知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-09-30
(54)【発明の名称】安全な秘密鍵を生成するためのシステム及び方法
(51)【国際特許分類】
H04L 9/12 20060101AFI20240920BHJP
【ＦＩ】
H04L9/12
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2024518380
(86)(22)【出願日】2022-09-15
(85)【翻訳文提出日】2024-05-13
(86)【国際出願番号】 EP2022075602
(87)【国際公開番号】W WO2023046557
(87)【国際公開日】2023-03-30
(31)【優先権主張番号】2110024
(32)【優先日】2021-09-23
(33)【優先権主張国・地域又は機関】FR
(81)【指定国・地域】
(71)【出願人】
【識別番号】523395915
【氏名又は名称】タレス
(74)【代理人】
【識別番号】110001173
【氏名又は名称】弁理士法人川口國際特許事務所
(72)【発明者】
【氏名】トラニエ，ブノワ
(72)【発明者】
【氏名】ゲラール，ジャン・ディディエ
(57)【要約】
Ａ．伝送局と呼ばれる通信局（ＳＡ）において、衛星（Ｓａｔ）経由で量子暗号化チャネル（ＣＱＡＢ）によって第１の秘密鍵（ＫＥＫ）を受信するステップであって、第１の秘密鍵は量子暗号化チャネルによって少なくとも１つの他の通信局（ＳＢ）にも伝送されている、受信するステップと、Ｂ．伝送局において、真性乱数発生器（ＴＲＮＧ）を使用して第２の秘密鍵（ＫＳ）を生成するステップと、Ｃ．ワンタイムパッド法によって第１の秘密鍵（ＫＥＫ）及び第２の秘密鍵（ＫＳ）を使用して暗号化秘密鍵（ＫＣ）を生成するステップと、Ｄ．暗号化秘密鍵（ＫＣ）を伝送局（ＳＡ）から１つ又は複数の他の通信局（ＳＢ）に伝送するステップとを含む、安全な秘密鍵を生成するための方法。
【特許請求の範囲】
【請求項1】
安全な秘密鍵を生成するための方法であって、Ａ．送信局と呼ばれる通信局（ＳＡ）において、衛星（Ｓａｔ）とセットアップされた量子暗号化チャネル（ＣＱＡＢ）上で第１の秘密鍵（ＫＥＫ）を受信するステップであって、前記第１の秘密鍵は前記量子暗号化チャネルによって少なくとも１つの他の通信局（ＳＢ）にも伝送されている、受信するステップと、
Ｂ．前記送信局において、真性乱数発生器（ＴＲＮＧ）を使用して第２の秘密鍵（ＫＳ）を生成するステップと、
Ｃ．ワンタイムパッド法によって前記第１の秘密鍵（ＫＥＫ）及び第２の秘密鍵（ＫＳ）から暗号化秘密鍵（ＫＣ）を生成するステップと、
Ｄ．前記暗号化秘密鍵（ＫＣ）を前記送信局（ＳＡ）から前記１つ又は複数の他の通信局（ＳＢ）に伝送するステップと
を含む、方法。
【請求項2】
ステップＤに続いて、前記１つ又は複数の他の通信局において、前記安全な秘密鍵を形成する前記第２の秘密鍵（ＫＳ）を得るために前記第１の秘密鍵（ＫＥＫ）を使用して前記暗号化秘密鍵（ＫＣ）を復号するステップＥを含む、請求項１に記載の方法。
【請求項3】
前記第１の秘密鍵、前記第２の秘密鍵（ＫＳ）、及び前記暗号化秘密鍵（ＫＣ）が２進符号化され、前記暗号化秘密鍵が前記第１の秘密鍵と第２の秘密鍵とを結合するＸＯＲ論理ゲートによって生成され、前記暗号化秘密鍵が前記暗号化秘密鍵と前記第１の秘密鍵とを結合するＸＯＲ論理ゲートによって復号される、請求項２に記載の方法。
【請求項4】
全て前記第１の秘密鍵（ＫＥＫ）から生成される複数の安全な秘密鍵（ＫＳ１，ＫＳ２，．．．，ＫＳｎ）を形成するためにステップＢからステップＥを複数回繰り返す、請求項２又は３に記載の方法。
【請求項5】
前記安全な秘密鍵を使用して非ランダムメッセージ（Ｍ）を暗号化し、次いで前記暗号化された非ランダムメッセージ（ＭＣ）を或る通信局から別の通信局に伝送する後続のステップＦ、及び前記安全な秘密鍵を使用して前記暗号化された非ランダムメッセージを復号する後続のステップＧを含む、請求項２～４の何れか一項に記載の方法。
【請求項6】
第１の通信局において、第１の秘密鍵Ａ（ＫＥＫＡ）と、前記第１の秘密鍵Ａとは異なる第１の秘密鍵Ｂ（ＫＥＫＢ）とを受信するためにステップＢの前にステップＡが２回繰り返され、前記第１の秘密鍵Ａ及びＢは前記量子チャネルを介して第２の通信局（ＳＢ）にも伝送され、前記第１の秘密鍵Ａ（ＫＥＫＡ）から及び前記第１の通信局によって生成された第２の安全な秘密鍵Ａ（ＫＳＡ）から第１の暗号化秘密鍵（ＫＣＡ）を生成し、それを前記第２の通信局（ＳＢ）に伝送するためにステップＢからステップＤが前記第１の通信局（ＳＡ）によって実行され、
前記方法が前記第１の通信局によって実行される追加ステップＤ’Ｅ、Ｆ’、Ｇ’、及びＨを含み、前記ステップＤ’Ｅは、
－前記第１の秘密鍵Ｂ（ＫＥＫＢ）から及び前記第２の通信局によって生成された第２の安全な秘密鍵Ｂ（ＫＳＢ）から前記第２の通信局によって生成された第２の暗号化秘密鍵（ＫＣＢ）を受信すること、及び
－前記第２の安全な秘密鍵Ｂ（ＫＳＢ）を得るために前記第２の暗号化秘密鍵（ＫＣＢ）を前記第１の秘密鍵Ｂ（ＫＥＫＢ）で復号すること
で構成され、
前記ステップＦ’は、前記ワンタイムパッド技法によって前記第２の安全な秘密鍵Ａ（ＫＳＡ）から及び前記第２の安全な秘密鍵Ｂ（ＫＳＢ）から前記共通秘密鍵と呼ばれる秘密鍵（ＫＡＢ）を生成することで構成され、
前記ステップＧ’は、
ｉ．前記第１のローカル秘密鍵と呼ばれる秘密鍵（ＫＬＡ）を第１のローカル量子チャネル（ＣＬＡ）によって第１のローカル通信局（ＳＬＡ）に配送すること、
ｉｉ．前記ワンタイムパッド法によって前記第１のローカル秘密鍵（ＫＬＡ）から及び前記共通秘密鍵（ＫＡＢ）から第１の暗号化されたローカル秘密鍵（ＫＬＣＡ）を生成すること、及び
ｉｉｉ．前記第１の暗号化されたローカル秘密鍵（ＫＬＣＡ）を前記第１のローカル通信局（ＳＬＡ）に伝送すること
で構成され、
前記ステップＨは、前記第１のローカル通信局において、前記共通秘密鍵（ＫＡＢ）を得るために前記第１のローカル秘密鍵（ＫＬＡ）を使用して前記第１の暗号化されたローカル秘密鍵（ＫＬＣＡ）を復号することで構成される、
請求項１～４の何れか一項に記載の方法。
【請求項7】
ステップＤ’Ｅが、前記第２の通信局（ＳＢ）において、前記第２の安全な秘密鍵Ａ（ＫＳＡ）を得るために前記第１の秘密鍵Ａ（ＫＥＫＡ）を用いて前記第１の暗号化秘密鍵（ＫＣＡ）を復号することを含み、ステップＦ’が、前記第２の通信局において、前記ワンタイムパッド技法によって前記第２の安全な秘密鍵Ａ（ＫＳＡ）から及び前記第２の安全な秘密鍵Ｂ（ＫＳＢ）から前記共通秘密鍵（ＫＡＢ）を生成することを含み、
前記方法が、
ｉｖ．第２のローカル秘密鍵（ＫＬＢ）を第２のローカル量子チャネル（ＣＬＢ）によって第２のローカル通信局（ＳＬＢ）に配送すること、
ｖ．前記ワンタイムパッド法によって前記第２のローカル秘密鍵（ＫＬＢ）から及び前記共通秘密鍵（ＫＡＢ）から第２の暗号化されたローカル秘密鍵（ＫＬＣＢ）を生成すること、及び
ｖｉ．前記第２の暗号化されたローカル秘密鍵（ＫＬＣＢ）を前記第２のローカル通信局に伝送すること
を含むステップＧ’を含み、
前記ステップＨは、前記第２のローカル通信局において、前記共通秘密鍵（ＫＡＢ）を得るために前記第２のローカル秘密鍵（ＫＬＢ）を使用して前記第２の暗号化されたローカル秘密鍵（ＫＬＣＢ）を復号することを含む、
請求項６に記載の方法。
【請求項8】
ステップＨの後の及び前記第１のローカル通信局によって実行される、前記共通秘密鍵（ＫＡＢ）を使用して非ランダムメッセージ（Ｍ）を暗号化し、次いで前記暗号化された非ランダムメッセージ（ＭＣ）を前記第２のローカル通信局に伝送するステップＩを含み、ステップＩの後の及び前記第２のローカル通信局によって実行される、前記共通秘密鍵（ＫＡＢ）を使用して前記暗号化された非ランダムメッセージを復号するステップＪを含む、
請求項７に記載の方法。
【請求項9】
前記第１の秘密鍵と前記第２の秘密鍵とが同じサイズである、請求項１～５の何れか一項に記載の方法。
【請求項10】
前記非ランダムメッセージが対称暗号化法、例えばブロック暗号化又はストリーム暗号化によって暗号化される、請求項５又は８に記載の方法。
【請求項11】
安全な秘密鍵を生成するための第１の通信局と呼ばれる通信局（ＳＡ）であって、前記第１の通信局は衛星（Ｓａｔ）とセットアップされた量子暗号化チャネル（ＣＱＡＢ）上で第１の秘密鍵（ＫＥＫ）を受信するように構成され、前記第１の秘密鍵は前記量子暗号化チャネルを介して少なくとも１つの他の通信局（ＳＢ）にも伝送され、前記第１の通信局は、－真性乱数発生器（ＴＲＮＧ）を使用して第２の秘密鍵（ＫＳ）を生成すること、
－ワンタイムパッド法によって前記第１の秘密鍵（ＫＥＫ）及び第２の秘密鍵（ＫＳ）から暗号化秘密鍵（ＫＣ）を生成すること、
－前記暗号化秘密鍵（ＫＣ）を前記他の通信局（ＳＢ）に伝送すること
を行うように構成される暗号化モジュール（Ｍｏｄ）を含む、通信局（ＳＡ）。
【請求項12】
請求項１１に記載の第１の通信局（ＳＡ）を含む並びに他の通信局（ＳＢ）及び衛星（Ｓａｔ）を含む安全な秘密鍵を生成するためのシステム（１）であって、前記他の通信局（ＳＢ）は、前記安全な秘密鍵を形成する第２の秘密鍵（ＫＳ）を得るために第１の秘密鍵（ＫＥＫ）を使用して暗号化秘密鍵（ＫＣ）を復号するように構成される、システム（１）。
【請求項13】
安全な秘密鍵を生成するためのアセンブリ（ＳＡ＋ＳＬＡ）であって、前記アセンブリは請求項１１に記載の第１の通信局（ＳＡ）を含み及び第１のローカル通信局（ＳＬＡ）を含み、前記第１の通信局（ＳＡ）は、－量子暗号化チャネルを介して第１の秘密鍵Ａ（ＫＥＫＡ）及び前記第１の秘密鍵Ａとは異なる第１の秘密鍵Ｂ（ＫＥＫＢ）を受信することであって、前記第１の鍵及び前記第２の鍵は前記量子チャネルを介して第２の通信局（ＳＢ）にも伝送される、受信すること、
－前記第１の秘密鍵Ａ（ＫＥＫＡ）から及び前記第１の通信局によって生成された第２の安全な秘密鍵Ａ（ＫＳＡ）から第１の暗号化秘密鍵（ＫＣＡ）を生成し、それを前記第２の通信局（ＳＢ）に伝送すること、
－前記第１の秘密鍵Ｂ（ＫＥＫＢ）から及び前記第２の通信局によって生成された第２の安全な秘密鍵Ｂ（ＫＳＢ）から前記第２の通信局によって生成された第２の暗号化秘密鍵（ＫＣＢ）を受信すること、及び
－前記第２の安全な秘密鍵Ｂ（ＫＳＢ）を得るために前記第２の暗号化秘密鍵（ＫＣＢ）を前記第１の秘密鍵Ｂ（ＫＥＫＢ）で復号すること、
－ワンタイムパッド技法によって前記第２の安全な秘密鍵Ａ（ＫＳＡ）から及び前記第２の安全な秘密鍵Ｂ（ＫＳＢ）から共通秘密鍵と呼ばれる秘密鍵（ＫＡＢ）を生成すること、
－第１のローカル秘密鍵と呼ばれる秘密鍵（ＫＬＡ）を第１のローカル量子チャネルによって前記第１のローカル通信局（ＳＬＡ）に配送すること、
－前記ワンタイムパッド法によって前記第１のローカル秘密鍵（ＫＬＡ）から及び前記共通秘密鍵（ＫＡＢ）から第１の暗号化されたローカル秘密鍵（ＫＬＣＡ）を生成すること、及び
－前記第１の暗号化されたローカル秘密鍵（ＫＬＣＡ）を前記第１のローカル通信局（ＳＬＡ）に伝送すること
を行うように構成され、前記第１のローカル通信局は、前記共通秘密鍵（ＫＡＢ）を得るために前記第１のローカル秘密鍵（ＫＬＡ）を使用して前記第１の暗号化されたローカル秘密鍵（ＫＬＣＡ）を復号するように構成される、
アセンブリ（ＳＡ＋ＳＬＡ）。
【請求項14】
請求項１３に記載のアセンブリ（ＳＡ＋ＳＬＡ）、衛星（Ｓａｔ）、第２のローカル通信局（ＳＬＢ）を含む、及び暗号化モジュール（Ｍｏｄ）を含む第２の通信局（ＳＢ）を含むシステム（２）であって、前記第２の通信局は、
－前記第２の通信局（ＳＢ）において、第２の安全な秘密鍵Ａ（ＫＳＡ）を得るために第１の暗号化秘密鍵（ＫＣＡ）を第１の秘密鍵Ａ（ＫＥＫＡ）で復号すること、
－ワンタイムパッド技法によって前記第２の安全な秘密鍵Ａ（ＫＳＡ）から及び第２の安全な秘密鍵Ｂ（ＫＳＢ）から共通秘密鍵と呼ばれる秘密鍵（ＫＡＢ）を生成すること、
－前記第２の通信局において、前記ワンタイムパッド技法によって前記第２の安全な秘密鍵Ａ（ＫＳＡ）から及び前記第２の安全な秘密鍵Ｂ（ＫＳＢ）から前記共通秘密鍵（ＫＡＢ）を生成すること、
－第２のローカル秘密鍵（ＫＬＢ）を第２のローカル量子チャネル（ＣＬＢ）によって前記第２のローカル通信局（ＳＬＢ）に配送すること、
－前記ワンタイムパッド法によって前記第２のローカル秘密鍵（ＫＬＢ）から及び前記共通秘密鍵（ＫＡＢ）から第２の暗号化されたローカル秘密鍵（ＫＬＣＢ）を生成すること、及び
－前記第２の暗号化されたローカル秘密鍵（ＫＬＣＢ）を前記第２のローカル通信局に伝送すること
を行うように構成され、
前記第２のローカル通信局は、前記共通秘密鍵（ＫＡＢ）を得るために前記第２のローカル秘密鍵（ＫＬＢ）を使用して前記第２の暗号化されたローカル秘密鍵（ＫＬＣＢ）を復号するように構成される、
システム（２）。
【請求項15】
前記通信局が地上にあり、１００ｋｍ超離れている、請求項１２又は１４に記載のシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は情報技術セキュリティの分野に関し、より詳細には量子チャネル上での衛星による鍵配送の分野に関する。
【背景技術】
【0002】
秘密にしておかなければならない機密情報を公衆通信チャネル上で交換する必要が常にあった。Ａｌｉｃｅ及びＢｏｂの２人が、認証済みの公共通信チャネル（例えばインターネット）上で覗き見から保護された機密情報を交換したいと仮定されたい。それを行うには、Ａｌｉｃｅ及びＢｏｂは自らのメッセージを暗号化しなければならない。これらのメッセージを傍受しようとする人物をＥｖｅと呼ぶことにする。Ａｌｉｃｅは、公開されている暗号関数（つまり秘密でないもの）及び秘密鍵を使用して自分のメッセージを暗号化してから、公開チャネル上でＢｏｂに送信しなければならない。Ｂｏｂは暗号化メッセージを受信すると、その情報に平文でアクセスできるようになるためにＡｌｉｃｅと同じ暗号関数及び秘密鍵を使用して暗号化メッセージを復号しなければならない。
【0003】
ここで問題なのはＡｌｉｃｅとＢｏｂとの間で共有される秘密鍵であり、つまりその鍵がどのように生成され、どのように安全に交換され、覗き見から保護されるのかである。
【0004】
インターネット上での安全な交換中、ここでは詳細に説明しない公開鍵暗号法に基づく技法を使用して共有秘密鍵が確立される。２０世紀末に新しい解決策が考案された。その解決策は、Ｅｖｅが鍵を明らかにできることなしに、量子粒子（例えば光子）を交換することによってＡｌｉｃｅ及びＢｏｂが共通秘密鍵を確立できるようにする量子チャネルの使用を提案する。それでもなお、このＱＫＤ技法（ＱＫＤは量子鍵配送（Ｑｕａｎｔｕｍ Ｋｅｙ Ｄｉｓｔｒｉｂｕｔｉｏｎ）の略）には多数のユーザに及び非常に長い距離にわたって適用することを困難にする幾つかの制限がある。かかる制限は、やがて本技法を魅力的でなくし、従って産業的機会を生み出すのに十分収益的でなくする可能性がある。
【0005】
図１は、Ａｌｉｃｅ（コードの送信者）とＢｏｂ（コードの受信者）の２人のユーザが共通秘密鍵を確立することを可能にする量子チャネルのアーキテクチャを概略的に示す。鍵はランダムなビット列であり、従って０又は１の値を取り得る。この鍵を伝送するために、Ａｌｉｃｅは鍵の各ビットをＡｌｉｃｅが用意した光子の２つの偏光モードのうちの１つで符号化し、偏光モードの選択はランダムである。Ａｌｉｃｅは各ビット（従って各光子）についてランダムに選択された偏光モードを記録する。Ｂｏｂは、偏光フィルタ及びランダムに選択された２つの偏光モードで交互に向きを変えられる光子検出器を使い、検出結果（光子がフィルタを通過したか、又は光子がフィルタを通過しなかったか）及びフィルタの選択された向きを記録する。
【0006】
量子ビットの全シーケンスが伝送されると、Ａｌｉｃｅは各量子ビットに使用される偏光モードを認証済みのクリアチャネル上でＢｏｂに送る。Ｂｏｂは偏光方向が同じであったビットの値を推論することができる。ＢｏｂはＡｌｉｃｅが送信した２Ｎビットの平均Ｎビットを確実に知り、このシーケンスは訂正済み鍵と呼ばれる。
【0007】
最後に、ＡｌｉｃｅとＢｏｂは訂正済み鍵のサブセットに合意する。次いでＡｌｉｃｅとＢｏｂはこのサブセット内で同じビットを得ているかどうかを比較し、得ている場合は残りの鍵を使って暗号鍵を導出する。不一致がある場合、このプロセスは再び開始される。具体的には、Ｅｖｅが盗聴した場合、Ｅｖｅが（必ずしもＡｌｉｃｅのものではない）偏光モードに光子を強制することを量子複製不可能定理が保証する。従ってＥｖｅが５０％の確率でＡｌｉｃｅのモードを正しく推測した場合、訂正鍵内のビットの２５％が一致しないことになる。概して、訂正鍵のｎビットを犠牲にすることにより、Ａｌｉｃｅ及びＢｏｂは
の確率でチャネル上の潜在的なスパイを検出することができる。
【数1】
【0008】
地上ネットワークでは、光ファイバによってセットアップされた光通信チャネルを使用することができるので、量子チャネル上での鍵交換（又はより正確には鍵の確立）を容易に実現することができる。それでもなお、ＡｌｉｃｅとＢｏｂは１００ｋｍ超離れている場合はファイバによって単一偏光光子（又は非常に低強度の光パルス）を交換することができず、１００ｋｍは光ファイバの材料が光子を１００％吸収する確率の漸近線である。
【0009】
従って、量子チャネルネットワークのアーキテクチャはこの物理的制約によって大きな影響を受ける。この１００ｋｍという制限を克服するために２つの解決策が考案されている。
【0010】
考案された第１の解決策は、一定間隔（例えば１００ｋｍごと）に配置された所謂「高信頼ノード」を介して鍵を伝搬することである。図２Ａは、高信頼ノードが鍵を生成することを可能にする従来技術の装置を概略的に示す。高信頼ノードは、Ａｌｉｃｅと確立された鍵（鍵Ａ）及びＢｏｂと確立された鍵（鍵Ｂ）を平文で操作する。この高信頼ノードはＡｌｉｃｅとＢｏｂとの間に等距離に配置され、量子チャネル鍵の確立範囲を２００ｋｍまで広げることを可能にする。次に、高信頼ノードはワンタイムパッド技法を用いて鍵ＡをＢｏｂに伝送する。これを行うために、高信頼ノードはＡｌｉｃｅの鍵とＢｏｂの鍵にＸＯＲ（排他的論理和論理ゲート）を適用する。ここで及び本明細書の残りの部分で「ＸＯＲ」とは、記号
の「排他的論理和」又は「ＸＯＲ」論理ゲートによる２つの鍵の組み合わせを意味する。結果は認証済みのクリアチャネル上でＢｏｂに伝送される。鍵Ｂを保持するＢｏｂは、ノードＮｏ．２から受信したシーケンスと自分の鍵（鍵Ｂ）との間でＸＯＲを実行してＡｌｉｃｅの鍵（鍵Ａ）を復元することができる。
【数2】
【0011】
この最初の解決策はＸＯＲ関数の以下の特性、つまり
に基づくが、シーケンス鍵Ａ
鍵Ｂだけを知っていても鍵Ａ及び／又は鍵Ｂを決定できないことを保証するワンタイムパッド（ＯＴＰ）技法の使用にも基づく。ワンタイムパッド技法は以下の原理に基づく。暗号化しなければならない如何なるメッセージも、メッセージと同じサイズの厳密にランダムな鍵を使用して暗号化され、その鍵は暗号化メッセージを得るために平文メッセージと組み合わせられる。復号は、暗号化メッセージに対して同じ秘密鍵を使用して逆の操作を行うことによって達成される。以下の３つの絶対的な基本規則が守られているという条件で、この技法は攻撃者にとって利用可能な手段に関係なく理論的に破られないことがＣｌａｕｄｅ Ｓｈａｎｎｏｎによって証明されており、３つの絶対的な基本規則とはつまり：
－鍵は暗号化されるメッセージと同じ長さでなければならないこと、
－鍵は厳密にランダムでなければならず、即ち鍵の構成要素（ビット又は文字）は全て互いに独立していなければならないこと、
－各鍵（又はマスク）は単一のメッセージを暗号化するために１度だけ使用されなければならないこと
である。
【数3】
【数4】
－鍵は暗号化されるメッセージと同じ長さでなければならないこと、
－鍵は厳密にランダムでなければならず、即ち鍵の構成要素（ビット又は文字）は全て互いに独立していなければならないこと、
－各鍵（又はマスク）は単一のメッセージを暗号化するために１度だけ使用されなければならないこと
である。
【0012】
それでもなお、この最初の解決策は鍵を平文で操作する高信頼ノードが非常に高いセキュリティレベルで保護されることを必要とし、これは無視できない運用上の制約と追加コストを含意する。更にこの種の解決策は、海洋で隔てられた２人のユーザを相互接続するために実装することが、不可能ではないにせよ困難である（海洋下で１００ｋｍごとに高信頼ノードを実装するのは困難でありコストがかかる）。
【0013】
第２の解決策は光子の自由場交換、従って宇宙からの光子の交換である。この場合、１００ｋｍの光ファイバの制限はもはや適用されず、暗号鍵は宇宙からＱＫＤチャネル上で地球上のどこにいる２人のユーザにも配送することができる。この構成を図２Ｂに示す。この場合、衛星がＡｌｉｃｅと鍵Ａを、Ｂｏｂと鍵Ｂを確立し、従来の認証済み平文通信チャネル上で鍵Ａ
鍵ＢをＢｏｂに伝送するので、高信頼ノードとして機能するのは衛星である。地上では、鍵Ｂを保持するＢｏｂは、衛星が送信した鍵Ａ
鍵Ｂのシーケンスと鍵ＢのＸＯＲを行うことによってＡｌｉｃｅの鍵Ａを抽出することができる。ここで、衛星は低軌道にある場合、Ａｌｉｃｅ及びＢｏｂに対して相対的に移動する。従ってＡｌｉｃｅとＢｏｂとを隔てる距離がどうであれ、衛星は鍵Ａ及び鍵Ｂを確立し、鍵Ａ
鍵Ｂの組み合わせを配送することができる移動高信頼ノードとして機能し、ＡｌｉｃｅとＢｏｂが共通秘密鍵（鍵Ａ）を共有することを可能にする。
【数5】
【数6】
【数7】
【0014】
それでもなお、宇宙からの量子鍵配送技法には幾つかの大きな欠点があり、その欠点とはつまり：
－悪天候の場合（雲、又は更には大気汚染：エアロゾルの存在）は光チャネルが利用できないこと、
－得られる鍵のビットレートが低く、せいぜい毎秒数キロビットであること（準備及び測定プロトコルを有する低軌道の衛星）、
－ユーザが実際に必要とする時期よりも前にかなり長期間（数ヶ月）にわたって確立された鍵を記憶する必要があり、その鍵は衛星とインタフェースするために使用される地上のアクセスポイント内に記憶されること
である。
－悪天候の場合（雲、又は更には大気汚染：エアロゾルの存在）は光チャネルが利用できないこと、
－得られる鍵のビットレートが低く、せいぜい毎秒数キロビットであること（準備及び測定プロトコルを有する低軌道の衛星）、
－ユーザが実際に必要とする時期よりも前にかなり長期間（数ヶ月）にわたって確立された鍵を記憶する必要があり、その鍵は衛星とインタフェースするために使用される地上のアクセスポイント内に記憶されること
である。
【0015】
これらの欠点は、この種のインフラが地上の非常に多くのユーザ（１０００人未満）によって採用されることを想定できなくする。現時点では、宇宙からのＱＫＤは、国家機関及び例えばエネルギインフラ等の極めて関心の深いシステム間のやり取りを安全にすることのみ想定されている。
【0016】
本発明は、従来技術の一定の問題を克服することを目的とする。この目的のために、本発明の１つの主題は、より多くの安全な秘密鍵を生成し地上のユーザに配送できるようにするための、ワンタイムパッド（ＯＴＰ）技法を使用して安全な秘密鍵を生成するためのシステム及び方法である。本発明では、安全な秘密鍵は、地球を周回する衛星によりＱＫＤによって最初に確立される第１の秘密鍵から生成される。従って、複数の安全な秘密鍵を生成するために、ＱＫＤによって得られる単一の第１の秘密鍵が必要となる。ＱＫＤ及びＯＴＰのどちらの技法も量子の脅威に対して耐性があるため、本発明の方法は量子コンピュータの脅威に対するセキュリティを保証しつつ、地上の多数の相互接続ユーザに対するグローバルＱＫＤシステムの可用性を高めることを可能にする。
【発明の概要】
【課題を解決するための手段】
【0017】
この目的のために、本発明の１つの主題は、
Ａ．送信局と呼ばれる通信局において、衛星とセットアップされた量子暗号化チャネル上で第１の秘密鍵を受信するステップであって、前述の第１の秘密鍵は前述の量子暗号化チャネルによって少なくとも１つの他の通信局にも伝送されている、受信するステップと、
Ｂ．前述の送信局において、真性乱数発生器を使用して第２の秘密鍵を生成するステップと、
Ｃ．ワンタイムパッド法によって第１の秘密鍵及び第２の秘密鍵から暗号化秘密鍵を生成するステップと、
Ｄ．前述の暗号化秘密鍵を送信局から１つ又は複数の他の通信局に伝送するステップと
を含む、安全な秘密鍵を生成するための方法である。
Ａ．送信局と呼ばれる通信局において、衛星とセットアップされた量子暗号化チャネル上で第１の秘密鍵を受信するステップであって、前述の第１の秘密鍵は前述の量子暗号化チャネルによって少なくとも１つの他の通信局にも伝送されている、受信するステップと、
Ｂ．前述の送信局において、真性乱数発生器を使用して第２の秘密鍵を生成するステップと、
Ｃ．ワンタイムパッド法によって第１の秘密鍵及び第２の秘密鍵から暗号化秘密鍵を生成するステップと、
Ｄ．前述の暗号化秘密鍵を送信局から１つ又は複数の他の通信局に伝送するステップと
を含む、安全な秘密鍵を生成するための方法である。
【0018】
或る好ましい実施形態によれば、本発明の方法は、ステップＤに続いて、１つ又は複数の他の通信局において、前述の安全な秘密鍵を形成する前述の第２の秘密鍵を得るために第１の秘密鍵を使用して前述の暗号化秘密鍵を復号するステップＥを含む。
【0019】
好ましくは、この好ましい実施形態では、第１の秘密鍵、第２の秘密鍵、及び暗号化秘密鍵は２進符号化され、暗号化秘密鍵は第１の秘密鍵と第２の秘密鍵とを結合するＸＯＲ論理ゲートによって生成され、暗号化秘密鍵は暗号化秘密鍵と第１の秘密鍵とを結合するＸＯＲ論理ゲートによって復号される。
【0020】
好ましくは、この好ましい実施形態では、全て第１の秘密鍵から生成される複数の安全な秘密鍵を形成するためにステップＢからステップＥを複数回繰り返す。
【0021】
好ましくは、この好ましい実施形態では、本発明の方法が、前述の安全な秘密鍵を使用して非ランダムメッセージを暗号化し、次いで暗号化された非ランダムメッセージを或る通信局から別の通信局に伝送する後続のステップＦ、及び前述の安全な秘密鍵を使用して前述の暗号化された非ランダムメッセージを復号する後続のステップＧを含む。
【0022】
或る好ましい実施形態によれば、第１の通信局において、第１の秘密鍵Ａと、第１の秘密鍵Ａとは異なる第１の秘密鍵Ｂとを受信するためにステップＢの前にステップＡが２回繰り返され、第１の鍵及び第２の鍵は前述の量子チャネルを介して第２の通信局にも伝送され、第１の秘密鍵Ａから及び第１の通信局によって生成された第２の安全な秘密鍵Ａから第１の暗号化秘密鍵を生成し、それを前述の第２の通信局に伝送するためにステップＢからステップＤが第１の通信局によって実行され、前述の方法は前述の第１の通信局によって実行される追加ステップＤ’Ｅ、Ｆ’、Ｇ’、及びＨを含み、前述のステップＤ’Ｅは、
－第１の秘密鍵Ｂから及び第２の通信局によって生成された第２の安全な秘密鍵Ｂから第２の通信局によって生成された第２の暗号化秘密鍵を受信すること、及び
－前述の第２の安全な秘密鍵Ｂを得るために前述の第２の暗号化秘密鍵を第１の秘密鍵Ｂで復号すること
で構成され、前述のステップＦ’は、ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから共通秘密鍵と呼ばれる秘密鍵を生成することで構成され、
前述のステップＧ’は、
－第１のローカル秘密鍵と呼ばれる秘密鍵を第１のローカル量子チャネルによって第１のローカル通信局に配送すること、
－ワンタイムパッド法によって第１のローカル秘密鍵から及び共通秘密鍵から第１の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第１の暗号化されたローカル秘密鍵を前述の第１のローカル通信局に伝送すること
で構成され、前述のステップＨは、前述の第１のローカル通信局において、前述の共通秘密鍵を得るために第１のローカル秘密鍵を使用して前述の第１の暗号化されたローカル秘密鍵を復号することで構成される。
－第１の秘密鍵Ｂから及び第２の通信局によって生成された第２の安全な秘密鍵Ｂから第２の通信局によって生成された第２の暗号化秘密鍵を受信すること、及び
－前述の第２の安全な秘密鍵Ｂを得るために前述の第２の暗号化秘密鍵を第１の秘密鍵Ｂで復号すること
で構成され、前述のステップＦ’は、ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから共通秘密鍵と呼ばれる秘密鍵を生成することで構成され、
前述のステップＧ’は、
－第１のローカル秘密鍵と呼ばれる秘密鍵を第１のローカル量子チャネルによって第１のローカル通信局に配送すること、
－ワンタイムパッド法によって第１のローカル秘密鍵から及び共通秘密鍵から第１の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第１の暗号化されたローカル秘密鍵を前述の第１のローカル通信局に伝送すること
で構成され、前述のステップＨは、前述の第１のローカル通信局において、前述の共通秘密鍵を得るために第１のローカル秘密鍵を使用して前述の第１の暗号化されたローカル秘密鍵を復号することで構成される。
【0023】
好ましくは、この好ましい実施形態では、ステップＤ’Ｅは、第２の通信局において、前述の第２の安全な秘密鍵Ａを得るために第１の秘密鍵Ａを用いて前述の第１の暗号化秘密鍵を復号することを含み、ステップＦ’は、第２の通信局において、ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから前述の共通秘密鍵を生成することを含み、前述の方法は、
－第２のローカル秘密鍵を第２のローカル量子チャネルによって第２のローカル通信局に配送すること、
－ワンタイムパッド法によって第２のローカル秘密鍵から及び共通秘密鍵から第２の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第２の暗号化されたローカル秘密鍵を前述の第２のローカル通信局に伝送すること
を含むステップＧ’を含み、前述のステップＨは、第２のローカル通信局において、前述の共通秘密鍵を得るために第２のローカル秘密鍵を使用して前述の第２の暗号化されたローカル秘密鍵を復号することを含む。
－第２のローカル秘密鍵を第２のローカル量子チャネルによって第２のローカル通信局に配送すること、
－ワンタイムパッド法によって第２のローカル秘密鍵から及び共通秘密鍵から第２の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第２の暗号化されたローカル秘密鍵を前述の第２のローカル通信局に伝送すること
を含むステップＧ’を含み、前述のステップＨは、第２のローカル通信局において、前述の共通秘密鍵を得るために第２のローカル秘密鍵を使用して前述の第２の暗号化されたローカル秘密鍵を復号することを含む。
【0024】
好ましくは本方法は、ステップＨの後の及び第１のローカル通信局によって実行される、前述の共通秘密鍵を使用して非ランダムメッセージを暗号化し、次いで暗号化された非ランダムメッセージを第２のローカル通信局に伝送するステップＩを含み、前述の方法は、ステップＩの後の及び第２のローカル通信局によって実行される、前述の共通秘密鍵を使用して前述の暗号化された非ランダムメッセージを復号するステップＪを含む。
【0025】
好ましくは、第１の秘密鍵と第２の秘密鍵とが同じサイズである。
【0026】
好ましくは、非ランダムメッセージが対称暗号化法、例えばブロック暗号化又はストリーム暗号化によって暗号化される。
【0027】
本発明の別の主題は、安全な秘密鍵を生成するための第１の通信局と呼ばれる通信局であり、前述の第１の通信局は、衛星とセットアップされた量子暗号化チャネル上で第１の秘密鍵を受信するように構成され、前述の第１の秘密鍵は前述の量子暗号化チャネルを介して少なくとも１つの他の通信局にも伝送され、前述の第１の通信局は、
－真性乱数発生器を使用して第２の秘密鍵を生成すること、
－ワンタイムパッド法によって第１の秘密鍵及び第２の秘密鍵から暗号化秘密鍵を生成すること、
－前述の暗号化秘密鍵を前述の他の通信局に伝送すること
を行うように構成される暗号化モジュールを含む。
－真性乱数発生器を使用して第２の秘密鍵を生成すること、
－ワンタイムパッド法によって第１の秘密鍵及び第２の秘密鍵から暗号化秘密鍵を生成すること、
－前述の暗号化秘密鍵を前述の他の通信局に伝送すること
を行うように構成される暗号化モジュールを含む。
【0028】
本発明の別の主題は、第１の通信局を含む並びに前述の他の通信局及び前述の衛星を含むシステムであり、前述の他の通信局は、前述の安全な秘密鍵を形成する前述の第２の秘密鍵を得るために第１の秘密鍵を使用して前述の暗号化秘密鍵を復号するように構成される。
【0029】
本発明の別の主題は、安全な秘密鍵を生成するためのアセンブリであり、前述のアセンブリは、前述の第１の通信局を含み及び第１のローカル通信局を含み、前述の第１の通信局は、
－前述の量子暗号化チャネルを介して第１の秘密鍵Ａ及び第１の秘密鍵Ａとは異なる第１の秘密鍵Ｂを受信することであって、第１の鍵及び第２の鍵は前述の量子チャネルを介して第２の通信局にも伝送される、受信すること、
－第１の秘密鍵Ａから及び第１の通信局によって生成された第２の安全な秘密鍵Ａから第１の暗号化秘密鍵を生成し、それを前述の第２の通信局に伝送すること、
－第１の秘密鍵Ｂから及び第２の通信局によって生成された第２の安全な秘密鍵Ｂから第２の通信局によって生成された第２の暗号化秘密鍵を受信すること、及び
－前述の第２の安全な秘密鍵Ｂを得るために前述の第２の暗号化秘密鍵を第１の秘密鍵Ｂで復号すること、
－ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから共通秘密鍵と呼ばれる秘密鍵を生成すること、
－第１のローカル秘密鍵と呼ばれる秘密鍵を第１のローカル量子チャネルによって前述の第１のローカル通信局に配送すること、
－ワンタイムパッド法によって第１のローカル秘密鍵から及び共通秘密鍵から第１の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第１の暗号化されたローカル秘密鍵を前述の第１のローカル通信局に伝送すること
を行うように構成され、前述の第１のローカル通信局は、前述の共通秘密鍵を得るために第１のローカル秘密鍵を使用して前述の第１の暗号化されたローカル秘密鍵を復号するように構成される。
－前述の量子暗号化チャネルを介して第１の秘密鍵Ａ及び第１の秘密鍵Ａとは異なる第１の秘密鍵Ｂを受信することであって、第１の鍵及び第２の鍵は前述の量子チャネルを介して第２の通信局にも伝送される、受信すること、
－第１の秘密鍵Ａから及び第１の通信局によって生成された第２の安全な秘密鍵Ａから第１の暗号化秘密鍵を生成し、それを前述の第２の通信局に伝送すること、
－第１の秘密鍵Ｂから及び第２の通信局によって生成された第２の安全な秘密鍵Ｂから第２の通信局によって生成された第２の暗号化秘密鍵を受信すること、及び
－前述の第２の安全な秘密鍵Ｂを得るために前述の第２の暗号化秘密鍵を第１の秘密鍵Ｂで復号すること、
－ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから共通秘密鍵と呼ばれる秘密鍵を生成すること、
－第１のローカル秘密鍵と呼ばれる秘密鍵を第１のローカル量子チャネルによって前述の第１のローカル通信局に配送すること、
－ワンタイムパッド法によって第１のローカル秘密鍵から及び共通秘密鍵から第１の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第１の暗号化されたローカル秘密鍵を前述の第１のローカル通信局に伝送すること
を行うように構成され、前述の第１のローカル通信局は、前述の共通秘密鍵を得るために第１のローカル秘密鍵を使用して前述の第１の暗号化されたローカル秘密鍵を復号するように構成される。
【0030】
本発明の別の主題は、アセンブリ、衛星、第２のローカル通信局を含む、及び暗号化モジュールを含む第２の通信局を含むシステムであり、第２の通信局は、
－第２の通信局において、前述の第２の安全な秘密鍵Ａを得るために前述の第１の暗号化秘密鍵を第１の秘密鍵Ａで復号すること、
－ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから共通秘密鍵と呼ばれる秘密鍵を生成すること、
－第２の通信局において、ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから前述の共通秘密鍵を生成すること、
－第２のローカル秘密鍵を第２のローカル量子チャネルによって第２のローカル通信局に配送すること、
－ワンタイムパッド法によって第２のローカル秘密鍵から及び共通秘密鍵から第２の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第２の暗号化されたローカル秘密鍵を前述の第２のローカル通信局に伝送すること
を行うように構成され、第２のローカル通信局は、前述の共通秘密鍵を得るために第２のローカル秘密鍵を使用して前述の第２の暗号化されたローカル秘密鍵を復号するように構成される。
－第２の通信局において、前述の第２の安全な秘密鍵Ａを得るために前述の第１の暗号化秘密鍵を第１の秘密鍵Ａで復号すること、
－ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから共通秘密鍵と呼ばれる秘密鍵を生成すること、
－第２の通信局において、ワンタイムパッド技法によって第２の安全な秘密鍵Ａから及び第２の安全な秘密鍵Ｂから前述の共通秘密鍵を生成すること、
－第２のローカル秘密鍵を第２のローカル量子チャネルによって第２のローカル通信局に配送すること、
－ワンタイムパッド法によって第２のローカル秘密鍵から及び共通秘密鍵から第２の暗号化されたローカル秘密鍵を生成すること、及び
－前述の第２の暗号化されたローカル秘密鍵を前述の第２のローカル通信局に伝送すること
を行うように構成され、第２のローカル通信局は、前述の共通秘密鍵を得るために第２のローカル秘密鍵を使用して前述の第２の暗号化されたローカル秘密鍵を復号するように構成される。
【0031】
好ましくは、本システムでは通信局が地上にあり、１００ｋｍ超離れている。
【0032】
本発明の他の特徴、詳細、及び利点は、例として与え以下の内容をそれぞれ示す添付図面に関して与える説明を読めば明らかになる。
【0033】
本発明の他の特徴、詳細、及び利点は、例として与え以下の内容をそれぞれ示す添付図面に関して与える説明を読めば明らかになる。
【図面の簡単な説明】
【0034】
【図1】従来技術によるＱＫＤ装置の概略図である。
【図2A】ＱＫＤによって鍵を生成するための従来技術の衛星ベースの装置の概略図である。
【図2B】高信頼ノードが鍵を生成することを可能にする従来技術の装置の概略図である。
【図3A】本発明による安全な秘密鍵を生成するためのシステムの概略図である。
【図3B】本発明による安全な秘密鍵を生成するための方法の概略図である。
【図3C】本発明の方法の好ましい実施形態による安全な秘密鍵を生成するための方法の概略図である。
【図4A】本発明の一実施形態による安全な秘密鍵を生成するためのシステムの概略図である。
【図4B】本発明の方法の好ましい実施形態による安全な秘密鍵を生成するための方法の概略図である。
【図5A】本発明の一実施形態による安全な秘密鍵を生成するためのシステムの概略図である。
【図5B】本発明による安全な秘密鍵を生成するための方法の概略図である。
【図6A】本発明の一実施形態によるシステムの概略図である。
【図6B】本発明による安全な秘密鍵を生成するための方法の概略図である。
【発明を実施するための形態】
【0035】
別段の定めがない限り、図中の要素は縮尺通り描かれていない。
【0036】
図３Ａは、少なくとも２つの通信局ＳＡ、ＳＢ及び衛星Ｓａｔを含む、本発明による安全な秘密鍵を生成するためのシステム１の概略図を示す。非限定的な例として、図３Ａは、システム１が第１の通信局ＳＡ及び第２の通信局ＳＢを含む実施形態を示す。或いは別の実施形態によれば、本発明のシステムは３つ以上の通信局を含む。
【0037】
図３Ｂは、システム１の第１の通信局ＳＡによって実装される本発明による安全な秘密鍵を生成するための方法を概略的に示す。
【0038】
本発明の方法の第１のステップＡで、通信局ＳＡは、量子暗号化チャネルＣＱＡＢ上で衛星Ｓａｔから第１の秘密鍵ＫＥＫを受信するように構成される。この第１の秘密鍵ＫＥＫは、量子暗号化チャネルＣＱＡＢ上で少なくとも１つの他の通信局ＳＢ、即ち図３Ａに示すシステム内の局ＳＢにも伝送される。このステップは当業者に知られており、衛星による従来のＱＫＤで構成される（図２Ｂ参照）。本発明のシステムでは、衛星Ｓａｔが局ＳＡを局ＳＢに接続する高信頼ノードとして機能し、従って局ＳＡ及びＳＢは光ファイバを採用するＱＫＤチャネルの限界である１００ｋｍを超える距離離れていてもよい。
【0039】
本発明の方法のステップＢで、第１の通信局ＳＡが、真性乱数発生器ＴＲＮＧを使用して第２の秘密鍵ＫＳを生成するように構成される。この種の発生器ＴＲＮＧは当業者に知られている。例えばこの生成器は量子乱数発生器（ＱＲＮＧ）であり得る。この場合、乱数は予測不可能な量子現象に基づいて作り出される。
【0040】
ステップＣで、第１の通信局ＳＡが、ワンタイムパッド（ＯＴＰ）法によって第１の秘密鍵ＫＥＫから及び第２の秘密鍵ＫＳから暗号化秘密鍵ＫＣを生成する。ワンタイムパッド技法のセキュリティを確保するために、本発明では第１の秘密鍵と第２の秘密鍵とが同じサイズである（即ち同じ鍵サイズを有する）。より一般的には、本明細書の残りの部分では、ワンタイムパッド技法を実装する全てのステップが同じサイズの２つの鍵を組み合わせる。
【0041】
図３Ｂの方法は、暗号化秘密鍵ＫＣを第１の通信局ＳＡから他の通信局、即ち図３Ａの実施形態における通信局ＳＢに伝送する最後のステップＤを含む。この伝送は、局ＳＡと局ＳＢとを結ぶ安全で認証されたチャネルＣＳＡＢ上で行われる。
【0042】
ステップＢからステップＤは第１の通信局ＳＡのモジュールＭｏｄによって実行される。
【0043】
第２の秘密鍵ＫＳは安全な秘密鍵を形成する。具体的には、図３Ｂの方法の最後に、局ＳＢのユーザＵＢは、第２の秘密鍵ＫＳを得るために、ＱＫＤにより衛星Ｓａｔ経由で配送された第１の秘密鍵ＫＥＫを用いて暗号化秘密鍵ＫＣを復号することができる（図３Ｃの方法参照）。ここで本発明の方法のステップＢ（即ち第２の秘密鍵の生成）は容易に繰り返すことができ、衛星経由のＱＫＤによる鍵生成の制限（低いビットレート、悪天候に対する感度等）に悩まされることはない。従って本発明では、ＱＫＤによって得られる単一の第１の秘密鍵ＫＥＫが、ワンタイムパッド法によって複数の安全な秘密鍵を生成することを、これらの安全な秘密鍵を第１の秘密鍵ＫＥＫと組み合わせることによって可能にする。鍵ＫＥＫは、ここでは第２の安全な秘密鍵を安全に交換することを可能にする暗号プリミティブである。従って本発明の方法は、衛星経由でＱＫＤによって配送される秘密鍵の数を大幅に減らすことを可能にし、この技法で達成可能な低い鍵レートによって引き起こされる問題に対する洗練された解決策を提供する。本発明の方法で実装される技法（ＱＫＤ及びＯＴＰ）は量子の脅威に対して耐性があるため、本発明の方法は地上の多数の相互接続されたユーザに対するグローバルＱＫＤシステムの可用性を高めることを可能にする。しかし本発明では、局ＳＡと局ＳＢとの間で交換することが望まれる非ランダムメッセージを暗号化するために鍵ＫＥＫを再利用しないことが重要である（下記参照）。本発明の方法では、第２の安全な秘密鍵ＫＳは実際にはランダム「メッセージ」であり、従って同じ鍵を再利用しても危険はない。
【0044】
以下の例は本発明の方法が安全である理由を示す。局ＳＡのユーザＵＡが２つの第２の鍵ＫＳ１及びＫＳ２を作成したと仮定し、局ＳＢのユーザであるＵＢに転送するために、ユーザＵＡはこれらの鍵を同じ鍵ＫＥＫで暗号化することに決めた。これらの鍵は２進数で符号化されるものとする。従って暗号化秘密鍵を暗号化するステップは、第１の秘密鍵及び第２の秘密鍵のＸＯＲで構成される。
【0045】
ＫＳ１を使用して暗号化した秘密鍵をＫＣ１と表記する。
【数8】
【0046】
ＫＳ２を使用して暗号化した秘密鍵をＫＣ２と表記する。
【数9】
【0047】
スパイのＥｖｅは、ＱＫＤによって配送された同じ鍵ＫＥＫを用いて暗号化された２つのメッセージを傍受する。彼女は情報的に何を取り出すことができるだろうか。
【0048】
Ｅｖｅはこれらの２つの暗号化メッセージをＸＯＲして第１の秘密鍵ＫＥＫの影響を除去することができる。
【数10】
【0049】
従って、Ｅｖｅは以下の情報を自由に使える。
【数11】
【0050】
これらの３つのシーケンスは、他の如何なるランダムメッセージに対しても統計的優位性がないランダムメッセージ間のＸＯＲを表す。
【0051】
ＫＣ１とＫＣ２との間のＸＯＲは、実際にＥｖｅがＫＥＫの影響を除去することを可能にする。しかし、ＫＳ１及びＫＳ２も鍵であり、従って厳密にランダムなメッセージであるため、単純にＥｖｅが得る全てのメッセージがことによると正しいものであるかも知れないので、統計的解析による攻撃更には総当たり攻撃をＥｖｅが行うことは不可能である。Ｅｖｅは最初の平文メッセージを明らかにすることを可能にする情報を有さない。逆に、このような
の組み合わせに基づき、等確率の第１の秘密鍵ＫＥＫを使って２つの暗号化メッセージＫＣ１及びＫＣ２をもたらす平文メッセージ候補の（鍵のサイズを差し引いた）無限数の対をＥｖｅは得ることになる。
【数12】
【0052】
従って本発明では、第２の秘密鍵がランダムメッセージ（即ち全て等確率）であることは、暗号化のセキュリティを損なうことなしに、ＵＡ及びＵＢがそれらの鍵を同じ第１の秘密鍵ＫＥＫを使用して暗号化することを可能にする。
【0053】
図３Ｂの方法の全てのステップは第１の局ＳＡによって実装され、従って数百キロメートル又は数千キロメートル離れた様々な局に分散されるのではなく、同じ地理的領域内に「局在化」されることを指摘しておく。
【0054】
図３Ｃは、本発明の方法の或る好ましい実施形態を示す。この方法は、同じく衛星Ｓａｔ及び局ＳＢを含む図３Ａのシステム１によって実装される。図３Ｃの方法は、ステップＤの後の及び暗号化秘密鍵ＫＣが伝送された通信局、即ち図３Ａの実施形態では局ＳＢによって実施されるステップＥを含む。このステップＥは、安全な秘密鍵を形成する第２の秘密鍵ＫＳを得るために第１の秘密鍵ＫＥＫを使用して暗号化秘密鍵ＫＣを復号することで構成される。このステップは、交換したい非ランダムメッセージを暗号化するために後で使用する安全な秘密鍵を２つの局ＳＡ及びＳＢが得ることを可能にするので必要である。
【0055】
好ましくは、本発明の方法では、第２の秘密鍵及び暗号化秘密鍵が２進数で符号化される。この実施形態では、暗号化秘密鍵ＫＣは第１の秘密鍵ＫＥＫと第２の秘密鍵ＫＳとを結合するＸＯＲ論理ゲートによって生成される。従って、ステップＣは、
となる。この実施形態では、暗号化秘密鍵ＫＣ及び第１の秘密鍵ＫＥＫの組み合わせにより、復号ステップＥがＸＯＲ論理ゲートによって実行される。従って、ステップＥは、
となる。説明の残りの部分では、非限定的な例として全ての鍵が２進数で符号化されると考え、ＯＴＰ暗号化の各ステップは暗号化に使用される鍵のＸＯＲで構成されると考え、ＯＴＰによって暗号化された鍵を暗号化する各ステップは、ＯＴＰ暗号化に使用される２つの鍵の１つと暗号化された鍵とのＸＯＲで構成されると考える。
【数13】
【数14】
【0056】
上記で説明したように、本発明の方法によって複数の第２の安全な秘密鍵を生成し交換するために単一の第１の秘密鍵ＫＥＫが必要である。従って図３Ｃの方法の或る好ましい実施形態では、全て第１の秘密鍵ＫＥＫから生成される複数の安全な秘密鍵ＫＳ１，ＫＳ２，．．．，ＫＳｎを形成するためにステップＢからステップＥを複数回繰り返す。
【0057】
図４Ａは、図４Ｂの方法を実装するように構成された、本発明のシステム１の一実装形態を示す。この方法は図３Ｃの方法の好ましい実施形態であり、局ＳＡ及びＳＢ間で非ランダムメッセージＭを交換することを可能にする。図４Ｂの方法は、２つの追加ステップＦ及びＧを含む。通信局の１つ、例えばＳＡ内で実行されるステップＦは、
－本発明の方法によって生成された安全な秘密鍵ＫＳを使用して非ランダムメッセージＭを暗号化すること、及び
－暗号化された非ランダムメッセージＭＣを通信局ＳＡから別の通信局ＳＢに伝送することで構成される。このメッセージは、好ましくは局ＳＡと局ＳＢとを結ぶ安全で認証されたチャネル、例えばチャネルＣＳＡＢ上で交換される。
－本発明の方法によって生成された安全な秘密鍵ＫＳを使用して非ランダムメッセージＭを暗号化すること、及び
－暗号化された非ランダムメッセージＭＣを通信局ＳＡから別の通信局ＳＢに伝送することで構成される。このメッセージは、好ましくは局ＳＡと局ＳＢとを結ぶ安全で認証されたチャネル、例えばチャネルＣＳＡＢ上で交換される。
【0058】
更に図３Ｄの方法は、暗号化された非ランダムメッセージＭＣを安全な秘密鍵ＫＳを使用して復号することで構成される最後のステップＧを含む。図４Ｂの方法は本発明の方法の究極の目標である。この方法は、全て第１の秘密鍵ＫＥＫから生成された複数の安全な秘密鍵ＫＳ１，ＫＳ２，．．．，ＫＳｎを使用して複数の暗号化された非ランダムメッセージＭＣ１，ＭＣ２，．．．，ＭＣｎを交換することを可能にする。
【0059】
図３Ｄの方法において交換される１つ又は複数の非ランダムメッセージＭの機密性を損なわないために、ステップＦで、本発明の方法によって生成された安全な秘密鍵ＫＳの１つと共にワンタイムパッド法を使用して非ランダムメッセージが暗号化されないことが必要である。具体的には、ＵＡがこの暗号化を実行すると仮定されたい。従ってＵＡは、
の形式で暗号化されて伝送された第２の秘密鍵ＫＳ１で第１のメッセージＭ１を暗号化し、次いで
の形式で同じく伝送された第２の秘密鍵ＫＳ２で第２のメッセージＭ２を暗号化する。この場合、Ｅｖｅは依然として暗号化メッセージを傍受し、情報を取り出す目的で幾つかの操作を行うことができる：
【数15】
【数16】
【0060】
以下の暗号化メッセージをＭＣ１と表記する。
【数17】
【0061】
以下の暗号化メッセージをＭＣ２と表記する。
【数18】
【0062】
Ｅｖｅは暗号化秘密鍵ＫＣ１、ＫＣ２を自由に使える。Ｅｖｅは暗号化秘密鍵ＫＣ１、ＫＣ２をＭＣ１、ＭＣ２と組み合わせて以下を得ることができる。
【数19】
【0063】
これでＥｖｅは、平文の非ランダムメッセージを同じ第１の秘密鍵ＫＥＫと組み合わせた２つの暗号化シーケンスの等価物を有する。従ってＥｖｅはこの２つのシーケンスを以下のように「ｘｏｒ」することができる。
【数20】
【0064】
Ｅｖｅは第１の秘密鍵ＫＥＫの影響を除去し、２つの非ランダムメッセージの組み合わせを表すシーケンス
を得た。このシーケンスに基づき、Ｅｖｅは総当たり攻撃又は統計的解析を行って非ランダムメッセージＭ１及びＭ２をそこから抽出することができ、そのことはＥｖｅが第１の秘密鍵ＫＥＫを決定することを更に可能にする。
【数21】
【0065】
従って、非ランダムメッセージＭのセキュリティを損なうことを回避するために、本発明では非ランダムメッセージを対称暗号化法、例えばブロック暗号化又はストリーム暗号化によって暗号化される。
【0066】
図５Ａは、図３Ａに示す本発明の装置１の或る特定の実施形態を形成する、安全な鍵を生成するためのシステム２を示す。システム１に加えて、システム２は、第１のローカル通信局ＳＬＡ及び第２のローカル通信局ＳＬＢを含む。システム２では、局ＳＡ及びＳＢがどちらも暗号化モジュールＭｏｄを含む。図５Ｂは、システム２のアセンブリＳＡ＋ＳＬＡによって実装される、本発明による安全な秘密鍵を生成するための方法を概略的に示す。以下で説明するように、図５Ｂの方法は、ローカル局ＳＬＡ及びＳＬＢそれぞれの２人のユーザＵＡ及びＵＢが、ローカル局ＳＬＡ又はＳＬＢがそれぞれ接続される局ＳＡ又はＳＢによって共通秘密鍵ＫＡＢをローカルに確立することを可能にする。このシステム２及び関連する方法の利点は、衛星Ｓａｔによる局ＳＡ及びＳＢへのＱＫＤ配送をユーザＵＡ及びＵＢが管理する必要性を回避できるようにすることである。従って衛星との通信は、例えばファイバベースの短距離量子チャネルによってエンドユーザＵＡ及びＵＢが接続されるゲートウェイ局ＳＡ、ＳＢを介して行われる。
【0067】
図５Ｂの方法では、ＫＥＫＡと表記する第１の秘密鍵Ａ、及び第１の秘密鍵Ａとは異なるＫＥＫＢと表記する第１の秘密鍵Ｂを第１の通信局ＳＡにおいて受信するために、本発明の方法のステップＡがステップＢの前に２回繰り返される。本発明の方法の説明の中で明記したように、これらの第１の秘密鍵ＫＥＫＡ及びＫＥＫＢはチャネルＱＣＡＢ上で衛星Ｓａｔ経由でＱＫＤによって配送され、同様のやり方で第２の通信局ＳＢにも伝送される。衛星Ｓａｔ経由でＱＶＫによって配送される第１の秘密鍵ＫＥＫＡ及びＫＥＫＢを２つの局ＳＡ及びＳＢが記憶できる必要がある。
【0068】
図５Ｂの方法では、第１の暗号化秘密鍵ＫＣＡを生成するために、本発明の方法のステップＢからステップＤが第１の通信局ＳＡによって実行される。この鍵ＫＣＡは、第１の秘密鍵ＫＥＫＡ及びＫＳＡと表記する第２の安全な秘密鍵Ａから生成される。従ってこのステップは：
で構成される。この鍵ＫＳＡは、真性乱数発生器によって第１の通信局ＳＡによって生成され、第２の通信局ＳＢに伝送される。
【数22】
【0069】
本方法は、第１の通信局ＳＡによって実行される追加ステップＤ’Ｅ、Ｆ’、Ｇ’、及びＨを更に含み、ステップＤ’Ｅは、
－第１の秘密鍵ＫＥＫＢから及び第２の通信局ＳＢによって生成されたＫＳＢと表記する第２の安全な秘密鍵Ｂから第２の通信局によって生成された第２の暗号化秘密鍵ＫＣＢ、即ち
を受信すること、及び
－第２の安全な秘密鍵ＫＳＢを得るために第２の暗号化秘密鍵ＫＣＢを第１の秘密鍵ＫＥＫＢで復号すること、即ち
で構成される。
－第１の秘密鍵ＫＥＫＢから及び第２の通信局ＳＢによって生成されたＫＳＢと表記する第２の安全な秘密鍵Ｂから第２の通信局によって生成された第２の暗号化秘密鍵ＫＣＢ、即ち
【数23】
－第２の安全な秘密鍵ＫＳＢを得るために第２の暗号化秘密鍵ＫＣＢを第１の秘密鍵ＫＥＫＢで復号すること、即ち
【数24】
【0070】
ステップＦ’は、共通秘密鍵と呼ばれる秘密鍵ＫＡＢを、ワンタイムパッド技法によって第２の安全な秘密鍵ＫＳＡから及び第２の安全な秘密鍵ＫＳＢから生成することで構成される。別の言い方をすれば、
となる。これを行うために、ステップＦ’が実行される前にステップＢからステップＤ及びステップＤ’Ｅが終了していなければならない。従って、ステップＦ’の前にステップＢからステップＤ及びステップＤ’Ｅを実行することができるように、局ＳＡ及びＳＢは同期して第２の安全な鍵ＫＳＡ及びＫＳＢをそれぞれ確立できる必要がある。
【数25】
【0071】
図５Ｂの方法のステップＧ’は以下の内容で構成される。
－第１のローカル秘密鍵と呼ばれる秘密鍵ＫＬＡを第１のローカル量子チャネルＣＬＡ上で第１のローカル通信局ＳＬＡに配送すること。このチャネルＣＬＡは、局ＳＡと局ＳＬＡとを光ファイバによって結ぶ単純なＱＫＤ量子チャネルである。従って、これらの局ＳＡ及びＳＬＡ間の距離は１００ｋｍ未満である。
－ワンタイムパッド法によって第１のローカル秘密鍵ＫＬＡから及び共通秘密鍵ＫＡＢから第１の暗号化されたローカル秘密鍵ＫＬＣＡ、即ち
を生成すること。
－第１の暗号化されたローカル秘密鍵ＫＬＣＡを第１のローカル通信局ＳＬＡに伝送すること。
－第１のローカル秘密鍵と呼ばれる秘密鍵ＫＬＡを第１のローカル量子チャネルＣＬＡ上で第１のローカル通信局ＳＬＡに配送すること。このチャネルＣＬＡは、局ＳＡと局ＳＬＡとを光ファイバによって結ぶ単純なＱＫＤ量子チャネルである。従って、これらの局ＳＡ及びＳＬＡ間の距離は１００ｋｍ未満である。
－ワンタイムパッド法によって第１のローカル秘密鍵ＫＬＡから及び共通秘密鍵ＫＡＢから第１の暗号化されたローカル秘密鍵ＫＬＣＡ、即ち
【数26】
－第１の暗号化されたローカル秘密鍵ＫＬＣＡを第１のローカル通信局ＳＬＡに伝送すること。
【0072】
図５Ｂの方法のステップＨは、第１のローカル通信局ＳＬＡにおいて、共通秘密鍵ＫＡＢを得るために第１のローカル秘密鍵ＫＬＡを使用して第１の暗号化されたローカル秘密鍵ＫＬＣＡを復号することで構成される。従ってこのステップは、
で構成される。
【数27】
【0073】
図３Ｂの方法と同様に、図５Ｂの方法の様々なステップはアセンブリＳＡ＋ＳＬＡによって実装され、従って数百キロメートル又は数千キロメートル離れた様々な局に分散されるのではなく、同じ地理的領域内に「局在化」される。
【0074】
図５Ｂの方法の最後に並びに局ＳＢ及びＳＬＢによって一定のステップが実装されることを条件とし（図５Ｃの方法参照）、ユーザＵＡ及びＵＢは、自分たちだけが知っており、自分たちの通信を安全にするために使用することができる共通秘密鍵ＫＡＢを保持する。ここで、この操作はＵＡ及びＵＢが通信する必要がある限り何度でも同じＫＥＫＡ及びＫＥＫＢの対を用いて繰り返すことができるが、システムの他の任意のユーザに関しても同様である。具体的には、ユーザＵＡ及びＵＢは、他のユーザ用の他の共通秘密鍵を確立するために局ＳＡ及びＳＢが使用する第１の秘密鍵ＫＥＫＡ及びＫＥＫＢの対を決定する方法を有さない。従って、この第１の秘密鍵ＫＥＫＡ及びＫＥＫＢの対は安全且つ秘密のままである。
【0075】
図５Ｂの方法の利点は、以下の図５Ｃの説明から明らかになる。図５Ｃは、図５Ｂの方法の或る好ましい実施形態を示す。この方法は、図５Ｂの方法と同様に、アセンブリＳＡ＋ＳＬＡによってだけではなく、図５Ａのシステム２によって実装される。
【0076】
図５Ｃの方法では、ステップＤ’Ｅは、第２の通信局ＳＢにおいて、前述の第２の安全な秘密鍵Ａ ＫＳＡを得るために、第１の暗号化秘密鍵ＫＣＡを第１の秘密鍵ＫＥＫＡで復号することを更に含む。従ってこのステップは、
で構成される。
【数28】
【0077】
図５Ｃの方法のステップＦ’は、第２の通信局ＳＢにおいて、ワンタイムパッド技法によって第２の安全な秘密鍵ＫＳＡから及び第２の安全な秘密鍵Ｂ ＫＳＢから共通秘密鍵ＫＡＢを生成することを含む。
【0078】
図５Ｃの方法では、ステップＧ’が以下を更に含む：
ｉ．第２のローカル秘密鍵ＫＬＢを第２のローカル量子チャネルＣＬＢによって第２のローカル通信局ＳＬＢに配送すること。第１のローカル量子チャネルＣＬＡと同様に、ＣＬＢは局ＳＢと局ＳＬＢとを光ファイバによって結ぶＱＫＤ量子チャネルである。従って、これらの局ＳＢ及びＳＬＢ間の距離は１００ｋｍ未満である。
ｉｉ．ワンタイムパッド法によって第２のローカル秘密鍵ＫＬＢから及び共通秘密鍵ＫＡＢから第２の暗号化されたローカル秘密鍵ＫＬＣＢを生成すること。
ｉｉｉ．前述の第２の暗号化されたローカル秘密鍵ＫＬＣＢを第２のローカル通信局ＳＬＢに伝送すること。
ｉ．第２のローカル秘密鍵ＫＬＢを第２のローカル量子チャネルＣＬＢによって第２のローカル通信局ＳＬＢに配送すること。第１のローカル量子チャネルＣＬＡと同様に、ＣＬＢは局ＳＢと局ＳＬＢとを光ファイバによって結ぶＱＫＤ量子チャネルである。従って、これらの局ＳＢ及びＳＬＢ間の距離は１００ｋｍ未満である。
ｉｉ．ワンタイムパッド法によって第２のローカル秘密鍵ＫＬＢから及び共通秘密鍵ＫＡＢから第２の暗号化されたローカル秘密鍵ＫＬＣＢを生成すること。
ｉｉｉ．前述の第２の暗号化されたローカル秘密鍵ＫＬＣＢを第２のローカル通信局ＳＬＢに伝送すること。
【0079】
最後に図５Ｃの方法のステップＨは、第２のローカル通信局ＳＬＢにおいて、前述の共通秘密鍵ＫＡＢを得るために第２のローカル秘密鍵ＫＬＢを使用して第２の暗号化されたローカル秘密鍵ＫＬＣＢを復号することを含む。鍵が２進数で符号化されている場合、このステップは、
で構成される。
【数29】
【0080】
上記で説明したように、図５Ｃの方法の終了時に、ローカル通信局ＳＬＡ及びＳＬＢのユーザＵＡ及びＵＢは、自分たちだけが知っており、自分たちの通信を安全にするために使用することができる共通秘密鍵ＫＡＢを保持する。肝要なことに、オペレータＵＡ及びＵＢは、局ＳＡ及びＳＢによって配送され、他のユーザ用の共通秘密鍵を生成するために使用される第１の秘密鍵ＫＥＫＡ及びＫＥＫＢの対を決定する方法を有さない。従って鍵ＫＥＫＡ及びＫＥＫＢの対は、生成される共通秘密鍵のセキュリティを損なうことなしに、全てのユーザに関して及びそれらのユーザが望むだけ何度でも使用することができる。この結果を以下に示す。
【0081】
局ＳＬＡ及びＳＬＢのユーザＵＡ及びＵＢ、並びにＥｖｅが取得できる全ての情報を検討されたい。
がある。加えて、
及び
がある。最後に、Ｅｖｅには知られておらず、ＵＡ及びＵＢだけが知っている「最終的な」共通秘密鍵を表す
がある。
【数30】
【数31】
【数32】
【数33】
【0082】
Ｅｖｅは以下のアクションを試みることができる。
しかし、どの項も簡略化されず、情報を抽出することができない。
【数34】
【0083】
Ｅｖｅは
という組み合わせを試みることができる。この場合、Ｅｖｅは複数のランダムな秘密シーケンス間のＸＯＲを得るが、そこから有用な情報を抽出することはできない。
【数35】
【0084】
同様に、Ｅｖｅは
という組み合わせを試みることができる。この場合もやはり、Ｅｖｅは２つのランダムな秘密鍵間のＸＯＲを得るが、そこから何も抽出することはできない。
【数36】
【0085】
Ｅｖｅが試み得る先の組み合わせに加え、ＵＡ及びＵＢは共通秘密鍵ＫＡＢを保持しているため他の組み合わせを試みることができる。
【0086】
従ってＵＡ及びＵＢは、
という組み合わせを試みることができる。ＵＡ及びＵＢは、
も試みることができる。この場合もやはり、結果は２つのランダムな秘密シーケンス間のＸＯＲであり、ＵＡ（又はＵＢ）は、局ＳＡ及びＳＢによって記憶される第１の秘密鍵ＫＥＫＡ及びＫＥＫＢの何れかを決定すること、更には第２の安全な秘密鍵ＫＳＢ及びＫＳＢを決定することさえできない。
【数37】
【数38】
【0087】
図５Ｃの方法では、局ＳＡは、共通秘密鍵であって、それを必要とするユーザに配送され得る、共通秘密鍵を何時でも確立できるようにするために、局ＳＢと共通にＱＫＤによって配送される２つの第１の秘密鍵ＫＥＫＡ、ＫＥＫＢだけを必要とする。衛星は、大量の秘密鍵を事前に確立する必要はもはやない。共通秘密鍵は局ＳＡ及びＳＢの要求に応じて非常に迅速に生成することができ、そのことは地上のユーザ数を増加させること、従ってシステム２の全体的な可用性を高めることを可能にする。
【0088】
図６Ａは、図６Ｂの方法を実装するように構成される本発明のシステム２の一実装形態を示す。この方法は、図５Ｃの方法の或る好ましい実施形態である。図６Ｂの方法は、ステップＨの後の及び第１のローカル通信局ＳＬＡによって実行される、前述の共通秘密鍵ＫＡＢを使用して非ランダムメッセージＭを暗号化し、次いで暗号化された非ランダムメッセージＭＣを第２のローカル通信局ＳＬＢに伝送するステップＩを含む。このメッセージは、好ましくは安全で認証されたチャネルＣＳＡＢ上で交換される。図６Ｂの方法は、ステップＩの後の及び第２のローカル通信局によって実行される、共通秘密鍵ＫＡＢを使用して前述の暗号化された非ランダムメッセージを復号するステップＪを含む。
【0089】
図６Ｂの方法は、図５Ｃの方法の究極の目標である。この方法は、局ＳＡ及びＳＢによって第１の秘密鍵ＫＥＫＡ、ＫＥＫＢの単一の対から全てローカルに生成される複数の共通秘密鍵ＫＡＢを使用して暗号化された複数の非ランダムメッセージを局ＳＬＡ及びＳＬＢが交換することを可能にする。
【0090】
好ましくは、第１の暗号化秘密鍵ＫＣＡ及び第２の暗号化秘密鍵ＫＣＢは、共通認証鍵に基づいて計算されたメッセージ認証コード（ＭＡＣ）を使用し、チャネルＣＳＡＢ等の安全で認証されたチャネル上で伝送される。
【0091】
本発明のシステム１又は２の或る好ましい実施形態では、通信局ＳＡ及びＳＢが地上にあり１００ｋｍ超離れている。具体的には、局ＳＡ及びＳＢがこの距離よりも近い場合、安全な秘密鍵を交換するのに、光ファイバによって２つの局を結ぶ単純なＱＫＤチャネルで十分である。
【図1】
【図2A】
【図2B】
【図3A】
【図3B】
【図3C】
【図4A】
【図4B】
【図5A】
【図5B】
【図5C】
【図6A】
【図6B】
【国際調査報告】