量子鍵配送

発明者と発表年にちなんでBB84として知られるこのプロトコルは、当初は光子の偏光状態を使用して情報を送信するものとして記述されました。^{[ 6 ]}しかし、任意の2組の共役状態をこのプロトコルに使用でき、BB84として記述される多くの光ファイバベースの実装では位相エンコードされた状態を使用しています。送信者（従来はアリスと呼ばれていました）と受信者（ボブ）は、量子状態を送信できる量子通信チャネルで接続されています。光子の場合、このチャネルは一般的に光ファイバまたは単に自由空間です。さらに、彼らはたとえば放送ラジオやインターネットを使用して、公開された古典チャネルを介して通信します。このプロトコルは、盗聴者（イブと呼ばれていました）が量子チャネルに何らかの方法で干渉できる一方で、古典チャネルは認証する必要があるという前提で設計されています。^{[ 7 ] [ 8 ]}

プロトコルの安全性は、情報を非直交状態に符号化することによって確保されます。量子不確定性とは、これらの状態は一般に元の状態を乱さずに測定することはできないことを意味します（ノー・クローニング定理を参照）。BB84 では、2 組の状態を使用します。各組はもう一方の組と共役であり、1 組内の 2 つの状態は互いに直交しています。直交する状態の組は基底と呼ばれます。通常使用される偏光状態の組は、垂直 (0°) と水平 (90°) の直線基底、 45° と 135° の対角基底、または左巻きと右巻きの円形基底のいずれかです。これらの基底の任意の 2 つは互いに共役であるため、任意の 2 つをプロトコルで使用できます。以下では、直線基底と対角基底を使用します。

BB84の最初のステップは量子伝送です。アリスはランダムなビット（0または1）を作成し、次にそれを送信するために、2つの基底（この場合は直線基底または対角基底）のうちの1つをランダムに選択します。次に、隣の表に示すように、ビット値と基底の両方に応じて光子の偏光状態を準備します。たとえば、0は直線基底（+）で垂直偏光状態として符号化され、1は対角基底（x）で135°状態として符号化されます。アリスは、量子チャネルを使用して、指定された状態の単一の光子をボブに送信します。このプロセスは、ランダムビットの段階から繰り返され、アリスは送信された各光子の状態、基底、および時間を記録します。

量子力学（特に量子不確定性）によれば、4つの異なる偏光状態はすべて直交しているわけではないため、それらを区別できる測定方法は存在しません。唯一可能な測定は、直交する2つの状態（正規直交基底）間で行われます。したがって、例えば、直交基底で測定すると、水平または垂直という結果が得られます。光子が水平または垂直（直交固有状態）として生成された場合、これは正しい状態を測定しますが、45°または135°（対角固有状態）として生成された場合は、直交測定ではランダムに水平または垂直が返されます。さらに、この測定後、光子は測定された状態（水平または垂直）に偏光され、初期偏光に関するすべての情報は失われます。

ボブは光子がどの基底で符号化されたかを知らないため、直線または対角のいずれかの基底をランダムに選択して測定するしかありません。ボブは受信した光子ごとにこれを行い、時間、使用した測定基底、および測定結果を記録します。ボブはすべての光子を測定した後、公開されている古典チャネルを介してアリスと通信します。アリスは各光子が送信された基底をブロードキャストし、ボブは各光子が測定された基底をブロードキャストします。両者は、ボブが異なる基底を使用した光子の測定値（ビット）を破棄します。平均すると半分のビットが破棄され、残りの半分のビットが共有キーとして残ります。

盗聴者の存在を確認するため、アリスとボブは残りのビット列のあらかじめ決められた部分集合を比較します。第三者（通常は「盗聴者」を意味するイブと呼ばれる）が光子の偏光に関する情報を入手した場合、ボブの測定に誤差が生じます。他の環境条件も同様の方法で誤差を引き起こす可能性があります。${\displaystyle p}$ビットが異なる場合、鍵の安全性が保証されないため、鍵を中止して、場合によっては別の量子チャネルを使用して再度試行します。${\displaystyle p}$イブが知っているビット数がこれより少ない場合、鍵の長さを短くする代わりにプライバシー増幅を使用してイブの鍵に関する知識を任意に小さな量に減らすことができるように選択されます。

有限鍵解析は、有限個の量子信号のみが交換される場合の統計的変動を考慮します。林は量子鍵配送のための有限長セキュリティ評価フレームワークを提示し^{[ 9 ]}、林と鶴丸は後にBB84プロトコルの厳密な有限鍵セキュリティ解析を導出しました^{[ 10 ] 。}

小石とプレスキルは、特に放出された状態が基底の選択を明らかにしないことを前提として、特性化されていないソースを用いたBB84セキュリティ証明も与えた。^{[ 11 ]}

アルツール・エカートのスキーム^{[ 12 ]}は、もつれた光子のペアを使用します。これらはアリス、ボブ、または盗聴者イブを含む両者とは別のソースによって生成できます。光子は、アリスとボブがそれぞれ各ペアから1つの光子を受け取るように分配されます。

この方式は、量子もつれの2つの特性に基づいています。まず、もつれた状態は完全に相関しており、アリスとボブがそれぞれ粒子の偏光が垂直か水平かを測定すると、100%の確率で必ず反対の結果が得られます。他の相補的（直交）偏光のペアを測定した場合も同様です。このため、2人の遠隔地の当事者は方向性を完全に同期させる必要があります。ただし、具体的な結果は完全にランダムであり、アリスは自分（そしてボブ）が垂直偏光を得るか水平偏光を得るかを予測することは不可能です。次に、イブによる盗聴の試みは、アリスとボブが検出できる方法でこれらの相関を破壊します。

BB84と同様に、このプロトコルではイブの存在を検出する前にプライベートな測定プロトコルが用いられます。測定段階では、アリスはセットから選ばれた基底を用いて、受信した各光子を測定します。${\displaystyle Z_{0},Z_{\frac {\pi }{8}},Z_{\frac {\pi }{4}}}$ボブは以下から選ぶ ${\displaystyle Z_{0},Z_{\frac {\pi }{8}},Z_{-{\frac {\pi }{8}}}}$どこ$\displaystyle Z_{\theta }}$は${\displaystyle \{|{\uparrow }\rangle ,\;|{\rightarrow }\rangle \}}$基底を回転${\displaystyle \theta }$測定が完了するまで、彼らは基底の選択の系列を秘密にしておく。2つの光子グループが作られる。1つ目はアリスとボブが同じ基底を使用して測定した光子で構成され、2つ目はそれ以外のすべての光子を含む。盗聴を検出するために、彼らは検定統計量を計算できる。${\displaystyle S}$アリスの基底とボブの基底の間の相関係数をベルのテスト実験で示されたものと同様に使用する。最大エンタングルメント光子は、${\displaystyle |S|=2{\sqrt {2}}}$もしそうでない場合、アリスとボブは、イブがシステムに局所実在論を導入し、ベルの定理に違反したと結論付けることができます。プロトコルが成功すれば、最初のグループは鍵の生成に使用できます。なぜなら、それらの光子はアリスとボブの間で完全に反整列しているからです。

量子暗号か古典暗号かを問わず、暗号システムにおける最も重大な脆弱性の1つは、理論設計と実際の実装との間の不一致から生じます。^{[ 13 ]}暗号システムが正しく実装され、ハードウェアが期待どおりに動作すれば、すべてがスムーズに機能します。しかし、実際のシステムは不正確です。従来のQKDでは、使用される量子デバイスは完全に較正され、信頼でき、期待どおりに正確に動作する必要があります。^{[ 14 ]}期待される測定値からの逸脱は検出が非常に困難な場合があり、システム全体が脆弱になります。デバイス独立QKD（DIQKD）または測定デバイス独立QKD（MDIQKD）と呼ばれる新しいプロトコルでは、特性が不明または信頼できないデバイスの使用が可能になり、期待される測定値からの逸脱がシステム全体に含まれるようになります。^{[ 14 ] [ 15 ]}これらの逸脱が検出されると、誤ったデータになるのではなく、プロトコルが中止されます。^{[ 14 ]}具体的には、プロトコルのセキュリティは正しいモデルや実装に依存しません。 DI-QKDのようなDIプロトコルは、その堅牢なセキュリティ保証により、理論モデルと量子ハードウェアの実装との間の不一致を悪用する攻撃がないため、暗号学のゴールドスタンダードとみなされている。^{[ 16 ]}

DI-QKD プロトコルの最も重要な側面は、暗号鍵生成、量子計算、エンタングルメントを含む量子特性の特性評価などに用いられる様々なデバイスによって生成される結果の予測不可能性を検証できる点にあります。^{[ 17 ]}このように、DI-QKD プロトコルは暗号化の領域を超えてその有用性を広げ、ハードウェア特性評価のための強力な技術として機能します。これは、特に忠実度指標に関して、量子通信システムのコンポーネントと機能の評価において特に重要です。この分野では著しい進歩が見られるものの、DI-QKD プロトコルは依然として限られた最小限の仮定に依存しています。これには、クロック同期機能と、従来のハードウェアが仕様どおりに動作するという期待が含まれます。^{[ 18 ]}現在、DI-QKD の可能性は大きいものの、エンタングルメントの信頼性の高い配信とシステム全体のパフォーマンス向上の必要性に関連する課題が残っています。したがって、DI-QKD スキームをその潜在能力を最大限に引き出すには、相当な研究努力が必要です。

DIQKDは、BB84プロトコルを基にMayersとYaoによって最初に提案されました^{[ 19 ]}。彼らは、DIQKDでは、光子源と呼ばれる量子デバイスが、アリスとボブがデバイスが正しく動作しているかどうかを「自己チェック」するためのテストを伴って製造されるべきであると提示しました。このようなテストでは、イブによって傍受されるリスクのある情報がどれくらいあるかを判断するために、古典的な入力と出力のみを考慮すればよいことになります。自己チェック機能を持つ、あるいは「理想的な」ソースは特性評価する必要がなく^{[ 15 ] [ 20 ]}、したがって実装上の欠陥の影響を受けにくいでしょう^{[ 15 ] 。}

最近の研究では、デバイスが正しく動作していることを確認するためにベルテストを使用することが提案されています。^{[ 14 ]}ベルの定理は、デバイスが排他的に相関する 2 つの結果を生成できることを保証します。つまり、イブは、当該デバイスについて何の仮定もせずに、結果を傍受することはできません。これには、高度にエンタングルした状態と低い量子ビット誤り率が必要です。^{[ 15 ]} DIQKD では、そのような高品質のエンタングル状態にある量子ビットを作成することが難しく、実験的に実現することが困難です。^{[ 14 ]}

2026年、研究者らは、単一原子を用いて光ファイバー上で100kmを超える長距離エンタングルメントベースの量子通信の実験的実証を報告したと、報道機関が報じた。 ^{[ 21 ]}このような実験はまだ完全なDIQKDのすべての要件を満たしているわけではないが、デバイス非依存型量子通信の実用化に向けた継続的な進歩を示している。^{[ 22 ]}

ツインフィールド量子鍵配送（TF-QKD）は2018年に導入され、従来のQKDプロトコルのセキュリティを向上させ、根本的なレート距離制限を克服するように設計されたDIQKDのバージョンです。^{[ 23 ]}レート距離制限は、レート損失トレードオフとも呼ばれ、アリスとボブの間の距離が増加するにつれて、鍵生成のレートが指数関数的に減少することを示しています。^{[ 24 ]}従来のQKDプロトコルでは、この減衰は、量子リンクに沿って配置され、それをいくつかの低損失セクションに分割することを目的として、物理的に保護されたリレーノードを追加することによって解消されています。研究者はまた、リレーノードに追加することで物理的に保護する必要がなくなる量子リピーターの使用も推奨しています。^{[ 24 ]}しかし、量子リピーターの作成は難しく、まだ実用的な規模で実装されていません。^{[ 23 ]} TF-QKDは、量子リピーターやリレーノードを使用せずにレート距離制限を回避することを目的としており、ノイズレベルを管理可能なレベルに抑え、現在の既存技術でより容易に繰り返し実行できるプロセスを実現しています。^{[ 23 ]}最も重要なのは、TF-QKDプロトコルが遠方の量子光源からの位相ロック信号を効果的に利用することです。これにより、2者間の直接的な量子チャネルを必要とせずにキービットを測定できます。

TF-QKD の元のプロトコルは次のとおりです。アリスとボブはそれぞれ、研究所に光源と干渉計のアームを 1 つずつ持っています。光源は、区間[0, 2π)内のランダムな位相p _aまたはp _bと符号化位相γ _aまたはγ _bを持つ 2 つの微弱な光パルスを生成します。これらのパルスは量子とともに、悪意のある場合もそうでない場合もある第三者であるチャーリーに送られます。チャーリーはビームスプリッターを使用して 2 つのパルスを重ね合わせ、測定を実行します。彼は自分の研究所に 2 つの検出器を持っており、ビットが等しい (00) または (11) 場合は一方の検出器が点灯し、ビットが異なる (10、01) 場合はもう一方の検出器が点灯します。チャーリーはアリスとボブにどちらの検出器が点灯したかを通知し、その時点で位相pとγを公開します。^{[ 23 ]}これは、使用される位相が決して公開されない従来の QKD とは異なります。^{[ 25 ]}

1991年、マルバーンにある英国国防研究局とオックスフォード大学の研究者であるジョン・ラリティ、ポール・タプスター、アルトゥール・エカートは、ベルの不等式の破れによって保護された量子鍵配送を実証した。

2008年には、ケンブリッジ大学と東芝の協力により、BB84プロトコルとデコイ状態パルスを用いて、1  Mbit/s（20  km以上の光ファイバー）および10  kbit/s（100 km以上の光ファイバー）での安全な鍵交換が実現した。^{[ 32 ]} 

2007年、ロスアラモス国立研究所/ NISTはBB84プロトコルを使用して148.7  kmの光ファイバーを介した量子鍵配送を実現しました。^{[ 33 ]}重要なことに、この距離は今日のファイバーネットワークで見られるほぼすべてのスパンに対して十分な長さです。ヨーロッパの共同研究は、2006年にエンタングルド光子（エカート方式）を使用してカナリア諸島 の2つ間で144 kmの自由空間QKDを実現し、 ^{[ 34 ]} 2007年にはデコイ状態^{[ 35 ] [ 36 ] [ 37 ] [ 38 ] [ 39 ]}で強化されたBB84を使用しました。 ^{[ 40 ]}

2015年8月現在 光ファイバーの最長距離（307  km）^{[ 41 ]}は、ジュネーブ大学とコーニング社によって達成されました。同じ実験で、12.7  kbit/sの秘密鍵レートが生成され、100 kmの距離における最高ビットレートシステムとなりました 。2016年には、コーニング社と中国のさまざまな機関のチームが404  kmの距離を達成しましたが、ビットレートが低すぎて実用的ではありませんでした。^{[ 42 ]}

2017年6月、カナダのウォータールーにある量子コンピューティング研究所とウォータールー大学のトーマス・ジェンネワイン率いる物理学者らは、地上送信機から移動中の航空機への量子鍵配送の最初の実証に成功した。彼らは3～10kmの距離の光リンクを報告し、最大868キロバイトの長さの安全な鍵を生成した。^{[ 43 ]} 

また、2017年6月には、宇宙規模量子実験プロジェクトの一環として、中国科学技術大学の潘建偉氏率いる中国の物理学者らが、2つの地上局間の1203kmの距離でエンタングルした光子を測定し、将来の大陸間量子鍵配送実験の基礎を築いた。^{[ 44 ]}光子は、1つの地上局から彼らが墨子と名付けた衛星に送られ、別の地上局に戻され、そこで「1600～2400キロメートルに及ぶ合計長」に沿って「厳密なアインシュタイン局所性条件の下で2光子エンタングルメントの存続とベル不等式の2.37±0.09の違反」が観測された。^{[ 45 ]}同年後半には、BB84が墨子から中国とオーストリアの地上局への衛星リンクを介して正常に実装された。鍵が結合され、その結果は中国の北京とオーストリアのウィーンの間で画像とビデオを送信するために使用された。^{[ 46 ]} 

2017年8月、上海交通大学の研究グループは、単一光子の一般的な量子ビットやエンタングル状態を含む偏光量子状態が海水を通過した後も良好に維持されることを実験的に実証し、^{[ 47 ]}水中量子通信への第一歩を示した。

2019年5月、北京大学と北京郵電大学の洪国氏率いるグループは、西安と広州の商用光ファイバーネットワークを介した連続可変QKDシステムのフィールドテストを報告した。テスト距離はそれぞれ30.02  km (12.48  dB)と49.85  km (11.62  dB)であった。^{[ 48 ]}

2020 年 12 月、インド国防研究開発機構は、ハイデラバード施設にある 2 つの研究所間で QKD のテストを実施しました。このセットアップでは、通信内容の把握を試みる第三者の検出の検証も実証されました。量子ベースの盗聴防止セキュリティは、展開されたシステムで12 km (7.5 mi)を超える距離と光ファイバーチャネルでの 10 dB の減衰で検証されました。偏光解消効果のない光子を生成するために連続波レーザー光源が使用され、セットアップで使用されたタイミング精度はピコ秒オーダーでした。単一光子アバランシェ検出器(SPAD) が光子の到着を記録し、低い量子ビット誤り率で kbps の範囲のキーレートが達成されました。^{[ 49 ]}   

2021 年 3 月、インド宇宙研究機関 (ISRO) は、300 メートルの距離で自由空間量子通信を実証しました。自由空間 QKD は、アーメダバードの宇宙応用センター(SAC) で、キャンパス内の見通し線上の 2 つの建物間で量子鍵暗号化信号によるビデオ会議を実証しました。この実験では、送信モジュールと受信モジュール間の時間同期にNAVIC受信機を使用しました。その後、2022 年 1 月には、インドの科学者が暗号化されたメッセージと画像の交換のための大気チャネルの作成に成功しました。2 つの地上局間の量子通信を実証した後、インドは衛星ベース量子通信 (SBQC) の開発を計画しています。^{[ 50 ] [ 51 ]}

2022年7月、研究者らは量子ハッキング攻撃への耐性を確保するために量子もつれ（Ekert氏が提案した方法） ^{[ 12 ]}を利用したデバイス非依存型量子鍵配送（DIQKD）プロトコルを実験的に実装した研究を発表した。 ^{[ 14 ]}彼らは、次のプロセスを使用して、約2メートル離れた2つのイオンを高品質のもつれ状態にすることができた。アリスとボブはそれぞれ、内部に^{88Sr +}量子ビットを持つイオントラップノードを持っている。最初に、イオンを電子状態に励起し、もつれ状態を生成する。このプロセスでは2つの光子も生成され、それらは光ファイバーを使用して捕捉および輸送され、その時点でベル基底測定が実行され、イオンは高度にもつれた状態に投影される。最後に、量子ビットは光リンクから切り離されたイオントラップ内の新しい場所に戻され、情報が漏洩しないようにする。これは鍵配送が進む前に何度も繰り返される。^{[ 14 ]}

2022年7月に発表された別の実験では、量子デバイスが機能していることを確認するためにベル不等式テストを使用するDIQKDの実装が実証されました。今回は、700m長の光ファイバーを使用して、約400mというはるかに大きな距離で行われました。^{[ 15 ]}実験のセットアップは、いくつかの重要な違いがあるものの、上記の段落のものと似ています。量子ネットワークリンク（QNL）では、400m離れた別々の研究所にある2つの^87Rb原子間でエンタングルメントが生成され、700mチャネルで接続されています。原子は電子励起によってエンタングルメントされ、その時点で2つの光子が生成されて収集され、ベル状態測定（BSM）セットアップに送信されます。光子は|ψ ⁺状態に投影され、最大のエンタングルメントを示します。使用される鍵交換プロトコルの残りの部分は、元のQKDプロトコルと似ていますが、唯一の違いは、鍵が1つではなく2つの測定設定で生成されることです。^{[ 15 ]}

2018年にツインフィールド量子鍵配送が提案されて以来、QKDシステムの距離を伸ばすことを目的とした無数の実験が行われてきました。その中で最も成功したものは、833.8  kmの距離にわたって鍵情報を配信することができました。^{[ 25 ]}

2023年、インド工科大学（IIT）デリー校の科学者たちは、標準的な通信用光ファイバーで最大380kmの信頼ノード不要の量子鍵配送（QKD）を非常に低い量子ビット誤り率（QBER）で実現した。^{[ 52 ]}

2024年、南アフリカと中国の科学者たちは、 レーザーと低軌道上のマイクロサテライトを使用して、大気圏内での量子鍵配送を記録的な距離である12,900 kmで実現した。彼らは、衛星の1周回中に南アフリカと中国の間で100万ビット以上の量子的に安全なデータを転送した。^{[ 53 ]}

世界中の多くの企業が商用量子鍵配送を提供しており、例えば、ID Quantique (ジュネーブ)、東芝、^{[ 54 ]} MagiQ Technologies, Inc. (ニューヨーク)、QNu Labs (インド、ベンガルール)、QuintessenceLabs (オーストラリア)、QRate (ロシア)、Merqury (マルタ)、SeQureNet (パリ)、Quantum Optics Jena (ドイツ)、KEEQuant (ドイツ) などがある。また、KETS Quantum Security (英国)、HP、IBM、三菱電機、NEC、NTTなど、他にも多くの企業が活発な研究プログラムを実施している(直接の研究リンクについては外部リンクを参照)。

2004年、量子鍵配送を用いた世界初の銀行送金がオーストリアのウィーンで行われた。^{[ 55 ]}スイスの企業Id Quantiqueが提供する量子暗号化技術は、2007年10月21日に行われた国政選挙で投票結果を首都に送信するためにスイスのジュネーブ州で使用された。^{[ 56 ]} 2013年、バテル記念研究所は、オハイオ州コロンバスの本部キャンパスと近郊のダブリンにある製造施設の間に、ID Quantiqueが構築したQKDシステムを設置した。^{[ 57 ]}東京QKDネットワークのフィールドテストはしばらく前から行われている。^{[ 58 ]}

考えられる最も単純な攻撃は、傍受・再送信攻撃です。この攻撃では、イブがアリスから送られた量子状態（光子）を測定し、その測定結果に基づいて準備された代替状態をボブに送信します。BB84プロトコルでは、これによりアリスとボブが共有する鍵にエラーが発生します。イブはアリスから送られた状態がどの基底でエンコードされているかを知らないため、ボブと同様に、どの基底で測定するかを推測するしかありません。イブが正しく選択すれば、アリスから送られた正しい光子偏光状態を測定し、正しい状態をボブに再送信します。しかし、イブが誤って選択すると、測定する状態はランダムになり、ボブに送られる状態はアリスから送られた状態と同じにはなりません。ボブがアリスが送ったのと同じ基底でこの状態を測定すると、イブが反対の基底で状態を送っているため、ボブもランダムな結果を得ます。この場合、50%の確率で誤った結果になります（イブがいなければ得られるはずの正しい結果ではなく）。下の表は、このタイプの攻撃の例を示しています。

イブが間違った基底を選択する確率は50%です（アリスがランダムに選択すると仮定した場合）。ボブがアリスが送った基底でこの傍受した光子を測定すると、ランダムな結果、つまり50%の確率で間違った結果が得られます。傍受した光子がキー文字列にエラーを生成する確率は、50% × 50% = 25%です。アリスとボブが公開で比較する場合${\displaystyle n}$彼らのキービットを（もはや秘密ではないのでキービットとして破棄して）不一致を見つけ、イブの存在を特定する確率は

${\displaystyle P_{d}=1-\left({\frac {3}{4}}\right)^{n}}$

盗聴者を確率で検出するには${\displaystyle P_{d}=0.999999999}$アリスとボブは比較する必要がある${\displaystyle n=72}$重要な部分。

量子鍵配送は、認証なしで使用すると、古典的なプロトコルと同様に中間者攻撃に対して脆弱です。これは、量子力学の既知の原理では、味方と敵を区別できないためです。古典的な場合と同様に、アリスとボブは、互いの身元を確認する手段（初期共有秘密など）がなければ、互いを認証して安全な接続を確立することはできません。アリスとボブが初期共有秘密を持っている場合、無条件に安全な認証方式（Carter-Wegman [ ^{74 ]など）と量子鍵配送を組み合わせてこの鍵を}指数関数的に拡張し、新しい鍵の少量を使用して次のセッションを認証することができます。^{[ 75 ]}この初期共有秘密を作成するためのいくつかの方法が提案されています。たとえば、第三者^{[ 76 ]}、カオス理論^{[ 77 ]}、ポスト量子プロトコル^{[ 78 ]}、物理的に複製不可能な関数^{[ 79 ] [ 80 ]}を使用する方法などです。しかしながら、無条件に安全な認証には、「ほぼ強力に普遍的」なハッシュ関数のファミリーのみが使用できます。^{[ 81 ]}

BB84 プロトコルでは、アリスは単一光子を使用して量子状態をボブに送信します。実際には、多くの実装では、量子状態を送信するために非常に低いレベルまで減衰されたレーザー パルスを使用します。これらのレーザー パルスには、たとえば 0.2 個の光子など、非常に少数の光子が含まれており、ポアソン分布に従って分布しています。これは、ほとんどのパルスには実際には光子が含まれておらず (パルスは送信されません)、一部のパルスには 1 個の光子 (これは望ましい) が含まれ、少数のパルスには 2 個以上の光子が含まれていることを意味します。パルスに複数の光子が含まれている場合、イブは余分な光子を分離して、残りの単一光子をボブに送信できます。これが光子数分割攻撃^{[ 82 ] [ 83 ]}の基礎であり、イブはボブが残りの単一光子を検出してアリスが符号化基底を明らかにするまで、これらの余分な光子を量子メモリに保存します。その後、イブは正しい基底で光子を測定し、検出可能なエラーを導入することなく鍵に関する情報を取得できます。

PNS攻撃の可能性があっても、GLLPセキュリティ証明で示されているように、安全な鍵を生成することは可能です。^{[ 84 ]}ただし、プライバシー増幅をはるかに多く必要とするため、安全な鍵生成レートが大幅に低下します（PNSの場合、レートは次のようにスケーリングします）。$t²$と比較して${\displaystyle t}$単一光子源の場合、${\displaystyle t}$（量子チャネルの透過率）

この問題にはいくつかの解決策があります。最も明白なのは、減衰レーザーの代わりに真の単一光子源を使用することです。このような光源はまだ開発段階にありますが、QKDはこれらを用いて成功裏に実行されています。^{[ 85 ]}しかし、現在の光源は効率が低く、周波数キーレートと伝送距離が制限されています。別の解決策は、例えばSARG04プロトコル^{[ 86 ]}で行われているように、BB84プロトコルを変更することです。SA ​​RG04プロトコルでは、安全なキーレートは次のようにスケーリングされます。$t^3/2$SARG04では、古典的なビット情報は偏光ではなく基底で符号化されます。この「シフティング」と呼ばれるプロセスにより、SARG04はPNS攻撃に対してより堅牢になります。SARG04は、減衰レーザー光源を使用しながらも、BB84と比較してより長い安全な通信距離を可能にすることもわかっています。^{[ 87 ]}

最も有望な解決策は、アリスが平均光子数が少ないレーザーパルスをランダムに送信するデコイ状態^{[ 35 ] [ 36 ] [ 37 ] [ 38 ] [ 39 ]}です。これらのデコイ状態は、イブがどのパルスが信号でどのパルスがデコイかを判別できないため、PNS攻撃を検出するために使用できます。このアイデアを使用すると、安全な鍵レートは次のようにスケーリングします。${\displaystyle t}$単一光子源の場合と同様です。このアイデアは、トロント大学で最初に成功裏に実装され、^{[ 88 ] [ 89 ]}その後のいくつかのQKD実験で成功し、^{[ 90 ]}既知のすべての攻撃に対して安全な高い鍵レートを可能にしました。

現在、量子鍵配送で接続される2点間には専用の光ファイバー回線（または自由空間における見通し線）が必要となるため、回線を切断または遮断するだけでサービス拒否攻撃を仕掛けられる可能性があります。これが、障害発生時に代替回線を経由して通信をルーティングする量子鍵配送ネットワークの開発動機の一つとなっています。

量子鍵配送システムは、イブが量子チャネルに明るい光を送り込み、トロイの木馬攻撃で反射光を分析することで調査される可能性があります。最近の研究では、イブがボブの秘密基底の選択を90%以上の確率で識別し、システムのセキュリティを侵害することが示されています。^{[ 91 ]}

If Eve is assumed to have unlimited resources, for example both classical and quantum computing power, there are many more attacks possible. BB84 has been proven secure against any attacks allowed by quantum mechanics, both for sending information using an ideal photon source which only ever emits a single photon at a time,^[92] and also using practical photon sources which sometimes emit multiphoton pulses.^[84] These proofs are unconditionally secure in the sense that no conditions are imposed on the resources available to the eavesdropper; however, there are other conditions required:

1. Eve cannot physically access Alice and Bob's encoding and decoding devices.
2. The random number generators used by Alice and Bob must be trusted and truly random (for example a Quantum random number generator).
3. The classical communication channel must be authenticated using an unconditionally secure authentication scheme.
4. The message must be encrypted using one-time pad like scheme

以下に挙げる実際的な課題を踏まえ、いくつかの組織は量子鍵配送の代わりに「ポスト量子暗号（または量子耐性暗号）」の使用を推奨している。

1. 米国国家安全保障局、^{[ 119 ]}
2. 欧州連合サイバーセキュリティ機関（ENISA）^{[ 120 ]}
3. 英国国家サイバーセキュリティセンター、^{[ 121 ]}
4. フランス国防安全保障事務局（ANSSI）^{[ 122 ]}
5. ドイツ連邦情報セキュリティ庁（BSI）^{[ 123 ]}
6. オーストラリアASD ^{[ 124 ]}
7. オランダ国家通信保安庁（NLNCSA）
8. およびスウェーデン国家通信保安局、スウェーデン軍^{[ 125 ]}

例えば、米国国家安全保障局は5つの問題に取り組んでいます。^{[ 119 ]}

• 量子鍵配送（QKD）は部分的な解決策に過ぎません。QKDは機密性を提供する暗号化アルゴリズムの鍵生成材料を生成します。このような鍵生成材料は、元のQKD送信が目的のエンティティから送信されたことを暗号学的に保証できる場合（つまり、エンティティソース認証がある場合）、対称鍵暗号アルゴリズムで完全性と認証を提供するためにも使用できます。QKDはQKD送信元を認証する手段を提供しません。したがって、ソース認証には、非対称暗号または事前配置された鍵を使用して認証を行う必要があります。さらに、QKDが提供する機密性サービスは、一般的にコストが低く、リスクプロファイルがよりよく理解されている量子耐性暗号によって提供できます。
• 量子鍵配送（QKD）には専用の機器が必要です。QKDは物理特性に基づいており、そのセキュリティは独自の物理層通信によって確保されています。そのため、ユーザーは専用の光ファイバー回線をリースするか、自由空間送信機を物理的に管理する必要があります。ソフトウェアやネットワーク上のサービスとして実装することはできず、既存のネットワーク機器に容易に統合することもできません。QKDはハードウェアベースであるため、アップグレードやセキュリティパッチの適用における柔軟性にも欠けます。
• 量子鍵配送は、インフラコストと内部脅威リスクを増加させる。量子鍵配送ネットワークでは、多くの場合、信頼できる中継局の利用が必要となるため、安全な施設のための追加コストと、内部脅威によるセキュリティリスクが増大する。これにより、多くのユースケースが検討対象から除外される。
• 量子鍵配送のセキュリティ確保と検証は大きな課題です。QKDシステムによって実際に提供されるセキュリティは、物理法則に基づく理論上の無条件のセキュリティ（モデル化され、しばしば提案されているもの）ではなく、ハードウェアとエンジニアリング設計によって達成できるより限定的なセキュリティです。しかし、暗号セキュリティにおけるエラー許容度は、ほとんどの物理エンジニアリングシナリオで利用可能なものよりも桁違いに小さいため、検証が非常に困難です。QKDを実行するために使用される特定のハードウェアは脆弱性を引き起こす可能性があり、その結果、商用QKDシステムに対するいくつかの広く知られた攻撃が発生しています。^{[ 126 ]}
• 量子鍵配送は、サービス拒否攻撃のリスクを高める。QKDの安全性に関する主張の理論的根拠である盗聴者に対する感度も、サービス拒否攻撃がQKDにとって重大なリスクであることを示している。

上記の問題1への対応として、ポスト量子暗号（または量子耐性暗号）を用いた認証キーの配信が世界中で提案されている。一方、量子耐性暗号は計算セキュリティのクラスに属する暗号である。2015年には、「情報理論的に安全でない認証キーを使用する場合、システム全体の情報理論的セキュリティを実現するために実装において十分な注意を払う必要がある」（認証キーが情報理論的に安全でない場合、攻撃者はそれを破ってすべての古典的および量子的通信を制御し、それらを中継して中間者攻撃を開始することができる）という研究結果が既に発表されている。^{[ 127 ]}民間企業のエリクソンも上記の問題を指摘し、ネットワークセキュリティ技術の最近のトレンドであるゼロトラストセキュリティモデルをサポートできない可能性があるというレポートを発表している。^{[ 128 ]}