知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-05-09
(45)【発行日】2024-05-17
(54)【発明の名称】秘密鍵共有システム及び秘密鍵共有方法
(51)【国際特許分類】
H04L 9/08 20060101AFI20240510BHJP
【ＦＩ】
H04L9/08 B
H04L9/08 E
【請求項の数】
5
(21)【出願番号】P 2020012325
(22)【出願日】2020-01-29
(65)【公開番号】P2021118498
(43)【公開日】2021-08-10
【審査請求日】2022-12-12
【国等の委託研究の成果に係る記載事項】（出願人による申告）令和元年度、総務省、情報通信技術の研究開発「衛星通信における量子暗号技術の研究開発」に係る委託研究、産業技術力強化法第１７条の適用を受ける特許出願
(73)【特許権者】
【識別番号】301022471
【氏名又は名称】国立研究開発法人情報通信研究機構
(74)【代理人】
【識別番号】100120868
【弁理士】
【氏名又は名称】安彦 元
(72)【発明者】
【氏名】遠藤 寛之
(72)【発明者】
【氏名】佐々木 雅英
【審査官】吉田 歩
(56)【参考文献】
【文献】特開２０１８－０７４２５３（ＪＰ，Ａ）
【文献】特開２０１７－０５５３３５（ＪＰ，Ａ）
【文献】特開２０１２－１６５４５５（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／０８
(57)【特許請求の範囲】
【請求項1】
第１層の送受信機と、前記第１層の送受信機から指向性を持つ搬送波を介して第１の乱数を受信する第２層の複数の送受信機と、前記第２層の複数の送受信機のうちの１つの送受信機から搬送波を介して第２の乱数を受信する第３層の複数の送受信機と、を備える秘密鍵共有システムであって、前記第１層の送受信機と前記第２層の複数の送受信機とは前記第１の乱数に基づく第１の秘密鍵を共有し、前記第２層の複数の送受信機のうちの前記１つの送受信機と前記第３層の複数の送受信機とは前記第２の乱数に基づく第２の秘密鍵を共有し、
前記第３層の複数の送受信機は、前記第２層の複数の送受信機のうちの前記１つの送受信機から、前記第１の秘密鍵と前記第２の秘密鍵との排他的論理和による算出値を、公開された通信路である公開通信路を介して受信し、受信した前記算出値と前記第２の秘密鍵との排他的論理和を求めることで前記第１の秘密鍵を算出し、
前記第１の秘密鍵及び前記第２の秘密鍵は、前記公開通信路を介して送受信される、前記搬送波を介して搬送された前記第１の乱数及び前記第２の乱数の第１のビット誤り率及び第２のビット誤り率と、前記搬送波から漏洩する前記第１の乱数及び前記第２の乱数の量である第１の漏洩情報量及び第２の漏洩情報量と、前記搬送波を介して搬送された前記第１の乱数及び前記第２の乱数の誤りを訂正するための第１の訂正情報及び第２の訂正情報と、前記第１の乱数及び前記第２の乱数を圧縮する割合である第１の圧縮率及び第２の圧縮率と、が参照され、それぞれ生成される、
秘密鍵共有システム。
【請求項2】
前記第１層の送受信機及び前記第２層の複数の送受信機は、それぞれ所定の範囲内を監視する監視部を備え、それぞれの前記監視部によって監視される範囲外に配置された範囲外送受信機によって前記第１の漏洩情報量は算出される、請求項１に記載の秘密鍵共有システム。
【請求項3】
前記第１の訂正情報は前記第１層の送受信機から前記第２層の複数の送受信機に送信され、前記第２の訂正情報は前記第２層の複数のうちの前記１つの送受信機から前記第３層の複数の送受信機に送信される、請求項１に記載の秘密鍵共有システム。
【請求項4】
前記第１の訂正情報は、前記第２層の複数のうちの所定の１つの送受信機からその他の前記第２層の複数の送受信機及び前記第１層の送受信機に送信され、前記第２の訂正情報は、前記第３層の複数のうちの所定の１つの送受信機からその他の前記第３層の複数の送受信機及び前記第２層の複数のうちの前記１つの送受信機に送信される、請求項１に記載の秘密鍵共有システム。
【請求項5】
第１層の送受信機と、前記第１層の送受信機から指向性を持つ搬送波を介して第１の乱数を受信する第２層の複数の送受信機と、前記第２層の複数の送受信機のうちの１つの送受信機から搬送波を介して第２の乱数を受信する第３層の複数の送受信機と、の間で秘密鍵を共有するための秘密鍵共有方法であって、
前記第１層の送受信機と前記第２層の送受信機が、前記第１の乱数の搬送における第１のビット誤り率と、第１の漏洩情報量を算出し、前記第２層の送受信機と前記第３層の送受信機が、前記第２の乱数の搬送における第２のビット誤り率と、第２の漏洩情報量を算出するパラメータ推定ステップと、
前記第１層の送受信機と前記第２層の送受信機が、搬送された前記第１の乱数の誤りを訂正するための第１の訂正情報を生成して、搬送された前記第１の乱数を訂正し、前記第２層の送受信機と前記第３層の送受信機が、搬送された前記第２の乱数の誤りを訂正するための第２の訂正情報を生成して、搬送された前記第２の乱数を訂正する情報整合ステップと、
前記第１層の送受信機と前記第２層の送受信機が、搬送された前記第１の乱数を圧縮し、前記第２層の送受信機と前記第３層の送受信機が、搬送された前記第２の乱数を圧縮する秘匿性増強ステップと、
前記第１層の送受信機と前記第２層の送受信機が、搬送された前記第１の乱数から第１の秘密鍵を生成し、前記第２層の送受信機と前記第３層の送受信機が、搬送された前記第２の乱数から第２の秘密鍵を生成する鍵蒸留ステップと、
前記第２層の送受信機が前記第１の秘密鍵と前記第２の秘密鍵との排他的論理和による算出値を生成し、前記第３層の送受信機が公開通信路を介して受信した前記算出値と前記第２の秘密鍵との排他的論理和を求めることで前記第１の秘密鍵を算出する鍵カプセルリレーステップと、を備える、
秘密鍵共有方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明の実施の形態は、秘密鍵共有システム及び秘密鍵共有方法に関する。
【背景技術】
【0002】
情報理論的安全性を備える暗号通信が、例えば特許文献１に記載された秘密鍵共有システムにおいて利用されている。ここで情報理論的安全性を満たす暗号は、「どんな鍵によって得られるどんな復号結果も、同様に確からしい」という特徴を備えており、例えばバーナム暗号に含まれるワンタイムパッド暗号のように平文サイズが鍵サイズ以下である暗号が例に挙げられる。なお別の表現としては、情報理論的安全性を満たす暗号は、いかなる計算機を以てしても解読不可能であることが特徴ともいえる。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２０１８－０７４２５３号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら特許文献１に記載されたような従来の情報理論的安全性を備える暗号通信を用いるシステムは、鍵蒸留処理が一括して１回しか行われない。このため、特許文献１に記載されたような従来の情報理論的安全性を備える暗号通信を用いるシステムは、各ノードが備える秘密鍵のサイズが、鍵蒸留処理を複数回行う場合と比較して小さくなるという特徴がある。また特許文献１に記載されたような従来の情報理論的安全性を備える暗号通信を用いるシステムは、頂点ノードと底辺ノードとは通信を行う必要がある。
【0005】
このため、特許文献１に記載されたような従来の情報理論的安全性を備える暗号通信を用いるシステムは、各ノードが備える通信端末に対して負担がかかるため効率性が欠如しているといえる。また特許文献１に記載されたような従来の情報理論的安全性を備える暗号通信を用いるシステムは、システムとして制御手順が複雑であるため、スケーラビリティが欠如しているといえる。
【0006】
このように、特許文献１に記載されたような従来の情報理論的安全性を備える暗号通信を用いるシステムは、効率性及びスケーラビリティが欠如しているという課題がある。
【0007】
本発明の実施の形態は、効率性及びスケーラビリティを備え、かつ、情報理論的安全性を備える秘密鍵共有システムを提供することを目的とする。
【課題を解決するための手段】
【0008】
第１層の送受信機と、第１層の送受信機から指向性を持つ搬送波を介して第１の乱数を受信する第２層の複数の送受信機と、第２層の複数の送受信機のうちの１つの送受信機から搬送波を介して第２の乱数を受信する第３層の複数の送受信機と、を備える秘密鍵共有システムであって、第１層の送受信機と第２層の複数の送受信機とは第１の乱数に基づく第１の秘密鍵を共有し、第２層の複数の送受信機のうちの１つの送受信機と第３層の複数の送受信機とは第２の乱数に基づく第２の秘密鍵を共有し、第３層の複数の送受信機は、第２層の複数の送受信機のうちの１つの送受信機から、第１の秘密鍵と第２の秘密鍵との排他的理論和による算出値を、公開された通信路である公開通信路を介して受信し、受信した算出値と第２の秘密鍵との排他的理論和を求めることで第１の秘密鍵を算出し、第１の秘密鍵及び第２の秘密鍵は、公開通信路を介して送受信される、搬送波を介して搬送された第１の乱数及び第２の乱数の第１のビット誤り率及び第２のビット誤り率と、搬送波から漏洩する第１の乱数及び第２の乱数の量である第１の漏洩情報量及び第２の漏洩情報量と、搬送波を介して搬送された第１の乱数及び第２の乱数の誤りを訂正するための第１の訂正情報及び第２の訂正情報と、第１の乱数及び第２の乱数を圧縮する割合である第１の圧縮率及び第２の圧縮率と、が参照され、それぞれ生成される、秘密鍵共有システムを提供する。
【0009】
第１層の送受信機と、前記第１層の送受信機から指向性を持つ搬送波を介して第１の乱数を受信する第２層の複数の送受信機と、前記第２層の複数の送受信機のうちの１つの送受信機から搬送波を介して第２の乱数を受信する第３層の複数の送受信機と、の間で秘密鍵を共有するための秘密鍵共有方法であって、前記第１層の送受信機と前記第２層の送受信機が、前記第１の乱数の搬送における第１のビット誤り率と、第１の漏洩情報量を算出し、前記第２層の送受信機と前記第３層の送受信機が、前記第２の乱数の搬送における第２のビット誤り率と、第２の漏洩情報量を算出するパラメータ推定ステップと、前記第１層の送受信機と前記第２層の送受信機が、搬送された前記第１の乱数の誤りを訂正するための第１の訂正情報を生成して、搬送された前記第１の乱数を訂正し、前記第２層の送受信機と前記第３層の送受信機が、搬送された前記第２の乱数の誤りを訂正するための第２の訂正情報を生成して、搬送された前記第２の乱数を訂正する情報整合ステップと、前記第１層の送受信機と前記第２層の送受信機が、搬送された前記第１の乱数を圧縮し、前記第２層の送受信機と前記第３層の送受信機が、搬送された前記第２の乱数を圧縮する秘匿性増強ステップと、前記第１層の送受信機と前記第２層の送受信機が、搬送された前記第１の乱数から第１の秘密鍵を生成し、前記第２層の送受信機と前記第３層の送受信機が、搬送された前記第２の乱数から第２の秘密鍵を生成する鍵蒸留ステップと、前記第２層の送受信機が前記第１の秘密鍵と前記第２の秘密鍵との排他的論理和による算出値を生成し、前記第３層の送受信機が公開通信路を介して受信した前記算出値と前記第２の秘密鍵との排他的論理和を求めることで前記第１の秘密鍵を算出する鍵カプセルリレーステップと、を備える、秘密鍵共有方法を提供する。
【発明の効果】
【0010】
本発明によれば効率性及びスケーラビリティを備え、かつ、情報理論的安全性を備える秘密鍵共有システムを実現できる。
【図面の簡単な説明】
【0011】
【発明を実施するための形態】
【0012】
以下図面について、本発明の実施の形態の一態様を詳述する。
【0013】
図１は、本実施の形態による秘密鍵共有システム１の構成を示す概略図である。図１に示すように、秘密鍵共有システム１は、第１層の送受信機２と、第１層の送受信機２から指向性を持つ搬送波（以下、これを単に搬送波と呼んでもよい）を介して第１の乱数Ｒ0を受信する第２層の複数の送受信機４，５，６と、第２層の複数の送受信機４，５，６のうちの１つの送受信機４から搬送波を介して第２の乱数Ｒ0’を受信する第３層の複数の送受信機９，１０，１１と、を備える。
【0014】
また秘密鍵共有システム１は、第２層の複数の送受信機４，５，６のうちの１つの送受信機５から搬送波を介して第３の乱数Ｒ0’’を受信する第３層の複数の送受信機１４，１５，１６と、を備える。
【0015】
また秘密鍵共有システム１は、第２層の複数の送受信機４，５，６のうちの１つの送受信機６から搬送波を介して第４の乱数Ｒ0’’’を受信する第３層の複数の送受信機１９，２０，２１と、を備える。なお第１の乱数Ｒ0、第２の乱数Ｒ0’、第３の乱数Ｒ0’’及び第４の乱数Ｒ0’’’は、複数のビットからなるビット列で構成される。
【0016】
送受信機４，５，６は、グループ３を形成する。例えばグループ３は、物理的に区切られた区間内の送受信機４，５，６によって形成される。区切られた区間とは例えば送受信機４，５，６がそれぞれ備える後述の監視部３６によって監視される所定の範囲内とする。
【0017】
同様に送受信機９，１０，１１は、グループ８を形成する。例えばグループ８は、区切られた区間内の送受信機９，１０，１１によって形成される。区切られた区間とは例えば送受信機９，１０，１１がそれぞれ備える監視部３６によって監視される所定の範囲内とする。
【0018】
同様に送受信機１４，１５，１６は、グループ１３を形成する。例えばグループ１３は、区切られた区間内の送受信機１４，１５，１６によって形成される。区切られた区間とは例えば送受信機１４，１５，１６がそれぞれ備える監視部３６によって監視される所定の範囲内とする。
【0019】
同様に送受信機１９，２０，２１は、グループ１８を形成する。例えばグループ１８は、区切られた区間内の送受信機１９，２０，２１によって形成される。区切られた区間とは例えば送受信機１９，２０，２１がそれぞれ備える監視部３６によって監視される所定の範囲内とする。
【0020】
送受信機７（以下、これを範囲外送受信機と呼んでもよい）は、例えばグループ３が形成された区切られた区間に隣接するように区間の外側に配置される。後述の第１の漏洩情報量Ｉleakは、送受信機７によって算出される。同様に送受信機１２，１７，２２は、例えばグループ８，１３，１８が形成された区切られた区間に隣接するように区間の外側に配置される。
【0021】
第１層と第２層との接続を上層リンクと呼び、第２層と第３層との接続を下層リンクと呼ぶ。第１層と第２層との接続とは、具体的には送受信機２と送受信機４～６との接続のことを指す。第２層と第３層との接続とは、具体的には例えば送受信機４と送受信機９～１１との接続のことを指す。
【0022】
なお送受信機２を、送信側という意味を込めてアリスと呼んでもよい。また送受信機４，５，６を受信側という意味を込めてボブと呼んでもよい。また送受信機９～１１，１４～１６，１９～２１を第３の当事者という意味を込めてチャーリーと呼んでもよい。また送受信機７，１２，１７，２２を、仮想的に、例えば盗聴のような受動的な攻撃を行う機器という意味を込めて仮想イブと呼んでもよい。なお送受信機７，１２，１７，２２は、仮想的な攻撃によってプローブ通信路を構築しているといえる。
【0023】
ここで、本実施の形態による送受信機３０の構成を示すブロック図である図２を参照して、送受信機２，４～７，９～１２，１４～１７，１９～２２のブロック構成を説明する。送受信機２，４～７，９～１２，１４～１７，１９～２２は、同じ構成であるため、送受信機３０として説明を行う。なお上層リンクにおける搬送波の送信側である送受信機２と搬送波の受信側である送受信機４との接続を例に具体的に説明する。
【0024】
送受信機３０は、乱数生成部３１と、変調部３２と、復調部３３と、指向性搬送波通信部３４と、公開通信部３５と、監視部３６と、情報処理部３７と、を備える。
【0025】
乱数生成部３１及び情報処理部３７は、集積回路などで実装されているものとする。変調部３２、復調部３３及び指向性搬送波通信部３４は、光やミリ波によるビーム状に形成された搬送波を搬送する装置とし、例えば自由空間光通信（ＦＳＯ：Free Space Optics）装置や可視光通信（ＶＬＣ：Visible Light Communication）装置などとする。
【0026】
公開通信部３５は、例えばＶＨＦ（Very High Frequency）通信装置やＵＨＦ（Ultra High Frequency）通信装置などとする。監視部３６は、例えば監視カメラなどとする。
【0027】
乱数生成部３１は、例えば送受信機２のように送受信機３０が搬送波の送信側となった際に、乱数を生成する。変調部３２は、例えば送受信機２のように送受信機３０が搬送波の送信側となった際に、乱数生成部３１が生成した乱数を変調する。復調部３３は、例えば送受信機４のように送受信機３０が搬送波の受信側となった際に、変調された乱数を復調する。
【0028】
指向性搬送波通信部３４は、変調された乱数の送受信を行う。公開通信部３５は、公開通信路による通信を行う。監視部３６は、送受信機３０を基準として例えば見晴らし範囲などの所定の範囲を監視する。
【0029】
情報処理部３７は、情報の処理を行う。具体的には、情報処理部３７は、後述のパラメータ推定処理、情報整合処理及び秘匿性増強処理を含む鍵蒸留処理と、鍵カプセルリレー処理と、を行う。
【0030】
図１に戻り説明を続ける。第１層の送受信機２と第２層の複数の送受信機４，５，６とは第１の乱数Ｒ0に基づく第１の秘密鍵Ｋ0を共有し、第２層の複数の送受信機４，５，６のうちの１つの送受信機４と第３層の複数の送受信機９，１０，１１とは前記第２の乱数Ｒ0’に基づく第２の秘密鍵Ｋ1を共有する。
【0031】
また第２層の複数の送受信機４，５，６のうちの１つの送受信機５と第３層の複数の送受信機１４，１５，１６とは前記第３の乱数Ｒ0’’に基づく第３の秘密鍵Ｋ2を共有する。また第２層の複数の送受信機４，５，６のうちの１つの送受信機６と第３層の複数の送受信機１９，２０，２１とは前記第４の乱数Ｒ0’’’に基づく第４の秘密鍵Ｋ3を共有する。
【0032】
第３層の複数の送受信機９，１０，１１は、第２層の複数の送受信機４，５，６のうちの１つの送受信機４から、第１の秘密鍵Ｋ0と第２の秘密鍵Ｋ1との排他的論理和による算出値を、公開された通信路である公開通信路を介して受信する。第３層の複数の送受信機９，１０，１１は、受信した算出値と第２の秘密鍵Ｋ1との排他的論理和を求めることで第１の秘密鍵Ｋ0を算出する。
【0033】
第３層の複数の送受信機１４，１５，１６は、第２層の複数の送受信機４，５，６のうちの１つの送受信機５から、第１の秘密鍵Ｋ0と第３の秘密鍵Ｋ2との排他的論理和による算出値を、公開された通信路である公開通信路を介して受信する。第３層の複数の送受信機１４，１５，１６は、受信した算出値と第３の秘密鍵Ｋ2との排他的論理和を求めることで第１の秘密鍵Ｋ0を算出する。
【0034】
第３層の複数の送受信機１９，２０，２１は、第２層の複数の送受信機４，５，６のうちの１つの送受信機６から、第１の秘密鍵Ｋ0と第４の秘密鍵Ｋ3との排他的論理和による算出値を、公開された通信路である公開通信路を介して受信する。第３層の複数の送受信機１９，２０，２１は、受信した算出値と第３の秘密鍵Ｋ2との排他的論理和を求めることで第１の秘密鍵Ｋ0を算出する。
【0035】
第１の秘密鍵Ｋ0は、第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3と、第１の漏洩情報量Ｉleakと、第１の訂正情報ＥＣＣと、第１の圧縮率ＣＲと、が参照され、生成される。第２の秘密鍵Ｋ1は、第２のビット誤り率ＢＥＲ1’，ＢＥＲ2’，ＢＥＲ3’と、第２の漏洩情報量Ｉleak’と、第２の訂正情報ＥＣＣ’と、第２の圧縮率ＣＲ’と、が参照され、生成される。
【0036】
第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3は、搬送波を介して搬送された第１の乱数Ｒ0のビットの誤り率を推定した値であって、公開通信路を介して送受信される。第２のビット誤り率ＢＥＲ1’，ＢＥＲ2’，ＢＥＲ3’は、搬送波を介して搬送された第２の乱数Ｒ0’のビットの誤り率であって、公開通信路を介して送受信される。
【0037】
第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3や第２のビット誤り率ＢＥＲ1’，ＢＥＲ2’，ＢＥＲ3’は、全ビット中の誤っているビットの割合であって０～０．５の範囲の値となる。
【0038】
第１の漏洩情報量Ｉleakは、搬送波から漏洩する第１の乱数Ｒ0の量を推定した値であって、公開通信路を介して送受信される。第２の漏洩情報量Ｉleak’は、搬送波から漏洩する第２の乱数Ｒ0’の量であって、公開通信路を介して送受信される。なお第１の漏洩情報量Ｉleakや第２の漏洩情報量Ｉleak’などの漏洩情報量は、情報の量を示しており例えばビット数を示す。
【0039】
第１の訂正情報ＥＣＣは、搬送波を介して搬送された第１の乱数Ｒ0の誤りを訂正するための情報であって、公開通信路を介して送受信される。第２の訂正情報ＥＣＣ’は、搬送波を介して搬送された第２の乱数Ｒ0’の誤りを訂正するための情報であって、公開通信路を介して送受信される。
【0040】
第１の圧縮率ＣＲは、第１の乱数Ｒ0を圧縮する割合であって、公開通信路を介して送受信される。第２の圧縮率ＣＲ’は、第２の乱数Ｒ0’を圧縮する割合であって、公開通信路を介して送受信される。第１の圧縮率ＣＲや第２の圧縮率ＣＲ’は、第１の乱数Ｒ0及び第２の乱数Ｒ0’のビット数に対する第１の秘密鍵Ｋ0及び第２の秘密鍵Ｋ1のビット数の割合であって０～１の範囲の値となる。
【0041】
第３の秘密鍵Ｋ2、第３の乱数Ｒ0’’、第３のビット誤り率ＢＥＲ1’’，ＢＥＲ2’’，ＢＥＲ3’’、第３の漏洩情報量Ｉleak’’、第３の訂正情報ＥＣＣ’’及び第３の圧縮率ＣＲ’’に関しては、第１の秘密鍵Ｋ0、第１の乱数Ｒ0、第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3、第１の漏洩情報量Ｉleak、第１の訂正情報ＥＣＣ及び第１の圧縮率ＣＲと同様のため説明を省略する。
【0042】
また第４の秘密鍵Ｋ3、第４の乱数Ｒ0’’’、第４のビット誤り率ＢＥＲ1’’’，ＢＥＲ2’’’，ＢＥＲ3’’’、第４の漏洩情報量Ｉleak’’’、第４の訂正情報ＥＣＣ’’’及び第４の圧縮率ＣＲ’’’に関しては、第１の秘密鍵Ｋ0、第１の乱数Ｒ0、第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3、第１の漏洩情報量Ｉleak、第１の訂正情報ＥＣＣ及び第１の圧縮率ＣＲと同様のため説明を省略する。
【0043】
次に、本実施の形態による鍵蒸留機能の説明に供するシーケンス図である図３を参照して、鍵蒸留処理によって実現される鍵蒸留機能を説明する。鍵蒸留機能は、パラメータ推定処理によって実現されるパラメータ推定機能と、情報整合処理によって実現される情報整合機能と、秘匿性増強処理によって実現される秘匿性増強機能と、から構成される。ここでは、上層リンクを例に説明を行う。
【0044】
送受信機２は、送受信機４～７に、搬送波を介して、第１の秘密鍵Ｋ0の基となる第１の乱数Ｒ0を送信する（Ｓ１～Ｓ４）。送受信機４～７は、搬送波を介して搬送される第１の乱数Ｒ0を、搬送された乱数Ｒ1～Ｒ4として受信する。
【0045】
送受信機２は、送受信機４～７に、公開通信路を介して、テストビットＴbit及びテストビットアドレスＴaddrを送信する（Ｓ５～Ｓ８）。テストビットＴbitは、第１の乱数Ｒ0から無作為に抽出する複数のビットから構成される。テストビットアドレスＴaddrは、第１の乱数Ｒ0から無作為に抽出する複数のビットのそれぞれの第１の乱数Ｒ0におけるアドレスから構成される。
【0046】
送受信機４～６は、搬送された乱数Ｒ1～Ｒ3と、テストビットＴbit及びテストビットアドレスＴaddrと、を用いて、第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3を算出する。送受信機４～６は、算出した第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3を送受信機２に送信する（Ｓ９～Ｓ１１）。
【0047】
送受信機７は、搬送された乱数Ｒ4と、テストビットＴbit及びテストビットアドレスＴaddrと、を用いて、第１の漏洩情報量Ｉleakを算出する。送受信機７は、算出した第１の漏洩情報量Ｉleakを送受信機２に送信する（Ｓ１２）。
【0048】
このように秘密鍵共有システム１は、例えばステップＳ１～Ｓ１２によって、第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3及び第１の漏洩情報量Ｉleakのようなパラメータを推定する機能であるパラメータ推定機能を実現する。
【0049】
送受信機２は、送受信機４～７から受信する第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3に基づいて第１の訂正情報ＥＣＣを生成する。ビット誤り率が高いほど、第１の訂正情報ＥＣＣの情報量は多くなる。例えば送受信機２は、線形誤り訂正符号などを用いて第１の訂正情報ＥＣＣを生成する。線形誤り訂正符号は、例えば低密度パリティ検査（ＬＤＰＣ：Low density parity check）符号を指す。
【0050】
送受信機２は、生成した第１の訂正情報ＥＣＣを送受信機４～６に送信する（Ｓ１３～Ｓ１５）。送受信機４～６は、受信した第１の訂正情報ＥＣＣを用いて搬送された乱数Ｒ1～Ｒ3が、第１の乱数Ｒ0に近づくように訂正し、訂正された乱数Ｒ1c～Ｒ3cを生成する。
【0051】
このように秘密鍵共有システム１は、例えばステップＳ１３～Ｓ１５によって、情報を整合する機能である情報整合機能を実現する。具体的には秘密鍵共有システム１は、搬送された乱数Ｒ1～Ｒ3が第１の乱数Ｒ0に近づくように訂正することで情報を整合する。
【0052】
送受信機２は、第１の漏洩情報量Ｉleak及び第１の訂正情報ＥＣＣから第１の圧縮率ＣＲを算出する。送受信機２は、算出した第１の圧縮率ＣＲを送受信機４～６に送信する（Ｓ１６～Ｓ１８）。なお送受信機２は、算出した第１の圧縮率ＣＲで、第１の乱数Ｒ0を、ハッシュ関数を用いて圧縮して第１の秘密鍵Ｋ0を生成する。送受信機４～６は、受信した第１の圧縮率ＣＲで、訂正された乱数Ｒ1c～Ｒ3cを、ハッシュ関数を用いて圧縮して第１の秘密鍵Ｋ0を生成する。
【0053】
このように秘密鍵共有システム１は、例えばステップＳ１６～Ｓ１８によって、秘匿性を増強する機能である秘匿性増強機能を実現する。具体的には秘密鍵共有システム１は、漏洩の可能性のある情報量を、ハッシュ関数を用いた圧縮によって削除することで秘匿性を増強する。
【0054】
なお図３においては、第１の秘密鍵Ｋ0の生成について説明しているが、第２の秘密鍵Ｋ1、第３の秘密鍵Ｋ2及び第４の秘密鍵Ｋ3についても同様に生成される。例えば第２の秘密鍵Ｋ1の生成においては、送受信機４が第１の秘密鍵Ｋ0の生成における送受信機２に相当し、グループ８が第１の秘密鍵Ｋ0の生成におけるグループ３に相当する。
【0055】
次に、本実施の形態による鍵カプセルリレー機能の説明に供する概念図である図４を参照して、鍵カプセルリレー処理によって実現される鍵カプセルリレー機能を説明する。図４中の第１のフェーズは、鍵カプセルリレー処理の前を指し、図４中の第２のフェーズは、鍵カプセルリレー処理の後を指す。
【0056】
図４中の第１のフェーズに示すように、送受信機４は、第１の秘密鍵Ｋ0を保持したまま移動することで、第１の秘密鍵Ｋ0を生成した際の場所からは離れた場所に位置するグループ８の送受信機９～１１と接続して第２の秘密鍵Ｋ1の生成が可能となる。
【0057】
送受信機５は、第１の秘密鍵Ｋ0を保持したまま移動することで、第１の秘密鍵Ｋ0を生成した際の場所からは離れた場所に位置するグループ１３の送受信機１４～１６と接続して第３の秘密鍵Ｋ2の生成が可能となる。
【0058】
送受信機６は、第１の秘密鍵Ｋ0を保持したまま移動することで、第１の秘密鍵Ｋ0を生成した際の場所からは離れた場所に位置するグループ１８の送受信機１９～２１と接続して第４の秘密鍵Ｋ3の生成が可能となる。
【0059】
このように、鍵蒸留処理を複数回行うことで、図４中の第１のフェーズに示すようなツリー構造を持った送受信機２，４，５，６による接続が構築可能となる。
【0060】
ツリー構造として具体的には、第１層の親ノードとしての送受信機２と、第２層の子ノードとしての送受信機４～６と、が第１の秘密鍵Ｋ0を共有することで繋がっている。第２層の子ノードとしての送受信機４と、第３層の孫ノードとしての送受信機９～１１と、が第２の秘密鍵Ｋ1を共有することで繋がっている。
【0061】
第２層の子ノードとしての送受信機５と、第３層の孫ノードとしての送受信機１４～１６と、が第３の秘密鍵Ｋ2を共有することで繋がっている。第２層の子ノードとしての送受信機６と、第３層の孫ノードとしての送受信機１９～２１と、が第４の秘密鍵Ｋ3を共有することで繋がっている。
【0062】
ツリー構造が構築されると、送受信機２が保持する第１の秘密鍵Ｋ0が図４中の第２のフェーズに示すように排他的論理和の演算によってカプセルされ、送受信機９～１１，１４～１６，１９～２１へとリレーのように受け渡される。
【0063】
具体的には、送受信機４から送受信機９～１１へと、第２の秘密鍵Ｋ1によってカプセルされた第１の秘密鍵Ｋ0が送信される。換言すると送受信機４から送受信機９～１１へと、第１の秘密鍵Ｋ0と第２の秘密鍵Ｋ1との排他的論理和の算出値Ｋ0ＸＯＲＫ1が送信される。送受信機４は、算出値Ｋ0ＸＯＲＫ1を送信すると、第２の秘密鍵Ｋ1を削除する。
【0064】
同様に送受信機５から送受信機１４～１６へと、第３の秘密鍵Ｋ2によってカプセルされた第１の秘密鍵Ｋ0が送信される。換言すると送受信機５から送受信機１４～１６へと、第１の秘密鍵Ｋ0と第３の秘密鍵Ｋ2との排他的論理和の算出値Ｋ0ＸＯＲＫ2が送信される。送受信機５は、算出値Ｋ0ＸＯＲＫ2を送信すると、第３の秘密鍵Ｋ2を削除する。
【0065】
同様に送受信機６から送受信機１９～２１へと、第４の秘密鍵Ｋ3によってカプセルされた第１の秘密鍵Ｋ0が送信される。換言すると送受信機６から送受信機１４～１６へと、第１の秘密鍵Ｋ0と第４の秘密鍵Ｋ3との排他的論理和の算出値Ｋ0ＸＯＲＫ3が送信される。送受信機６は、算出値Ｋ0ＸＯＲＫ3を送信すると、第４の秘密鍵Ｋ3を削除する。
【0066】
算出値Ｋ0ＸＯＲＫ1を受信すると、送受信機９～１１は、第２の秘密鍵Ｋ1と算出値Ｋ0ＸＯＲＫ1との排他的論理和として、第１の秘密鍵Ｋ0を算出する。同様に算出値Ｋ0ＸＯＲＫ2を受信すると、送受信機１４～１６は、第３の秘密鍵Ｋ2と算出値Ｋ0ＸＯＲＫ2との排他的論理和として、第１の秘密鍵Ｋ0を算出する。同様に算出値Ｋ0ＸＯＲＫ3を受信すると、送受信機１９～２１は、第４の秘密鍵Ｋ3と算出値Ｋ0ＸＯＲＫ3との排他的論理和として、第１の秘密鍵Ｋ0を算出する。
【0067】
以上のようにして、送受信機２，４～６，９～１１，１４～１６，１９～２１は、第１の秘密鍵Ｋ0を共有することができる。このように本実施の形態では複数回の鍵蒸留処理を行ったうえで、第１の秘密鍵Ｋ0を共有するため、誤っている情報や漏洩の可能性のある情報が蓄積しない。なお従来のように鍵蒸留処理を一回しか行わない場合は、同一の乱数が層をまたいで伝送されるため、第１層や第２層といった階層ごとに誤っている情報や漏洩の可能性のある情報が蓄積していく。
【0068】
次に、本実施の形態による鍵蒸留処理の処理手順を示すフローチャートである図５を参照して、鍵蒸留処理を説明する。まず送受信機２の乱数生成部３１は、第１の乱数Ｒ0を生成する（Ｓ２１）。
【0069】
送受信機２の変調部３２は、送受信機２の乱数生成部３１が生成した第１の乱数Ｒ0を変調する。送受信機２の指向性搬送波通信部３４は、送受信機２の変調部３２が変調した第１の乱数Ｒ0を、送受信機４の指向性搬送波通信部３４及び送受信機７の指向性搬送波通信部３４へと送信する（Ｓ２２）。
【0070】
送受信機２の情報処理部３７は、第１の乱数Ｒ0から無作為に複数のビットを抽出しテストビットＴbitを生成する（Ｓ２３）。送受信機２の公開通信部３５は、テストビットＴbit及びテストビットアドレスＴaddrを、送受信機４の公開通信部３５及び送受信機７の公開通信部３５へと送信する（Ｓ２４）
【0071】
送受信機７の処理について説明する。送受信機７は、パラメータ推定処理に関係する。まず送受信機７の指向性搬送波通信部３４は、送受信機２の指向性搬送波通信部３４から送受信機２の変調部３２が変調した第１の乱数Ｒ0を受信する（Ｓ４１）。送受信機７の復調部３３は、送受信機７の指向性搬送波通信部３４が受信した変調された第１の乱数Ｒ0を復調する。
【0072】
送受信機７の公開通信部３５は、テストビットＴbit及びテストビットアドレスＴaddrを受信する（Ｓ４２）。送受信機７の情報処理部３７は、送受信機７の復調部３３によって復調された第１の乱数Ｒ0と送受信機７の公開通信部３５が受信するテストビットＴbit及びテストビットアドレスＴaddrとから条件付き確率を求めることで搬送波を介する通信の通信路特性を推定する。
【0073】
送受信機７の情報処理部３７は、推定した通信路特性と過去に推定した通信路特性とを比較して搬送波を介する通信の通信路特性を評価する（Ｓ４３）。送受信機７の情報処理部３７は、第１の漏洩情報量Ｉleakを通信路特性の評価に基づいて算出する。送受信機７の公開通信部３５は、算出された第１の漏洩情報量Ｉleakを送受信機２の公開通信部３５に送信する（Ｓ４４）。ステップＳ４１～Ｓ４４の処理を終了すると、送受信機７は、処理を終了する。
【0074】
送受信機４におけるパラメータ推定処理について説明する。まず送受信機４の指向性搬送波通信部３４は、送受信機２の指向性搬送波通信部３４から送受信機２の変調部３２が変調した第１の乱数Ｒ0を受信する（Ｓ５１）。送受信機４の復調部３３は、送受信機４の指向性搬送波通信部３４が受信した変調された第１の乱数Ｒ0を復調する。
【0075】
送受信機４の公開通信部３５は、テストビットＴbit及びテストビットアドレスＴaddrを受信する（Ｓ５２）。送受信機４の情報処理部３７は、送受信機４の復調部３３によって復調された第１の乱数Ｒ0と送受信機４の公開通信部３５が受信するテストビットＴbit及びテストビットアドレスＴaddrとから第１のビット誤り率ＢＥＲ1を算出する。送受信機４の公開通信部３５は、算出された第１のビット誤り率ＢＥＲ1を、送受信機２の公開通信部３５に送信する（Ｓ５３）。ステップＳ５１～Ｓ５３の処理を終了すると、送受信機４は、パラメータ推定処理を終了する。
【0076】
送受信機４と同様に送受信機５，６の情報処理部３７は、テストビットＴbit及びテストビットアドレスＴaddrとから第１のビット誤り率ＢＥＲ2，ＢＥＲ3を算出する。送受信機５，６の公開通信部３５は、第１のビット誤り率ＢＥＲ2，ＢＥＲ3を、送受信機２の公開通信部３５に送信する。
【0077】
送受信機２に戻り説明を続ける。送受信機２の公開通信部３５は、送受信機４，５，６の公開通信部３５から、第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3を受信する（Ｓ２５）。
【0078】
送受信機２の公開通信部３５は、送受信機７の公開通信部３５から、第１の漏洩情報量Ｉleakを受信する（Ｓ２６）。送受信機２は、ステップＳ２１～Ｓ２６を終えパラメータ推定処理を終了し、情報整合処理を開始する。
【0079】
送受信機２における情報整合処理として、送受信機２の情報処理部３７は、例えば送受信機４～７から受信する第１のビット誤り率ＢＥＲ1，ＢＥＲ2，ＢＥＲ3のうちのもっとビット誤り率が高いものに合わせて第１の訂正情報ＥＣＣを生成する（Ｓ２７）。送受信機２の公開通信部３５は、生成された第１の訂正情報ＥＣＣを、送受信機４，５，６の公開通信部３５に送信する（Ｓ２８）。送受信機２は、ステップＳ２７，Ｓ２８を終え情報整合処理を終了し、秘匿性増強処理を開始する。
【0080】
送受信機４における情報整合処理について説明する。送受信機４の公開通信部３５は、第１の訂正情報ＥＣＣを受信する（Ｓ５４）。送受信機４の情報処理部３７は、受信した第１の訂正情報ＥＣＣを用いて搬送された乱数Ｒ1が第１の乱数Ｒ0に近づくように訂正し、訂正された乱数Ｒ1cを生成する（Ｓ５５）。送受信機４は、ステップＳ５４，Ｓ５５を終え情報整合処理を終了し、秘匿性増強処理を開始する。
【0081】
送受信機４と同様に送受信機５，６の情報処理部３７は、受信した第１の訂正情報ＥＣＣを用いて搬送された乱数Ｒ2，Ｒ3が第１の乱数Ｒ0に近づくように訂正し、訂正された乱数Ｒ2c，Ｒ3cを生成する。
【0082】
送受信機２における秘匿性増強処理について説明する。送受信機２の情報処理部３７は、送受信機２の公開通信部３５が受信した第１の漏洩情報量Ｉleak及び生成した第１の訂正情報ＥＣＣから第１の圧縮率ＣＲを算出する（Ｓ２９）。
【0083】
送受信機２の公開通信部３５は、算出された第１の圧縮率ＣＲを、送受信機４，５，６の公開通信部３５に送信する（Ｓ３０）。
【0084】
送受信機２の情報処理部３７は、算出した第１の圧縮率ＣＲで、第１の乱数Ｒ0を、ハッシュ関数を用いて圧縮して第１の秘密鍵Ｋ0を生成する（Ｓ３１）。送受信機２は、ステップＳ２９～Ｓ３１を終え秘匿性増強処理を終了し、鍵蒸留処理を終了する。
【0085】
送受信機４における秘匿性増強処理について説明する。送受信機４の公開通信部３５は、算出された第１の圧縮率ＣＲを受信する（Ｓ５６）。送受信機４の情報処理部３７は、受信した第１の圧縮率ＣＲで、訂正された乱数Ｒ1cを、ハッシュ関数を用いて圧縮して第１の秘密鍵Ｋ0を生成する（Ｓ５７）。送受信機４は、ステップＳ５６，Ｓ５７を終え秘匿性増強処理を終了し、鍵蒸留処理を終了する。
【0086】
送受信機４と同様に送受信機５，６の情報処理部３７は、受信した第１の圧縮率ＣＲで、訂正された乱数Ｒ2c，Ｒ3cを、ハッシュ関数を用いて圧縮して第１の秘密鍵Ｋ0を生成する。
【0087】
次に、本実施の形態による鍵カプセルリレー処理の処理手順を示すフローチャートである図６を参照して、鍵カプセルリレー処理を説明する。まず送受信機４，５，６の情報処理部３７は、上層リンクの第１の秘密鍵Ｋ0と下層リンクの第２の秘密鍵Ｋ1，第３の秘密鍵Ｋ2又は第４の秘密鍵Ｋ3とから第２層における排他的論理和の算出値Ｋ0ＸＯＲＫ1，Ｋ0ＸＯＲＫ2，Ｋ0ＸＯＲＫ3を算出する（Ｓ６１）。
【0088】
送受信機４，５，６の公開通信部３５は、第２層における排他的論理和の算出値Ｋ0ＸＯＲＫ1，Ｋ0ＸＯＲＫ2，Ｋ0ＸＯＲＫ3を第２層から第３層に送信する（Ｓ６２）。例えば送受信機９，１４，１９の公開通信部３５は、第２層における排他的論理和の算出値Ｋ0ＸＯＲＫ1，Ｋ0ＸＯＲＫ2，Ｋ0ＸＯＲＫ3と下層リンクの第２の秘密鍵Ｋ1、第３の秘密鍵Ｋ2又は第４の秘密鍵Ｋ3から第３層における排他的論理和として、第１の秘密鍵Ｋ0を算出する（Ｓ６３）。送受信機４，５，６，９の情報処理部３７は、第２層において下層リンクで使用した第２の秘密鍵Ｋ1，第３の秘密鍵Ｋ2，第４の秘密鍵Ｋ3を削除する（Ｓ６４）。
【0089】
以上のように、本実施の形態による秘密鍵共有システム１は、上層リンクや下層リンクといった各層においてそれぞれ鍵蒸留処理を行うため、下層の第２の圧縮率ＣＲ’などが上層の第１の圧縮率ＣＲと比較して小さくなるということがない。このため、送受信機２，４～６，９～１１，１４～１６，１９～２１といった各ノードに対して負荷はほぼ均一にかかり、本実施の形態による秘密鍵共有システム１は、効率性を備えているといえる。
【0090】
また排他的論理和を使ったワンタイムパッド暗号で鍵カプセルリレー処理が行われるため、計算量が少ない点も本実施の形態による秘密鍵共有システム１が効率性を備えている理由として挙げられる。
【0091】
また指向性を持ちある程度裾が広がる搬送波を利用しているため、例えば、送受信機２は、送受信機９～１１といった複数と通信できるといった点も本実施の形態による秘密鍵共有システム１が効率性を備えている理由として挙げられる。
【0092】
なお本実施の形態による秘密鍵共有システム１は、各ノードで共有する第１の秘密鍵Ｋ0の基となる第１の乱数Ｒ0を、指向性を持つ搬送波で搬送し、鍵蒸留処理を行う。このため、情報理論的安全性を備えるといえる。
【0093】
また本実施の形態による秘密鍵共有システム１は、上層リンクや下層リンクといった各層においてそれぞれ排他的論理和による演算を利用して第１の秘密鍵Ｋ0をカプセルするのみである。
【0094】
このため制御手順が単純であり、スケーラビリティを備えているといえる。図４に示した第２のフェーズのように、送受信機２，４～６，９～１１，１４～１６，１９～２１が第１の秘密鍵Ｋ0を共有した後に、新しく送受信機４０や、グループ４１を形成する送受信機４２～４４を追加することも容易である。
【0095】
本実施の形態において送受信機４０，４２～４４を追加する際を示す図である図７を用いて説明する。例えば送受信機４０を追加する場合には、送受信機４０は、送受信機２と通信する必要はなく、送受信機６と通信し、第５の秘密鍵Ｋ4を送受信機６と共有した後に、排他的論理和による演算を利用して秘密鍵共有システム１の各ノードと第１の秘密鍵Ｋ0を共有する。
【0096】
送受信機４０と同様に、第４層においてグループ４１を形成する送受信機４２～４４は、第６の秘密鍵Ｋ5を送受信機９と共有した後に、排他的論理和による演算を利用して秘密鍵共有システム１の各ノードと第１の秘密鍵Ｋ0を共有する。このように本実施の形態による秘密鍵共有システム１は、スケーラビリティを備えており、簡単に送受信機４０やグループ４１を追加できるといったアドホック性も備えている。
【0097】
本実施の形態においては、秘密鍵共有システム１を構築する各ノードは送受信機の場合を例に挙げたが、本実施の形態はこれに限らない。例えば、送受信機２を、成層圏を飛行するような大型航空機とし、送受信機４～６をドローンのような地上から近い個所を飛行する飛行体とし、送受信機９～１１，１４～１６，１９～２１を地上に設置された地上局としてもよい。
【0098】
本実施の形態では、乱数生成部３１及び情報処理部３７は、集積回路などで実装されている場合について述べたが、本実施の形態はこれに限らない。例えば、乱数生成部３１、変調部３２、復調部３３、情報処理部３７の各部は、ＳＳＤ（Solid State Drive）やＨＤＤ（Hard Disk Drive）やＲＡＭ（Random Access Memory）などの記憶装置に記憶されたプログラムであってもよい。この場合、プログラムがＣＰＵ（Central Processing Unit）によって読み出されることで各部の処理が実行される。
【0099】
本実施の形態では、送信側である送受信機２が第１の訂正情報ＥＣＣを生成する場合について述べたが、本実施の形態はこれに限らない。例えば、第２層の複数のうちの所定の１つの送受信機において第１の訂正情報ＥＣＣが生成されてもよい。
【0100】
例えば第２層の複数のうちの所定の１つの送受信機を送受信機４とする。この場合、第１の訂正情報ＥＣＣは、送受信機４からその他の前記第２層の複数の送受信機である送受信機５，６及び第１層の送受信機２に送信される。
【0101】
第２の訂正情報ＥＣＣ’についても第１の訂正情報ＥＣＣと同様のことがいえる。第２の訂正情報ＥＣＣ’は、例えば送受信機９といった第３層の複数のうちの所定の１つの送受信機からその他の第３層の複数の送受信機である送受信機１０，１１及び第２の複数のうちの１つの送受信機である送受信機４に送信される。
【0102】
本実施の形態では、送受信機４～６の間での公開通信路による通信については特に記載していないが、本実施の形態において、送受信機４～６の間での公開通信路による通信を行ってもよいものとする。
【0103】
本実施の形態では、公開通信部３５は、ＶＨＦ（Very High Frequency）通信装置やＵＨＦ（Ultra High Frequency）通信装置などとする場合について述べたが、本実施の形態はこれに限らない。例えば公開通信部３５は、自由空間光通信（ＦＳＯ：Free Space Optics）装置や可視光通信（ＶＬＣ：Visible Light Communication）装置などであってもよい。
【0104】
本実施の形態では、監視部３６は、監視カメラなどとする場合について述べたが、本実施の形態はこれに限らない。例えば監視部３６は、レーダやライダによって周囲を監視するような装置であってもよい。
【0105】
本実施の形態による秘密鍵共有システム１は、例えばインフラが整理されていない地域においての使用や、照明やロボットやセンサを備える工場での生産システムにおいての使用や、救助隊による救助の際の使用などが想定される。
【符号の説明】
【0106】
１……秘密鍵共有システム、２，４，５，６，９，１０，１１，１４，１５，１６，１９，２０，２１，３０，４０，４２，４３，４４……送受信機、３１……乱数生成部、３２……変調部、３３……復調部、３４……指向性搬送波通信部、３５……公開通信部、３６……監視部、３７……情報処理部。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】