通信信頼機関は、上述のグループ鍵手順のいずれかに従って、グループリーダーとして働くことができ、各子通信信頼機関はサブグループリーダーとして働く。この構成では、それぞれの通信信頼機関は、単なる別個の論理ノードではなく、他のノードおよびユーザデバイスとのＱＫＤを実行する別個の物理ノードである。

あるいは、子通信信頼機関は、ＱＫＤによって確立された鍵を使用してセッション鍵を共有するのではなく、ＱＫＤによって確立された鍵と一緒に複合鍵を使用して、ユーザ同士の間の安全な通信を促進する。例えば、第１の子通信信頼機関は、親通信信頼機関から配送された通信信頼機関間複合鍵を取り込む。（対鍵としての）通信信頼機関間複合鍵は、第１の子通信信頼機関と親通信信頼機関との間のＱＫＤから得られた鍵のうちの１つに基づく鍵であり、かつ第２の子通信信頼機関と親通信信頼機関との間のＱＫＤから得られた鍵のうちの１つに基づく鍵でもある。第１の子通信信頼機関は、（対鍵としての）通信信頼機関間複合鍵および親通信信頼機関とのＱＫＤから得られた第１の子通信信頼機関の鍵を使用して、第２の子通信信頼機関用の鍵を導き出す。第１の子通信信頼機関は次いで、第２の子通信信頼機関と通信してユーザ間複合鍵を求める。（対鍵としての）ユーザ間複合鍵は、第１のユーザとのＱＫＤから得られた鍵のうちの１つに基づく鍵であり、かつ（第２のユーザと第２の子通信信頼機関との間のＱＫＤから得られた）第２のユーザ用の鍵のうちの１つに基づく鍵でもある。第１の子通信信頼機関は、ユーザ間複合鍵を第１のユーザデバイスに配送できるようにし、第１のユーザデバイスは、ユーザ間複合鍵および第１の子通信信頼機関とのＱＫＤから得られた第１のユーザデバイスの鍵を使用して第２のユーザデバイス用の鍵を求めてもよい。

前述の例では、１つの親通信信頼機関は、ある階層における２つの子通信信頼機関間の中間通信信頼機関である。あるいは、階層は、通信信頼機関の所与のレベルおよび／または複数のレベルにおけるより多くの通信信頼機関を含む。

Ｈ．例示的な分散型通信信頼機関機能
コンピューティングシステムは通信信頼機関の役割を実施し、かつコンピューティングシステムは、単一の物理位置に配置されてもよく、または複数の物理位置に分散されてもよい。上述のＱＫＤプロトコルは、通信信頼機関の機能が複数の物理ノード間に分散される構成において実施されてもよい。通信信頼機関機能を複数の物理ノード間に分散させることは、任意の所与の１つのノードに故障または障害が生じるのを防ぐのを助けることができる。

通信信頼機関の機能が単一の物理ノードに関連する機能である場合、この単一のノードは、故障または障害が生じる可能性がある単一の点を構成する。この危険性を軽減するには、量子秘密分散を使用して通信信頼機関の機能を２つ以上の物理ノードに分散させてもよい。ユーザデバイスは、ユーザデバイスと通信信頼機関の単一の物理ノードとの間のＱＫＤの代わりに、通信信頼機関を構成する複数の物理ノードでの量子秘密分散を実行する。例えば、第１のユーザデバイスは、量子秘密分散を使用して第１のユーザと通信信頼機関の複数の物理ノードとの第１のＱＫＤを容易にし、第２のユーザデバイスは、量子秘密分散を使用して第２のユーザと通信信頼機関の複数の物理ノードとの第２のＱＫＤを容易にする。量子秘密分散の変形例に関する詳細は、例えば非特許文献６を参照されたい。このように、通信信頼機関の任意の単一の物理ノードが失われるかまたは障害を受けても、ユーザ同士の鍵確立が妨げられることも障害を受けることもない。

開示された発明の原則を適用してもよい考えられる多数の実施形態を考慮して、例示された実施形態が本発明の好ましい例に過ぎず、本発明の範囲を限定するものとみなしてはならないことを認識されたい。むしろ、本発明の範囲は特許請求の範囲によって定められる。従って、特許請求の範囲およびその趣旨内の全てのものを本発明として請求する。

Claims (50)

1. 第１のユーザデバイスと第２のユーザデバイスとを含む複数のユーザデバイス間の安全な通信を促進する方法において、通信信頼機関を実現するシステムによって、
   前記通信信頼機関と第１のユーザとの第１の信頼関係の下での第１の量子鍵配送によって１つまたは複数の第１の量子鍵を配送するステップと、
   前記通信信頼機関と第２のユーザとの第２の信頼関係の下での第２の量子鍵配送によって、前記１つまたは複数の第１の量子鍵とは異なる１つまたは複数の第２の量子鍵を配送するステップと、
   前記１つまたは複数の第１の量子鍵のうちの少なくとも１つと前記１つまたは複数の第２の量子鍵のうちの少なくとも１つとに少なくとも部分的に基づいて１つまたは複数の複合鍵を求めるステップと、
   前記１つまたは複数の複合鍵を配送できるようにするステップと
   を含み、
   前記１つまたは複数の複合鍵は、前記第１のユーザデバイスと前記第２のユーザデバイスとの間で量子鍵配送が行われないときでも前記第１のユーザデバイスと前記第２のユーザデバイスとの間の安全な通信を促進することを特徴とする方法。
2. 前記１つまたは複数の複合鍵は、複合鍵参照テーブルとして構成され、パブリックチャネルを介した非秘密配送に利用可能にされることを特徴とする請求項１に記載の方法。
3. 前記通信信頼機関を実現する前記システムによって、
   前記第１の量子鍵配送の前に、前記第１のユーザ用のバイオメトリック証印に少なくとも部分的に基づいて前記第１のユーザを認証して、前記第１の信頼関係を確立するステップと、
   前記第２の量子鍵配送の前に、前記第２のユーザ用のバイオメトリック証印に少なくとも部分的に基づいて前記第２のユーザを認証して、前記第２の信頼関係を確立するステップと
   をさらに含むことを特徴とする請求項１に記載の方法。
4. 前記第１のユーザを認証する前記ステップは、第１の事前に用意された秘密鍵を使用し、
   前記第１の量子鍵配送によって配送される前記１つまたは複数の量子鍵は、後で前記第１のユーザを認証する際に使用される第１の新しい鍵を含み、
   前記第２のユーザを認証する前記ステップは、第２の事前に用意された秘密鍵を使用し、
   前記第２の量子鍵配送によって配送される前記１つまたは複数の第２の量子鍵は、後で前記第２のユーザを認証する際に使用される第２の新しい鍵を含むことを特徴とする請求項３に記載の方法。
5. 前記１つまたは複数の第１の量子鍵は鍵導出鍵を含み、前記１つまたは複数の第２の量子鍵は前記第２のユーザデバイス用の暗号鍵を含むことを特徴とする請求項１に記載の方法。
6. 前記１つまたは複数の複合鍵を求める前記ステップは、前記鍵導出鍵および前記第２のユーザデバイス用の暗号鍵から前記１つまたは複数の複合鍵のうちの第１の複合鍵を求めるステップを含むことを特徴とする請求項５に記載の方法。
7. 前記第１の複合鍵はビット単位ＸＯＲ演算を使用して求められることを特徴とする請求項６に記載の方法。
8. 前記１つまたは複数の第１の量子鍵は鍵認証鍵をさらに含み、前記方法は、前記通信信頼機関を実現する前記システムによって、
   鍵認証値を作成し、前記鍵認証値を配送できるようにするステップをさらに含み、前記鍵認証値は、前記第２のユーザデバイス用の前記暗号鍵および鍵認証鍵から求められることを特徴とする請求項５に記載の方法。
9. 前記鍵認証値を作成する前記ステップは暗号化ハッシュ関数を使用するステップをさらに含むことを特徴とする請求項８に記載の方法。
10. 前記１つまたは複数の第１の量子鍵は、前記第１のユーザデバイス用の暗号鍵と、第１の鍵導出鍵と、第１の鍵認証鍵とを含み、前記１つまたは複数の第２の量子鍵は、前記第２のユーザデバイス用の暗号鍵と、第２の鍵導出鍵と、第２の鍵認証鍵とをさらに含むことを特徴とする請求項１に記載の方法。
11. 前記１つまたは複数の複合鍵を求める前記ステップは、
    前記第１の鍵導出鍵および前記第２のユーザデバイス用の前記暗号鍵から前記１つまたは複数の複合鍵のうちの第１の複合鍵を求めるステップと、
    前記第２の鍵導出鍵および前記第１のデバイス用の前記暗号鍵から前記１つまたは複数の複合鍵のうちの第２の複合鍵を求めるステップと
    を含み、
    前記方法は、前記通信信頼機関を実現する前記システムによって、複数の鍵認証値を作成し、前記複数の鍵認証値を配送できるようにするステップをさらに含み、
    前記複数の鍵認証値の第１の値は、前記第２のデバイス用の前記暗号鍵および前記第１の鍵認証鍵から求められ、
    前記複数の鍵認証値の第２の値は、前記第１のデバイス用の前記暗号鍵および前記第２の鍵認証鍵から求められることを特徴とする請求項１０に記載の方法。
12. 前記第１の量子鍵配送は前記通信信頼機関と前記第１のユーザデバイスまたはフィルガンデバイスとの間で行われ、前記第２の量子鍵配送は前記通信信頼機関と前記第２のユーザデバイスまたはフィルガンデバイスとの間で行われることを特徴とする請求項１に記載の方法。
13. 前記通信信頼機関を実現する前記システムによって、
    前記第１の量子鍵配送の前に、量子識別プロトコル内の第１のパスワードを使用して前記第１のユーザと前記通信信頼機関との認証を行うステップと、
    前記第２の量子鍵配送の前に、前記量子識別プロトコル内の第２のパスワードを使用して前記第２のユーザと前記通信信頼機関との認証を行うステップとをさらに含むことを特徴とする請求項１に記載の方法。
14. 前記第１のパスワードは、前記第１のユーザによって入力される第１の１組の複数の英数字、前記第１のユーザデバイスに格納されている第１の高エントロピー鍵、および／または前記第１のユーザ用のバイオメトリック証印に基づく第１のダイジェストを含み、前記第２のパスワードは、前記第２のユーザによって入力される第２の１組の複数の英数字、前記第２のユーザデバイスに格納されている第２の高エントロピー鍵、および／または前記第２のユーザ用のバイオメトリック証印に基づく第２のダイジェストを含むことを特徴とする請求項１３に記載の方法。
15. 前記通信信頼機関を実現する前記システムは複数の物理ノードに分散され、前記方法は、
    第１の量子秘密分散を使用して、前記第１のユーザおよび前記通信信頼機関の前記複数の物理ノードに関する前記第１の量子鍵配送を容易にするステップと、
    第２の量子秘密分散を使用して、前記第２のユーザおよび前記通信信頼機関の前記複数の物理ノードに関する前記第２の量子鍵配送を容易にするステップと
    をさらに含むことを特徴とする請求項１に記載の方法。
16. 前記通信信頼機関は、ある階層における第１の子通信信頼機関であり、前記階層は、親通信信頼機関と、第３のユーザと第３の信頼関係を有する第２の子通信信頼機関とをさらに含み、前記第１の子通信信頼機関は、前記親通信信頼機関と一緒に量子鍵配送を行うように動作可能であることを特徴とする請求項１に記載の方法。
17. 第１のユーザデバイスと第２のユーザデバイスとを含む複数のユーザデバイス間で安全な通信を行う方法において、前記第１のユーザデバイスによって、
    通信信頼機関と第１のユーザとの信頼関係の下での前記通信信頼機関との量子鍵配送の結果として得られた１つまたは複数の第１の量子鍵を取り込むステップと、
    前記１つまたは複数の第１の量子鍵のうちの１つおよび前記第２のユーザデバイス用の鍵に少なくとも部分的に基づく複合鍵を取り込むステップと、
    前記１つまたは複数の第１の量子鍵のうちの１つおよび前記複合鍵に少なくとも部分的に基づいて前記第２のユーザデバイスと通信するステップと
    を含み、
    前記複合鍵は、前記第１のユーザデバイスと前記第２のユーザデバイスとの間で量子鍵配送が行われないときでも前記第１のユーザデバイスと前記第２のユーザデバイスとの間の安全な通信を促進することを特徴とする方法。
18. 前記１つまたは複数の第１の量子鍵および前記複合鍵は前記第１のユーザデバイスのストレージから取り込まれ、前記複合鍵は、パブリックチャネルを介して前記第１のユーザデバイスに供給されていることを特徴とする請求項１７に記載の方法。
19. 前記量子鍵配送の前に、前記第１のユーザデバイスによって、
    前記第１のユーザ用のバイオメトリック証印を受信するステップと、
    事前に用意された秘密鍵を使用して前記バイオメトリック証印を暗号化するステップと、
    前記暗号化されたバイオメトリック証印を前記通信信頼機関に送信し、前記第１のユーザを認証して前記通信信頼機関と前記第１のユーザとの間に前記信頼関係を確立することができるようにするステップと
    をさらに含み、
    前記量子鍵配送によって配送される前記１つまたは複数の第１の量子鍵は、後で前記第１のユーザを認証する際に使用される新しい鍵を含むことを特徴とする請求項１７に記載の方法。
20. 前記１つまたは複数の第１の量子鍵は鍵導出鍵を含み、前記方法は、前記第１のユーザデバイスによって、
    前記鍵導出鍵および前記複合鍵から前記第２のユーザデバイス用の前記鍵を求めるステップをさらに含むことを特徴とする請求項１７に記載の方法。
21. 前記１つまたは複数の第１の量子鍵は、前記第１のユーザデバイス用の暗号鍵をさらに含み、前記第２のユーザデバイスと通信する前記ステップは、前記第１のユーザデバイスによって、
    前記第１のユーザデバイス用の前記暗号鍵を使用して前記第２のユーザデバイスへのメッセージを暗号化するステップと、
    前記第２のユーザデバイス用の前記鍵を使用して前記第２のユーザデバイスからのメッセージを解読するステップと
    を含むことを特徴とする請求項２０に記載の方法。
22. 前記第２のユーザデバイスと通信する前記ステップは、前記第１のユーザデバイスによって、
    前記第２のユーザデバイス用の前記鍵を使用して、セッション鍵を含む、前記第２のユーザデバイスからの第１のメッセージを解読するステップと、
    前記セッション鍵を使用して前記第２のユーザデバイスへの第２のメッセージを暗号化し、前記第２のユーザデバイスからの第３のメッセージを解読するステップと
    を含むことを特徴とする請求項２０に記載の方法。
23. 前記１つまたは複数の第１の量子鍵は鍵認証鍵をさらに含み、前記方法は、前記第１のユーザデバイスによって、
    前記通信信頼機関によって利用可能にされた基準鍵認証値を取り込むステップと、
    前記第２のユーザデバイス用の前記鍵および前記鍵認証鍵からチェック鍵認証値を求めるステップと、
    前記チェック鍵認証値を前記基準鍵認証値と比較するステップと
    をさらに含むことを特徴とする請求項２０に記載の方法。
24. 前記１つまたは複数の第１の量子鍵は、前記第１のユーザデバイス用の暗号鍵を含み、前記第２のユーザデバイスと通信する前記ステップは、前記第１のユーザデバイスによって、
    前記第１のユーザデバイス用の前記暗号鍵を使用して、セッション鍵を含む第１のメッセージを暗号化するステップと、
    前記第１のメッセージを前記第２のユーザデバイスに送信するステップと、
    前記セッション鍵を使用して前記第２のユーザデバイスへの第２のメッセージを暗号化し、前記第２のユーザデバイスからの第３のメッセージを解読するステップと
    を含むことを特徴とする請求項１７に記載の方法。
25. 前記量子鍵配送は、前記通信信頼機関と、前記第１のユーザデバイスまたは前記第１のユーザデバイスに前記１つまたは複数の量子鍵を供給するフィルガンデバイス間で行われることを特徴とする請求項１７に記載の方法。
26. 前記１つまたは複数の第１の量子鍵は、前記第１のユーザデバイス以外の複数のユーザデバイスの各々用の異なる鍵を含み、前記方法は、前記第１のユーザデバイスによって、
    グループセッション鍵を求めるステップと、
    前記第１のユーザデバイス以外の前記複数のユーザデバイスの各々について、
    前記第１のユーザデバイスと前記他のユーザデバイスとの間のペアワイズ通信に特有の暗号鍵を使用して前記グループセッション鍵を暗号化するステップと、
    前記暗号化されたグループセッション鍵を前記他のユーザデバイスに伝達するステップと
    をさらに含むことを特徴とする請求項１７に記載の方法。
27. 前記第１のユーザデバイス以外の前記複数のユーザデバイスの各々について、前記異なる鍵は、
    前記第１のユーザデバイスと前記他のユーザデバイスとの間のペアワイズ通信に特有の前記暗号鍵、または
    前記第１のユーザデバイスと前記他のユーザデバイスとの間のペアワイズ通信に特有の前記暗号鍵を求めるために前記第１のユーザデバイスによって使用できる鍵導出鍵であることを特徴とする請求項２６に記載の方法。
28. 前記第１のデバイスによって、
    前記第１のユーザデバイス以外の前記複数のユーザデバイスの各々が１つのサブグループに属する複数のサブグループにそれぞれの複数のサブグループ鍵を割り当てるステップと、
    前記第１のユーザデバイス以外の前記複数のユーザデバイスの各々について、
    個々のグループメンバー鍵を割り当てるステップと、
    前記複数のサブグループ鍵のうちのどの鍵が前記他のユーザデバイスに適用されるのかを識別するステップと、
    前記第１のユーザデバイスと前記他のユーザデバイスとの間のペアワイズ通信に特有の前記暗号鍵を使用して前記個々のグループメンバー鍵および前記識別されたサブグループ鍵を暗号化するステップと、
    前記暗号化された個々のグループメンバー鍵および前記暗号化されたサブグループ鍵を前記他のユーザデバイスに伝達するステップと
    をさらに含むことを特徴とする請求項２６に記載の方法。
29. 前記量子鍵配送の前に、前記第１のユーザデバイスによって、
    量子鍵識別プロトコル内のパスワードを使用して、前記通信信頼機関に対して前記第１のユーザを認証し、かつ前記第１のユーザに対して前記通信信頼機関を認証するステップをさらに含むことを特徴とする請求項１７に記載の方法。
30. 前記パスワードは、前記第１のユーザによって入力される複数の英数字、前記第１のユーザデバイスに格納されている高エントロピー鍵、および／または前記第２のユーザ用のバイオメトリック証印に基づくダイジェストを含むことを特徴とする請求項２９に記載の方法。
31. 前記パスワードは、前記第１のユーザデバイスに格納されている高エントロピー鍵を含み、前記方法は、前記第１のユーザデバイスに格納されている前記高エントロピー鍵を前記１つまたは複数の第１の量子鍵のうちの１つと置き換えるステップをさらに含むことを特徴とする請求項２９に記載の方法。
32. 前記パスワードは、前記第１のユーザデバイスに格納されている高エントロピー鍵を含み、前記通信信頼機関は、前記高エントロピー鍵に少なくとも部分的に基づくメッセージ認証コードによって前記通信信頼機関自体を前記第１のユーザに対して認証することを特徴とする請求項２９に記載の方法。
33. プロセッサと、メモリと、ユーザデバイスに目標デバイスと安全な通信を行う方法を実行させるためのコンピュータ実行可能な命令を格納するストレージとを備えるユーザデバイスであって、前記方法は、前記ユーザデバイスによって、
    通信信頼機関との量子鍵配送の結果として得られた鍵導出鍵を取り込むステップと、
    前記鍵導出鍵および前記目標デバイス用の鍵に少なくとも部分的に基づく対鍵を取り込むステップと、
    前記鍵導出鍵および前記対鍵から前記目標デバイス用の前記鍵を導き出すステップと、
    前記目標デバイスと通信する際に前記目標デバイス用の前記鍵を使用するステップと
    を含むことを特徴とするユーザデバイス。
34. 前記鍵導出鍵および前記対鍵は前記ユーザデバイスの前記ストレージから取り込まれ、前記対鍵はパブリックチャネルを介して前記ユーザデバイスに供給されていることを特徴とする請求項３３に記載のユーザデバイス。
35. 前記方法は、前記ユーザデバイスによって、
    前記通信信頼機関との前記量子鍵配送の結果として得られた前記ユーザデバイス用の暗号鍵を取り込むステップと、
    前記目標デバイスと通信する際に前記ユーザデバイス用の前記暗号鍵を使用するステップであって、
    前記ユーザデバイス用の前記暗号鍵を使用して前記目標デバイスへのメッセージを暗号化するサブステップと、
    前記目標デバイス用の前記鍵を使用して前記目標デバイスからのメッセージを解読するサブステップと
    を含むステップと
    をさらに含むことを特徴とする請求項３３に記載のユーザデバイス。
36. 前記目標デバイスと通信する前記ステップは、前記ユーザデバイスによって、
    前記目標デバイス用の前記鍵を使用して、セッション鍵を含む、前記目標デバイスからの第１のメッセージを解読するステップと、
    前記セッション鍵を使用して前記目標デバイスへの第２のメッセージを暗号化し、前記目標デバイスからの第３のメッセージを解読するステップと
    を含むことを特徴とする請求項３３に記載のユーザデバイス。
37. 前記目標デバイス用の前記鍵は、前記鍵導出鍵および前記対鍵のビット単位ＸＯＲとして求められることを特徴とする請求項３３に記載のユーザデバイス。
38. 前記方法は、前記ユーザデバイスによって、
    前記通信信頼機関との量子鍵配送の結果として得られた鍵認証鍵を取り込むステップと、
    前記通信信頼機関によって利用可能にされた基準鍵認証値を取り込むステップと、
    前記目標デバイス用の前記鍵および前記鍵認証鍵からチェック鍵認証値を求めるステップと、
    前記チェック鍵認証値を前記基準鍵認証値と比較するステップと
    をさらに含むことを特徴とする請求項３３に記載のユーザデバイス。
39. 前記チェック鍵認証値を求める前記ステップは、暗号化ハッシュ関数を使用するステップを含むことを特徴とする請求項３８に記載のユーザデバイス。
40. 第１のユーザデバイスと第２のユーザデバイスとを含む複数のユーザデバイス間の安全な通信を促進する方法において、通信信頼機関を実現するシステムによって、
    前記第１のユーザデバイス用の暗号鍵を含む１つまたは複数の第１の量子鍵を量子鍵配送によって配送するステップと、
    前記第２のユーザデバイス用の鍵導出鍵を含む１つまたは複数の第２の量子鍵を量子鍵配送によって配送するステップと、
    前記第１のユーザデバイス用の前記暗号鍵および前記第２のユーザデバイス用の前記鍵導出鍵に少なくとも部分的に基づいて対鍵を求めるステップと、
    前記対鍵を配送できるようにするステップと
    を含み、
    前記対鍵は、前記第２のユーザデバイスによって、前記第１のユーザデバイス用の前記暗号鍵を求めるときに前記第２のユーザデバイス用の前記鍵導出鍵と組み合わせて使用することができることを特徴とする方法。
41. 前記対鍵は、対鍵参照テーブルとして構成され、パブリックチャネルを介した非秘密配送に利用可能にされることを特徴とする請求項４０に記載の方法。
42. 前記１つまたは複数の第１の量子鍵は、前記第１のユーザデバイス用の鍵導出鍵をさらに含み、前記１つまたは複数の第２の量子鍵は前記第２のユーザデバイス用の暗号鍵をさらに含み、前記方法は、前記通信信頼機関を実現するシステムによって、
    前記第２のユーザデバイス用の前記暗号鍵および前記第１のユーザデバイス用の前記鍵導出鍵に少なくとも部分的に基づいて第２の対鍵を求めるステップと、
    前記第２の対鍵を配送できるようにするステップと
    をさらに含み、
    前記第２の対鍵は、前記第１のユーザデバイスによって、前記第２のユーザデバイス用の前記暗号鍵を求めるときに前記第１のユーザデバイス用の前記鍵導出鍵と組み合わせて使用することができることを特徴とする請求項４０に記載の方法。
43. 前記対鍵は、前記第１のユーザデバイス用の前記暗号鍵のビット単位ＸＯＲおよび前記第２のユーザデバイス用の前記鍵導出鍵として求められることを特徴とする請求項４０に記載の方法。
44. 前記１つまたは複数の第２の量子鍵は、前記第２のユーザデバイス用の鍵認証鍵をさらに含み、前記方法は、前記通信信頼機関を実現するシステムによって、
    前記第１のユーザデバイス用の前記暗号鍵および前記第２のユーザデバイス用の前記鍵認証鍵から鍵認証値を求めるステップと、
    前記鍵認証値を配送できるようにするステップと
    をさらに含み、
    前記鍵認証値は、前記第２のユーザデバイスによって、前記第１のユーザデバイス用の前記暗号鍵を認証するときに前記第２のユーザデバイス用の前記鍵認証鍵と組み合わせて使用することができることを特徴とする請求項４０に記載の方法。
45. プロセッサと、メモリと、前記システムに、複数のユーザデバイス間の安全な通信を促進する方法を実行させるためのコンピュータ実行可能な命令を格納するストレージとを備え、通信信頼機関を実現するシステムにおいて、前記方法は、前記通信信頼機関を実現する前記システムによって、
    前記複数のユーザデバイスのうちの所与のユーザデバイスｉごとに、量子鍵配送によって複数の量子鍵を配送するステップであって、前記所定のユーザデバイスｉ用の前記複数の量子鍵が、
    前記複数のユーザデバイスのうちの前記所与のユーザデバイスｉと他の各ユーザデバイスｊとの間のペアワイズ通信用の異なる暗号鍵Ｋ（ｊ，ｉ）と、
    前記複数のユーザデバイスのうちの前記所与のユーザデバイスｉと他の各ユーザデバイスｊとの間のペアワイズ通信用の異なる鍵導出鍵Ｌ（ｉ，ｊ）とを含むステップと、
    複数の対鍵を求めるステップであって、前記複数の対鍵が、前記複数のユーザデバイスのうちの所与のユーザデバイスｉごとに、前記複数のユーザデバイスのうちの他の各ユーザデバイスｊ用の異なる対鍵Ｐ（ｉ，ｊ）を含み、前記異なる対鍵Ｐ（ｉ，ｊ）が、
    前記他のユーザデバイスｊに対する前記所与のユーザデバイスｉ用の前記異なる鍵導出鍵Ｌ（ｉ，ｊ）と、
    前記所与のユーザデバイスｉに対する前記他のユーザデバイスｊ用の前記異なる暗号鍵Ｋ（ｊ，ｉ）とに少なくとも部分的に基づく対鍵であるステップと、
    前記複数の対鍵を配送できるようにする、ステップと
    を含むことを特徴とするシステム。
46. 前記複数の対鍵は、対鍵参照テーブルとして構成され、パブリックチャネルを介した非秘密配送に利用可能にされることを特徴とする請求項４５に記載のシステム。
47. 前記異なる対鍵Ｐ（ｉ，ｊ）は、前記異なる鍵導出鍵Ｌ（ｉ，ｊ）および前記異なる暗号鍵Ｋ（ｊ，ｉ）のビット単位ＸＯＲとして求められることを特徴とする請求項４５に記載のシステム。
48. 前記所与のユーザデバイスｉ用の前記複数の量子鍵は、前記所与のユーザデバイスｉ用の鍵認証鍵Ｍ（ｉ）をさらに含み、前記方法は、前記通信信頼機関を実現する前記システムによって、
    前記複数のユーザデバイスのうちの所与のユーザデバイスｉごとに、前記複数のユーザデバイスのうちの他の各ユーザデバイスｊ用の異なる鍵認証値Ａ（ｉ，ｊ）を含む複数の鍵認証値を求めるステップをさらに含み、前記鍵認証値Ａ（ｉ，ｊ）は、
    前記所与のユーザデバイスｉに対する前記他のユーザデバイスｊ用の前記異なる暗号鍵Ｋ（ｊ，ｉ）と、
    前記所与のユーザデバイスｉ用の前記鍵認証鍵Ｍ（ｉ）とに少なくとも部分的に基づく値であるステップと、
    前記複数の鍵認証値を配送できるようにするステップと
    を含むことを特徴とする請求項４５に記載のシステム。
49. 第１のユーザデバイスと第２のユーザデバイスとを含む複数のユーザデバイス間の安全な通信を促進する方法において、第１の子通信信頼機関を実現するシステムによって、
    前記第１の子通信信頼機関と第１のユーザとの第１の信頼関係の下での第１の量子鍵配送によって第１の量子鍵を配送するステップであって、前記第１の子通信信頼機関が、第２の子通信信頼機関と親通信信頼機関とを含む階層の一部であり、前記第２の子通信信頼機関が、前記第２の子通信信頼機関と第２のユーザとの第２の信頼関係の下での第２の量子鍵配送によって第２の量子鍵を分散させているステップと、
    前記親通信信頼機関との第３の量子鍵配送の結果として得られた第３の量子鍵を取り込むステップと、
    前記第３の量子鍵のうちの少なくとも１つと前記第１の量子鍵のうちの少なくとも１つとを使用して前記第１のユーザデバイスと前記第２のユーザデバイスとの間の安全な通信を促進するステップとを含むことを特徴とする方法。
50. 前記第３の量子鍵のうちの前記少なくとも１つと前記第１の量子鍵のうちの少なくとも１つとを使用して安全な通信を促進するステップは、
    前記親通信信頼機関から暗号化されたセッション鍵を受信するステップと、
    前記第３の量子鍵のうちの少なくとも１つを使用して前記暗号化されたセッション鍵を解読するステップと、
    前記第１の量子鍵のうちの少なくとも１つを使用して前記セッション鍵を再暗号化するステップと、
    前記再暗号化されたセッション鍵を前記第１のユーザデバイスに配送するステップと
    を含むことを特徴とする請求項４９に記載の方法。

Images