量子暗号・量子鍵配送（QKD）の仕組み光子、盗聴検知、ワンタイムパッドを理解する

身近なサービスから暗号を整理する：何を守るための技術？

まず、スマートフォンで買い物をするときのHTTPS、マイナンバーカードを使ったe-Tax、取引先から届く電子署名付きPDFを思い浮かべてください。同じ「暗号技術」でも、通信を読めなくする、鍵を共有する、相手や文書を確かめるは別の仕事です。

同じ「公開鍵」を使う場面でも、暗号化では受信者の公開鍵で暗号化し秘密鍵で復号するのが基本形、電子署名では署名者の秘密鍵で署名を生成し公開鍵で検証します。現在のTLS 1.3では、通信鍵の確立にECDHE等を使い、証明書と署名でサーバーを認証する、という複数の機能の組み合わせが基本です。

公的な説明は マイナンバーカード総合サイト（2種類の電子証明書）、AdobeのPDFデジタル署名解説、CloudflareのTLSハンドシェイク解説も参考になります。

暗号技術の全体地図：何を保証したいのかから選ぶ

「暗号」はひとつの機能ではありません。機密性・完全性・真正性・否認防止をどの技術が支えるか、最初に整理します。認可や可用性は暗号化だけでは実現できません。

認証局（CA）とPKI：公開鍵が本物だと分かる理由

公開鍵暗号だけでは「この公開鍵が本当に銀行のWebサイトのものか」を判断できません。攻撃者が偽の公開鍵を渡す中間者攻撃に対抗するため、公開鍵と主体の結び付きを電子証明書で表す仕組みがPKI（Public Key Infrastructure：公開鍵基盤）です。

証明書チェーンは「サーバー証明書 → 中間CA証明書 → ルートCA証明書」という信頼の連鎖です。署名の検証だけでなく、サーバー名との一致、用途、有効期間、失効状態などを総合して確認します。CAが発行したという事実だけで、接続先企業の事業内容や取引の安全まで保証されるわけではありません。

電子署名・電子証明書・本人認証を横断して理解する

PDFへの電子署名も同じ土台にあります。署名値だけでは「どの公開鍵で検証すればよいか」「その公開鍵が誰のものか」が解決しません。そこで電子証明書とPKIを組み合わせ、署名の検証に加えて証明書チェーン・失効・署名時刻なども評価します。

実務での選択：どの技術をどこに使うか

1. まず暗号の基本：鍵を隠して共有する難しさ

例えば、病院Aと研究機関Bが機密データを送る状況を考えます。平文は読めるデータ、暗号文は鍵を使って変換されたデータ、共通鍵は暗号化と復号に同じ値を使う鍵です。AESのような共通鍵暗号は高速ですが、その鍵をAとBがどうやって安全に共有するかが重要になります。

例えば、普段のHTTPSではTLSが鍵合意と共通鍵暗号を組み合わせます。QKDは、そのうち鍵共有に関わる課題に光の量子的性質を利用するアプローチです。対して、量子計算機でも破りにくい数学的問題を使う耐量子計算機暗号（PQC）は別の発想です。

2. 光子・量子状態・基底とは？ ゼロから理解する

光子（photon）は光を量子として扱うときの単位です。BB84と呼ばれるQKDの基本方式では、光子の偏光などの状態を利用してビット情報を表します。ここでは「＋基底」と「×基底」の2種類を使うモデルで考えます。

盗聴者が送信時の基底を知らずに光子を測定すると、正しい基底を偶然選ぶ場合もありますが、間違えた基底なら状態に影響を与えます。未知の量子状態を完璧に複製できない性質（量子複製不可能定理）も、量子鍵配送の安全性を支える背景です。

3. QKDの通信経路：光子を送る経路と公開の経路を分ける

QKDでは、量子通信路だけでなく認証された古典通信路も必要です。ここを省略すると、盗聴検知と送信者の本人確認を混同しやすくなります。

送信者はビットと基底をランダムに選び、対応する量子状態を送ります。受信者も基底をランダムに選んで測定します。その後、基底は公開しても、鍵のビット列をすべて公開するわけではありません。同じ基底で得たビットを候補として残します。

例：光子を8回送った場合
送信基底    +  ×  +  +  ×  ×  +  ×
受信基底    +  +  +  ×  ×  +  +  ×
一致?       ○  ×  ○  ×  ○  ×  ○  ○

→ 同じ基底の位置だけ残す（基底照合・sifting）
→ 誤り検査、誤り訂正、秘匿性増幅
→ 安全性を評価した後の最終鍵を暗号化に利用

4. BB84で盗聴を見つける理由：測定は状態に影響する

Aliceが「＋」基底の状態を送ったのに、Eveが「×」基底で測ってしまったとします。Eveは送信時の基底を知らないため、その測定結果を使って新しい光子を送り直しても、Bobの結果に誤りが混入する場合があります。

単純なBB84の切り取り・測定・再送攻撃モデルでは、送受信基底が一致しているビットに平均約25%の誤りが生じます。ただし実機では通信路の雑音や機器の不完全性があり、少数のビットから即座に盗聴の有無を断定することはできません。

測定結果に誤りがあれば必ず攻撃だとも、誤りが見えなければ必ず安全だとも言えません。実際には統計的な誤り評価、誤り訂正、秘匿性増幅（privacy amplification）によって盗聴者が持ち得る情報量を十分小さくします。

5. ワンタイムパッド（OTP）：鍵を一度しか使わない

OTP（One-Time Pad）は、平文と同じ長さの真にランダムな秘密鍵を使い、その鍵を絶対に再利用しない暗号方式です。ビット列なら排他的論理和（XOR）で暗号化・復号できます。量子計算機は必要ありません。

平文 P      10110010
秘密鍵 K    01101101
           -------- XOR
暗号文 C    11011111

復号：C XOR K = P
11011111 XOR 01101101 = 10110010

鍵が予測不能で平文と同じ長さであり、完全に秘密に保たれ、一度しか使われないなどの条件を満たすと、暗号文だけから平文を特定する情報が得られない情報理論的安全性（完全秘匿性）が成立します。

しかし同じ鍵を二度使うと、暗号文同士をXORしたとき秘密鍵が相殺されます。C₁ XOR C₂ = P₁ XOR P₂ となり、平文に関する情報が漏れます。また、大量データと同じ量の鍵を継続して供給する必要があり、運用上の負担が大きくなります。

6. PQCとQKDの違い：どちらも量子に関係するが仕組みは別

例えば、金融機関のデータセンター間や研究機関の拠点間を専用の光ファイバーでつなぐ設計ならQKDの検討対象になります（導入例を示す架空の場面であり、特定企業が使用しているという意味ではありません）。一方、一般のWebサービスでTLSや署名などを量子計算機時代へ対応させるなら、PQCの標準化と移行が直接関係します。両者は対立するものではなく、用途や脅威モデルが異なります。

7. 紛らわしい説明を見分ける：4つのチェック

8. 実際の運用では「盗聴したら100%検知」ではない

原理上の安全性と、現実の装置・ネットワークの安全性は分けて扱います。光源が意図せず複数の光子を出す、検出器が不完全、機器から情報が漏れる、認証済みの古典通信路が成立していない、といった条件では、想定外の攻撃余地が生まれます。

また、光の損失、伝送距離、鍵生成速度、導入コストなどの制約があります。鍵を受け取れたとしても、保存した鍵の管理、装置の物理防護、利用者の認証、送信データの改ざん対策は別に設計しなければなりません。

まとめ：3つの技術を1本の流れで説明できるようにする

HTTPSの通信暗号化、e-TaxやPDFの電子署名、QKDによる鍵共有を並べると、同じ「暗号」でも役割が違うと分かります。量子暗号を理解するうえで最も大事なのは、「鍵をどう共有するか」と「データをどう暗号化するか」を分けることです。QKD、PQC、量子コンピュータの3つを混同しなければ、次に新しい量子技術の話題を聞いたときにも整理して理解できます。