Experimental generation of asymmetric keys from the parity structure of a two-photon six-qubit entangled state

技術要約：二光子六量子ビットもつれ状態のパリティ構造からの非対称鍵の実験的生成

問題提起
従来の非対称公開鍵暗号は、計算量的困難性（例：巨大な整数の因数分解）の仮定に依存しており、これらは将来的な計算能力の進歩、特に量子アルゴリズムに対して脆弱です。量子鍵配送（QKD）は、物理法則に基づいた情報理論的安全性を備えていますが、既存のプロトコル（BB84やE91など）の多くは対称的であり、鍵を確立するために共有された秘密情報や後処理を必要とします。量子リソース（固有のランダム性と量子もつれ）を利用して、計算上の仮定に依存することなく、非対称鍵（公開鍵と秘密鍵のペア）を生成する、物理学に基づいた公開鍵暗号の代替手法が求められています。

手法
著者らは、六量子ビットの光子もつれ状態を用いた非対称鍵生成のためのプロトコルを提案し、実験的に実証しています。このシステムは2つの光子を利用しており、各光子は偏光および2つの経路自由度（d.o.f.）にエンコードされた計3つの量子ビットを保持しています。

1. 状態エンジニアリング:

   • 光源: サグナック型II型自発パラメトリック下方変換（SPDC）光源を用いて、偏光もつれベル状態 $|\Psi^+\rangle_{14} = \frac{1}{\sqrt{2}}(|H\rangle_A |V\rangle_B + |V\rangle_A |H\rangle_B)$ を生成します。量子ビット $q_1$（アリス）と $q_4$（ボブ）は、チャネルを通過する偏光量子ビットです。
   • 局所エンコーディング: アリスとボブは、線形光学素子（ビームスプリッターおよび偏光ビームスプリッター）を用いて、追加の2つの経路量子ビット（アリスには $q_2, q_3$、ボブには $q_5, q_6$）を局所的にエンコードし、特定のユニタリ演算（$U_A$ および $U_B$）を実行します。
   • ターゲット状態: これらの演算により、初期状態はターゲットとなる六量子ビット状態 $|\Psi^{(6)}_E\rangle$ へと変換されます。これは、64個の計算基底状態のうち、特定の8つの基底状態の等価な重ね合わせです。極めて重要な点として、この状態は、各当事者の3量子ビットの文字列が古典的な $[3, 2, 2]$ 偶数パリティ符号の符号語を形成するように制約されています。これら2つの符号語は、初期の量子もつれ（$x_1 \oplus x_4 = 1$）を通じて結合されています。

2. プロトコルの実行:

   • 測定と自己チェック: 両者は自身の3つの量子ビットをZ基底で測定します。通信を行う前に、両者は偶数パリティ制約（$x_1 \oplus x_2 \oplus x_3 = 0$）を局所的に検証します。このチェックに失敗したラウンドは破棄され、これにより、鍵のビットを明かすことなく、局所的なエラー（検出器のダークカウントやビット反転など）をフィルタリングします。
   • 鍵生成: アリスは、自身の経路ビット（$x_2$ または $x_3$ のいずれか）をランダムに選択し、それを公開鍵として発表します。残りの2つのビット（$x_1$ と発表されなかった経路ビット）は、彼女の秘密鍵となります。
   • 再構成: ボブは、自身の3量子ビットの測定結果とアリスの単一の公開ビットを用いて、アリスの完全な3量子ビットを決定論的に再構成します。パリティ制約と初期の量子もつれ相関（$x_1 = \bar{x}_4$）により、ボブは（チャネルノイズがない場合）、アリスの秘密ビット（$x_1$ ともう一方の経路ビット）を完全に復元できます。
   • 暗号化: アリスは自身の秘密ビットを用いてメッセージを暗号化し、暗号文を公開鍵とともにボブに送信します。ボブは、再構成された秘密ビットを用いて復号を行います。

3. セキュリティメカニズム:

   • セキュリティは**量子もつれの単一性（モノガミー）**に依存しています。チャネル内の偏光量子ビットに対するいかなる盗聴も、量子もつれを乱し、ベル-CHSHパラメータを低下させ、エラー率を上昇させます。
   • 経路量子ビットは、アリスとボブの遮蔽されたステーションから外に出ることはありません。偏光量子ビットと単一の公開ビットのみが外部に露出します。
   • 秘密鍵なしでは、攻撃者は$t$ビットのランダムな文字列を推測する必要があり、$t$量子ビットの量子システム上で$O(2^t)$回の試行を必要とします。

主な貢献

• プロトコル設計: パリティ符号によって制約された六量子ビットもつれ状態を用いた、新しい非対称鍵生成スキーム。
• ラウンドごとのエラー検出: 統計的にデータの一部を犠牲にする従来の量子もつれベースのQKDとは異なり、本プロトコルはパリティ符号を用いたラウンドごとの自己チェック機能を備えています。これにより、生鍵（raw key）に入る前に、故障したラウンドを個別に識別して破棄することが可能です。
• 鍵レートの倍増: 本プロトコルは、成功したラウンドにつき2つの秘密ビット（ビット $x_1$ と発表されなかった経路ビット）を生成するため、1ラウンドにつき1ビットを生成するスキームと比較して、実質的に鍵レートを倍増させます。
• 実験的実現: 複数の自由度を利用することで、わずか2つの光子を用いて複雑な多量子ビット状態（六量子ビット）を決定論的に設計できることを示す、最初の実験的実証。

実験結果
実験は、タイプII PPKTP結晶を備えたサグナック干渉計を用いて行われました。

• 状態の質: 生成された偏光もつれ状態は、ターゲットとなるベル状態に対して忠実度 $F = 0.987$ を達成しました。
• ベル不等式の破れ: ベル-CHSHパラメータは $S = 2.798 \pm 0.008$ と測定され、古典的な境界である2を大きく上回り（$99.75\sigma$ の差）、ツレルソン限界に接近しました。
• 鍵レート:
  • 生鍵レート: $130.925 \pm 0.114$ kbit/s
  • シグナル出力レート: $124.885 \pm 0.112$ kHz
  • 秘密ビットレート: $249.77 \pm 0.09$ kbit/s（1ラウンドあたり2ビット生成による）
• エラー率: Z基底の量子ビット誤り率（QBER）は $(4.61 \pm 0.018)\%$ と測定されました。これは、実用的な鍵生成においてしばしば引用される5%の閾値を下回っています。
• 一様性: 生成された鍵ビット列の0と1の比率は1から2%以内の範囲にあり、一様なランダム性が確認されました。

意義と主張
本論文は、計算量的困難性の仮定に依存しない、物理学に基づいた公開鍵暗号の代替案を提供すると主張しています。その意義は以下の通りです。

1. 本質的な安全性: セキュリティは、数学的な複雑さではなく、量子リソース（量子もつれの単一性と固有のランダム性）に由来します。
2. 効率性: ラウンドごとに2つの秘密ビットを生成する能力と、局所的なエラーをラウンドごとにフィルタリングする組み込みメカニズムにより、効率が向上し、生鍵のエラー率が低減されます。
3. フォトニックシステムの拡張性: 複数の自由度を活用することで、わずか2つの光子を用いて複雑な多量子ビット状態（六量子ビット）を決定論的に設計できることを示しており、よりリソース効率の高い量子通信プロトコルへの道を開いています。

著者らは、このアプローチが、セキュリティが根本的に量子力学の法則に根ざした非対称鍵生成の経路を確立するものであると結論付けています。