JP2013544479A - 量子鍵配送 - Google Patents

Abstract

詳細には、（ｉ）ネットワークの少なくとも一部の内部で一定レベルの損失を保証すること、（ｉｉ）安全な第２のエンクレーブ（ｅｎｃｌａｖｅ）内に位置する形で最後から２番目およびエンドポイントノードを配置すること、（ｉｉｉ）送信されたビットストリームを解析して、送信されたビットストリームが、このビットストリームから生成されることができる鍵に関する、許容できない量の情報を提供しないことを保証すること、および／または（ｉｖ）鍵を生成するためにビットが使用される順序を変えることにより、方法およびネットワーク３００により、送信されるデータのセキュリティを改善および／または保証するように構成された方法およびネットワーク３００を含む、量子鍵配送のための方法および装置について説明される。

Description

本発明は、量子鍵配送のための装置、方法、信号、およびコンピュータ用プログラム、ならびにこれらを組み入れるシステムに関する。

さまざまな媒体上、特に通信ネットワークおよび／またはデータネットワーク上の通信を保護するために暗号化が一般に使用される。暗号化は、一般に何らかの秘密値を共有する当事者間の通信を保護することを望む当事者に基づく。この値は、通信を保護するために使用される暗号鍵を得るために使用されてもよい。暗号化が高度になるほど、鍵なしで復号することがより困難になる。現代のよく管理された暗号化方式を解読するには膨大な従来のコンピューティング資源を必要とすると一般に信じられている。しかしながら、異なる通信に対して同じ暗号鍵を繰り返し使用することで、扱う素材をより多く潜在的暗号解読者に与え、かつ暗号化に脆弱性を持ち込む可能性があることはよく知られている。したがって、暗号鍵をしばしば変更することが望ましい。

鍵の知識があれば、盗聴者がすべての通信を復号することができるので、新しい鍵素材を安全に配送することが不可欠である。鍵配送はまた、さらに効率的かつ好都合であることが好ましいが、以前に使用された方法、たとえば信頼できる急使などにより新しい鍵を物理的に配送することは、多くの状況で費用がかかり実用的ではない。

量子鍵配送（ｑｕａｎｔｕｍ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ、ＱＫＤ）は、安全な鍵配送の可能性を提供する公知の技法である。ＱＫＤは、基本的な量子的性質に依存し、一般にアリス（Ａｌｉｃｅ）およびボブ（Ｂｏｂ）呼ばれる２人の当事者が値を交換し、かつ通常イブ（Ｅｖｅ）と呼ばれる盗聴者が値に関してほとんど突き止めなかったことを知ることができるようにする。ＱＫＤにより、必要に応じて鍵素材がアリスおよびボブにより安全に得られることができるようになり、このことは、鍵配送の他の方法に対して大きな利点を提供する。

ＱＫＤにはいくつかの公知のプロトコルが存在する。たとえば、ＢｅｎｎｅｔおよびＢｒａｓｓａｒｄが、Ｃ．Ｈ．ＢｅｎｎｅｔおよびＧ．Ｂｒａｓｓａｒｄ、「Ｑｕａｎｔｕｍ ｃｙｐｔｏｇｒａｐｈｙ：『Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ』」、ＩＥＥ Ｃｏｎｆ．Ｃｏｍｐｕｔｅｒｓ Ｓｙｓｔｅｍｓ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ、Ｂａｎｇａｌｏｒｅ、Ｉｎｄｉａ、１９８４年で、ＢＢ８４プロトコルとして知られるようになったＱＫＤプロトコルについて説明した。ＢＢ８４プロトコルは、適切に暗号化された一連の単一光子の送信（量子交換）に続き、任意の従来の通信媒体を介したオープンな議論（鍵合意段階）を使用して、アリスおよびボブが乱数の共有ストリングを得ることができるようにする。量子交換で単一光子が使用されるので、イブがこの交換に関する任意の情報を得ることができる唯一の方法が、アリスから送信された単一光子を傍受し、かつ情報を自分で測定することである。検出を逃れるために、イブは、自分が傍受した元の光子を複製しようとする光子をボブに送信しなければならない。符号化のランダムな選択、および単一光子の量子力学的性質のために、イブは、正しく符号化された光子をボブに渡すことを保証することができず、このことが統計誤差を引き起こし、この誤差は、アリスおよびボブの従来型の通信中にアリスおよびボブにより見つけ出される。

当業者に理解されるように、量子鍵合意プロトコルの基礎として使用されてもよい任意の信号が量子信号である。たとえば、量子信号は、一連の適切に変調された単一光子を備えてもよい。当業者は、使用されてもよいさまざまな変調方式を、たとえば、限定されることなく、ＢＢ８４プロトコルまたはＢ９２プロトコル（Ｂｅｎｎｅｔ、Ｃｈａｒｌｅｓ Ｈ．、「Ｑｕａｎｔｕｍ ｃｒｙｐｔｏｇｒａｐｈｙ ｕｓｉｎｇ ａｎｙ ｔｗｏ ｎｏｎ−ｏｒｔｈｏｇｏｎａｌ ｓｔａｔｅｓ」、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ、Ｖｏｌ．６８、Ｎｏ．２１、１９９２年５月２５日、３１２１〜３１２４ページで説明されている）または６状態プロトコルまたはこれらの変形のいずれかに基づく信号を認識しているであろう。変調は、たとえば位相、時間、周波数、または偏光の変調を備えてもよい。量子信号はまた、もつれ光子（ｅｎｔａｎｇｌｅｄ ｐｈｏｔｏｎ）を備えることができる。たとえば、もつれ光子源がもつれ光子対を発生させてもよく、これらの光子の一方が適切なリンクを介して送信されてもよい。したがって、量子信号の量子交換が、もつれ光子の転送を含んでもよい。もつれ光子対源が遠隔に配置され、かつ各対の一方の光子がアリスおよびボブに提供されることが可能である。連続変数などを使用するプロトコルおよび同種のものも同じく知られている。量子信号を構成するために使用されるビットが、一般にキュービットとして知られている。

ＱＫＤは、盗聴から保護する、新しい鍵素材を配送する安全な手段を提供する。最初に説明されたようなＢＢ８４プロトコルは、いわゆる中間者攻撃に対して潜在的に脆弱である。この場合、通常マロリ（Ｍａｌｌｏｒｙ）と呼ばれる攻撃者が、アリスとボブの間で交換されるすべてのデータを傍受し停止させることができるように、自分自身を配置する。次いで、マロリはアリスと通信するが、アリスには自分がボブである振りをする。マロリはまた、ボブと通信するが、そうする際にアリスである振りをする。したがって、アリスおよびボブの各々は自分たちが互いに話していると思っているが、実際には、アリスおよびボブは両者ともマロリと話している。このシナリオで単純なＱＫＤプロトコルが使用された場合、アリスは量子鍵を、すなわち、相互に合意したランダム光子ストリングを使用してＱＫＤにより得られた鍵をマロリと（それがボブであると思って）確立する。ボブは、同様に量子鍵をマロリと確立する（マロリが、アリスと合意したストリングに基づきビットストリングを送信することができるので、この量子鍵は同一の鍵である場合がある）。アリスは、自分がボブと量子鍵を設定したと思って、ボブに向けられたメッセージをこの鍵で暗号化する。マロリは古典的チャネル上で送信されるこの通信を傍受またはコピーし、この通信を復号し、自分がメッセージから欲しいと思う任意の情報を得ることができる。ボブからアリスへの通信は、逆の順序で同一原理に従う。

中間者攻撃を克服するためには、通信の当事者が、認証ステップに着手して、アリスが実際にはマロリではなくボブと（およびボブがアリスと）話していることを保証するのが普通である。認証は、通常、ボブおよびアリスにだけ知られている共有秘密、たとえばＩＤ鍵を明らかにする、または使用することを伴う。ボブと通信することを望むアリスは、ボブに連絡しようとして、量子鍵を設定する。そうする際に、アリスはボブのＩＤ鍵に基づく認証を要求する。マロリはこのことを知らず、したがって、うまくボブである振りをすることができない。同様に、アリスであると称するだれかと量子鍵を設定する要求を受信するボブは、アリスのＩＤ鍵に基づく認証を要求する。認証は、ＱＫＤを開始する前にアリスおよびボブが少なくとも１つのＩＤ鍵の知識を共有する必要があるが、この鍵は、システムの初期化時に一度供給されることができる。使用に際して、この場合、ＩＤ鍵は、認証されたＱＫＤセッションから得られた量子鍵を使用して更新されることができる。

次いで、要約すると、暗号鍵に関係する任意の情報が（一般に、イブとして、または能動的役割を演じ、かつメッセージまたは同種のものを置換する場合にはマロリとして知られる）第三者により傍受された場合、ユーザに警報を発するように設計されたやり方で、ＱＫＤにより、暗号鍵が（一般にアリスおよびボブとして知られる）２人の当事者間で合意されることが可能になる。アリスとボブの間で送信される情報は、標準的暗号化技法に従って鍵を使用して暗号化されることができる。暗号化された情報に対する標準的攻撃に暗号化は影響を受けないが、ＱＫＤはネットワーク上で動作することができるので、鍵が頻繁に置換されることができ、したがって、いかなるうまくいった攻撃でも、アリスとボブの間の通信へのアクセスが限定されるようになる。

上述のようなＱＫＤは、量子チャネルの役割を果たす、アリスからボブへの途切れない光路を必要とする。この光路は、自由空間中であっても、光ファイバケーブルなどの光導波路を通してであってもよい。いずれの場合も、特に単一光子を使用するために、距離が制限される。さらに、多数の接続されたユーザを有するネットワークでは、各ユーザが互いのユーザとの直接光リンクを有することは実用的ではない。

この制限を克服する１つの方法が、図１に示されるようなノードからなるネットワークを有することである。アリスからボブに通信するために、ノードのチェーンが形成され、各ノードは、ＱＫＤが適用されることができる光リンクにより次のノードに接続される。この例では（逆が真であり得るが）、アリスはチェーン内の最初のノードであり、ボブは最後のノードである。一例では、この場合、各ノードが、自分の隣のノードとＱＫＤにより量子鍵を確立することができる。次いで、１対のノードにより確立された鍵が、１対のノード間を通過するデータトラフィックを暗号化するために使用される。この方法では、チェーンに沿って通過するメッセージがノード間で暗号化されるが、異なる鍵が各リンク上で使用される。これにより、任意のリンク上で盗聴しようとするイブに対する保護が提供される。しかしながら、ノード内部ではデータが平文の形である、すなわち暗号化されておらず、したがって、チェーン内のノードである振りをするマロリに対して保護することが必要であることが明らかであろう。これには、チェーン内の各ノードが隣接ノードを認証する必要がある。

このような構成は可能ではあるが、アリスおよびボブがノードを信頼して、ネットワークを通る正しい経路を確立し、かつ正しく認証することが実際に必要である。また、これには、各ノードが、自分自身のＩＤ鍵、およびチェーン内の前のノードおよび次のノードのＩＤ鍵を知る必要がある。

分散量子鍵配送（Ｄｉｓｔｒｉｂｕｔｅｄ Ｑｕａｎｔｕｍ Ｋｅｙ Ｄｉｓｔｒｉｂｕｔｉｏｎ、ＤＱＫＤ）が、アリスからボブへの、認証された段階的経路を確立する技法について説明している。

ＤＱＫＤネットワークのための技法が、国際公開第２００９／０９３０３７号、国際公開第２００９／０９３０３６号、国際公開第２００９／０９３０３４号、国際公開第２００９／１４１５８６号、国際公開第２００９／１４１５８７号、国際公開第２０１０／０４９６７３号、国際公開第２０１０／０６４００４号（ＰＣＴ／ＧＢ２００９／００２８０２）、国際公開第２０１０／０６４００３号（ＰＣＴ／ＧＢ２００９／００２８０１）、および国際公開第２００１／０３９５０３号（ＰＣＴ／ＧＢ２０１０／００１８１１）で説明され、これらすべてが参照により本明細書に組み入れられる。

国際公開第２００９／０９３０３６号で説明されているように、１つのこのような方法では、光ネットワークの第１のノードおよび宛先ノードが、自分たちが少なくとも１つの中間ノードを含むネットワーク経路によりリンクされ、したがって、第１のノードと宛先ノードの間に直接の光リンクを有しないことがあるときでさえ、量子鍵配送の原理を使用して量子鍵を直接合意する。同じくソースノードまたは制御ノードと呼ばれることがある経路内の第１のノードは、鍵が宛先ノードと合意されるまで、今度は経路内の各ノードと別個の量子鍵を確立する。量子鍵が宛先ノードと直接合意されると、量子鍵は、ソースノードと宛先ノードの間の通信のエンドツーエンド暗号化用に使用されることができる。本明細書で使用されるように、「ノード」という用語は、量子鍵配送に適した量子信号を送信および／または受信することができる少なくとも１つの装置を有する、光ネットワーク内の場所を意味することに留意されたい。ノードが、ネットワークのエンドポイントであっても、ネットワークの中間部分であってもよい。

この方法により、機関（たとえばネットワーク管理機関または安全基準機関）により必要とされることができる、鍵管理センタによる「鍵預託（Ｋｅｙ Ｅｓｃｒｏｗ）」が、ネットワークを介して通信する当事者により使用されるトラフィック鍵にアクセスすることができるようになるという利点がこの方法にはある。

国際公開第２０１０／０６４００４号は、別個の鍵管理センタ（ＫＭＣ）により管理されるが、各ＫＭＣに共通のいくつかのノードとの重複が存在する２つのサブネットワーク間をどのようにノードが接続するかについて説明している。この場合、２つのＫＭＣが協働する場合、または一方が他方に対してスレーブである場合、互いに直接接続されないノードが相互に認証されることができる。

このようなＤＱＫＤ法は、経路に沿った中間ノードによるどんな誤ったルーティングでも防ぐことを目的とする認証された経路を生み出す。トラフィック負荷に応じて、ネットワークを通る各信号に対して最適経路を識別し、かつネットワーク管理システムにより設定された優先順位に従って各接続をスケジュールするルータを含む効率的なネットワークが開発されることができる。認証鍵およびトラフィック鍵を含む完全な１組の鍵が、１つまたは複数の集中ＫＭＣにより生成され、管理されてもよい。

このようなＱＫＤシステムでは、ノードは、物理的に安全であることが、すなわち偶発的なデータ漏洩に対して安全であり、さらに安全な場所にある、および／または改ざんに対して保護されていることが好ましい。いずれかの中間ノードが物理的に損なわれた場合、メッセージを送信し、かつ自分が選択した鍵を合意する（または少なくとも合意された鍵に関する情報を得る）ことができる攻撃者により中間ノードのＩＤが仮定されることができる。したがって、ノードは、覆い隠され、改ざんが明白な安全な箱の中に密封される、または他の方法で物理的に安全にされる傾向がある。公知の技法を使用して、ノード自体にアクセスするうまくいったいかなる試みでも、警報発生をもたらすことがあり、通信システムが一般に停止することがある。他のシステムでは、ノードが状態報告を送信してもよく、このような報告の内容、またはこのような報告が存在しないことが警報を構成してもよい。好ましいシステムでは、ノードは、あばかれた場合、自分にとって既知の鍵をすべて回復できないほどに削除するように構成される。

システムが分散ＱＫＤシステムである、またはいくつかの中継ノードを備えるとき、各ノードは、好ましくは、ネットワークが全体として安全になるように、ノードの物理的セキュリティが損なわれたことを示すことができる信号を送信することができるべきである。信号は、起こり得るセキュリティ侵害が少なくとも存在するという指示であってもよい、または状態が満足すべきものであることを示す信号であってもよい。ノードが損なわれた可能性があることを示すこのような信号がなければ、損なわれたノードを通る任意の経路に沿ったセキュリティが破られる場合があり、この侵害は、たとえばノードの物理的点検が行われるまで続く可能性がある。

容易に理解されるように、ネットワーク内で必要な保護のレベルは、このネットワークに含まれる情報の価値に、したがって、情報が潜在的暗号解読者にどれだけ多くのインセンティブを提供するかに依存する。また、ネットワークに必要なセキュリティレベルを評価する際に、データ自体の性質について考慮されてもよい。たとえば、データの価値が一時的（たとえば数日）である場合、コードが数日の間に破られる可能性が低いことが十分な場合がある。しかしながら、情報の価値が持続される場合、より多くの、またはより高度な暗号セキュリティ機構（たとえば暗号化アルゴリズム、プライバシ増幅などのハッシング関数、ノードの改善された物理的および／または電気機械的セキュリティなど）、または同種のものを必要とするネットワークが必要とされる場合がある。

国際公開第２００９／０９３０３７号 国際公開第２００９／０９３０３６号 国際公開第２００９／０９３０３４号 国際公開第２００９／１４１５８６号 国際公開第２００９／１４１５８７号 国際公開第２０１０／０４９６７３号 国際公開第２０１０／０６４００４号（ＰＣＴ／ＧＢ２００９／００２８０２） 国際公開第２０１０／０６４００３号（ＰＣＴ／ＧＢ２００９／００２８０１） 国際公開第２００１／０３９５０３号（ＰＣＴ／ＧＢ２０１０／００１８１１）

Ｃ．Ｈ．ＢｅｎｎｅｔおよびＧ．Ｂｒａｓｓａｒｄ、「Ｑｕａｎｔｕｍ ｃｙｐｔｏｇｒａｐｈｙ：『Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ』」、ＩＥＥ Ｃｏｎｆ．Ｃｏｍｐｕｔｅｒｓ Ｓｙｓｔｅｍｓ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ、Ｂａｎｇａｌｏｒｅ、Ｉｎｄｉａ、１９８４年 Ｂｅｎｎｅｔ、Ｃｈａｒｌｅｓ Ｈ．、「Ｑｕａｎｔｕｍ ｃｒｙｐｔｏｇｒａｐｈｙ ｕｓｉｎｇ ａｎｙ ｔｗｏ ｎｏｎ−ｏｒｔｈｏｇｏｎａｌ ｓｔａｔｅｓ」、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ、Ｖｏｌ．６８、Ｎｏ．２１、１９９２年５月２５日、３１２１〜３１２４ページ

本発明は、安全な量子鍵配送のための改善された１つまたは複数の方法、および装置を提供しようとする。

本発明の第１の態様によれば、量子鍵配送の方法であって、量子交換ステップと、その後の鍵合意ステップとを備え、量子交換ステップでは、第１の量子ノードおよび第２の量子ノードがこれらのノード間の第１の量子リンク上で量子信号を交換し、第１の量子ノードが制御ノードと、制御ノードが量子交換ステップで交換された量子信号に関する情報を有するように通信し、制御ノードがその後の鍵合意ステップで第１の量子ノードに取って代わり、方法は、量子信号の形で交換されたビットと、鍵合意ステップで使用された（または使用されることを意図された）ビット数との比に対応するビット損失係数を決定するステップをさらに備える、量子鍵配送の方法が提供される。

方法は、制御ノードと、直列に連結された複数の量子ノードとの間で量子鍵を確立するステップを備える。このような例では、量子ノードの各々が（最初のノードおよび最後のノードを除く）、エンドポイントノードに到達するまで、第１の量子ノードの役割を、次いで今度は２番目の量子ノードの役割を果たす。エンドポイントノードは、鍵を制御ノードと直接合意してもよく、このエンドポイントと制御ノードの間の通信が、この鍵を使用して保護されてもよい。当業者により容易に理解されるように、「直列に連結された」という用語は、静的リンクまたは一時的リンクを指してもよい、すなわち、ネットワークは、固定されている、可変である、臨時的に形成された、または同種のものであってもよい。

以下でより詳細に説明されるように、ネットワーク内に損失が存在するということは、盗聴者が最初の量子ノードへのアクセスを制限されていない場合でさえ、送信されたビットの検討または解析から、外側のエンティティまたは盗聴者が、どのビットが受信されたかを直接決定することが不可能であることを意味する。量子信号が一方のノードからもう一方のノードまで渡されるときのデータの任意の損失に加えて、受信機ノード内部に、ならびに任意のデコイ（Ｄｅｃｏｙ）状態パルス、ふるい分け、誤り訂正、およびプライバシ増幅の分離の際に、損失が見られる。これらの損失のすべてがビット損失係数に寄与する可能性がある。

当業者により理解されるように、ノードを支配している攻撃者が、送信されるビットのすべてが次のノードで受信されることを高いレベルの確実性で保証することができることがある。たとえば、量子信号が所望の量までパルス当たりの光子の平均数を低減するように構成された減衰器を介してレーザにより送信されることがあるということを攻撃者が利用することができる。したがって、攻撃者が送信ノードにレーザを、および受信ノードに減衰器を提供する場合がある。介在する媒体（たとえば光ファイバまたは自由空間）上で送信される高エネルギーパルスが、宛先に到達する確率が非常に高い。この場合、減衰器は、パルスのエネルギーを減衰させるように作動する。このようなシステムの下では、送信の際のビット損失係数への寄与は無視でき、したがって、いくつかの実施形態では、ビット損失係数は、大部分は受信ノード内部の損失で構成される。

有利には、方法は、ビット損失係数が所定のセキュリティ要件を満たすかどうかを判定するステップをさらに備える。方法は、所定の要件が満たされない場合、ビット損失係数を増大させること、鍵を確立する際に使用されるビットをハッシュすること、鍵が置換されるレートを増すこと、ネットワークを通る複数の経路を提供すること、異なる経路に沿って量子信号の一部を送信すること、または同種のことのうち少なくとも１つによりネットワークのセキュリティを高めるステップをさらに備えてもよい。したがって、以下でより詳細に説明されるように、ビット損失係数が、量子信号の形で交換されたビット数、および受信されかつ鍵生成のために利用可能なビット数（すなわち、鍵合意で使用されるべきビット数）を使用して決定されてもよい。いくつかの例では、方法は、所定のセキュリティ要件が満たされた場合に鍵合意のみ続ける。これにより、ネットワークが、使用する際に、最低限の所定のセキュリティ要件を満たすことが保証される。このような方法では、ネットワーク内部の損失を直接増大させること（たとえば、量子ノード内部に追加の光インタフェースを含むこと）、プライバシ増幅が増大させられることができるようにより長いビットストリームを備える量子信号を送信すること、損失率が比較的高くなるようにノードまたはノードの構成要素の効率を選択すること、または同種のことにより、ネットワークのセキュリティが高められてもよい。このような方法は、ネットワーク内の任意のＱＫＤ機器で、またはネットワーク内の２つ以上のＱＫＤ機器で実現されてもよい。

あるいは、ビット損失係数が所定のレベルを超えた場合、ネットワーク内の１つまたは複数のセキュリティ手段（たとえば、プライバシ増幅、ハッシング、鍵置換のレート、代替ネットワーク経路など）が低減される、または取り除かれてもよい。これにより、ネットワークのセキュリティを過度に損なうことなくネットワークセキュリティが簡素化されることがある。

したがって、送信されたビットストリングに対して、この送信されたストリングのサブ部分（本明細書でサブストリングと呼ばれる）だけが受信され、受信機内部で正しく測定され、したがって、鍵生成のための素材として「利用可能」であることが理解されよう。さらに、サブストリング内の平均ビット数が、ビット損失係数により、送信されたビットストリーム内のビット数と関係がある。また、サブストリングが、送信されたビットストリームから順序正しく取られたビットから構成されるという制限付きで、サブストリングは、送信されたビットの任意の組合せから構成されてもよいことが理解されよう。または、他の表現をすれば、サブストリングは、送信されたストリングのランダムな選択になる。送信されたビットストリームが０００１であり、かつ２ビットが受信され、かつ正しく測定される簡単な例では、ビットは、００または０１であってもよい。しかしながら、１０は可能なサブストリングではない。

一実施形態では、鍵生成で使用される可能なサブストリングの数（すなわち、送信されたビットストリング「から構成される」ことができる、受信されたビットの異なる組合せの数）が、ネットワークを使用する際に確立されてもよい可能な鍵の数（たとえば、１２８ビット鍵が使用される場合、２^１２８であってもよい）を超える場合、ビット損失係数は所定のセキュリティ要件を満たす。

これは、ネットワークのセキュリティが、少なくとも、選択された暗号化により設定されるセキュリティであることを、すなわち、ネットワークの設計自体がセキュリティリスク増大を生じさせないことを意味するので、有利である。

分散ＱＫＤシステムを攻撃する際に、得られる任意の情報が、エンドポイントノードと制御ノードの間で確立される最終的な鍵を決定する際に最も有用であるように、直列に連結されたノードのチェーンのエンドポイントにできるだけ近接したノードを攻撃者が攻撃しようとする可能性が高いことが理解されよう。中間サブネットワークからのエラーメッセージが、制御ノードなどの制御機器に適切に送信されない場合があるリスクが存在する例では、少なくとも、エンドポイントノードに隣接する中間機器が、信頼できるサブネットワーク内に、すなわちエラーメッセージがその意図された宛先に到達する、より高い確度が存在するネットワーク内に提供されるように、ネットワークが構成されてもよい。

他の態様によれば、本発明は、少なくとも１つの中間ＱＫＤ機器を介してエンドポイントＱＫＤ機器と直列に連結された制御ＱＫＤ機器を備える量子鍵配送ネットワークであって、各ＱＫＤ機器は、量子鍵交換ステップで、隣接するＱＫＤ機器と量子信号を交換するように構成された少なくとも１つの量子送信機および／または量子受信機を有し、各中間ＱＫＤ機器は、通信ユニットを備える隣接するＱＫＤ機器と制御ＱＫＤ機器で交換される量子信号に関する情報を伝達するための通信ユニットを備え、制御ＱＫＤ機器は、鍵合意ステップで、量子鍵を各ＱＫＤ機器と連続的に順に合意するように構成され、ネットワークは、少なくとも１つの量子交換ステップで量子信号の形で交換されたビットと、関連する鍵合意ステップで使用された（または使用されることを意図された）ビット数との比に対応するビット損失係数を決定するように構成されたセキュリティモニタをさらに備える量子鍵配送ネットワークを備える。

セキュリティモニタは、ＱＫＤ処理をモニタするように構成された装置（すなわち、標準的なＢＢ８４手順の一部として誤り率を評価する装置）と共に物理的に配置されてもよい。したがって、この装置は１つまたは各ＱＫＤ機器の処理装置の一部を形成してもよい。一実施形態では、このようなセキュリティモニタが、制御ＱＫＤ機器だけに提供されてもよい。

いくつかの実施形態では、少なくとも２つの中間ＱＫＤ機器が存在してもよい。

通信ユニットは、暗号ユニット（ｃｒｙｐｔｏ−ｕｎｉｔ）であってもよい。暗号ユニットという用語は、本明細書で使用されるように、通信を暗号化し、かつ暗号化された通信を任意の通常の手段を介して送信するための、および／または暗号化された通信を受信し、かつ暗号鍵を使用して、暗号化された通信を復号するための機器を意味する。

当業者により容易に理解されるように、「直列に連結された」という用語は、静的リンクまたは一時的リンクを指してもよい、すなわち、ネットワークは、固定されている、可変である、臨時的に形成された、または同種のものであってもよい。

有利には、セキュリティモニタは、ビット損失係数が所定のセキュリティ要件を満たすかどうかを判定するように構成されてもよい。このような実施形態では、所定の要件が満たされない場合、セキュリティモニタは、ビット損失係数を増大させること、鍵を確立する際に使用されるビットをハッシュすること、鍵が置換されるレートを増すこと、ネットワークを通る複数の経路を提供すること、異なる経路に沿って量子信号の一部を送信すること、または同種のことのうち少なくとも１つによりネットワークのセキュリティを高めるように構成されてもよい。

あるいは、ビット損失係数が所定のレベルを超えた場合、ネットワーク内の１つまたは複数のセキュリティ手段（たとえば、プライバシ増幅、ハッシング、鍵置換のレート、代替ネットワーク経路など）が低減される、または取り除かれてもよい。これにより、ネットワークのセキュリティを過度に損なうことなくネットワークセキュリティが簡素化されることがある。

これにより、ネットワークが、使用する際に、最低限の所定のセキュリティ要件を満たすことが保証される。このようなネットワークでは、ネットワークのセキュリティは、ＱＫＤ機器間の損失を直接増大させること（たとえば、通信用のより長いまたはより損失の大きいファイバでスイッチングすること）、より長いビットストリームを備える量子信号を送信しプライバシ増幅を増すこと、ノードの効率が低減されない限りおよびノードの効率が低減されるまでネットワークからのノード（またはノードの構成要素）を拒絶すること、または同種のことにより高められる場合がある。このような損失は、ネットワーク内の任意のＱＫＤ機器で、またはネットワーク内の２つ以上のＱＫＤ機器で実現されてもよい。また、このようなセキュリティ増強は、ネットワークがデータを移送する間に（すなわち、ネットワークは、ビット損失を増大させるために、および／または他のセキュリティ手段を実現するために「オンザフライで」更新されてもよい）、またはネットワークの確立中に、もしくはネットワークの確立前に実行されてもよいことが理解されよう。

一態様では、本発明は、量子信号を提供するように構成されたビットストリームをモニタするステップと、ビットストリームのビット分布を解析して、ビットストリームから利用可能な鍵情報が所定のしきいレベルを超えているかどうかを判定するステップとを備える、量子鍵を確立する方法を備える。

本明細書で使用されるように、「鍵情報」という用語は、潜在的攻撃者が所定の確度で鍵中の少なくとも１ビットの値および位置を識別することができるようにする、潜在的攻撃者に利用可能な情報を指す。

鍵情報により、量子信号に基づき生成された鍵の潜在的弱点が識別されることができるようになるので、鍵情報は、ＱＫＤシステムを安全にする際に有利である。潜在的攻撃者が任意のこのような鍵情報を使用して、たとえば、鍵情報から生成された鍵に対する力ずくの攻撃を組織化することができる。

方法は、たとえば上述のような分散ＱＫＤシステムにおける方法であってもよい。

方法は、所定のしきいレベルを超えた場合、量子信号をモニタすることにより得られることができる情報を低減するようにビットストリームを調整するステップを備えてもよい。これにより、量子信号の送信の結果として合意された鍵のセキュリティが改善される。

一例では、鍵情報がビットストリームから利用可能であるかどうかを判定するためにビットストリームを解析するステップは、鍵生成で使用される（または使用されることになる）繰り返されるビット数をカウントするステップを、すなわち一貫した論理１または０のストリング長をカウントするステップを備える。

当業者により理解されるように、ビットが、受信される順序で利用されなくてもよい。たとえば、ビットが逆順で使用される、または偶数ビットことに、次いで奇数ビットごとに使用される、または任意の他の方式で使用されることをプロトコルが必要としてもよい。しかしながら、このような方式は一般に公になっている（または発見されることができる）ので、偶然に、送信されたストリングが一連の論理１（または逆に論理０のストリング）となり、これらのストリングが鍵生成で使用される場合、鍵生成で使用された少なくとも１つのビットの値を、攻撃者が高い確度で突き止めるまたは推測することが可能な場合がある。したがって、解析されるストリングは、使用されることになるストリングである（その結果、たとえば、奇数ビットが、受信された順序で使用されるシステムでは、ビット１、３、５、７などが、奇数ビットから利用可能な鍵情報が所定のしきいレベルを超えるかどうかを判定するために解析される）。

このような例では、所定のしきいレベルが、シーケンス中の同一値の所定のビット数を備えてもよい。１列に並んだ一貫したビットの許容可能な数は、システム内の損失（送信されるビットのうちより少ない割合が使用されるので、損失がより高い場合、数はより大きくてもよい）、ビットストリング内のシーケンスの位置（詳細にはストリングの最初の部分にある一貫したシーケンスが、攻撃者がそれによってどのビットが鍵生成で最初に受信されるかを高い確度で判定することができるので、攻撃者にとって有用であることがわかる）、許容可能なレベルのセキュリティリスク（たとえば、１２８ビット鍵システムで、攻撃者が６または７ビットの残りを突き止めることは許容可能である場合があり、残りの力ずくの攻撃が、時間および／または資源に関して「より容易」であるが、送信されているデータに対して十分なセキュリティを与える場合がある）、または同種のことに依存してもよい。

このような例では、方法は、同一値の１列に並んだ所定のビット数が生成される場合（たとえば、擬似乱数発生器または乱数発生器による）、ビットを他の値のビットと置換するステップを含んでもよい（たとえば、１列に並んだｎビットの値０が生成された場合、ｎ番目のビットが値１のビットと置換されることができる）。

他の例では、所定のしきい値が、送信されたビットのすべてまたは一部を備えるシーケンス中のビットの割合を判定することを備えてもよい。このような実施形態では、ビットストリームが、ビットの１つまたは複数を反対の値のビットと置換するように（「調整されて」）操作され続けてもよい。

たとえば、送信される最初の１００ビット中、ビットの８０％が論理０である場合、受信される最初のビットが０であることが、比較的高い確率で予測されることができる。この場合も、ビットストリーム中の所与の値の許容可能な不均衡な表現のレベルが、システム内の損失、ビットストリーム内部のビットの不均衡な表現を有するシーケンスの位置、許容可能なセキュリティレベル、または同種のものに依存してもよい。

代わりに、または追加で、所定のしきいレベルを超えた場合、鍵生成処理が放棄され、かつ再始動されてもよい。

一実施形態では、方法は、送信されるビットが、鍵を合意する機器間で共有される秘密として使用されるべき順序を提供するステップを備えてもよい。たとえば、機器が互いに認証することができるようになるように、機器間で共有されるＩＤ鍵（または他の共有値）が、擬似乱数発生器（ＰＲＮＧ）でシード（ｓｅｅｄ）として使用されてもよい。送信されるビットが使用される順序を制御するために、ＰＲＮＧからの出力が使用されることができる。擬似乱数発生器にシードを与えるために使用される値が共有された値ではない場合、ＢＢ８４処理または同種のものにより生成される鍵が同一ではなく、かつこの鍵を使用して暗号化される任意の情報がこの情報の暗号化により保護されるので、ＰＲＮＧにより制御されるこの順序づけが認証の代わりに使用されることができる。さらに、「復号された」情報が意味をなさないので、「復号された」情報と、期待される情報との相違が即座に明らかになる。実際には、シーケンスが依然として秘密のままであることが許容可能な確度で判定されることができる場合、ビットが使用される順序を変えることにより、送信されたビットストリームから得られることができる鍵情報が制限されていることを保証する際に、ビットストリームをモニタすることに対する代替手段が提供されてもよい。

したがって、一態様では、本発明は、量子交換ステップで複数のビットを備える量子信号を交換するように構成された少なくとも２つの量子機器を備えるＱＫＤシステムを備え、量子機器のうち少なくとも１つが、鍵合意ステップで第１の鍵合意機器の役割を果たし、かつ第２の鍵合意機器と鍵を合意するように構成され、各鍵合意機器が、どのビットが鍵合意のために利用可能であるかを（たとえば、鍵合意機器間の通信により）判定し、かつ鍵合意ステップでビットが使用される順序をさらに判定するように構成された鍵判定ユニットに結合される。

「鍵合意機器」という用語は、公知のＱＫＤ技法に従って量子信号に基づき鍵合意に関与する任意の機器を指す。第２の鍵合意機器は、量子信号を交換した量子機器の他方の構成要素を備えてもよい、または量子機器であってもなくてもよい（すなわち、量子信号を送信または受信することができる）他の機器、たとえば制御機器であってもよい（または他の機器の構成要素を備えてもよい）。

鍵合意では、ビットが所定のシーケンスまたは順序で使用されることを当業者は理解されよう。ビットが受信されない、または（鍵合意で使用される通常の古典的通信に続き両方のノードにより識別されるような）正しい基底で測定されない場合、シーケンス中の次のビットが使用される。したがって、５ビットのストリングが順序３、２、５、４、１で使用されるべきであることが確立される場合があるが、ビット１が受信されず、ビット５が受信され測定されたが、符号化された基底で測定されなかった（しかし、他すべてのビットがうまく受信され、符号化された基底で測定された）場合、鍵生成のために使用されるビットのシーケンスは３、２、４である。当然のことながら、量子鍵合意は、一般に、単に原理の例示として提供された、上記の５ビットシーケンスよりもはるかに大きな長さのストリングで行われる。

公知のＱＫＤシステムでは、ビットが使用される順序があらかじめ決定され、不変である。多くの場合、順序が一般のプロトコルの一部を備える。本発明のこの態様によれば、ビットが使用される順序は鍵判定ユニットにより判定される（鍵判定ユニットは１つの、複数の、もしくは各鍵合意機器と一緒に置かれる、または遠隔であるが鍵合意機器に接続され、２つ以上の鍵合意機器と結合される）。これにより、順序が鍵合意機器間の共有秘密となることが可能になり、したがって、セキュリティに寄与する。偶然に明らかになるビットストリームを送信するリスクが取り除かれる、または低減されるだけでなく（順序が知られていない場合、どのビットが明らかになるかを潜在的攻撃者が知らないため）、好ましい実施形態では、シーケンスが知られるようになる場合、シーケンスが有用である時間が制限されるように、順序が随時変更されてもよい。さらに、順序が共有秘密であるとき、順序は鍵合意機器間の追加の検証として使用されることができる、または実際には、上記で概説されたように、他の認証方法を置換することができる。

いくつかの実施形態では、順序は各鍵合意の前に決定される。

好ましい一実施形態では、各鍵合意機器に関連する１つまたは複数の鍵判定ユニットが、擬似乱数発生器（ＰＲＮＧ）を備える。各鍵合意機器が、関連するＰＲＮＧを有してもよく、この場合、ＰＲＮＧは同等である。

好ましい実施形態では、鍵合意機器が共有値を記憶するように構成され、共有値は１つまたは複数の擬似乱数発生器のためのシードとして使用される。共有値はＩＤ鍵を備えてもよい。共有値は、ＩＤ鍵、セッション鍵、トラフィック鍵、または同種のものを更新するために、公知のＱＫＤ技法により一般的なように配送されてもよい。受信されるビットを使用するための新しい順序が、量子交換が行われるたびに、またはそれほど頻繁ではなく決定されてもよい。

本発明の他の態様によれば、いくつかのビットを備える量子信号が少なくとも２つの量子機器間で交換される量子交換ステップと、少なくとも２つの鍵合意機器に知られている値を有する量子信号のビットの少なくとも一部が両方の機器に知られる鍵を決定するために使用される鍵合意ステップとを備える量子鍵配送の方法が提供され、方法は、鍵合意ステップでビットが使用される順序を決定するステップをさらに備える。

いくつかの実施形態では、順序は各鍵合意の前に決定される。順序は、量子信号の形で交換される情報に基づき決定されてもよい。いくつかの実施形態では、量子信号は鍵を確立するときに同一の２つの機器間で交換されるが（すなわち、鍵合意機器は量子機器である）、これに該当する必要はない。量子信号は、たとえば、２つの量子機器の間で交換されてもよく、鍵がこれらの量子機器のうちの一方と別個の制御機器（これ自体量子機器であってもなくてもよい）の間で合意されてもよい。

好ましい一実施形態では、順序は、少なくとも１つの擬似乱数発生器（ＰＲＮＧ）により（たとえば、ＰＲＮＧの出力が、たとえばすでに確立された鍵を使用するなどして、暗号化され、かつ一方の鍵合意機器からもう一方に送信されてもよい、または暗号化され、かつ鍵合意機器の一方の機器から両方に送信されてもよい）、およびより好ましくは、鍵合意機器とそれぞれ結合された、関連する同等のＰＲＮＧにより決定される。ＰＲＮＧは、ＩＤ鍵を備えてもよい共有値でシードを与えられてもよい。共有値は、ＩＤ鍵、セッション鍵、トラフィック鍵、または同種のものを更新するために、公知のＱＫＤ技法により一般的なように配送されてもよい。

鍵合意ステップでビットが使用される順序を決定するステップは、量子交換が行われるたびに、またはそれほど頻繁ではなく行われてもよい。

一態様では、本発明は、量子送信機ユニットを備え、量子送信機ユニットは、ビットストリングを生成するように構成された擬似乱数発生器（ＰＲＮＧ）と、量子通信媒体上で送信するためのビットストリームでキュービットを符号化するように構成された量子エンコーダとを備え、量子送信機ユニットは、ＰＲＮＧの出力をモニタし、かつビットストリームの解析により得られることができる鍵情報を決定するように構成されたビットストリーム解析ユニットをさらに備える。

一実施形態では、量子送信機ユニットは、ＰＲＮＧのためのシードを受信するように構成された通信ユニットを備える。このシードは、鍵管理センタまたは他の制御ユニットから送信されてもよく、ビットのストリングを生成するためにＰＲＮＧにより使用されてもよい。

ビットストリーム解析ユニットは、利用可能な鍵情報が所定のレベルを超える場合、ビットストリーム調整ユニットを制御して、１つまたは複数のビットの値を変更することによりビットストリームを調整するように構成されてもよい。他の実施形態では、ビットストリーム解析ユニットが、送信を終了するように構成されてもよく、通信ユニットが新しいシードを要求してもよい。

本発明の他の態様によれば、量子鍵配送システムで使用するための、ビットストリーム解析ユニットを備える擬似乱数発生器が提供される。ビットストリーム解析ユニットは、上記のビットストリーム解析ユニットに関して説明された特徴のいずれかを有してもよい。

本発明はまた、他の追加の装置と一緒に本発明を具体化する装置の１つまたは複数の実施例を備える、通信のためのシステムを提供する。

本発明はまた、説明された装置が動作する、装置のあらゆる機能を実行するめの方法ステップを含む方法を対象にする。

本発明はまた、機械可読な形で、動作時に、装置および／または方法のあらゆる機能を実行するように構成されたコンピュータソフトウェアを提供する。

本発明はまた、本発明のその他の態様により使用される信号を対象にする。

好ましい特徴が、当業者に明らかであるように、必要に応じて組み合わせられてもよく、本発明の態様のいずれかと組み合わせられてもよい。

本発明がどのように実施されることができるかを示すために、次に、本発明の実施形態が、単なる例として、添付図面を参照して以下で説明される。

分散ＱＫＤネットワークの一例を示す。 ノード間の相互認証を概略的に示す。 いくつかのエンクレーブ（ｅｎｃｌａｖｅ）を備えるネットワークの一例を示す。 いくつかのエンクレーブを備えるネットワークの他の例を示す。 ビットストリーム解析の方法におけるステップの流れ図を示す。 図５の方法で使用するための装置の一例を示す。 鍵を生成する際にビットを使用するための順序を決定するように構成された装置の一例を示す。

本発明のいくつかの実施形態が、分散ＱＫＤまたはシリアルＱＫＤのモデルを利用して、下流のセキュリティを改善する。従来のＱＫＤでは、データが隣接ノード間でホップする。ノードへのアクセス権が得られることができる場合、ネットワークを通過する情報のすべてを理解し、したがってネットワークのセキュリティを破ることが可能である。

公知のＱＫＤシステムでは、物理的セキュリティに依存して、ノードへのアクセス権が得られることができないことを保証する、またはノードの物理的セキュリティが損なわれた場合、セキュリティが損なわれたことを示すエラーメッセージが生成される（またはいくつかのシステムでは、ノードが一般に自分のセキュリティが損なわれていないことを示すメッセージを送信し、このようなメッセージが存在しないことが警告を提供する）。しかしながら、すべてのノードが、信頼できる組織の制御下にあるわけではないということがある。詳細には、実際の実施形態では、任意のこのように生成されたエラーメッセージを転送すると確信できない、中間ノードのうち１つまたは複数が、機関または組織により提供される場合がある。たとえば、実際のネットワークでは、第三者（完全に信頼できるわけではない場合がある）により管理および認証される、制御されない中間ネットワークを通過することにより、メッセージが、一方の信頼できるサブネットワークまたはエンクレーブから第２の信頼できるサブネットワークに安全に渡される必要がある場合がある。この例では、エンクレーブ内で動作しているネットワーク管理システムへのセキュリティ警報が送信されない場合がある（たとえばブロックされる）、またはセキュリティ警報の内容が改変される場合がある。

したがって、各ノードのための改ざん防止セキュリティが、アラームを発する（あるいは、ノードを損なうもしくは乗っ取る任意の物理的改ざんの試みを検出するのに、定期検査が、費用効率が高いおよび／または十分である）ことが常に仮定されることができない。

上述のようなＤＱＫＤでは、たとえば本出願者らの先行出願である国際公開第２００９／０９３０３６号では、鍵がノードを通して次のノードに中継されないので、制限された有用な情報が得られることができることがこれまでは仮定されていた。しかしながら、マロリがノードを実際に制御する、またはノードの内部メッセージ伝達のすべてを読み取ることができる場合、一方のノードで得られた情報が、次のノードと交換された量子信号の洞察を提供するので、このようなノードを下流方向に通過するネットワーク経路のセキュリティに関するセキュリティ問題が存在する（すなわち、このノードから前方へ通過した情報が危険な状態にある）という新しい洞察が示された。

しかしながら、ここで説明されたように、ノードが物理的に損なわれた場合でさえ、得られることができる情報の量を制限するために、適切なネットワーク設計が使用されることができる。

たとえば国際公開第２０１０／０６４００３号でより詳細に説明されているように、図１が、量子暗号を実現させるためのネットワークを、この具体的事例では、暗号化されたメッセージを２つの開始ノード（鍵管理センタ（ＫＭＣ））ＫＭＣ_１、ＫＭＣ_２のいずれかから中間ノードであるＮｏｄｅ_２〜５を介して４つのエンドポイントノードであるＥｎｄＰｏｉｎｔ_６、ＥｎｄＰｏｉｎｔ_７、ＥｎｄＰｏｉｎｔ_８、ＥｎｄＰｏｉｎｔ_９のいずれかに渡すためのネットワークを示す。エンドポイントノード間を渡されるデータの暗号化用にトラフィック鍵が使用される。この鍵は、ＫＭＣとエンドポイントノードの間で合意された量子鍵を使用して暗号化された形で、ＫＭＣから各エンドポイントノードに供給される。この量子鍵は、個々の量子鍵が、制御ＱＫＤ機器の役割を果たすＫＭＣと、ＫＭＣとエンドポイントノードの間の経路内のあらゆる他のノード（中間ＱＫＤ機器）との間で順番に合意される処理により確立されてもよい。たとえば、ＫＭＣ_１とＥｎｄＰｏｉｎｔ_６の間で量子鍵を確立するためには、ＫＭＣ_１とＮｏｄｅ_２の間、ＫＭＣ_１とＮｏｄｅ_３の間、および最後にＫＭＣ_１とＥｎｄＰｏｉｎｔ_６の間で量子鍵がまず確立される。一例では、ＫＭＣと、ＫＭＣとエンドポイントノードの間の経路内の所与のノードとの間で量子鍵を確立するために、所与のノードと経路内の前のノードの間で量子信号が渡されてもよく、その量子信号内の情報が、前のノードとＫＭＣの間で確立された量子鍵を使用して、前のノードからＫＭＣに渡されてもよい。次いで、所与のノードとＫＭＣの間で鍵合意ステップが行われて、これら２つのノード間で量子鍵を確立してもよい。

この処理における段階をより詳細に考慮すると、量子鍵がＫＭＣ_１とＮｏｄｅ_３の間で確立されたとき、量子交換ステップの後に鍵交換ステップが続く。量子交換ステップでは、Ｎｏｄｅ_２（第１の量子ノードの役割を果たす）が、Ｎｏｄｅ_３（第２の量子ノードの役割を果たす）と量子リンク上で量子信号を交換する。第１の量子ノードであるＮｏｄｅ_２は、ＫＭＣ_１（制御ノードの役割を果たす）と通信して、Ｎｏｄｅ_２により送信される量子信号に関する情報を共有する。次いで、Ｎｏｄｅ_３とのその後の鍵合意ステップに関与するのがＮｏｄｅ_２ではなくＫＭＣ_１である。

ＫＭＣとエンドポイントノードの間で量子鍵を確立するこの段階的な方式が、量子信号が送信されてもよい最大距離に関係する、実際的に考慮すべき点により、ネットワーク内の隣接ノード間の距離が制限されるという問題を克服する。

また、任意の２つのノード間で量子鍵を確立するには、通常、２つのノード間で共有された認証鍵を使用した認証ステップを伴う。ネットワーク内の一般的ノードにより記憶されなければならない認証鍵の数は、特定のノードだけが、この例ではＫＭＣが開始ノード、すなわち暗号化されたメッセージがエンドノードに送信されてもよいノードの役割を果たすことができるようにすることにより制限されてもよい。

図２は、２つのネットワークノード間で、たとえば図１のネットワーク内のＫＭＣ_１とＮｏｄｅ_３の間で、量子鍵を確立する際の従来技術のステップを示し、詳細には、相互認証の処理を示す。図２では、２つのノードがＮｏｄｅ_ＸおよびＮｏｄｅ_Ｙとラベル付けされ、それぞれ上記の例でＫＭＣ_１およびＮｏｄｅ_３とみなされる役割を果たす。Ｎｏｄｅ_Ｙは、Ｎｏｄｅ_Ｘに知られている（しかし本明細書で説明される実施形態では、常にＮｏｄｅ_Ｘから送信されるわけではない）ビットストリームに基づく量子信号ＱＳを受信する。次いで、Ｎｏｄｅ_ＸおよびＮｏｄｅ_Ｙは、鍵合意ステップで、すなわち、量子鍵が合意されるステップで、古典的チャネル上でメッセージＭＸＹ、ＭＹＸを交換する。最後に、この量子鍵が使用されることができる前に、Ｎｏｄｅ_ＸおよびＮｏｄｅ_Ｙの各々が、認証ステップで自分のＩＤを他方にそれぞれ立証しなければならない。認証ステップでは、Ｎｏｄｅ_Ｘ、Ｎｏｄｅ_Ｙの各々が、Ｎｏｄｅ_Ｙが鍵合意ステップで他方のノードに渡したメッセージＭＹＸの認証鍵を使用して、暗号ハッシュを他方のノードに渡し、暗号ハッシュは、２つのノードであるＮｏｄｅ_ＸとＮｏｄｅ_Ｙの間の「共有秘密」である認証鍵ＡＹを用いて生成される。図２では、暗号ハッシュは、［ＭＸＹ］_ＡＹおよび［ＭＹＸ］_ＡＹと示されている。各ノードは、他方のノードから受信したハッシュを、ローカルに生成された同等物と比較し、したがって、他方のノードのＩＤを確認し、したがって、いわゆる「中間者攻撃」から保護する。ノードであるＮｏｄｅ_Ｘ、Ｎｏｄｅ_Ｙの間で確立された量子鍵の全体または一部が、２つのノードにより共有される認証鍵ＡＹを生成または更新するために使用されてもよい。

図１を再び参照すると、ＫＭＣ_１は認証鍵Ｉ_１−２、Ｉ_１−３、Ｉ_１−５、Ｉ_１−６、Ｉ_１−７をそれぞれＮｏｄｅ_２、Ｎｏｄｅ_３、Ｎｏｄｅ_５、ＥｎｄＰｏｉｎｔ_６、およびＥｎｄＰｏｉｎｔ_７と共有する。したがって、ＫＭＣ_１と、これらの中間ノードおよびエンドノードの任意の１つとの間で量子鍵が合意されてもよい。量子鍵は、セキュリティを改善するために変更されてもよい。共有認証鍵を更新するために、新しい量子鍵が使用されてもよい。同様に、ＫＭＣ_２は認証鍵Ｉ_２−２、Ｉ_２−４、Ｉ_２−５、Ｉ_２−８、およびＩ_２−９をそれぞれＮｏｄｅ_２、Ｎｏｄｅ_４、Ｎｏｄｅ_５、ＥｎｄＰｏｉｎｔ_６、およびＥｎｄＰｏｉｎｔ_８、およびＥｎｄＰｏｉｎｔ_９と共有する。

次に、分散ＱＫＤネットワークのセキュリティを改善および保証する方法が、図３を参照して説明される。

一般に、マロリの攻撃が隠れていることが意図されると仮定される（しかし同じく、マロリが、公然の攻撃を使用して、たとえば、ネットワークトラフィックを、マロリが制御することができるノードに迂回させる、または鍵の分割などのセキュリティ増大手段を防ぐことができることが思い出されるべきである）。

図３は、制御ＱＫＤ機器の役割を果たす鍵管理センタＫＭＣが、この場合Ｎ_３で示される所与のエンドポイント機器と安全な通信をセットアップすることを望むネットワーク３００を示す。２つの中間ＱＫＤ機器Ｎ_１およびＮ_２が存在する。本出願者らによる先行出願（たとえば国際公開第２００９／０９３０３４号）でより詳細に説明されたように、ＫＭＣとＮ_３の間で鍵を確立するために、ＫＭＣが量子信号Ｓ_Ｑ１をＮ_１に送信し、次いで、古典的通信Ｓ_Ｎ１を使用して、量子鍵をＮ_１と合意し、ＫＭＣおよびＮ_１が相互認証を実行する。次いで、Ｎ_１が量子信号Ｓ_Ｑ２をＮ_２に送信する。Ｎ_１およびＫＭＣがこの信号に関する情報を交換する。Ｎ_１がＫＭＣに量子信号に関する情報を提供する場合がある。この情報が、信号自体（すなわち、完全なビットストリーム）を示す情報であってもよい、または「開始ポイント」、もしくは擬似乱数発生器のためのシードであってもよい（この場合、Ｎ_１もＫＭＣも同等の擬似乱数発生器を含む）。Ｎ_１によりＮ_２に送信される量子ストリングが、代わりに、たとえば擬似乱数発生器のシードまたは完全なビットストリームをＮ_１に送信してもよいＫＭＣにより規定された可能性がある（すなわち、情報交換が、Ｎ_１からＫＭＣ、もしくはＫＭＣからＮ_１とすることができ、実際には、ビットストリームが第３のエンティティから全体が、またはシードとして送信されてもよく、たとえば本出願者らの先行出願に記載されるような他の選択肢も可能である）。交換される情報が、ＫＭＣとＮ_１の間で合意された鍵を使用して暗号化されてもよく、ＫＭＣが、古典的信号_ＳＮ２を使用して量子鍵をＮ_２と（しかもＮ_１を経由せず）直接合意するのに十分な情報を有することを保証する。次いで、Ｎ_２およびＫＭＣが相互に認証してもよい。次いで、Ｎ_２が量子信号Ｓ_Ｑ３をＮ_３に送信し、ＫＭＣとＮ_２の間で合意された鍵を使用して暗号化された、この量子信号に関する情報をＫＭＣと交換し、次いで、ＫＭＣが通信Ｓ_Ｎ３で、古典的チャネル上で量子鍵をＮ_３と直接合意することができる。

分散ネットワークで鍵を確立する他の方法が当業者によく知られており、必要に応じて、上記で概説された方法の代わりに使用されることができる。

本発明の一実施形態としてここで説明されたセキュリティ強化ネットワーク３００では、ＫＭＣは第１のエンクレーブ３０２により提供される信頼できるサブネットワーク内の物理的に安全な場所の中にある。エンドノードＮ_３は、第２のエンクレーブ３０４により提供される信頼できるサブネットワーク内の別個の物理的に安全な場所の中にある。しかしながら、Ｎ_３に到達するためには、制御されないサブネットワーク内の、すなわち、ノードＮ_１の物理的セキュリティが保証されることができない、および／またはＮ_３で発せられた任意のアラームがＫＭＣに到達することが安全に仮定されることができない領域内の、少なくとも１つのノードＮ_１を通信が通過しなければならない。

ネットワーク３００は、ネットワーク３００により送信されるデータのセキュリティをいくつかの方法で改善するように構成され、これらの方法は、独立にまたは組み合わせて使用されることができ、既存のセキュリティ手段、たとえばハッシング、プライバシ増幅、および同種のものと共に使用されてもよい。これらの方法は、ネットワーク３００の少なくとも一部の内部に一定レベルの損失を保証するステップを含む。さらに、この例では、最後から２番目のノードおよびエンドポイントノードが安全な第２のエンクレーブ３０４内に位置する。他の方法が、送信されたビットストリームを解析して、送信されたビットストリームが、このビットストリームから生成されてもよい鍵に関して受け入れられない量の情報を提供しないことを保証するステップ、および／または鍵を生成するためにビットが使用される順序を変えるステップを含む。このような方法について、以下でより詳細に説明される。

次に、セキュリティを改善する際の、ネットワーク３００内の損失の役割について説明される。

概念上、ＱＫＤのいくつかの実施形態では、光子のストリームがノード間で送信され、各光子がデータの単一ビットを表す。しかしながら、実際には、単一光子発生源を作り出すことが技術的に困難であるため、ＱＫＤシステムは、大きく減衰させられたレーザをしばしば使用する。レーザと減衰器の組合せが、各パルス内に平均で１個未満の光子が認められるように、パルスを放出するように構成されてもよい。これは、μ＜１と呼ばれる。μの典型的な値が０．１であってもよい、すなわち、１０個のパルスごとに、平均で、ほぼ９個に光子がなく、１個が１つの光子を含むが、どのパルスが１つまたは複数の光子を含むか知られていない。

より正確には、パルス当たりの光子数がポアソン分布に対応する。μ＝０．１に対して、平均で、ほぼ９０．５％のパルスが空であり、９．０５％のパルスが１個の光子を有し、０．４５％のパルスが２個の光子を有し、０．０１５％のパルスが３個の光子を有するなどである。公知のセキュリティ攻撃では、マロリが、いくつかのパルスが２個以上の光子を有するという知識を使用し、これらの複数光子のパルスを使用して情報を得る場合がある。

システム内の損失が十分大きい場合（しきいレベル以上）、このことは、プロトコルで規定されるセキュリティが回避されることができることを意味する。事実上、攻撃者が「損失の中に隠れる」ことができ、すべての単一光子のパルスを停止し、複数光子のパルスを受信機に送信する。このような攻撃を検出する方法が、デコイ状態を使用することである。このような状態では、典型的には、２つまたは３つの異なる値のμが使用される（すなわち、μが２つまたは３つの所定の値の１つから選択される）。たとえば、μが、ある時間には０、他の時間には０．１、および第３の時間には０．５であってもよい。値は各パルスに対してランダムに変更される。μの値は、ビットの送信後に、検査するメッセージ伝達プロトコルの一部として交換される。パルスが傍受された場合、統計データが整合しない。

送信での損失のために、送信された所与のランダムストリングに対して、このストリングの一部だけが受信機に到達する。さらに、ビットが、受信機内部で失われる、または正しくない基底で測定される、およびふるい分けで排除される、またはプライバシ増幅もしくは同種のもので失われる。その結果、送信されたストリングのサブセットだけが、鍵生成で使用するために利用可能である。送信でどのビットが失われるかを前もって知ることはできないが、鍵生成のために利用可能なサブストリングが、送信されたストリング内に出現した順序と同一順序のビットのストリングであることが知られている。所与の送信されたストリングから得られることができる可能なこのようなサブストリングの数が、確率論を使用して計算されてもよい。

最初に送信されたストリングがＳ_Ｑ２と示され、かつ損失がビットのランダムなサブストリングＳ’_Ｑ２をもたらすランダム過程である場合、確率論の見地から、サブストリングＳ’_Ｑ２は、ビットシーケンスの、多くの異なるランダムな選択を有することができる。ビットのストリングのランダムな選択の数が、組合せの確率論を使用して表されることができる。

ネットワーク３００および／または少なくとも１つの受信ノード内部の、一定レベルの損失を選択または保証することにより、システムの中にさらに高いレベルのセキュリティが導入される。所与のノード、たとえばＮ_１が損なわれ、かつ攻撃者が、Ｎ_２に送信された完全な量子ストリングＳ_Ｑ２を知っている場合でさえ、攻撃者が、これらのビットのうちどれが受信され、かつ正しい基底を使用して測定されるかを知らず、かつ以下で典型的な損失を参照してより完全に実証されるように、正しく推測する可能性が極めて低い。従来のＱＫＤでは、どのビットが受信されたかをＮ_２がＮ_１に即座に伝えるので、このことはＮ_１を支配している潜在的攻撃者にとって問題とならない。しかしながら、上述のように、この場合、Ｎ_２は、信号Ｓ_Ｎ２を使用して古典的通信チャネルを介してＫＭＣと通信し、したがって、この情報を得るためには、攻撃者が、この例では対称暗号化を使用して暗号化された、Ｎ_２からＫＭＣへのトラフィックＳ_Ｎ２を傍受し、かつトラフィックＳ_Ｎ２を復号しなければならない。

どのビットが鍵生成のために利用可能であるかを正しく推測する可能性が、予想損失３ｄＢ（すなわち、装置が、間違った基底を使用して平均でビットの５０％を測定するときの、ＢＢ８４プロトコルシステムでの最小の予想損失である、送信されたビットのおおよそ半分であり、これらのビットはふるい分け過程により取り除かれる）を利用した少し理想的な状況を使用して、以下で概説されるように計算されることができる。実際には、損失３０ｄＢ（ビット損失係数１／１，０００）が認められることがある（詳細には、送信損失が考慮された場合）。現在の技術を使用して注意深く作られたＱＫＤ受信機でさえ、受信機自体の内部で損失１０ｄＢが予想される。上記で指摘されたように、傍聴者が受信ノードのすぐ外側に減衰器を配置し、したがって、どのビットが受信されたかを高い確度で知ることができるという懸念のために、制御されるのはノード内部の損失だけである場合がある。

μ＝０．１で何１０メガビットものパルスが送信される場合、これらのパルスのほぼ１／１０が光子を含む。μ＝０．１で１００，０００，０００個のパルスを送信する例を取り上げると（すなわち、これらのパルスの１／１０が光子を含む）、この場合、ほぼ１０，０００，０００ビットの送信となる（減衰過程は統計的であり、したがって、ビット数は実際には１０，０００，０００より多いまたは少ない場合がある）。損失３０ｄＢは、ほぼ１／１，０００だけの減少を意味し、すなわち、ほぼ１０，０００ビットが受信される。これは組合せ理論を用いて^{１００，０００，０００}ｃ_{１，０００}、またはどのパルスがパルスの中に光子を有するかを攻撃者が検出することが可能な場合には^{１０，０００，０００}ｃ_{１０，０００}と表現されることができる。これは非常に大きな数値である。たとえ損失が３ｄＢしかないと仮定しても、かつ最初のストリング長が１０００ビットしかないと仮定すると（この場合も、実際には普通よりはるかに小さい）、この確率が以下に示される（この場合も、すべての数値は近似である）。

ファイバの距離約８０ｋｍ〜１００ｋｍおよび現在の技術を仮定すると、ファイバに沿った（および光ネットワーク構成要素を通る）損失が、ＱＫＤ受信機内部（たとえばＮ_２内）の損失と組み合わせられ、かつデコイ状態およびＱＫＤプロトコルの適用による損失と組み合わせられた組合せが結合して、非常に大きな損失（典型的には＞３０ｄＢ）を生み出す場合がある。受信機内の損失だけが考慮される場合でさえ、少なくとも１０ｄＢの損失が予想される場合がある。さらにこの単純な例では、ほぼ５００ビットがシーケンスＳ’_Ｑ２を形成すると仮定しているが（これらのビットの半分が異なるデコイ状態を表す）、実際には、はるかに大きなストリングが送信され、これにより５００ビットの選択数がさらに大きくなり、実際には、組合せの数が何倍も大きくなる場合がある。

ランダムビットの受信されたストリングは、セッション鍵が確立される鍵素材を依然として形成したままである。たとえば、上述のように、すでに確立された認証鍵を使用して完全なメッセージ伝達シーケンスの適切なハッシュを利用することにより、認証が完了されることができる（または認証は、メッセージ処理中の複数の機会に行われてもよい）。

マロリがＮ_１（またはより一般的な言葉で言えば、ネットワーク３００の制御されない部分内の任意のノード）に対して隠れた攻撃をうまく仕掛けようとする場合、ネットワークセキュリティ警報を発することなく、または少なくともセキュリティ警報がＫＭＣに到達することなく、Ｎ_１の改ざん防止手段が破られなければならない。しかしながら、これが達成された場合、マロリは、やりとりされるすべてのトラフィックをモニタすることが可能であり、かつ自分がそう選択する場合には、トラフィックを変えることができると仮定されてもよい。わかりやすくするために、この例では、マロリは他のノードに対して他のどのような攻撃も行わない。

この例では、純粋に例として、マロリは、Ｎ_１に送信され、かつＫＭＣにより暗号化されたランダムストリングＳ_Ｑ２の完全な内容を知っている。したがって、マロリは、デコイ状態のために使用された値を知っている。マロリはまた、Ｎ_２に送信されることになっている量子信号に対するランダム基底を知っている。この実施形態では、ＱＫＤデコイ状態が利用されるので、上記のことは、Ｎ_２に到達する任意のパルスの確率をマロリが変えようとする場合（すなわち、受信されたビットの少なくとも一部をマロリが判定することができるように、いくつかのビットが変更される）、このことが誤り検査結果をしきい値の上に持っていくエラーを導入し、かつネットワーク３００が破られたという旨の警報をもたらすので、Ｎ_２が統計データ内の任意の変動を検出することができることを意味する。本明細書では、マロリは、ＫＭＣとＮ_２の間ですでに確立された認証鍵に関する事前情報を有しないことが仮定され、これは、ＫＭＣとＮ_２の間のその後のＱＫＤプロトコルメッセージ伝達が、破られていない暗号化により保護されることを意味する。ＫＭＣおよびＮ_２は、送信されるストリングＳ_Ｑ２よりも短く、かつこの段階ではマロリに知られていない最終ストリングＳ’_Ｑ２を確認することが可能である。

この例では、ネットワーク３００は、Ｓ_Ｑ２に対する「ビット損失係数」が、鍵の組合せの数（たとえば２^１２８）より大きい可能なサブストリングの数より十分大きくなるように構成されるが、合意される鍵により保護されるべき情報に応じて、他のレベルが適切な場合がある。ビット損失係数は、Ｎ_２の設計（たとえば、光学構成要素の選択、またはファイバの選択もしくはファイバの長さ）、「使い捨て」アルゴリズムの使用、プライバシ増幅、または同種のものにより保証されることができる。

しかしながら、他の例では、Ｎ_２内部のビット損失係数が（いくつかの例では、盗聴者が、Ｎ_２で受信されるビットをすべて知っている場合があるというリスクが存在し、したがって、送信の損失が無視されてもよいことを思い出すと）、たとえば超伝導構成要素を使用して理論的最小値５０％に近づく場合がある。

この実施形態では、ネットワーク３００は、Ｎ_１からＮ_２に送信されるビットの最大１／１０が、量子鍵を合意する際に使用されるように構成される。この例では、ＫＭＣは、受信され、かつ鍵生成で使用するために利用可能なビット（この情報は、ＫＭＣとＮ_２の間の通常の鍵合意通信でＫＭＣに利用可能になる）と、送信されたビット数（Ｎ_１とＫＭＣの間の通信から知られる）との比を計算するように構成されたセキュリティマネージャＳＭを備える。セキュリティマネージャＳＭが、１０ビット中２ビット以上が使用されると判定した場合、Ｎ_２と鍵を確立する試みが放棄される。ＫＭＣは、量子信号として新しい、より長いビットストリームをＮ_２に送信するようＮ_１に指令し、さらに、より高いレベルのセキュリティ増幅（ハッシングにより、より高い程度のビット損失をもたらす）を利用するようＮ_２に指令する。便宜上、ＳＭはまた、ＱＫＤで使用される標準的なセキュリティ検査を実行してもよく、たとえば、盗聴が発生したかどうかを判定するために誤り率を検査するが、この検査は、スタンドアロンの処理システムとすることができる。

他の例のビット損失係数が、１／５、１／１００、１／１，０００、または同様な値であってもよい。

さらに、Ｎ_２およびＮ_３が、保護されたエンクレーブ３０４内に位置し、保護されたエンクレーブ３０４内部のノードにより生成されたどんな警報でもＫＭＣに到達すると確信することができる。これは、ネットワークが完全性を有することを意味し、すなわち、Ｎ_２／Ｎ_３で生成された警報が存在しない場合、ネットワークの改ざんに成功しなかったことをユーザが合理的に確信することができる。また、当然のことながら、攻撃者がいくつかの例ではこのようなメッセージを傍受するように行動する場合があるので、攻撃が識別できないことを示す「状態」メッセージをノードが送信してもよく、したがって、このようなメッセージが存在しないことが警報を構成することができる。また、この例では、メッセージがＫＭＣに送信されるが、代わりに、ＫＭＣと同じ場所に配置されても、ＫＭＣとは別個であってもよい何らかの別個のネットワーク管理機器にメッセージ送信されてもよいことが理解されよう。

上記で示されたように、変形の数が非常に大きいので、マロリは任意の鍵に対して使用されるビット値を推測することが容易にはできない。実際には、変形の数は対称暗号化鍵に対するより何倍も大きいので、マロリが、たとえばネットワークで使用される１２８ビット対称暗号化鍵を力ずくで、ノードに対してＫＭＣにより使用されるセッション鍵を推測することは、より容易である。

マロリがシーケンスＳ_Ｑ２を変更することにより、より多くの情報を得ようと試みる場合、ＫＭＣとＮ_２間の誤り訂正処理が、使用されたデコイ状態に対しても、同じくビットシーケンスに対しても、本来の完全性検査を行うので、マロリは検出される。これにより、マロリは、さもなければ自分の存在が即座に検出される、本来のネットワーク誤り率の範囲内に制約される情報だけの使用を強いられ、この情報は、その後のＱＫＤプロトコルにより取り除かれてもよい。

さらに、マロリがビットシーケンスに関する情報を（たとえば数ビット）何らかの形で実際に得た場合でさえ、この実施形態は、鍵生成の前に、ビットシーケンスをハッシュして、より短いストリングを作り出すプライバシ増幅ステップをさらに備える。ＫＭＣとＮ_２の間だけで合意された方法でビットがＸＯＲされるので（このシナリオでは、マロリがＮ_１だけにアクセスすることができることを思い出すと）、このシナリオには非可逆性がある。したがって、他の平文攻撃または組合せ攻撃により、マロリに理論的情報レベルが明らかにされたことが知られている場合、これは、適切なレベルのハッシングにより本質的に取り除かれる。したがって、誤り率に従ってプライバシ増幅のレベルを選択することにより、システムのセキュリティがさらに高められることができる。

マロリはネットワーク内の、Ｎ_１の下流のノードを攻撃することができ、Ｎ_１とＮ_２の間に他の保護されていないノードが存在する可能性がある。ＫＭＣが安全であると仮定すると、マロリは、Ｎ_１とＫＭＣの間の、または平行経路に沿った、任意のノード間の情報交換に関する情報を有しない。

いくつかのノードが、またはサブネットワークさえ損なわれる場合がある可能性がある。エンドツーエンドの暗号化鍵が最終ステップで決定されるので、マロリは、最終ノード、または最終ノードに近いノードを攻撃しようと試みることがある。したがって、ノードの物理的セキュリティの重要性（および改ざんされたときに警報を発する、ノードの能力）がチェーンのさらに下流で増大する。この理由のために、この実施形態では、ネットワークは、最後から２番目のノードおよびエンドポイントノードが、信頼できるエンクレーブ３０４の内部に存在するように設計され、このことは、古典的に高められたＱＫＤセキュリティが再確立されることを意味するが、次により詳細に説明されるように、このとき、下流のセキュリティの見込みがほとんどないことは、危険な状態である。

マロリが、力ずくの攻撃または何らかの他の手段により、ＫＭＣとＮ_１の間で使用されるセッション暗号化鍵を何らかの形で推測または突き止めることが可能である、または同じく、メッセージを傍受することができる場合でさえ、Ｎ_１から次のノードＮ_２に送信されるストリングを突き止めるための、非常に小さな時間の窓が存在する。上記で指摘されたように、損失が大きい場合、これによりそれ自体で十分な情報を提供することはないが、損失が小さい場合（または以下で説明されるように、鍵の少なくとも一部が推測されることができるようになるビットストリングが送信された場合）、マロリはＮ_３とＫＭＣの間で設定される鍵を決定し、したがって、Ｎ_３へ送信されるビットストリングを知ることができる場合がある。したがって、ＫＭＣがもう１回続けて、これらのさらされたノードとのすべての暗号化鍵を更新する前に、下流のセキュリティのチェーンが危険な状態になるという、限定されているが可能な状況が存在する。換言すれば、下流のセキュリティが完璧ではないが、鍵配送のリフレッシュレートが考慮されなければならない。これは、任意の情報へのアクセスが有効である時間の量を制限する。ネットワークが破られるに違いないというだけでなく、繰り返し破られるに違いない。したがって、リフレッシュレートは、誤り率に従って設定されてもよい。

上記で指摘されたように、この例では、Ｎ_２およびＮ_３は保護されたエンクレーブ３０４内に存在する。したがって、これらのノードにより生成された任意の警報がＫＭＣに到達する確度がより高い。

さらに、これらのノードの物理的セキュリティに、より高い信頼度が存在する場合がある。これらの度合いの一方または両方により、マロリがこれらのノードを（隠れて）支配することが不可能になる、より高い確度が可能になる。

他の分散ネットワークと同様に、サービス妨害攻撃が、ネットワーク３００を通る代替経路を提供することにより防止されることができる。また、提供される経路の多様性が、ネットワーク３００を通過しているすべての情報に盗聴者がアクセスできることを、盗聴者が保証することができるためには、すべての可能な経路が破られなければならないことを意味する。したがって、本明細書で説明された考えは、鍵を分割し、かつ鍵の一部を異なる経路により送信する公知のシステムと共に使用されてもよい。しかしながら、サービス妨害タイプの攻撃が、損なわれたノードを介してトラフィックを迂回させるという実際の動機づけで使用されるおよび／またはすべてのネットワークトラフィックが１つまたは少数の経路に沿って進まなければならないことを保証することができるというリスクが存在する。

図４は、図３のネットワーク３００と対照的に、第２のエンクレーブ３０４が別個のＫＭＣであるＫＭＣ_２を有するネットワーク４００の一例を示す。この例では、ＫＭＣ_２はＫＭＣ_１のスレーブであるが、他の例では、ＫＭＣ_２は独立しており、エンドユーザにより信頼されてもよい。

このようなネットワーク４００では、いずれのＫＭＣからも更新される１組の鍵を導入することにより、セキュリティを強化することが可能である。図４の例では、ノードＮ_２およびＮ_３は、ＫＭＣ_２により、同じくＫＭＣ_１により（相互認証処理により）更新されることができる複数組の鍵を有する。したがって、両方のＫＭＣが、これらのノードに対する認証鍵を共有する。

通常、Ｎ_２がＫＭＣ_１に対して認証するとき、Ｎ_２はたとえば、メッセージ伝達処理中に設定されるメッセージ全体の暗号ハッシュを形成して、新しい１組の鍵を確立してもよい。このとき、Ｎ_２は、ＫＭＣ_１およびＫＭＣ_２からの認証鍵で二重に暗号化することができる。この鍵を再利用するのを避けるために、この鍵はＫＭＣ_２により頻繁に更新され、必要なときに暗号化され、ＫＭＣ_１と共有されることができる。

あるいは、認証鍵が再利用され、フィルガン（ｆｉｌｌ ｇｕｎ）を使った更新（たとえば、本出願者の先行出願である国際公開第２０１０／０４９６７３号の量子フィルガン）、またはたとえば本出願者らの出願である国際公開第２００９／１４１５８７号に記載されているような、移動可能な鍵機器を介した不定期または定期的な更新により、ＫＭＣ_１およびＫＭＣ_２が鍵を置換したときに新しい複数組の鍵の組合せが確認された後にだけＫＭＣ_２により置換される。これらの事例では、通信の下流のセキュリティがリセットされる。

マロリによる任意の他の損なう攻撃が、第２のエンクレーブまたはサブネットワーク内部のＫＭＣ_２に向かう上流方向のあらゆるノードに対するものに違いない。

ＫＭＣ_２は、情報が二重に暗号化されるように、独立した鍵を生成することができる。２つのＫＭＣが、相互認証を使用して連絡を保つことができる。

図３のネットワーク３００では、最終ノードＮ_３がエンドポイントであり、第２のＫＭＣに、たとえば家庭、事業単位、またはデスクトップに接続されない。これらの状況では、第２の認証鍵が、トークンまたはフィルガンを使用して物理的にインストールされることができる。これにはまた、個人にアクセス制御を提供する必要がある場合があり、この鍵は常にＫＭＣ_１に知られ、したがって、容易に取り消される、または更新されることができる。

次に、ビットストリームを解析することにより明らかにされることができる、送信されたビットストリーム中に有用な情報を提供するリスクに対処する方法が、図５〜図７を参照して説明される。

ＱＫＤプロトコルの下では、トラフィック鍵またはセッション鍵を合意するために、一方のノードが、一連のランダムなまたは擬似ランダムなビットをもう一方のノードに送信する。この鍵を頻繁に変更して、力ずくの「鍵消耗」攻撃により（典型的には対称）鍵を解読するために利用可能な時間を限定することはよい慣行である。これは、ＱＫＤシステムでは、新しい鍵が比較的頻繁に（これは、１カ月に１度、１日に１度、１時間に１度、１分に１度、またはいくつかの他の時間枠では、ネットワークの所望のセキュリティおよび暗号化のロバスト性を考慮して必要に応じてということを意味する場合がある）作り出されることを意味する。

上記で説明されたように、送信の損失、および受信ノード自体の効率の悪さのために、送信されるビットのサブセットだけが受信される。さらに、受信ノードは、ビットがどの基底で送信されたかに関し推測し、かつ正しくない推測が行われたビットが鍵生成で使用されないので、マロリが、どの受信されたビットが使用されるかを判定することが不可能な場合がある。さらに、ＱＫＤシステムは、しばしば余分のビットを送信することがあるので、ビットが鍵生成のために選択される前に、「使い捨て」アルゴリズムまたはハッシングアルゴリズムが使用される。ビット損失係数を参照して上記で説明されたように、このことが、ＤＱＫＤネットワークのセキュリティを不確実に増大させるが、それにもかかわらず、送信されたビットストリームを調べることにより、受信されたビットの少なくとも一部を盗聴者が推測することが可能な場合がある。

この極端な例を示すと、送信されたビットストリームが１または０の一貫したシーケンスで、たとえば１列に並んだ５０個の１で開始することが、随時発生する。ノード内部に３ｄＢの損失を有するシステムでは、受信され、かつ鍵で使用するために利用可能な第１のビットが１であることが、高い確度で仮定されることができる（当然のことながら、ビットが受信された順序で使用されなくてもよいことが留意される）。同じく、受信され、かつ利用可能な第２のビットが１である可能性が非常に高いなどであり、ビットストリームを通じて確実性が低下する。受信された１つのビットだけでも知り、かつ受信されたストリームから生成される鍵におけるこのビットの位置を知ることは、鍵を解読する際に、暗号という重荷を軽くするのに大いに役立ち、力ずくの攻撃では、それぞれの既知のビットが、鍵を解読するのに必要な平均時間を半分だけ低減する。当業者によく知られているが、１２８ビットの鍵は、鍵を網羅的に試験し、したがって鍵を確実に解読するのに２^１２８回までの実験を必要とする。

最初の６ビットが既知である場合、鍵を網羅的に試験するために２^１２２回の実験だけが必要であり、これは非常により高速に行われることができる。

したがって、鍵中のビットのうち少なくとも１つのよい指示を提供するビットストリームが認められるまで、盗聴者が待つことを選択することができる。一実施形態では、ＫＭＣおよび／またはノードが、割り当てられた「開始位置」またはシードからビットを生成する擬似乱数発生器（ＰＲＮＧ）を有する。シードは、ＫＭＣと送信ノードの間で共有されてもよい。開始位置を変更することにより不正を働くノードの存在が明らかになるので、不正を働くノードが開始位置を変更することができないと仮定されている。しかしながら、鍵生成で使用されるビットの１つまたは複数が相当の確度で推測されることができるようになるビットのシーケンスが認められ、次いで、この情報を使用して力ずくの攻撃が開始されるまで、ノードが待つことができる。隠された部分をより明らかにするビットストリームが受信された場合、この攻撃は放棄されることができる。

ここで説明された例では、ビットが、受信された順序で使用されると仮定されているが、以下でより詳細に説明されるように、このことが当てはまる必要はない。

ビットストリームがあまりにも多くの鍵情報を明らかにする場合があるという起こり得るリスクに対処するために、いくつかの一貫したランダムな数字が設定されてもよいレベルが、警報生成をもたらしてもよい、または鍵生成が再び開始される、または反対極性のいくつかのビットを含むように、ビットストリームが変えられることができる。送信されたビットが受信されたと判定されてもよい確実性が、システム内の損失に依存するので、これらの損失がどのようなものであるかを予想して数値が選択されてもよい。

この方法がどのように実行されることができるかの一例が図５に提供されている。図５は、ＫＭＣが、自分が送信するビットストリームをモニタする処理（ステップ５０２）におけるステップの流れ図を示す。ステップ５０４で、第１のビットが値１または０であるかどうかを処理が判定する。ビットが１である場合、第１のカウンタ（ｎ）が始動させられる（ステップ５０６）。ビットが０である場合、第２のカウンタ（ｍ）が始動させられる（ステップ５０８）。ステップ５１０で、第１のビットが１であった場合、次のビットが１であるかどうかが判定され、１である場合、カウンタｎが増分され（ステップ５１２）、カウンタが所定のしきい値を超えたかどうかに関して検査が行われる（ステップ５１４）。これが、それぞれの連続する１についてカウンタが増分されて継続し、ついにはしきい値に到達し、この場合、ビットストリームが終了し（ステップ５１６）、かつ新しい鍵生成の取り組みが開始されてもよい、または０のビットが受信され、この場合、新しい第１のビットで方法が再び開始される。同様に、ステップ５１８で、第１のビットが０であった場合、次のビットが０であるかどうかが判定され、０である場合、カウンタｍが増分され（ステップ５２０）、カウンタが所定のしきい値を超えたかどうかに関して検査が行われる（ステップ５２２）。この場合も、これが、それぞれの連続する０についてカウンタが増分されて継続し、ついにはしきい値に到達し、この場合ビットストリームが終了し（ステップ５１６）、かつ新しい鍵生成の取り組みが開始されてもよい、または１のビットが受信され、この場合、新しい第１のビットで方法が再び開始される。

当然のことながら、他の実施形態では、一定のビットのストリングをカウントするように構成された単一カウンタが使用されてもよい。

一定値のビットを含むビットストリングの許容できる長さ（すなわち、ｎまたはｍに対する最大の許容できる値）が、この例では、システム内の損失、および同じくビットレート低減因子の要素であるハッシングおよび／またはプライバシ適用のレベルを留意して選択される。次いで、この長さが、これらの手段により提供されるセキュリティレベルが適切であるかどうかを判定するために、ネットワークを通過させられる情報の望ましさ、およびこのデータが保護されるべき時間の長さ（いくつかの事例では、データが数秒または数分の間安全であることを知ることが十分な場合がある）に対して評価されることができる。

この例では、ｎまたはｍの最大値が、通信のビット損失係数を参照して設定される。この例では、最大値はビット損失係数の逆数である。たとえば、ビット損失係数が１／１０である場合、しきい値に達するまで、１列に並んだ１０ビットまでが認められる場合がある。他の例では、最大値は、ビット損失係数の逆数の割合、たとえば半分、４分の１、１０分の１などであってもよい（そうはいっても、ビット損失係数が小さいとき、割合の選択範囲が小さく、ビットストリームが十分なエントロピを有することを保証するために、所望の値に対する最小値が存在してもよいことが理解されよう）。

実際には、実験が実行される順序に優先順位をつけるために、ビットストリームに関する任意の情報が使用されることができる。システム内の損失に留意して、特定の位置に出現する特定ビットの可能性増大を判定するために、解析が実行されることができる。いくつかの例では、一方の値のビットの高い割合を有するビットストリームが送信される場合があり、たとえば、最初の５０ビットの８０％が値１を有し、これは、受信される最初の数ビットが同じく値１を有する可能性が非常に高いことを意味する場合がある。ビットストリームの解析が、確実性のしきいレベルを超えて、受信されるビット、および生成される鍵内部のビット位置のしきい数値より多く明らかにする場合、システムは、鍵合意処理を終了する、および／もしくは動作し続ける、または送信されたビットストリームを「調整」して、情報が明らかにされるリスクを低減するように構成されてもよい。

このような処理で使用するための装置が図６に示されており、ＫＭＣまたは任意のノード内に配置されることができる量子送信機ユニット６００を備える。量子送信機ユニット６００は、暗号化された通信を任意の通常の手段を介して送信する前に通信を暗号化し、同じく、暗号化された通信を受信し、暗号鍵を使用して、暗号化された通信を復号する通信ユニットを、この例では暗号ユニット６０２を備える。

量子送信機ユニット６００は、擬似乱数発生器（ＰＲＮＧ）６０４をさらに備える。暗号ユニット６０２は、この例では、鍵管理センタからＰＲＮＧ６０４のためのシードを受信し、これらのシードがビットストリングを生成するために使用される。これらのビットは、量子エンコーダ６０６により量子受信機ユニット（図示せず）に量子通信媒体（自由空間、光ファイバ、または同種のもの）上で送信するための光子（またはより一般的にはキュービット）上に符号化される。

量子送信機ユニット６００は、量子送信から得られることができる情報を判定するために、ＰＲＮＧ６０４の出力に対して動作するように構成されたビットストリーム解析ユニット６０８をさらに備える。この実施形態では、ビットストリーム解析ユニット６０８は、ＰＲＮＧ６０４により出力されたビットストリームを解析するように構成され、ＰＲＮＧ出力（またはＰＲＮＧが使用するアルゴリズム）へアクセスできる盗聴者が、どのビットが受信され、したがって、どのビットが、このビットから生成される鍵中の所与の位置で使用される可能性があるかに関する受け入れられない程度の情報を判定することができると判定された場合、１つまたは複数のビットの値が反対の値に変更される。すなわち、ビットストリームが、ビットストリーム調整ユニット６１０により「調整される」。ビットストリーム解析ユニット６０８およびビットストリーム調整ユニット６１０は、ＰＲＮＧ６０４の出力が、量子信号を符号化するために使用される前に、ＰＲＮＧ６０４の出力に対して動作することが留意されよう。

この実施形態では、ビットストリーム解析ユニット６０８は、以下のいずれかが当てはまる場合に、ビットストリームを調節するように判定するように構成される：
（ｉ）最初の１００ビットが一定値である
（ｉｉ）ビットストリーム中に、２００ビットを超える一定値を含むシーケンスが存在する。

一定値のビットストリームがビットストリーム中に認められた後では、一定値のビットストリングの有用性が低減することが理解されよう。したがって、ビットストリームの場所が考慮されることができる。このような例では、ストリング中の一定ビットの最大数が、ストリング中の一定値のビットストリーム開始位置と共に増大することができるようにする機能を使用して、ビットストリーム解析ユニット６０８が動作してもよい。たとえば、一実施形態では、一定値のビットストリームの最大長が、９０＋１０ｉ未満、最大２００までであってもよく、ここで、ｉは、送信されたビットストリーム中の一続きの一定値のビットの最初のビットの場所である（またはより一般的に、ｚ＋ｙｉであり、ここでｘおよびｙは数値である。いくつかの例では、ｚおよび／またはｘはビット損失係数を参照して設定されてもよい）。この方法では、最初のビットが連続の開始であった場合、１００の連続が試験に不合格になり、２番目のビットが連続の最初のビットであった場合、１１０の連続が試験に不合格になり、５番目のビットが連続の開始であった場合、１４０の連続が試験に不合格になるなどである。

より一般的には、ビットストリーム解析ユニット６０８は、攻撃者が所定の確度で、受信機により受信されたビット数および鍵内部でのこれらのビットの場所を、送信されたビットストリームの知識から判定することができる場合があると判定された場合、ビットストリーム調整ユニット６１０にビットストリームを調整させるように構成される。当然のことながら、この数および確度は、ネットワークの用途、および必要とされるセキュリティの関連するレベルに依存する。１２８ビット鍵については、たとえば、鍵中の６ビットの値および場所を攻撃者が突き止めることが許容できてもよいのは、今や事実上１２２ビット鍵である鍵が、データが送信されるために許容できるレベルの保護を提供することができるためである。しかしながら、より機密性が高いデータまたは価値のあるデータを移送する他のネットワークでは、５０％を超える確実性で推測されることができる、許容できるビット数が、たとえば４ビットである場合がある。

ノード（および／またはＫＭＣ）が、同等のビットストリーム解析ユニット６０８およびビットストリーム調整ユニット６１０を有してもよいことが理解されよう。ビットストリーム調整ユニット６１０は、機器間で共有された規則に従って、ビットストリームに対して動作する。例のために、送信機ユニット６００が送信ノードの構成要素であり、かつＫＭＣが受信ノードと鍵を合意する場合、ＫＭＣと送信ノードの両方の中のビットストリーム解析ユニット６０８が、たとえばビットストリームをモニタするように構成されてもよく、１００個の連続した値１のビットが受信された場合、ビットストリーム調整ユニット６１０が、１０番目ごとのビットを、ビットストリームとして符号化される前に、値０と置換するように作動する。ＫＭＣは、同一シードから同一ビットストリームを作り出す、自分自身のＰＲＮＧを有し、したがって、同一の１００個の連続した１を認識し、量子受信機ノードと通信して鍵を確立するときに、１０番目のビットごとに０と置換することを知っている。

また、この方法でビットストリームを操作することが、ひいては潜在的暗号解読者に情報を提供するストリングのエントロピを低減することが、当業者には理解されよう。したがって、ストリング中のエントロピの適切なレベルを維持することと、特性またはサブシーケンスを明らかにすることを伴うキュービットの送信を防ぐこととの間のバランスが必要とされることがある。

この実施形態では、ビットストリーム調整ユニット６１０およびビットストリーム解析ユニット６０８が送信機の構成要素であるとして示されているが、他の例では、これらのユニットはＰＲＮＧの一部であってもよい。これにより、既存の量子ノードの中への組込が容易になる場合がある。

当業者によく知られているように、ビットが、受信される順序で使用されなくてもよい。うまく受信され、測定された場合に、送信されたビットストリームの３番目のビットごとが使用される一例を取り上げると、受信ユニットは、このビットが受信された時間に基づき、受信されたビットに位置を割り当てることができるようなクロックを有する（送信機と受信機を同期させる方法は、当業者に知られている）。（正常な鍵合意ステップで確認されるように）３番目のビットが受信され、かつ正しい基底で測定された場合、このビットは、鍵生成で使用される最初のビットである。そうではなく、６番目のビットがうまく受信され、かつ測定されたと仮定すると、この６番目のビットは、鍵生成で使用される最初のビットになる。このような例では、システムにとって関心のある連続したビットが、３番目、６番目、９番目、１２番目などのシーケンスである。このビットシーケンスは、一貫した１または０で構成されていないことを保証するために検査されるべきである。さらに、潜在的攻撃者に最も有用であるのが、使用されるシーケンスの最初にある一連のビットである（上述の例の最初の１００ビットが、この例における最初の３００ビットの３番目ごとのビットに相当する）。

当然のことながら、この場合も、３番目ごとのビットを使用することは、純粋に例示のためであり、ビットストリームが使用される方法は、自由にあらかじめ決められてもよい。実際には、上述のシステムは、ビットを「浪費する」ので、使用される可能性が低い。他の例が、奇数ごとのビットと、次いで偶数ごとのビットを、または３番目ごとのビットと、次いで最終ビット、最後から２番目のビット、最終ビットから４番目のビット、最終ビットから７番目のビットなどを使用することを含んでもよい。要約すると、可能な方式が多く存在する。しかしながら、例は、解析されるべきであるのが、使用されるビットシーケンスであり、必ずしも送信されたシーケンスではないという原理を例示するのに役立つ。

したがって、いくつかの実施形態では、使用されるビットシーケンスは、秘密の共有された値であってもよく、たとえば、ＰＲＮＧ、および認証のために使用されるＩＤを備えるシードを使用して生成されてもよい。この方法は、ビットストリーム解析と共に、またはビットストリーム解析と独立して使用されることができる。次に、このような実施形態で使用するための装置について、図７を参照して説明される。この例では、分散ＱＫＤではなく、標準的なアリスからボブ（Ａ−ｔｏ−Ｂ）について説明されるが、方法は分散ＱＫＤシステムで同様に適用されることができることが当業者には容易に理解されよう。

送信ノードアリス（Ｎ_ａ）が量子信号ＱＳを受信ノードボブ（Ｎ_ｂ）に送信する。アリスもボブも、同じく鍵合意機器の役割を果たすように構成された量子機器であり、それぞれ鍵判定ユニット７０２および通信ユニット７０４を備える。この実施形態では、鍵判定ユニット７０２はＰＲＮＧ７０６を備える。ＰＲＮＧは、同一シードを供給された場合、同一の（通常、より長い）ビットストリングを作り出すという意味で同等である。

ボブは送信されたビットの一部を受信し、これらのビットをランダムな基底で測定し、その後、古典的通信信号ＣＳを使用して、ボブおよびアリスのそれぞれの通信ユニット７０４を介して、どのビットが受信されたか、および測定のためにどの基底が使用されたかをアリスに表明する。図２に関連して上記で概説されたように相互認証する代わりに（共有認証鍵ＡＹを使用してメッセージの暗号ハッシュを準備することによる）、受信されかつ正しく測定されたビットが、このビットから鍵を生成する際に使用される順序を判定するために使用されるストリングを生成するために、共有認証鍵がＰＲＮＧ７０６でシードとして使用される。この例では、生成されたストリングの一部がビット使用順序における各ビットを識別する（たとえば、ＰＲＮＧ７０６により出力された最初の６０ビットが、使用すべき第１のビットの識別を与え、２番目の６０ビットが第２のビットの識別を与え、以前に使用されたビットがその後識別された場合、この結果は無視され、次の６０ビットが検討される）。

しかしながら、ビット使用順序を生成または識別する他の方法が、当業者には明らかであろう。たとえば、記憶された１組のビット使用順序が存在してもよく、そのうちの１つがＰＲＮＧ７０６の出力によりランダムに識別される。ビット使用シーケンスを識別するために必要なビット数が上記で概説された第１の方法と比べて比較的少ない場合があるので、この第２の方法には利点がある場合があるが、所定の数のシーケンスが利用可能であるという欠点があり、これらのことが攻撃者に知られるようになった場合、攻撃者は潜在的に明らかになるビットストリームに対するすべての組合せをモニタすることができる。このリスクは多数のパターンを保持することにより軽減されることができ、これにより、攻撃者が成功することができる確率が低減される。第３の方法が、ループされてもよい所定のシーケンスを有することであってもよく、ＰＲＮＧ７０６の出力が、ループ中の開始ポイントを識別するために使用される。これにはまた、いくつかのビット使用順序のうち１つを識別するために多数のビットを必要としないという利点がある。その結果、認証鍵中のビット数が一般には限定されているので、鍵生成の際にビットがどの順序で使用されるべきかを直接識別するために、共有認証鍵が使用される実施形態では、第２および第３の方法が特に適している場合がある。

アリスおよびボブはそれぞれ鍵を生成し、この鍵を使用して、両者の間に送信される通信を暗号化する。アリスおよびボブが異なる認証鍵を使用する場合、同等のＰＲＮＧ７０６が異なるシーケンスを出力し、異なる順序でビットが使用され、異なる暗号鍵をもたらすので、別個の認証処理の必要はない。したがって、アリスは、ボブの鍵で暗号化された、受信された情報をうまく復号することができず、その逆も成り立つ（そうはいっても、当然のことながら、他の実施形態では、詳細には、受信された情報が適時に復号されることがあるという懸念が存在する場合、他の認証が行われてもよく、この場合、正しいエンティティに情報が直接送信されることが、できるだけ保証されるべきである）。

図１に関連して詳細に上記で説明されたようなＤＱＫＤシステムでこの方法を実現するためには、制御ノードまたはＫＭＣが、受信ノードとして同等のＰＲＮＧを提供され、受信ノードと共有された認証鍵を使用してもよい。この例では、２つのノードが量子機器の役割を果たし、ノードの一方およびＫＭＣが鍵合意機器の役割を果たす。

当然のことながら、得られた鍵を使用して、新しい認証鍵（またはＰＲＮＧのための他のシード）が暗号化されて分配されることができる。あるいは、認証鍵自体またはいくつかの他の共有値が、ビットが使用される順序を規定してもよいので、ＰＲＮＧは必要ない。

本明細書の教示を理解するために、当業者には明らかであるように、本明細書で示される任意の範囲または機器の値が、得ようとされる効果を失うことなく拡張または変更されてもよい。

Claims (20)

1. 量子鍵配送の方法であって、量子交換ステップと、その後の鍵合意ステップとを備え、量子交換ステップでは、第１の量子ノードおよび第２の量子ノードが第１の量子リンク上で量子信号を交換し、第１の量子ノードが制御ノードと、制御ノードが量子交換ステップで交換された量子信号に関する情報を有するように通信し、制御ノードが鍵合意ステップで第１の量子ノードに取って代わり、方法は、量子信号の形で交換されたビットと、鍵合意ステップで使用された、または使用されることになるビット数との比に対応するビット損失係数を決定するステップをさらに備える、量子鍵配送の方法。
2. ビット損失係数が所定のセキュリティ要件を満たすかどうかを判定し、所定の要件が満たされない場合、ビット損失係数を増大させること、鍵を確立する際に使用されるビットをハッシュすること、代わりのまたは追加のハッシング関数を使用してハッシングの際のビット低減を拡大すること、鍵が置換されるレートを増大させること、ネットワークを通る複数の経路を提供すること、異なる経路に沿って鍵を決定するためのランダムなストリングの一部を送信すること、または同種のことのうち少なくとも１つにより、ネットワークのセキュリティを高めるステップをさらに備える、請求項１に記載の方法。
3. ノード間の損失を増大させることにより、および／またはノード、もしくはネットワークの構成要素の効率を選択することにより、ビット損失係数が増大させられる、請求項２に記載の方法。
4. 鍵生成で使用される可能なビットの組合せ数が、ネットワークを使用する際に確立されることができる可能な鍵の数を超える場合、ビット損失係数が所定のセキュリティ要件を満たす、請求項２または３に記載の方法。
5. 量子鍵配送ネットワークであって、少なくとも１つの中間ＱＫＤ機器を介して、エンドポイントＱＫＤ機器と直列に連結された制御ＱＫＤ機器を備え、各ＱＫＤ機器は、量子鍵交換ステップで、隣接するＱＫＤ機器と量子信号を交換するように構成された少なくとも１つの量子送信機および／または量子受信機を有し、各中間ＱＫＤ機器は、通信ユニットを備える隣接するＱＫＤ機器と制御ＱＫＤ機器で交換される量子信号に関する情報を伝達するための通信ユニットを備え、制御ＱＫＤ機器は、鍵合意ステップで、量子鍵を各ＱＫＤ機器と連続的に順に合意するように構成され、ネットワークは、少なくとも１つの量子交換ステップで量子信号の形で交換されたビットと、関連する鍵合意ステップで使用された、または使用されることになるビット数との比に対応するビット損失係数を決定するように構成されたセキュリティモニタをさらに備える、量子鍵配送ネットワーク。
6. ビット損失係数が所定のセキュリティ要件を満たすかどうかを判定し、所定の要件が満たされない場合、ビット損失係数を増大させること、鍵を確立する際に使用されるビットをハッシュすること、鍵が置換されるレートを増大させること、ネットワークを通る複数の経路を提供すること、異なる経路に沿って鍵を決定するためのランダムなストリングの一部を送信することのうち少なくとも１つにより、ネットワークのセキュリティを高めるようにセキュリティモニタが構成される、請求項５に記載のネットワーク。
7. 量子鍵を確立する方法であって、量子信号を提供するように構成されたビットストリームをモニタするステップと、ビットストリームのビット分布を解析して、ビットストリームから利用可能な鍵情報が所定のしきいレベルを超えるかどうかを判定するステップとを備える、量子鍵を確立する方法。
8. 所定のしきいレベルを超えた場合、量子信号をモニタすることにより得られることができる情報を低減するようにビットストリームを調整するステップをさらに備える、請求項７に記載の方法。
9. ビットストリームを調整するステップが、一方の値のビットを異なる値のビットと置換するステップをさらに備える、請求項８に記載の方法。
10. 所定のしきいレベルを超えた場合、新しいビットストリームを提供する方法を再び開始するステップを備える、請求項７に記載の方法。
11. 量子送信機ユニットであって、ビットストリングを生成するように構成された擬似乱数発生器（ＰＲＮＧ）と、量子通信媒体上で送信するためのビットストリームでキュービットを符号化するように構成された量子エンコーダとを備え、ＰＲＮＧの出力をモニタし、かつビットストリームの解析により得られることができる鍵情報を判定するように構成されたビットストリーム解析ユニットをさらに備える、量子送信機ユニット。
12. ＰＲＮＧのためのシードを送信または受信するように構成された通信ユニットをさらに備える、請求項１１に記載の量子送信機ユニット。
13. 利用可能な鍵情報が所定のレベルを超える場合、ビットストリーム解析ユニットが、１つまたは複数のビットの値を変更することによりビットストリームを調整するように構成される、請求項１１または１２に記載の量子送信機ユニット。
14. 情報が所定のしきい値を超える場合、量子信号をモニタすることにより得られることができる情報を低減するように、ビットストリームを調整するように構成されたビットストリーム調整ユニットをさらに備える、請求項１１から１３のいずれか一項に記載の量子送信機ユニット。
15. ビットストリームを出力するように構成された量子鍵配送システムで使用するための擬似乱数発生器（ＰＲＮＧ）であって、ＰＲＮＧの出力をモニタし、かつビットストリームの解析から得られることができる鍵情報を判定するように構成されるビットストリーム解析ユニットを備えるＰＲＮＧ。
16. 情報が所定のしきい値を超える場合、量子信号をモニタすることにより得られることができる情報を低減するように、ビットストリームを調整するように構成されたビットストリーム調整ユニットをさらに備える、請求項１５に記載のＰＲＮＧ。
17. ＱＫＤシステムであって、量子交換ステップで複数のビットを備える量子信号を交換するように構成された少なくとも２つの量子機器を備え、量子機器のうち少なくとも１つが、鍵合意ステップで、第１の鍵合意機器の役割を果たし、かつ第２の鍵合意機器と鍵を合意するように構成され、各鍵合意機器が、どのビットが鍵合意のために利用可能であるかを判定し、かつ鍵合意ステップでビットが使用される順序をさらに判定するように構成された鍵判定ユニットと結合されるＱＫＤシステム。
18. 鍵合意機器の各々が別個の鍵判定ユニットと結合され、ビットが使用される順序が、両方の鍵合意機器に知られている秘密値を使用して判定される、請求項１７に記載のＱＫＤシステム。
19. 鍵判定ユニットまたは各鍵判定ユニットが擬似乱数発生器を備える、請求項１７または１８に記載のＱＫＤシステム。
20. 同等の擬似乱数発生器が各鍵合意機器と結合され、鍵合意機器が共有値を記憶し、共有値を１つまたは複数の擬似乱数発生器のためのシードとして使用するように構成される、請求項１９に記載のＱＫＤシステム。

Images