量子暗号

不信暗号では、参加者同士が互いを信頼しません。たとえば、アリスとボブが協力して何らかの計算を実行する場合、両者が秘密の入力を入力します。しかし、アリスはボブを信頼しておらず、ボブもアリスを信頼していません。したがって、暗号タスクの安全な実装には、計算完了後、アリスはボブが不正をしていないことを保証され、ボブもアリスが不正をしていないことを保証される必要があります。不信暗号におけるタスクの例としては、コミットメントスキームや安全な計算があり、後者にはコイン投げや秘匿転送などの例が含まれます。鍵配布は不信暗号の領域には含まれません。不信量子暗号は、量子システムを使用して不信暗号の領域を研究します。

量子鍵配送では量子物理学の法則のみに基づいて無条件の安全性が達成できるのに対し、不信暗号のさまざまなタスクでは、量子物理学の法則のみに基づいて無条件に安全なプロトコルを達成することは不可能であることを示す不可能性定理が存在する。しかし、プロトコルが量子力学だけでなく特殊相対性理論も利用する場合、これらのタスクの一部は無条件の安全性で実装できる。たとえば、無条件に安全な量子ビットコミットメントは、Mayers ^{[ 27 ]}および Lo と Chau ^{[ 28 ]}によって不可能であることが示された。無条件に安全な理想的な量子コイン投げは、Lo と Chau ^{[ 29 ]}によって不可能であることが示された。さらに、Lo は、1 対 2 の秘匿転送やその他の安全な 2 者間計算に対して無条件に安全な量子プロトコルは存在しないことを示した^{[ 30 ]} 。しかし、コイン投げとビットコミットメントに対する無条件に安全な相対論的プロトコルは、Kent によって示されている^{[ 31 ] [ 32 ] 。}

量子コイン投げ

量子鍵配送とは異なり、量子コイン投げは互いに信頼していない2人の参加者間で行われるプロトコルです。^{[ 33 ]}参加者は量子チャネルを介して通信し、量子ビットの送信を通じて情報を交換します。^{[ 34 ]}しかし、アリスとボブは互いに信頼していないため、それぞれが相手が不正行為をすると予想します。したがって、アリスもボブも、望ましい結果を生み出すために相手に対して大きな優位性を得ることができないようにするために、より多くの努力を費やす必要があります。特定の結果に影響を与える能力はバイアスと呼ばれ、不正行為として知られる不正直なプレイヤーのバイアスを減らすためのプロトコルの開発に重点が置かれています。 ^{[ 35 ] [ 36 ]}量子コイン投げを含む量子通信プロトコルは、古典的な通信に比べて大きなセキュリティ上の利点があることが示されていますが、実際の世界で実現するのは難しいと考えられています。^{[ 33 ]}

コイン投げプロトコルは一般的に次のように行われます。^{[ 37 ]}

1. アリスは基底（直線基底または対角基底）を選択し、その基底でボブに送信する光子列を生成する。
2. ボブは各光子を直線基底または対角基底でランダムに測定することを選択し、使用した基底と測定値を記録します。
3. ボブは、アリスが量子ビットを送信する際に使用した基底を公然と推測する。
4. アリスは自分が使用した基底を発表し、元の文字列をボブに送った。
5. ボブはアリスの文字列を自分の表と比較することで確認する。アリスの基底を用いてボブが測定した値とは完全に相関し、その逆とは全く相関しないはずである。

不正行為は、あるプレイヤーが特定の結果に影響を与えたり、その確率を高めようとしたりする場合に発生します。プロトコルは、いくつかの形態の不正行為を抑制します。たとえば、アリスはステップ4で、ボブが自分の初期基底を正しく推測したにもかかわらず、ボブが誤って推測したと主張することで不正行為を行うことができますが、アリスはその後、反対側のテーブルでボブが測定したものと完全に相関する新しい量子ビット列を生成する必要があります。^{[ 37 ]}一致する量子ビット列を生成する確率は、送信された量子ビットの数とともに指数関数的に減少し、ボブが不一致に気づけば、アリスが嘘をついていることが分かります。アリスは、状態の混合を使用して光子列を生成することもできますが、ボブは、アリスの列がテーブルの両側と部分的に（ただし完全にではない）相関することを容易に確認し、その過程でアリスが不正行為を行ったことを知るでしょう。^{[ 37 ]}また、現在の量子デバイスには固有の欠陥があります。エラーや失われた量子ビットはボブの測定に影響を与え、ボブの測定テーブルに穴が生じます。測定における重大な損失は、ステップ5におけるボブによるアリスの量子ビットシーケンスの検証能力に影響を与える。

アリスが不正を働くための理論的に確実な方法の1つは、アインシュタイン・ポドルスキー・ローゼン（EPR）パラドックスを利用することです。EPRペアの2つの光子は反相関関係にあります。つまり、同じ基底で測定すれば、常に反対の偏光が見られることになります。アリスはEPRペアの列を生成し、各ペアの光子を1つずつボブに送り、もう1つを自分で保存することができます。ボブが推測を述べると、アリスは自分のEPRペアの光子を反対の基底で測定し、ボブの反対のテーブルと完全に相関させることができます。^{[ 37 ]}ボブはアリスが不正を働いたことに決して気づかないでしょう。しかし、これには現在の量子技術にはない能力が必要であり、実際には不可能です。これを成功させるには、アリスはすべての光子をかなりの時間保存し、ほぼ完璧な効率で測定できる必要があります。これは、保存中または測定中に光子が失われると、列に穴が開いてしまい、アリスはそれを推測で埋めなければならないからです。推測の回数が増えるほど、アリスはボブに不正が発覚するリスクが高まります。

無条件に安全な量子コミットメントおよび量子秘匿転送（OT）プロトコルを構築する一つの方法として、限定量子ストレージモデル（BQSM）を用いる方法がある。このモデルでは、攻撃者が保存できる量子データの量は、既知の定数Qによって制限されると仮定される。しかし、攻撃者が保存できる古典的（すなわち非量子）データの量には制限は課されない。

BQSMでは、コミットメント転送プロトコルとオブリビアス転送プロトコルを構築できます。^{[ 44 ]}基本的な考え方は次のとおりです。プロトコルの参加者は、Q量子ビット（キュービット）を超えるデータを交換します。不正な参加者でさえ、そのすべての情報を保存することはできません（攻撃者の量子メモリはQキュービットに制限されています）ので、データの大部分は測定するか破棄する必要があります。不正な参加者にデータの大部分を測定させることで、プロトコルは不可能な結果を​​回避でき、コミットメント転送プロトコルとオブリビアス転送プロトコルを実装できるようになります。^{[ 27 ]}

Damgård、Fehr、Salvail、およびSchaffner ^{[ 44 ]}によって提示されたBQSMのプロトコルは、正直なプロトコル参加者が量子情報を一切保存しないことを前提としていません。技術的な要件は、量子鍵配送プロトコルの要件と類似しています。したがって、これらのプロトコルは、少なくとも原理的には、今日の技術で実現可能です。通信の複雑さは、攻撃者の量子メモリの上限Qよりも定数倍大きいだけです。

BQSMの利点は、攻撃者の量子メモリが限られているという前提が非常に現実的である点にある。現在の技術では、単一の量子ビットを十分な時間にわたって確実に保存することさえ難しい。（「十分な時間」の意味はプロトコルの詳細によって異なる。プロトコルに人為的な一時停止を導入することで、攻撃者が量子データを保存する必要がある時間を任意に長くすることができる。）

BQSM の拡張として、Wehner、Schaffner、Terhalによって導入されたノイズストレージモデルがあります。^{[ 45 ]}敵対者の量子メモリの物理的なサイズの上限を考慮する代わりに、敵対者は任意のサイズの不完全な量子ストレージデバイスを使用することが許されます。不完全性のレベルは、ノイズのある量子チャネルによってモデル化されます。ノイズレベルが十分に高い場合、BQSM と同じプリミティブを実現でき^{[ 46 ]}、BQSM はノイズストレージモデルの特殊なケースを形成します。

古典的な設定では、攻撃者が保存できる古典的（非量子）データの量に上限があると仮定すれば、同様の結果が得られます。^{[ 47 ]}しかし、このモデルでも、正直な当事者は大量のメモリ（つまり、攻撃者のメモリ上限の平方根）を使用する必要があることが証明されています。^{[ 48 ]}このため、これらのプロトコルは現実的なメモリ上限では実用的ではありません。（ハードディスクなどの今日の技術では、攻撃者は大量の古典的データを安価に保存できることに注意してください。）

位置ベースの量子暗号の目標は、プレイヤーの地理的位置をその（唯一の）認証情報として使用することです。たとえば、特定の位置にいるプレイヤーにメッセージを送信し、受信者がその特定の位置にいる場合にのみメッセージが読み取れることを保証したいとします。位置検証の基本的なタスクでは、プレイヤーであるアリスは、（正直な）検証者に自分が特定の場所にいることを納得させたいと考えています。Chandran らは、古典的なプロトコルを使用した位置検証は、共謀する敵対者（証明者が主張する位置以外のすべての位置を制御する者）に対しては不可能であることを示しました。^{[ 49 ]}敵対者に対するさまざまな制約の下では、スキームが可能です。

「量子タグ付け」という名称で、最初の位置ベースの量子スキームは2002年にケントによって研究されました。2006年に米国特許^{[ 50 ]}が付与されました。位置検証に量子効果を使用するという概念は、2010年に初めて科学文献に登場しました。^{[ 51 ] [ 52 ]} 2010年に位置検証のための他のいくつかの量子プロトコルが提案された後、^{[ 53 ] [ 54 ]} Buhrmanらは一般的な不可能性の結果を主張しました。^{[ 55 ]}膨大な量の量子もつれ（正直なプレイヤーが操作する量子ビットの数に対して、二重指数関数的な数のEPRペアを使用）を使用することで、共謀する敵対者は常に、検証者に対して主張された位置にいるように見せかけることができます。しかし、この結果は、有界またはノイズのある量子ストレージ モデルにおける実用的なスキームの可能性を排除するものではありません (上記参照)。後に、Beigi と König は、位置検証プロトコルに対する一般的な攻撃に必要な EPR ペアの量を指数関数的に増加させました。また、特定のプロトコルは、線形量の EPR ペアしか制御できない攻撃者に対しても安全であることを示しました。^{[ 56 ] [ 57 ]}では、時間とエネルギーの結合により、量子効果による形式的な無条件の位置検証の可能性は未解決の問題であると主張されています。位置ベースの量子暗号の研究は、ポートベースの量子テレポーテーションのプロトコルとも関連しています。これは、多数の EPR ペアが同時にポートとして使用される、より高度なバージョンの量子テレポーテーションです。

量子暗号プロトコルは、そのセキュリティが使用される量子デバイスが真実であることを信頼することに依存しない場合、デバイス非依存である。したがって、そのようなプロトコルのセキュリティ分析では、不完全なデバイスや悪意のあるデバイスのシナリオを考慮する必要がある。 ^{[ 58 ]} MayersとYao ^{[ 59 ]}は、「自己テスト」量子装置を使用して量子プロトコルを設計するというアイデアを提案した。この装置の内部動作は、入出力統計によって一意に決定できる。その後、Roger Colbeckは論文^{[ 60 ]}で、デバイスの誠実性をチェックするためにベルテストを使用することを提案した。それ以来、ベルテストを実行する実際のデバイスが実質的に「ノイズが多い」、つまり理想的とは程遠い場合でも、無条件に安全でデバイス非依存のプロトコルを許容するいくつかの問題が示されてきた。これらの問題には 、量子鍵配送^{[ 61 ] [ 62 ]} 、乱数拡張^{[ 62 ] [ 63 ]}、乱数増幅^{[ 64 ]}が含まれる。

2018年にArnon-Friedmanらが行った理論的研究では、後に「エントロピー蓄積定理（EAT）」と呼ばれるエントロピーの特性（漸近等分配特性の拡張）を利用することで、デバイス非依存プロトコルのセキュリティを保証できることが示唆されている。^{[ 65 ]}

量子鍵配送の理論的基礎は、単一光子源の使用を前提としている。しかし、そのような光源の構築は困難であり、現実世界のほとんどの量子暗号システムは、情報伝達の媒体として微弱なレーザー光源を使用している。^{[ 117 ]}これらの多光子源は、盗聴攻撃、特に光子分割攻撃の可能性を開く。^{[ 118 ]}盗聴者イブは、多光子源を分割して、1つのコピーを自分のために保持することができる。^{[ 118 ]}その後、残りの光子は、イブがデータのコピーを取得したという測定や痕跡なしにボブに送信される。^{[ 118 ]}科学者たちは、盗聴者の存在をテストするおとり状態を使用することで、多光子源のセキュリティを維持できると考えている。^{[ 118 ]}しかし、2016年に科学者たちはほぼ完璧な単一光子源を開発し、近い将来開発できると推定している。^{[ 119 ]}

実際には、量子鍵配送装置では、アリス用とボブ用にそれぞれ1つずつ、複数の単一光子検出器が使用されます。^{[ 117 ]}これらの光検出器は、わずか数ナノ秒の短い時間内に入射光子を検出するように調整されています。^{[ 120 ]} 2つの検出器の製造上の違いにより、それぞれの検出ウィンドウは有限量だけずれます。^{[ 120 ]}盗聴者イブは、アリスの量子ビットを測定し、「偽の状態」をボブに送信することで、この検出器の非効率性を利用することができます。^{[ 120 ]}イブはまずアリスから送られた光子を捕捉し、次にボブに送信する別の光子を生成します。^{[ 120 ]}イブは、「偽の」光子の位相とタイミングを操作して、ボブが盗聴者の存在を検出できないようにします。^{[ 120 ]}この脆弱性を解消する唯一の方法は、光検出器の効率の差をなくすことですが、光路長の差、配線長の差、その他の欠陥を引き起こす有限の製造公差があるため、これは困難です。^{[ 120 ]}

以下に挙げる実際的な課題を踏まえ、いくつかの組織は量子鍵配送の代わりに「ポスト量子暗号（または量子耐性暗号）」の使用を推奨している。

1. 米国国家安全保障局、^{[ 121 ]}
2. 欧州連合サイバーセキュリティ機関（ENISA）^{[ 122 ]}
3. 英国国家サイバーセキュリティセンター、^{[ 123 ]}
4. フランス国防安全保障事務局（ANSSI）^{[ 124 ]}
5. ドイツ連邦情報セキュリティ庁（BSI）^{[ 125 ]}
6. オーストラリアのASD ^{[ 126 ]}
7. オランダ国家通信保安庁（NLNCSA）
8. およびスウェーデン国家通信保安局、スウェーデン軍^{[ 127 ]}例えば、米国国家安全保障局は 5 つの問題に取り組んでいます。^{[ 121 ]}

• 量子鍵配送（QKD）は部分的な解決策に過ぎません。QKDは機密性を提供する暗号化アルゴリズムの鍵生成材料を生成します。このような鍵生成材料は、元のQKD送信が目的のエンティティから送信されたことを暗号学的に保証できる場合（つまり、エンティティソース認証がある場合）、対称鍵暗号アルゴリズムで完全性と認証を提供するためにも使用できます。QKDはQKD送信元を認証する手段を提供しません。したがって、ソース認証には、非対称暗号または事前配置された鍵を使用して認証を行う必要があります。さらに、QKDが提供する機密性サービスは、一般的にコストが低く、リスクプロファイルがよりよく理解されている量子耐性暗号によって提供できます。
• 量子鍵配送（QKD）には専用の機器が必要です。QKDは物理特性に基づいており、そのセキュリティは独自の物理層通信によって確保されています。そのため、ユーザーは専用の光ファイバー回線をリースするか、自由空間送信機を物理的に管理する必要があります。ソフトウェアやネットワーク上のサービスとして実装することはできず、既存のネットワーク機器に容易に統合することもできません。QKDはハードウェアベースであるため、アップグレードやセキュリティパッチの適用における柔軟性にも欠けます。
• 量子鍵配送は、インフラコストと内部脅威リスクを増加させる。量子鍵配送ネットワークでは、多くの場合、信頼できる中継局の利用が必要となるため、安全な施設のための追加コストと、内部脅威によるセキュリティリスクが増大する。これにより、多くのユースケースが検討対象から除外される。
• 量子鍵配送のセキュリティ確保と検証は大きな課題です。QKDシステムによって実際に提供されるセキュリティは、物理法則に基づく理論上の無条件のセキュリティ（モデル化され、しばしば提案されているもの）ではなく、ハードウェアとエンジニアリング設計によって達成できるより限定的なセキュリティです。しかし、暗号セキュリティにおけるエラー許容度は、ほとんどの物理エンジニアリングシナリオで利用可能なものよりも桁違いに小さいため、検証が非常に困難です。QKDを実行するために使用される特定のハードウェアは脆弱性を引き起こす可能性があり、その結果、商用QKDシステムに対するいくつかの広く知られた攻撃が発生しています。^{[ 128 ]}
• 量子鍵配送は、サービス拒否攻撃のリスクを高める。QKDの安全性に関する主張の理論的根拠である盗聴者に対する感度も、サービス拒否攻撃がQKDにとって重大なリスクであることを示している。

上記の問題1への対応として、ポスト量子暗号（または量子耐性暗号）を用いた認証キーの配信が世界中で提案されている。一方、量子耐性暗号は計算セキュリティのクラスに属する暗号である。2015年には、「情報理論的に安全でない認証キーを使用する場合、システム全体の情報理論的セキュリティを実現するために実装において十分な注意を払う必要がある」（認証キーが情報理論的に安全でない場合、攻撃者はそれを破ってすべての古典的および量子的通信を制御し、それらを中継して中間者攻撃を開始することができる）という研究結果が既に発表されている。^{[ 129 ]}民間企業のエリクソンも上記の問題を指摘し、ネットワークセキュリティ技術の最近のトレンドであるゼロトラストセキュリティモデルをサポートできない可能性があるというレポートを発表している。^{[ 130 ]}

量子暗号、特にBB84プロトコルは、物理学とコンピュータ科学の教育において重要なトピックとなっています。量子暗号を教える上での課題は、技術的な要件と量子力学の概念的な複雑さにあります。しかし、教育目的の簡略化された実験装置が普及しつつあり、^{[ 131 ]}学部生が高度な量子技術を必要とせずに量子鍵配送（QKD）の基本原理に触れることができるようになっています。