JP2023539208A - ネットワークコーディングベースのセキュア通信 - Google Patents

Abstract

システムおよび方法は、ポスト量子の計算量的セキュリティ保証を用いて高い通信レートを実現するハイブリッド通信スキームを提供する。セキュアに通信されるメッセージは、最初に、線形ネットワーク符号などの個別にセキュアなエンコーディングを使用してミックスされ、エンコードされたメッセージの一部はさらに暗号化される。暗号化メッセージと、暗号化されていないメッセージとは、異なる通信チャネルを介して送信される。メッセージのいずれかをデコードするには、暗号化メッセージを含むすべてのメッセージが必要になるため、暗号化されていない各メッセージは、事前のミキシングにより、暗号化メッセージとほぼ同じくらいセキュアになる。したがって、暗号化メッセージは、非常に少数しか使用されなくなり、チャネルの数が増加するにつれて、通信のレートが１に近づく。これは、古典的な公開鍵暗号システムが、送信または格納されたデータの一部でしか使用できない場合、ノイズの多いチャネルの存在下において、分散データストレージおよび他のアプリケーションにおいて、特に有益である。

Description

[0001]情報理論と暗号との関係は、クロード・シャノン（Ｃｌａｕｄｅ Ｓｈａｎｎｏｎ）が、通信に関する自らの発展的な研究に影響を与えた、セキュリティに関する研究にまで遡る。そこでのシャノンは、アリスとボブという２人のユーザが、盗聴者であるイブの存在下で秘密に通信したいという設定を研究する際に、完全秘匿（Ｐｅｒｆｅｃｔ Ｓｅｃｒｅｃｙ）の情報理論的考えを定義した。完全秘匿の下では、Ｈ（Ｍ｜Ｘ）＝Ｈ（Ｍ）であり、ここで、Ｈはエントロピー、Ｍはプライベートメッセージ、Ｘは通信ネットワークを介して送信される暗号化メッセージである。イブが、暗号化メッセージＸを完全に観測できる（つまり、イブが「強い」）場合、アリスとボブとの両方が、メッセージと同じ大きさのエントロピーを有するランダムな鍵、すなわち「ワンタイムパッド（ｏｎｅ－ｔｉｍｅ ｐａｄ）」Ｒを共有する場合、つまり、Ｈ（Ｒ）≧Ｈ（Ｍ）である場合にのみ、完全秘匿を取得することができる。そのようなシステムは、図１に示され、ここでは、アリスは、２つのメッセージＭ_１およびＭ_２を、２つの異なる経路（パス）を介してボブに送信し、第１の経路で、共有鍵
をＭ_１に追加し、第２の経路で、共有鍵
をＭ_２に追加する。アリスとボブだけが共有鍵を知っているため、アリスとボブだけが、これらを合わせたものから、２つのメッセージＭ_１およびＭ_２を復元できる。

[0002]アリスとボブが大きな秘密鍵を共有するという理論上の必要性は、たとえば、アリスとボブが地理的に離れている場合には、しばしば、非現実的である。したがって、完全秘匿条件を緩和する代替ソリューションの開発に多大な努力が払われてきた。そのような緩和策の１つは、盗聴者の計算能力に限界があると仮定することに由来する。本開示において「計算量的にセキュアな」と称されるそのようなスキームは、特定の一方向関数を反転させるのが困難であるとの推測に依存する。そのようなスキームでは、アリスは、プライベートメッセージをボブに送信する前に、一方向関数を使用して暗号化する。イブがこの関数を反転させるのは困難であるはずだが、ボブによる反転は可能であるだけでなく、ボブが適切な鍵を所有していれば、効率的である。これを実現する１つの手法は、当該技術分野でそのフレーズが知られている「公開鍵暗号」によるものである。

[0003]公開鍵暗号システムは、暗号関数Ｅｎｃ（・）、解読関数Ｄｅｃ（・）、秘密鍵ｓ、および公開鍵ｐから構成される。暗号関数は、公開鍵を使用して、プライベートメッセージＭをＥｎｃ（Ｍ，ｐ）に暗号化する。解読関数は、秘密鍵を使用して、暗号化メッセージＭ＝Ｄｅｃ［Ｅｎｃ（Ｍ，ｐ），ｓ］を解読する。重要な理論上の特性は、暗号化メッセージを秘密鍵なしで解読すると、計算量的に高コストになることである。これを特徴付ける手法は数多くあるが、ここでは「セキュリティレベル」の考えに焦点を当てる。概して言えば、秘密鍵を知らなくても、暗号化メッセージをデコードするために必要であると予想される演算数が、２^ｂのオーダである場合、公開鍵暗号システムは、「ｂビットセキュア」とも称されるセキュリティレベルｂを有する。重要な現実的な特性は、秘密鍵ｓのエントロピーが、通信されるメッセージよりもはるかに小さいことであり、これにより、現実的な秘密通信が可能になる。

[0004]第１の、そして最も広く使用されている公開鍵暗号システムのうちの１つは、リベスト・シャミア・エーデルマン（Ｒｉｖｅｓｔ－Ｓｈａｍｉｒ－Ａｄｌｅｍａｎ，ＲＳＡ）暗号システムである。ＲＳＡのセキュリティは、整数因数分解とＲＳＡ問題という２つの数学的問題の推測困難性に依存する。しかしながら、１９９４年に、ピーター・ショア（Ｐｅｔｅｒ Ｓｈｏｒ）は、ショアのアルゴリズムとして知られる整数因数分解の多項式時間アルゴリズムを公表し、そのアルゴリズムは、量子コンピュータにおいて実行できると警告した。言い換えれば、十分に大規模な量子コンピュータが構築された場合、ショアのアルゴリズムを使用して、ＲＳＡ暗号システムを破ることができる。この発展により、その後、「ポスト量子暗号」として知られる分野である、量子攻撃に耐性のある暗号システムへの関心が高まった。

[0005]「マクリース（ＭｃＥｌｉｅｃｅ）暗号システム」として知られるポスト量子暗号の初期の候補は、１９７８年に導入され、その演算が図２に示される。この暗号システムは、ボブによって生成され、アリスに与えられる秘密鍵ｐを使用する。これは、ｔで示される特定数の誤りまで訂正することができ、ボブによって使用される特定の線形符号を指定する。メッセージを送信するために、アリスは、２元ベクトルｚをランダムに生成し、このベクトルを、ｐで指定された特定の線形符号に従ってメッセージのエンコードに追加し、図示されるように、暗号化メッセージＥ（Ｍ_１，ｚ，ｐ）およびＥ（Ｍ_２，ｚ，ｐ）を形成する。ベクトルｚの追加は、ボブが適切な符号を知っていれば訂正できるが、イブが訂正することは計算量的に困難となるｔ個の意図的な「誤り」を導入する。

[0006]ショアのアルゴリズムを使用するマクリース暗号システムへの攻撃は知られていない。知られている量子攻撃がないことを除けば、その暗号化アルゴリズムおよび解読アルゴリズムは、ＲＳＡのものよりも高速である。マクリース暗号システムの主な欠点は、１）通常のアプリケーションでは、公開鍵のサイズは、ＲＳＡのものよりもはるかに大きいことと、２）通信オーバヘッドが大きく、元の論文では通信レートが０．５程度であることとの２つである。図２の例示的なマクリース暗号システムは、その後の改良により約０．７６に増加したレートを示しているが、この増加でも、通信レートにかなり大きなペナルティが残っている。

[0007]元のマクリース（ＭｃＥｌｉｅｃｅ）のスキームは、２元ゴッパ符号（ｂｉｎａｒｙ Ｇｏｐｐａ ｃｏｄｅｓ）を使用していた。ゴッパ符号（Ｇｏｐｐａ ｃｏｄｅ）のパラメータを変更して、通信レートを上げたいと思うかもしれない。しかしながら、通信レートに関する文献における重要な結果は、高レートのゴッパ符号の行列を、ランダムな行列から区別するために、多項式時間アルゴリズムを与えるというものであった。そのため、高レートのゴッパ符号のセキュリティは保証されないことがある。別のアイデアは、より高いレートを生成する、ゴッパ符号以外の符号の体系を調べることである。しかしながら、そのような符号の候補のほとんどは、すでに暗号が破られているものである。

[0008]計算量的セキュリティの進歩と並行して、完全なプライバシに関する別の緩和が、文献において、主に情報理論家によって検討された。盗聴者の計算能力を制限する代わりに、「物理レイヤセキュリティ」において、暗号化メッセージについてイブが取得できる情報量を制限し、いわゆる「弱いイブ」とする。そのようなパラダイムでは、「強いイブ」との対比のために図３に描かれているように、弱い盗聴者Ｅ_ｗは、送信された合計ｎ個のシンボルのうち、あらゆるセットｗを観測できると想定され得る。ここで、ｗは、厳密にｎ未満である。このセットを
で表すと、通信レート
を有する暗号化符号が存在し、メッセージに関する情報が、盗聴者に漏洩しない、つまり
であることが示された。

[0009]しかし、物理レイヤセキュリティを使用した完全秘匿には、かなりの代償が伴い、すなわち、正当な通信のレートが低下する。これは、ワイナー（Ｗｙｎｅｒ）の１９７５年の発展的な研究で示され、ここで、ワイナーは、物理レイヤセキュリティの仮定の下で、古典的なアリス、ボブ、およびイブの３人に類似した、図４に描かれている非発展的（ｎｏｎ－ｃｏｎｓｔｒｕｃｔｉｖｅ，ＮＣ）なワイヤタップチャネル（ｗｉｒｅ－ｔａｐ ｃｈａｎｎｅｌ）を導入した。

[0010]レートに関する効率を高める努力において、図５に例示されるように、シャノンの完全秘匿のさらに別の緩和、すなわち「個別秘匿（ｉｎｄｉｖｉｄｕａｌ ｓｅｃｒｅｃｙ）」が導入された。この概念は、アリスが、ボブに送信する多くのメッセージ、たとえばＭ_１，…，Ｍ_ｍなどを有しており、弱いイブが、それらのうちのあらゆるｗ個を観測する可能性があるネットワーク設定で最もよく説明されている。ワイナーのワイヤタップチャネルによって与えられた制限を超えてレートを上げることにより、情報が漏洩することは避けられない。それでも、個別秘匿は、個々のメッセージに関する情報がまったく漏洩しないことを保証する。したがって、図５に示されるように、アリスは、イブがすべての経路よりも少数の経路（たとえば、図５における単一の経路２）で、すべてのデータの盗聴や傍受をすることができるとの仮定の下、メッセージＭ_１およびＭ_２の複数の異なる線形結合を、２つの異なる経路でボブへ送信する。ボブは、すべてのメッセージを受信するため、これら線形結合を反転させて、最初のメッセージＭ_１およびＭ_２を復元できる。図５の例では、ボブは、経路２のメッセージから、経路１のメッセージを間引くことによってＭ_２を復元し、経路１のメッセージからＭ_２を間引くことによってＭ_１を復元し、一般に、このプロセスは、行列を反転させることによって実現される。しかしながら、イブは、メッセージのサブセットしか受信していないため、メッセージの結合を解くことができない。

[0011]個別秘匿の考えは、ｉ＝１，…，ｍのすべてに対して、Ｈ（Ｍ_ｉ｜Ｙ_Ｅ，ｗ）＝Ｈ（Ｍ_ｉ）を保証することによって、この概念を具現化するものである。この状況は、ワイナー（Ｗｙｎｅｒ）モデルまたはシャノン（Ｓｈａｎｎｏｎ）モデルにおけるように、メッセージのすべてに対してではないが、メッセージのサブセットに対して、完全秘匿、つまりＨ（Ｍ_１，…，Ｍ_ｍ｜Ｙ_Ｅ，ｗ）＝Ｈ（Ｍ_１，…，Ｍ_ｍ）を提供することに留意されたい。言い換えれば、イブが、彼女の観測から取得する情報は、イブが、それぞれの各メッセージではなく、メッセージの組合せに関する情報を解読するのに役立つ。個別秘匿は明らかにセキュリティの弱い考えであるが、図５に示されるように、多くの場合、システム設計者は、レートを大幅に上げ、しばしば、暗号化プロセスを、レートに関して自由にすることさえできる。効率的なレートが有益であることは疑いの余地がないが、物理レイヤセキュリティの仮定、つまり、イブは、ボブよりも悪いチャネルを経験しないという仮定を実際に適用するのは困難である。

[0012]本明細書で開示される概念、技法、および構造の実施形態は、高い通信レートで、セキュアなポスト量子暗号を取得するための斬新なハイブリッド・ユニバーサル・ネットワーク・コーディング暗号システム（以下、「ＨＵＮＣＣ」）を提供する。セキュアなネットワークコーディングスキームは、公開鍵暗号、特にポスト量子暗号によって提供される可能性があるように、情報理論のセキュリティと暗号セキュリティとを組み合わせるという意味でハイブリッドである。それに加えて、このスキームは一般的であり、あらゆる通信ネットワーク、およびあらゆる公開鍵暗号システムに適用できる。計算上の観点から、リンクのサブセットで任意のセキュアな暗号システムが利用され、個別のセキュリティと同様の前処理が利用されるコーディングスキームを構築する。このスキームの下では、１）リンク全体を観測する敵対者に対する計算量的セキュリティ保証と、２）リンクのサブセットのみを観測する敵対者に対する情報理論的セキュリティ保証と、３）ネットワークの容量に近づく情報レートとを実現する。

[0013]我々のスキームの１つの利点は、あらゆる所望の計算量的セキュリティレベルを保証するために、計算上のポスト量子化スキームを使用して、単一のリンク、または送信されるデータの小さな部分を暗号化することで十分であるということである。つまり、ＨＵＮＣＣを使用すると、ネットワークにおけるすべてのリンクで公開鍵暗号を使用することが可能ではないネットワークで、ポスト量子セキュリティを保証できる。それに加えて、通信リンクの数が増えると、情報レートは１に近づく。具体的な例として、３つのリンクを有する多重経路（マルチパス）ネットワークにおいて、１２８ビットの計算上セキュアなマクリース暗号システムを、１つのリンクのみで使用すると、すべての経路で１２８ビットの計算量的セキュリティレベルが得られ、ネットワークにおける合計情報レートは０．９１になる。

[0014]したがって、第１の実施形態は、複数のデータブロックをセキュアに通信する方法である。この方法は、第１のデータチャネルを使用して、複数のデータブロックの第１のエンコードの暗号を備える第１のメッセージを受信することを含む。この方法はまた、第２のデータチャネルを使用して、複数のデータブロックの、暗号化されていない第２のエンコードを備える第２のメッセージを受信することを含む。この方法はさらに、複数のデータブロックの、暗号化されていない第１のエンコードを取得するために、第１のメッセージの暗号を解読することを含む。また、この方法は、複数のデータブロックの、暗号化されていない第１のエンコード、および暗号化されていない第２のエンコードを使用して、複数のメッセージにおける各メッセージを復元することを含む。

[0015]いくつかの実施形態では、第１のデータチャネルおよび第２のデータチャネルは、異なる送信媒体を備える。

[0016]いくつかの実施形態では、第１のデータチャネルおよび第２のデータチャネルは、単一の送信媒体の異なる利用時間を備える。

[0017]いくつかの実施形態では、暗号は公開鍵暗号を備える。

[0018]いくつかの実施形態では、暗号は、ポスト量子暗号を備える。

[0019]いくつかの実施形態では、復元することは、線形ネットワーク符号に従って、暗号化されていない第１および第２のエンコードをデコードすることを備える。

[0020]いくつかの実施形態では、デコードすることは、個別のセキュア符号に従ってデコードすることを備える。

[0021]いくつかの実施形態では、第１のメッセージを受信すること、または第２のメッセージを受信することは、１つまたは複数の誤りを訂正することを備える。

[0022]別の実施形態は、複数のデータブロックをセキュアに通信するための装置である。装置は、コンピューティングプロセッサと、コンピューティングプロセッサによって実行されると、様々なプロセスを実行するコンピュータプログラムコードを格納する不揮発性メモリとを含む。これらプロセスのうちの１つのプロセスは、第１のデータチャネルを使用して、複数のデータブロックの第１のエンコードの暗号を備える第１のメッセージを受信することを含む。これらプロセスのうちの別のプロセスは、第２のデータチャネルを使用して、複数のデータブロックの、暗号化されていない第２のエンコードを備える第２のメッセージを受信することを含む。これらプロセスのうちのさらに別のプロセスは、複数のデータブロックの、暗号化されていない第１のエンコードを取得するために、第１のメッセージの暗号を解読することを含む。これらプロセスのうちのさらに別のプロセスは、複数のデータブロックの、暗号化されていない第１のエンコード、および暗号化されていない第２のエンコードを使用して、複数のメッセージにおける各メッセージを復元することを含む。

[0023]いくつかの実施形態では、第１のデータチャネルおよび第２のデータチャネルは、異なる送信媒体を備える。

[0024]いくつかの実施形態では、第１のデータチャネルおよび第２のデータチャネルは、単一の送信媒体の異なる利用時間を備える。

[0025]いくつかの実施形態では、暗号は、公開鍵暗号を備える。

[0026]いくつかの実施形態では、暗号は、ポスト量子暗号を備える。

[0027]いくつかの実施形態では、復元することは、線形ネットワーク符号に従って、暗号化されていない第１および第２のエンコードをデコードすることを備える。

[0028]いくつかの実施形態では、デコードすることは、個別のセキュア符号に従ってデコードすることを備える。

[0029]いくつかの実施形態では、第１のメッセージを受信すること、または第２のメッセージを受信することは、１つまたは複数の誤りを訂正することを備える。

[0030]本明細書で開示される概念、技法、および構造は、本明細書の教示から逸脱することなく、他の手法で当業者によって具現化され得ると認識される。

[0031]開示された主題を作成および使用する方式は、同様の参照番号が同様の要素を特定する、図面に関連する詳細な説明を参照することによって認識され得る。

[0032]通信データのすべての盗聴や傍受をすることができる「強い」盗聴者であるイブに対してセキュアな、アリスとボブとの間の多重経路（マルチパス）通信のために、ワンタイムパッドを使用する暗号システムを示す図である [0033]量子コンピュータへのアクセスを有する強いイブに対して計算上セキュアな、［２９６０，２２８８］－ゴッパ符号を使用するポスト量子マクリース暗号システムを示す図である。 [0034]通信データのすべての盗聴や傍受をすることができる「強い」盗聴者であるイブと、そのデータの一部のみの盗聴や傍受をすることができる「弱い」イブとの両方を例示する、アリスとボブとの間の通信のための最新の多重経路（マルチパス）ネットワークを示す図である。 [0035]ネットワークコーディングワイヤタップを有する弱いイブに対して情報的にセキュアな、アリスとボブとの間の通信のための多重経路（マルチパス）ネットワークを示す図である。 [0036]ネットワークの個別セキュリティの原則を使用して、弱いイブに対して情報的にセキュアな、アリスとボブとの間の通信のための多重経路（マルチパス）ネットワークを示す図である。 [0037]強いイブに対して計算上セキュアであり、弱いイブに対して情報的にセキュアである、本明細書で開示される概念、技法、および構造の実施形態に従うハイブリッド・ユニバーサル・ネットワーク・コーディング暗号システム（Ｈｙｂｒｉｄ Ｕｎｉｖｅｒｓａｌ Ｎｅｔｗｏｒｋ－Ｃｏｄｉｎｇ Ｃｒｙｐｔｏｓｙｓｔｅｍ，ＨＵＮＣＣ）を使用する、アリスとボブとの間の通信のための多重経路（マルチパス）ネットワークを示す図である。 [0038]図６のハイブリッドな、ポスト量子的な、セキュアな、多重経路（マルチパス）ネットワークスキームの機能構成要素を示す図である。 [0039]ＨＵＮＣＣの実施形態に従ってデータをエンコード、送信、およびデコードするための方法におけるプロセスを示す図である。 [0040]ＨＵＮＣＣの実施形態に従ってアリスによって実行されるエンコードスキームの詳細を示す図である。 [0041]暗号化リンクごとに約０．５の情報レートを有するマクリース符号（ＭｃＥｌｉｅｃｅ ｃｏｄｅ）を使用する暗号化リンクの数の関数として、ＨＵＮＣＣの実施形態におけるセキュリティレベルと通信レートとの間の効率およびトレードオフを示す図である。 [0042]暗号化リンクごとに異なる計算量的セキュリティ符号を使用する暗号化リンクの数の関数として、ＨＵＮＣＣの実施形態におけるセキュリティレベルと通信レートとの間の効率およびトレードオフを示す図である。 暗号化リンクごとに異なる計算量的セキュリティ符号を使用する暗号化リンクの数の関数として、ＨＵＮＣＣの実施形態におけるセキュリティレベルと通信レートとの間の効率およびトレードオフを示す図である。 [0043]実施形態による、ハイブリッドな、ポスト量子的な、セキュアな、単一経路の通信スキームの機能構成要素を示す図である。 [0044]盗聴者が、アリスからボブに送信されたパケットに誤りを注入できる実施形態による近視眼的敵対者モデルを示す図である。 [0045]実施形態による、ビデオストリーミングのための超高信頼性低レイテンシ通信システムを示す図である。 [0046]本明細書で開示される概念、構造、および技法を具現化するために使用され得る、コンピュータの関連する物理的構成要素を概略的に示す図である。

[0047]図面は、必ずしも一定の縮尺ではなく、システムのすべての要素を含むものではなく、代わりに、本明細書で保護しようとする概念、構造、および技法を例示することに重点が置かれている。

[0048]本明細書で開示される概念、技法、および構造の実施形態によれば、ハイブリッド・ユニバーサル・ネットワーク・コーディング暗号システム（ＨＵＮＣＣ）は、高い情報レートで、ポスト量子暗号を取得する。このセキュアネットワークコーディングスキームでは、計算量的セキュリティ原則を、物理レイヤセキュリティのプリミティブと組み合わせて、個別秘匿と、計算量的にセキュアな暗号システムとの両方に依存するハイブリッドシステムを導入する。

[0049]並列リンクを使用して、アリスとボブとの間で複数のメッセージが送信される多重経路（マルチパス）のセキュアな送信スキームを介して、この概念を例示する。そうすることで、物理レイヤセキュリティの主な欠点のうちの１つ、つまり盗聴者が、アリスとボブとの間で送信されるすべてのメッセージを観測できる訳ではないという仮定に対処することができる。本明細書で開示されたシステムでは、イブは、アリスとボブとの間の送信全体を実際に観測することができ、つまり、イブは強い可能性がある。

[0050]しかしながら、計算量的にセキュアなシステムと同様に、イブの計算能力について仮定するであろう。しかし、アリスからのメッセージ全体を、公開鍵暗号を使用して暗号化する代わりに、通信リンクの一部のみ、いくつかの実施形態では、リンクのうちの１つだけを暗号化する。計算量的制限があるとの仮定の下では、暗号化されたリンクは、イブの損失に類似しているので、したがって、ここで物理レイヤセキュリティ符号からの従来の技法を採用し得る。言い換えれば、計算量的制限があるとの仮定の下では、盗聴者が暗号を介して、メッセージの一部のみを観測するように強制することができる。これにより、個別秘匿で行われているのと同様に、通信レートの増加が可能になり、計算量的に強いセキュリティ保証を提供する。アリスとボブが、より多くの通信チャネルを有していると、通信レートはさらに大きくなる。実際、チャネルの数が増えると、レートは１に近づく。

[0051]多くの実用的な異種ネットワークでは、公開鍵を用いる暗号システムが、すべての経路に適用できるとは想定できない。ＨＵＮＣＣコーディングスキームは、１つの経路によって送信される情報にのみ公開鍵を使用して、ネットワーク全体でポスト量子セキュリティを保証できる。さらに、ＨＵＮＣＣが使用され得る重要なアプリケーションを以下で論じる。具体的には、多重経路通信に加えて、単一経路通信、分散ストレージ、超高信頼性低レイテンシストリーミング通信、および近視眼的敵対者のケースについても論じる。

[0052]２つの経路を有するネットワークについて、ハイブリッドスキームを図６に示す。アリスは、プライベートメッセージ
を、ｌ＝２の通信リンクを介してボブに送信したいと考えている。盗聴者であるイブは、強さに応じて、これらチャネルの一方または両方で通信を観測できる。図６のネットワークの例では、イブは強く、両方のチャネルを観測できると想定している。

[0053]アリスとボブは、公開鍵暗号スキーム（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ）に同意する。アリスは、最初に、たとえば
のような生成子行列を有する個別のセキュア符号を使用して、メッセージＭをエンコードする。このエンコーディングを、Ｘ＝ＭＧ＝［Ｍ_１＋Ｍ_２，Ｍ_１＋２Ｍ_２］によって表す。次に、アリスは、第１のメッセージをＥｎｃ（Ｘ_１，ｐ）として暗号化して、チャネル１を介してボブに送信し、チャネル２を介して、暗号化されていないＸ_２を送信する。次に、ボブは、Ｘ_１＝Ｄｅｃ（Ｅｎｃ（Ｘ_１，ｐ），ｓ）を解読して、Ｘのすべてを取得し、生成子行列の逆元を乗じて、元のメッセージＭ＝ＸＧ^－１をデコードして取得する。

[0054]イブが弱い盗聴者であり、１つの通信チャネルのみを観測する場合、このスキームは、イブの計算能力に関係なく、情報理論的に個別にセキュアである。これは、メッセージの各部分Ｍ_ｉが、エンコードされた単一のＸ_ｊから独立しているためである。イブが強い盗聴者であり、両方の通信チャネルを観測している場合、各メッセージＭ_ｉは、暗号スキーム（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ）とほぼ同じセキュリティレベルで計算量的にセキュアになるであろう。実際、以下に再現されるアレハンドロ・コーエン（Ａｌｅｊａｎｄｒｏ Ｃｏｈｅｎ）らの「Ｎｅｔｗｏｒｋ Ｃｏｄｉｎｇ－Ｂａｓｅｄ Ｐｏｓｔ－Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ（ネットワークコーディングベースのポスト量子暗号）」（２０２０年９月３日、ｈｔｔｐｓ：／／ａｒｘｉｖ．ｏｒｇ／ａｂｓ／２００９．０１９３１）（以下、「コーエンら」）の理論１において、（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ）に対して最もよく知られている攻撃が、暗号を破るために、２^ｂ回の演算を必要とする場合、イブは、あらゆるメッセージＭ_ｉを決定するために、少なくとも
回の演算を必要とすることが示された。ここで、εは、２×２線形システムを解くために必要な演算量である。

[0055]個別のセキュア符号Ｇが機能するためには、
は、２より大きい特性を有する必要があることに留意する。また、個別のセキュア符号のイメージは、暗号関数Ｅｎｃの領域に単射（ｉｎｊｅｃｔｉｖｅ ｍａｐｐｉｎｇ）される必要がある。次の例を検討する。

[0056]アリスとボブが、暗号化リンクのために１２８ビットのマクリース暗号システムを使用することに同意すると仮定する。最新の計算量的セキュリティの仮定に対してセキュアであるために、ボブは、１５３７５３６ビットの公開鍵を有する［２９６０，２２８８］－ゴッパ符号を選択し得る。この場合、暗号関数のドメインは、
である。アリスとボブは、２より大きい特性を有する
によって与えられる符号Ｇのイメージから、
への単射に同意する必要がある。この場合、ｌｏｇ_２（ｑ^ｕ）≒２２８７．１ビットとなるように、ｑ^ｕ＝３^１４４３を設定できる。したがって、アリスは、Ｘ_１を２２８８ビットのベクトルにマッピングし、ゴッパ符号を使用して、
にエンコードできる。

次に、アリスは、リンク１を介してｌｏｇ_２｜Ｅ（Ｘ_１，ｐ）｜＝２９６０ビットを送信し、リンク２を介して、ｌｏｇ_２｜Ｘ_２｜≒２２８７．１ビットを送信する。したがって、合計通信コストは、約５２４８ビットとなり、図６に示すように、通信レートは０．８７よりわずかに大きくなる。コーエンらの理論１により、Ｍ_１とＭ_２との両方のメッセージは、１２８ビットセキュアである。以下では、ショアのアルゴリズムに対して脆弱であるが、一般的に使用されており、情報レートへのペナルティが低いＲＳＡスキームを使用することに、アリスとボブが同意する例に着目する。

[0057]参照実施の詳細に移る前に、我々のスキームの２つの主な構築ブロックである、１）計算量的にセキュアな暗号システム、および、２）情報理論による個別のセキュリティ、に関するいくつかの背景情報を与える。マクリース暗号システムに焦点が当てられるが、計算量的にセキュアな暗号システムであればどれでも使用できることに留意する。

[0058]＜定義１＞ 公開鍵暗号は、タプル（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ，ｋ_ｂ，ｎ_ｂ）であり、ここで
は暗号関数であり、
は、解読関数であり、ｐ∈Ｐおよびｓ∈Ｓは、それぞれ公開鍵および秘密鍵を表す。また、すべてのメッセージ
と公開鍵ｐ∈Ｐとこれに対応する秘密鍵ｓ∈Ｓとについて、次のとおりである。

[0059]公開鍵暗号（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ，ｋ_ｂ，ｎ_ｂ）は、
の知識だけを用いて、
を復元するために最もよく知られているアルゴリズムが少なくとも２^ｂ回の演算を実行する必要があるとすれば、セキュリティレベルｂを有する。最後に、（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ，ｋ_ｂ，ｎ_ｂ）は、Ｒ＝ｋ_ｂ／ｎ_ｂの場合、レートＲを有していると言われる。

[0060]マクリースのポスト量子公開鍵暗号システムは、以下のように機能する。ボブは、公開鍵ｐ＝（Ｇ^ｐｕｂ＝ＳＧＰ，ｔ）を生成する。ここで、次のとおりである。

アリスとイブの両方が、公開鍵にアクセスできる。秘密鍵は，ｓ＝（Ｓ，Ｄ_ｇ，Ｐ）で構成され、ここで、Ｄ_ｇは、ｇの効率的なデコードアルゴリズムである。メッセージ
を暗号化するために、アリスは、重みｔのベクトル
をランダムに選択し、
として暗号化する。メッセージを解読するために、ボブは先ず、
を計算し、次に、デコードアルゴリズムＤ_ｇを適用する。ｃＰ^－１は、ハミング距離ｔを有するので、ｍＳＧ＝Ｄ_ｇ（ｃＰ^－１）となる。その後、ＧとＳとの両方に逆元があるため、ボブは、ｍ＝（ｍＳＧ）Ｇ^－１Ｓ^－１を復元する。

[0061]計算量的セキュリティとは対照的に、個別のセキュリティは、イブが弱い盗聴者
であること、すなわち、ｗ個の通信経路にしかアクセスを有していないことという仮定の下で動作する。プライバシの保証は、ボブが各々、長さ
ビットのネットワークを介して送信された
のメッセージのすべてを完全にデコードできる一方、イブは、個別のメッセージに関して何も知らないということである。したがって、次のとおりである。

[0062]次に、任意の線形符号から、個別のセキュリティ符号を構築する方法について説明する。したがって、ｕ≧ｋ_ｕである場合の長さｋ_ｕおよび次元ｗをもつ
上の線形符号がＣであるとし、ｋ_ｓ＝ｋ_ｕ－ｗと設定する。

をＣの生成子行列とし、
をＣのヌル空間の生成子とする。最後に、
を、それぞれ符号Ｃのパリティチェック行列および基底行列とする。つまり、
となり、さらに
である。このとき、
によって、個別のセキュリティ符号が生成される。本明細書で開示される概念、技法、および構造の実施形態では、他の個別のセキュリティ符号が使用され得ることが認識される。

[0063]公開鍵暗号システムでは、特にマクリース暗号システムとは異なり、物理レイヤセキュリティスキームにおいて、生成行列と符号とが公開されていることに留意することが重要である。したがって、ボブとイブとの両方が、上記で説明されたすべての行列へのアクセスを有すると想定できる。

[0064]個別のセキュリティ符号は、以下のように使用され得る。アリスは、メッセージ
を
としてエンコードする。したがって、Ｘ^Ｔは、個別のセキュリティ符号に従うＭ^Ｔの線形ネットワークコーディングである。メッセージをデコードするために、ボブは、パリティチェック行列Ｈ_ＩＳおよび基底行列Ｇ_ＩＳを使用して、
を計算する。イブは、暗号化されたベクトルＸ^Ｔから、ｗ個のシンボルしか観測しないため、ネットワークを介して送信される情報の、設定されたあらゆるｋ－ｗ個のシンボルをデコードすることはできず、これらシンボルに関して何も分からない。

[0065]次に、開示の残りの部分で使用されるセキュリティの考えおよび脅威モデルを定義する。全体を通して、暗号文のみの攻撃モデルを想定する。つまり、敵対者であるイブは、
へのアクセスしか有していない。先ず、計算量的セキュリティの考えを定義する。

[0066]＜定義２＞ 暗号文ｃ（Ｍ）のみの観測からＭをデコードすることを期待して、最もよく知られているアルゴリズムが少なくとも２^ｂ回の演算を実行する必要がある場合には、メッセージＭおよびｃ（Ｍ）を有する暗号システムは、セキュリティレベルｂを有する。

[0067]セキュリティレベルのこの定義は、エンコードされたメッセージＭのサイズおよびその分散に暗黙のうちに制限を課すことに留意されたい。実際、公開鍵暗号システムを想定すると、敵対者は、正しいメッセージ入力が発見されるまで、潜在的なメッセージ入力を推測することにより、常にブルートフォース攻撃を使用する可能性がある。一般に、メッセージＭは、
とのセットにおいてランダムに一様な値をとり、したがって、ｋ_ｂ≧ｂに従うと想定される。実際、ほとんどの暗号システムでは，ｋ_ｂは、厳密にｂより大きくなければならない。本開示を通じて、この関係を暗黙のままにし、むしろ、セキュリティレベルｂに焦点を当てることに決め、このセキュリティレベルに基づいて適切なｋ_ｂを選択する。

[0068]定義２の計算量的セキュリティレベルは、単一のリンク、または等価的に単一のメッセージの場合に関連する。各リンクで複数のメッセージが送信される場合、各メッセージに個別に適用されるセキュリティ保証を提供することが望ましい。弱いイブの場合、これは、情報理論的な個別秘匿を介して取得できる。

[0069]＜定義３＞ ｜ω｜＝ｗとなるすべてのω⊂［ｌ］についてＨ（Ｍ_ｓ｜Ｙ_ω）＝Ｈ（Ｍ_ｓ）である場合、メッセージＭ_１，…，Ｍ_ｌを有する暗号システムは、（ｌ，ｗ）個別にセキュアであり、ここで、
である。

[0070]送信されたメッセージの全体を観測できる強いイブの場合、（ｌ，ｗ）個別のセキュリティは得られない。代わりに、個別の計算量的セキュリティの考えについて説明する。これは、あらゆる経路上のあらゆるメッセージのデコードに、２^ｂ回の演算が必要になることを示す。

[0071]＜定義４（個別の計算量的秘匿）＞ ｉ＝１，…，ｌについてメッセージＭ_１，…，Ｍ_ｌおよび暗号文
を有する暗号システムは、最もよく知られているアルゴリズムが、観測量ｃ_１，…，ｃ_ｌから任意のＭ_ｊ（ｊ＝１，…，ｌ）をデコードするために少なくとも２^ｂ回の演算を実行する必要があると期待されている場合、セキュリティレベルｂを有する。

[0072]個別の計算量的秘匿は、Ｍ＝［Ｍ_１，…，Ｍ_ｌ］およびｃ（Ｍ）＝［ｃ_１（Ｍ_１，…，Ｍ_ｌ），…，ｃ_ｌ（Ｍ_１，…，Ｍ_ｌ）］を有する暗号システムの計算量的セキュリティで示唆していることに留意されたい。したがって、これは厳密に強いセキュリティの考えである。

[0073]ここで図７を参照して、ｌ個のノイズのない独立した通信リンク１２２を介して、宛先ノードであるボブ１３０に接続された、ソースノードであるアリス１１０からなるネットワーク１００における実施形態のシステム概要を検討する。アリス１１０の目的は、各々の長さが
ビットのｋ_ｕ個のメッセージ
を、盗聴者（ｅａｖｅｓｄｒｏｐｐｅｒ）であるイブ１２０の存在下で、ボブ１３０へ秘密に送信することである。

イブ１２０は、量子コンピュータへのアクセスを有していると仮定する。以下では、通信リンク１２２は各々、（たとえば、いくつかが図３に示される）異なる送信媒体であり、本明細書では「データチャネル」または「経路」と称されることもある。しかしながら、本明細書における概念、技法、および構造の実施形態は、図１２に関連して以下で論じられるように、単一経路内に存在する複数のデータチャネルと共に（すなわち、単一の送信媒体の異なる利用時間として）使用され得ると認識される。

[0074]アリス１１０が、各通信リンク１２２を介してボブに送信するメッセージのベクトルをＹ＝［Ｙ_ｌ；…；Ｙ_ｌ］で表す。これらメッセージは、ボブ１３０がメッセージからＭをデコードできるようなものである必要がある。したがって、Ｈ（Ｍ｜Ｙ）＝０である場合、Ｙは信頼できると言える。しかしながら、メッセージＹは、イブ１２０自身が、Ｍをデコードしない場合、特定の特性を満たす必要がある。これは、イブ１２０がどれほど強いかによって異なる。

[0075]２つのタイプのイブ１２０を検討する。強いイブ１２０であるＥ_ｓは、すべての通信リンクを観測し、Ｙ全体へのアクセスを有する。また、弱いイブ１２０であるＥ_ｗは、通信リンク１２２のサブセットのみを観測する。各々の観測量を、
でそれぞれ表す。信頼性のため、強いイブ１２０に対しては情報理論上のプライバシを確保できないことに留意されたい。

[0076]高レベルでは、暗号システムは、以下のように機能する。アリス１１０とボブ１３０は、イブ１２０がアクセスできる公開ディレクトリ１２４に格納された公開鍵ｐを用いて、定義１のように公開鍵暗号システム（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ，ｋ_ｂ，ｎ_ｂ）に同意する。次に、アリス１１０は、ｌ個のリンク１２２のうちのｃ個を、暗号化リンクとして選択する。図７では、単一のメッセージＸ_１のみが暗号プロセッサ１１４によって暗号化されたものとして示され、したがってｃ＝１であるが、暗号化のために、あらゆる数のリンクが選択され得ると認識される。暗号化されていないｌ－ｃ個のリンクは安全ではないため、これだけでは完全なセキュリティを提供しない。この問題を解決するために、暗号１１４の前に、個別にセキュアな線形符号、特に線形ネットワーク符号を使用して行列乗算器１１２によってメッセージがミックス（エンコード）される追加のステップを導入する。これにより、コーエンらの定理１において、各メッセージが計算量的にセキュアであることがここで示された。このスキームのセキュリティパフォーマンスおよび合計通信レートは、ｃと、公開鍵暗号システムのパラメータとの選択に依存する。ボブ１３０は、ｌ個の通信リンク１２２からＹ＝［Ｙ_１；…；Ｙ_ｌ］を受信し、解読プロセッサ１３２を使用して、最初のｃ個の暗号化メッセージを解読し、その後、ミキシングプロセス１１２の反転によって、行列乗算器１３４を使用して、最初のｃ個のメッセージをデコードし、行列乗算器１３６を使用して最後のｌ－ｃ個のメッセージをデコードし、完全な初期メッセージＭを復元する。

[0077]ここで、図７に示されるシステム、図８に示されるアルゴリズム１全体、および図９に示されるアリス１１０によって実行されるエンコードプロセスを再度参照して、ＨＵＮＣＣのより詳細な説明を行う。（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ，ｋ_ｂ，ｎ_ｂ）を、定義１で説明したように、セキュリティレベルｂを有する公開鍵暗号システムとする。いつものように、公開鍵ｐは、ボブ１３０によって生成され、何らかの公開通信チャネル（たとえば、公開ディレクトリ１２４）を介してアリス１１０に提供される。アリス１１０は、暗号化される経路１２２の数ｃを選択する。一般性を失うことなく、１，…，ｃでインデクス付けされた経路を、暗号化された経路とする。ｕ≧ｌを固定し、メッセージ
を有する複数のデータブロックを検討する。ここで、
を有する
の各々は、独立して、ランダムに一様に生成される。ｗ≦ｌ－ｃである場合、
を、（ｌ，ｗ）個別にセキュアな線形符号とする。符号のヌル空間の生成子行列
を選択する。ｕ≧ｌおよびｌ－ｗ≧１であるため、そのような符号が存在することに留意されたい。

次に、上記で説明されたように、
によって個別秘匿のエンコード行列が与えられる。したがって、ベクトル
となり、ここで、Ｘ^（ｉ）＝Ｍ^（ｉ）Ｇ_ＩＳは、Ｍ^（ｉ）の（ｌ，ｗ）個別秘匿のエンコードに対応する（図７における行列乗算器１１２、図８における１～５行目、および図９の左側を参照）。

[0078]ここで、すべての経路ｉ∈［ｃ］について、シンボル
の集合を検討する。
であるため、当該集合
は、長さｋ_ｂのビット

のシーケンスに単射できる。そのような
の各々は、送信される前に（たとえば、暗号プロセッサ１１４を使用して）公開鍵暗号で暗号化される、すなわち、各リンクｉは、
を送信する。ｙ_ｉは、長さｎをもつことに留意されたい。経路ｉ＞ｃの場合、アリス１１０は、当該集合
を暗号化せずに直接ボブ１３０に送信する。一貫性を保つために、経路上で送信されるデータは、ビットシーケンス
であり、今回は長さｋ_ｂであると仮定する（図８における６～１６行目、および図９の右側を参照）。

[0079]ここで、ボブ１３０におけるデコードプロセスを詳述する。すべての経路に誤りがないことを前提とする。したがって、ボブ１３０は、通信リンク１２２を介して送信されたすべてのメッセージを取得する。ｃ個の暗号化されたデータチャネルの各々について、ボブ１３０は、データブロックの、暗号化されていない第１のエンコードの暗号を備えるメッセージを受信し、秘密鍵ｓを使用してメッセージをデコードする（図７における解読プロセッサ１３２および図８における１７～２０行目を参照）。

[0080]したがって、ボブ１３０は、すべてのｉ∈［ｃ］について、
を取得する。残りのｌ－ｃ個のデータチャネルを介して取得されたメッセージは、元のデータブロックの、暗号化されていないエンコードであった。したがって、最初のｃ個の経路から解読されたメッセージと共に、ボブ１３０は、
の全体を有している。ここで、推定された、エンコードされたブロックの各ｉ列について、ボブ１３０は、パリティチェック
および基底行列
を使用して、送信された複数の元のメッセージ（図６における行列乗算器１３４，１３６および図８における２１～２５行目を参照）における各メッセージを復元する。つまり、
である。

[0081]上記で説明されたＨＵＮＣＣシステムおよび方法を使用することのいくつかの利点が、ここで説明される。ＨＵＮＣＣは、通信リンク全体を観測する、強いイブを処理するのに適している。計算量的にセキュアであることに加えて、イブが弱い盗聴者であり、経路をｗ個しか観測しない場合、ＨＵＮＣＣは、情報理論的にセキュアである。また、情報レートＲは、収束レート
で、１に接近する。これら観測量は、コーエンらにおいて証明された次の３つの定理から導かれる。

[0082]＜定理１＞ ｕ≧ｌ，ｃ≧１および（Ｅｎｃ，Ｄｅｃ，ｐ，ｓ，ｋ_ｂ，ｎ_ｂ）を、セキュリティレベルｂを有する公開鍵暗号システムとする。このとき、入力
を有する図８のアルゴリズムは、少なくともｂ－δ／２^ｂのレベルで個別に計算量的にセキュアであり、ここで、δは、ｌ×ｌ個の線形システム方程式を解くのに必要な演算の数、つまりδ＝Ｏ（ｌ^３）である。

[0083]＜定理２＞ 図８のアルゴリズムは、（ｌ，ｗ）個別ににセキュアである。

[0084]＜定理３＞ 公開鍵暗号システム（Ｅｎｃ，Ｄｅｃ，ｐ_ｉ，ｓ_ｉ，ｋ_ｂ，ｎ_ｂ）を使用して暗号化された経路の数を１≦ｃ≦ｌとする。このとき、図８のアルゴリズムは、情報レート
を有する。

[0085]ＨＵＮＣＣに関するいくつかの重要な留意事項を整理する。第１に、ＨＵＮＣＣのｃ個の暗号化経路で使用される公開鍵は、基礎となる暗号システム（たとえば、マクリース暗号システムで提供されるもの）からの従来の公開鍵に過ぎないことに留意することが不可欠である。したがって、この公開鍵は、多重経路ネットワークを介して送信されるｋ_ｕ個のメッセージとは無関係であり、公開チャネルを介して事前にアリスに提供できる。

[0086]さらに、ワンタイムパッドの場合のように、送信されるメッセージごとに一意の秘密鍵が利用される情報理論的セキュリティとは異なり、ＨＵＮＣＣにおける公開鍵は、複数のメッセージのために使用できる。同様に、個別のセキュア符号の生成行列Ｇ_ＩＳは、機密ではない。アリスとボブは、公開チャネルを介してこの行列に同意することができる、つまり、この行列は、イブに公開される可能性がある。また、この行列は、あらゆる将来の送信のために無期限に使用され得る。

[0087]別のポイントは、ＨＵＮＣＣのセキュリティレベルに関する。定理１で述べたように、基礎となる公開鍵暗号システムが、セキュリティレベルがｂを有する場合、ＨＵＮＣＣは、少なくとも
のセキュリティレベルで個別に計算量的にセキュアであり、ここで、δ＝Ｏ（ｌ^３）である。この値は、ｂに非常に近いことに留意されたい。実際、ｂ＝１２８で、ガウス消去法を使用して、関連する線形システムを解く場合、ＨＵＮＣＣは、セキュリティレベルを１ビットでも下げるためにｌ＞１０^３８である必要がある。

[0088]最後に、我々の主な焦点は、ポスト量子暗号システムにあるが、ＨＵＮＣＣは、対称鍵暗号システムと組み合わされたものを含む、あらゆる公開鍵暗号システムで使用することができる。

[0089]図１０および図１１には、ＨＵＮＣＣのパフォーマンスが示される。３つの対策、すなわち、情報レート、個別の計算量的秘匿、および情報理論上の個別秘匿が示されている。特に、これら量の間のトレードオフは、図７～図９において、ｃで示される暗号化リンクの数が変化するときに見られ得る。

[0090]通信レートを検討することから始める。上記の定理３を参照されたい。暗号化リンクの数ｃを低減すると、レートが増加することに留意されたい。一方、計算量的セキュリティレベルは、少なくとも１つの経路が暗号化されている限り、つまりｃ≧１である限り、実質的に一定のままである。したがって、本明細書で開示される概念、技法、および構造を具現化する実際のシステムは、単一の暗号化された経路、リンク、またはデータチャネルのみを使用するか、これらを介して送信されるデータの一部のみに適用することができる。

[0091]弱いイブの場合、個別のセキュリティレベルは、弱いイブがそこから情報を取得しないリンクの数ｌ－ｗに比例して増加する。言い換えれば、計算量的なビットレベルのセキュリティは一定のままであるが、リンクのサブセットを観測する敵対者の不確実性は増加する。

[0092]したがって、図１０では、［１０２４，５１２］－ゴッパ符号を使用する元のマクリース暗号システムを用いたＨＵＮＣＣについて、各パフォーマンスパラメータ対暗号化リンクの数ｃを示している。各暗号化経路を介した情報レートは、ｋ_ｂ／ｎ_ｂ≒０．５である。説明のために、正規化されたセキュリティ指標を考察する。すなわち、１）正規化された計算量的セキュリティレベル
であり、これは、すべてのリンクにわたり暗号システムを使用して取得できる最大の計算量的セキュリティで除算されたセキュリティレベルである。そして、２）正規化された個別のセキュリティレベル
であり、これは、弱いイブが見ることができる多数のリンク間における、ネットワーク内の合計リンク数で除算された有理数である。

[0093]図１０に与えられた例では、結果は、ｃ個の暗号化リンクのすべてにおいて同じ公開鍵を有する同じマクリース暗号システム符号が使用された場合のものである。したがって、正規化された計算量的セキュリティレベルは、ｃ＝０の場合はゼロであり、ｃ＝１の場合は１である。定理１により、あらゆる１≦ｃ＜ｌの計算量的セキュリティレベルは、ここで、δ＝Ｏ（ｌ^３）であるｂ－δ／２^δによって制限されることに留意されたい。この差はごくわずかであり、プロットには表れず、プロットは基本的に一定のままであり、ｃ≧１の場合、１に等しい。

[0094]本明細書で開示される実施形態は、元のマクリース暗号システムに限定されない。あらゆる暗号システムを利用できる。これを例示するために、図１１には、開示された実施形態の効率と、ｌ＝３およびｌ＝１０の通信リンクについて、他の符号およびシステムの、結果として得られるトレードオフが示される。最初に、元のパラメータ、つまりｂ＝５８ビットの計算量的セキュリティを実現する［１０２４，５２４］－ゴッパ符号を用いたマクリース暗号システムを示す。次に、ｂ＝１２８ビットの計算量的セキュリティを実現する［２９６０，２２８８］－ゴッパ符号と、ｂ＝２５６ビットの計算量的セキュリティを実現する［６６２４，５１２９］－ゴッパ符号とを用いたマクリース暗号システムを示す。どちらもｋ_ｂ／ｎ_ｂ≒０．７７７の情報レートを有する。また、ＱＣ－ＬＤＰＣ符号を採用したマクリース暗号システムも示す。この符号体系では、以下のパラメータ、ｋ_ｂ＝１６３８４およびｎ_ｂ＝２４５７６、つまりレートｋ_ｂ／ｎ_ｂ＝０．６６６７を有する符号が推奨される。この符号は、ｂ＝７５．８ビット上の計算量的セキュリティを実現する。次に、ニーダライタ（Ｎｉｅｄｅｒｒｅｉｔｅｒ）によって提案されたレート０．５７のリード・ソロモン（Ｒｅｅｄ－Ｓｏｌｏｍｏｎ）符号を示す（一般化されたリード・ソロモン符号は文献で破られていることに留意）。元のマクリースの構築によって使用されたものと同じゴッパ符号を使用し、同じセキュリティレベルを備えたニーダライタ型のシステムが、マクリース暗号システムの最先端の攻撃の下でテストされ、したがって、ｂ＝５８ビットの計算量的セキュリティを達成すると想定される。

[0095]図１１に提示されるこの比較において、取得される最大の計算量的セキュリティレベルは、［６６２４，５１２９］－ゴッパ符号を有するマクリース暗号システムを使用して２５６ビットである。したがって、可能な符号ごとに、図１１の左側に提示されている結果は、ｂ＿ｍａｘ＝２５６で正規化されている。計算量的セキュリティレベルは、暗号システムを選択する際に検討される主要なパラメータのうちの１つであるが、もう１つは公開鍵のサイズであることを思い出されたい。また、上記で説明された理由で、またはネットワークにおける経路の合計数を変更することによって、暗号システムを使用するリンクの数を増加しても、ＨＵＮＣＣの計算量的セキュリティレベルは、本質的に一定のままであることに留意されたい。

[0096]次に、開示されたＨＵＮＣＣスキームの有用性およびパフォーマンスを例示する機能およびアプリケーションについて説明する。これらアプリケーションは、単一経路通信（図１２）、近視眼的敵対者（図１３）、分散ストレージおよび他のクラウドアプリケーション、高信頼性低レイテンシ通信（図１４）、ポスト量子または他の暗号システム以外のＲＳＡ暗号システムの使用を含む。

[0097]図７に示されるネットワークは、多重経路通信を使用するが、本明細書で開示するセキュアなコーディングスキームは、あらゆる通信ネットワークに適用できるという観点において普遍的である。たとえば、古典的なポイントツーポイントの単一経路通信だけでなく、異種メッシュネットワークでも使用できる。図１２は、開示されたセキュアなスキームが、古典的なポイントツーポイント単一経路通信にどのように適用できるかを描いている。このセット２００では、上記で提示されたネットワーク１００と同様に、１人の送信元であるアリス２１０、１人の正規の宛先であるボブ２３０、および盗聴者であるイブ２２０が存在する。主な違いは、セット２００では、アリス２１０とボブ２３０との間に、情報を送信する経路２２２が１つしかないことである。アリス２１０は、有限場
でｋ_ｕ個のシンボルのメッセージＭを単一経路２２２上でセキュアに送信することを望んでいる。このために、アリス２１０とボブ２３０は、本質的に並列的な仮想リンクを（たとえば、時分割多重化または当該技術分野で知られている他の技法によって）シミュレートすることによって、上記で説明されたように依然としてＨＵＮＣＣを利用し得る。より正確には、第１段階で、アリス２１０は、行列乗算器２１２を介して、線形的な個別のセキュア符号
を使用して、ｋ_ｕ個のシンボルをエンコードする。次に、アリス２１０は、公開ディレクトリ２２４において、ボブによって提供された公開鍵を使用して、チャネル２２２を介して送信する前にシンボルのｃを暗号化する。残りのプロセスは上記のとおりである。したがって、単一経路またはリンクのみであるが、多重経路ネットワークの場合と同じ通信レートおよびセキュリティレベルが得られる。

[0098]文献で検討されている別の重要なシナリオは、イブが、ネットワークを介して送信された情報の盗聴や傍受をするだけでなく、暗号化されたパケットを破損することも許可されているシナリオである。このシナリオは、受動的攻撃、近視眼的敵対者、中間者攻撃者、ビザンチン攻撃など、異なる敵対者モデルの下で、文献で検討されている。パケット破損の一般的な描写が図１３に例示され、ここでは、近視眼的敵対者が、最大ｔ個の経路を通過するデータを破損する。

[0099]ネットワーク内の経路のｗ＜ｌ個のサブセットからの情報しか得られない弱い盗聴者の場合、線形的な個別のセキュリティ符号を拡張して、イブによって注入される可能性がある最大ｔ個の誤りの訂正を実行することができる。１つのソリューションは、符号を一般化することであるが、そのような拡張にはコストが発生する。ｔ個の注入された誤りを訂正するには、レートを２ｔ低減する必要がある。しかしながら、このセットでは、暗号化された経路上にあるか否かに関係なく、ネットワークを介して送信されるメッセージのサブセットをイブが破損する可能性がある場合を、符号がサポートできることに留意されたい。実際、訂正の特性は、線形的なコーディングスキームのデコードのみに依存し、解読フェーズとは無関係である。

[0100]ネットワーク内のすべての経路から情報を取得できる強い盗聴者の場合、同じ一般化符号を利用して、イブによって注入される可能性のあるｔ個の誤りを訂正することができる。しかしながら、この場合、セキュリティを確保するために、アリスは、ネットワークにおける異なる経路を介して送信される、少なくとも２ｔ＋１個のメッセージを暗号化する必要がある。したがって、誤りを訂正するために送信される追加の２ｔ個のメッセージを暗号化して、イブが、線形符号によって十分エンコードされたメッセージを取得できないようにする必要があり、これにより、合計メッセージをデコードするために必要なランクを有する行列が得られる可能性がある。

[0101]エンコードされたメッセージ間で認証を利用して、上記で開示されたソリューションで注入された誤りを訂正するために必要なオーバヘッドを低減することができる。ボブが、破損されたメッセージを識別できる場合、アリスは、上記で提示されたモデルにおける２つのメッセージとは対照的に、注入された誤りごとに、追加のシンボルを１つだけ含める必要があることに留意されたい。さらに、上述された一般化された線形符号は、ネットワークにおける経路に誤りがないというシナリオをサポートする。マクリース暗号システムにおけるように、暗号システムが、誤り訂正符号に基づいている場合、ソースにおいて誤りベクトルを追加する代わりに、アリスは、チャネルの誤りを使用して、イブを混乱させることができる。このような場合における符号は、これら誤りを考慮して、正当なデコーダでデコードできるように設計されている。したがって、ボブは、情報をデコードできる。これらすべての拡張機能により、これらソリューションの有効なレートを高めることができる。

[0102]ＨＵＮＣＣは、分散ストレージおよび他の「クラウド」アプリケーションにも適用され得る。分散ストレージシステムの目標は、信頼性の低いストレージノードに分散されたデータへの信頼できるアクセスを提供することである。グーグル（Ｇｏｏｇｌｅ）のＧＦＳとＢｉｇＴａｂｌｅ、アマゾン（Ａｍａｚｏｎ）のＤｙｎａｍｏ、フェイスブック（Ｆａｃｅｂｏｏｋ）のＡｐａｃｈｅ Ｈａｄｏｏｐ、マイクロソフト（Ｍｉｃｒｏｓｏｆｔ）のＷＡＳ、およびリンクトイン（ＬｉｎｋｅｄＩｎ）のＶｏｌｄｅｍｏｒｔとＳｋｙＦｌｏｋを含む、データセンタに関連するアプリケーションは今日どこにでもある。

[0103]分散ストレージの主な欠点のうちの１つは、データが格納される場所の数が増加するにつれて、データのセキュリティおよびプライバシにおけるリスクが潜在的に増大することである。この問題に対処する１つの手法は、問題を多重経路ネットワークとして再解釈することである。これは、アリスとボブとが異なる時点で同じ個人であり、通信リンクがストレージノードであると見なすことによって行われる。このように、ＨＵＮＣＣを含む多重経路ネットワークに対する異なるプライバシソリューションを容易に適用して、分散ストレージシステムにおけるデータを保護できる。確率論的または敵対的な性質の両方の消去と誤りは、上記で説明された近視眼的敵対者によって導入された誤りを訂正する技法を使用して対処でき、同様の結果が得られる。

[0104]ＨＵＮＣＣはまた、超高信頼性低レイテンシ通信を提供するために使用され得る。最近は、オーディオ／ビデオストリーミング、スマートシティ通信、モノのインターネット（ＩｏＴ）ネットワークと制御アプリケーション、分散計算などにおけるアプリケーションと共に、低遅延を要求するストリーミング通信におけるネットワークコーディングの適用が検討されている。これに関連して、図１４は、アリスが、デジタルビデオパケットを生成または受信して、ボブにストリームする、ビデオストリーミング用の多重経路、低レイテンシ通信環境を描いている。高いスループットを実現する従来のコーディングソリューションは、一般に、これらアプリケーションにおいて必要となる、順序通りの低い配信遅延を保証するのには適していない。これにより、高レートと低遅延との間のトレードオフを調査する方法を提案する一連の作業が行われた。

[0105]しかしながら、通信が安全である必要がある場合、ＨＵＮＣＣは、当該技術分野で知られている様々なネットワークコーディングスキームと併せて使用され得る。これらコーディングスキームでは、線形ネットワークエンコーディングプロセスに関与するアリスからのメッセージの数は、望ましいレート／レイテンシのトレードオフに依存する。しかし、ＨＵＮＣＣを使用するセキュリティアプリケーションでは、この数は、必要とされるセキュリティ保証によってさらに制限される。秘密を提供するために、より多くのメッセージを共にミックスする必要がある場合があるため、これは、遅延をもたらす可能性がある。

[0106]最後に、ＨＵＮＣＣアプリケーションに関して、本明細書で開示される概念、技法、および構造の実施形態に従って、あらゆる計算量的にセキュアな暗号システムを使用できることに留意されたい。特に、ＲＳＡは、図６において与えられる例、つまり、２つの経路を有する多重経路ネットワークのコンテキストにおいて、ネットワークコーディングソリューションに適用できる。アリス側のエンコードの第１段階として、Ｘ＝ＭＧ＝［Ｍ_１＋Ｍ_２，Ｍ_１＋２Ｍ_２］となるように、個別のセキュリティ符号の生成行列
が使用されると仮定する。ここで、アリスとボブが、第１の経路のみでＲＳＡスキームを使用することに同意したとする。１２８ビットのセキュリティのために、彼らは、３０７２ビットの鍵を使用することに決めた。３２８ビットのＯＡＥＰパディングを使用すると、メッセージサイズは最大で２７４４ビットになる。したがって、アリスは、Ｘ_１を２７４４ビットのベクトルへ写像し、ＲＳＡを使用して、
にエンコードし得る。その後、アリスはチャネル１を介してｌｏｇ_２｜Ｅ（Ｘ_１，ｐ）｜＝３０７２ビットを、チャネル２を介してｌｏｇ_２｜Ｘ_２｜≦２２８８ビットを送信する。したがって、合計通信コストは約５３６０ビットになり、通信レートは０．８５よりわずかに大きくなる。

[0107]図１５は、本明細書で開示される概念、構造、および技法を具現化するために使用され得る、コンピュータ３００の関連する物理的構成要素を概略的に示す。特に、コンピュータ３００は、図７に示される環境１００またはそのあらゆる部分、特にアリスのノード１１０またはボブのノード１３０または通信経路１２２または公開ディレクトリ１２４、または図８に示されるアルゴリズム１またはその一部、または図９に示される行列演算と暗号演算、または図１２に示される環境２００またはそのあらゆる部分、特にアリスのノード２１０またはボブのノード２３０または単一の通信経路２２２または公開ディレクタ２２４、または、図１４に示されるビデオストリーミングおよび再生機能を実施するために、全体的または部分的に使用され得る。一般に、コンピュータ３００は、データバスを使用して互いにデータを通信する多くの機能構成要素を有する。図３の機能構成要素は、各々が動作しなければならない速度と、そのような動作を可能にするために必要な速度でバスを使用してデータを通信するために使用される技術に基づいて物理的に配置される。

[0108]このように、コンピュータ３００は、高速構成要素およびバス３１１～３１６と、低速構成要素およびバス３２１～３２９として配置される。高速構成要素およびバス３１１～３１６は、「ノースブリッジ」とも呼ばれる高速ブリッジ３１０を使用してデータ通信のために結合される一方、低速構成要素およびバス３２１～３２９は、「サウスブリッジ」とも呼ばれる低速ブリッジ３２０を使用して結合される。

[0109]コンピュータ３００は、バス３１２を介して高速ブリッジ３１０に結合された中央演算処理装置（「ＣＰＵ」）３１１を含む。ＣＰＵ３１１は、コンピュータプログラムの命令を実行する電子回路構成である。当該技術分野で知られているように、ＣＰＵ３１１は、マイクロプロセッサ、つまり、（「チップ」または「マイクロチップ」とも呼ばれる「ＩＣ」）集積回路として実施され得る。いくつかの実施形態では、ＣＰＵ３１１は、組込みアプリケーション用のマイクロコントローラとして、または当該技術分野で知られている他の実施形態に従って実施され得る。

[0110]バス３１２は、ＣＰＵの（または、より具体的には、マイクロプロセッサの）相互接続のために、当該技術分野で知られているあらゆる技術を使用して実施され得る。たとえば、バス３１２は、ＡＭＤによって最初に開発されたハイパ・トランスポート（Ｈｙｐｅｒ Ｔｒａｎｓｐｏｒｔ）アーキテクチャ、インテル（Ｉｎｔｅｌ）のクイックパス・インターコネクト（ＱｕｉｃｋＰａｔｈ Ｉｎｔｅｒｃｏｎｎｅｃｔ）（「ＱＰＩ」）、または同様の技術を使用して実施され得る。いくつかの実施形態では、高速ブリッジ３１０の機能は、バス３１２の必要性を排除して、ＣＰＵ３１１によって全体的または部分的に実施され得る。

[0111]コンピュータ３００は、グラフィックスバス３１４を介して高速ブリッジ３１０に結合された１つまたは複数のグラフィックス処理ユニット（ＧＰＵ）３１３を含む。各ＧＰＵ３１３は、ＣＰＵ３１１からのコマンドを処理して、表示画面（図示せず）上に表示する画像データにするように設計される。いくつかの実施形態では、ＣＰＵ３１１はグラフィックス処理を直接実行し、別個のＧＰＵ３１３およびグラフィックスバス３１４の必要性を排除する。他の実施形態では、ＧＰＵ３１３は、ＣＰＵ３１１とは別の集積回路として物理的に具現化され、ビデオカードなどの拡張カードで具現化される場合、コンピュータ３００から物理的に取外し可能であり得る。ＧＰＵ３１３は、画像データ（または、ＧＰＵ３１３が補助計算プロセッサとして使用される場合は他のデータ）をグラフィックスバッファに格納し得る。

[0112]グラフィックスバス３１４は、ＣＰＵとＧＰＵとの間のデータ通信のために、当該技術分野で知られているあらゆる技術を使用して実施され得る。たとえば、グラフィックスバス３１４は、ペリフェラル・コンポーネント・インターコネクトＥｘｐｒｅｓｓ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｅｘｐｒｅｓｓ）（「ＰＣＩＥｘｐｒｅｓｓ」または「ＰＣＩｅ」）規格、または同様の技術を使用して実施され得る。

[0113]コンピュータ３００は、メモリバス３１６を介して高速ブリッジ３１０に結合された一次ストレージ３１５を含む。本明細書では「メインメモリ」または単に「メモリ」と呼ばれ得る一次ストレージ３１５は、ＣＰＵ３１１によって使用されるコンピュータプログラム命令、データ、またはその両方を含む。一次ストレージ３１５は、ランダムアクセスメモリ（「ＲＡＭ」）を含み得る。ＲＡＭは、電源が切断されたときにデータが失われる場合は「揮発性」であり、電源が供給されていなくてもデータが保持される場合は「不揮発性」である。通常、揮発性ＲＡＭは、コンピュータ３００が「起動」して、プログラムを実行している場合、およびコンピュータ３００が一時的に「スリープ」している場合に使用され、不揮発性ＲＡＭ（「ＮＶＲＡＭ」）は、コンピュータ３００が「休止状態」にある場合に使用されるが、実施形態は、変動し得る。揮発性ＲＡＭは、たとえば、ダイナミック（「ＤＲＡＭ」）、同期（「ＳＤＲＡＭ」）、およびダブルデータレート（「ＤＤＲ ＳＤＲＡＭ」）であり得る。不揮発性ＲＡＭは、たとえば、ソリッドステートフラッシュメモリであり得る。ＲＡＭは、１つまたは複数のデュアルインラインメモリモジュール（「ＤＩＭＭ」）として、または当該技術分野で知られている他の同様の技術として物理的に提供され得る。

[0114]メモリバス３１６は、ＣＰＵと一次ストレージとの間のデータ通信のために、当該技術分野で知られているあらゆる技術を使用して実施され得る。メモリバス３１６は、ストレージアドレスを電気的に示すためのアドレスバスと、プログラム命令およびデータを、一次ストレージ３１５との間で送受信するためのデータバスとを備え得る。たとえば、一度に６４ビット（８バイト）のデータを格納および取得する場合、データバスは、６４ビットの幅を有する。この例を続けると、アドレスバスが、３２ビットの幅を有する場合、２^３２のメモリアドレスにアクセスできるため、コンピュータ３００は、最大８＊２^３２＝３２ギガバイト（ＧＢ）の一次ストレージ３１５を使用し得る。この例では、メモリバス３１６は、６４＋３２＝９６ビットの合計幅を有する。コンピュータ３００は、メモリバス３１６から受信した電気信号を、一次ストレージ３１５における物理ピンによって要求される電気信号に、およびその逆に変換するメモリコントローラ回路（図示せず）も含み得る。

[0115]コンピュータメモリは、メモリ応答時間とメモリサイズとの間のトレードオフに基づいて階層的に編成され得るため、本明細書における、特定の物理的位置にあるメモリのタイプへの描写および参照は、例示のみを目的としている。したがって、いくつかの実施形態（たとえば、組込みシステム）は、ＣＰＵ３１１、グラフィックス処理ユニット３１３、一次ストレージ３１５、および高速ブリッジ３１０、またはそれらのあらゆる組合せを、単一の集積回路として提供する。そのような実施形態では、バス３１２，３１４，３１６は、同じ集積回路の一部を形成することができ、物理的に分離する必要はない。コンピュータ３００のための他の設計は、バス３１２，３１４，３１６のうちの１つまたは複数の必要性を排除して、ＣＰＵ３１１、グラフィックス処理ユニット３１３、および一次ストレージ３１５の機能を異なる構成で具現化し得る。

[0116]ＣＰＵ３１１、ＧＰＵ３１３、および一次ストレージ３１５に結合された高速ブリッジ３１０の描写は、高速ブリッジ３１０との通信のために他の構成要素を結合できるため、単なる例示である。たとえば、ネットワークインターフェースコントローラ（「ＮＩＣ」または「ネットワークアダプタ」）は、データチャネルを使用してデータを送受信するために、高速ブリッジ３１０に結合され得る。ＮＩＣは、データチャネルに送信され、データチャネルから受信されるデータを、ネットワークデータバッファに格納し得る。

[0117]高速ブリッジ３１０は、内部データバス３３０を使用して低速ブリッジ３２０とのデータ通信のために結合される。異なる速度でデータを送受信するために、制御回路構成（図示せず）が必要になる場合がある。内部データバス３３０は、インテル社（Ｉｎｔｅｌ）のダイレクト・メディア・インタフェース（Ｄｉｒｅｃｔ Ｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）（「ＤＭＩ」）または同様の技術を使用して実施され得る。

[0118]コンピュータ３００は、ストレージバス３２２を介して低速ブリッジ３２０に結合された二次ストレージ３２１を含む。本明細書では「補助メモリ」、「補助ストレージ」、または「外部メモリ」と呼ばれ得る二次ストレージ３２１は、比較的低速で、比較的長い持続時間にわたってアクセスするためのプログラム命令およびデータを格納する。そのような持続時間は、コンピュータ３００からの電力の切断を含む可能性があるため、二次ストレージ３２１は、（ランダムにアクセスできる場合とできない場合とがある）不揮発性メモリを含む場合がある。

[0119]不揮発性メモリは、たとえばフラッシュドライブまたはソリッドステートドライブなど、可動部分を有していないソリッドステートメモリを備え得る。あるいは、不揮発性メモリは、データを格納するための移動ディスクまたはテープと、データを読み取る（場合によっては書き込む）ための装置とを備え得る。データは、たとえば、コンパクトディスク（「ＣＤ」）、デジタルビデオディスク（「ＤＶＤ」）、またはブルーレイディスク（「ＢＤ」）などに光学的に、または、たとえば、ハードディスクドライブ（「ＨＤＤ」）またはフロッピーディスクにおけるディスクに、またはデジタルオーディオテープ（「ＤＡＴ」）に磁気的に格納され得る。不揮発性メモリは、たとえば、読取専用（「ＲＯＭ」）、ライトワンス読取専用（「ＷＯＲＭ」）、プログラム可能（「ＰＲＯＭ」）、消去可能（「ＥＰＲＯＭ」）、または電気的消去可能（「ＥＥＰＲＯＭ」）であり得る。

[0120]ストレージバス３２２は、ＣＰＵと二次ストレージとの間のデータ通信のために、当該技術分野で知られているあらゆる技術を使用して実施され得、低速ブリッジ３２０からの電気信号を、二次ストレージ３２１上の物理ピンによって要求されるフォーマットへ、およびその逆へ適用するためのホストアダプタ（図示せず）を含み得る。たとえば、ストレージバス３２２は、ユニバーサルシリアルバス（「ＵＳＢ」）規格や、シリアルＡＴアタッチメント（「ＳＡＴＡ」）規格や、インテグレーティド・ドライブ・エレクトロニクス（Ｉｎｔｅｇｒａｔｅｄ Ｄｒｉｖｅ Ｅｌｅｃｔｒｏｎｉｃｓ）（「ＩＤＥ」）、エンハンスト（Ｅｎｈａｎｃｅｄ）ＩＤＥ（「ＥＩＤＥ」）、ＡＴＡパケットインターフェース（ＡＴＡ Ｐａｃｋｅｔ Ｉｎｔｅｒｆａｃｅ）（「ＡＴＡＰＩ」）、またはウルトラ（Ｕｌｔｒａ）ＡＴＡといったパラレルＡＴアッタチメント（Ｐａｒａｌｌｅｌ ＡＴ Ａｔｔａｃｈｍｅｎｔ）（「ＰＡＴＡ」）規格や、スモール・コンピュータ・システム・インターフェース（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）（「ＳＣＳＩ」）規格や、または類似の技術を使用し得る。

[0121]コンピュータ３００はまた、それぞれの１つまたは複数の拡張バス３２４を介して低速ブリッジ３２０に結合された１つまたは複数の拡張デバイスアダプタ３２３を含む。各拡張デバイスアダプタ３２３は、コンピュータ３００が、追加機能を提供する拡張デバイス（図示せず）と通信できるようにする。そのような追加機能は、別の取外し可能な拡張カード、たとえば、追加のグラフィックスカード、ネットワークカード、ホストアダプタ、または専用の処理カードで提供され得る。

[0122]各拡張バス３２４は、ＣＰＵと拡張デバイスアダプタとの間のデータ通信のために、当該技術分野で知られているあらゆる技術を使用して実施され得る。たとえば、拡張バス３２４は、ペリフェラル・コンポーネント・インターコネクト（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）（「ＰＣＩ」）規格や、イーサネット（Ｅｔｈｅｒｎｅｔ）規格のようなデータネットワーキング規格や、または同様の技術を使用して、電気信号を送受信し得る。

[0123]コンピュータ３００は、基本入出力システム（「ＢＩＯＳ」）３２５と、バス３２７を介して低速ブリッジ３２０に結合されたスーパＩ／Ｏ回路３２６とを含む。ＢＩＯＳ３２５は、電源投入プロセス中にコンピュータ３００のハードウェアを初期化するために使用される不揮発性メモリである。スーパＩ／Ｏ回路３２６は、シリアルマウスやキーボードなどの低速入出力デバイス３２８のための入出力（「Ｉ／Ｏ」）インターフェースを組み合わせる集積回路である。いくつかの実施形態では、ＢＩＯＳ機能は、スーパＩ／Ｏ回路３２６に直接組み込まれ、別個のＢＩＯＳ３２５の必要性を回避する。

[0124]バス３２７は、ＣＰＵ、ＢＩＯＳ（存在する場合）、およびスーパＩ／Ｏ回路の間のデータ通信のために、当該技術分野で知られているあらゆる技術を使用して実施され得る。たとえば、バス３２７は、ローピンカウント（「ＬＰＣ」）バス、業界標準アーキテクチャ（「ＩＳＡ」）バス、または同様の技術を使用して実施され得る。スーパＩ／Ｏ回路３２６は、１つまたは複数のバス３２９を介してＩ／Ｏデバイス３２８に結合される。バス３２９は、コンピュータ３００に結合されたＩ／Ｏデバイス３２８のタイプに応じて、シリアルバス、パラレルバス、当該技術分野で知られている他のバス、またはこれら組合せであり得る。

[0125]本明細書における「１つの実施形態」または「ある実施形態」への言及は、実施形態に関連して説明される特定の特徴、構造、または特性を、特許請求される主題の少なくとも１つの実施形態に含めることができることを意味する。本明細書における様々な場所における「１つの実施形態において」というフレーズの出現は、必ずしもすべてが同じ実施形態を称する訳ではなく、別のまたは代替の実施形態が必ずしも他の実施形態と相互に排他的であるとは限らない。「実施」という用語についても同様である。

[0126]本出願で使用される「例示的な」という単語は、本明細書では、例、実例、または例示として役立つことを意味するために使用される。本明細書で「例示的」として説明されるあらゆる態様または設計は、必ずしも他の態様または設計よりも好ましい、または有利であると解釈されるべきではない。むしろ、例示的な単語の使用は、具体的な方式で概念を提示するように意図されている。

[0127]それに加えて、「または」という用語は、排他的な「または」ではなく、包括的な「または」を意味するように意図されている。つまり、別段の指定がない限り、または文脈から明らかではない限り、「Ｘは、ＡまたはＢを使用する」は、自然な包括的な順列のいずれかを意味するように意図されている。すなわち、Ｘが、Ａを採用する、Ｘが、Ｂを採用する、または、Ｘが、ＡとＢとの両方を採用するのであれば、「Ｘが、ＡまたはＢを採用する」は、前述のいずれかの事例の下で満たされる。それに加えて、本出願および添付の特許請求の範囲で使用される冠詞「ａ」および「ａｎ」は、別段の指定がない限り、または文脈から単数形を指すことが明らかではない限り、一般に「１つまたは複数」を意味すると解釈されるべきである。

[0128]さらに、「システム」、「構成要素」、「モジュール」、「インターフェース」、「モデル」などの用語は、一般に、ハードウェア、ハードウェアとソフトウェアとの組合せ、ソフトウェア、または実行中のソフトウェアのいずれかであるコンピュータ関連エンティティを称するように意図されている。たとえば、構成要素は、プロセッサ上で動作するプロセス、プロセッサ、オブジェクト、実行ファイル、実行のスレッド、プログラム、および／またはコンピュータであり得るが、これらに限定されない。例として、コントローラ上で動作するアプリケーションと、コントローラとの両方が構成要素になることができる。１つまたは複数の構成要素が、実行のプロセスおよび／またはスレッド内に存在し得、構成要素が、１台のコンピュータにローカライズされ得る、および／または、２台以上のコンピュータに分散され得る。

[0129]本明細書で説明される主題は、ユーザ対話型構成要素を有するコンピューティングアプリケーションのための１つまたは複数のコンピューティングアプリケーション機能／演算を処理するための例示的な実施のコンテキストで説明され得るが、主題はこれら特定の実施形態に限定されない。むしろ、本明細書で説明される技法は、あらゆる適切なタイプのユーザ対話型構成要素実行管理方法、システム、プラットフォーム、および／または装置に適用できる。

[0130]いくつかの実施形態は、方法およびこれら方法を実現するための装置の形態で実施され得る。説明された実施形態はまた、磁気記録媒体、光記録媒体、ソリッドステートメモリ、フロッピーディスク、ＣＤ－ＲＯＭ、ハードドライブ、または他のあらゆる機械可読記憶媒体などの有形の媒体に具現化されたプログラムコードの形態で実施され得、ここで、プログラムコードは、コンピュータなどのマシンにロードされ、マシンによって実行されると、マシンは、特許請求された発明を実現するための装置となる。説明された実施形態はまた、たとえば、記憶媒体に格納されるか、マシンによってロードされ、および／または、マシンによって実行されるか、または、光ファイバ、または電磁放射を介して、電気配線またはケーブルなどの何らかの送信媒体またはキャリアを介して送信されるか否かに関わらず、プログラムコードの形態で実施され得、プログラムコードがコンピュータなどのマシンによってロードされ、マシンによって実行されると、マシンは、特許請求された発明を実現するための装置になる。汎用プロセッサにおいて実施された場合、プログラムコードセグメントは、プロセッサと結合して、特定の論理回路と同様に動作する独自のデバイスを提供する。説明された実施形態は、特許請求された発明の方法および／または装置を使用して生成された、媒体を通じて電気的または光学的に送信される信号値のビットストリームまたは他のシーケンスや、磁気記録媒体内に格納された磁場変動などの形態で実施され得る。

[0131]本明細書に記載された例示的な方法のステップは、必ずしも説明された順序で実行される必要はなく、そのような方法のステップの順序は、単に例示的であると理解されるべきであると理解されるべきである。同様に、様々な実施形態と一致する方法において、追加のステップがそのような方法に含まれ得、特定のステップが省略または組み合わされ得る。

[0132]特許請求された発明の本質を説明するために、説明および例示された部品の詳細、材料、および配置の様々な変更が、当業者によって、添付の特許請求の範囲から逸脱することなくなされ得ることがさらに理解されるであろう。

Claims (16)

1. 複数のデータブロックをセキュアに通信する方法であって、
   第１のデータチャネルを使用して、前記複数のデータブロックの第１のエンコードの暗号を備える第１のメッセージを受信するステップと、
   第２のデータチャネルを使用して、前記複数のデータブロックの、暗号化されていない第２のエンコードを備える第２のメッセージを受信するステップと、
   前記複数のデータブロックの、暗号化されていない前記第１のエンコードを取得するために、前記第１のメッセージの暗号を解読するステップと、
   前記複数のデータブロックの、暗号化されていない前記第１のエンコード、および暗号化されていない前記第２のエンコードを使用して、前記複数のメッセージにおける各メッセージを復元するステップとを含む、方法。
2. 前記第１のデータチャネルおよび前記第２のデータチャネルは、異なる送信媒体を備える、請求項１に記載の方法。
3. 前記第１のデータチャネルおよび前記第２のデータチャネルは、単一の送信媒体の異なる利用時間を備える、請求項１に記載の方法。
4. 前記暗号は、公開鍵暗号を備える、請求項１に記載の方法。
5. 前記暗号は、ポスト量子暗号を備える、請求項１に記載の方法。
6. 復元するステップは、線形ネットワーク符号に従って、暗号化されていない前記第１および第２ののエンコードをデコードするステップを含む、請求項１に記載の方法。
7. デコードするステップは、個別のセキュア符号に従ってデコードするステップを含む、請求項６に記載の方法。
8. 前記第１のメッセージを受信するステップ、または前記第２のメッセージを受信するステップは、１つまたは複数の誤りを訂正するステップを含む、請求項１に記載の方法。
9. 複数のデータブロックをセキュアに通信するための装置であって、
   コンピューティングプロセッサと、
   コンピュータプログラムコードを格納する不揮発性メモリと
   を含み、
   前記コンピュータプログラムコードは、前記コンピューティングプロセッサによって実行されると、
   第１のデータチャネルを使用して、前記複数のデータブロックの第１のエンコードの暗号を備える第１のメッセージを受信するプロセスと、
   第２のデータチャネルを使用して、前記複数のデータブロックの、暗号化されていない第２のエンコードを備える第２のメッセージを受信するプロセスと、
   前記複数のデータブロックの、暗号化されていない前記第１のエンコードを取得するために、前記第１のメッセージの暗号を解読するプロセスと、
   前記複数のデータブロックの、暗号化されていない前記第１のエンコード、および暗号化されていない前記第２のエンコードを使用して、前記複数のメッセージにおける各メッセージを復元するプロセスと
   を実行する、装置。
10. 前記第１のデータチャネルおよび前記第２のデータチャネルは、異なる送信媒体を備える、請求項９に記載の装置。
11. 前記第１のデータチャネルおよび前記第２のデータチャネルは、単一の送信媒体の異なる利用時間を備える、請求項９に記載の装置。
12. 前記暗号は、公開鍵暗号を備える、請求項９に記載の装置。
13. 前記暗号は、ポスト量子暗号を備える、請求項９に記載の装置。
14. 復元するステップは、線形ネットワーク符号に従って、暗号化されていない前記第１のエンコードおよび前記第２のエンコードをデコードするステップを含む、請求項９に記載の装置。
15. デコードするステップは、個別のセキュア符号に従ってデコードするステップを含む、請求項１４に記載の方法。
16. 前記第１のメッセージを受信するステップ、または前記第２のメッセージを受信するステップは、１つまたは複数の誤りを訂正するステップを含む、請求項９に記載の装置。