「量子暗号」；石井茂著　読書感想

はじめに

今回紹介するのは、石井茂著「量子暗号」だ。
量子力学全般、あるいは暗号全般について解説した本の中で、話題の一つとして量子暗号についても触れているものは多い。しかし、丸々一冊分「量子暗号」の解説だけに特化している本というのは貴重だ。出版されたのは２００７年であるが、今でも読む価値がある本だと思う。

本書は１６の章から構成されるが、内容は大きく２つに分けられる。第１章から第８章は、古典的な暗号の弱点を踏まえつつ正統的な量子暗号について解説される前半部。途中の９章・１０章では暗号の話からは少し離れ、光とレーザーの歴史について語られる。そして後半の第１１章から第１６では、やや異端（ではあるが実用的）な方式の量子暗号プロトコルが紹介される。

細かい内容紹介に移る前に、本書の全体的な特徴を述べておこう。まず本書は基本的な姿勢として、量子暗号を単に「不思議な現象」としてではなく、「実際に使えることを目指して開発するテクノロジ」として扱っている。単に理屈を説明して「凄いね、不思議だね」で終わらせるのではなく、実際に使用する場面で想定される弱点やその技術的対策、理論的には必要ないが実用化のためには必要になる補助的な技術など、類書ではお目にかからないような細かい部分まで解説してくれる。
また、日本に関するエピソードが多いのも特徴だ。暗号の歴史は日本の視点から語られるし、日本初の近代的物理学者に関するエピソードもある。もちろん、量子暗号分野における日本人の活躍についても多数紹介されている。東大の古澤明先生をはじめ、本書に出てくる研究者は論文や学会の会議などで一度は名前を見たことがある有名人ばかりだ。このように日本人の活躍についてしっかりと知ることができるのは本書のメリットの一つである。

内容紹介

では、もう少し具体的に本書の内容をピックアップしていこう。
第２章と第３章では、「解読されてきた歴史上の暗号」から始まり「解読できない暗号」に話が進む。実は、「解読不能であることが理論的に証明された暗号」というのは量子力学とは関係なく既に存在していた。それが「ランダムな数列を暗号鍵として共有し、それを使い捨てにする」というバーナム暗号だ。ちなみにその安全性を証明したのは、情報理論の創始者として有名なクロード・シャノンである。では、なぜ絶対安全なバーナム暗号は一般に浸透しなかったのだろうか。それは、前提条件である「ランダムな数列の共有」が、実際の運用上難しいからだ。そもそも「ランダムな数を生成する」というのが意外と難しい。それにいざ共有しようとしても、使い捨てになる大量の数列を直接会って手渡すのは現実的ではないし、通信で送ろうとしても、”本番データを通信するための暗号鍵を共有するための通信の安全性”という堂々巡りの議論になる。このバーナム暗号の運用上の課題を解決するのが、量子暗号なのだ。

第４章・第５章では、以上の話を踏まえて具体的な量子暗号プロトコル、BB84の説明が始まる。詳細な内容は本書を実際に読んでもらうとして、量子暗号の立ち位置について少し注意しておこう。量子暗号はバーナム暗号の課題であった「ランダムな数列の共有」を実現する。その意味で、量子暗号は量子鍵配布と呼ぶのが正しい。量子暗号の目的は鍵の配布であり、本番データそのものを通信することではない。ときどき、共有されたランダム数列のことを「本番データ」であるかのように説明している解説文もあるが、（BB84を前提とするなら）それは誤解である。量子力学を利用して暗号鍵を共有できれば、暗号化したあとの本番の通信は、古典通信で構わない。インターネットでも郵便でも、相手の下駄箱に密かに入れておいても構わない。本番データの安全性は、量子力学とは関係なく、バーナム暗号の理論によって保証されているのだ。
第５章の後半から６章、７章では、BB84から派生した変種のプロトコルについて紹介がある。光子の偏光ではなく位相を用いるB92、日本人が考案した差動位相シフト量子鍵配送、量子もつれを利用したE91など、いずれも類書ではお目にかからない貴重な一般向け解説である。

第８章では、量子暗号の実用化のために必要になる補助的な技術が解説される。みんな大好き量子テレポーテーションもここで登場するのだが、ちょっと意外と思う人もいるのではないだろうか？。実を言うと私は、専門的に勉強するまでは「量子テレポーテーションこそが、量子暗号通信の仕組みの中核部分である」と思っていた。しかし量子テレポーテーションは、量子暗号の仕組みそのものには直接関わっておらず、「光ファイバに光子を通すと信号が劣化する」という、極めて現実的な課題を解決するために導入される補助的な技術なのだ。もう少し詳しく説明しよう。普通の光通信であれば、光ファイバによって劣化した信号は増幅して元に戻すことができる（これを中継という）。しかし一般に単一光子の信号を増幅することはできず、光ファイバで直接通信できる距離は制限されてしまう。そこで量子テレポーテーションを使えば、信号を劣化させずに遠隔地に転送することができる。すなわち、量子テレポーテーションは、量子暗号というよりは「量子中継」に使われるということだ。
ここまででも一般書としてはかなり詳しい部類なのだが、本書では、この話はさらに「もつれスワッピング」にまで発展する。もつれスワッピングは量子テレポーテーションの亜種で、２組の短距離もつれを元に、長距離の量子もつれを生成することができる。これは量子テレポーテーション、すなわち量子中継の長距離化に利用される。つまり量子暗号の補助技術の、そのまた補助技術というわけだ。正直「一般向け書籍で、そんな細かい話まで出してしまっていいのか！？」という感じだ。この他にも「もつれ蒸留」や「超高密度符号化」（これは量子暗号には直接は関係ないが）といった、専門書レベルの極めて発展的な技術が次々に出てくる。他書では名前さえ知ることができないような技術が解説付きで読めるのだから、凄いとしかいいようがない。

本書の後半、第１１章以降は、前半部分で解説された正統的な量子暗号とは少し異なる方式の紹介が始まる。デコイ法、連続量量子暗号、量子ストリーミング暗号（Y00）などだ。特にY00は量子雑音を利用して本文データを直接送信するという、他の方式とは根本的に異なる仕組みを持つ。私もこの辺りの話は本格的に勉強したことはないので、すべてを理解しているわけではない。しかし、これらの方式の共通点は理解した。それは、「現状の未熟な技術でなんとか実用レベルの量子暗号を実現したい」という思想で考案されていることだ。
"技術的に難しい正統派の方式"vs"実用的な異端の方式"という構図は量子コンピュータにも共通する。量子ゲート方式の研究者にとって、量子アニーリング方式は異端としか言いようがなかった。しかし量子アニーリング方式は、機能に制限はあっても現状の技術で十分に安定した動作を実現しており、正統派よりも先に市場に出て人工知能などに実際に使われつつある。将来自分が初めてお世話になる量子暗号が正統派のものになるか異端派のものになるか、予想してみるのも面白いだろう。

ちょっとだけ注意

本書が刊行されたのは２００７年であり、もう１０年前だ。そのため、本書の中には少し古い部分があることも事実である。例えば、本書には「実は、単一光子に情報を持たせる（離散変数の）量子テレポーテーションは、まだ実現されていない」とある。確かにこのあたりの事情は少しややこしい。光子の偏光を用いた離散量テレポーテーションの実験自体は昔から普通に行われている。例えば、古澤先生よりも先に行われたザイリンガーの実験（Nature版はこちら）や、最近では中国の量子通信衛生の量子テレポーテーション実験（Nature版はこちら。arXiv版はこちら）がある。しかし光子の偏光を用いた量子テレポーテーションには、４つの「ベル基底」のうち一部しか用いることができないという性質があり、この点で"不完全"とする見方がある。連続量を用いることでこの弱点を克服したのが、古澤先生による"完全な"量子テレポーテーションである。上記の「（離散変数の）量子テレポーテーションは、まだ実現されていない」とは、このことを指しているのだろう。
しかし最近では、物質中のスピンを用いた"完全な"量子テレポーテーションが普通に行われるようになっている（例えばこちらを参照）。スピンであれば文句なしの離散変数量子なので、離散量テレポーテーションが実現できていないというのは過去の知識だと言っていいだろう。

また、本書の最終章では量子コンピュータでも解けない公開鍵暗号としてナップザック問題を応用した量子公開鍵暗号が紹介される。ゲート式の量子コンピュータは素因数分解のような「いざ答えの候補が見つかったら、それが本当かどうか確かめるのは簡単」という問題に対しては強いが、ナップザップ問題のような「たとえ答えの候補が見つかっても、それが本当に求める答えなのかを確認することさえ難しい」という種類の問題には弱い。しかしナップザップ問題は巡回セールスマン問題と同じタイプの「組み合わせ最適化問題」であり、これはアニーリング式量子コンピュータで高速に解ける可能性がある。２００７年当時、D-Waveなどという存在は予測不可能だった。組み合わせ最適化問題を利用するというアイデアは、今となっては少々修正が必要だろう。