JP5492095B2 - 量子鍵配送を有するネットワーク - Google Patents

Description

本発明は、量子暗号を実行するための装置および方法に関し、特にネットワークを介した量子鍵配送に関する。

暗号化は、一般に様々な媒体を介した、特に通信ネットワークおよび／またはデータネットワークを介した通信を保護するために使用される。暗号化は、一般に何らかの秘密値を共有して当事者の通信を保護することを望む当事者に基づく。この値は、通信を保護するために使用される暗号鍵を得るために使用されることができる。暗号化が高度になるほど、それだけ鍵なしで復号することが困難になる。現代のよく管理された暗号化方式を解読するには、従来のコンピューティング資源を大いに必要とすると一般に信じられている。しかしながら、異なる通信に同じ暗号鍵を繰り返して使用することは、扱う材料をより多く潜在的な暗号解読者に与え、かつ暗号化に脆弱性を持ち込む可能性があることはよく知られている。したがって、暗号鍵をしばしば変更することが望ましい。

鍵の知識があれば盗聴者がすべての通信を復号することができるので、新しい鍵素材を安全に配送することが不可欠であることは明らかである。しかしながら、鍵配送はまた、効率的で使いやすくなければならず、たとえば、信頼できる急使などにより新しい鍵を物理的に配送することは、多くの状況で費用がかかり実用的でない。

新しい鍵素材は、それを既存の鍵を使用して暗号化し、次に通常のデータトラフィックとして配送することにより配送されることができる。次に、新しい鍵素材は、その後の通信のために使用されることができ、ある時点で別の新しい鍵を含む。そのような方式は使いやすく、定期的な鍵の更新を可能にするが、暗号化がある時点で解読された場合、すなわち暗号化鍵が効果的に決定された場合、盗聴者は、新しい鍵を運ぶメッセージが配送されたときに、そのメッセージを傍受し復号することができるので、その暗号はその時点から破綻するという弱点がそのような方式にはある。

量子鍵配送（ＱＫＤ）は、安全な鍵配送の可能性を提供するよく知られた技術である。ＱＫＤは、基本的な量子的性質を信頼し、一般にアリス（Ａｌｉｃｅ）およびボブ（Ｂｏｂ）と呼ばれる両者が値を交換し、かつ通常イブ（Ｅｖｅ）と呼ばれる盗聴者が値のことをほとんど知らなかったことを知ることができるようにする。ＱＫＤにより、必要に応じて鍵素材がアリスおよびボブにより安全に得られることができるようになり、このことが、鍵配送の別の方法に対して大きな利点を提供する。

ＢｅｎｎｅｔｔおよびＢｒａｓｓａｒｄが、Ｃ．Ｈ．Ｂｅｎｎｅｔｔ ａｎｄ Ｇ．Ｂｒａｓｓａｒｄによる「Ｑｕａｎｔｕｍ ｃｒｙｐｔｏｇｒａｐｈｙ：『Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ』」ＩＥＥ Ｃｏｎｆ．Ｃｏｍｐｕｔｅｒｓ Ｓｙｓｔｅｍｓ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ、Ｂｎｇａｌｏｒｅ Ｉｎｄｉａ １９８４で、ＢＢ８４プロトコルとして知られるようになったＱＫＤプロトコルを説明した。このプロトコルは、適切に符号化された一連の単一光子の伝送（量子交換）を使用して、任意の従来の通信媒体による公開の議論（鍵合意段階）が後に続き、アリスおよびボブが乱数の共有されたストリングを得ることができるようになる。量子交換で単一光子が使用されるので、イブがこの交換に関する任意の情報を得ることができる唯一の方法は、アリスにより送信された単一光子を傍受し、彼女自身で情報を測定することである。検出を防止するために、イブはまた、自分が傍受した元の光子を複製しようとする光子をボブに送信しなければならない。符号化のランダムな選択、および光子の量子的性質のために、イブは、正確に符号化された光子をボブに渡すのを保証することができず、このことが統計誤差を引き起こし、この誤差は、アリスおよびボブの通常の通信の間に彼らにより見つけ出される。

したがって、ＱＫＤは、盗聴から保護する、新しい鍵素材を配送する安全な手段を提供する。しかしながら、最初に説明されたＢＢ８４プロトコルは、いわゆる中間攻撃者に対して脆弱な可能性がある。この場合、通常マロリ（Ｍａｌｌｏｒｙ）と呼ばれる攻撃者が、アリスとボブの間のすべてのデータ交換を傍受し停止させるように自身を置く。次に、マロリは、アリスと通信するが、アリスには自分がボブである振りをする。マロリはまた、ボブとも通信するが、そうする際にアリスである振りをする。したがって、アリスおよびボブそれぞれが、彼らは互いに話していると思うが、実際には、彼らは両方ともマロリと話をしている。このシナリオで、単純なＱＫＤプロトコルが使用されていれば、アリスは量子鍵、すなわちＱＫＤにより得られる鍵をマロリ（それがボブだと思っている）と合意する。同様に、ボブは、量子鍵をマロリと合意する。自分は量子鍵をボブと合意したと考えているアリスは、この鍵を使ってボブ宛のメッセージを暗号化する。マロリは、この通信を傍受し、それを復号し、メッセージから彼が得たいと思うどんな情報も得ることができる。発覚を防止するために、次に、マロリは、今回はボブと合意した量子鍵を使用してこのメッセージを再暗号化し、それをボブに送信することができる。したがって、ボブは、実際にアリスにより送信されたメッセージを受信し、そのメッセージは、ボブがアリスと合意したと思っている鍵を使用して暗号化されている。したがって、ボブは、何も間違っていないと認識する。ボブからアリスへの通信は、逆の順序で同じ原理に従う。

中間攻撃者を克服するためには、通信の当事者が、アリスが実際にマロリとではなくボブと話をしていることを保証する認証ステップを始めるのが普通である。認証は、通常ボブおよびアリスにしか知られていないＩＤ鍵などの共有秘密を明らかにする、または使用することを伴う。ボブと通信するのを望むアリスは、ボブと連絡をとろうとして、量子鍵を設定する。そうする際、アリスは、ボブのＩＤ鍵に基づく認証を要求する。マロリはこれを知らず、したがって、うまくボブの振りをすることができない。同様に、アリスと称するだれかと量子鍵を設定する要求を受信するボブは、アリスのＩＤ鍵に基づく認証を要求する。認証には、ＱＫＤを開始する前にアリスおよびボブが少なくとも１つのＩＤ鍵の知識を実際に共有する必要があるが、この鍵は、システムの初期化時に一度供給されることができる。使用法については、その後で、ＩＤ鍵は、認証されたＱＫＤセッションから得られた量子鍵を使用して更新されることができる。

したがって、認証されたＱＫＤは、安全な鍵配送を提供する。しかしながら、説明されたＱＫＤは、アリスからボブへの量子チャネルの役割を果たす途切れのない光路を必要とする。これは自由空間中であってもよく、光ファイバケーブルなどの光導波路を介してもよい。いずれの場合も、特に単一光子を使用するために、距離が制約される。さらに、多数のユーザが接続されるネットワークでは、各ユーザが互いのユーザとの直接の光リンクを有することは実用的ではない。

この制約を克服する１つの方法が、ノードからなるネットワークを有することである。アリスからボブに通信するために、ノードのチェーンが形成されることができ、各ノードは、ＱＫＤが適用されることができる光リンクにより次のノードに接続される。アリスはチェーンの最初のノードとなり、ボブが最後のノードとなる。次に、各ノードが、その隣接ノードとＱＫＤにより量子鍵を確立することができる。次に、１対のノードにより確立された鍵が、これらのノード間を通過するデータトラフィックを暗号化するために使用される。この方法では、異なる鍵が各リンク上で使用されるが、チェーンに沿って通過するメッセージが、ノード間で暗号化される。これが、任意のリンク上で盗聴しようとするイブからの保護を提供する。しかしながら、ノード内ではデータが平文、すなわち暗号化されていないことは明らかであり、したがって、チェーン内のノードの振りをするマロリから保護する必要がある。これには、各ノードがチェーン内の隣接ノードを認証する必要がある。

そのような配列は可能だが、それには、ノードがネットワークを通る正しい経路を確立し、正しく認証することをアリスおよびボブが期待する必要がある。また、それには、各ノードがそれ自体のＩＤ鍵、ならびにチェーン内の前のノードおよび次のノードのＩＤ鍵を知る必要がある。当業者は理解するが、ノードは、物理的に安全でなければならず、すなわち誤ったデータ漏洩に耐えなければならず、また、安全な場所にある、かつ／または改ざんの恐れがないものでなければならない。そのような装置の改ざん防止には、開放された場合、ノードに知られているすべての鍵を回復できないほどにノードに削除させる覆い隠されたコンテナ内に安全な場所を配置することをしばしば伴う。攻撃者がコンテナを開放しようとする場合だけでなく、コンテナが日常保守のために開放された場合にもこれが起こる。保守後、新しいＩＤ鍵がノードにロードされ、次に、ノードはそのＩＤ鍵を使用して、隣接ノードと通信する。しかしながら、これらのノードは、新しいＩＤ鍵を物理的に供給されなければそれを認識しない。ノードに対して行われるどんな保守も、またはチェーン内のノードのどんな取換えも、技術者がそのノードだけでなく特定のノードが通信し得るすべてのノードの場所を訪問する必要があることは明らかである。これは、できれば避けられなければならない追加の管理のオーバヘッドを表す。

別の配列が、ＰｅａｒｓｏｎおよびＥｌｌｉｏｔによる米国特許出願公開第２００４／０１８４６０３号明細書で開示されている。この明細書では、ノードがネットワークから動的に選択されて、アリスからボブへのチェーンを形成し、ＱＫＤが各ノード間で使用されて、そのリンクのための量子鍵を生成する。しかしながら、上記の配列とは異なり、トラフィックデータは、各リンク上の異なる量子鍵で暗号化されるチェーンを通って送信されない。代わりに、チェーン内の各中間ノードが、共有する量子鍵をＸＯＲ関数により両側のノードと結合し、結果を従来の通信方法によりアリスに渡す。チェーン内の最後のノードであるボブは、トラフィック鍵を生成し、これを前のノードと確立された量子鍵と結合し、これをアリスに送信する。アリスは、チェーン内のノードそれぞれにより送信されたデータを、自分に隣接するノードと合意した量子鍵と共に結合して、トラフィック鍵を回復することができる。次に、トラフィック鍵は、アリスとボブの間のエンドツーエンド暗号化のために使用されることができる。事実上、各ノードが、前のリンクに対する鍵で暗号化された次のリンクに対する量子鍵をアリスに送信する。アリス自身は、最初のリンクに対する量子鍵を知っているので、これを使って、２番目のリンクに対する鍵を復号することができ、それが、３番目のリンクに対する鍵を復号するために使用されることができ、以下同様にして、最後に、アリスは、ボブがトラフィック鍵を暗号化するために使用した最後のリンクに対する量子鍵を知る。

そのようなシステムでトラフィックをモニタするイブは、各ノードにより送信されたデータを結合して、ＸＯＲ関数により最初のリンクに対する量子鍵と結合されたトラフィック鍵に等しい値を生成することができる。イブは、その量子鍵を知らないので、トラフィック鍵を知ることができず、したがってシステムは盗聴に対して安全である。データトラフィックは、端末間暗号化を使用して送信され、したがってどのノードでも平文で出現しないが、どのノードも、単にチェーン内の次のノードそれぞれにより従来の手段で送信されたメッセージをすべて収集し、それらをＸＯＲ関数で結合することによりトラフィック鍵を得ることができる。したがって、システムは、ノードの振りをするマロリに対して依然として脆弱であり、したがって、各ノードは、チェーン内の次のノードを認証して、安全性を維持しなければならない。ノードが互いに認証するこの必要性には、上記で説明されたのと同じ欠点がある。

さらに、アリスは、正しいボブとリンクを確立するためにノードを信頼しなければならない。ノードのどれかが、たとえば一般に経路の確立に責任がある最初のノードが故障し、だれか他の人（正しくないボブ）への経路を確立した場合、その正しくないボブと鍵が確立される。次に、メッセージが、ネットワークを介して安全に送信されるが、誤った受信者に、彼らが読むことができる形式で到達する。

別の技法が、Ｂｅｃｈｍａｎｎ−ＰａｓｑｕｉｎｕｃｃｉおよびＰａｓｑｕｉｎｕｃｃｉによる「Ｑｕａｎｔｕｍ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ｗｉｔｈ ｔｒｕｓｔｅｄ ｑｕａｎｔｕｍ ｒｅｌａｙ」と題する彼らの論文で開示されている。この論文では、エンドポイントノードにあるアリスおよびボブが、中間ノードであるトレント（Ｔｒｅｎｔ）を介して通信する。トレントには、アリスから量子信号を受信する量子受信機、およびボブに渡す量子信号を再生しようとする量子送信機がある。事実上、トレントは、自動中継器、または信号ブースタの役割を果たそうとする。しかしながら、トレントは、量子信号を正確に再生することを保証することができないので（これはＱＫＤの安全性の基本である）、アリス、トレント、およびボブの３者すべてが、光子を生成し測定するために使用される基底を鍵合意段階で議論しなければならない。３者すべてが合意した場合にだけ、ビットが保持される。アルゴリズムは、明白な方法で、４つ以上のノードを有するチェーンに一般化される。

トレントには、アリスおよびボブが確立する鍵を得るために必要なすべての情報があるので、トレントは信頼されなければならないことを論文は明らかにしている。論文は、中間攻撃者を排除する認証の必要性について説明していないが、アリスおよび／またはボブがトレントを認証しなければならないことは明白であり、そうでなければ、中間攻撃者であるマロリがトレントに取って代わることができる。

米国特許出願公開第２００４／０１８４６０３号明細書 国際公開第２００７／１２３８６９号パンフレット 米国特許第７，０６８，７９０号明細書 米国特許第５，７６８，３７８号明細書

Ｃ．Ｈ．Ｂｅｎｎｅｔｔ ａｎｄ Ｇ．Ｂｒａｓｓａｒｄによる「Ｑｕａｎｔｕｍ ｃｒｙｐｔｏｇｒａｐｈｙ：『Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ』」ＩＥＥ Ｃｏｎｆ．Ｃｏｍｐｕｔｅｒｓ Ｓｙｓｔｅｍｓ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ、Ｂｎｇａｌｏｒｅ Ｉｎｄｉａ １９８４ Ｂｅｃｈｍａｎｎ−ＰａｓｑｕｉｎｕｃｃｉおよびＰａｓｑｕｉｎｕｃｃｉによる「Ｑｕａｎｔｕｍ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ｗｉｔｈ ｔｒｕｓｔｅｄ ｑｕａｎｔｕｍ ｒｅｌａｙ」

この解決策の１つの欠点は、ボブおよび各トレントが、アリスにより使用される基底をすべて正確に推測しなければならないので、チェーン内のノードの数と共に損失が指数的に増加することである。この問題は、現在の量子送信機に付随する実用上の問題によりさらに悪化する。送信機は、単一光子源でなければならず、そうでなければ、イブは１つの光子を傍受し、別の観測されなかった光子を残してボブに渡すことができる。単一光子源を作る実際上の手段が、統計的に多数の光子を生成する確率が非常に低いが光子を全く生成しない確率がかなり高い低出力レーザを使用することである。したがって、量子送信機は、量子信号の大きな損失源となる。たとえば、アリスは、１０Ｍビット／秒の速度で光子を送信しようとすることがあるが、実際には平均で毎秒１Ｍビットしか送信されない。トレントは、これらを受信し、単一光子源を使用してこれらを再送しなければならないので、実際には毎秒１００ｋビットしか送信しない。このことが、鍵が確立されることができる速度を大きく低下させ、すぐに損失が非常に大きくなるので、もはや鍵を確立することが全く不可能となる。

別の手法が、Ｍａｇｉｑにより公開された国際公開第２００７／１２３８６９号パンフレットに説明されている。この特許出願では、いくつかのユーザが、従来の通信リンクにより互いに接続されている。さらに、ユーザは量子リンクにより量子鍵認証局に接続されることができる。量子リンクは、認証局とユーザの間のＱＫＤ用に使用される。次に、通信することを望む２つのユーザがそれぞれ、確立されたそれぞれの量子鍵を使用して認証局により同じ鍵を送信される。しかしながら、この配列では、各ユーザが認証局への直接の量子リンクを有する必要があり、このことは、ある種のネットワーク実装形態では可能でないことも、実際的でないこともある。さらに、認証局は、通信することを望む２つのユーザを正確に識別して、それらに共通鍵を送信することを期待されなければならず、認証局はまた、認証について信頼されなければならない。

ＢＢＮ Ｔｅｃｈｎｏｌｏｇｉｅｓの米国特許第７，０６８，７９０号明細書が、ＭＥＭＳスイッチを組み込む光交換網が、ネットワークを介した交換可能光路を提供することができるようにされ得ることを教示している。この方法では、ネットワークを通る光路が確立されて、任意の２つのエンドポイント間のエンドツーエンドＱＫＤを可能にする。しかしながらそのような交換配列が、実際にネットワークに複雑さをさらに持ち込み、ＱＫＤ装置が、量子信号が送信されることができる実効距離を短縮する可能性が最も高い。

したがって、上記で述べられた欠点のうちの少なくとも一部を緩和する、ＱＫＤを使用するネットワークを提供することが本発明の目的である。

本発明によれば、少なくとも１つの中間ノードを含むネットワーク経路を介して光ネットワーク上の第１のノードと第２のノードの間の量子鍵配送の方法が提供され、量子鍵が第２のノードと合意されるまで、順次、第１のノードとネットワーク経路内の各次のノードの間で量子鍵を合意するステップを含み、量子鍵をターゲットノード（ｔａｒｇｅｔｅｄ ｎｏｄｅ）と合意するステップは、ターゲットノードと、ネットワーク経路内の前のノードの間で量子信号を交換し、前記量子信号に基づき第１のノードとターゲットノードの間で鍵合意ステップを実行するステップを含み、第１のノード自体が前記量子交換に関与していない場合、第１のノードは、鍵合意ステップに必要なすべての情報を有するように、ターゲットノードの前の前記ノードと通信し、前記通信は、前記前のノードと確立された量子鍵を使用して暗号化される。

したがって、第１のノードおよび第２のノードが、少なくとも１つの中間ノードを含むネットワーク経路によりリンクされ、したがって、それらの間の直接の光リンクを有し得ない場合でさえ、本発明により、光ネットワークの第１のノードおよび第２のノードが、量子鍵配送の原理を使用して量子鍵を直接合意することができるようになる。本発明は、経路内のソースノードとも呼ばれ得る第１のノードに、第２のノード、すなわち宛先ノードと鍵が合意されるまで、順に経路内の各ノードと別個の量子鍵を確立させることにより動作する。量子鍵が、宛先ノードと直接合意されると、ソースノードと宛先ノードの間の通信のエンドツーエンド暗号化のために使用されることができる。本明細書で使用されているように、ノードという用語は、量子鍵配送に適した量子信号を送信および／または受信することができる少なくとも１つの装置を有する光ネットワーク内の場所を意味することに留意されたい。ノードは、ネットワークのエンドポイントでもよく、ネットワークの中間部分でもよい。

方法は、第１のノードに隣接するノードから始まり、順に経路内の各ノードと量子鍵を順次合意して動作する。あるノードと確立された各量子鍵はそれぞれ、経路内の次のノードと量子鍵を合意するステップで使用されるので、この方法はこのように動作する。本明細書で使用されるように、ターゲットノードという用語は、第１のノードが任意の特定のステップで鍵を合意しようとするノードを意味することに留意されたい。したがって、ネットワーク経路内の各中間ノードが順にターゲットノードとなり、その後、宛先ノードである第２のノードが最後の繰返しでターゲットノードとなることが明らかである。

任意のターゲットノードと量子鍵を合意するステップは、ＱＫＤでは普通であるが、別のノードと量子信号を交換するそのターゲットノードを伴う。量子信号は、当業者に理解される量子鍵合意プロトコルの基底として使用されることができる任意の信号である。たとえば、量子信号は、一連の適切に変調された単一光子を含むことができる。当業者は、たとえば、ＢＢ８４プロトコル、またはＢ９２プロトコル、または６状態プロトコル、またはこれらの変形プロトコルのうちのどれかに基づく信号のように、制約なしに使用されることができる、様々な変調方式についてよく知っている。変調は、たとえば、位相変調または偏光変調を適用することができる。量子信号はまた、もつれ光子（ｅｎｔａｎｇｌｅｄ ｐｈｏｔｏｎ）を含むことができる。たとえば、もつれ光子源が、もつれ光子対を生成することができ、これらの光子のうちの一方が、適切なリンクを介して送信されることができる。したがって、量子信号の量子交換は、もつれ光子の転送を含むことができる。もつれ光子対源が、遠隔に配置され、各対からの一方がアリスおよびボブに供給されることが可能である。そのような配列では、アリスおよびボブそれぞれが、彼らのそれぞれの光子に対して測定を行うときに、量子信号交換が行われることが当業者には理解される。したがって、第三者がもつれ光子を生成できても、アリスとボブの間に依然として量子交換が存在する。

単一の中間ノードによりリンクされるソースノード（第１のノード）と宛先ノード（第２のノード）の間のＱＫＤに適用される方法について考えてみる。方法の最初の繰返しでは、中間ノードがターゲットノードである。方法は、ターゲットノードと、経路内の前のノード（この最初の繰返しではソースノードである）の間の量子交換を伴う。一般には、一方のノードが量子信号を送信し、したがって、アリスと呼ばれ、他方のノードが量子信号を受信し、ボブと呼ばれる。量子交換に続き、ソースノードとターゲットノードの間の鍵合意ステップがあり、このステップは、従来の通信を使用して実行される。したがって、この最初の繰返しでは、ソースノードは、ソースノードとターゲットノードの間で交換された量子信号について中間ノードと議論する、すなわち、アリスおよびボブは通常のＱＫＤにおけるように議論に従事する。例として、量子信号交換が、ＢＢ８４プロトコルで説明された量子交換の原理に従って実行されると、すなわち、量子信号が、それぞれが暗号化基底およびデータ値に関してランダムに変調されている一連の単一光子からなる場合、鍵合意ステップはまた、ＢＢ８４の原理に従うことができる。すなわち、アリスおよびボブは、彼らが両方とも同じ符号化基底を使用した光子を識別し、そのような光子に対して測定されたデータ値を使用して、盗聴を検査し、次に量子鍵を合意する。ＢＢ８４プロトコルは、単に例として使用されているだけであり、別のプロトコルが存在し、本発明に従って動作するように適合されることができることを当業者は当然理解する。

したがって、ソースノード、すなわち第１のノードはまた、ＱＫＤでは一般的だが、中間ノードで認証することができる。

したがって、最初の繰返しは、標準的ＱＫＤ原理を使用してソースノードと中間ノードの間で第１の量子鍵を確立する。しかしながら、次の繰返しでは、ソースノードは、直接の光リンクがないことがある宛先ノードと新しい量子鍵（第２の量子鍵）を直接合意しようとする。

この繰返しでは、宛先ノードであるターゲットノードと、経路内の前のノード（中間ノードである）の間で量子交換が行われる。好都合なことに、この量子交換は、前の繰返しで使用されたのと同じ種類の量子交換であり、すなわち、この場合も標準的ＱＫＤにおけるように一連の適切に変調された単一光子であり得る。しかしながら、この繰返しでは、従来のＱＫＤとは異なり、量子交換に関与した中間ノードは、その後の鍵合意ステップに関与しない。代わりに、中間ノードは、ソースノードがその後の鍵合意ステップを始めることができるように、必要とされる量子信号に関する情報をすべて有するように、ソースノードと通信する。この場合もＢＢ８４プロトコルの例を使用して、第１のノードが、中間ノードにより送信および／または検出された光子ごとの適用された符号化基底およびデータ値を知るように、ソースノードは、この繰返しで量子交換に関与した中間ノードと通信する。したがって、ソースノードには、ターゲットノードと直接ＢＢ８４プロトコルの鍵合意段階を始めるのに必要な情報がすべてある。

したがって、ソースノードは、ソースノードと宛先ノードの間に直接の量子リンクがなくても中間ノードを使用することにより宛先ノードと第２の量子鍵を合意することができる。ソースノードが鍵合意ステップに関与するので、中間ノードではなくソースノードが、鍵交換の認証に関与する、すなわち、認証に使用されるのは、ソースノードと宛先ノードの間で共有されるＩＤ鍵であることに留意されたい。中間ノードは、宛先ノードとの量子交換部分を認証する必要がなく、したがって、宛先ノードに対するＩＤ鍵を必要としない。

中間ノードにより送信または受信される量子信号に関する、ソースノードと宛先ノードの間の通信は、最初の繰返しでソースノードと中間ノードの間で確立された第１の量子鍵により保護される。したがって、この通信は、盗聴および中間攻撃者に対して安全である。

第２の量子鍵が、ソースノードと宛先ノードの間で合意されると、その鍵は、エンドツーエンド暗号化配列にあるこれらのノード間の通信を暗号化するために使用されることができる。この暗号化された通信、しかもソースノードと中間ノードの間のこの暗号化された通信は、任意の従来の通信装置を使用して行われることができる。暗号化は、たとえばＡＥＳ暗号化標準、またはワンタイムパッド暗号化などの対称暗号に基づく任意の標準的方法で通信に適用されることができる。好都合なことに、各ノードが、暗号ユニット、すなわち暗号鍵に基づき通信を暗号化および復号する装置を含む。この場合、この暗号鍵はソースノードと中間ノードの間の交換のための第１の量子鍵であり、次に、ソースノードと宛先ノードの間のエンドツーエンド暗号化のための第２の量子鍵に取って代わられる。

上記の説明は、単一中間ノードだけを含むネットワーク経路について説明した。しかしながら、本発明は、より多くの中間ノードに適用できることは明らかである。たとえば、上記の例で説明された宛先ノードが、実際には第２の中間ノードであると考えてみる。この第２の中間ノードは、第３の中間ノードと量子交換を受けることができる。確立された第２の量子鍵により、ソースノードと、今では第２の中間ノードであるノードの間の安全な通信が可能となり、その結果、ソースノードは、この場合も第３の中間ノードとの量子鍵合意ステップを実行するのに必要な情報をすべて得て、第３の量子鍵を合意することができる。方法は、宛先ノードに到達するまで、必要とされる数の中間ノードについて繰り返されることができる。これにより、ネットワークを介してＱＫＤが適用されるようになる。しかしながら、前の方式とは異なり、本発明の方法により、任意の数の中間ノードだけ、また任意の距離だけ引き離されていても、ソースノードおよび宛先ノードが、量子鍵を直接合意することができるようになる。必要なことは、ＱＫＤにより安全にされることができる中間ノード間のリンクだけである。

異なる量子鍵を各リンク上で使用するノードの簡単なチェーンとは異なり、本発明の方法により、エンドツーエンド暗号化が適用できるようになる。さらに、チェーン内の中間ノードは、実際には中間ノード間で鍵合意ステップを実行しないので、中間ノード間の認証は必要ないことは明らかである。したがって、チェーン内のノードは、隣接ノードのＩＤ鍵を知る必要がない。

認証は、第１のノード、すなわちソースノードと、チェーン内の各中間ノードとの間で依然として必要とされ、そうでなければ、中間攻撃者がノードの振りをして、そのノードと確立された量子鍵を知ることができる。１つの量子鍵を知ることにより、攻撃者は、その後の量子鍵を決定することができるようになる。しかしながら、各鍵合意ステップには第１のノードが伴うので、第１のノードは、鍵を合意する各中間ノードのＩＤを保持することができる。したがって、第１のノードは、中間ノードが正しく認証することを期待する必要はなく、ノードの取換えおよび保守には、新しいＩＤが第１のノードに提供される必要があるだけで、保守のオーバヘッドを低減する。

第１のノードと第２のノードの間、すなわちソースノードと宛先ノードの間で相互認証もなければならないことは明らかである。しかしながら、この場合も、本発明の方法により、通信することを望む２つのノード間で直接認証が可能になる。

第１のノードが順に各ノードとＱＫＤ鍵合意ステップを実行するので、鍵合意および認証の過程の一部が、これらのステップで確立された共有秘密値の一部を使用して、各ノードのＩＤ鍵を更新することを伴うことができることは明らかである。これは、各中間ノードおよび宛先ノードに適用される。したがって、本発明により、第１のノードに知られているＩＤ鍵が、ＱＫＤにより更新されることができるようになる。これは従来技術で説明される方法を使用して可能ではない。したがって、本発明の方法は、従来技術と比べて、認証鍵の認証および更新において安全性の利点を提供する。

本発明の光ネットワークは、適切な量子信号の交換を可能にするどんな種類の知られている光ネットワークでもよい。ネットワークは、自由空間ネットワークを形成する自由空間送信機および自由空間受信機の配列によりなり得るが、好都合なことに、たとえば光ファイバといった、ノード間の導波路リンクを含むことができる。光ネットワークは、純粋にＱＫＤの目的のために実装されることができる。すなわち、光ネットワークは、ＱＫＤ信号だけを運ぶバックボーンであってもよく、次に、たとえば有線電気ネットワーク、無線ネットワーク、または別の光ネットワークといった、たとえば別のネットワークを介するなど、何らかの別の媒体を介して送信される、ノード間の従来の通信を暗号化するために使用されることができる、ノード間の量子鍵を確立する。しかしながら、好都合なことに、ＱＫＤが適用される光ネットワークはまた、従来の光通信用にも適合される。

同じ光ネットワークが従来の信号および量子信号のために使用されるとき、光リンクを介して送信される量子信号は、従来の信号のどれとも異なる波長で送信されることが好ましい。これは、従来の信号が、低強度の量子信号を圧倒することなく同時に送信されることができることを意味する。量子信号は、周波数分割多重化装置により光リンクに結合され、そこから分離されることができる。また、光リンクを介して送信されることができる３種類の従来の通信がある。第１の種類が、送信または受信される量子信号に関する、第１のノードと、ターゲットノードの前のノードの間の暗号化された通信である。第２の種類の従来の通信は、第１のノードとターゲットノードの間の、鍵合意ステップ（暗号化されないことがある）としての古典的議論である。第３の種類の従来の通信が、確立された量子鍵を使用して暗号化されることができる、ネットワーク上の実際のデータトラフィックである。異なる種類の従来の通信はすべて、同じ方向で送信され、必要に応じて時分割多重を使用するとき、同じ波長で動作することができる。ある種の光ネットワークでは、一方向に送信される通信が、干渉を防止するためにもう一方の方向に進む通信と異なる波長で伝送されることを当業者は理解する。あるいは、一部の、またはすべての従来の通信が、混乱を避けＷＤＭによる分離を可能にするために、同じ方向に異なる波長で行われることができる。

ネットワークは、各ノード間で、たとえば光ファイバケーブルといった同じ種類のリンクを含むことができる。しかしながら、一部のリンクが、異なる媒体を含むことができる。たとえば、光ファイバケーブルは、別のリンクのために使用される、基板内の中空導波路などの別の種類の導波路を有するある種のリンク上で使用されることができる。リンクが自由空間であることがあり、一方、リンクがファイバおよび／または別の導波路材料であることもある。

便宜上、および実用上、同じ種類のＱＫＤ信号が、ネットワーク経路内の各ノード間で交換されることができる。この場合、第１のノードとターゲットノードの間で量子鍵を合意するステップは、任意のターゲットノードに対して同じプロトコルを伴う。つまり、各量子信号交換は、たとえば、特定のＱＫＤプロトコルに従って適切に変調された単一光子の交換、および第１のノードを伴うその後の鍵合意ステップを伴い、ターゲットノードは、前記プロトコルの関係する部分に従う。しかしながら、方法は、必要に応じて特定のノード間で異なる量子信号が交換されて動作されることができる。たとえば、プロトコルは、ＢＢ８４型プロトコルとすることができるが、あるリンク上の量子交換が、偏光で変調された単一光子からなることができるのに対して、次のリンク上での量子交換が位相変調されることができる。鍵合意ステップの原理は同じなので、正しい種類の量子送信機および量子受信機が使用されていれば、方法は適切に動作する。あるいは、２状態偏光変調が、あるリンク上で適用され、鍵の合意で使用されることができるのに対して、６状態偏光が次のリンクで使用されることができ、この場合も異なる種類の量子送信機および量子受信機が適切に配列される。そのような配列における第１のノードは、交換される量子信号の種類を知り、該当するプロトコルに従うことができる必要があるのは明らかであるが、特定の量子ノードと量子鍵を確立するために、関係するプロトコルを使用し、そのプロトコルは、該当しなければ、再度使用される必要はない。異なるリンク上で異なる種類の量子信号を使用することは、あるリンクが別のリンクと異なる場合、たとえば、あるリンクが自由空間であるのに対して別のリンクがファイバベースの場合、有利なことがある。したがって、方法は、ネットワーク全体に配列されている様々な異なる種類の量子送信機および量子受信機に適用可能である。

上記で説明されたように、量子送信機と量子受信機の間の各量子交換ステップは、知られているＱＫＤ技法を使用して実行されることができる。したがって、たとえばデコイ状態（ｄｅｃｏｙ ｓｔａｔｅ）の使用などの、交換の効率および安全性を改善する知られている技法が、必要に応じて使用されることができる。交換される量子信号の必要な詳細すべてが第１のノードに提供されれば、第１のノードは、まるで自分で量子信号を送信および受信したかのように、鍵を合意し、追加のどんな安全性強化も適用することができる。

ネットワークは、ネットワークを通る少なくとも１つのネットワーク経路を動的に形成するための能動スイッチを伴うことがある。すなわち、光リンクを介してあるノードから光通信データを受信する能動スイッチが、データを渡すための正しいリンク（複数可）を選択することができ、その結果、データがその宛先に到達する。そのようなスイッチは、動作が電気的であり得る。すなわち、スイッチで受信された光データ信号が、処理および正しいルーティングのために光領域から電気領域に変換され、次に、光領域の正しいリンク上に再送信されることができる。したがって、そのようなスイッチは、少なくとも１つの入力リンク、および少なくとも２つの出力リンクを有することができる。しかし好都合なことに、能動スイッチは、各リンクから光通信を受信し、それらを任意の別のリンク上に再送信することができることがある。明らかに、量子信号は、能動スイッチをうまく横断することができず、したがって、そのようなスイッチは、ネットワークノードを含み、スイッチへの各光リンク上で量子信号を送信または受信するための少なくとも１つのＱＫＤ装置を有する。

本発明の方法は、能動スイッチを含むノードを介して上記で説明されたのと同じ方法で動作する。たとえば、ソースノードが、能動スイッチを含む中間ノードに接続されているとする。能動スイッチは、さらに第１のエンドポイントおよび第２のエンドポイントという２つのノードに接続され、これらのうちの第２のエンドポイントが宛先ノードである。使用法については、ソースノードは、上記で説明されたように中間ノードと第１の量子鍵を確立する。ソースノードはまた、第２のエンドポイントが宛先ノードであることを中間ノードに伝える（これは、ＱＫＤフェーズを開始する前の初期経路予約ステップで行われることができる）。したがって、中間ノードは、第２のエンドポイントと量子信号を交換し、上記で説明されたようにこの第１の量子鍵を使用してソースノードと通信し、その結果、ソースノードは、必要とするすべての情報を有して、次に、第２のエンドポイントと鍵合意ステップを始める。したがって、ソースノードは、第２のエンドポイントと認証し、第２の量子鍵を合意する。次に、この第２の量子鍵は、中間ノードの能動スイッチを介して第２のエンドポイントに送信される従来の光通信を暗号化するために使用される。このように、エンドツーエンド暗号化のための安全な鍵が確立される。

本発明の方法はまた、交換装置またはルーティング装置の故障に対しても強い。中間ノードと正しく第１の量子鍵を確立し、次に、中間ノードが正しい宛先ノードを選択するのを誤る、すなわち、中間ノードが第２のエンドポイントではなく第１のエンドポイントと量子信号を交換する状況を考えてみる。知られているＱＫＤ方式では、この誤りは、検出され得ない。しかしながら本発明では、ソースノードは、中間ノードと通信し、次に、中間ノードとの量子交換に関与するエンドポイントと鍵を合意しようとする。ソースノードは、このエンドポイントが第２のエンドポイント、すなわち、意図された宛先であると期待し、したがって、第２のエンドポイントのＩＤ鍵に基づき認証を実施する。しかしながら、実際には、量子交換に関与したエンドポイントは、異なるＩＤ鍵を有する第１のエンドポイントであった。したがって、認証段階は失敗し、誤りは見つけ出され、第２の量子鍵が確立されることはない。

誤りの別の可能性は、第１の量子鍵がソースノードと中間ノードの間で正しく確立され、かつ第２の量子鍵がソースコードと第２のエンドポイントの間で正しく確立されるが、その後、能動スイッチが、その後の通信を正しくルーティングできないということである。このシナリオでは、第１のエンドポイントが、ソースノードにより送信される通信を受信することができる。しかしながら、この通信は、第２の量子鍵により安全にされていることに留意されたい。第１のエンドポイントは、第２の量子鍵を知らず、したがって、通信が誤って第１のエンドポイントに送信されても、第１のエンドポイントは理解できないままである。

したがって、本発明は、任意の中間ノードのルーティングまたは量子交換に頼らないようにする。

ネットワークはまた、少なくとも１つの受動光スイッチを含むことができる。当業者は承知しているが、受動光スイッチは、最も簡単な形では、１：Ｎのチャネルスプリッタ／再結合器の役割を果たす。したがって、受動光スイッチは、上流ノードと呼ばれ得る一方のノードを、下流ノードと呼ばれ得る複数のもう一方のノードに接続する。どの下流ノードもさらに受動光スイッチを含まなければ、接続は、上流ノードから受動光スイッチへの共有リンク、および次に、スイッチから各下流ノードへの別個のリンクを含む。受動光スイッチを介して送信される、上流ノードからのどの光通信も、下流ノードへのすべてのリンクの間で均等に分割される。したがって、単一の上流ノードは、すべての下流ノードに同時にブロードキャストすることができ、すべての下流ノードは、同じ光信号を受信する。受動光スイッチに送信される、任意の下流ノードからの通信は、常に上流ノードに向けられる。したがって、下流ノードは、受動光スイッチを介して互いに直接通信することができない。したがって、下流ノードは、共有リンク上での干渉を防止するために、上流ノードとの自分の通信を時分割多重する。

上流ノードが、１つの特定の下流ノードだけと通信したいとき、そのノードに向けるつもりのデータにラベルを付け、前記データを別の任意の下流ノードのためのデータと共に時分割多重し、すべてのデータをすべての下流ノードに送信することができ、次にこれらの下流ノードは自分宛のデータを読み出すことができる。

したがって、受動光スイッチの使用は、上流ノードにより下流ノードに送信されるデータが、別の下流ノードすべてにより受信されることを実際に意味する。これはある種の状況では受け入れることができることがあり、簡単なラベルが、別の下流ノードに自分宛でないデータを無視するように伝えることができる。しかしながら、安全性のためには、単一の下流ノードに向けるつもりのどんなデータも、そのノードおよび送信者にだけ知られる鍵を使用して暗号化されることが好ましい。

受動光スイッチでは、信号はスイッチを通過する間、光領域にとどまる。単一光子などの量子信号が、受動光スイッチを介して転送されることができることが知られている。Ｂｒｉｔｉｓｈ Ｔｅｌｅｃｏｍの米国特許第５，７６８，３７８号明細書が、ＱＫＤはまた、受動光ネットワークを介して単一送信者（アリス）と多数の受信者（複数のボブ）の間で鍵を配送するために使用され得ることを教示している。アリスの側から下流に送信された光が、１つ以上の受動光ネットワークスイッチに遭遇し、これらのスイッチが自分の出力間で光を配送する。ＱＫＤのための単一光子送信に関しては、各光子が、下流経路のうちの１つをランダムに横断し、最後には１つの特定のボブに至る。したがって、各ボブは、異なる一連の単一光子を受信し、次に、各ボブは、アリスと鍵合意ステップを始めて、そのボブに固有の量子鍵を確立することができる。

したがって、受動光スイッチは、ネットワークのノードを含む必要がないが、複数の下流ノードを受動光スイッチから共通リンクを介して上流ノードへリンクするために使用されることができる。

たとえば、ソースノードが、中間ノードに接続されることができる。次に、この中間ノードは、自分が上流ノードとなるように、受動光スイッチに接続されることができ、受動光スイッチは、第１のエンドポイントおよび第２のエンドポイントという２つの下流ノードに接続される。この場合も、ソースノードは、第１のエンドポイントではなく、第２のエンドポイントと通信することを望むと仮定する。本発明の第１の繰返しでは、ソースノードは、第１の量子鍵を中間ノードと合意する。次に、この中間ノードは、第２のエンドポイントと量子交換を始める。中間ノードが第２のエンドポイントとの量子交換の一部として光子を送信する場合、これらの光子それぞれは、第１のエンドポイントまたは第２のエンドポイントいずれかにランダムに向けられることに留意されたい。第２のエンドポイントに加えて第１のエンドポイントが光子を受信するということは、各エンドポイントが異なる光子を受信するので、方法の動作にとって重要でない。第２のエンドポイントが量子交換の一部として光子を送信する場合、これらの光子は、中間ノードによりすべて受信され、システムにおいて損失を受ける。

次に、第１の量子鍵を使用して量子交換に関して中間ノードと通信したソースノードは、第２のエンドポイントと量子信号を議論して、量子鍵を合意することができる。中間ノードが量子送信機である場合、いずれのエンドポイントも、量子信号を受信したことがあるので、いずれのエンドポイントも、量子鍵をソースノードと合意できることがあり得ることに留意されたい。しかしながら、上記で説明されたように、ソースノードは、正しいＩＤ鍵を有するエンドポイント（この場合、第２のエンドポイントである）とだけ認証された鍵合意を完了する。したがって、第２のエンドポイントと第２の量子鍵を合意して、ソースノードは、次に、第２の量子鍵を使用して暗号化された通信データを送信することができる。中間ノードはこのデータを中継し、受動スイッチは、いずれのエンドポイントもデータを受信するように、各下流チャネルにデータを渡す。しかしながら、第２のエンドポイントだけが、第２の量子鍵を有しているので、メッセージをうまく復号することができる。

当然、ネットワークは、受動光スイッチと同じ場所に配置されたノードを有する必要はないが、受動光スイッチと同じ場所に配置されたノードを有することが有利になる場合があり得る。たとえば、１：Ｎ（Ｎは大きな数である）の分岐を有する受動光スイッチが使用される場合、受動光スイッチを介して量子信号を下流に通さないことが有益であり得る。各単一光子が、異なる下流リンクにランダムに送信されるので、一般に、各ノードは、上流ノードから送信される光子のうちの１／Ｎしか受信せず、これらの光子は、平均で伝送速度の１／Ｎで受信される。大きな値のＮでは、すなわち、多数の分岐では、各下流ノードで受信される光子の量、すなわち到達速度は、あまりにも低くなり得る。したがって、上流ノードへのリンク上の受動光スイッチに量子信号送信機および／または量子信号受信機を配置し、下流ノードへの各下流リンク上に別の量子信号送信機および／または量子信号受信機を有することが好ましいことがある。

Ｍの上流入力のうちの任意の信号がＮの下流出力それぞれに均等に渡され、かつ逆にＮの下流入力のうちの１つから受信されるどの信号もＭの上流出力それぞれに渡される光ネットワークで、Ｍ：Ｎ方向のスプリッタ／再結合器が使用されることができることを当業者は当然理解する。本発明の原理は、そのようなスプリッタ／再結合器に対して同じである。

ネットワークは当然、様々な組み合わせで配列された任意の数の能動スイッチおよび／または受動スイッチを含むことができる。

ネットワークはまた、光通信信号を単に検出し再送信することができる信号ブースタまたは信号中継器などの別の装置を含むことができる。したがって、そのような装置は、量子信号と干渉することができ、したがって、ネットワーク内にノードを含むことができる。

さらに、ネットワークは、効果的ＱＫＤのために配置される少なくとも１つのノードを含むことができる。当業者は承知するが、現在のＱＫＤシステムは長距離に及ぶことができるが、依然として距離の制約があり、一般に、量子信号により移動された距離と損失の間の相関がある。本発明が、中間ノードを有することにより安全性の欠点をこうむらないことを考えれば、ネットワークは、従来の通信信号に何の影響も及ぼさずにＱＫＤの損失を低減させるように配置されたノードを含むことができる。

上記で述べられたように、どのノードのＩＤ鍵も、第１のノードとの鍵合意ステップの一部として更新されることが好ましい。更新された鍵は、鍵合意に参加する両方のノードに知られ、したがって、これらのノードが通信を望む次回に使用されることができる。しかしながら、多くのエンドポイントがネットワークに接続されることができ、またどのエンドポイントも同じ中間ノードを介して他の任意のエンドポイントと通信することを望むことがあることは明らかである。したがって、各ノードは、量子鍵を合意する（または、将来、合意することを望むことがある）別のノードごとに別のＩＤ鍵を保持する必要があり得る。これは、本物のエンドポイントが互いになりすますために使用されることができないためだけでなく、特定のエンドポイントが量子鍵を中間ノードと合意するとき、両方のノードに対するＩＤ鍵が、更新されることが好ましいという理由からも必要とされ得る。しかしながら、中間ノードのＩＤ鍵が、すべてのエンドポイントに共通である場合、どのようにしてもすべてのエンドポイントを伴うことなく更新されることができない。

上記で述べられたように、ソースノードと宛先ノードの間で確立された量子鍵は、それらの間の通信のエンドツーエンド暗号化のために使用されることができる。通信は、これらのノードが交換することを望むどんなデータとすることができ、たとえばトラフィック鍵などの暗号鍵として使用されるデータを含むことができる。次に、トラフィック鍵は、ネットワークを介するエンドツーエンド通信を暗号化するために使用されることができる。たとえば、ソースノードは、本発明の方法を使用してネットワーク全体に分散された、いくつかの異なるエンドポイントの各々と別の量子鍵を確立することができる。したがって、ソースノードは、安全なエンドツーエンド暗号化通信のために該当する量子鍵を使用して各エンドポイントと通信することができる。しかしながら、これらのエンドポイントのうちの１つが、これらのエンドポイントのうちの別の１つと、別の量子鍵をそのエンドポイントと合意することなく、またはソースノードを介してメッセージを送信することなく、安全に通信することはできない。これは、効果的でない場合がある。しかしながら、一実施形態では、ソースノードは、各エンドポイントと合意された別個の量子鍵を使用して、そのエンドポイントにトラフィック鍵を移送し、同じトラフィック鍵が各エンドポイントに送信される。したがって、各エンドポイントは、ソースノードを介してメッセージを送信する必要なしにエンドポイントのうちのどの間でも直接エンドツーエンド暗号化のために使用されることができる同じトラフィック鍵を受信する。

したがって、方法は、ネットワーク内の１つ以上のノードが鍵管理者（ｋｅｙ ｍａｎａｇｅｒ）または鍵送信者（ｋｅｙ ｔｒａｎｓｍｉｔｔｅｒ）の役割を果たすことを伴う。鍵管理者ノードは、自動的に、または要求に応じて、ネットワークを介した通信のために同じ鍵を異なるノードに提供するように動作することができる。たとえば、ネットワーク内の１つのノードが鍵管理者であるとする。自分と１つ以上の宛先ノードの間の通信を確立することを望む要求ノードである任意のノードが、鍵管理者と連絡をとって、トラフィック鍵を要求する。次に、鍵管理者ノードは、本発明の方法における第１のノードの役割を果たし、量子鍵を要求ノードと確立するまで、順次、量子鍵を各中間ノードと合意する。鍵管理者ノードはまた、宛先ノードごとに同じことを行う。次に、要求ノードおよび宛先ノード（複数可）それぞれは、その都度、該当する量子鍵を使用して、鍵管理者により同じトラフィック鍵を送信される。トラフィック鍵は、受信されると、要求ノードと宛先ノードの間の通信のために使用されることができる。

ネットワークを介するすべての通信が、そのような鍵管理者により提供される鍵を使用して暗号化されると、その鍵管理者だけが、常に量子鍵をネットワーク内の別のノードと合意する必要がある。したがって、各別のノード、すなわち鍵管理者でないノードは、中間ノードであれエンドポイントであれ、鍵管理者と共有され、必要に応じて鍵管理者を使って更新される１つのＩＤ鍵だけを保持する必要がある。鍵管理者は、当然ネットワーク内の別のノードごとにＩＤ鍵を保持する必要があるが、鍵管理者ノードは、専用のノードとすることができる。したがって、この配列は、鍵管理者以外のノードごとに必要とされるＩＤ鍵の量を実際に減らす。たとえば、効率性または冗長性の理由のために、たとえ２つ以上の鍵管理者があっても、鍵管理者の数を制限し、かつ方法の第１のノードとしての鍵管理者ノードを使って本発明の方法が適用されることを保証するだけで、その結果、鍵管理者以外のノードにより必要とされるＩＤ鍵の数を効果的に制限する。

しかしながら、このように１つ以上の鍵管理者を使用して方法を実装することは、鍵管理者を信頼することに実際に頼ることは明らかである。宛先ノードと通信を確立することを望む要求ノードは、鍵管理者が宛先を正しく識別し、適切に認証することに頼る。したがって、鍵管理者を使用することが、すべての応用で適切というわけではないことがあり得る。

本発明は、ネットワーク上のユーザからなるコミュニティを提供するためのトラフィック鍵の移送のために使用されることができ、たとえば、あるコミュニティが、特定の組織のＩＴ装置、ワークステーション、サーバ、データベースなどを含むことができる。このように効果的に暗号化を使用することは、ネットワークを介した通信が同じコミュニティ内のユーザだけに理解できることを意味する。したがって、ネットワーク基盤は共有されていても、各コミュニティが効果的に別の安全なネットワークを有する。異なるコミュニティが、異なる組織であってもよく、コミュニティは、同じ組織内で実装されてもよい。たとえば、第１のコミュニティが、一般の商用通信のための第１の効果的なネットワークを実装するように配列されることができ、第２のコミュニティが、より機密を扱う商用通信のための第２の効果的なネットワークを実装するように配列されることができる。

ネットワーク上のユーザからなる異なるコミュニティがある場合、各コミュニティが、安全性を改善するためにそれ自体の鍵管理者を有することができる。たとえば、ネットワークが、第１のコミュニティに属する複数のエンドポイント、およびまた第２のコミュニティに属する複数のエンドポイントを含み、各エンドポイントは、一方または他方のコミュニティ内だけにあるが、共通の中間ノードを介してすべてがネットワークに接続されているとする（中間ノードは純粋なスイッチ、中継器または同種のものである）。第１の鍵管理者ノードが、第１のコミュニティのために提供されることができ、第２の鍵管理者ノードが第２のコミュニティのために提供されることができる。初期化時、第１の鍵管理者ノードには、ネットワーク内のすべての中間ノードごとのＩＤ鍵が提供され（しかしながら、一部の中間ノードが、第１のコミュニティ内のいずれかのエンドポイントへのいずれかのネットワーク経路にとって不適切な場合、すなわち、その中間ノードが、量子鍵を第１の鍵管理者と合意する必要が全くない場合、第１の鍵管理者がそれらのＩＤを知る必要はない）、同様に、各中間ノードには、第１の鍵管理者に対する対応するＩＤ鍵が提供されるとする。第１の鍵管理者はまた、ＩＤ鍵を第１のコミュニティ内の各エンドポイントと共有するように配列される。しかしながら、第１の鍵管理者には、第２のコミュニティ内のどのエンドポイントのＩＤ鍵も提供されない。また、第２のコミュニティ内のどのエンドポイントも、第１の鍵管理者に対するＩＤ鍵が提供されない。同様に、第２の鍵管理者は、量子鍵を合意するために通信する必要のあるすべての中間ノードごとのＩＤ鍵を有するように配列される。各中間ノードにはまた、第２の鍵管理者ノードに対する関係するＩＤ鍵が提供される。したがって、各中間ノードは、第１の鍵管理者および第２の鍵管理者ごとの別のＩＤ鍵を有する。最後に、第２の鍵管理者は、ＩＤ鍵を第２のコミュニティ内の各エンドポイントと共有する。

動作については、第１のコミュニティ内の任意のエンドポイントが、第１のコミュニティ鍵管理者と連絡をとって、自分と、第１のコミュニティ内の別の任意のエンドポイントとの間の通信用トラフィック鍵を要求することができる。次に、第１の鍵管理者は、本発明の方法を適用し、関係する中間ノードを介して関係するエンドポイントと量子鍵を確立する。量子鍵が各中間ノードと合意されたとき、第１の鍵管理者に対する関係するＩＤ鍵が使用され、更新し、第２の鍵管理者に対するＩＤ鍵を変更されないままにしておく。次に、関係するエンドポイントと確立された量子鍵は、これらのエンドポイント間の通信を暗号化するためのトラフィック鍵を配送するために使用されることができる。

第１のコミュニティ内のエンドポイントが、誤って第２の鍵管理者と連絡をとれば、第２の鍵管理者は、量子鍵をそのエンドポイントと確立しようとすることができるが、共有ＩＤ鍵がないので、努力は失敗する。さらに、第１の鍵管理者が、間違った宛先に到達し、第２のコミュニティ内のエンドポイントと鍵を合意しようとすれば、そのような努力はまた、認証がないので、失敗する。しかしながら、鍵管理者が、第１のコミュニティ内の正しくないエンドポイントと量子鍵を合意しようとする場合、成功し、鍵を誤ったエンドポイントに転送することができることが認められる。したがって、潜在的にメッセージが同じコミュニティ内で間違って配送される可能性があるが、配列は、理解できるコミュニティ外部への配送に対する安全性を提供する。

第１のコミュニティ内の１つのエンドポイントが、ゲートウェイの役割を果たし、かつ別のネットワークへの通信リンク、または第２のコミュニティ内のゲートウェイの役割を果たすエンドポイントへの通信リンクを有すれば、２つのコミュニティは通信することができることに留意すべきである。ゲートウェイを通過するトラフィックに、コミュニティ内トラフィックには適用されない追加の制御および保護が適用されることができる。

トラフィック鍵を要求する、第１のコミュニティ内のノードに関して説明されたが、鍵管理者は、所定の方法で、トラフィック鍵を関係するコミュニティ内のエンドポイントに自動的に配送するように配列されることができる。

上記で説明されたように、本発明の方法は、第１のノードと、第２の宛先ノードの間の、ネットワーク経路内の各隣接ノード間の量子交換を伴う。したがって、経路内の各中間ノードは、前のノードへのリンクを介して、および別に次のノードへのリンクを介して量子信号を交換することができなければならない。したがって、最大の柔軟性を提供するために、各中間ノードは、自分をネットワークの別のノードにリンクする各リンク上で量子信号を交換するように配列され得ることが好ましい。しかしながら、ネットワーク配列、および限られた数のノードが方法の第１のノードの役割を果たすことができるかどうかに応じて、この完全な融通性は必要とされ得ない。エンドポイントであるどのノードも当然、自分が有する隣接ノードへのリンク上で量子信号を交換することができなければならない。

したがって、各ノードは、少なくとも１つの量子信号送信機、および／または少なくとも１つの量子信号受信機を含む。標準的ポイントツーポイントＱＫＤシステムでは、量子交換は片方向である。すなわち、一方のエンドポイントに量子信号送信機があり、もう一方のエンドポイントに量子信号受信機があり、本発明は、ノード間の所与の任意のリンクを介した片方向量子交換を利用することができる。

しかしながら、たとえばデータ速度を増すために、単一リンクを介した双方向量子交換を行うことが可能であり、したがって、各エンドポイントが、同じリンクを介して動作するように配列された、量子信号送信機および量子信号受信機を有することができる。

別の時間に各リンク上で量子信号を送信も受信もできるように各ノードを配列することが、都合がよいこともある。そのような配列により、ネットワークへのノードの配列が容易になり、ノードがより容易に追加、削除、または位置変更されることができるようになり得る。

片方向量子交換が適用される場合、ネットワークは、量子信号が交換される必要があるノード間のリンクごとに、一方のノードが量子送信機を含み、他方のノードが量子受信機を含むように配列される。２つのノード間の各個別のリンクが、他方のノード内の量子送信機によりリンク上に送信される量子信号を受信するための量子受信機を一方のノード内に含む場合、様々なノードにわたる送信機および受信機の正確な配列は重要ではない。

単一中間ノードを介した、第１のノードと第２のノードの間のＱＫＤのための方法の動作について考えてみる。動作については、方法の第１の繰返しは、第１のノードと中間ノードの間の量子交換を伴う。第１のノードが、そのリンク用の量子送信機を含む場合、したがって、第１のノードが量子信号を送信し、それを中間ノードにある量子受信機が受信する。あるいは、第１のノードが量子受信機を含む場合、必要ならば中間ノードと通信でき、その結果、中間ノードはリンク上に量子信号を送信し、それを第１のノードが受信しようとする（ある種の実施形態では、中間ノードの量子送信機は、連続して、または一定の間隔で自動的に送信するように配列されることができる）。いずれの場合も、次に、第１のノードおよび中間ノードは、第１の量子鍵を正常として合意する。

次の繰返しでは、中間ノードは、量子信号を第２のノードと交換する。中間ノードは、量子送信機を第２のノードへのリンク上に配置させることができ、したがって、量子信号の交換は、量子受信機が信号を受信するように配列された第２のノードへの適切な量子信号の送信を伴い得る。送信後、次に、中間ノードは、送信された量子信号に関する情報を第１のノードに伝えることができ、たとえば、ＢＢ８４型プロトコルが使用された場合、中間ノードは、各光子に適用された符号化基底およびデータ値に関する情報を第１のノードに伝える。符号化基底およびデータ値が、一般に乱数発生器により生成された乱数に基づいていれば、通信は、使用された乱数だけを含むことができる。

あるいは、中間ノードは、量子受信機を第２のノードとのリンク上に配列させることができ、第２のノードは、このリンク上に量子送信機を有する。その場合、量子交換は、第２のノードが量子信号を中間ノードに送信することを伴う。中間ノードは、量子信号を受信し、ＢＢ８４型プロトコルを使用している場合、受信する各光子に符号化基底を適用し、前記基底を使用してデータ値を測定する。したがって、中間ノードは、第１の量子鍵を使用して、受信される光子ごとの適用された符号化基底およびデータ値に関する情報を第１のノードに伝えることができる。次に、第１のノードは、希望に応じて鍵合意ステップを第２のノードと始めることができる。

したがって、２つのリンク上の量子送信機および量子受信機の配列がどうであれ、本発明の方法が適用されることが理解されることができる。

しかしながら、中間ノードが量子送信機を含む場合、中間ノードが、どんな量子信号が送信されたかに関する詳細を第１のノードに実際に送信するように方法を実行することができるが、代わりに、第１のノードは、送信される量子信号が、送信される前にどうでなければならないかを中間ノードに伝える。たとえば、上記で述べられたように、量子信号に適用される変調は、乱数のストリングに基づくことができる。したがって、第１のノードは、それ自体の乱数を生成するように配列され、乱数を安全な通信ステップで中間ノードに伝えることができる。次に、中間ノードは、これらの数を量子信号に適用される変調のための基底として使用することができる。数を生成した第１のノードは、どんな変調が適用されたかを知っている。したがって、第１のノードは、中間ノードからさらに伝えられることなく、鍵合意ステップを第２のノードと実行し始めることができる。この配列は、中間ノードにある送信機がそれ自体の乱数発生器を有する必要性をなくすことができ、したがって、それにより中間ノードの構成要素を簡素化することができる。これにより、第１のノードが中間ノードの乱数発生器のランダムさを信頼しなければならないことを防止することもできる。

したがって、ターゲットノードと前のノードの間の量子交換を実行するステップは、前のノードが量子信号をターゲットノードに送信することを伴うことがあり、第１のノードと、ターゲットノードの前のノードの間で量子信号に関する情報を伝えるステップは、第１のノードからターゲットノードの前のノードに、量子信号に適用された変調に関するデータを送信するステップを含むことができる。適用された変調に関する情報は、乱数のストリングであり得る。

このように方法を実行することができるためには、第１のノードとなれるノードから第２のノードになれるある任意のノードに至るどの経路も、量子送信機が経路内の次のノードへのリンク上に配列されるノードを介して進むように、ネットワークが配列される必要があることは明らかである。一部の例では、この配列は、上記で説明されたように、鍵管理者を使用して、量子鍵を確立し、次にトラフィック鍵を配送するときなど、特に、第１のノードの役割を果たすように配列されるノードの数が制約される場合に、注意深いネットワーク配列により配列されることができる。第１のノードと第２のノードの間で量子鍵が確立されると、第２のノードは、それを通信のために使用する最初となり得り、したがって、第１のノードの役割を果たすように配列されるのではなく、第２のノードの役割を果たすことができる、第１のノードとの通信を開始することを望むノードは、関係する第１のノードに、量子鍵を設定するように指示することができることも覚えておくべきである。

代替案として、少なくとも一部のノードが、同じリンク上で量子信号を送信または受信することができるようにそのリンク上に配列された量子送信機および量子受信機を含むことができる。特定のリンク上を片方向で送信される量子信号は、波長分割により送信および受信される信号の適切な結合および分離を可能にするために、リンクの別の方向に送信される量子信号と異なる波長で送信されることができる。あるいは、可動ミラーなどの光スイッチが、必要に応じて量子送信機および量子受信機を選択するために使用されることができる。

しかしながら、一般に、本発明の方法は、任意の１つのリンク上の一方のノードに送信機がありもう一方のノードに受信機があれば、様々なリンク上の送信機および受信機のどんな配列でも動作する。

第１のノードが、量子信号を送信しているノードと通信しているときに、第１のノードが、送信ノードに何を送信すべきかを伝えても、送信ノードが、第１のノードに何が送信されたかを伝えても、疑似乱数発生器の使用により送信されるデータの量を低減することが可能である。疑似乱数発生器はよく知られており、所定のアルゴリズムを使用して、シード（ｓｅｅｄ）のビット列に作用して、一定長にわたり乱数の性質を有するより長いビット列を生成する。しかしながら、同じシードが常に同じ出力を生成する。したがって、どのノードが変調用データを生成しようとも、比較的短い乱数の列が生成され、送信ノードと第１のノードの間で伝達されることができる。次に、両方のノードがこの短い乱数を疑似乱数発生器のシードとして使用して、より長いストリングを生成でき、このストリングは、両方のノードに知られており、量子信号を変調するために使用される。

上記で述べられたように、本発明の方法は、中間ノードが、別の中間ノードと認証せず、また別の中間ノードと鍵合意ステップも実行せず、したがって、これらの機能を信頼される必要がないことを意味する。また、メッセージがエンドツーエンドで暗号化されるので、中間ノードは正しいルーティングについて信頼される必要がない。しかしながら、ノードにより受信および／または送信される量子信号、およびＩＤ鍵に関する任意のデータに関するデータは、通信の安全性を保証するために保護される必要がある。したがって、各ノードは、好ましくは、権限のない職員が近づくことができないように、かつ鍵データを曝露することができる発行を防ぐように設計される、または覆い隠されるように、物理的に安全にされるべきである。各ノードのＱＫＤ装置が、たとえば、改ざんの恐れのないおよび／または覆い隠された環境に配置される、ならびに／あるいは当業者に知られるような様々な改ざん検出装置を提供されるというように、物理的に安全にされることが好ましい。

したがって、本発明の方法は、量子信号交換がネットワーク内の隣接ノード間で行われることができれば、任意の光ネットワーク環境を介するＱＫＤに適用可能である。エンドツーエンド量子鍵合意を行う能力は、本発明の一態様である。したがって、本発明の別の態様では、複数のノードを含むネットワークを介した量子鍵配送の方法が提供され、方法は、２つのノード間に直接の光リンクを有さない２つのノード間で量子鍵合意ステップを実行するステップを含む。鍵合意ステップは、量子信号交換を議論するステップを伴う。

次に、本発明は、以下の図面だけを参照する例によって説明される。

単一の光リンク上に配列された標準的ＱＫＤ送信機（アリス）および受信機（ボブ）の概略図である。 簡単なネットワークに適用された本発明を示す図である。 より一般的なネットワーク配列を示す図である。 図４に示される中間ノードのうちの１つの概略を示す図である。 ネットワークのための鍵管理者の役割を果たすように配列された限られた数のノードを有するネットワーク配列を示す図である。 簡単なネットワーク配列の別の実施形態を示す図である。 図６の中間サブシステムの概略を示す図である。

図１を参照すると、標準的ＱＫＤシステムの基本構成が示されている。一般にアリスと呼ばれる量子送信機を含むユニット１０２が、一般にボブと呼ばれる量子受信機を含むユニット１０４に光学的にリンクされる。光リンクは、自由空間を介しても、任意の適切な導波路を介してもよいが、例示のために、本明細書では光ファイバリンクであるとして説明される。一般的なアリスユニットは、乱数発生器１０６と、量子送信機１０８と、制御論理回路１１０と、古典的トランシーバとを損なう。量子送信機１０８は、一連の単一光子を生成し、各光子は、乱数発生器により生成された値を使用してランダムに符号化される。いくつかの異なる知られている符号化プロトコルがあり、ＱＫＤのために使用されることができるいくつかの適切な送信機があることが当業者には容易に理解され、したがって、これらの態様がさらに説明されないものとする。この説明の目的のために、ＢＢ８４型プロトコルが仮定され、２つの符号化基底のうちの１つが光子ごとにランダムに選択され、光子は、選択された符号化基底で１または０のデータ値でランダムに符号化される。光子ごとの適用された符号化基底およびデータ値に関連するデータが、アリス制御論理回路（ｌｏｇｉｃ）１１０に渡される。

一連の符号化された単一光子が、光ファイバを介してボブユニット１０４に送信される。一般的なボブユニットは、光子を測定すべき符号化基底をランダムに選択し、次に、選択された基底で光子に対するデータ値を決定する量子受信機１１６を含む。検出された光子ごとの適用された符号化基底および測定された値を示す量子受信機１１６の出力が、ボブ制御論理回路１１８に渡される。

次に、アリス制御論理回路１１０およびボブ制御論理回路１１８は、それぞれ古典的トランシーバ１１２および１２０を介して互いに通信して、よく知られるように共通の共有鍵を確立する。本明細書で使用されるように、論理回路という用語は、鍵合意プロトコルを実行するための任意の適切な装置配列を意味することに留意されたい。制御論理回路は、適切に設計されたＡＳＩＣでも、適切にプログラムされたＦＰＧＡでもよい。制御論理回路はまた、適切にプログラムされたマイクロプロセッサとすることもできる。

共通の共有鍵を確立する際、アリス制御論理回路１１０およびボブ制御論理回路１１８は、中間攻撃者の可能性を排除するために、互いに相互に認証する。そのような認証は、よく知られた手順であり、たとえば、両者が、交換するメッセージにデジタル署名を適用することを伴う。デジタル署名は、リンクに対するＩＤ鍵と呼ばれる暗号鍵を使って生成され検証される。これは、ＩＤ鍵が両者にしか知られない秘密値である場合の対称暗号技法に基づくことができる。

ＱＫＤを使用して新しい共有の共通鍵値を確立し、互いに認証し、アリス制御論理回路１１０およびボブ制御論理回路１１８は、一つには秘密ＩＤ鍵を更新するために、また一つにはこれらの制御論理回路間のその後の通信を保護するための暗号化鍵として、その値を使用する。

図２は、本発明が簡単なネットワークにどのように実装され得るかを示す。図２に示されるネットワークは、３つのエンドポイントノード２０２ａ〜ｃからなり、それぞれ光ファイバリンク２０６を介して中間交換ノード２０４とリンクされる。交換ノード２０４は、任意のノードからリンク上の光データを受信し、そのデータを任意のノードに再送信することができる能動スイッチ（図示せず）を含む。

ノード２０２ａは、ファイバリンクを介して交換ノード２０４内のボブユニット１０４ａと通信するように配列されるアリスユニット１０２ａを含む。アリスユニットおよびボブユニットは、図１を参照して上記で説明されたのと同じものであり得る。交換ノードはまた、それぞれノード２０２ｂ内のボブユニット１０４ｂ、およびノード２０２ｃ内のボブユニット１０４ｃと通信するように配列されるアリスユニット１０２ｂおよび１０２ｃを含む。

使用法については、ノード２０２ａがノード２０２ｂと通信することを望むが、通信を盗聴者から秘密に保ち、通信を誤ってノード２０２ｃに配送されるのを保護したいと思うとする。したがって、ノード２０２ａは、第１の量子鍵をＱＫＤにより交換ノード２０４と確立し、この量子鍵を交換ノード２０４と認証して、実際に交換ノードと通信していることを保証する。この認証は、ノード２０２ａおよびノード２０４により共有されるＩＤ鍵に基づく。

次に、ノード２０２ａは、アリス１０２ｂからノード２０２ｂに一連の単一光子を送信し、量子通信が行われると、何が送られたかをノード２０２ａに伝えるようにノード２０４に指示する。交換ノード２０４とノード２０２ａ間の通信は、第１の量子鍵を使用して暗号化されて、通信を盗聴から保護する。どんな量子信号が送信されたかを知ると、ノード２０２ａは、明らかに交換ノード２０４を介してノード２０２ｂとオープンな古典的通信を始めて、上記で説明されたように量子鍵を確立する。さらにノード２０２ａは、ノード２０２ｂだけに知られるＩＤ鍵に基づき鍵を認証する。この方法では、ノード２０２ａは、ノード２０２ｂと話しており、交換ノード２０４を信頼する必要がないという確信がある。認証したので、合意された鍵の交換部分が、新しいＩＤ鍵として使用するために保存されることができ、残りの部分が、エンドツーエンド暗号化のために使用されることができる第２の量子鍵を形成することができる。

交換ノードが、ノード２０２ａがノード２０２ｃと話したいと誤って考えたとすれば、代わりに量子信号をアリスユニット１０２ｃからノード２０２ｃに送信し、その後、鍵合意ステップの一部であるノード２０２ａの古典的通信をノード２０２ｃに向けることがあった。しかしながら、そのような事態では、ノード２０２ｃが正しいＩＤ鍵を有していないので、認証ステップは失敗する。

したがって、本発明により、エンドポイントノードが、量子鍵を別の任意のエンドポイントノードと直接合意し、認証することがでるようになる。

ノード２０２ｂがノード２０２ａと通信することを望み、これらのノードが新しい鍵を必要とすれば、ノード２０２ｂは、単に手順を繰り返すようノード２０２ａに依頼することができる。しかしながらノード２０２ｂは、事実上同じ手順を逆に実行することにより自分で鍵を確立することができる。すなわち、ノード２０２ｂは、交換ノード２０４と連絡をとって、ノード２０２と量子鍵を確立することを望むことを示す。第１段階として、交換ノードのアリスユニット１０２ｂは、これらのノードが量子鍵を合意することを議論する量子信号をノード２０２ｂに送信し、通常どおり認証する。今回、認証するのはノード２０２ｂであり、したがって、交換ノード２０４により保持される関係するＩＤ鍵は異なる。この鍵を確立すると、アリス１０２ａは、量子信号を交換ノード内のボブ１０４ａに送信するよう指示される。次に、交換ノードは、受信された各光子の詳細を、次に、その後の鍵合意ステップで交換ノードの役割を果たすノード２０２ｂに送信する。すべての順序が正しいと仮定すれば、ノード２０２ｂおよび２０２ａがその後の通信用の新しい量子鍵を認証し、合意する。

希望すれば、ノード２０２ｂがノード２０２ｃと鍵を合意することも可能である。第１の量子鍵が、上記で説明されたように交換ノード２０４と確立される。次に、アリスユニット１０２ｃが、ノード２０２ｃ内のボブユニット１０４ｃに量子信号を送信し、その詳細が、第１の量子鍵を使用して交換ノードによりノード２０２ｂに送信される。次に、ノード２０２ｂがノード２０２ｃと鍵合意ステップを始めて、第２の量子鍵を認証し、合意する。

本発明の方法は、図３に図示されるように、より一般的なネットワークに拡大される。ここでは、一連のエンドポイント３０２ａ〜ｇが接続される。通信ネットワークのエンドポイントは、任意の適切な通信装置に接続されることができる。たとえば、ネットワークが、コンピュータ間通信用ネットワークである場合、エンドポイントは、個別のワークステーション、サーバ、データベースなどに接続されることができる。

エンドポイント３０２ａ〜ｇは、光ファイバリンク、ならびに中間ノード３０４ａ、３０４ｂ、３０６、３０８、および３１０により接続される。中間ノード３０４ａおよび３０４ｂはいずれも、エンドポイントおよび別の中間ノードに接続され、データトラフィックを適切にルーティングするための能動スイッチを含むことができる。中間ノード３０６は、別の中間ノードにしか接続されていないが、すべての点で事実上ノード３０４ａおよび３０４ｂと同じとすることができ、この場合もデータトラフィックをルーティングするための能動スイッチを含むことができる。

中間ノード３０８だけが、２つのノードにリンクされ、したがって、かならずしも何らかの交換能力を必要としない。この中間ノードは、光伝送が中断される、ネットワーク内の光信号ブースタまたは光信号中継器の場所に相当することができる。したがって、量子信号の中断のために、ノードが必要とされる。あるいは、ノードは、純粋に量子信号がノード間を移動する必要がある距離を縮めるために配置されることができ、たとえば、エンドポイント３０２ｆが中間ノード３０６から非常に遠い距離に配置された場合、間にある距離を越えて量子信号を効果的に送信する際に問題となり得る。本発明は、追加のノードを提供する際、安全性を低下させないので、中間ノード３０８がこの光リンク上に配置されて、効果的に機能することができる２つの別の量子リンクを提供することができる。

エンドポイント３０２ｃ〜ｅはすべて、受動光スイッチ３１２により中間ノード３１０に接続される。すなわち、中間ノード３１０と受動光スイッチ３１２の間に単一ファイバリンクがあるが、各エンドポイント３０２ｃ〜ｅには、受動光スイッチ３１２へのそれ自体の別のリンクがある。中間ノード３１０から送信される任意のどんな光データトラフィックも、受動光スイッチ３１２により分離され、エンドポイント３０２ｃ〜ｅそれぞれに渡される。任意のエンドポイント３０２ｃ〜ｅからの光データも、当業者によく理解されるように、受動光スイッチ３１２を通って中間ノード３１０まで移動する。

各ノードは、各光リンク上に配列されたアリスユニットＡまたはボブユニットＢのいずれかを有し、各光リンクは、一方の側にアリスを、他方の側にボブを有する。この配列では、任意のエンドポイントは、別の任意のエンドポイントと話すことができ、そのエンドポイントと直接、量子鍵を確立することができる。

たとえば、エンドポイント３０２ａがエンドポイント３０２ｆと話すことを望むとする。エンドポイント３０２ａは、まずネットワークを通るネットワーク経路を確立することができる。この場合、エンドポイント３０２ａ−中間ノード３０４ｂ−中間ノード３１０−中間ノード３０６−中間ノード３０８−エンドポイント３０２ｆという唯一の実体のある経路がある。しかしながら、多数の可能な経路があるネットワークもあり得、選択された経路が、特定のノードに乗り込むネットワークに依存することがあり得る。

経路が確立されると、エンドポイント３０２ａは、上記で説明されたように量子鍵を順に経路内の各ノードと確立する。すなわち、エンドポイント３０２ａのアリスは、量子信号を中間ノード３０４ｂのボブに送信し、次に、これらのノードが議論して、第１の量子鍵を確立する。次に、中間ノード３０４ｂは、光子を中間ノード３１０のボブに送信し、エンドポイント３０２ａに何が送信されたかの詳細を送信する。次に、エンドポイント３０２ａは、中間ノード３１０と議論し、これらのノードは、第２の量子鍵を合意する。次に、中間ノード３０６は、量子信号を中間ノード３１０に送信し、中間ノード３１０は、第２の量子鍵を使用して検出された光子の詳細をエンドポイント３０２ａに送信する。次に、エンドポイント３０２ａは、第３の量子鍵を中間ノード３０６と合意し始める。

この過程は、順に各ノードについて繰り返されてついに、最後の段階で、エンドポイント３０２ｆが量子信号を中間ノード３０８に送信し、中間ノード３０８が信号を受信し、第４の鍵となるものを使用して、検出された光子に関する詳細をエンドポイント３０２ａに送信する。次に、エンドポイント３０２ａおよび３０２は、第４の量子鍵を合意することができ、次に、その鍵はその後これらのエンドポイント間の通信を暗号化するために使用されることができる。

エンドポイント３０２ａがエンドポイント３０２ｈと通信することを望むならば、過程は、異なるルートを介して進むだけで、事実上同じである。

エンドポイントがエンドポイント３０２ｄと通信することを望む場合、過程はまた事実上同じである。エンドポイント３０２ａは、中間のノード３１０まで各ノードと順に別の量子鍵を確立する。次に、中間ノード３１０は、そのアリスユニットから受動光スイッチ３１２を介してエンドポイント３０２ｄに光子を送信する。受動光スイッチは、３つのエンドポイント３０２ｃ、３０２ｄ、および３０２ｅのうちの１つに各光子をランダムに向ける。したがって、エンドポイント３０２ｄ内のボブは、中間ノード３１０のアリスにより送信される光子のうちのほぼ３分の１を受信する。

次に中間ノード３１０は、関係する量子鍵を使用して送信されたすべての光子の詳細をエンドポイント３０２ａに送信する（エンドポイント３０２ａは、どの送信された光子が任意の特定のエンドポイントにより受信されたかを知らない）。次に、エンドポイント３０２ａは、エンドポイント３０２ｄが実際にどの光子を受信したか、および符号化基底をエンドポイント３０２ｄと議論して、通常のＱＫＤのように共有秘密値を確立する。鍵合意ステップには認証を伴うので、エンドポイント３０２ａはエンドポイント３０２ｄと話していることを確信することができ、認証が伴わなければ、エンドポイント３０２ａは、量子鍵を確立または使用することを拒否する。エンドポイント３０２ｃおよび３０２ｅは、受動光スイッチを介してエンドポイント３０２ｄに送信される従来の光通信をすべて受信するので、鍵合意段階の一部として、エンドポイント３０２ａにより送信されるすべての古典的メッセージを受信することは当然留意されたい。しかしながら、エンドポイント３０２ｃおよび３０２ｅは、エンドポイント３０２ｄとは異なる光子を受信したので、上記のことによりエンドポイント３０２ａおよび３０２ｄにより合意される量子鍵を決定することができるようにはならない。量子鍵は、合意されると、エンドポイント３０２ａとエンドポイント３０２ｄの間の通信を暗号化するために使用されることができ、エンドポイント３０２ｄに送信されるすべての通信も受動光スイッチに接続されるその他のエンドポイントにより受信されるとしても、エンドポイント３０２ｄだけが、メッセージを復号するための正しい鍵を有する。

中間ノード３１０内のアリスユニットがエンドポイント３０２ｃ〜ｅそれぞれの中のボブユニットに送信するネットワークが示されていることを当業者は理解する。しかしながら、この配列は容易に逆にされ、これらのエンドポイントそれぞれの中のアリスが中間ノード３１０内のボブに送信することができる。受動光スイッチは、エンドポイント３０２ｃ〜ｅにより送信されるどんな量子信号も中間ノード３１０にあるボブに渡し、したがって、通常のように量子交換が行われることができる。必要とされることは、受動光スイッチを通って上流に送信するエンドポイント間の時分割多重化だけである。

エンドポイント３０２ｃ〜ｅのうちのいずれもまた、本発明の方法を開始することができ、中間ノード３１０に量子信号を送信してもらうことにより簡単に開始し、その一部が、開始するエンドポイントにより受信され、第１のリンクに対する鍵を設定するために使用される。

エンドポイント３０２ｃ〜ｅはすべて、受動光スイッチに接続されるが、受動光スイッチはネットワークノードを含まず、したがって、エンドポイント３０２ｃ〜ｅそれぞれが中間ノード３１０だけに接続されることは当然、留意されたい。したがって、これらのエンドポイントのうちの２つが通信することを望む場合、中間ノード３１０を通してそうしなければならない。

図２および図３では、個別のボブユニットおよびアリスユニットを有するものとしてノードが示されているが、実際は、構成要素の中には一緒に共有されているものがある。図４は、一部の構成要素がどのように配列されることがあるかの例を示す。図４は、中間ノード３０４ｂの例示構造を示す。

ノードには３つのファイバリンクがあり、これらのリンクはすべて能動電気スイッチ４０２に接続される。スイッチは、１つのチャネル上で光通信を受信し、通信の中に含まれるアドレス情報から、該当する出力を選び、同じ光信号を再送信する。

波長分割多重化装置／波長分割逆多重化装置も、スイッチの前方の光チャネルから量子信号を分離する、またはスイッチの後方の光チャネルに量子信号を付加するように各ファイバ上に配列される。

ノードは、エンドポイント３０２ａから送信される量子信号のための受信機の役割を果たすように配列され、したがって、図１に関連して上記で説明されたのと同じでもよい量子受信機が量子信号を受信するように配列される。量子受信機は、制御論理回路４０６に接続され、検出された光子に関する情報を渡す。任意のエンドポイントとの鍵合意ステップの一部として、このノードは、そのエンドポイントと古典的議論を行うことができる必要がある。制御論理回路は、この実施形態では自分自身の従来のトランシーバをこの通信のために配列することができるが、代わりにスイッチ４０２に接続されているので、事実上スイッチ自体のトランシーバを利用することができる。したがって、鍵交換の一部としての古典的議論は、ネットワーク上のデータトラフィックと同じ波長で行われ、適切に時分割されなければならない。このノードと議論するエンドポイントが、通常のようにデータをスイッチに送信するが、ノードの制御論理回路のためにデータを効果的にアドレスする。

任意のエンドポイントと量子鍵を確立し、次に、ノードが、次の順番のノードと交換される量子信号に関してノードと通信するための量子鍵を暗号ユニットにロードすることができるように、制御論理回路は、暗号ユニット４０４を介してスイッチに接続される。当業者は理解するが、暗号ユニット（または暗号部（ｃｒｙｐｔｏ））は、通信を暗号化または復号するための装置である。暗号ユニットは、ＡＳＩＣまたはＦＰＧＡの形式で実装され、たとえばＡＥＳ暗号化標準における鍵を使用するように配列されることもある。ＡＥＳの適切なＦＰＧＡまたはＡＳＩＣの実装形態が、たとえばＨｅｌｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ Ｌｉｍｉｔｅｄ、Ｃａｍｂｒｉｄｇｅ、Ｅｎｇｌａｎｄから得られる。

制御論理回路はまた、乱数発生器４０８に接続され、量子送信機１０８は、リンク上でＷＤＭ４１０を介してエンドポイント３０２ｂおよび中間ノード３１０に送信するように配列される。

したがって、制御論理回路は、量子受信機および量子送信機それぞれを制御することができ、任意のエンドポイントと鍵合意ステップを実行する。その量子鍵を確立して、制御論理回路は、該当するリンク上の送信機または受信機を制御し、必要に応じて量子信号を送信または受信することができる。次に、制御論理回路は、暗号ユニットで量子鍵を使用し、量子交換に関するデータを該当するエンドポイントに送信することができる。

そのような配列に伴う１つの問題が、中間ノードに２つの量子送信機があることであることに留意されたい。送信される乱数は、乱数発生器により生成される、または、ある種の実施形態では、送信のために使用される前方への接続も識別する暗号化されたメッセージの形で受信される。乱数を量子送信機に送信する電子回路は、正しい量子チャネルを選択することを期待される必要はないが、乱数を２つ以上の量子チャネルに送信してはいけない。そうでなければ、盗聴者が１つのチャネルを観測し、その他のチャネルを乱すことなく乱数に関する重大な情報を知ることができる。

乱数が、たとえば三重モジュール冗長を使用して多数の伝送を停止させることにより、このように複製されるのを防ぐために電子回路が使用されることができるが、より容易に信頼できる技法が、受動光スプリッタを有する単一送信機を使用することである。この配列では、電子回路は、１つの送信機だけを駆動しなければならないので、はるかに簡単になる。光スプリッタは、量子信号をすべての出力間でランダムに分割するが、量子物理学の法則によれば、量子信号を構成する単一光子の忠実な複製を生成することができない。光スプリッタの効果は、所望の量子受信機に到達する信号の量を低減することであり、これにより、鍵が確立されることができる速度を低下させるが、鍵の確立を防がない。

図３を参照して説明されたネットワークの実装形態では、エンドポイント３０２ａ〜ｈのうちのどれでも、量子鍵を別の任意のエンドポイントと合意する処理を開始することができる。したがって、各エンドポイント、および各中間ノードも、各エンドポイントを使って別に認証することができなければならない。これは、あらゆるノードが８つの別のＩＤ鍵を保持することを必要とする。ＩＤ鍵の数を減らす１つの方法が、量子鍵を合意する際にソースノードの役割を果たすことができるノードの数を制約することである。

図５は、各ノードにより保持される必要があるＩＤの数を制約する一実施形態を図示する。この場合、いくつかの鍵管理センタ（Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｃｅｎｔｒｅ）が、エンドポイントのグループのための鍵生成に責任を負い、これらのグループ鍵をエンドポイントに安全に配送できなければならない。ＫＭＣは、本明細書で説明されたネットワークＱＫＤソリューションを使用して、自分のグループ内のエンドポイントへの安全な認証されたチャネルを設定し、次にこれらのチャネルを使用して、グループ鍵を配送することができる。次に、ＱＫＤネットワークノードが、各エンドポイントのためでなく各ＫＭＣのためにもＩＤを処理する必要がある。

図５に示される例には、ＫＭＣ_１およびＫＭＣ_２という２つの鍵管理センタがある。これらが、エンドポイント_６およびエンドポイント_７からなるグループ１、ならびにエンドポイント_８およびエンドポイント_９からなるグループ２という、エンドポイントからなる２つのグループのための鍵を管理する。

各ＫＭＣは、ネットワークＱＫＤを使用して、エンドポイント鍵をそのグループ内のエンドポイントと確立する。次に、ＫＭＣは、グループ鍵を生成し、グループ鍵を保護するためにエンドポイント暗号化鍵を使用してこれをエンドポイントに渡す。異なるＫＭＣからそのエンドポイントへの経路が、ネットワークノードを通過する場合、そのノードには、ＫＭＣごとのＩＤがなければならない。例では、ノード_２およびノード_５がこの場所にある。両方のＫＭＣがこれらのノードを使用して、そのエンドポイントに到達するので、ノードはそれぞれに対して別のＩＤを保持する必要がある。

１つのＫＭＣからの経路上でしか出現しないノードは、１つのＩＤだけを保持する必要がある。図５のノード_３およびノード_４がこの例である。ＫＭＣは、そのエンドポイントすべてのＩＤ、およびそれらに到達するために使用される任意のネットワークノードのＩＤを保持する必要がある。

グループ内の各エンドポイントが、関係するグループ鍵を提供されると、そのグループ鍵は、各エンドポイント間の通信を暗号化するために使用されることができる。

この実施形態では、ＫＭＣからエンドポイントへの経路内のより前のノードとより後のノードの間のリンクには、より後のノードに送信するように配列された、より前のノード内の量子送信機が常にあるようにネットワークを配列することが可能である。そのために、ＫＭＣ１には、たとえば、量子送信機がノード２へのリンク上に配列される。ノード２には、量子送信機がノード３および４へのリンク上に配列される。ノード３および４には、量子送信機がそれぞれエンドポイント６およびエンドポイント９へのリンク上に配列され、また、ノード３にもノード４にも、ノード５へのリンク上に量子送信機がある。最後に、ノード５にはエンドポイント７およびエンドポイント８へのリンクそれぞれの上に量子送信機がある。

この配列により、ＫＭＣは、量子交換ステップでどの量子信号が送信されるべきかを経路内のノードに伝えることができるようになる。すなわち、ＫＭＣ１は、量子信号をノード２に送信し、従来のＱＫＤのようにノード２と量子鍵を確立する。次に、ＫＭＣ１はこの鍵を使用して、経路内の次のノード（たとえばノード３）への量子信号を変調するために使用される一部の乱数をノード２に移送する。その後、ＫＭＣ１は、ノード３と量子鍵を合意し、この鍵を使用して、次のノードに送信される量子信号の変調のために使用される一部の乱数をノード３に移送する。

図６は、ノード１およびノード２という２つの送信ノードがそれぞれ、ノード３およびノード４という２つの受信ノードのうちのいずれかと量子鍵を確立し、ノードが中間ノードにより接続されるネットワークからなる簡単な例を示す。

ノード_１６０１には、アリスサブシステム_１６１１が装備され、ノード_２６０２には、アリスサブシステム_２６１２が装備され、ノード_３６０３には中間サブシステム６１３が装備され、ノード_４にはボブサブシステム_１６１４が装備され、ノード_５には、ボスサブシステム_２６１５が装備される。

ノード_１は、量子チャネル６２１によりノード_３に接続される。ノード_３は、量子チャネル６２２によりノード_４に接続される。ノード_２は、量子チャネル６２３によりノード_３に接続される。ノード_３は、量子チャネル６２４によりノード_５に接続される。

５つのノードはどれも、量子鍵配送のよく知られた原理に従って、様々なサブシステム間で、量子チャネル上の伝送の結果を議論するメッセージを運ぶ共通の古典的チャネル６２５に接続される。

アリスサブシステム_１６１１は、ＱＫＤを使用して、中間サブシステム６１３と鍵を確立する。この過程は、量子チャネル６２１上に乱数を送信し、古典的チャネル６２５上で結果を議論することを伴う。次に、確立された鍵は、アリスサブシステム_１から中間サブシステムに渡される乱数を暗号化するために使用される。中間サブシステムは、これらの乱数を量子チャネル６２２上でボスサブシステム_１６１４に送信する。ここで、アリスサブシステム_１およびボブサブシステム_１は、古典的チャネル上で結果を議論して、アリスサブシステム_１に知られる鍵値６３１、およびボブサブシステム_１に知られる鍵値６３２を確立する。ここで、この共有鍵値は、ノード_１とノード_４の間の通信を安全にするために使用されることができる。

アリスサブシステム_２６１２は、同じ方法を使用して、ボブサブシステム_２と鍵を確立する。次に、この鍵は、ノード_２とノード_５の間の通信を安全にするために使用されることができる。

アリスサブシステムおよびボブサブシステムはそれぞれ、古典的チャネル上で乱数を送信するための暗号ユニットをアリスユニット内に有するという追加機能を有する従来のアリスユニットおよびボブユニットとすることができる。

中間サブシステム６１３は、図７により詳細に示される。量子チャネル６２１は量子受信機７０１に接続され、量子チャネル６２３は量子受信機７０２に接続される。これらの２つの量子受信機は、受信する信号をボブ制御論理回路７０３に渡す。ボブ制御論理回路は古典的チャネル６２５を使用して、量子信号を送信した該当するアリス論理回路と結果について議論する。

ボブは、ＩＤ鍵を使用してアリスとの議論を認証する。ボブは、アリスサブシステム_１に対するＩＤ鍵をＩＤストア_１に記憶し、アリスサブシステム_２に対するＩＤ鍵をＩＤストア_２に記憶する。

議論の結果は、アリスにもボブにも知られる値である。この値の一部が、ＩＤ鍵を置き換えるために使用され、その残りが、暗号部７０４にロードされる鍵として使用される。

暗号部７０４が、生成された鍵と共にロードされると、ボブ制御論理回路は、暗号化された乱数をアリスから受信することができる。信号の宛先がノード_４の場合、これらの乱数は、量子送信機７０７に渡され、量子チャネル６２２上で送信され、信号の宛先がノード_５の場合、これらの乱数は量子送信機７０８に渡され、量子チャネル６２４上で送信される。ボブ制御論理回路は、スイッチ７０９を制御することにより使用されるべき量子送信機を選択する。

Claims (27)

1. 少なくとも１つの中間ノードを含むネットワーク経路を介する光ネットワーク上の第１のノードと第２のノードの間の量子鍵配送方法であって、量子鍵が第１のノードと第２のノードの間で合意されるまで順次、第１のノードと、ネットワーク経路内の各次のノードの間で量子鍵を合意するステップを含み、第１のノードと次のノードのうちターゲットとなるノードの間で量子鍵を合意するステップが、ターゲットとなるノードと、ネットワーク経路内の前のノードの間で量子信号を交換するステップと、前記量子信号に基づいて第１のノードとターゲットとなるノードの間で鍵合意ステップを実行するステップとを含み、第１のノード自体が前記量子信号を交換するステップに関与していない場合、第１のノードが、鍵合意ステップに必要なすべての情報を有するように前記前のノードと通信し、前記通信が、前記前のノードと確立された量子鍵を使用して暗号化される、方法。
2. ノードが量子鍵配送に適した量子信号を送信および／または受信することができる少なくとも１つの装置を有する、光ネットワーク内の場所を含む、請求項１に記載の方法。
3. 第１のノードが、鍵合意ステップの一部として、ターゲットとなるノードと認証する、請求項１または２に記載の方法。
4. 第１のノードと第２のノードの間で合意された量子鍵を使用して、これらのノード間の通信を暗号化するステップをさらに含む、請求項１から３のいずれか一項に記載の方法。
5. 各ノードが暗号ユニットを含む、請求項１から４のいずれか一項に記載の方法。
6. 第１のノードと第２のノードの間の経路が、複数の中間ノードを含む、請求項１から５のいずれか一項に記載の方法。
7. 量子鍵を合意するステップが、それらのステップで確立された共有秘密値の一部を使用して、第１のノードおよびターゲットとなるノードにより共有される少なくとも１つのＩＤ鍵を更新するステップを含む、請求項１から６のいずれか一項に記載の方法。
8. 少なくとも中間ノードが、光ネットワーク内のノードごとの別個のＩＤ鍵を記憶し、それを使って鍵合意ステップを始める、請求項１から７のいずれか一項に記載の方法。
9. 任意の中間ノードが任意の隣接中間ノードにより記憶されるＩＤ鍵を知らない、請求項７または８に記載の方法。
10. 量子交換が行われる光ネットワークがまた、量子交換以外の光通信に適合される、請求項１から９のいずれか一項に記載の方法。
11. 光ネットワーク上に送信される量子信号が、量子信号以外の信号のうちのどれとも異なる波長で送信される、請求項１０に記載の方法。
12. 少なくとも１つの中間ノードが能動スイッチを含む、請求項１から１１のいずれか一項に記載の方法。
13. 光ネットワークが少なくとも１つの受動光スイッチを含む、請求項１から１２のいずれか一項に記載の方法。
14. 少なくとも１つの中間ノードが、受動光スイッチと同じ場所に配置される、請求項１３に記載の方法。
15. 光ネットワークは、量子信号が隣接ノード間で交換されなければならない距離を縮めるように配置される少なくとも１つのノードを含む、請求項１から１４のいずれか一項に記載の方法。
16. 第１のノードが、各々が第２のノードとして働く複数の異なる宛先ノードと量子鍵を合意し、宛先ノードごとに確立された量子鍵を使用して、各前記宛先ノードにトラフィック鍵を送信する、請求項１から１５のいずれか一項に記載の方法。
17. 光ネットワーク内の１つ以上のノードが鍵管理者の役割を果たす、請求項１から１６のいずれか一項に記載の方法。
18. １つ以上の鍵管理者が、自動的にまたは要求に応じて、光ネットワークを介した通信のために異なるノードに同じトラフィック鍵を提供するように動作する、請求項１７に記載の方法。
19. 光ネットワークがノードからなる複数のコミュニティを含み、各コミュニティが、量子鍵配送によりそのコミュニティ内のノードにコミュニティ鍵を配送する関連づけられた鍵管理者を有する、請求項１７または１８に記載の方法。
20. 各ノードが、任意の光リンク上で別の時間に隣接ノードに量子信号を送信することも、受信することもできる、請求項１から１９のいずれか一項に記載の方法。
21. ターゲットとなるノードと、経路内の前のノードの間の量子交換は、ターゲットとなるノードが量子信号を前のノードに送信するステップを含む、請求項１から２０のいずれか一項に記載の方法。
22. 第１のノードと、ターゲットとなるノードの前のノードの間の通信は、ターゲットとなるノードの前のノードが、受信された量子信号の詳細を第１のノードに送信するステップを含む、請求項２１に記載の方法。
23. ターゲットとなるノードと、経路内の前のノードの間の量子交換は、ターゲットとなるノードが、前のノードにより送信された量子信号を受信するステップを含む、請求項１から２０のいずれか一項に記載の方法。
24. 第１のノードと、ターゲットとなるノードの前のノードの間の通信は、ターゲットとなるノードの前のノードが、送信された量子信号の詳細を第１のノードに送信するステップを含む、請求項２３に記載の方法。
25. 第１のノードと、ターゲットとなるノードの前のノードの間の通信は、ターゲットとなるノードが、送信されるべき量子信号の詳細を第１のノードの前のノードに送信するステップを含む、請求項２４に記載の方法。
26. 送信されるべき量子信号の前記詳細が、乱数のストリングを含む、請求項２５に記載の方法。
27. 乱数のストリングが生成され、第１のノードと、ターゲットとなるノードの前のノードの間で伝達され、第１のノードも、ターゲットとなるノードの前のノードも、乱数の前記ストリングを疑似乱数発生器のシードとして使用して、より長いストリングを生成し、ターゲットとなるノードの前のノードが、前記より長いストリングを量子信号の変調のために使用する、請求項２４から２６のいずれか一項に記載の方法。

Images