JP7392065B2 - 量子ネットワークおよび認証方法 - Google Patents

Description

本明細書に記載の実施形態は、量子ネットワークおよび認証方法に関する。

量子鍵配送は、セキュア通信を確実にするためのデータ暗号化のために使用することができる完全にランダムな量子鍵を２つの遠隔のノードにおいて生成するための技術である。ＱＫＤの基本動作原理は、量子状態を符号化および測定し、続いて、認証された古典チャネルを介して２つのノード間で議論が行われることに依拠するものである。

次に、実施形態について以下の図面を参照して説明する。

一実施形態に係るネットワークの概略図である。 信頼ノードと２つのユーザノードとの間で渡されるメッセージを示す概略図である。 信頼ノードと２つのユーザノードとの間で渡されるメッセージを示す概略図である。 ユーザノードの概略図である。 ＱＫＤ送信機の概略図である。 ＱＫＤ受信機の概略図である。 ＰＳＫを要求するときにユーザノードによって行われるステップを示すフローチャートである。 図５Ａのユーザノードの要求に応答するときにさらなるユーザノードによって行われるステップを示すフローチャートである。 一実施形態に係るネットワークの概略図である。 ２つの信頼ノードと２つのユーザノードとの間で渡されるメッセージを示す概略図である。 一実施形態に係る３つのサブネットワークを備える大規模ネットワークの概略図である。 ２つのユーザノード間で共有される鍵が２つの信頼ノードからのＰＳＫを備えるネットワークを示す概略図である。

第１の実施形態では、量子通信ネットワークにおける使用のための方法が提供され、ネットワークは第１のノード、第２のノード、および第３のノードを備え、本方法は第３のノードによって行われ、本方法は、
第１のノードから、第２のノードとの通信を認証するための認証鍵データを求める要求を受信することと、
要求に応答して、
第１の認証鍵データを生成することと、
第１のノードに、第１のノードと第２のノードとの間の通信を認証するための第１の認証鍵データを備える第１のメッセージを送信することと、ここにおいて、第１のメッセージは、第１のノードおよび第３のノード上に記憶された第２の認証鍵データを使用して認証され、第１のメッセージは、量子通信ネットワーク上で第１のノードと交換される第１の暗号鍵を使用して暗号化され、
第２のノードに、第１の認証鍵データを備える第２のメッセージを送信することと、ここにおいて、第２のメッセージは、第２のノードおよび第３のノード上に記憶された第３の認証鍵データを使用して認証され、第２のメッセージは、量子通信ネットワーク上で第２のノードと交換される第２の暗号鍵を使用して暗号化される、
を備えるものである。

上記実施形態は、通信を望む二者が両者とも同じ秘密共有鍵へのアクセスを有する必要がある事前共有鍵（ＰＳＫ）暗号化および認証された通信に関する。これは、セキュリティを確保するために、ＰＳＫの使用を望む二者間でＰＳＫをインストールするセキュアな方法が必要であることを意味する。

量子鍵配送（ＱＫＤ）は、セキュア通信を確実にするためのデータ暗号化のために使用することができる完全にランダムな量子鍵を２つの遠隔のノードにおいて生成するための技術である。ＱＫＤの基本動作原理は、量子状態の符号化および測定に依拠するものである。これは次いで、認証された古典チャネルを介した２つのノード間での議論が続き、これにより盗聴者の存在を検出することが可能となる。議論の部分は、符号化基底と復号基底とが異なる測定を２つのノードが捨てる、ふるい分け（sifting）と呼ばれるプロセスである。

したがって、ＱＫＤの要件は、２人のユーザが互いに認証することができることである。これは、２人が、受信した古典メッセージが相手によって送信されたものであり、送信中に改竄されていないことを間違いなく検証することができることを意味する。換言すれば、これは中間者攻撃を回避する。認証は、公開鍵暗号（例えば、ＲＳＡ）を使用して行うことができるが、これは、量子コンピュータへのそのようなアプローチに欠点があることがわかっているため、好ましい解決手段ではない。代わりに、ＱＫＤシステムは事前共有対称鍵（ＰＳＫ）を使用して互いに認証するほうが一般的である。

ＱＫＤは新生の技術であるので、これまでのＱＫＤシステムの大多数は、単一のポイントツーポイントリンクを介して動作する。よって、リンクをセットアップするときに製造業者によって事前共有鍵マテリアルがインストールされ、これは初期認証のために使用される（メッセージおよびユーザを認証するために事前共有鍵マテリアルを使用するためのアルゴリズムが多数存在する）。認証されたＱＫＤが開始すると、追加のＰＳＫマテリアルがユーザ間に構築され、後続の認証セッションのために記憶され得る。

量子ネットワークは、複数のユーザ間での量子セキュア通信を可能にするために多数のＱＫＤシステムが相互接続される、ＱＫＤ技術にとっての不可欠な次段階である。これは、各ユーザがＱＫＤシステムを所有し、ユーザ間の量子リンクが光スイッチングによって形成される、光スイッチングネットワーク（optically switched network）であってよい。ユーザ間のこれらの量子チャネルは、光ファイバであってよいし、または代替的に、自由空間リンクであってもよく、１０００ｋｍ離れたノード間の衛星を介する可能性さえもある。しかしながら、古典通信チャネルも確実にセキュアにされる必要がある。新たなＱＫＤユーザをネットワーク内に導入するプロセスには、製造業者が他のＱＫＤノードの各々を訪問し、新たなＱＫＤシステムと共有される事前共有対称鍵を手動でインストールする必要があり得る。これは、起こり得る各ＱＫＤシステムのペアリングには別個のＰＳＫがインストールされる必要があり、Ｎ個のノードからなるネットワークに対してはＮ（Ｎ－１）／２個のＰＳＫが必要になるので、スケーラブルでない。

上記方法により、ＱＫＤを使用してユーザノードにＰＳＫをインストールすることが可能になる。ＱＫＤを介してＰＳＫをインストールすることにより、セキュリティが維持されるが、物理的にＰＳＫをインストールしにノードを訪問することによってＰＳＫをインストールする必要が回避される。上述のピアツーピア方法により、ＰＳＫを生成し、ノードにセキュアに配送することが可能になり、２つのノードが互いに認証でき、よって古典チャネルを介して安全に通信することが可能になる。

上述の方法により、ピアツーピア方式での信頼できる第三者を介した認証が可能となる。よって、新たなユーザが光スイッチングＱＫＤネットワークに参加し、信頼できる第三者（すなわち、該ユーザが対称ＰＳＫを共有することによって既に独立して認証し合えているパーティ）として行動するネットワーク上の別のノードのアクションを通して、それまでは信頼していなかったノードと認証することが可能になる。情報理論的セキュリティ（ＩＴＳ）は、認証プロシージャについて、ＰＳＫをＩＴＳ暗号において使用する、またはＩＴＳメッセージ認証コードを（例えば、ウェグマン－カーターの方式で）使用することによって達成することができる。

第３のノードが第１および第２のノードの両方とのＰＳＫをまだ有していないという状況が生じる可能性がある。この状況において、本方法は、
認証鍵データが第２のノードとの通信を認証するために利用可能ではないことを決定することと、
１つまたは複数の信頼ノードに、第２のノードとの通信を認証するための認証鍵データを要求することと、
１つまたは複数の信頼ノードのうちの第４のノードから、第３の認証鍵データを備える第３のメッセージを受信することと、ここにおいて、第３のメッセージは、第３のノードおよび第４のノード上に記憶された第４の認証鍵データを使用して認証され、第３のメッセージは、量子通信ネットワーク上で第４のノードと交換される第３の暗号鍵を使用して暗号化され、
第３の認証鍵データを記憶することと、
をさらに備える。

さらなる実施形態では、要求は、１つまたは複数のサービス品質基準を備え、１つまたは複数の信頼ノードは、１つまたは複数のサービス品質基準に基づいて複数の信頼ノードから選択される。サービス品質基準は、ＰＳＫキーストアのサイズ、ノード間のＱＫＤセキュアビットレート、または製造業者の信頼レベル（例えば、現在の技術段階の所与のＱＫＤは、ＱＫＤを正しく実装する製造業者に依拠するものであり、ネットワークオペレータは、あまり信頼できないベンダと比較して「より信頼できる」ベンダによってノードが作られている場合にノードを選択することを好む場合がある）を備え得る。「レイテンシ」が、リンクを選択するときに古典的通信に関してＱｏＳパラメータであってもよい。

第４のノードが使用された場合、第１のメッセージは、第２のノードのアイデンティティが第４のノードを使用して認証されたことのインジケーションを備え得る。

さらなる実施形態では、量子通信ネットワークにおける使用のための方法が提供され、ネットワークは第１のノード、第２のノード、および１つまたは複数の信頼ノードを備え、本方法は第１のノードによって行われ、本方法は、
１つまたは複数の信頼ノードに、第２のノードとの通信を認証するための認証鍵データを要求することと、
１つまたは複数の信頼ノードのうちの第３のノードから、第２のノードとの通信を認証するための第１の認証鍵データを備える第１のメッセージを受信することと、ここにおいて、第１のメッセージは、第１のノードおよび第３のノード上に記憶された第２の認証鍵データを使用して認証され、第１のメッセージは、量子通信ネットワーク上で第１のノードと第３のノードとの間で交換される第１の暗号鍵を使用して暗号化される、
を備えるものである。

本方法は、１つまたは複数の信頼ノードのうちの第４のノードから、第２のノードとの通信を認証するための第３の認証鍵データを備える第２のメッセージを受信することと、ここにおいて、第２のメッセージは、第１のノードおよび第４のノード上に記憶された第４の認証鍵データを使用して認証され、第２のメッセージは、量子通信ネットワーク上で第１のノードと第４のノードとの間で交換される第２の暗号鍵を使用して暗号化され、
第１の認証鍵データおよび第３の認証鍵データに基づいて、第２のノードとの通信を認証するための第５の認証鍵データを導出することと、
をさらに備え得る。

第５の認証鍵データを導出することは、第１の認証鍵データおよび第３の認証鍵データに対して１つまたは複数のビット演算を行うことを備え得る。１つまたは複数のビット演算はＸＯＲ演算を備え得る。

さらなる実施形態において、第１のノードまたは第２のノードは、第３のノードが危険にさらされたことのインジケーションを受信することと、
第１の認証鍵データおよび／または第１の認証鍵データから導出された認証鍵データを無効にすることと、
を行うように構成される。

例えば、一実施形態では、ネットワーク内のノード「第１のノード」が、別のノード「第２のノード」が危険にさらされたことに気付いた場合、第２のノードが危険にさらされた旨のメッセージを第１のノードによって信頼されているすべてのノードに送ることができる。このメッセージは、ＰＳＫを使用して／使用されるときにＰＳＫを補充するＱＫＤで認証される（すなわち、有効な信頼できるソースから到来したものであると証明するために認証される）。「もう第２のノードを信頼しないこと」というメッセージを受信したノードは、次いで、有している第２のノードとのＰＳＫマテリアルを削除するべきである。

さらなる実施形態では、第１のノードは公に「第２のノードを信頼しないこと」とポストする。しかしながら、認証がないと、ネットワークは、悪意のあるパーティが１つまたは複数のノードを信頼するべきではないとポストすることによって危険にさらされる可能性がある。

一実施形態では、第１のメッセージは、１つまたは複数の信頼ノードのうちの第３のノードが、１つまたは複数の信頼ノード以外の第５のノードを使用して第２のノードのアイデンティティを認証したことのインジケーションを備える。これにより、ノードが、ＰＳＫを提供する際に使用されたノードをわかっていることが可能となる。

さらなる実施形態において、第１のノードまたは第２のノードは、第５のノードが危険にさらされたことのインジケーションを受信することと、
第１の認証鍵データおよび／または第１の認証鍵データから導出された認証鍵データを無効にすることと、
を行うように構成される。

さらなる実施形態では、１つまたは複数の信頼ノードに、第１のノードと第２のノードとの間の通信を認証するための認証鍵データを要求することは、
１つまたは複数の信頼ノードの第１のサブセットに、第１のノードと第２のノードとの間の通信を認証するための認証鍵データを要求することと、
１つまたは複数の信頼ノードの第１のサブセットが認証鍵データを提供することができないことを推測することと、
推測に応答して、１つまたは複数の信頼ノードの第２のサブセットに、第１のノードと第２のノードとの間の通信を認証するための認証鍵データを要求することと、
を備え、
１つまたは複数の信頼ノードの第１のサブセットは、第１の基準を満たすノードであり、１つまたは複数の信頼ノードの第２のサブセットは、第３のノードを備える。

例えば、第１の基準は、第１のサブセットにおけるノードが、１つまたは複数の信頼ノードの第２のサブセットよりも第１のノードに地理的に近いかどうかを示してよく、ここにおいて、１つまたは複数の信頼ノードの第２のサブセットは第３のノードを備える。基準の例としては他に、レイテンシ要件またはさらなるサービス品質パラメータがあり得る。

さらなる実施形態では、１つまたは複数の信頼ノードに、第１のノードと第２のノードとの間の通信を認証するための認証鍵データを要求することは、
１つまたは複数の信頼ノードのいずれかが第２のノードと通信するための認証鍵データを記憶しているかどうかを決定するために１つまたは複数の信頼ノードにクエリすることと、
１つまたは複数の信頼ノードのいずれも第２のノードと通信するための認証鍵データを記憶していないことを推測することと、
１つまたは複数の信頼ノードのいずれかが第２のノードと通信するための認証鍵データを記憶する別のノードのための認証鍵データを記憶しているかどうかを決定するために１つまたは複数の信頼ノードにクエリすることと、
を備える。

さらなる実施形態では、第１のノード、第２のノード、および１つまたは複数の信頼ノードを備える量子通信ネットワークにおける使用のための第１のノードが提供され、本第１のノードは、
１つまたは複数の信頼ノードに、第２のノードとの通信を認証するための認証鍵データを要求することと、
１つまたは複数の信頼ノードのうちの第３のノードから、第２のノードとの通信を認証するための第１の認証鍵データを備える第１のメッセージを受信することと、ここにおいて、第１のメッセージは、第１のノードおよび第３のノード上に記憶された第２の認証鍵データを使用して認証され、第１のメッセージは、量子通信ネットワーク上で第３のノードと交換される第１の暗号鍵を使用して暗号化される、
を行うように構成される。

一実施形態では、ユーザノードは、量子鍵配送ユニットを備え、量子鍵配送ユニットは、
エンコーダと、該エンコーダは、光の上に情報を符号化するように構成され、情報は、別のノードに送信するために１つの状態を複数の状態からランダムに選択することによって符号化され、光は、平均して１光子未満を含むパルスで該エンコーダを出て、
デコーダと、該デコーダは、平均して１光子未満を含む光パルスを受信し、該光パルスを測定することによって該光パルスからの情報を復号するように構成され、情報を符号化するために使用された状態の測定を可能にするために、測定のための測定基底が測定基底のセットからランダムに選択される、
のうちの少なくとも１つを備え、
量子鍵配送ユニットは、ユーザノードが符号化または復号のために使用した基底を、復号または符号化のために該別のノードによって使用された基底と比較することを可能にするように構成されたふるい分けユニットをさらに備え、量子鍵配送ユニットは、符号化基底と復号測定基底とが一致しなかったパルスからの情報を破棄するように構成される。

ＱＫＤユニットは、誤り訂正および秘匿性増強などのさらなるステップを行うように構成されてもよい。

ノードにはエンコーダまたはデコーダが設けられてよく、デコーダまたはエンコーダを有する他のユーザノードとの通信が可能になる。さらなる実施形態では、ノードには、デコーダとエンコーダの両方が設けられてよく、エンコーダのみを有するまたはデコーダのみを有するノードとのＱＫＤを行うことができるようになっている。エンコーダ／デコーダは、偏光または位相を使用してＱＫＤを行うように構成され得る。

さらなる実施形態では、第１のノードはさらに、
１つまたは複数の信頼ノードのうちの第４のノードから、１つまたは複数の信頼ノード以外の第５のノードが通信の開始を望んでいることのインジケーションを受信することと、
第４のノードから、第５のノードとの通信を認証するための第２の認証鍵データを備える第２のメッセージを受信することと、ここにおいて、第２のメッセージは、第１のノードおよび第４のノード上に記憶された第３の認証鍵データを使用して認証され、第２のメッセージは、量子通信ネットワーク上で第４のノードと交換される第２の暗号鍵を使用して暗号化される、
を行うように構成される。

本第１のノードは、さらに、
１つまたは複数の信頼ノードのうちの第６のノードから、第５のノードとの通信を認証するための第４の認証鍵データを備える第３のメッセージを受信することと、ここにおいて、第３のメッセージは、第１のノードおよび第６のノード上に記憶された第５の認証鍵データを使用して認証され、第３のメッセージは、量子通信ネットワーク上で第６のノードと交換される第３の暗号鍵を使用して暗号化され、
記憶された第２の認証鍵データおよび第４の認証鍵データに基づいて、第６のノードとの通信を認証するための第６の認証鍵データを導出することと、
を行うように構成され得る。

本第１のノードは、さらに、
１つまたは複数の信頼ノードのうちの第７のノードから、１つまたは複数の信頼ノードのうちの第７のノードと第８のノードとの間の通信を認証するための認証鍵データを求める要求を受信することと、
第７のノードに、第７のノードと第８のノードとの間の通信を認証するための第７の認証鍵データを備える第４のメッセージを送信することと、ここにおいて、第４のメッセージは、第１のノードおよび第７のノード上に記憶された第８の認証鍵データを使用して認証され、第１のメッセージは、量子通信ネットワーク上で第７のノードと交換される第４の暗号鍵を使用して暗号化され、
第８のノードに、第７の認証鍵データを備える第５のメッセージを送信することと、ここにおいて、第５のメッセージは、第１のノードおよび第８のノード上に記憶された第９の認証鍵データを使用して認証され、第５のメッセージは、量子通信ネットワーク上で第８のノードと交換される第５の暗号鍵を使用して暗号化される、
を行うように構成され得る。

本第１のノードは、さらに、
認証鍵データが第８のノードとの通信を認証するために利用可能ではないことを決定することと、
１つまたは複数の信頼ノードに、第８のノードとの通信を認証するための認証鍵データを要求することと、
１つまたは複数の信頼ノードのうちの第９のノードから、第９の認証鍵データを備える第６のメッセージを受信することと、ここにおいて、第６のメッセージは、第１のノードおよび第９のノード上に記憶された第１０の認証鍵データを使用して認証され、第６のメッセージは、量子通信ネットワーク上で第９のノードと交換される第６の暗号鍵を使用して暗号化され、
第９の認証鍵データを記憶することと、
を行うように構成され得る。第５のメッセージは、第８のノードのアイデンティティが第９のノードを使用して認証されたことのインジケーションを備え得る。

さらなる実施形態では、上記ノードを備える量子通信ネットワークが提供される。

一実施形態では、ＱＫＤネットワークのための認証システムが非集中型ピアツーピア認証に基づいて提供され、ここで、ＱＫＤユーザノードは、乱数を生成する信頼できる第三者として行動することができ、この乱数は、ＱＫＤセキュアリンクを介して該ノードが既に認証し合っているユーザに送信され、該ユーザは認証のための事前共有鍵（ＰＳＫ）として使用する。

一実施形態では、スケーラブルな情報理論的セキュア通信ネットワークがピアツーピア認証のためのＰＳＫおよびデータ暗号化のために使用する鍵を増加させるためのＱＫＤを使用して提供され、ここで、ユーザ間ＱＫＤのための最初のＰＳＫは信頼できる第三者を通して取得される。

一実施形態では、光スイッチングピアツーピアＱＫＤネットワークが、ネットワーク上の別のユーザである信頼できる第三者とのネットワーク通信を通して提供される認証を用いて提供される。ネットワーク機能性および光スイッチングは、ソフトウェアによって、例えば、ソフトウェア定義ネットワーキング（ＳＤＮ）を使用して制御され得る。

一実施形態では、介在する信頼できる第三者に基づいて、２人のユーザ間でのＱＫＤ認証のための信頼できる第三者の所在を特定するためのシステムが提供される。

一実施形態では、少なくとも２人の信頼できる第三者から２人のユーザ間のＰＳＫを取得することによって認証を行う量子ネットワークが提供され、これにより、初めは信頼されていないユーザ間で使用されるＰＳＫ認証鍵が、２つの独立したＰＳＫ鍵に対してＸＯＲ演算を行うことによって取得され、危険にさらされる脅威を軽減する。

一実施形態では、２つのユーザノード間での認証量子通信を可能にする認証システムが提供され、ここで、ユーザノードは、異なるベンダからのハードウェアを有しており、初期認証のためにベンダに依拠しない。

図１は、一実施形態に係る量子ネットワークの概略図であり、該ネットワークは、第１のノード１（「アリス」という）と、第２のノード３（「ボブ」という）と、第３のノード５（「チャーリー」という）と、第４のノード７（「デイビッド」という）とを備える。

アリス１、ボブ３、チャーリー５、およびデイビッド７であるノードの詳細については後述する。アリス１とボブ３はスイッチ９を介して互いに接続される。スイッチ９は、アリス１がボブ３または第２のスイッチ１１のいずれかと選択的に通信することができるように構成される。第２のスイッチ１１は、チャーリー５およびデイビッド７に接続され、チャーリー５とデイビッド７が直接互いに通信することが可能になる。第１のスイッチ９および第２のスイッチ１１があることで、アリスまたはボブがチャーリー５またはデイビッド７のいずれかと選択的に通信することが可能になる。

図１の例では、アリス１、ボブ３、チャーリー５、およびデイビッド７の４つのノードと、第１のスイッチ９と、第２のスイッチ１１とは光ケーブルによってリンクされている。しかしながら、接続の１つまたは複数が自由空間によって提供されてもよい。また、この例では、最も簡単化した形態で概念を説明するために４つのノードと２つのスイッチが示されている。しかしながら、システムは、より多数またはより少数のノードおよび異なる数のスイッチを組み込むように構成されてよい。

スイッチ９および１１は、ノード１、３、５、および７間に直接的な光接続をもたらす。一実施形態では、各光スイッチは、能動的な再構成可能スイッチ（例えば、ＭＥＭＳベースまたは液晶ベースのマトリクススイッチ）であってよいし、または代替的に、受動的な波長スイッチング／ルーティングを用いてもよい。またすべてのパーティが光ファイバによって完全にかつ独立して接続され、密な閉じたメッシュネットワークを形成することも可能である。さらに別のネットワーク設計では、ユーザノード間の光リンクを再構成するために光スイッチがユーザノードの各々に含まれていてもよい（例えば、米国特許出願公開第２０１９／０３７９４６３Ａ１号）。

一実施形態では、ネットワーク管理（例えば、リンクを再構成するように光スイッチにシグナリングすること）は、ノード間を移動する信号によって占有されるものと同じチャネルを使用して行われてよいし、または代替的に、別個の公衆通信チャネル（例えば、古典インターネット）を使用して行われてもよい。これは、従来のネットワークと同様にソフトウェア定義ネットワーキング（ＳＤＮ）を用いる新たなネットワークアーキテクチャと共存できる。「チャネル」が論理チャネルを意味するために使われ、量子または古典のいずれでもデータ信号が、互いと同じ、そして制御信号とも同じ物理チャネル上で送信されることが可能であることに留意されたい。

図１の配置構成を考える前に、量子通信の概要について説明する。

ここで偏光を使用する基本的な量子通信プロトコルについて説明する。しかしながら、これは限定を意味するものではなく、例えば、位相またはエネルギー／時間などの他のプロトコルを使用してもよいことに留意されたい。また、特定の偏光プロトコルについて説明するが、他の偏光ベースのプロトコルを使用してもよい。

プロトコルは２つの基底を使用し、ここにおいて、各基底は２つの直交状態によって表される。この例の場合、水平／垂直（Ｈ／Ｖ）および対角／反対角（Ｄ／Ａ）の基底である。しかしながら、左円偏光／右円偏光（Ｌ／Ｒ）基底を選択してもよい。

プロトコルにおける送信者が、Ｈ、Ｖ、Ｄ、またはＡ偏光のうちの１つを有する状態を準備する。換言すれば、準備された状態は、２つの基底Ｈ／ＶおよびＤ／Ａのうちの一方における２つの直交状態（ＨとＶまたはＤとＡ）から選択される。２つの基底のうちの一方で０および１の信号を送信する、例えば、Ｈ／Ｖ基底ではＨ＝０、Ｖ＝１の信号を、Ｄ／Ａ基底ではＤ＝０、Ａ＝１の信号を送信すると考えることができる。パルスは、平均して１光子以下を備えるように減衰される。よって、パルスに対して測定が行われた場合、パルスは破壊される。またパルスを分離させることも不可能である。

受信者は、Ｈ／Ｖ基底またはＤ／Ａ基底から選択されたパルスの偏光に対して測定基底を使用する。測定基底の選択は、能動的または受動的であり得る。受動的選択では、基底は、ビームスプリッタなどの固定部品を使用して選択される。「能動的」基底選択では、受信者は、例えば、電気制御信号を用いる変調器を使用して、どの基底で測定すべきかの判定を行う。受信者においてパルスの測定のために使用された基底が、パルスの符号化に使用された基底と同じである場合、受信者のパルスの測定は正確である。しかしながら、受信者がパルスの測定に他方の基底を選択した場合、受信者によって測定された結果に５０％誤りがあることになる。

鍵を確立するために、送信者および受信者は、符号化および測定（復号）に使用された基底を比較する。一致した場合、結果は保たれ、一致しなかった場合、結果は破棄される。上記方法は非常にセキュアである。盗聴者がパルスを傍受し測定した場合、盗聴者は、受信者に送信するための別のパルスを準備する必要がある。しかしながら、盗聴者は、正しい測定基底がわからず、そのため、パルスの正しい測定の可能性は５０％しかない。盗聴者によって再作成されたパルスがあると、盗聴者の存在を証明するために使用することができる、受信者に対する誤り率が大きくなる。送信者および受信者は、誤り率、ひいては盗聴者の存在を決定するために鍵の小部分を比較する。

上記は偏光に関連付けて説明したが、これは例示である。位相、またはエネルギー／時間などの他の方式に基づく他のＱＫＤプロトコルを使用してよい。

上記ＱＫＤでは、平均して１光子以下を含むパルスの通信のために使用される「量子チャネル」と、基底の議論（「ふるい分け」）およびその後に続く後処理（「誤り訂正」および「秘匿性増強」）のために使用される古典チャネルの２つのチャネルが必要となる。また、鍵が量子チャネル上に一旦確立されたら、古典チャネルをさらなる通信のために使用することができる。ここで「チャネル」という語は論理チャネルであり、物理的に別個のチャネルである必要はない。量子チャネルおよび古典チャネルは同じ物理的なファイバを共有することが可能である。

しかしながら、ふるい分けおよび後処理プロセスのために、古典チャネルも認証される必要がある。これは、アリスとボブとの間で通信された古典メッセージが相手によって送信されたものであり、送信中に改竄されていないことを間違いなく検証することができることを意味する。換言すれば、これは中間者攻撃を回避する。認証は、公開鍵暗号（例えば、ＲＳＡ）を使用して行うことができる。しかしながら、一実施形態では、アリスとボブは、事前共有対称鍵（ＰＳＫ）を使用して互いに認証する。

完全を期すために、二者が秘密鍵を共有する場合、多くの異なる方法を使用して互いに認証することができることに留意されたい。１つの方法にはメッセージ認証コード（ＭＡＣ）の使用を伴う。ここで、送信者（例えば、アリス）と受信者（例えば、ボブ）は鍵（ＰＳＫ）を共有する。

次いでアリスは、既知のＭＡＣアルゴリズムにメッセージとＰＳＫを入力することによってＭＡＣを生成する。そして、生成されたＭＡＣおよびメッセージがボブに送信される。次いでボブは、既知のＭＡＣアルゴリズムにメッセージと自分のＰＳＫを入力し、その出力をアリスによって送信されたＭＡＣと比較する。それらが一致すれば、ボブは、受信したメッセージおよびＭＡＣコードがアリスによって送信されたものであることがわかる。アリスは、ボブに異なるメッセージを使用し、新たに生成されたＭＡＣおよびメッセージをアリスに送り返すプロセスを繰り返すように求めることによってボブを認証することができる。次いでアリスは、新たなメッセージを自分の鍵と共に自分のアルゴリズムに入力し、自分の新たに生成されたＭＡＣコードがボブによって送信されたものと一致するかを確かめることができる。

しかしながら、アリスと別のノードとがまだＰＳＫを共有していない、または共有しているＰＳＫが危険にさらされたことがわかったという状況が生じる可能性がある。

図２Ａおよび図２Ｂは、一実施形態に係る、アリス１とボブ３がセキュアなＰＳＫを取得することを可能にする方法を示す。不要な繰り返しを避けるために、同様の参照番号を使用して同様の特徴を示す。

アリス１が既にボブ３およびチャーリー５を信頼している、すなわち、アリスがボブ３およびチャーリー５の両者とＰＳＫを共有している状況を考える。これは製造中にインストールされていてよいし、または代替的に、ＰＳＫは現場を移動する信頼できるクーリエ（courier）によって手動でインストールされていてもよい。ここで、アリス１は、別のネットワークユーザであるデイビッド７との通信を望むが、アリス１とデイビッド７とはＰＳＫを共有しておらず、そのため、ＱＫＤをセキュアに行うための認証ができない。しかしながら、チャーリーはデイビッドを（例えば、以前の認証または手動でインストールされたＰＳＫに起因して）既に信頼している。

本方法では、ステップＳ１０１において、アリス１は自分が信頼している（すなわち、彼女がＰＳＫを共有しており認証し合うことができる）すべてのローカルユーザにメッセージをブロードキャストし、「誰がデイビッド７を信頼しているか？」を尋ねる。ボブ３は、このメッセージを受信し、自分のＰＳＫのデータベースをチェックする。ボブはデイビッド７とのＰＳＫを有していないので、さらにアクションをとることはしない。チャーリー５は、このメッセージを受信し、自分のＰＳＫのデータベースをチェックする。チャーリーは、デイビッド７とのＰＳＫを有しているので、ステップＳ１０３において、アリス１に返信し、自分がこのトランザクションのための信頼できる第三者として行動することを確定する。

そしてチャーリーは、アリスとデイビッドとの間のＰＳＫ（Ｋ_ＡＤ）として使用されることになる乱数を（例えば、内部ＱＲＮＧを使用して）取得する。乱数は、アリス１から要求を受信したことに応答して、例えばＱＲＮＧを使用して生成されてよい。他の実施形態では、チャーリーは、乱数を予め記憶していてもよいし、または外部ソースからセキュアに乱数を取得することができてもよい。

チャーリー５は、アリス１と共有しているＰＳＫを既に有しており、これは次いで、アリス１とチャーリーが互いに認証し合い、ＱＫＤセッションを開始することを可能にするために使用される。

次いでチャーリー５は、既知のＱＫＤプロトコル、例えば上述の基本ＱＫＤプロトコルを使用してＱＫＤ鍵を生成するために自分とアリス１との間のＱＫＤリンクを使用する。次いで、ふるい分けプロセスの部分として古典チャネルを介した通信がアリス１とチャーリー５によって行われ、ここで、アリス１とチャーリーとの間の古典的通信がアリスとチャーリーとの間のＰＳＫ（Ｋ_ＡＣ）を使用して認証される。ＱＫＤ鍵がアリス１とチャーリー５との間に確立されると、これは次いで、ステップＳ１０３においてアリスに送信するＫ_ＡＤを暗号化するために使用される。

ステップＳ１０５において、第２のスイッチ１１は、チャーリー５とデイビッド７とを接続する。チャーリー５とデイビッド７は、以前に製造業者によってインストールされた、またはその他の方法でセキュアに共有された自分たちの事前共有ＰＳＫ（Ｋ_ＣＤ）を使用して認証する。次いで、チャーリー５とデイビッド７は、ＱＫＤを行い、チャーリー５とデイビッド７との間にＱＫＤ鍵を確立する。ふるい分けプロセスは、Ｋ_ＣＤを使用してチャーリー５とデイビッド７との間の認証された古典チャネルを使用して行われる。ＱＫＤが行われ、ＱＫＤ鍵がチャーリー５とデイビッド７との間に確立されると、次いでＰＳＫ鍵（Ｋ_ＡＤ）が量子鍵を使用して暗号化され、デイビッド７に送信される。

こうしてアリス１とデイビッド７とは対称ランダム鍵（Ｋ_ＡＤ）を共有する。最後に、ステップＳ１０７において、第１のスイッチ９および第２のスイッチ１１は、光リンクを介してアリスとデイビッド７とを接続する。アリス１とデイビッド７は、これからＫ_ＡＤを使用して、認証し、ＱＫＤを行い、セキュアに通信するようになる。

アリス１とデイビッド７とは、今やＰＳＫ（Ｋ_ＡＤ）を共有しており、認証し、ＱＫＤを開始することができ、データ暗号化、ひいては量子セキュア通信のために使用されるＱＫＤ鍵を生成することが可能となる。

今やアリス１とデイビッド７は互いに信頼しているので、他のユーザが彼らのどちらかとの認証を望む場合に、将来のトランザクションのための信頼できる第三者として行動することができる。こうして、この実施形態により、少数の信頼関係から始まり、信頼が指数関数的に増加していくことが可能となる。これによりユーザを認証するための「量子的信頼の輪（quantum web of trust）」がつくられ、これは、公開鍵とその所有者との間に真正性を確立するための古典暗号で使用される「信頼の輪」の概念と類似している（ＰＧＰを参照）。実際上、このアプローチは、大規模な完全メッシュネットワークを、手動でインストールされた少数の事前共有鍵から任意のユーザ間での認証に伴って増大させるので、量子ネットワークにとって大きい利点である。

上記実施形態では、すべての通信は、光スイッチングネットワーク内の光リンク上のユーザ間でのものであり、ＰＳＫおよびＱＫＤ鍵を使用して認証／暗号化され得る。古典通信メッセージ（例えば、誰が信頼できる第三者となるかを特定するための最初の議論）は、量子信号と多重化されてよく、よって、ネットワークは、光スイッチ間に単一の短信ファイバまたは複信ファイバ接続を備える。代替的には、量子信号と古典的信号のための別個のファイバを有する複数ファイバがユーザを接続してもよい。

さらに別の実施形態では、古典メッセージは、公衆インターネットを介して送信され、光スイッチングネットワーク内のユーザ間の量子リンク上で生成されるＱＫＤ鍵を使用することによりセキュアに保たれる／認証される。これにより、高帯域幅の古典ネットワークリンクが利用可能な場合、光スイッチングネットワーク上で必要な伝送量が低減される。

一実施形態では、ＰＳＫ（Ｋ_ＡＣ、Ｋ_ＡＤ、およびＫ_ＣＤ）は１回だけ使用される。例えば、ウェグマン－カーター方式のメッセージ認証コードを使用するＩＴＳセキュリティの場合、ＰＳＫは１回のみ使用されるべきである。そのため、一実施形態では、２人のユーザが認証し、ＱＫＤを実行し始めたら、彼らの間の以前のＰＳＫを破棄する。そして彼らは、新しく生成された量子鍵の一部を、将来の認証セッションのための準備ができている状態で「ＰＳＫキーストア」に保持しておくことができる。よって、認証されたら、ユーザは、第３のノードからＰＳＫを取得する必要なくＱＫＤを使用してセキュアに通信することができる。換言すれば、ＱＫＤが使用されて鍵を確立するとき、鍵の一部は、送信されるメッセージを暗号化するために使用され、鍵の一部は、次回のＱＫＤを行うための認証鍵となるように保持される。

図３は、例えば、アリス１、ボブ３、チャーリー５、およびデイビッド７であるノードのうちの１つのノードの構成要素を詳細に示す。

まず図３のノードをみると、ノード３０１は、量子鍵を生成するためのＱＫＤハードウェア３０３を備える。ＱＫＤハードウェアは、量子送信機および量子受信機を備えることができる。

可能な送信機の一例が図４Ａに１０１として示される。送信機は、偏光符号化光子を放出することが可能な任意のタイプの量子送信機とすることができる。この特定の例では、送信機１０１は、水平に偏光された光を各々が放出する４つのレーザ１０５、１０７、１０９、および１１１を備える。レーザ１０５からの出力は、偏光合成光学素子１３９に向けて供給される。レーザ１０７からの出力は、水平に偏光された光を対角に偏光された光に変換するように構成された半波長板を介して偏光合成光学素子１３９に向けて供給される。レーザ１０９からの出力は、水平に偏光された光を垂直に偏光された光に変換するように構成された半波長板を介して偏光合成光学素子１３９に向けて供給される。レーザ１１１からの出力は、水平に偏光された光を反対角に偏光された光に変換するように構成された半波長板を介して偏光合成光学素子１３９に向けて供給される。

偏光合成光学素子は、異なる偏光を、ランダムに異なった偏光を有するパルスの流れへと合成することを可能にする。これは、多くの異なる方法で達成することができる。例えば、レーザはパルスレーザであってよく、パルスをランダムに出力するようにレーザ１０５、１０７、１０９、および１１１からレーザをランダムに選択するためにコントローラ（図示せず）が設けられ、それにより一度に１つのパルスが偏光合成光学素子に到達するようになる。他の実施形態では、偏光合成光学素子またはさらなる構成部品は、１つのレーザからの出力をランダムに選択して、または３つのレーザからの出力をランダムに選択的にブロックして、パルス出力ストリームを与えるように構成されてよい。パルスはパルスレーザによって生成されてよいし、または出力をパルスへと刻む（chop）ためのさらなる構成部品と共にｃｗレーザが使用されてもよい。

そして減衰器（図示せず）がパルスの出力を減衰させるために使用され、それにより、パルスは平均して１光子未満を含むようになる。代替的に、レーザ１０５、１０７、１０９、および１１１の代わりに単一光子エミッタを使用することができる。

簡単化した形態の受信機が図４Ｂに示されている。受信機は、到来パルスを第１の測定チャネル２０７または第２の測定チャネル２０９のいずれかに沿って方向付ける５０：５０ビームスプリッタ２０５を備える。パルスは平均して１光子未満を含むので、５０：５０ビームスプリッタ２０５は、パルスをランダムに第１の測定チャネルまたは第２の測定チャネルの一方に沿って方向付ける。これにより、測定基底の選択の結果は、Ｘ（Ｄ／Ａ）基底またはＺ（Ｈ／Ｖ）基底となる。非偏光ビームスプリッタ２０５は、２つの基底のうちの一方のランダムな選択が可能となるように機能する。

第１の測定チャネルは、Ｄ／Ａ基底に対応するＸ基底のためのものである。ここで、２つの検出分岐、すなわち２つの測定基底ＸおよびＺを与える２つの検出分岐間で２２．５度だけ偏光を回転させるために、半波長板２１１が設けられる。次いで、半波長板２１１の出力は、偏光ビームスプリッタ２１３に向けて方向付けられる。偏光ビームスプリッタ２１３は、反対角偏光を有するパルスを反対角検出器２１５に向けて方向付け、対角偏光を有するパルスを対角検出器２１７に向けて方向付ける。検出器２１５および２１７は、例えばアバランシェフォトダイオードなどの、単一光子検出器である。

第２の測定チャネルに沿って方向付けられたパルスは、水平であるのか垂直であるのかを決定するためにＺ基底で測定される。ここで、第２の測定チャネル内に方向付けられたパルスは偏光ビームスプリッタ２１９に向けて方向付けられ、偏光ビームスプリッタ２１９は、垂直に偏光されたパルスを検出器２２１に向けて方向付け、水平に偏光されたパルスを検出器２２３に向けて方向付ける。ここでもまた、検出器２２１および２２３は、単一光子検出器である。

Ｄ／Ａ基底で偏光された光子が受信され、これがランダムに送信されて第２の測定チャネル２０９に沿ってＺ基底で測定された場合、検出器２２１、２２３の一方がカウントを登録する可能性が高い。しかしながら、この結果は、偏光ビームスプリッタ２１９において受信された光子が、垂直検出器または水平検出器のいずれかに向けて方向付けられる可能性が五分五分であるので信用できない。

一実施形態では、ノード３０１内のＱＫＤハードウェア３０３は、ノードがＱＫＤプロセス中に送信機として働くか受信機として働くかに依存する送信機および受信機の両方を備える。しかしながら、受信機を有するノードとのみＱＫＤを行う場合はノードが送信機のみを含むことが可能であり、同様に、送信機を有するノードとのみＱＫＤを行う場合、ノードは受信機のみを含んでよい。

この実施形態では、ＱＫＤハードウェアに加えて、ユーザノード３０１は、量子乱数生成器３０４を備え、これは、測定／符号化基底を制御し、またチャーリー５に関連して図２および図３と関連させて説明した２つの信頼ノードと共有するためのＰＳＫを生成するために使用され得る。

ノード３０１はまた、鍵管理システム３０５も有する。鍵管理システムは、鍵の交換と記憶を管理する。図３Ａの例では、鍵管理システム３０５は、通信を暗号化するために使用されることになるＱＫＤを介して確立された鍵を記憶するＱＫＤストア３０７と、認証のために使用することができ、ユーザが他のネットワークユーザと共有しているＰＳＫを保存するために割り振られるＰＳＫストレージ３０９とを備える。これらのＰＳＫは、使用前にノードに予め記憶されていてよいものもあるし、信頼ノードから受信され得る（量子鍵により暗号化される）ものもあり、他のＰＳＫは、ＱＫＤを使用して生成された鍵の保持しておいた部分であってもよい。

ノード３０１はまた、鍵消費暗号器３１１も備える。データ暗号器は、データ通信を（例えば、ワンタイムパッドまたはＡＥＳなどの代替の暗号を使用して）暗号化／復号するためにＱＫＤ鍵を使用する。

ノードはまた、認証中に使用される認証エージェント３１０も備え得る。これは、スタンドアロン構成要素であってよいし、またはユーザノード３０１のいずれかの他の構成要素の部分、例えば、鍵消費データ暗号器であってよい。

図５Ａおよび図５Ｂは、それぞれ、一実施形態に係る、ＰＳＫを有していないノードと通信したいと望むときにユーザノードによって行われる動作と、信頼できる第三者のノードによって行われるステップとを要約したフローチャートである。

ユーザノード、例えばアリスが、図５Ａの方法のステップを行う。ステップＳ３５１において、アリスは、アリスによって信頼されている（すなわち、アリスがＰＳＫを共有している）すべてのノードにメッセージをブロードキャストし、新たなノード（デイビッド）との認証を要求するために、それらのうちのいずれかがターゲットノードを信頼しているかを確かめる。

ステップＳ３５３において、アリスは、少なくとも１つの信頼ノードから、デイビッドを信頼していることを確定するメッセージを受信する。ステップＳ３５４において、１つより多くの信頼ノードが、ターゲットノードであるデイビッドを信頼していると示した場合、アリスは、ステップＳ３５４において、どの信頼ノードを使用すべきかを選択する。例えば、選択は、応答した最初のノードに基づいてもよいし、または先述した上記ＱｏＳ基準などの選択基準が適用されてもよい。

次いでアリスは、選択されたノードと認証する必要がある。上述の例を使用して、認証は、メッセージおよびＰＳＫ（選択された信頼ノードとアリスとの間で事前共有されている）を入力することによって生成されるＭＡＣコードを使用して行われる。ステップＳ３５５において、アリスは、認証ＭＡＣを生成し、上述の対応するメッセージと共に、選択された信頼ノード（以下、チャーリーという）に送信する。

独立して、ステップＳ３５６において、アリスはチャーリーからメッセージと共に認証ＭＡＣを受信する。このフローチャートでは、ステップＳ３５６はステップＳ３５５の後に示されている。しかしながら、これらのステップは、逆の順序で行われてもよいし、または同時に行われてもよい。場合によっては、ステップのうちの１つまたは複数が、ステップＳ３５１においてメッセージを送信する前に行われてもよい。

アリスがチャーリーを信頼するかどうかを決定するために、ステップＳ３５７において、アリスは、ステップＳ３５６において受信したメッセージおよび自分のＰＳＫ鍵を事前同意アルゴリズムに入力して自分の新たに生成されたＭＡＣコードが該ＭＡＣコードと一致するかを確かめることによって、該メッセージを認証する。これは認証エージェント３１０において行うことができる。

認証が行われ、アリスがチャーリーを信頼することができると分かったら（中間者攻撃がないことが確実になる）、アリスとチャーリーは上述のようにＱＫＤを行う。この例では、アリスがＱＫＤ信号（すなわち、符号化された光パルス）を受信し、パルスがチャーリーから生成されるものとする。しかしながら逆の状況も起こり得る。

次いで、ステップＳ３６１において、アリスは自分の測定基底を変えることによってＱＫＤ信号を復号する。この実施形態では、厳密に必要とされるよりも長い鍵がＱＫＤプロトコルから抽出される。より長い鍵の部分はＱＫＤ鍵として使用され、共有鍵の別の部分はアリスとチャーリーのための新たなＰＳＫとして保存されることになる。

アリスとチャーリーがＱＫＤ鍵を共有したら、次いでアリスは、ステップＳ３６３において、ＱＫＤ鍵によって暗号化された鍵を受信する。ＱＫＤ鍵によって暗号化されたこの鍵は、これからアリスがターゲットノードであるデイビッドと認証するために使用することになるＰＳＫ Ｋ_ＡＤである。次いでアリスは、ステップＳ３６５において、新たな鍵（Ｋ_ＡＤ）を復号する。

次いでアリスは、ターゲットノード（デイビッド）との認証を開始するためにＫ_ＡＤを使用することができる。これの第１のステップがステップＳ３６７に示されており、アリスは、ＰＳＫを使用して新たな認証ＭＡＣを生成し、それをデイビッドに送信する。

図５Ｂは、ノード、チャーリーによって行われるステップを記載している。ステップＳ３７１において、チャーリーは、ターゲットノード（例えば、デイビッド）と認証するためのメッセージをアリスから受信する。ステップＳ３７２において、チャーリーは、自分がデイビッドとの共有ＰＳＫを有しているかをチェックする。共有している場合、チャーリーはアリスにメッセージを送り、デイビッドを信頼していることを伝える。

ステップＳ３７３において、チャーリーは、アリスからデイビッドと共有すべきＰＳＫが必要である旨のメッセージを受信する。ステップＳ３７５において、チャーリーは、アリスとデイビッドが使用するための新たなＰＳＫを取得する。図３を参照して説明したように、チャーリーは、要求を受信したら、ＰＳＫを生成するために自分の乱数生成器（ＱＲＮＧ）を使用することができる。しかしながら、チャーリーは、ＰＳＫとしてすぐに使用できる乱数を予め記憶していてもよい。新たなＰＳＫはＫ_ＡＤと呼ばれる。

ステップＳ３７７ａにおいて、チャーリーは認証ＭＡＣを生成して対応するメッセージと共にアリスに送信し、ステップＳ３７９ａにおいて、チャーリーもまたアリスからメッセージと共に認証ＭＡＣを受信する。ステップＳ３７７ａおよびＳ３７９ａを同時にまたは逆の順序で行うことができることに留意されたい。また、Ｓ３７７ａおよびＳ３７９ａの認証ステップが、ステップＳ３７１におけるメッセージの受信より前に行われる、または前述のステップのいずれかの前に行われることも可能である。

チャーリーがメッセージと共に認証ＭＡＣを受信したら、ステップＳ３８１ａにおいて、チャーリーはこれを認証する。これを行うために、チャーリーは、受信したメッセージおよびアリスと共有しているＰＳＫを入力し、生成されたＭＡＣをアリスから受信したものと比較する。

これが完了すると、ステップＳ３８３ａにおいて、チャーリーはアリスとのＱＫＤの実行を開始する。この実施形態では、チャーリーがランダムな符号化された光パルスをアリスに送信する。チャーリーは、上述のようにランダムに変化する基底を用いて光パルスを準備することによって光パルスを符号化する。ステップＳ３８５ａにおいて、チャーリーは、ＱＫＤ鍵を生成するためにふるい分けを行う。ふるい分けは、アリスが使用した測定基底を示す情報をアリスから認証チャネルを介して受信することによって準備され得る。次いでチャーリーは、どの結果が正しい基底で測定されたかをアリスに知らせるために、古典チャネルを介してアリスに情報を送信する。そしてチャーリーは、ＱＫＤ鍵を生成するための準備基底と一致した基底で測定されたパルスの結果のみを保持する。

この例では、ＱＫＤに必要な分よりも長い鍵がふるい分けプロセスによって準備される。そして、チャーリーとアリスが次に認証する必要があるときに使用する新たなＰＳＫ Ｋ_ＡＣを有することが可能となるように余分な鍵が１つまたは複数のＰＳＫとして保存される。

次いでチャーリーは、アリスとチャーリーとの間でＱＫＤを行うことによって生成されたＱＫＤキーマテリアルでＫ_ＡＤを暗号化し、それをアリスに送信する。

上記はアリスとの通信について説明している。しかしながら、チャーリーは、デイビッドとの通信にも同じステップを実行する。図５Ｂのフローチャートにおいて、ステップＳ３７７ｂ、Ｓ３７９ｂ、Ｓ３８１ｂ、Ｓ３８３ｂ、Ｓ３８５ｂ、およびＳ３８７ｂは、それぞれ、ステップＳ３７７ａ、Ｓ３７９ａ、Ｓ３８１ａ、Ｓ３８３ａ、Ｓ３８５ａ、およびＳ３８７ａに対応する。ただし、「ａ」の接尾文字が付いたステップは、チャーリーがアリスに対して行うステップに関連し、「ｂ」の接尾文字が付いたステップは、チャーリーがデイビッドに対して行うステップに関連する。ステップＳ３７７ｂ、Ｓ３７９ｂ、Ｓ３８１ｂ、Ｓ３８３ｂ、Ｓ３８５ｂ、およびＳ３８７ｂは、ステップＳ３７７ａ、Ｓ３７９ａ、Ｓ３８１ａ、Ｓ３８３ａ、Ｓ３８５ａ、およびＳ３８７ａと同時に行ってもよいし、これらのステップを交互に行ってもよいし、またはそれらの前もしくは後に行ってもよい。

アリスはステップＳ３８７ａにおいてＰＳＫ Ｋ_ＡＤを受信し、デイビッドはステップＳ３８７ｂにおいてＰＳＫ Ｋ_ＡＤを受信し、これにより、アリスとデイビッドは自分たちの古典チャネルを認証することが可能になる。

上記を拡張して、認証がマルチホップピアツーピアアプローチによって確立されることを可能にすることができる。図６は、アリス１、ボブ３、チャーリー５、デイビッド７、フェリシティー１３、およびジョージ１５という６つのノードを備える、より大規模なネットワークを示す。図２のように、アリスとボブは第１のスイッチ９を介して通信することができ、チャーリー５とデイビッド７は第２のスイッチ１１を介して接続される。フェリシティー１３とジョージ１５は第３のスイッチ１７を介して接続される。第１のスイッチ９は第２のスイッチ１１に接続され、第２のスイッチ１１は第３のスイッチ１７に接続される。これにより、ユーザノードの任意のものが互いに通信することが可能になる。

この実施形態では、現在アリス１がジョージ１５との通信を望んでいるが、彼らはＰＳＫを共有していない。実際にはジョージを信頼しているユーザはフェリシティー１３のみである。フェリシティー１３は、ボブ３を信頼している（すなわち、ボブとのＰＳＫを有している）が、アリス１とフェリシティー１３との間に信頼はない。メッセージフローが図７に示される。

図２Ａおよび図２Ｂの実施形態のように、ステップＳ２５１において、アリス１は、自分が信頼しているユーザノード（この場合、ボブ３およびチャーリー５）に「誰がジョージを信頼しているか？」をブロードキャストすることによって開始する。ボブもチャーリーもジョージとのＰＳＫを有していないので返信しない。

この実施形態において、このネットワーク上で認証を確立するための解決策は、ステップＳ２５３においてアリス１が「ジョージ１５を信頼している信頼できる第三者を誰が見つけることができるか？」を尋ねるフォローアップ要求（最初のメッセージに誰も返信しなかったため）を（信頼できるユーザ、ボブ３およびチャーリー５に）ブロードキャストすることによって見つかる。

ボブ３およびチャーリー５は、このメッセージを受信し、次いでステップＳ２５５において、彼ら自身が信頼しているユーザに「誰がジョージを信頼しているか？」をブロードキャストする。簡単化するために、この例では、ボブのブロードキャストのみを考える。また、ボブがチャーリー５およびフェリシティー１３を信頼しているものとする。フェリシティー１３は、ボブ３の信頼できるユーザであるので、このメッセージを受信し、彼女はジョージ１５を信頼しているので、ステップＳ２５７において、「私はジョージを信頼しており、信頼できる第三者になることができる」と返信する。

フェリシティー１３は、ランダム鍵Ｋ_ＢＧを生成し、Ｓ２５７およびＳ２５９においてＱＫＤセキュア認証リンクを介してこの鍵のコピーをボブ３およびジョージ１５に送信するために、両者と共有しているＰＳＫを使用する。ＱＫＤセキュア認証リンクは上述されており、量子鍵を生成するために使用されるものである。次いでＰＳＫ Ｋ_ＢＧは、量子鍵を使用して暗号化される。

ＰＳＫ Ｋ_ＢＧは、ボブ３とジョージ１５との間に信頼（すなわち、認証する可能性）を確立する。今やボブ３はジョージ１５を信頼しているので、ボブ３は、アリス１－ジョージ１５間通信を認証するための信頼できる第三者として行動することができる。よってボブ３は、ランダム鍵Ｋ_ＡＧを生成し、ステップＳ２６１およびＳ２６３においてＱＫＤセキュア認証リンクを介してこの鍵のコピーをアリスおよびジョージに送信するために、両者と共有しているＰＳＫを使用する。これらのピアツーピア相互動作の結果、アリス１とジョージ１５とは今やＰＳＫを共有しており、ステップＳ２６５において、セキュアに認証しＱＫＤを行うことができ、セキュア通信が可能となる。こうして、この実施形態はネットワーク認証のスケーラビリティを促進する。

上述のピアツーピアＱＫＤ認証システムおよび方法は、多くのユーザに対してスケーラブルである。図８は、メトロネットワーク内のユーザのグループを接続する長距離バックボーンを備える大規模ネットワークを示す。

図８に示される配置構成は、３つのローカルネットワーク８１３、８１５、および８１７とみなすことができる。３つのローカルネットワーク８１３、８１５、および８１７は、中央ネットワークスイッチ８２１を介して接続される。

この実施形態では、第１のネットワーク８１３は、ノード８１１ａ～８１１ｆを相互接続する３つのスイッチ８０９ａ、８０９ｂ、および８０９ｃを有する。

中央ネットワークスイッチ８２１は、長距離ＱＫＤリンクを介して、第１のローカルネットワーク８１３、第２のローカルネットワーク８１５、および第３のローカルネットワーク８１７に接続される。長距離ＱＫＤリンクは、連続的な光ファイバであってよいし、または量子中継器を伴う光ファイバであってもよい。さらなる実施形態では、長距離ＱＫＤリンクの１つまたは複数は、衛星接続（図示せず）を介することができ、または他のタイプの長距離接続とすることができる。

中央ネットワークスイッチ８２１は、各ローカルネットワーク８１３、８１５、および８１７のローカルスイッチ、例えば、スイッチ８０９ｂを介してローカルネットワークの各々に接続され得る。

ユーザ、例えばユーザ８１１ａが別のユーザとの認証を望むとき、アリスからの最初のブロードキャストメッセージ（ユーザが新たな信頼されていない接続を認証するための信頼できる第三者の所在を特定しようとする）を、アリスが信頼するすべてのユーザに一度に送信する必要はない。その理由はこれが多数のユーザになる可能性があるためである。

一実施形態では、ユーザ８１１ａは、地理的により近くにいる、例えばローカルネットワークおよび／または最も近いローカルネットワーク内にいるユーザにブロードキャストすることを開始し、次いで、最もローカルなノードにコンタクトしてから所与のタイムアウト期間内に好適な信頼できる第三者から返信が得られなかった場合に、より遠隔の他の信頼できるユーザにブロードキャストする。これにより、光スイッチングネットワーク内の再構成可能リンクをより効率的に利用することが可能となる。

上述のピアツーピア認証プロセスは、高度な管理およびサービス品質（ＱｏＳ）概念を受け入れやすい。例えば、鍵が手動でインストールされたものなのか、信頼できる第三者から到来したものなのか（そうである場合、その第三者が誰なのか）を示すメタデータが、ＰＳＫマテリアルと共に記憶され得る。これにより、信頼できる第三者が危険にさらされたと後に分かった場合の鍵の無効化が可能となり得る。同様に、信頼できる第三者を見つけるためにユーザの事前認証された近隣にブロードキャストするプロセスを、特定の基準を優先させるように管理することができる（例えば、最も近くのノードを見つけること、または、例えば、最低レイテンシ、最も混雑していないルート等、ネットワークを通した特定の光ルートに関連するものなどの他の基準を満たすノードを見つけることによって開始する）。

上記図７と関連させて、マルチホップアプローチを用いる方法を説明する。いくつかの実施形態では、ユーザ８１１ａは最初に、地理的により近くにいるユーザにブロードキャストし得るが、次いで、より大きいエリアにブロードキャストし得、および／または図７のマルチホップアプローチを可能にすることができるノードを探し得る。これらの状況では、地理的により遠い「シングルホップ」を選択すべきか否か、またはより近い「マルチホップ」を選択すべきか否かは複数の異なる基準を使用して決定することができ、この基準は、例えば、どのルートが最低レイテンシを有するか、好ましいベンダ機器を使用しているか、利用可能なより大きいキーストアを有しているか、ネットワークを通した好ましい光ルートを使用しているか、ネットワークを通した最も混雑していないルートを使用しているか等を見るものである。

信頼できる第三者を通してピアツーピア方法で認証ＰＳＫを確立することによって、信頼できる第三者もＰＳＫの値がわかることは注目すべきである。図９に示される量子ネットワークの場合を考える。この状況の場合、アリスおよびボブの両者はデイビッドおよびチャーリーとＰＳＫを共有しているが、アリスとボブは互いに信頼していない。しかしながら彼らは通信したいと思っている。信頼できる第三者の認証を介してこれをどのように達成できるかについて図９を参照して説明する。

チャーリーによって発行されたＫ_ＡＢを使用してアリスとボブが認証する場合、ユーザはチャーリーが信頼できる者であると暗黙的に想定しなければならず、したがって、チャーリーがアリスとボブとの間のセキュア通信を読み取る中間者攻撃を行う可能性があり得る。

図９のシステムでは、ネットワークにおいてピアツーピアシナリオで２人の信頼できる第三者を使用することによって、この想定を緩和させることができる。アリスおよびボブは（先に概説した方法に従って）現在チャーリーおよびデイビッドの各々からＰＳＫを取得しており、これらのＰＳＫは、それぞれ、チャーリーおよびデイビッドとのＱＫＤから到来するＰＳＫ Ｋ１_ＡＢおよびＫ２_ＡＢとして示される。次いでアリスおよびボブは、これらの２つの鍵を使用してＸＯＲ演算を行うことによって、自分たちの実際のＰＳＫを形成する。

これは、彼らが対称共有鍵を共有しているが、この鍵が今はもうチャーリーによってもデイビッドによっても共有されていないことを意味し、これらのサーバのいずれかが危険にさらされた場合に（中間者攻撃に対する）レジリエンスを提供する。

上記認証概念は、製造業者がポイントツーポイントＱＫＤリンクをインストールしたときに必要となる想定を緩和させることに関する。同じ製造業者がリンクの両方のエンドポイントを、予めインストールされたＰＳＫを使用してインストールしたとき、システムのユーザは、製造業者は中間者攻撃を行わないと暗黙的に信頼しなければならない。上記ピアツーピア認証方式、およびさらには複数の信頼パーティＸＯＲ方式（multiple-trusted-party-XOR-scheme）を用いると、ＱＫＤリンクが、異なる製造業者からのハードウェア間に形成され、独立した第三者によって認証されることができ、よって、認証のために製造業者を信頼する必要がなくなる。

上記実施形態により、任意の遠隔のユーザが認証通信を行うことが可能となり、それにより彼らが追加のキーマテリアルを生成するためにＱＫＤセッションを開始することができるようになる。次いで、このＱＫＤキーマテリアルは、任意の大きいデータサイズのセキュア通信のために使用することができる。ピアツーピア認証システムおよび結果として得られる光スイッチング量子通信ネットワーク設計を網羅する本発明を提案する。

上記実施形態により、信頼できるクーリエにより各現場で鍵を手動でインストールするのではなくネットワークリンクを使用して認証を行うための解決手段が提供される。これによりスケーラビリティが大幅に高まり、ピア認証によるネットワークの指数関数的な増大が可能となる。

要約すると、上記実施形態では、
量子ネットワーク上のユーザが認証鍵の手動インストールをせずともセキュアに通信することが可能となる。
非集中型アプローチは、ネットワークのいずれの部分の故障に対してもロバストである。
ネットワークさらには大きい地理的エリア上のネットワークのためのスケーラブルな設計となる（様々なＱＫＤプロトコル、例えば長距離のためのＴＦ－ＱＫＤまたは衛星ＱＫＤと共存できる）。
自由空間および光ファイバ通信チャネルと共存できる。
概念の様々な実施形態が可能であり、多様なネットワークトポロジをサポートする。
複数のＰＳＫのＸＯＲによる危険にさらされた信頼できる第三者の不測のイベントに対するロバストネスがある。
認証への古典的／ＰＱＣアプローチと比較して、上記実施形態は、量子コンピュータによる暗号解読および暗号攻撃の進化に対してロバストである。

特定の実施形態を説明したが、これらの実施形態は単に例として提示したものであり、発明の範囲を限定することは意図していない。本明細書に記載の新規のデバイスおよび方法は、その他の様々な形態で具現化されることができ、さらに、本発明の要旨から逸脱することなく、本明細書に記載のデバイス、方法、および製品の形態に様々な省略、置き換え、および変更を行うことができる。添付の特許請求の範囲とその均等物は、本発明の範囲および要旨に含まれる形態または変形を網羅することを意図している。

Claims (20)

1. 第１のノード、第２のノード、および第３のノードを備える量子通信ネットワークにおける使用のための方法であって、前記方法は、前記第３のノードによって行われ、前記方法は、
   前記第１のノードから、前記第２のノードとの通信を認証するための認証鍵データを求める要求を受信することと、
   前記要求に応答して、
   第１の認証鍵データを生成することと、
   前記第１のノードに、前記第１のノードと前記第２のノードとの間の通信を認証するための前記第１の認証鍵データを備える第１のメッセージを送信することと、ここにおいて、前記第１のメッセージは、前記第１のノードおよび前記第３のノード上に記憶された第２の認証鍵データを使用して認証され、前記第１のメッセージは、前記量子通信ネットワーク上で前記第１のノードと交換される第１の暗号鍵を使用して暗号化され、
   前記第２のノードに、前記第１の認証鍵データを備える第２のメッセージを送信することと、ここにおいて、前記第２のメッセージは、前記第２のノードおよび前記第３のノード上に記憶された第３の認証鍵データを使用して認証され、前記第２のメッセージは、前記量子通信ネットワーク上で前記第２のノードと交換される第２の暗号鍵を使用して暗号化される、
   を備える、方法。
2. 前記量子通信ネットワークは、１つまたは複数の信頼ノードをさらに備え、前記方法は、
   認証鍵データが前記第２のノードとの通信を認証するために利用可能ではないことを決定することと、
   前記１つまたは複数の信頼ノードに、前記第２のノードとの通信を認証するための認証鍵データを要求することと、
   前記１つまたは複数の信頼ノードのうちの第４のノードから、前記第３の認証鍵データを備える第３のメッセージを受信することと、ここにおいて、前記第３のメッセージは、前記第３のノードおよび前記第４のノード上に記憶された第４の認証鍵データを使用して認証され、前記第３のメッセージは、前記量子通信ネットワーク上で前記第４のノードと交換される第３の暗号鍵を使用して暗号化され、
   前記第３の認証鍵データを記憶することと、
   をさらに備える、請求項１に記載の方法。
3. 前記要求は、１つまたは複数のサービス品質基準を備え、前記１つまたは複数の信頼ノードは、前記１つまたは複数のサービス品質基準に基づいて複数の信頼ノードから選択される、請求項２に記載の方法。
4. 前記第１のメッセージは、前記第２のノードのアイデンティティが前記第４のノードを使用して認証されたことのインジケーションを備える、請求項２または３に記載の方法。
5. 第１のノード、第２のノード、および１つまたは複数の信頼ノードを備える量子通信ネットワークにおける使用のための方法であって、前記方法は、前記第１のノードによって行われ、前記方法は、
   前記１つまたは複数の信頼ノードに、前記第２のノードとの通信を認証するための認証鍵データを要求することと、
   前記１つまたは複数の信頼ノードのうちの第３のノードから、前記第２のノードとの通信を認証するための第１の認証鍵データを備える第１のメッセージを受信することと、ここにおいて、前記第１のメッセージは、前記第１のノードおよび前記第３のノード上に記憶された第２の認証鍵データを使用して認証され、前記第１のメッセージは、前記量子通信ネットワーク上で前記第１のノードと前記第３のノードとの間で交換される第１の暗号鍵を使用して暗号化される、
   を備える、方法。
6. 前記１つまたは複数の信頼ノードのうちの第４のノードから、前記第２のノードとの通信を認証するための第３の認証鍵データを備える第２のメッセージを受信することと、ここにおいて、前記第２のメッセージは、前記第１のノードおよび前記第４のノード上に記憶された第４の認証鍵データを使用して認証され、前記第２のメッセージは、前記量子通信ネットワーク上で前記第１のノードと前記第４のノードとの間で交換される第２の暗号鍵を使用して暗号化され、
   前記第１の認証鍵データおよび前記第３の認証鍵データに基づいて、前記第２のノードとの通信を認証するための第５の認証鍵データを導出することと、
   をさらに備える、請求項５に記載の方法。
7. 前記第５の認証鍵データを導出することは、前記第１の認証鍵データおよび前記第３の認証鍵データに対して１つまたは複数のビット演算を行うことを備える、請求項６に記載の方法。
8. 前記１つまたは複数のビット演算はＸＯＲ演算を備える、請求項７に記載の方法。
9. 前記第３のノードが危険にさらされたことのインジケーションを受信することと、
   前記第１の認証鍵データおよび／または前記第１の認証鍵データから導出された認証鍵データを無効にすることと、
   をさらに備える、請求項５に記載の方法。
10. 前記第１のメッセージは、前記１つまたは複数の信頼ノードのうちの前記第３のノードが、前記１つまたは複数の信頼ノード以外の第５のノードを使用して前記第２のノードのアイデンティティを認証したことのインジケーションを備える、請求項５に記載の方法。
11. 前記第５のノードが危険にさらされたことのインジケーションを受信することと、
    前記第１の認証鍵データおよび／または前記第１の認証鍵データから導出された認証鍵データを無効にすることと、
    を備える、請求項１０に記載の方法。
12. 前記１つまたは複数の信頼ノードに、前記第１のノードと前記第２のノードとの間の通信を認証するための認証鍵データを要求することは、
    前記１つまたは複数の信頼ノードの第１のサブセットに、前記第１のノードと前記第２のノードとの間の通信を認証するための認証鍵データを要求することと、
    前記１つまたは複数の信頼ノードの前記第１のサブセットが前記認証鍵データを提供することができないことを推測することと、
    前記推測に応答して、前記１つまたは複数の信頼ノードの第２のサブセットに、前記第１のノードと前記第２のノードとの間の通信を認証するための認証鍵データを要求することと、
    を備え、
    前記１つまたは複数の信頼ノードの前記第１のサブセットは、第１の基準を満たすノードであり、前記１つまたは複数の信頼ノードの前記第２のサブセットは、前記第３のノードを備える、
    請求項５に記載の方法。
13. 前記１つまたは複数の信頼ノードに、前記第１のノードと前記第２のノードとの間の通信を認証するための認証鍵データを要求することは、
    前記１つまたは複数の信頼ノードのいずれかが前記第２のノードと通信するための認証鍵データを記憶しているかどうかを決定するために前記１つまたは複数の信頼ノードにクエリすることと、
    前記１つまたは複数の信頼ノードのいずれも前記第２のノードと通信するための認証鍵データを記憶していないことを推測することと、
    前記１つまたは複数の信頼ノードのいずれかが、前記第２のノードと通信するための認証鍵データを記憶する別のノードのための認証鍵データを記憶しているかどうかを決定するために前記１つまたは複数の信頼ノードにクエリすることと、
    を備える、請求項５に記載の方法。
14. 第１のノード、第２のノード、および１つまたは複数の信頼ノードを備える量子通信ネットワークにおける使用のための第１のノードであって、前記第１のノードは、
    前記１つまたは複数の信頼ノードに、前記第２のノードとの通信を認証するための認証鍵データを要求することと、
    前記１つまたは複数の信頼ノードのうちの第３のノードから、前記第２のノードとの通信を認証するための第１の認証鍵データを備える第１のメッセージを受信することと、ここにおいて、前記第１のメッセージは、前記第１のノードおよび前記第３のノード上に記憶された第２の認証鍵データを使用して認証され、前記第１のメッセージは、前記量子通信ネットワーク上で前記第３のノードと交換される第１の暗号鍵を使用して暗号化される、
    を行うように構成される、第１のノード。
15. 前記第１のノードは、
    前記１つまたは複数の信頼ノードのうちの第４のノードから、前記１つまたは複数の信頼ノード以外の第５のノードが通信の開始を望んでいることのインジケーションを受信することと、
    前記第４のノードから、前記第５のノードとの通信を認証するための第２の認証鍵データを備える第２のメッセージを受信することと、ここにおいて、前記第２のメッセージは、前記第１のノードおよび前記第４のノード上に記憶された第３の認証鍵データを使用して認証され、前記第２のメッセージは、前記量子通信ネットワーク上で前記第４のノードと交換される第２の暗号鍵を使用して暗号化される、
    を行うようにさらに構成される、請求項１４に記載の第１のノード。
16. 前記第１のノードは、
    前記１つまたは複数の信頼ノードのうちの第６のノードから、前記第５のノードとの通信を認証するための第４の認証鍵データを備える第３のメッセージを受信することと、ここにおいて、前記第３のメッセージは、前記第１のノードおよび前記第６のノード上に記憶された第５の認証鍵データを使用して認証され、前記第３のメッセージは、前記量子通信ネットワーク上で前記第６のノードと交換される第３の暗号鍵を使用して暗号化され、
    記憶された前記第２の認証鍵データおよび前記第４の認証鍵データに基づいて、前記第６のノードとの通信を認証するための第６の認証鍵データを導出することと、
    を行うようにさらに構成される、請求項１５に記載の第１のノード。
17. 前記第１のノードは、
    前記１つまたは複数の信頼ノードのうちの第７のノードから、前記１つまたは複数の信頼ノードのうちの前記第７のノードと第８のノードとの間の通信を認証するための認証鍵データを求める要求を受信することと、
    前記第７のノードに、前記第７のノードと前記第８のノードとの間の通信を認証するための第７の認証鍵データを備える第４のメッセージを送信することと、ここにおいて、前記第４のメッセージは、前記第１のノードおよび前記第７のノード上に記憶された第８の認証鍵データを使用して認証され、前記第１のメッセージは、前記量子通信ネットワーク上で前記第７のノードと交換される第４の暗号鍵を使用して暗号化され、
    前記第８のノードに、前記第７の認証鍵データを備える第５のメッセージを送信することと、ここにおいて、前記第５のメッセージは、前記第１のノードおよび前記第８のノード上に記憶された第９の認証鍵データを使用して認証され、前記第５のメッセージは、前記量子通信ネットワーク上で前記第８のノードと交換される第５の暗号鍵を使用して暗号化される、
    を行うようにさらに構成される、請求項１４に記載の第１のノード。
18. 前記第１のノードは、
    認証鍵データが前記第８のノードとの通信を認証するために利用可能ではないことを決定することと、
    前記１つまたは複数の信頼ノードに、前記第８のノードとの通信を認証するための認証鍵データを要求することと、
    前記１つまたは複数の信頼ノードのうちの第９のノードから、前記第９の認証鍵データを備える第６のメッセージを受信することと、ここにおいて、前記第６のメッセージは、前記第１のノードおよび前記第９のノード上に記憶された第１０の認証鍵データを使用して認証され、前記第６のメッセージは、前記量子通信ネットワーク上で前記第９のノードと交換される第６の暗号鍵を使用して暗号化され、
    前記第９の認証鍵データを記憶することと、
    を行うようにさらに構成される、請求項１７に記載の第１のノード。
19. 前記第５のメッセージは、前記第８のノードのアイデンティティが前記第９のノードを使用して認証されたことのインジケーションを備える、請求項１８に記載の第１のノード。
20. 請求項１４乃至１９のいずれか１項に記載の第１のノード、第２のノード、および１つまたは複数の信頼ノードを備える、量子通信ネットワーク。