JP7021272B2 - セキュアな通信ネットワーク - Google Patents

Description

本明細書で説明される実施形態は、セキュアな通信ネットワークにおける鍵交換のための装置及び方法に関する。

２つのパーティ間の暗号鍵の交換は、最新の通信インフラストラクチャのセキュリティを支持する。通信インフラストラクチャのセキュリティを保証するためには、暗号鍵の秘密性が維持されなければならない。暗号鍵の秘密性は、特定の数学的問題を効率的に解決することができる量子コンピュータを含む高度なコンピューティングシステムへのアクセスを有する敵対者による攻撃によって脅かされている。

量子通信ネットワークは、２つのノード間、すなわち、しばしば「アリス」と「ボブ」と呼ばれる送信元ノードと宛先ノードとの間で、秘密暗号鍵を共有するために使用されてよく、この技法は、量子鍵配送（ＱＫＤ：quantum key distribution）として知られている。量子通信ネットワークにおいて、情報は、単一光子などの符号化された単一量子によって、送信機と受信機との間で送られる。各光子は、偏光、位相、又はエネルギー／時間などの光子の特性で符号化された１ビットの情報を搬送する。光子は、例えば、角運動量などの特性を使用することによって、２ビット以上の情報を搬送することもできる。

ＱＫＤの魅力は、鍵の任意の部分が不正な盗聴者「イブ」に知られ得るかどうかのテストを提供することである。ＱＫＤの多くの形態において、アリス及びボブは、ビット値を符号化するための２つ以上の非直交基底を使用する。量子力学の法則は、各々の符号化基底の予備知識のないイブによる光子の測定が光子のなんらかの状態に不可避の変化を引き起こすことを要求する。光子の状態のこれらの変化は、アリスとボブとの間で送られるビット値にエラーを引き起こすことになる。したがって、それらの共通のビット列の一部を比較することによって、アリス及びボブは、イブが情報を得ているかどうかを決定することができる。

ＱＫＤとは無関係に、古典通信ネットワークもまた、公開鍵暗号を使用して２つのノード間で暗号鍵を共有するために使用されてよい。公開鍵暗号のセキュリティは、一方向の数学的問題を反転させる計算困難性に依拠している。例えば、ＲＳＡアルゴリズムは、２つの大きな素数の積を因数分解することの難しさに依拠している。同様の原理に基づくものの異なる数学的問題を使用する、耐量子アルゴリズム（ＱＲＡ：quantum-resistant algorithms）などの他のアルゴリズムもまた使用されてよい。ＱＲＡの魅力は、反転の計算が量子コンピュータによって高速化されない数学的問題を使用することである。したがって、ＱＲＡを使用して２つのノード間で暗号鍵を交換することは、量子コンピュータによる攻撃に対して強固であると考えられている。

図１は、送信元ノードＡ及び宛先ノードＦが中継器ノードＢ、Ｅ、Ｃ、及びＤを通じて互いにリンクされている量子通信ネットワークの概略図を示す。 図１ｂは、図１に示された量子通信ネットワークにおいて使用されるノードの概略図を示す。 図２は、図１に示されたネットワークにおいて量子チャネルを実装するために使用され得る量子通信システムの概略図を示す。 図３は、図１の量子通信ネットワークを使用して、中間ノードを介して接続された第１のノード及び第２のノードの概略図を示す。 図４は、エンドノードＡ及びエンドノードＦが第２の通信ネットワークを通じて互いにさらにリンクされている図１の量子通信ネットワークの概略図を示す。 図５は、第２の通信ネットワークを通じて応答側ノード（ノードＦ）にリンクされている発信側ノード（ノードＡ）の概略図を示す。 図６（ａ）は、一実施形態に従った、第２の暗号鍵を交換するための方法において使用されるアルゴリズムによる、送信元ノード（アリス）と宛先ノード（ボブ）との間の古典鍵交換のプロセスを示す。 図６（ｂ）は、一実施形態に従った、第２の暗号鍵を交換するための方法において使用される耐量子アルゴリズムを使用する、送信元ノード（アリス）と宛先ノード（ボブ）との間の古典鍵交換のプロセスを示す。 図６（ｃ）は、一実施形態に従った、第２の暗号鍵を交換するための方法において使用される別の耐量子アルゴリズムを使用する、送信元ノード（アリス）と宛先ノード（ボブ）との間の古典鍵交換のプロセスを示す。 図７は、量子通信ネットワークを使用して１つ又は複数の第１の鍵が交換され、古典通信ネットワークを使用して１つ又は複数の第２の鍵が交換され、第１のノード及び第２のノードが結合暗号鍵の知識を共有するように、１つ又は複数の第１の鍵が１つ又は複数の第２の鍵と結合して結合暗号鍵を形成する、一実施形態に従って、第１のノードと第２のノードとの間で結合暗号鍵を交換する方法の概略図である。 図７ｂは、実施形態に従って、第１のノードと第２のノードとの間で暗号鍵を結合する方法の概略図であって、図７の第１のノード又は第２のノードにおける鍵結合プロセスを示す。

以下、添付の図面を参照して非限定的な実施形態に従ったデバイス及び方法を説明する。

本発明の第１の態様によれば、第１のノードと第２のノードとの間で結合暗号鍵（combined cryptographic key）を交換する方法が提供され、
第１のノードと第２のノードとが第１の通信ネットワーク及び第２の通信ネットワークを通じて接続され、第１の通信ネットワークが量子通信ネットワークであり、情報が弱い光パルス上で符号化され、
第１のノード及び第２のノードが、
第１の通信ネットワーク上で１つ又は複数の第１の暗号鍵を交換し、
第２の通信ネットワークを使用して１つ又は複数の第２の暗号鍵を交換し、
第１のノード及び第２のノードが結合暗号鍵の知識を共有するように、１つ又は複数の第１の暗号鍵と１つ又は複数の第２の暗号鍵とを結合することによって結合暗号鍵を形成する
ように構成される。

本発明の第２の態様によれば、第１のノードと第２のノードとの間で結合暗号鍵を交換するための通信ネットワークが提供され、
第１のノードと第２のノードとが、第１の通信ネットワーク及び第２の通信ネットワークを通じて接続され、第１の通信ネットワークが量子通信ネットワークであり、情報が弱い光パルス上で符号化され、
第１のノード及び第２のノードが、
第１の通信ネットワーク上で１つ又は複数の第１の暗号鍵を交換し、
第２の通信ネットワークを使用して１つ又は複数の第２の暗号鍵を交換し、
第１のノード及び第２のノードが結合暗号鍵の知識を共有するように、１つ又は複数の第１の暗号鍵と１つ又は複数の第２の暗号鍵とを結合することによって結合暗号鍵を形成する
ように構成される。

本発明の第３の態様によれば、通信ネットワーク上で第２のノードと結合暗号鍵を交換するように構成された第１のノードが提供され、
第１のノードが、第１の通信ネットワークを通じて少なくとも１つの中間ノードに接続され、第１の通信ネットワークが量子通信ネットワークであり、情報が弱い光パルス上で符号化され、
第１のノードが、第２の通信ネットワークを使用して第２のノードに直接接続され、
第１のノード及び第２のノードが、
第１の通信ネットワーク上で１つ又は複数の第１の暗号鍵を交換し、
第２の通信ネットワークを使用して１つ又は複数の第２の暗号鍵を交換し、
第１のノード及び第２のノードが結合暗号鍵の知識を共有するように、１つ又は複数の第１の暗号鍵及び１つ又は複数の第２の暗号鍵を使用して結合暗号鍵を形成する
ようにさらに構成される。

１つのノード、アリスと、もう１つのノード、ボブとの間の量子通信ネットワークは、ＱＫＤリンクと呼ばれてよい。ＱＫＤリンクは距離範囲の制限を負い、互いから遠いノードを接続するためには、中間ノードが必要とされる。秘密性を保証するために、中間ノードは信頼できるノードでなければならず、中間ノードの数が増加するにつれて、ノードが侵害されるリスクもまた増加する。ＱＫＤの分野では、１つのパスにおける中間ノードの侵害が結合量子鍵の秘密性に影響しないように、解決策は、量子ネットワーク内で少なくとも２つの独立したパスを通じて量子鍵をルーティングし、次いで、独立したパスから取得された量子鍵を結合することとしている。

これとは別に、ＱＲＡなどのますます堅牢なアルゴリズムによる公開鍵暗号が、ＱＫＤ鍵交換の代替として使用されてきている。ＱＲＡなどの古典鍵交換は、鍵交換が中間ノードを必要とせず、したがって、ノードの各ペアがかなり大きなインフラストラクチャを必要とするＱＫＤにおいて中間ノードを使用するよりも実装するのに技術的により効率的であることから、好ましい解決策として見られることがある。このように、ＱＲＡなどの古典鍵交換は、ＱＫＤの代替として見られる。

開示される方法、ネットワーク、及び／又はノードは、ＱＫＤの短所を認識し、古典鍵交換技法の利点を活用することによって、通信ネットワークのセキュリティに改良を提供して、ＱＫＤと古典鍵交換の両方を組み合わせるハイブリッドネットワークを実装する。この組み合わせの効果は、より効率的で、しかもなおセキュアな通信ネットワークである。

一実施形態において、第１の通信ネットワークは、第１のノード及び第２のノード以外の少なくとも１つの中間ノードを備え、中間ノードは、弱い光パルス上で符号化された信号を受信して送信するように構成される。

別の実施形態において、第１のノードは、
少なくとも１つの中間ノードと量子暗号鍵を交換し、
１つ又は複数の第１の暗号鍵を形成するために使用されるローカル秘密鍵を生成し、
ローカル秘密鍵及び量子暗号鍵を使用してさらなる鍵を形成し、
さらなる鍵を少なくとも１つの中間ノードに送信する
ために、第１の通信ネットワークを通じて情報を送るように構成される。

別の実施形態において、少なくとも１つの中間ノードは、
さらなる鍵を受信し、
さらなる鍵及び交換された量子暗号鍵を使用してローカル秘密鍵を抽出し、
ローカル秘密鍵及び第２の量子暗号鍵を使用して第２のさらなる鍵を形成し、
少なくとも１つの中間ノードのうちの別の中間ノードに、又は第２のノードに第２のさらなる鍵を送信する
ように構成される。

別の実施形態において、第２のノードは、
第２のさらなる鍵を受信し、
第２のノードが第１のノードによって生成されたローカル秘密鍵の知識を有するように、第２のさらなる鍵及び第２の量子暗号鍵を使用してローカル秘密鍵を抽出する
ように構成される。

別の実施形態において、第２の通信ネットワークは、第１のノードと第２のノードとを直接接続する古典ネットワークであり、第２の通信ネットワークは、第１のノードと第２のノードとの間に通信チャネルを備える。

別の実施形態において、第２の暗号鍵は、古典鍵交換プロトコルを使用して送信元ノードと宛先ノードとの間で交換される。

別の実施形態において、古典鍵交換プロトコルは耐量子アルゴリズムを使用する。

別の実施形態において、耐量子アルゴリズムは、格子、多変数、ハッシュ、コード、及び超特異楕円曲線暗号を備える。

別の実施形態において、１つ又は複数の第１の暗号鍵及び１つ又は複数の第２の暗号鍵は、排他的論理和とユニバーサルハッシングと擬似ランダム関数との少なくとも１つを備える演算を使用して結合される。

別の実施形態において、１つ又は複数の第１の暗号鍵は、１つ又は複数の第２の暗号鍵と等しい長さを有する。

別の実施形態において、１つ又は複数の第１の暗号鍵は、１つ又は複数の第２の暗号鍵とは異なる長さを有する。

別の実施形態において、第１のノード及び第２のノードは、１つ又は複数の第１の暗号鍵をインデックス付き鍵ストアに記憶するように構成され、インデックス付き鍵ストアにおける各エントリは、第１のノード及び第２のノードの特定のペアに対応する。

別の実施形態において、第１のノード及び／又は第２のノードはカウンタを備え、カウンタの値は、第１のノード及び第２のノードの特定のペアに対応する１つ又は複数の第１の暗号鍵を選択するために使用される。

別の実施形態において、カウンタは、１つ又は複数の第１の暗号鍵が提供された後にインクリメントされる。

別の実施形態において、第１の通信ネットワークは、第１のノード及び第２のノード以外の少なくとも１つの中間ノードを備え、中間ノードは、弱い光パルス上で符号化された信号を受信し、送信するように構成される。

図１は、ノードＡからＦを備える量子通信ネットワーク１の概略図である。各ノードは、少なくとも１つの他のノードに接続されている。図１の構成において、一方のノードに量子送信機が存在し、他方のノードに量子受信機が存在するとき、２つのノード間で通信が行われる。

量子通信ネットワークにおいて、量子送信機と量子受信機との間で送られる情報は、単一光子などの単一量子として符号化される。各光子は、偏光、位相、又はエネルギー／時間などの光子の特性で符号化された１ビットの情報を搬送する。光子は、例えば、角運動量などの特性を使用することによって、２ビット以上の情報を搬送することもできる。

量子通信ネットワークでは、一般に、量子送信機は、弱い光パルス上で情報を符号化する能力がある。量子受信機は、この情報を復号する能力がある。離散変数（ＤＶ：discrete variable）量子情報又は連続変数（ＣＶ：continuous variable）量子情報のいずれかが符号化され得る。ＤＶＱＫＤにおいて、弱いコヒーレント光パルス（ＷＣＰ：weak coherent light pulses）は、量子符号化のときに平均して１パルス当たり１未満の光子を含む可能性がある光パルスとして一般に考えられてよく、情報は、偏光、位相、及び時間ビン情報などを使用して弱い光パルス上で符号化される。ＣＶＱＫＤにおいて、各ＷＣＰパルスは、平均して１パルス当たり１００以下の光子を含むことができる。

ＤＶＱＫＤシステムはＱＫＤ送信機とＱＫＤ受信機とからなる。量子送信機は、符号化された量子信号パルスを送信し、それらの各々が平均して１パルス当たり１未満の光子を含む。これらの光学信号は、量子受信機に届く前に量子チャネルを通じて送信され、量子受信機は、到来信号を復号し、単一光子検出器を使用して到来信号を検出する。

説明を簡単にするために、量子通信ユニット１０１という用語が、量子送信機及び／又は量子受信機のいずれかを指すために使用される。一実施形態において、ノードが２つの他のノードに接続されている場合、ノードは、接続端の各々に専用の量子通信ユニットを有する。したがって、一実施形態において、あらゆるノードは、そのノードの接続の数に等しい数の量子通信ユニットを有する。代替として、各ノードは、スイッチングデバイスと組み合わせた単一の量子通信ユニットを有してもよく、スイッチングデバイスは、各接続端を量子通信ユニットに順次に接続する。

図１に示されるような量子通信ネットワーク１において、２つのノード間の通信は、量子チャネルを通じて行われる。量子チャネルは、光学ファイバ接続により実施されてよい。量子チャネルは、単一モードファイバと通常呼ばれる、典型的に１つの光学モードのみをサポートする光学ファイバチャネル上での伝送に適した任意の波長で動作するように選ばれてよい。例えば、量子波長は、１３１０ｎｍ又は１５５０ｎｍに選定されてよい。量子通信ネットワークがＱＫＤを実施するために使用されるとき、量子チャネルはＱＫＤリンクとも呼ばれる。量子チャネルは、図１においてノード間の実線として示されている。

本明細書で説明される実施形態は、情報が偏光、位相、及び時間ビンなどの特定の自由度を使用して弱い光パルス上で符号化されることに限定はされない。実際、符号化は、位相、偏光、及び時間ビンなどの多くの異なる自由度のうちの１つ、又はそれらの混合に適用され得る。

さらに、本明細書で説明される実施形態は、特定のＱＫＤプロトコルに限定されない。それは、ＢＢ８４、Ｂ９２、差動位相シフト（ＤＰＳ：differential-phase-shift）、コヒーレントワンウェイ（coherent-one-way）プロトコル、及びラウンドロビンＤＰＳプロトコルなどの異なるＱＫＤプロトコルに適用可能である。

いくつかの実施形態において、ＱＫＤ動作について、ＱＫＤ送信機と受信機との間で、クロック同期の機能を実現するために及びシフティングのためのメッセージを交換するために、サポートする古典光学チャネルのサポートが提供される。サポートする光学古典チャネルは、図１においてノード間の破線として示されている。これらの古典チャネルは別個のファイバの中に配置されてもよいが、これらの古典チャネル及び量子チャネルがすべて同じファイバを通じて伝送され得るように、波長分割多重がこれらの古典チャネル及び量子チャネルの両方を結合するために使用されることもある。

いくつかのケースにおいて、ＱＫＤは、追加のデータトラフィックが同じファイバにあるように同じファイバを共有することを要する。このケースにおいては、（量子、同期、及び古典）ＱＫＤ信号と追加のデータ信号とを結合／分離するために、波長フィルタが使用されてよい。ＱＫＤ光学信号を適応させるための波長グループ、例えば、テレコムＣ－バンド内の低密度波長分割多重（ＣＷＤＭ）バンドを割り当てることが望ましい。ＱＫＤシステムのさらなる詳細は、以下に提供される。

図１の量子通信ネットワーク１に戻ると、ノードは、ポイントツーポイントＱＫＤリンクを使用して互いに接続されている。ポイントツーポイントＱＫＤリンクは、距離とともに指数関数的に増加する損失のために、光学ファイバ接続上の距離範囲の制限を負う。したがって、送信元ノードＡと宛先ノードＦとの間で、量子鍵と呼ばれる第１の暗号鍵を交換するためには、中継器ノードとしての役割を果たす中間ノードを通じて量子鍵をルーティングすることが必要である。

一実施形態において、図１ｂに示されるように、量子通信ネットワーク１におけるノード５は、少なくとも１つの量子通信ユニット（１０１）とともに、第１の鍵生成器（１０２）を少なくとも含む。第１の鍵生成器（１０２）は、量子通信ユニット（１０１）とともに、量子通信ネットワーク１を使用して、同意されたＱＫＤプロトコルを実装するように構成される。ノード５は、インデックス付き共有鍵を記憶するための鍵ストア１０３、及びローカル鍵を生成して送信するためのローカル鍵生成器１０４をさらに備えてよい。ローカル鍵生成器１０４は、ローカル秘密生成器１０５及び鍵結合器１０６を備えてよい。ローカル秘密生成器１０５は、ローカル秘密鍵を生成する。鍵結合器１０６は、鍵ストア１０３からの鍵をローカル秘密生成器１０５からのローカル秘密鍵と結合することによって、さらなる鍵を形成するように構成されてよい。ローカル鍵生成器１０４は、さらなる鍵を送信するようにさらに構成されてよく、送信は、古典通信リンクを通じたものであってもよく、又は量子通信リンクを通じたものであってもよい。ノードは、ＱＫＤプロトコルを実装するように構成されたプロセッサを含んでよい。プロセッサは、中央処理ユニット（ＣＰＵ）、グラフィカル処理ユニット（ＧＰＵ）、又はフィールドプログラマブルゲートアレイ（ＦＰＧＡ）であってよい。第１の暗号鍵がどのように共有又は交換されるかを示すＱＫＤプロトコルの詳細は、以下に説明される。

中継器ノードは、少なくとも２つの他のノードに接続される、量子通信ネットワーク１上のノードである。中継器ノードは、各接続にサービスするために、量子通信ユニット（１０１）及び第１の鍵生成器（１０２）を少なくとも備える。

図１において、送信元ノードＡ及び宛先ノードＦは、各接続端で同意されたＱＫＤプロトコルを実装するように構成された量子通信ユニット及び第１の鍵生成器１０２を少なくとも備える。ノードＡは、量子チャネル上で情報をノードＢに送信するように構成された量子通信ユニット１０１及び第１の鍵生成器１０２を有する。ノードＦは、ＱＫＤリンク上で情報をノードＤに送信するように構成された量子通信ユニット及び第１の鍵生成器、並びに、別のＱＫＤリンク上で情報をノードＥに送信するように構成された量子通信ユニット及び第１の鍵生成器を有する。

したがって、各ノードは、そのノードへの接続の数に等しい数の第１の鍵生成器１０２、及びそのノードへの接続の数に等しい数の量子通信ユニット１０１を有する。代替として、各ノードは、単一の第１の鍵生成器１０２及び単一の量子通信ユニット１０１、並びに各接続端を量子通信ユニットに順次に接続するスイッチングデバイスを有してもよい。

量子通信ネットワークは、ネットワークコントローラを備えてよく、ネットワークコントローラは、少なくとも１つの中継器ノードを介して送信元ノードから宛先ノードへと第１の暗号鍵に関する信号を導くように構成される。

図１に示される量子通信ネットワークにおいて、量子鍵は、以下のノード、すなわち、Ａ→Ｂ→Ｅ→Ｆ、Ａ→Ｂ→Ｃ→Ｄ→Ｆ、Ａ→Ｂ→Ｅ→Ｄ→Ｆなど通じて、ＡからＦへとルーティングされてよい。

ノードＡとノードＦとの間での、Ｋ_QKDと表される量子鍵の生成及び交換は、以下のように実施されてよい。一例として、通信チェーンＡ→Ｂ→Ｅ→Ｆが検討される。Ａ及びＢは最初に、鍵Ｋ_ABを生成するためにＱＫＤプロトコルを実行し、Ｂは、Ｋ_BEを生成するために、ＥとＱＫＤプロトコルを実行し、Ａは、Ｋ_ABで秘密情報Ｋ_Sを暗号化し、サポートする古典チャネル上でＢに送信する。Ｂは、Ｋ_ABを用いて解読することによってＫ_Sを取得し、Ｂは、Ｋ_BEでＫ_Sを再暗号化し、それをサポートする古典チャネル上でノードＥに送信する。同様に、ノードＥは、鍵Ｋ_EFを生成するためにノードＦとＱＫＤプロトコルを実行し、Ｅは、Ｋ_Sを取得するためにＢからのメッセージを解読し、Ｋ_EFでＫ_Sを再暗号化し、暗号化された情報をサポートする古典チャネル上でＦに送信する。エンドノードＦは、Ｋ_Sを取得するために、Ｋ_EFを使用してＥからのメッセージを解読する。これにより、エンドノードＡ及びＦは秘密情報Ｋ_Sの知識を有する。ノードＡとノードＦとの間で共有される秘密鍵Ｋ_QKDは、適切なプロトコルに従って秘密情報Ｋ_Sから導出され得る。ノードの各ペア間で鍵を交換するために実装され得るＱＫＤプロトコルの詳細は、以下に説明される。

一例に係るＱＫＤ鍵交換が図３に説明されている。ノード１、２、及び３は、量子通信ネットワーク１における３つのＱＫＤノードである。ノード１は、第１のノードと称され、ノード３は、第２のノードと称され、ノード２は、中間ノードである。第１のノード及び第２のノードは、エンドノードである。各ノードは、少なくとも量子通信ユニット１０１からなる。各量子通信ユニット１０１は、ＱＫＤ送信機及び／又はＱＫＤ受信機を備える。この例において、ノード１及び３は、直接的なＱＫＤリンクを有さず、それらの共有される量子鍵は、ノード１及びノード３の各々とのＱＫＤリンクを有するノード２を介して形成されなければならない。ノードのペアごとに、それらの間で記憶される量子暗号鍵（Ｋ₁₂、Ｋ₂₁、Ｋ₂₃、Ｋ₃₂）のペアが存在する。ノードのペアごとに、量子暗号鍵のペアの各量子暗号鍵は、互いに同一である。ノードのペアの各ノードにおいて、そのペアに対応する量子暗号鍵は、インデックス付けされ、記憶される。例えば、ノード１及びノード２は、ＱＫＤ鍵Ｋ₁₂及びＫ₂₁を共有し、ここで、Ｋ₁₂＝Ｋ₂₁であり、ノード１は、Ｋ₁₂を含む鍵ストア「ストア１－２」を含み、ノード２は、Ｋ₂₁を含む鍵ストア「ストア２－１」を含む。ノード２及びノード３は、ＱＫＤ鍵Ｋ₂₃及びＫ₃₂を共有し、ここで、Ｋ₂₃＝Ｋ₃₂であり、ノード２は、Ｋ₂₃を含む鍵ストア「ストア２－３」を含み、ノード３は、Ｋ₃₂を含む鍵ストア「ストア３－２」を含む。より一般的には、直接的なＱＫＤリンクを有するＱＫＤノードにおいて、ノード間の鍵ストアが、それらの間で生成された量子鍵で満たされることになる。

ノード１は、ローカル鍵生成器１０４をさらに含む。ローカル鍵生成器１０４は、ローカル秘密生成器１０５及び鍵結合器１０６を備える。ローカル秘密生成器１０５は、乱数生成器（ＲＮＧ：random number generator）であってよい。ＲＮＧは、合理的に予測され得ない数のシーケンスを、偶然によってよりも優れて生成するように構成される。さらなる実施形態において、ローカル秘密生成器は、量子乱数生成器（ＱＲＮＧ）であってもよい。ＱＲＮＧは、乱数のシーケンスを生成するために、量子力学的物理特性、例えば、ショットノイズ、又は真空場におけるランダム位相に依拠するＲＮＧである。（Ｑ）ＲＮＧは、ローカルランダム秘密Ｋ_Rを生成するために使用される。鍵結合器１０６は、ローカルランダム秘密Ｋ_Rを鍵ストア１０３からの鍵と結合してさらなる鍵を形成するために使用される。この例において、さらなる鍵は、

であり、これはノード２に送信される。しかしながら、異なるノードに送られるさらなる鍵を形成するために、異なる演算及び／又は異なる鍵ストアからの異なる鍵が使用され得ることが理解されるであろう。

直接的なＱＫＤリンクのないノード間、例えば、ノード１とノード３との間で、それらの相互の鍵ストア「ストア１－３」及び「ストア３－１」は、以下で説明されるようなやり方でポピュレートされる。最初に、ノード１は、そのＲＮＧ又はＱＲＮＧデバイスを使用して、ローカル秘密Ｋ_R1を生成する。Ｋ_R1は、鍵ストア１－３に記憶され、Ｋ_R1は、さらなる鍵

を形成するために、Ｋ₁₂と結合される。さらなる鍵

は次いで、ノード２に送信される。ノード２において、Ｋ_R1は、

から取得される。Ｋ_R1は、第２のさらなる鍵

を形成するために、「ストア２－３」鍵ストアからの第２の量子暗号鍵Ｋ₂₃と結合され、第２のさらなる鍵

は、ノード３に送信される。ノード３において、Ｋ_R1は、

から取得され、取り出されたＫ_R1は、鍵ストア「ストア３－１」に記憶される。したがって、ノード１によって生成されたローカル秘密Ｋ_R1は、ノード３に知られるようになり、ノード１及びノード３における相互の鍵ストア「ストア１－３」及び「ストア３－１」に、それぞれ記憶される。より一般的には、直接的なリンクのないノードＮとノード１との間で、ローカル秘密Ｋ_R1は、ノード１及びノードＮにおける相互の鍵ストア「ストア１－Ｎ」及び「ストアＮ－１」に、それぞれ記憶される。

各中継器ノードが秘密情報Ｋ_S又はＫ_R1の知識を有しており、単一のノードへの侵害が全ネットワークのセキュリティを侵害することになるので、交換される鍵のセキュリティは、各中継器ノードが信頼できるノードであることを必要とする。図１に示されたネットワークにおいて、ノードＢにおける秘密の漏洩は、例えば、ノードＡからノードＦまでの鍵交換のセキュリティを侵害する。図３に示された例において、ノード２における秘密の漏洩は、ノード２がＫ_R1の知識を有するので、鍵交換のセキュリティを侵害する。

量子チャネルを通じて量子信号を送信すること及び検出することは、２つのエンドノード間で生の（raw）量子鍵を生成する。エンドノードによって生成されたこれらの生のＱＫＤ鍵は、エラーを訂正し、秘密性を高めるためにさらに処理されてもよい。秘密性を高めることは、プライバシー増幅の方法を含み、そこでは、いかなる盗聴者も新しく増幅された鍵について取るに足らない情報しか有さないように、エンドノードによって生成された鍵が、例えば、ユニバーサルハッシュ関数を使用することによって短くされる。図３に関する上の説明において、Ｋ₁₂、Ｋ₂₁、Ｋ₂₃、Ｋ₃₂は、処理された鍵を表し、鍵ストアに記憶されている鍵である。

完全性のために、実施形態のうちのいずれかに適用され得るＱＫＤシステムの説明が以下に続く。以下の説明において、送信元ノードでの第１の鍵生成器１０２及び第１の通信ユニット１０１は、「アリス」としての役割を果たし、一方、宛先ノードでの第１の鍵生成器２０２及び第１の通信ユニット２０１は、「ボブ」としての役割を果たす。

図２は、ＱＫＤリンクを実装するために好適な量子通信システムの概略図である。この実施形態において、量子送信機１０１及び量子受信機２０１は、非対称マッハツェンダー干渉計（ＭＺＩ：Mach-Zehnder interferometers）に基づく。送信機ユニット８０１は、量子送信機９０１及び古典通信デバイス８３０を備える。受信機ユニット８０５は、量子受信機９０２及び古典通信デバイス８０６を備える。量子送信機９０１及び量子受信機９０２は、ファイバ８０２ｂ、波長分割マルチプレクサ８３２、及びファイバチャネル８０４を通じて接続される。古典通信デバイス８３０及び古典通信デバイス８０６は、ファイバ８０２ａ、波長分割マルチプレクサ８３２、及びファイバ８０４を通じて接続される。これは、古典チャネルと呼ばれる。

量子送信機９０１内の光子源８１０は、光のパルスを備える量子信号を生成する。パルスは次いで、非対称ＭＺＩ８１１を使用して符号化される。パルスは、ビームスプリッタ８１２へと導かれる。ビームスプリッタ８１２の１つの出力は位相変調器８１６に接続される。位相変調器８１６の出力は偏光ビームスプリッタ８１７に接続される。これは、干渉計の短いアーム８１３を形成する。ビームスプリッタ８１２の他の出力はファイバループ８１５に接続され、それは続いて偏光ビームスプリッタ８１７に接続される。これは、干渉計の長いアーム８１４を形成する。長いアーム８１４を移動する光パルスは、短いアーム８１３を移動する光パルスに対して遅延される。

量子送信機９０１はまた、光パルスの強度を変動させるように構成された強度変調器を備えてもよい。強度変調器は、デコイ状態ＱＫＤプロトコルを実現するように構成されてよく、そこでは、異なる強度のパルスが送られ、それは、異なる強度を有する安全に受信されたパルスの数を測定することによって、送り手及び受け手が盗聴者の存在を決定することを可能にする。送信機は、２つ以上の強度変調器を備えてもよい。

位相変調器８１６は、短いアーム８１３を移動する光パルスの位相に、変調を適用するように構成される。位相変調器は、ＬｉＮｂＯ₃結晶導波路などの、屈折率が電場強度に依存する結晶導波路を備えることができる。代替として、位相変調は、受動手段によって、例えば、異なる固定された位相差を適用するように各々構成された複数の固定された位相素子と、これらの素子の各々を選択するように構成されたスイッチと、によって提供されてもよい。

干渉計の短いアーム８１３から移動する光パルスの偏光は、第１の偏光から、第１の偏光と直交する第２の偏光へと、偏光ビームスプリッタ８１７によってフリップされる。

量子送信機９０１は、したがって、ファイバリンク８０４を下って移動する、選択された位相差及び直交する偏光を有するコヒーレント二重パルスを生成する。

偏光コントローラ８１８は、パルスの偏光のずれを修正する。各ＯＮＵにおける各量子送信機は、受信機に個々に到着するパルスの偏光を揃えるために、別個の偏光コントローラを使用してもよい。量子送信機は、あらかじめ補償されていてもよい。代替として、単一の偏光コントローラが受信機側に設置されてもよい。

量子光パルスは、量子送信機９０１を出て、ファイバ８０２ｂを介して、波長分割マルチプレクサ８３２に送られる。量子信号は、第１の波長で送信される。波長分割マルチプレクサ８３２は、ファイバ８０２ｂから入力された信号をファイバ８０４に送出する。量子信号は、ファイバ８０４を介して量子受信機９０２に送られる。

量子受信機９０２において、パルスは、非対称ＭＺＩ８２１を使用して復号される。干渉計８２１の短いアーム８２４は、先に説明されたような位相変調器８２６を備える。干渉計の長いアーム８２３は、送信機におけるファイバループ８１５と厳密に一致するファイバループ８２５を備える。長いアーム８２３及び短いアーム８２４はそれぞれ、偏光ビームスプリッタ８２２の出力のうちの１つ及びビームスプリッタ８２７の入力のうちの１つに接続される。

偏光ビームスプリッタ８２２は、第２の偏光で入射する光パルスを干渉計の長いアーム８２３へ送り、第１の偏光で偏光ビームスプリッタに入射する光パルスを短いアーム８２４へ送る。第２の偏光で偏光ビームスプリッタ８２２を通って移動するパルスの偏光は、第１の偏光に対してフリップされる。

ビームスプリッタ８２７の出力は、光子検出器８２８及び８２９に接続される。送信機９０１及び受信機９０２で適用される位相変調に依存して、信号は、光子検出器８２８又は光子検出器８２９のいずれかにおいて検出されることになる。光子検出器８２８及び８２９は、ゲート単一光子検出器であってよく、それは、アバランシェフォトダイオードに基づいたものであってよく、特にＩｎＧａＡｓアバランシェフォトダイオードに基づいたものであってよい。検出器は、自己差分検出器などのゲート検出器であってもよい。自己差分検出器は、時間フィルタリングを自動的に実施する。時間フィルタリングは、量子信号の既知の到着時間により可能である。検出器は、光子が検出器に入射する時間の間のみアクティブにされ得る。自己差分は、ラマンノイズをおよそ１０分の１に低減させることができる。

位相変調器８１６及び位相変調器８２６を使用して、ＢＢ８４などのＱＫＤプロトコルが実現されることができる。

ＢＢ８４プロトコルにおいて、（送信機ユニット８０１上で動作する）アリスは、４つの等間隔の位相値から、位相値をランダムに選択する。例えば、アリスは、０、π／２、π、及び３π／２の位相シフトに対応する４つの異なる値のうちの１つに、位相変調器８１６をランダムに設定することができる。０及びπは、第１の符号化基底においてビット０及び１に関連付けられ、一方、π／２及び３π／２は、第２の符号化基底において０及び１に関連付けられる。

（受信機ユニット８０５上で動作する）ボブは、０又はπ／２の位相シフトに対応する２つの値のうちの１つに、位相変調器８２６をランダムに設定することができる。これは、第１の測定基底と第２の測定基底との間の選択を意味する。言い換えれば、アリスの０及びπの値は、ボブの０の値（第１の基底）に適合し、アリスのπ／２及び３π／２の値は、ボブのπ／２の値（第２の基底）に適合する。

０の位相差（すなわち、アリスによって適用された位相シフトが０であり、ボブによって適用された位相シフトが０である、又は、アリスによって適用された位相シフトがπ／２であり、ボブによって適用された位相シフトがπ／２である）は、検出器８２８での検出につながる。他方で、πの位相差が存在する（すなわち、アリスによって適用された位相シフトがπであり、ボブによって適用された位相シフトが０である、又は、アリスによって適用された位相シフトが３π／２であり、ボブによって適用された位相シフトがπ／２である）場合、検出器８２９での検出があることになる。２つの位相変調器で適用された位相変調間の差の他の値については、光子が検出器８２８又は検出器８２９で出力する有限の確率が存在することになる。

アリスもボブも、それらの値を選ぶとき、もう一方がなんの値を選択するのか又は選択することになるのかを知らない。後になってのみ、彼らは、同じ基底を使用したのかどうかを比較し、彼らが同じ基底を使用した場合に最終鍵のために値を使用するだけである。異なる基底を使用して実施されたいかなる測定からの結果も破棄される。このプロセスは、シフティングとして知られる。このようにして、アリス（送信元ノード）及びボブ（宛先ノード）は、秘密鍵を交換し、秘密鍵の知識を有する。

定期的に到着する量子信号は、量子受信機９０２における検出器８２８及び８２９によって検出される。各検出イベントに続いて、光子を送信した送信機が、光子の到着時間から識別される。次いで受信機９０２は、古典通信デバイス８０６から古典通信デバイス８３０へと、識別された送信機と到着時間及び復号基底を通信することによって、シフティングプロセスを始める。検出された光子ごとにこのプロセスを繰り返して、送信機のうちの各々１つは、例えば、少なくとも数千ビットの長さを有する受信機９０２とのシフティングされた鍵シーケンスを形成する。次いで、送信機及び受信機は、それらの間で完全な秘密鍵を蒸留するために、エラー訂正及びプライバシー増幅のプロセスを開始することができる。古典通信デバイス８０６は、エラー訂正及びプライバシー増幅のために、送信機と受信機との間で古典通信を担うことができる。

図４は、一実施形態に従った通信ネットワークの概略図である。ネットワークは、図１に示された量子通信ネットワーク１に基づく。しかしながら、エンドノードＡからエンドノードＦは、第２の通信ネットワーク２を通じて互いにさらにリンクされている。第２の通信ネットワーク２は、ＱＫＤリンクの距離範囲の制限を負わない古典通信ネットワークとして実装されてよく、したがって、ノードＡとノードＦとは、中間中継器ノードに依拠することなく、第２の通信ネットワーク２を通じてさらにリンクされている。

第２の通信ネットワーク２上で転送された情報は、第１の通信ネットワーク１上で転送された情報から独立している。第２の通信ネットワーク２は、図２に示されて上述されたように、同じファイバを使用してもよい。このケースにおいて、第１の通信ネットワーク１に関する情報は、例えばＣＷＤＭによって、第２の通信ネットワーク２に関する情報から分離される。第２の通信ネットワーク２はまた、第１の通信ネットワーク１から空間的に別個のチャネルを使用してもよい。いずれのケースにおいても、各通信ネットワークにおける情報は、独立しており、別個である。

量子通信ネットワーク１は、図１、２、及び３に関して上述されたように、ＱＫＤを実装するために使用されてよい。第２の通信ネットワーク２は、古典鍵交換（ＣＫＥ：classical key exchange）を実施するために使用されてよい。図５は、第２の通信ネットワーク２によってリンクされた発信側ノード（ノードＡ）及び応答側ノード（ノードＦ）の概略図を示す。図５の例において、第２の通信ネットワークは、古典通信ネットワークである。古典通信ネットワーク２は、パブリックネットワークであってもよい。古典通信ネットワーク２は、第１のノードを第２のノードに直接接続し、直接接続するとは、接続が、図３のノード２などの中間ノードに依拠しないことを意味する。古典通信ネットワークは、パブリックチャネルであってもよい。パブリックチャネルは、インターネットであってもよい。

各ノードは、メッセージを送受信するように、言い換えれば、メッセージを交換するように構成され、及び交換されたメッセージから、共有の暗号鍵を計算するように構成される。各ノードは、古典鍵交換（ＣＫＥ）プロトコルを実装するように構成されたプロセッサを含んでよい。プロセッサは、中央処理ユニット（ＣＰＵ）、グラフィカル処理ユニット（ＧＰＵ）、又はフィールドプログラマブルゲートアレイ（ＦＰＧＡ）であってよい。第２の通信ネットワーク２上で交換される共有の暗号鍵は、エンドノードＡとエンドノードＦとの間で交換される第２の暗号鍵である。第２の暗号鍵は、（ＣＫＥ）プロトコルに従って交換されてよく、第２の暗号鍵は、Ｋ_CKEによって表される。ＣＫＥプロトコルの例は、以下にさらに説明される。

図４のネットワークに戻ると、送信元ノード及び宛先ノードは、２つの鍵、すなわち、第１の鍵（Ｋ_QKD）及び第２の暗号鍵（Ｋ_CKE）を共有する。Ｋ_QKDは、本明細書で説明されるように、中間中継器ノードを通じて、量子通信ネットワーク１を通じて交換される。Ｋ_CKEは、第２の通信ネットワーク２を通じてセキュアに交換される。鍵Ｋ_QKDとＫ_CKEの両方が、セキュアであるとみなしされてよい。Ｋ_QKDのセキュリティは、信頼できるノードである中間中継器ノードに依拠し、一方、Ｋ_CKEのセキュリティは、使用されるプロトコルに依存する。

一実施形態において、第２の暗号鍵Ｋ_CKEは、従来の鍵交換プロトコルに従って交換され、一例はディフィーヘルマンプロトコルであり、以下に説明される。別の実施形態において、第２の暗号鍵Ｋ_CKEは、耐量子アルゴリズム（ＱＲＡ）に従って交換される。ＱＲＡの例は、以下に説明される。送信元ノード及び宛先ノードはその場合、耐量子アルゴリズムを実装するように構成されたプロセッサをさらに含む。プロセッサは、中央処理ユニット（ＣＰＵ）、グラフィカル処理ユニット（ＧＰＵ）、又はフィールドプログラマブルゲートアレイ（ＦＰＧＡ）であってよい。

送信元ノード及び宛先ノードは、２つの鍵Ｋ_QKD及びＫ_CKEから結合暗号鍵Ｋ_Fを形成するように構成される。送信元ノード及び宛先ノードは、したがって、選択された演算に従って、２つの鍵Ｋ_QKD及びＫ_CKEを結合して暗号鍵Ｋ_Fにするように構成された最終鍵生成器を備える。

一実施形態において、結合暗号鍵は、以下の演算、

を使用して形成され、ここで、

は、ビット単位の排他的論理和論理演算である。別の実施形態において、最終鍵は、擬似ランダム関数（ＰＲＦ）を使用して形成される。ＰＲＦを使用して結合暗号鍵を形成することは、任意の長さの入力鍵を固定されたサイズのハッシュ値にマップするためにハッシュ関数を使用するステップと、任意の長さの出力鍵を生成するためにハッシュされた入力データに擬似ランダム関数を適用するステップと、を備える。このようにして、ＰＲＦを用いて鍵を形成することは、出力鍵Ｋ_Fが任意の長さになることだけでなく、入力のＫ_QKDとＫ_CKEとが等しくない任意の長さであることを可能にする。重要なことに、ＰＲＦを使用することはまた、最終鍵が交換されたプロトコルメッセージにきつくバインドされるように、入力フィールドとして、交換されたプロトコルメッセージなどのデータを可能にする。好適なＰＲＦは、ＨＭＡＣベースの鍵導出関数（ＫＤＦ）を使用して実現されてよく、この関数は、ＨＫＤＦとして知られている。ＨＫＤＦは、なんらかのソース鍵材料を入力として取り、入力材料から固定された長さの擬似ランダム鍵を抽出し、固定された長さの鍵を、出力になるさらなる擬似ランダム鍵に展開する関数である。

図４のネットワークに戻ると、一実施形態において、第２の通信ネットワークは、少なくとも１つのノードのアイデンティティが認証されているような認証された通信チャネルを２つのノード間に備える古典通信ネットワーク２である。チャネル認証は、同意されたトランスポートレイヤセキュリティ（ＴＬＳ）プロトコルを使用して実装され、ここで、認証は、２つのノード間であらかじめ共有された秘密鍵に依拠する。

一実施形態において、あらかじめ共有された鍵を使用して送信元ノードと宛先ノードとの間で認証が実現されている認証された通信チャネルが与えられると、従来の鍵交換（ＣＫＥ）アルゴリズムに従って、第２の暗号鍵Ｋ_CKEが、送信元ノードと宛先ノードとの間で交換される。

そのようなアルゴリズムは、図６（ａ）に示されるような、ディフィーヘルマン（ＤＨ）プロトコルであり得る。ＤＨ鍵交換において、アリス及びボブは、ｐ及びｇについて同意し、Ｍ_A＝ｇ^A ｍｏｄ ｐが、アリスからボブに送られ、Ｍ_B＝ｇ^B ｍｏｄ ｐが、ボブからアリスに送られる。ＤＨは、ｇ並びにｇ^A及びｇ^Bの値が与えられたときにｇ^ABを見出すことの計算複雑性のために、計算セキュリティを有すると言われる。

あらかじめ共有された鍵を使用して送信元ノードと宛先ノードとの間で認証が実現されている認証された通信チャネルが与えられると、耐量子アルゴリズム（ＱＲＡ）に従って、第２の暗号鍵Ｋ_CKEが、送信元ノードと宛先ノードとの間で交換され、第２の暗号鍵は、Ｋ_CKE＝Ｋ_QRAによって表される。

さらなる実施形態において、ＱＲＡ鍵交換はパブリックチャネル上で使用され、及び／又は、パブリックチャネルは古典通信リンク上に実装される。パブリックチャネルは、インターネットであってもよい。

ＱＲＡを使用する公開鍵暗号は、例えば、格子、多変数、ハッシュ、コード、及び超特異楕円曲線暗号を含む。格子暗号は、ラーニングウィズエラー（ＬＷＥ：learning with error）及びリング－ＬＷＥ（Ｒ－ＬＷＥ）暗号を含む。

一実施形態において、ＱＲＡ鍵交換は、超特異同種写像ディフィーヘルマン法（ＳＩＤＨ：Supersingular isogeny Diffie-Hellman method）を使用して実装される。アリス及びボブは、セッションの冒頭で以下の公開パラメータを共有する。１．ｐ＝ｗ_A ^eA・ｗ_B ^eB・ｆ±１という形の素数ｐ；２．

上の超特異楕円曲線Ｅ；３．Ｅ上の固定された楕円点Ｐ_A，Ｑ_A，Ｐ_M，Ｑ_B、ここで、Ｐ_A及びＱ_Aの位数は（ｗ_A）^eAであり、Ｐ_B及びＱ_Bの位数は（ｗ_B）^eBである。アリス及びボブは、各々別個に２つのランダムな整数ｍ_A，ｎ_A＜ｗ_A ^eA及びｍ_B，ｎ_B＜ｗ_B ^eBを生成する。アリスは、Ｒ_A：＝ｍ_A・Ｐ_A＋ｎ_A・Ｑ_Aを生成し、ボブは、Ｒ_B：＝ｍ_B・Ｐ_B＋ｎ_B・Ｑ_Bを生成する。アリスは、Ｒ_Aを使用してマッピングΦ_A：Ｅ→Ｅ_Aを行い、ボブは、Ｒ_Bを使用してマッピングΦ_B：Ｅ→Ｅ_Bを行う。アリスは、Φ_AをＰ_B及びＱ_Bに適用してＥ_A：Φ_A（Ｐ_B）及びΦ_A（Ｑ_B）を形成し、ボブは、Φ_BをＰ_A及びＱ_Aに適用してＥ_B：Φ_B（Ｐ_A）及びΦ_B（Ｑ_A）を形成する。アリスは、ボブにＥ_A、Φ_A（Ｐ_B）及びΦ_A（Ｑ_B）を送り、ボブは、アリスにＥ_B、Φ_B（Ｐ_A）及びΦ_B（Ｑ_A）を送る。アリスは次いで、Ｓ_BA：＝ｍ_A（Φ_B（Ｐ_A））＋ｎ_A（Φ_B（Ｑ_A））を形成し、ボブは、Ｓ_AB：＝ｍ_B（Φ_A（Ｐ_B））＋ｎ_B（Φ_A（Ｑ_B））を形成する。アリスは、Ｓ_BAを使用して同種写像マッピングΨ_BAを作成し、Ψ_BAを使用して、Ｅと同種である楕円曲線Ｅ_BAを作成する。Ｅ_BAから、アリスは、Ｅ_BAのＫ：＝ｊ－不変量（ｊ_BA）を計算する。同様にボブは、Ｓ_ABを使用して同種写像マッピングΨ_ABを作成し、Ψ_ABを使用して、Ｅと同種である楕円曲線Ｅ_ABを作成し、Ｅ_ABのＫ：＝ｊ－不変量（ｊ_AB）を計算する。Ｅ_BA及びＥ_ABは、Ｅと同種であり、したがって、同じｊ－不変量を有する。したがって、Ｋが、アリスとボブの両方に知られて、共有される鍵Ｋ_SIDHがＫから導出される。

別の実施形態において、送信元ノード（アリス）と宛先ノード（ボブ）との間のＱＲＡ鍵交換は、Ｒ－ＬＷＥに従って以下のように実装されてもよい。アリス及びボブは、各々彼ら自身の秘密Ｓ_A又はＳ_Bをそれぞれ有し、アリスとボブとは、一組の公開情報Ｐについて同意する。アリスは次いで、Ｐ×Ｓ_Aを計算し、Ｐ×Ｓ_Aをボブに送信することができ、ボブは、Ｐ×Ｓ_Bを計算し、Ｐ×Ｓ_Bをアリスに送信することができ、アリスとボブの両方は、Ｓ_A×Ｐ×Ｓ_Bのそれらの結果に基づいて、共有される鍵を形成することができる。Ｓ_A×Ｐ×Ｓ_Bに基づいた共有されるＱＲＡ鍵は、Ｋ_QRAとして表される。セキュリティは、パブリックチャネルを通じて送信される情報Ｐ×Ｓ_A又はＰ×Ｓ_Bから、Ｓ_A又はＳ_Bを見出す計算困難性によって保証される。

図６（ｃ）は、ＱＲＡ鍵交換を実装するためにＲ－ＬＷＥ暗号が使用される実施形態を示す。公開情報Ｐは多項式であり、Ｓ_Aは、２つのベクトルＶ_A及びＥ_Aを備え、Ｓ_Bは、２つのベクトルＶ_A及びＥ_Aを備える。Ｖ_A、Ｅ_A、Ｖ_B及びＥ_Bにおける係数は、整数であり、さらに、Ｅ_A及びＥ_Bの係数は小さく、エラーとみなしてよい。Ｒ－ＬＷＥ鍵交換のための手順は、以下である。１）アリスとボブとは、接続を確立し、Ｐについて同意する。２）アリスは、ランダム秘密Ｓ_A及びＥ_Aを選び、Ｍ_A＝Ｐ×Ｓ_A＋Ｅ_Aを計算し、Ｍ_Aをボブに送信する。３）ボブは、ランダム秘密Ｓ_B及びＥ_Bを選び、Ｍ_B＝Ｐ×Ｓ_B＋Ｅ_Bを計算し、Ｍ_Bをアリスに送信する。４）アリスは、エラーとしてのＥ_Bを伴う、Ｓ_A×Ｍ_B＝Ｓ_A×（Ｐ×Ｓ_B＋Ｅ_B）≒Ｓ_A×Ｐ×Ｓ_Bを計算する。５）ボブは、エラーとしてのＥ_Aを伴う、Ｓ_B×Ｍ_A＝Ｓ_B×（Ｐ×Ｓ_A＋Ｅ_A）≒Ｓ_B×Ｐ×Ｓ_Aを計算する。６）Ｓ_A×Ｍ_B又はＳ_B×Ｍ_Aにおける各係数を０又は１に丸めることによって、アリスとボブとは、小さなエラーを排除し、同一のバイナリ秘密鍵Ｋ_RLWEを形成することができる。

図４に示された実施形態において、送信元ノードＡ及び宛先ノードＦは、第２の通信ネットワーク２上で情報を送信し、受信し、第２の鍵を生成し、耐量子アルゴリズムに従ってセキュアな鍵交換を実施するように構成されてよい。送信元ノードＡ及び宛先ノードＦは、第２の通信ネットワーク２上で動作可能であって、情報を送信し、受信するように構成された第２の通信ユニットと、第２の通信ネットワーク２上で同意された鍵交換プロトコルを実装するように構成された第２の鍵生成器と、第２の鍵生成器のための第２の鍵を生成するために、耐量子アルゴリズムを実装するように構成されたプロセッサと、を備えることができる。

図４の通信ネットワークに戻ると、送信元ノードＡ及び宛先ノードＦは、２つの鍵、すなわち、第１の鍵（Ｋ_QKD）及び第２の鍵（Ｋ_QRA）を共有する。Ｋ_QKDは、本明細書で説明されるように、中間中継器ノードを通じて、量子通信ネットワークを通じて交換される。Ｋ_QRAは、本明細書で説明されるように、耐量子アルゴリズムを使用して、第２の通信ネットワークを通じてセキュアに交換される。

鍵Ｋ_QKDとＫ_QRAの両方が、セキュアであるとみなしてよい。Ｋ_QKDのセキュリティは、信頼できるノードである中間中継器ノードに依拠し、一方、Ｋ_QRAのセキュリティは、中継器ノードから独立しており、しかし、２つのノード間であらかじめ同意された情報（Ｐ）のセキュリティ、並びにＣＫＥプロトコルそれ自体に依存する。

結合暗号鍵Ｋは、本明細書で説明されるように、２つの鍵、Ｋ_QKD及びＫ_QRAから形成される。結合暗号鍵のセキュリティは、Ｋ_QKD又はＫ_QRAのうちのより強力な方のセキュリティと少なくとも同じくらい強力であってよい。一実施形態において、結合暗号鍵Ｋは、以下の演算、

を使用して形成され、ここで、

は、ビット単位の排他的論理和論理演算である。２つの鍵、Ｋ_QKD及びＫ_QRAは、等しい長さである。

結合暗号鍵は、例えば、ユニバーサルハッシング、又は上で議論されたようなＰＲＦなどの他の演算を使用して形成されてもよい。２つの鍵、Ｋ_QKD及びＫ_QRAは、異なる長さであってもよい。

図７は、量子通信ネットワーク１上での１つ又は複数の第１の鍵の鍵交換及び古典通信ネットワーク２上での１つ又は複数の第２の鍵の鍵交換を示す一実施形態の概略図である。２つの鍵の結合が示されている。

発信側及び応答側は、ＱＫＤネットワークにおける２つの離れたノードに置かれている。各ノードは、その意図される通信ピアの間のセキュアな通信に専用のＱＫＤ鍵ストア１０３からなる。例えば、ノードＡ（図４）は、ノードＦとの通信に専用の鍵ストア「ストアＡ－Ｆ」を有する。同様に、ノードＦは、「ストアＡ－Ｆ」にある鍵と同一の鍵を保持する対応する鍵ストア「ストアＦ－Ａ」を有する。インデックス同期を通じて、ノードＡ及びＦは、それらの鍵ストアから同一の量子鍵を返す。各ノードにおけるインデックスは、図７において変数「ｃｔｒ」によって表されるセッションカウンタを通じて同期されてよく、変数「ｃｔｒ」は、発信側ノードと応答側ノードとがそれらの鍵ストアから同一の量子鍵を返すように、両方のノード間で交換される。発信側ノード及び応答側ノードが直接的なＱＫＤリンクを有するとき、それらの鍵ストアは、それらの間で形成された量子鍵でポピュレートされることになる。発信側ノード及び応答側ノードが直接的なＱＫＤリンクを有さないケースにおいては、図３に関して上で説明されたように、それらの間で量子鍵を形成するために、それらはＱＫＤネットワーク、及び中間ノードを介したその関連付けられた鍵配信技法を使用することになる。これらの量子鍵は次いで、それらの互いの量子鍵ストアをポピュレートすることができる。

ＱＫＤに加えて、この例における発信側ノード及び応答側ノードはまた、ＣＫＥアルゴリズム、すなわち、リングラーニングウィズエラー（ＲＬＷＥ）、超特異同種写像ディフィーヘルマン（ＳＩＤＨ）、及びディフィーヘルマン（ＤＨ）に従って、３つの鍵を交換する。ＲＬＷＥ、ＳＩＤＨ、及びＤＨは、古典鍵交換プロトコルである。ＲＬＷＥ及びＳＩＤＨは、耐量子であると考えられ、一方、ＤＨは、計算セキュリティを有する。ＲＬＷＥ及びＳＩＤＨの例示的な実装は、オープン量子セーフ（ＯＱＳ：Open Quantum Safe）プロジェクトに含まれている。ＤＨ、ＳＩＤＨ、及びＲＬＷＥは、図６（ａ）、（ｂ）及び（ｃ）に関して上で説明されている。

この例においては、３つの異なる古典鍵交換プロトコルが含まれているが、１から無限数までの任意の他の数の古典プロトコルが統合され得ることが理解されるであろう。例えば、ある方法は、ＲＬＷＥを含み、ＳＩＤＨ及びＤＨを除外することができる。

すべての古典ＫＥは、認証のためにあらかじめ共有された秘密を必要とする。このあらかじめ共有された秘密は、ＱＫＤネットワークの設置の間に同意されてもよいし、又は証明機関の支援を得て公開鍵暗号の使用を通じて取得されてもよい。このあらかじめ共有された秘密は、最終的に導出又は交換される鍵によって完全にされ得る。

ＣＫＥは、それらの秘密鍵をハンドシェークし（handshaking）、計算するための古典メッセージの交換を必要とする。一実施形態において、これらのメッセージ交換によって引き起こされるレイテンシを削減するために、すべての古典ＫＥのメッセージが結合される。「ハイブリッド」プロトコルは、ＲＬＷＥ、ＳＩＤＨ、及びＤＨのためのメッセージ交換から開始する。交換されたメッセージは、ｍ₀、ｍ₁、ｍ₂などと表され、ここで、ｍ₀、ｍ₁、ｍ₂は、メッセージの異なるラウンドを表す。各メッセージは、異なるＣＫＥプロトコルのための情報を含むことができ、例えば、ｍ₀は、Ｋ_RLWE、Ｋ_SIDH、及びＫ_DHのための該当する情報を含むことができる。各ＣＫＥプロトコルは、それ自体の鍵、Ｋ_RLWE、Ｋ_SIDH、Ｋ_DHを、それぞれ、各メッセージから該当する情報を抽出することによって計算し、各ＣＫＥは、互いに独立して実施される。

擬似ランダム関数（ＰＲＦ）は、Ｋ_RLWE及びすべての古典メッセージ、並びにセッションカウンタ「ｃｔｒ」を入力として取り、鍵Ｋ₀を計算する。ＰＲＦは、その入力として任意の長いメッセージを可能にするため、この段階において好適である。発信側及び応答側は、同じメッセージ、及びＲＬＷＥで交換された同じＫ_RLWEを有することに留意されたい。したがって、両方の側におけるＫ₀は、同一であることになる。同様に、次の段階において、Ｋ₁を形成するために、Ｋ₀とＫ_SIDHとが結合され、Ｋ₂を形成するために、Ｋ₁とＫ_DHとが結合される。この例において、鍵を結合するために排他的論理和論理演算が使用される。このケースにおいて、Ｋ_RLWE、Ｋ₀、Ｋ_SIDH、Ｋ₁、Ｋ_DH、及びＫ₂は、同一の長さ、例えば、各々２５６ビットを有する。代替として、ＰＲＦもまた使用され得る。

ＱＫＤ鍵と結合する段階において、ＱＫＤ鍵ストアにおける鍵インデックスを導出するためにセッションカウンタ情報が使用され、対応する鍵が、両方のノードにおけるＱＫＤ鍵ストアから呼び出される。次いで量子鍵Ｋ_QKDが、Ｋ₃を形成するために、ＰＲＦを使用してＫ₂と結合される。ＰＲＦは、複数の鍵の導出を可能にするので、好ましい。そのような鍵のうちの１つが、プロトコル実行の成功の確認のために使用され得る。しかしながら、量子鍵Ｋ_QKDと等しい長さの古典Ｋ₂とを結合するために、排他的論理和演算を使用することもまた可能である。

図７のノードは各々、結合暗号鍵を取得するために、古典鍵とＱＫＤ鍵との結合を実施するように構成されたプロセッサを含むことができる。プロセッサは、中央処理ユニット（ＣＰＵ）、グラフィカル処理ユニット（ＧＰＵ）、又はフィールドプログラマブルゲートアレイ（ＦＰＧＡ）であってよい。

図７ｂは、図７の発信側ノード又は応答側ノードにおける鍵結合プロセスを示すフローチャートである。第１の暗号鍵は、図３に関して説明されたようにＱＫＤによって取得され、こうして取得された鍵は、インデックス付き鍵ストアに記憶され、ここで、鍵ストアにおける各エントリは、ノードの特定のペアのためのＱＫＤ鍵に対応する。量子通信ネットワーク上でＱＫＤを介した鍵交換は、ＣＫＥ鍵に連続してＣＫＥ鍵とは独立して進行し、ＱＫＤ鍵は鍵ストアに記憶される。

ＣＫＥについて、第１のステップは、秘密鍵のハンドシェーク及び計算のためのメッセージの交換である。交換されたメッセージは、ｍ₀、ｍ₁、ｍ₂などと表される。通信レイテンシ削減するために、各メッセージ、例えば、ｍ₀は、異なるＣＫＥプロトコルのためのハンドシェークメッセージを含むことができる。古典メッセージ交換の後で、すべての古典メッセージは、ｍ０｜｜ｍ１｜｜ｍ２のように一緒に連結することによって結合される。結合されたメッセージはカウンタに関する値「ｃｔｒ」をさらに含んでよい。連結されたメッセージは、敵対者が通信メッセージを変更するのを妨げる利点を有するように、ＰＲＦへの入力として後で使用される。敵対者がメッセージを変更した場合、ＣＫＥ鍵は結合されたメッセージに依存するので、発信側及び応答側は、ミスマッチな古典鍵を有することになる。各古典鍵Ｋ_RLWE、Ｋ_SIDH、Ｋ_DHは次いで、個々のメッセージ、ｍ₀、ｍ₁、ｍ₂から導出される。それらの鍵の導出は、独立しており、すべて同時に（並行して）、又は次から次へと（シーケンシャルに）実施され得る。しかしながら、Ｋ₀を導出するためには、Ｋ_RLWEが利用可能でなければならず、Ｋ₁を導出するためには、Ｋ_SIDH及びＫ₀が利用可能でなければならず、Ｋ₂を導出するためには、Ｋ₁及びＫ_DHが利用可能でなければならず、Ｋ₃を導出するためには、Ｋ_QKD及びＫ₂が利用可能でなければならない。したがって、ノードは、必要な鍵が利用可能になるまで古典鍵を記憶するように構成されたバッファ又は一時的なストレージユニット（図示せず）を含んでよい。

Ｋ_QKDは、インデックス情報としてのカウンタを有するＱＫＤ鍵ストアによって提供される。Ｋ_QKDの提供が成功すると、カウンタは、ｃｔｒ：＝ｃｔｒ＋１のように１だけインクリメントされる。インクリメントされたカウンタにより、ＱＫＤ鍵を求める新しい要求が存在するときに、鍵ストアからの異なるＱＫＤ鍵が使用されてよい。

１つの鍵交換セッションの後に、鍵Ｋ₃が取得される。Ｋ₃は、後続の暗号化及び通信のためのセキュアな鍵として使用されてよい。

代替として、鍵確認ステップを含むことが可能である。このケースにおいて、Ｋ₂とＫ_QKDとを結合するＰＲＦは、２つの部分の出力、すなわち、暗号化のためのＫ_encと、発信側及び応答側が同一の鍵を有することを確認するためのＫ_Fと、を生成する。確認が成功した場合、Ｋ_encが、後続の用途のために渡されることになる。そうでない場合、鍵交換プロトコルが再開される。

別の実施形態において、第１の鍵Ｋ_QKDは、１つ又は複数のサブ鍵を備えることができ、例えば、Ｋ_QKDは、

として形成されてもよく、ここで、Ｋ_q1、Ｋ_q2、及びＫ_q3は、各ＱＫＤサブ鍵である。ＱＫＤサブ鍵は、代替として、

関数の代わりに、又はそれと共に、上で説明されたＰＲＦなどの関数を使用して結合されてもよい。各ＱＫＤサブ鍵は、例えば、異なる中継器ノードを通じてルーティングすることによって、又は異なるアルゴリズムを使用することによって、異なるＱＫＤ鍵交換から形成されてもよい。

いくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。実際に、本明細書で説明された新規な方法及び装置は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

Claims (14)

1. 第１のノードと第２のノードとの間で結合暗号鍵を交換する方法であって、
   前記第１のノードと前記第２のノードとが第１の通信ネットワーク及び第２の通信ネットワークを通じて接続され、前記第１の通信ネットワークが量子通信ネットワークを含み、情報が弱い光パルス上で符号化され、前記第１の通信ネットワークが、前記第１のノード及び前記第２のノードとは異なる少なくとも１つの中間ノードを備え、前記少なくとも１つの中間ノードは、弱い光パルス上で符号化された信号を受信して送信するように構成され、前記第２の通信ネットワークが古典ネットワークであり、
   前記第１のノード及び前記第２のノードが、
   前記第１の通信ネットワーク上で１つ又は複数の第１の暗号鍵を交換し、
   古典鍵交換プロトコルを使用して前記第２の通信ネットワーク上で１つ又は複数の第２の暗号鍵を交換し、
   前記第１のノード及び前記第２のノードが前記結合暗号鍵の知識を共有するように、前記１つ又は複数の第１の暗号鍵と前記１つ又は複数の第２の暗号鍵とを結合することによって前記結合暗号鍵を形成する
   ように構成され、
   前記第１のノードは、
   前記少なくとも１つの中間ノードと量子暗号鍵を交換し、
   前記１つ又は複数の第１の暗号鍵を形成するために使用されるローカル秘密鍵を生成し、
   前記ローカル秘密鍵及び前記量子暗号鍵を使用してさらなる鍵を形成し、
   前記さらなる鍵を前記少なくとも１つの中間ノードに送信する
   ように構成される、方法。
2. 前記少なくとも１つの中間ノードは、
   前記さらなる鍵を受信し、
   前記さらなる鍵及び前記交換された量子暗号鍵を使用して前記ローカル秘密鍵を抽出し、
   前記ローカル秘密鍵及び第２の量子暗号鍵を使用して第２のさらなる鍵を形成し、
   前記少なくとも１つの中間ノードのうちの別の中間ノードに、又は前記第２のノードに、前記第２のさらなる鍵を送信する
   ように構成される、請求項１に記載の方法。
3. 前記第２のノードは、
   前記第２のさらなる鍵を受信し、
   前記第２のノードが前記第１のノードによって生成された前記ローカル秘密鍵の知識を有するように、前記第２のさらなる鍵及び前記第２の量子暗号鍵を使用して前記ローカル秘密鍵を抽出する
   ように構成される、請求項２に記載の方法。
4. 前記第２の通信ネットワークは、前記少なくとも１つの中間ノードに依拠することなく、前記第１のノードと前記第２のノードとを接続する前記古典ネットワークであり、前記第２の通信ネットワークは、前記第１のノードと前記第２のノードとの間に通信チャネルを備える、請求項１乃至３のいずれか１項に記載の方法。
5. 前記古典鍵交換プロトコルは耐量子アルゴリズムを使用する、請求項１乃至４のいずれか１項に記載の方法。
6. 前記耐量子アルゴリズムは、格子、多変数、ハッシュ、コード、及び超特異楕円曲線暗号を備える、請求項５に記載の方法。
7. 前記１つ又は複数の第１の暗号鍵及び前記１つ又は複数の第２の暗号鍵は、排他的論理和とユニバーサルハッシングと擬似ランダム関数との少なくとも１つを備える演算を使用して結合される、請求項１乃至６のいずれか１項に記載の方法。
8. 前記１つ又は複数の第１の暗号鍵は、前記１つ又は複数の第２の暗号鍵と等しい長さを有する、請求項７に記載の方法。
9. 前記１つ又は複数の第１の暗号鍵は、前記１つ又は複数の第２の暗号鍵とは異なる長さを有する、請求項７に記載の方法。
10. 前記第１のノード及び前記第２のノードは、前記１つ又は複数の第１の暗号鍵をインデックス付き鍵ストアに記憶するように構成され、前記インデックス付き鍵ストアにおける各エントリは、前記第１のノード及び前記第２のノードの特定のペアに対応する、請求項１乃至９のいずれか１項に記載の方法。
11. 前記第１のノード及び／又は前記第２のノードはカウンタを備え、前記カウンタの値は、前記第１のノード及び前記第２のノードの前記特定のペアに対応する前記１つ又は複数の第１の暗号鍵を選択するために使用される、請求項１０に記載の方法。
12. 前記カウンタは、前記１つ又は複数の第１の暗号鍵が前記結合暗号鍵を形成するために提供された後にインクリメントされる、請求項１１に記載の方法。
13. 第１のノード及び第２のノードを備え、前記第１のノードと前記第２のノードとの間で結合暗号鍵を交換するための通信ネットワークであって、
    前記第１のノードと前記第２のノードとが、第１の通信ネットワーク及び第２の通信ネットワークを通じて接続され、前記第１の通信ネットワークが量子通信ネットワークを含み、情報が弱い光パルス上で符号化され、前記第１の通信ネットワークが、前記第１のノード及び前記第２のノードとは異なる少なくとも１つの中間ノードを備え、前記少なくとも１つの中間ノードは、弱い光パルス上で符号化された信号を受信して送信するように構成され、前記第２の通信ネットワークが古典ネットワークであり、
    前記第１のノード及び前記第２のノードが、
    前記第１の通信ネットワーク上で１つ又は複数の第１の暗号鍵を交換し、
    古典鍵交換プロトコルを使用して前記第２の通信ネットワーク上で１つ又は複数の第２の暗号鍵を交換し、
    前記第１のノード及び前記第２のノードが前記結合暗号鍵の知識を共有するように、前記１つ又は複数の第１の暗号鍵と前記１つ又は複数の第２の暗号鍵とを結合することによって前記結合暗号鍵を形成する
    ように構成され、
    前記第１のノードは、
    前記少なくとも１つの中間ノードと量子暗号鍵を交換し、
    前記１つ又は複数の第１の暗号鍵を形成するために使用されるローカル秘密鍵を生成し、
    前記ローカル秘密鍵及び前記量子暗号鍵を使用してさらなる鍵を形成し、
    前記さらなる鍵を前記少なくとも１つの中間ノードに送信する
    ように構成される、通信ネットワーク。
14. 通信ネットワーク上で第２のノードと結合暗号鍵を交換するように構成された第１のノードであって、
    前記第１のノードが、第１の通信ネットワークを通じて前記第２のノードに接続され、前記第１の通信ネットワークが量子通信ネットワークを含み、情報が弱い光パルス上で符号化され、前記第１の通信ネットワークが、前記第１のノード及び前記第２のノードとは異なる少なくとも１つの中間ノードを備え、前記少なくとも１つの中間ノードは、弱い光パルス上で符号化された信号を受信して送信するように構成され、
    前記第１のノードが、前記少なくとも１つの中間ノードに依拠することなく、古典ネットワークである第２の通信ネットワークを使用して前記第２のノードに接続され、
    前記第１のノード及び前記第２のノードが、
    前記第１の通信ネットワーク上で１つ又は複数の第１の暗号鍵を交換し、
    古典鍵交換プロトコルを使用して前記第２の通信ネットワーク上で１つ又は複数の第２の暗号鍵を交換し、
    前記第１のノード及び前記第２のノードが前記結合暗号鍵の知識を共有するように、前記１つ又は複数の第１の暗号鍵及び前記１つ又は複数の第２の暗号鍵を使用して前記結合暗号鍵を形成する
    ように構成され、
    前記第１のノードは、
    前記少なくとも１つの中間ノードと量子暗号鍵を交換し、
    前記１つ又は複数の第１の暗号鍵を形成するために使用されるローカル秘密鍵を生成し、
    前記ローカル秘密鍵及び前記量子暗号鍵を使用してさらなる鍵を形成し、
    前記さらなる鍵を前記少なくとも１つの中間ノードに送信する
    ように構成される、第１のノード。
    

Images