量子鍵配送

量子鍵配布( QKD ) は、量子力学の要素を含む暗号化プロトコルを実装する安全な通信方法です。これにより、2 つの当事者が自分だけが知っている共有のランダムな秘密鍵を生成し、その鍵を使用してメッセージを暗号化および復号化できます。量子鍵配布のプロセスは、量子暗号化タスクの最もよく知られた例であるため、 量子暗号化と混同しないでください。

量子鍵配布の重要かつユニークな特性は、通信する 2 人のユーザーが鍵に関する情報を得ようとする第三者の存在を検出できることです。これは量子力学の基本的な側面から生じます。つまり、量子システムを測定するプロセスは一般にシステムを乱します。鍵を盗聴しようとする第三者は、何らかの方法で鍵を測定する必要があり、その結果、検出可能な異常が発生します。量子重ね合わせや量子エンタングルメントを使用し、量子状態で情報を送信することで、盗聴を検出する通信システムを実装できます。盗聴のレベルが特定のしきい値を下回る場合、安全であることが保証された鍵を生成できます (つまり、盗聴者はその鍵に関する情報を持っていません)。それ以外の場合は、安全な鍵は不可能であり、通信は中止されます。

量子鍵配送を使用する暗号化のセキュリティは、従来の公開鍵暗号化とは対照的に、量子力学の基礎に依存しています。従来の公開鍵暗号化は、特定の数学関数の計算の難しさに依存しており、使用される一方向関数を逆にする実際の複雑さについて数学的な証明を提供できません。QKD は、情報理論と前方秘匿性に基づく証明可能なセキュリティを備えています。

量子鍵配布の主な欠点は、通常、認証された古典的な通信チャネルに依存することです。 ^{[要出典]現代の暗号化では、認証された古典的なチャネルを持つということは、十分な長さの}対称鍵または十分なセキュリティ レベルの公開鍵のいずれかをすでに交換していることを意味します。そのような情報がすでに利用可能であれば、実際には、 Advanced Encryption Standardのガロア/カウンター モードを使用するなどして、QKD を使用せずに認証された十分に安全な通信を実現できます。したがって、QKD はストリーム暗号の機能を何倍ものコストで実行します。

量子鍵配送は、メッセージデータの送信ではなく、鍵の生成と配送のみに使用されます。この鍵は、任意の暗号化アルゴリズムと組み合わせて使用​​してメッセージを暗号化（および復号化）し、標準の通信チャネルを介して送信できます。QKDに最もよく関連付けられるアルゴリズムはワンタイムパッドです。これは、秘密のランダムキーと組み合わせて使用​​すると安全であることが証明されているためです。 ^[1]実際の状況では、Advanced Encryption Standardアルゴリズムなどの対称鍵アルゴリズムを使用した暗号化で使用されることもよくあります。

量子通信では、ビットを使用する従来の通信とは対照的に、量子状態、つまり量子ビットに情報をエンコードします。通常、これらの量子状態には光子が使用されます。量子鍵配布では、これらの量子状態の特定の特性を利用してセキュリティを確保します。量子鍵配布にはいくつかの異なるアプローチがありますが、どの特性を利用するかによって 2 つの主要なカテゴリに分けることができます。

プロトコルの準備と測定

古典物理学とは対照的に、測定行為は量子力学の不可欠な部分です。一般に、未知の量子状態を測定すると、その状態が何らかの形で変化します。これは量子不確定性の結果であり、通信の盗聴（必然的に測定を伴う）を検出するために、またさらに重要なことに、傍受された情報の量を計算するために利用できます。

エンタングルメントベースのプロトコル

2 つ (またはそれ以上) の別々の物体の量子状態は、個別の物体としてではなく、結合された量子状態によって記述される必要があるような方法で互いにリンクされることがあります。これはエンタングルメントと呼ばれ、たとえば、一方の物体で測定を実行すると、もう一方の物体にも影響が及ぶことを意味します。エンタングルメントされた物体のペアが 2 つの当事者間で共有されている場合、いずれかの物体を傍受すると、システム全体が変更され、第三者の存在 (および取得した情報量) が明らかになります。

これら 2 つのアプローチは、それぞれさらに 3 つのプロトコル ファミリに分類できます。離散変数、連続変数、分散位相参照コーディングです。離散変数プロトコルは最初に発明され、現在でも最も広く実装されています。他の 2 つのファミリは、主に実験の実際的な制限を克服することに関係しています。以下に説明する 2 つのプロトコルは、どちらも離散変数コーディングを使用しています。

このプロトコルは、発明者と発表年にちなんでBB84と呼ばれ、もともとは光子の偏光状態を使用して情報を送信すると説明されていました。^[2]ただし、共役状態の任意の 2 組をプロトコルに使用でき、BB84 として説明されている多くの光ファイバーベースの実装では位相エンコードされた状態を使用します。送信者 (従来はAliceと呼ばれます) と受信者 (Bob) は、量子状態を送信できる量子通信チャネルで接続されます。光子の場合、このチャネルは通常、光ファイバーか、単に自由空間です。さらに、放送ラジオやインターネットなどのパブリックな古典チャネルを介して通信します。このプロトコルは、盗聴者(Eve と呼ばれます) が量子チャネルに何らかの方法で干渉できるが、古典チャネルは認証される必要があるという前提で設計されています。^{[3] [4]}

プロトコルのセキュリティは、情報を非直交状態でエンコードすることから生まれます。量子不確定性とは、これらの状態は一般に元の状態を乱さずに測定できないことを意味します (複製禁止定理を参照)。BB84 は、各ペアが他のペアと共役で、ペア内の 2 つの状態が互いに直交している 2 組の状態を使用します。直交状態のペアは基底と呼ばれます。通常使用される偏光状態ペアは、垂直 (0°) と水平 (90°) の直線基底、 45° と 135° の対角基底、または左利きと右利きの円基底のいずれかです。これらの基底の任意の 2 つは互いに共役であるため、プロトコルでは任意の 2 つを使用できます。以下では、直線基底と対角基底が使用されます。

BB84 の最初のステップは量子伝送です。アリスはランダムビット(0 または 1) を作成し、2 つの基底 (この場合は直線または対角) のどちらかをランダムに選択して送信します。次に、隣の表に示すように、ビット値と基底の両方に応じて光子の偏光状態を準備します。たとえば、0 は直線基底 (+) で垂直偏光状態としてエンコードされ、1 は対角基底 (x) で 135° 状態としてエンコードされます。次に、アリスは量子チャネルを使用して、指定された状態の単一の光子をボブに送信します。このプロセスはランダム ビット ステージから繰り返され、アリスは送信された各光子の状態、基底、および時間を記録します。

量子力学（特に量子不確定性）によれば、4 つの異なる偏光状態はすべて直交しているわけではないため、これらを区別する測定は不可能です。唯一可能な測定は、任意の 2 つの直交状態（正規直交基底）間です。したがって、たとえば直線基底で測定すると、水平または垂直の結果が得られます。光子が水平または垂直（直線固有状態）として生成された場合、これは正しい状態を測定しますが、45° または 135°（対角固有状態）として生成された場合、直線測定は代わりにランダムに水平または垂直を返します。さらに、この測定後、光子は測定された状態（水平または垂直）で偏光され、初期の偏光に関するすべての情報は失われます。

ボブは光子がエンコードされた基底を知らないため、直線または対角線のいずれかの基底をランダムに選択して測定することしかできません。ボブは受信した光子ごとにこれを実行し、時間、使用した測定基底、および測定結果を記録します。ボブはすべての光子を測定した後、パブリック クラシカル チャネルを介してアリスと通信します。アリスは各光子が送信された基底をブロードキャストし、ボブは各光子が測定された基底をブロードキャストします。両者とも、ボブが平均して半分である別の基底を使用した光子測定値 (ビット) を破棄し、残りの半分のビットを共有キーとして残します。

盗聴者の存在を確認するために、アリスとボブは残りのビット ストリングのあらかじめ決められたサブセットを比較します。第三者 (通常は「盗聴者」の頭文字をとってイブと呼ばれます) が光子の偏光に関する情報を入手した場合、ボブの測定にエラーが発生します。他の環境条件でも同様にエラーが発生する可能性があります。ビットが より多く異なる場合、キーのセキュリティを保証できないため、キーを中止して、おそらく別の量子チャネルを使用して再試行します。が選択され、イブが知っているビット数がこれより少ない場合、プライバシー増幅を使用して、キーの長さを短縮する代わりに、イブのキーに関する知識を任意の小さな量に減らすことができます。 ${\displaystyle p}$${\displaystyle p}$

Artur Ekertの方式^[5]では、エンタングルされた光子のペアを使用します。これらは、アリス、ボブ、または盗聴者イブを含む両者とは別のソースによって生成されます。光子は、アリスとボブが各ペアから 1 つの光子を受け取るように分配されます。

この方式は、エンタングルメントの 2 つの特性に依存しています。まず、エンタングルメント状態は完全に相関しており、アリスとボブが両方とも粒子の偏光が垂直か水平かを測定すれば、常に 100% の確率で同じ答えが得られます。両者が他の相補的 (直交) 偏光のペアを測定した場合も同様です。これには、離れた 2 人の当事者が正確に方向性を同期していることが必要です。ただし、特定の結果は完全にランダムです。アリスが (したがってボブが) 垂直偏光を取得するか水平偏光を取得するかを予測することは不可能です。次に、イブが盗聴しようとすると、アリスとボブが検出できる方法でこれらの相関が破壊されます。

BB84と同様に、このプロトコルでは、イブの存在を検出する前に非公開の測定プロトコルが用いられます。測定段階では、アリスが 集合の何らかの基底を使用して受信した各光子を測定し、ボブが によって回転した基底を から選択します 。測定が完了するまで、一連の基底選択は非公開のままです。2 つの光子グループが作られます。1 つ目はアリスとボブが同じ基底を使用して測定した光子で構成され、2 つ目は他のすべての光子を含みます。盗聴を検出するために、アリスの基底とボブの基底間の相関係数を使用して検定統計量を計算できます。これは、ベル検定実験で示されているものと同様です。最大限にエンタングルされた光子は になります。そうでない場合、アリスとボブは、イブがシステムに局所的実在性を導入し、ベルの定理に違反していると結論付けることができます。プロトコルが成功した場合、最初のグループを使用して鍵を生成できます。これは、これらの光子がアリスとボブの間で完全に反整列しているためです。 ${\displaystyle Z_{0},Z_{\frac {\pi }{8}},Z_{\frac {\pi }{4}}}$${\displaystyle Z_{0},Z_{\frac {\pi }{8}},Z_{-{\frac {\pi }{8}}}}$${\displaystyle Z_{\theta}}$${\displaystyle \{|{\uparrow }\rangle ,\;|{\rightarrow }\rangle \}}$${\displaystyle \theta}$${\displaystyle S}$${\displaystyle |S|=2{\sqrt {2}}}$

従来のQKDでは、使用される量子デバイスは完全に較正され、信頼でき、期待通りに機能する必要があります。^[6]予想される測定値からの逸脱を検出することは非常に困難であり、システム全体が脆弱になります。デバイスに依存しないQKD（DIQKD）または測定デバイスに依存しないQKD（MDIQKD）と呼ばれる新しいプロトコルでは、特性評価されていないデバイスや信頼されていないデバイスの使用が可能になり、予想される測定値からの逸脱がシステム全体に含まれるようになります。^{[6] [7]}これらの逸脱が検出されると、不正確なデータになるのではなく、プロトコルが中止されます。^[6]

DIQKD は、BB84 プロトコルを基にして、最初に Mayers と Yao によって提案されました^[8]。彼らは、DIQKD では、光子源と呼ばれる量子デバイスが、デバイスが正常に動作しているかどうかを Alice と Bob が「自己チェック」するために実行できるテストが付属するように製造されることを提案しました。このようなテストでは、Eve によって傍受されるリスクのある情報の量を判断するために、古典的な入力と出力のみを考慮する必要があります。自己チェック、つまり「理想的な」ソースは、特性評価する必要がないため^{[7] [9]}、実装上の欠陥の影響を受けません。^[7]

最近の研究では、デバイスが正常に動作しているかどうかを確認するためにベルテストを使用することが提案されています。^[6]ベルの定理は、デバイスが排他的に相関する2つの結果を作成できることを保証します。つまり、イブは、そのデバイスについて何の仮定もせずに結果を傍受することはできません。これには、高度にエンタングルされた状態と低い量子ビットエラー率が必要です。^[7] DIQKDでは、このような高品質のエンタングルされた状態の量子ビットを作成することが困難であり、実験的に実現することが困難です。^[6]

ツインフィールド量子鍵配布（TFQKD）は2018年に導入され、従来の量子鍵配布の基本的な速度距離制限を克服するように設計されたDIQKDのバージョンです。^[10]速度距離制限は、速度損失トレードオフとしても知られ、アリスとボブの間の距離が増加すると、鍵生成速度が指数関数的に低下する方法を説明します。^[11]従来のQKDプロトコルでは、物理的に保護されたリレーノードを追加することでこの低下が解消され、量子リンクに沿って配置して、それをいくつかの低損失セクションに分割することができます。研究者は量子リピーターの使用も推奨しており、これをリレーノードに追加すると、リレーノードを物理的に保護する必要がなくなります。^[11]ただし、量子リピーターは作成が難しく、まだ実用的な規模で実装されていません。^[10] TFQKDは量子中継器や中継ノードを使用せずに速度距離制限を回避することを目指しており、管理可能なレベルのノイズと、今日の既存の技術ではるかに簡単に繰り返すことができるプロセスを作成します。^[10]

TFQKD の元々のプロトコルは以下のとおりです。アリスとボブはそれぞれ、実験室に光源と干渉計の片方のアームを持っています。光源は、間隔[0, 2π)内のランダムな位相p _aまたはp _bとエンコード位相γ _aまたはγ _{b を}持つ 2 つの暗い光パルスを生成します。パルスは量子に沿ってチャーリーに送られます。チャーリーは第三者であり、悪意があるかどうかは関係ありません。チャーリーはビームスプリッターを使用して 2 つのパルスを重ねて測定を行います。チャーリーは自分の実験室に 2 つの検出器を持っており、そのうちの 1 つはビットが等しい (00) または (11) 場合に点灯し、もう 1 つはビットが異なる (10, 01) 場合に点灯します。チャーリーはアリスとボブにどちらの検出器が点灯したかを通知し、その時点で位相pとγを公開します。^[10]これは、使用される位相が決して公開されない従来の QKD とは異なります。^[12]

上で説明した量子鍵配布プロトコルは、アリスとボブにほぼ同一の共有鍵を提供し、また鍵間の差異の推定値も提供します。これらの差異は盗聴によって発生することもありますが、伝送線路や検出器の不完全性によっても発生します。これら 2 種類のエラーを区別することは不可能であるため、セキュリティを保証するには、すべてのエラーが盗聴によるものであるという仮定が必要です。鍵間のエラー率が特定のしきい値 (2002 年時点で 27.6% ^{[13] ) より低い場合、2 つの手順を実行して、最初にエラーのあるビットを削除し、次にイブの鍵に関する知識を任意の小さな値に減らすことができます。これらの 2 つの手順は、それぞれ}情報調整とプライバシー増幅と呼ばれ、1988 年に初めて説明されました。^[14]

情報調整は、アリスとボブの鍵の間で実行されるエラー訂正の一種で、両方の鍵が同一であることを保証するために行われます。これは公開チャネルを介して行われるため、各鍵について送信される情報を最小限に抑えることが重要です。これは、イブに読み取られる可能性があるためです。情報調整に使用される一般的なプロトコルは、1994 年に提案されたカスケード プロトコルです。 ^[15]これは複数のラウンドで動作し、各ラウンドで両方の鍵がブロックに分割され、それらのブロックのパリティが比較されます。パリティの違いが見つかった場合は、バイナリ検索を実行してエラーを見つけて修正します。前のラウンドの正しいパリティを持つブロックにエラーが見つかった場合は、そのブロックに別のエラーが含まれている必要があります。このエラーは、以前と同じように見つけて修正します。このプロセスは再帰的に繰り返され、これがカスケードという名前の由来です。すべてのブロックの比較が完了すると、アリスとボブは両方とも同じランダムな方法で鍵を並べ替え、新しいラウンドが始まります。複数のラウンドの終わりには、アリスとボブは高い確率で同一の鍵を持ちます。しかし、Eveは交換されたパリティ情報からキーに関する追加情報を持っています。しかし、符号理論の観点から見ると、情報調整は本質的にサイド情報を含むソース符号化です。結果として、この問題に機能する任意の符号化方式を情報調整に使用できます。最近では、ターボコード^[16] 、 LDPCコード^[17]、および極性コード^[18]がこの目的で使用され、カスケードプロトコルの効率が向上しています。

プライバシー増幅は、アリスとボブの鍵に関するイブの部分的な情報を削減 (および事実上除去) する方法です。この部分的な情報は、鍵の送信中に量子チャネルを盗聴することによって (したがって検出可能なエラーが導入される)、または情報調整中に公開チャネルで (イブがすべての可能なパリティ情報を取得すると想定される) 取得された可能性があります。プライバシー増幅では、アリスとボブの鍵を使用して、イブが新しい​​鍵について無視できる情報だけを持つように、新しい短い鍵を生成します。これは、ランダム性抽出器を使用して実行されます。たとえば、公開されている一連の関数からランダムに選択されたユニバーサル ハッシュ関数を適用することで、鍵と同じ長さのバイナリ文字列を入力として受け取り、選択された短い長さのバイナリ文字列を出力します。この新しい鍵が短縮される量は、イブが古い鍵についてどれだけの情報を取得できたか (これにより発生するエラーにより既知) に基づいて計算され、イブが新しい​​鍵について何らかの知識を持つ可能性を非常に低い値に減らします。

1991年、英国マルバーン防衛研究局とオックスフォード大学の研究者であるジョン・ラリティ、ポール・タプスター、アルトゥール・エケルトは、ベル不等式の破れによって保護された量子鍵配送を実証した。

2008年には、ケンブリッジ大学と東芝の協力により、デコイ状態パルスを用いたBB84プロトコルを用いて、1Mbit/s（光ファイバー20km以上）および10kbit/s（光ファイバー100km以上）での安全な鍵の交換が達成された。 [ ^19]

2007年、ロスアラモス国立研究所/ NISTはBB84プロトコルを使用して148.7kmの光ファイバーで量子鍵配送を実現しました。^[20]重要なのは、この距離が今日の光ファイバーネットワークで見られるほぼすべてのスパンに十分な長さであるということです。ヨーロッパの共同研究は、2006年にエンタングルド光子（エケルト方式）を使用してカナリア諸島の2つの島間で144kmを超える自由空間QKDを実現し、 ^[21]デコイ状態を強化したBB84を使用して2007年に^{[22] [23] [24] [25] [26]を実現しました。 [27]}

2015年8月現在、^{[アップデート]}光ファイバーの最長距離（307km）^[28]はジュネーブ大学とコーニング社によって達成されました。同じ実験で、12.7kbit/sの秘密鍵速度が生成され、100kmの距離を超える最高のビットレートシステムとなりました。2016年にコーニングと中国のさまざまな機関のチームが404kmの距離を達成しましたが、ビットレートが遅すぎて実用的ではありませんでした。^[29]

2017年6月、カナダのウォータールーにある量子コンピューティング研究所とウォータールー大学のトーマス・ジェンネウェイン率いる物理学者たちは、地上の送信機から移動中の航空機への量子鍵配布の初の実証を達成した。彼らは、3～10kmの距離の光リンクを報告し、最大868キロバイトの長さの安全な鍵を生成した。^[30]

また、2017年6月には、宇宙規模の量子実験プロジェクトの一環として、中国科学技術大学の潘建偉率いる中国の物理学者たちが、2つの地上局間の1203kmの距離で量子もつれ光子を測定し、将来の大陸間量子鍵配布実験の基礎を築いた。^{[31]光子は、1つの地上局から彼らが}墨子と名付けた衛星に送られ、別の地上局に戻された。そこで彼らは「1600～2400kmの範囲で変化する合計距離」に沿って「2光子の量子もつれが存続し、厳密なアインシュタイン局所性条件下でベル不等式が2.37±0.09破れるのを観測した」。^{[32]その年の後半には、}墨子から中国とオーストリアの地上局への衛星リンクを介してBB84が実装され、鍵が結合され、その結果が中国の北京とオーストリアのウィーンの間で画像と動画の送信に使用された。^[33]

2017年8月、上海交通大学の研究グループは、単一光子やエンタングルメント状態の一般的な量子ビットを含む偏光量子状態が海水中を通過した後も良好に保存できることを実験的に実証し、^[34]水中量子通信への第一歩を示しました。

2019年5月、北京大学と北京郵電大学の洪郭氏が率いるグループは、西安と広州の商用光ファイバーネットワークを介して、それぞれ30.02km（12.48dB）と49.85km（11.62dB）の距離で連続可変QKDシステムのフィールドテストを行ったと報告した。^[35]

2020年12月、インド国防研究開発機構はハイデラバード施設の2つの研究所間でQKDをテストしました。このセットアップでは、通信に関する情報を入手しようとする第三者の検出の検証も実証されました。盗聴に対する量子ベースのセキュリティは、光ファイバーチャネルを介して12 km（7.5マイル）以上の範囲と10 dBの減衰で展開されたシステムで検証されました。偏光効果のない光子を生成するために連続波レーザー光源が使用され、セットアップで使用されたタイミング精度はピコ秒のオーダーでした。単一光子アバランシェ検出器（SPAD）は光子の到着を記録し、キーレートは低い量子ビットエラー率でkbpsの範囲で達成されました。^[36]

2021年3月、インド宇宙研究機関も300メートルの距離で自由空間量子通信を実証した。自由空間QKDは、アフマダーバードの宇宙応用センター（SAC）で、キャンパス内の見通しの利いた2つの建物間で、量子鍵暗号化信号によるビデオ会議用に実証された。実験では、送信モジュールと受信モジュール間の時間同期にNAVIC受信機を使用した。2022年1月後半、インドの科学者は、暗号化されたメッセージと画像を交換するための大気チャネルを作成することに成功した。2つの地上局間の量子通信を実証した後、インドは衛星ベースの量子通信（SBQC）を開発する計画を持っている。^{[37] [38]}

2022年7月、研究者らは、量子ハッキング攻撃への耐性を確保するために量子エンタングルメント（エケルトが提案） ^{[5]を使用するデバイス非依存量子鍵配布（DIQKD）プロトコルを実験的に実装した研究成果を発表しました。 [6]}彼らは、次のプロセスを使用して、約2メートル離れた高品質のエンタングルメント状態にある2つのイオンを作成することができました。アリスとボブはそれぞれ、内部に⁸⁸ Sr ⁺量子ビットを備えたイオントラップノードを持っています。最初に、イオンを電子状態に励起し、エンタングルメント状態を作成します。このプロセスでは、2つの光子も生成され、次に光ファイバーを使用して捕捉および輸送されます。この時点で、ベル基底測定が実行され、イオンは高度にエンタングルメントされた状態に投影されます。最後に、量子ビットは、情報が漏洩しないように、光リンクから切断されたイオントラップの新しい場所に戻されます。これは、鍵配布が進む前に何度も繰り返されます。^[6]

2022年7月に公開された別の実験では、量子デバイスが機能していることを確認するためにベル不等式テストも使用するDIQKDの実装が実証されました。今回は、700mの長さの光ファイバーを使用して、約400mというはるかに長い距離で行われました。^[7]実験のセットアップは、上記の段落のものと似ていましたが、いくつかの重要な違いがありました。量子ネットワークリンク（QNL）で、400m離れた別の研究室にある2つの⁸⁷ Rb原子間のエンタングルメントが生成され、700mチャネルで接続されました。原子は電子励起によってエンタングルメントされ、その時点で2つの光子が生成されて収集され、ベル状態測定（BSM）セットアップに送信されます。光子は|ψ ⁺状態に投影され、最大のエンタングルメントを示します。使用された鍵交換プロトコルの残りの部分は、元のQKDプロトコルに似ていますが、唯一の違いは、鍵が1つではなく2つの測定設定で生成されることです。^[7]

2018年にツインフィールド量子鍵配送が提案されて以来、QKDシステムの距離を伸ばすことを目的とした無数の実験が行われてきました。その中で最も成功したのは、833.8kmの距離にわたって鍵情報を配布することができた実験です。^[12]

2023年、インド工科大学（IIT）デリー校の科学者らは、標準的な通信用ファイバーで最長380kmの信頼できるノードフリーの量子鍵配送（QKD）を非常に低い量子ビット誤り率（QBER）で実現した。^[39]

世界中で多くの企業が商用の量子鍵配布を提供しており、例えばID Quantique（ジュネーブ）、[[[東芝]] ^[40]、MagiQ Technologies, Inc.（ニューヨーク）、QNu Labs（インドのバンガロール）、QuintessenceLabs （オーストラリア）、QRate（ロシア）、SeQureNet（パリ）、Quantum Optics Jena（ドイツ）、KEEQuant（ドイツ）などがある。また、KETS Quantum Security（英国）、 HP、IBM、三菱、NEC、NTTなど、他の企業も活発に研究プログラムを実施している（直接の研究リンクについては外部リンクを参照）。

2004年、オーストリアのウィーンで、量子鍵配送を使用した世界初の銀行振込が行われた。[ 41 ]^スイスの企業Id Quantiqueが提供する量子暗号化技術は、2007年10月21日に行われた国政選挙で、スイスのジュネーブ州で投票結果を首都に送信するために使用された。^[42] 2013年、バテル記念研究所は、オハイオ州コロンバスのメインキャンパスとダブリン近郊の製造施設の間に、ID Quantiqueが構築したQKDシステムを設置した。^[43]東京QKDネットワークのフィールドテストはしばらく前から行われている。^[44]

DARPA量子ネットワーク^[45]は、10ノードの量子鍵配布ネットワークであり、2004年から2007年にかけて米国マサチューセッツ州で4年間、1日24時間連続稼働していた。BBNテクノロジーズ、ハーバード大学、ボストン大学がIBMリサーチ、米国国立標準技術研究所、QinetiQと共同で開発した。量子鍵配布で保護された標準ベースのインターネットコンピュータネットワークをサポートしていた。

量子鍵配送で保護された世界初のコンピュータネットワークは、2008年10月にウィーンで開催された科学会議で実装されました。このネットワークの名前はSECOQC（量子暗号に基づくセキュリティ通信）であり、EUがこのプロジェクトに資金を提供しました。このネットワークは、ウィーンの6つの場所と西に69km離れたザンクト・ポエルテンの町を相互接続するために、200kmの標準的な光ファイバーケーブルを使用しました。 ^[46]

Id Quantique は、フィールド環境での量子鍵配布 (QKD) のテストという、最も長期にわたるプロジェクトを無事に完了しました。2009 年 3 月にジュネーブ首都圏に導入された SwissQuantum ネットワーク プロジェクトの主な目的は、フィールド環境で長期間にわたって継続的に運用される QKD の信頼性と堅牢性を検証することでした。量子レイヤーは、当初計画されていたテスト期間の直後の 2011 年 1 月にプロジェクトが停止されるまで、ほぼ 2 年間運用されました。

2009年5月、中国の蕪湖で階層型量子ネットワークが実証された。階層型ネットワークは、多数のサブネットを接続する4つのノードのバックボーンネットワークで構成されていた。バックボーンノードは光スイッチング量子ルーターを介して接続されていた。各サブネット内のノードも光スイッチを介して接続されており、光スイッチは信頼できるリレーを介してバックボーンネットワークに接続されていた。^[47]

2016年8月に打ち上げられたQUESS宇宙ミッションは、中国とオーストリア・ウィーンの量子光学・量子情報研究所との間に国際QKDチャネルを構築した。地上距離は7,500km（4,700マイル）で、初の大陸間セキュア量子ビデオ通話を可能にした。^{[48] [49] [50] 2017年10月までに、}北京、済南、合肥、上海の間で2,000kmの光ファイバー回線が運用された。^[51]これらを合わせると、世界初の宇宙地上量子ネットワークが構成される。^[52]最大10機のMicius/QUESS衛星が予定されており、^[53] 2020年までに欧州・アジア量子暗号化ネットワークが、2030年までに世界規模のネットワークが実現する。 ^{[54] [55]}

東京QKDネットワーク^[56]は、UQCC2010会議の初日に開設されました。このネットワークは、日本からはNEC、三菱電機、NTT、NICTの7つのパートナーによる国際協力で、ヨーロッパからは東芝リサーチヨーロッパ社（英国）、Id Quantique（スイス）、All Vienna（オーストリア）が参加しています。「All Vienna」は、オーストリア工科大学（AIT）、量子光学・量子情報研究所（IQOQI）、ウィーン大学の研究者によって代表されています。

ハブアンドスポークネットワークは、ロスアラモス国立研究所によって2011年から運用されている。すべてのメッセージはハブ経由でルーティングされる。このシステムは、ネットワーク内の各ノードに量子送信機（つまりレーザー）を装備しているが、高価でかさばる光子検出器は装備していない。ハブのみが量子メッセージを受信します。通信するために、各ノードはワンタイムパッドをハブに送信し、ハブはそれを使用して古典的なリンクを介して安全に通信します。ハブは、2番目のノードからの別のワンタイムパッドを使用して、このメッセージを別のノードにルーティングできます。ネットワーク全体が安全であるのは、中央ハブが安全である場合のみです。個々のノードに必要なのはレーザーだけです。プロトタイプノードはマッチ箱ほどの大きさです。^[57]

国家量子耐ネットワークプラス（NQSN+）は、2023年にIMDAによって立ち上げられ、2030年までのシンガポールのデジタル接続の次の限界を概説するシンガポールのデジタル接続ブループリントの一部です。NQSN+は、ネットワーク事業者が全国的に耐量子ネットワークを展開することを支援し、企業が重要なデータを保護する耐量子ソリューションに簡単にアクセスできるようにします。NQSN+は、SingtelとSPTelの2つのネットワーク事業者とSpeQtralの協力で始まります。各事業者は、すべての企業にサービスを提供できる全国規模の相互運用可能な耐量子ネットワークを構築します。企業はNQSN+事業者と協力して、量子鍵配布（QKD）やポスト量子暗号（PQC）などの耐量子ソリューションを統合し、量子時代に安全を確保することができます。^[58]

ESAは2024年に宇宙ベースの量子鍵配布システムの実験衛星「イーグル1」を打ち上げる予定である。^[59]

考えられる最も単純なタイプの攻撃は、傍受再送信攻撃です。この攻撃では、イブはアリスが送信した量子状態 (光子) を測定し、測定した状態で準備された代替状態をボブに送信します。BB84 プロトコルでは、これによりアリスとボブが共有するキーにエラーが発生します。イブはアリスが送信した状態がエンコードされている基底を知らないため、ボブと同じように、どの基底で測定するかを推測することしかできません。正しく選択すると、アリスが送信した正しい光子偏光状態を測定し、正しい状態をボブに再送信します。ただし、間違った選択をすると、測定する状態はランダムになり、ボブに送信された状態はアリスが送信した状態と同じにはなりません。次にボブがこの状態をアリスが送信したのと同じ基底で測定すると、イブが反対の基底で状態を送信したため、ボブもランダムな結果を取得します。誤った結果になる可能性は 50% です (イブがいなければ正しい結果が得られるはずの結果ではなく)。次の表は、このタイプの攻撃の例を示しています。

イブが間違った基底を選択する確率は 50% です (アリスがランダムに選択したと仮定)。ボブがアリスが送信した基底でこの傍受された光子を測定すると、ランダムな結果、つまり 50% の確率で間違った結果が得られます。傍受された光子がキー ストリングにエラーを生成する確率は 50% × 50% = 25% です。アリスとボブがキー ビットを公開で比較すると (秘密ではなくなるためキー ビットとしては破棄します)、意見の不一致が見つかりイブの存在が特定される確率は ${\displaystyle n}$

${\displaystyle P_{d}=1-\left({\frac {3}{4}}\right)^{n}}$

したがって、盗聴者を確率的に検出するには、アリスとボブがキービットを比較する必要があります。 ${\displaystyle P_{d}=0.999999999}$${\displaystyle n=72}$

量子鍵配送は、既知の量子力学の原理では敵と味方を区別できないため、従来のプロトコルと同程度に認証なしで使用すると中間者攻撃に対して脆弱です。従来の場合と同様に、アリスとボブは、お互いの身元を確認する手段 (初期共有秘密など) がなければ、お互いを認証して安全な接続を確立することはできません。アリスとボブが初期共有秘密を持っている場合、無条件に安全な認証方式 (Carter-Wegman など^[60] ) と量子鍵配送を使用して、この鍵を指数関数的に拡張し、新しい鍵の少量を使用して次のセッションを認証することができます。^[61]この初期共有秘密を作成する方法はいくつか提案されており、たとえば、サードパーティ^[62]やカオス理論を使用する方法があります。^[63]ただし、無条件に安全な認証に使用できるのは、「ほぼ強力に普遍的な」ハッシュ関数のファミリーだけです。^[64]

BB84 プロトコルでは、アリスは単一光子を使用してボブに量子状態を送信します。実際には、多くの実装では、量子状態を送信するために非常に低いレベルに減衰されたレーザーパルスを使用します。これらのレーザーパルスには、たとえばパルスあたり 0.2 光子など、非常に少数の光子が含まれており、ポアソン分布に従って分布しています。つまり、ほとんどのパルスには実際には光子が含まれておらず (パルスは送信されません)、一部のパルスには 1 つの光子が含まれ (これは望ましいことです)、いくつかのパルスには 2 つ以上の光子が含まれます。パルスに複数の光子が含まれている場合、イブは余分な光子を分割して、残りの単一光子をボブに送信できます。これが光子数分割攻撃の基礎であり、^[65]イブはこれらの余分な光を量子メモリに保存し、ボブが残りの単一光子を検出してアリスがエンコード基底を明らかにするまで保存します。その後、イブは正しい基底で光子を測定し、検出可能なエラーを導入することなくキーに関する情報を取得できます。

PNS攻撃の可能性があったとしても、GLLPセキュリティ証明に示されているように、安全なキーを生成することは可能です。^[66]しかし、はるかに高いプライバシー増幅量が必要となり、安全なキーのレートは大幅に低下します（PNSでは、レートは単一光子源の場合と比較して に比例します。ここでは量子チャネルの透過率です）。 ${\displaystyle t^{2}}$${\displaystyle t}$${\displaystyle t}$

この問題にはいくつかの解決策があります。最も明白なのは、減衰レーザーの代わりに真の単一光子源を使用することです。そのような光源はまだ開発段階ですが、それらを使用してQKDが成功しています。^[67]しかし、現在の光源は効率が低く、周波数キーレートと伝送距離が制限されているため、BB84プロトコルを変更することが別の解決策です。 ^[68] SARG04プロトコルで行われているように、別の解決策はBB84プロトコルを変更することです。このプロトコルでは、セキュアキーレートは に比例します。最も有望な解決策は、デコイ状態^{[22] [23] [24] [25] [26]}で、アリスは平均光子数が低いレーザーパルスの一部をランダムに送信します。これらのデコイ状態を使用してPNS攻撃を検出できます。これは、イブがどのパルスが信号でどのパルスがデコイであるかを区別する方法がないためです。このアイデアを使用すると、セキュアキーレートは に比例し、単一光子源の場合と同じです。このアイデアは、トロント大学で最初に成功裏に実装され、^{[69] [70]}、その後のいくつかのQKD実験でも成功裏に実装され、^[71]既知のすべての攻撃に対して安全な高い鍵レートを可能にしました。 ${\displaystyle t^{3/2}}$${\displaystyle t}$

現在、量子鍵配布によってリンクされた 2 点間には専用の光ファイバー回線 (または自由空間の見通し線) が必要であるため、回線を切断またはブロックするだけでサービス拒否攻撃を仕掛けることができます。これが、通信が中断した場合に代替リンクを経由して通信をルーティングする量子鍵配布ネットワークの開発の動機の 1 つです。

量子鍵配送システムは、イブが明るい光を量子チャネルに送り、トロイの木馬攻撃で反射光を分析することで探知される可能性がある。最近の研究では、イブがボブの秘密基盤の選択を90％以上の確率で識別し、システムのセキュリティを侵害することが示された。^[72]

イブが、例えば古典的計算能力と量子計算能力の両方など、無制限のリソースを持っていると仮定すると、さらに多くの攻撃が可能になります。BB84 は、量子力学によって許可されているあらゆる攻撃に対して安全であることが証明されており、一度に 1 つの光子しか放出しない理想的な光子源を使用して情報を送信する場合も、^[73]複数の光子パルスを放出することがある実用的な光子源を使用する場合も安全です。^[66]これらの証明は、盗聴者が利用できるリソースに条件が課されていないという意味で無条件に安全です。ただし、他にも必要な条件があります。

1. イブはアリスとボブのエンコードおよびデコードデバイスに物理的にアクセスできません。
2. アリスとボブが使用する乱数ジェネレーターは、信頼性が高く、真にランダムである必要があります (たとえば、量子乱数ジェネレーター)。
3. 従来の通信チャネルは、無条件に安全な認証スキームを使用して認証される必要があります。
4. メッセージはワンタイムパッドのような方式で暗号化する必要がある

ハッキング攻撃は、QKD プロトコルの動作の脆弱性や、QKD システムの構築に使用された物理デバイスのコンポーネントの欠陥をターゲットにしています。量子鍵配送に使用される機器が改ざん可能であれば、乱数生成器攻撃を使用して安全でない鍵を生成するようにすることができます。別の一般的な攻撃の種類は、エンドポイントへの物理的なアクセスを必要としないトロイの木馬攻撃^[74]です。アリスとボブの単一光子を読み取ろうとするのではなく、イブは送信された光子の合間に大きな光パルスをアリスに送り返します。アリスの機器はイブの光の一部を反射し、アリスの基底 (偏光子など) の状態を明らかにします。この攻撃は、たとえば古典的な検出器を使用して、アリスのシステムに入る非正当な信号 (つまり、イブからの光) をチェックすることで検出できます。また、正式な証明はありませんが、ほとんどのハッキング攻撃は実装を変更することで同様に打ち負かすことができると推測されています^[誰が推測したのでしょうか ^{? ] 。}

偽造状態攻撃^[75] 、位相再マッピング攻撃^[76] 、および時間シフト攻撃^[77]を含む他のいくつかの攻撃が現在知られています。時間シフト攻撃は、商用の量子暗号システムでも実証されています。^[78]これは、自家製ではない量子鍵配布システムに対する量子ハッキングの最初の実証です。その後、位相再マッピング攻撃は、特別に構成された研究指向のオープンQKDシステム（スイスの会社Id QuantiqueがQuantum Hackingプログラムの下で作成および提供）でも実証されました。^[79]これは、商用QKDシステムで広く使用されているQKD実装に対する最初の「傍受および再送信」攻撃の1つです。この研究はメディアで広く報道されています。^{[80] [81] [82] [83]}

痕跡を残さずに鍵全体を盗聴できると主張する最初の攻撃^{[84]は 2010 年に実証されました。2 つの市販デバイスの単一光子検出器は、特別に調整された明るい照明を使用して完全に遠隔制御できることが実験的に示されました。その後の一連の出版物[85] [86] [87]}で、ノルウェーのノルウェー科学技術大学とド​​イツのマックスプランク光科学研究所の共同研究により、ゲートモードで動作するアバランシェフォトダイオード(APD)の弱点に基づいて、市販の QKD システムを盗聴するいくつかの方法が実証されました。これにより、通信ネットワークを保護するための新しいアプローチの研究が促進されました。^[88]

秘密鍵を配布するタスクは、Tae-Gon Noh によって開発されたプロトコルを使用することで、粒子 (秘密情報、たとえば偏光がエンコードされている) が量子チャネルを通過しない場合でも達成できます。^[89]ここで、アリスは、後で測定を行わないことで、パス (a) と (b) に同時に存在する重ね合わせ状態で存在する光子を生成します。パス (a) はアリスの安全なデバイス内にとどまり、パス (b) はボブに向かいます。ボブが受信する光子を拒否し、受信しない光子のみを受け入れることで、ボブとアリスは安全なチャネルを設定できます。つまり、イブが反事実的な光子を読み取ろうとする試みは依然として検出されます。このプロトコルは、光子が送信できる可能性が、送信されない場合でも影響を与えるという量子現象を使用します。いわゆる相互作用のない測定でも、この量子効果が使用されます。たとえば、爆弾テスト問題では、実験者は、反事実的な意味では別として、爆弾を爆発させることなく、どの爆弾が不発弾でないかを概念的に判断できます。

量子暗号は、ニューヨークのコロンビア大学にいたスティーブン・ウィーズナーによって最初に提案され、1970年代初頭に量子共役符号化の概念を導入した。彼の独創的な論文「共役符号化」はIEEE情報理論誌に却下されたが、最終的には1983年にSIGACT News（15:1 pp. 78–88, 1983）に掲載された。この論文で彼は、2つのメッセージを2つの「共役観測量」、例えば直線偏光と円偏光に符号化して保存または送信する方法を示した。これにより、受信して復号できるのはどちらか一方だけとなり、両方は受信して復号できない。彼はこのアイデアを偽造不可能な紙幣のデザインで説明した。10年後、この研究を基に、IBMトーマス・J・ワトソン研究所のチャールズ・H・ベネットとモントリオール大学のジル・ブラッサードは、ウィーズナーの「共役観測量」に基づく安全な通信の方法を提案した。^{[90] 1990年、当時}オックスフォード大学ウルフソン・カレッジの博士課程の学生であったアルトゥール・エケルトは、量子もつれに基づく量子鍵配布に対する異なるアプローチを開発した。

現在の商用システムは、主に高いセキュリティ要件を持つ政府や企業を対象としています。宅配便による鍵配布は、従来の鍵配布スキームでは十分な保証が得られないと考えられる場合によく使用されます。これには、本質的に距離制限がないという利点があり、移動時間が長くても大容量のポータブル ストレージ デバイスを利用できるため、転送速度を高くすることができます。量子鍵配布の主な違いは、鍵の傍受を検出できることです。一方、宅配便では、鍵のセキュリティを証明またはテストすることはできません。QKD (量子鍵配布) システムには、自動化されているという利点もあり、安全な人間の宅配便ネットワークよりも信頼性が高く、運用コストが低くなります。

カクの3段階プロトコルは、暗号変換に古典的なアルゴリズムを使用する量子鍵配布とは異なり、完全に量子的な安全な通信方法として提案されている。^[91]

量子鍵配送が高セキュリティ地域以外で広く採用されるのを妨げている要因としては、機器のコストや、既存の鍵交換プロトコルに対する実証された脅威がないことが挙げられます。しかし、多くの国で光ファイバー ネットワークがすでに導入されているため、より広範囲に使用できるインフラストラクチャは整っています。

欧州電気通信標準化機構（ ETSI ）の業界仕様グループ（ISG）は、量子暗号の標準化問題に対処するために設立されました。^[92]

欧州計量標準研究所は、専用プロジェクトの一環として^{[93] [94]、} QKDシステムのコンポーネントの特性評価に必要な測定法を開発している。

東芝ヨーロッパは、権威ある物理学会ビジネスイノベーション賞を受賞しました。これは、20年にわたる研究で開発された東芝の先駆的なQKD ^[95]技術、現在および将来のサイバー脅威から通信インフラを保護すること、量子インターネットへの道を切り開く英国製製品の商品化が評価されたものです。

東芝は、日本最大のエレクトロニクス産業見本市「CEATEC」で権威ある賞「CEATEC AWARD 2021」において、 QKDソリューション部門で準グランプリを受賞し、経済産業大臣賞を受賞した。 ^[96]

量子鍵配送の実際的な問題のため、一部の政府機関は代わりに耐量子暗号（量子耐性暗号）の使用を推奨している。例えば、米国国家安全保障局^[97] 、 EUの欧州連合サイバーセキュリティ機関（ENISA）^[98] 、英国の国家サイバーセキュリティセンター^[99]、フランス国防安全保障省（ANSSI）^[100]、ドイツ連邦情報セキュリティ局（BSI）^[101]は耐量子暗号を推奨している。

例えば、米国国家安全保障局は5つの問題に取り組んでいる。^[97]

1. 量子鍵配布は部分的な解決策にすぎません。QKD は、機密性を提供する暗号化アルゴリズムの鍵素材を生成します。このような鍵素材は、元の QKD 送信が目的のエンティティからのものであるという暗号保証 (つまりエンティティ ソース認証) がある場合、対称鍵暗号化アルゴリズムで整合性と認証を提供するために使用することもできます。QKD は、QKD 送信元を認証する手段を提供しません。したがって、ソース認証には、その認証を提供するために非対称暗号化または事前配置されたキーを使用する必要があります。さらに、QKD が提供する機密性サービスは、一般的に安価でリスク プロファイルがよく理解されている量子耐性暗号化によって提供できます。
2. 量子鍵配布には、特別な目的の機器が必要です。QKD は物理的特性に基づいており、そのセキュリティは独自の物理層通信から生まれます。そのため、ユーザーは専用のファイバー接続をリースするか、自由空間送信機を物理的に管理する必要があります。ソフトウェアまたはネットワーク上のサービスとして実装することはできず、既存のネットワーク機器に簡単に統合することもできません。QKD はハードウェアベースであるため、アップグレードやセキュリティ パッチの柔軟性も欠いています。
3. 量子鍵配布は、インフラストラクチャのコストと内部脅威のリスクを増大させます。QKD ネットワークでは、信頼できるリレーの使用が頻繁に必要となり、安全な施設に追加コストがかかり、内部脅威によるセキュリティ リスクも増大します。このため、多くのユース ケースが検討対象から除外されます。
4. 量子鍵配送のセキュリティ確保と検証は大きな課題です。QKD システムによって提供される実際のセキュリティは、物理法則から導かれる理論的な無条件のセキュリティ (モデル化され、しばしば示唆されているような) ではなく、ハードウェアとエンジニアリング設計によって実現できるより限定されたセキュリティです。しかし、暗号セキュリティにおけるエラー許容度は、ほとんどの物理エンジニアリング シナリオよりも桁違いに小さいため、検証が非常に困難です。QKD を実行するために使用される特定のハードウェアは脆弱性をもたらす可能性があり、その結果、商用 QKD システムに対するよく知られた攻撃がいくつか発生しています。^[102]
5. 量子鍵配布は、サービス拒否のリスクを高めます。QKD セキュリティの主張の理論的根拠としての盗聴者に対する感度は、サービス拒否が QKD にとって重大なリスクであることを示しています。

上記問題 1 に対して、耐量子暗号（または耐量子暗号）を用いて認証鍵を配送する試みが世界中で提案されている。一方、耐量子暗号は計算量的安全性のクラスに属する暗号であり、2015 年にはすでに「情報理論的に安全でない認証鍵を使用する場合、システム全体の情報理論的安全性が達成されるよう実装に十分な注意を払う必要がある」という研究結果が発表されている（認証鍵が情報理論的に安全でない場合、攻撃者はそれを破って古典通信と量子通信のすべてを制御下に置き、中継して中間者攻撃を仕掛けることができる）。^{[103]民間企業の Ericsson も上記の問題を挙げて指摘した上で、ネットワークセキュリティ技術の最近のトレンドである}ゼロトラストセキュリティモデルを サポートできない可能性があるという報告書を発表している。^[104]

• 量子鍵配送プロトコルの一覧
• 量子コンピューティング
• 量子暗号
• 量子情報科学
• 量子ネットワーク