Оценка безопасности двусторонних протоколов квантовой прямой связи от незаметного перехвата

Аннотация

Рассматриваются атаки на двусторонние протоколы квантового распределения ключей (QKD), в которых незаметный перехватчик (Ева) копирует все сообщения в режиме сообщений. Показано, что при таких атаках в режиме сообщений нет помех, а взаимная информация между отправителем (Алисой) и получателем (Бобом) всегда постоянна и равна единице. Следовательно, недавние доказательства безопасности двусторонних протоколов не могут считаться полными, так как они не охватывают рассматриваемые атаки.

Введение

Квантовая криптография, в частности протоколы QKD, предлагает, в отличие от классической, вероятно не взламываемую связь, основанную на квантовых свойствах носителей информации. Доселе реализации основывались на протоколе BB84, который безусловно безопасен при достаточно низком квантовом битном ошибочном уровне (QBER). Однако QBER в BB84-подобных протоколах может быть высоким, и поскольку мы не можем отличить битовые сбои Евы от сбоев, вызванных потерями и несовершенствами, требование низкого QBER для обработки битов часто трудно выполнить. Например, 4-состояний BB84 с более чем 11 % помех и 6-состояний BB84 с более чем 12,6 % должны прерываться (D — процент поляризационных переворотов, вызванных Евой, максимум 0,5). Поскольку D нельзя отделить от собственного QBER линии, эти уровни небезопасны (взаимная информация Алисы и Евы I_AE превышает I_AB для D>0,11, 0,126 соответственно) и не могут быть выполнены просто потому, что Ева может быть в линии.

В поиске более эффективных протоколов предложены и реализованы двусторонние протоколы. В частности, запутанно-фотонные двусторонние протоколы на двух Белловских состояниях (пинг-понг, pp) и на четырех (Ψ^∓, Φ^∓), а также однолототный детерминированный протокол Lucamarini-Mancini (LM05). Различные модификации и обобщения LM05 даны в других работах. Некоторые варианты реализованы. Упомянутый pp протокол реализован Ostermeyer и Walenta в 2008, а протокол с четырьмя Белловскими состояниями не может быть реализован с линейными оптическими элементами. В упомянутых ссылках получены различные оценки безопасности.

В работе Lu, Fung, Ma, Cai дано доказательство безопасности LM05 для атаки, предложенной в других работах, но утверждается, что это доказательство безусловной безопасности. В работе Han et al. дано доказательство безопасности модифицированного pp протокола против коллективных атак в шумном и затухающем канале.

Все соображения безопасности двусторонних протоколов предполагают, что Ева атакует каждый сигнал дважды: по пути от Боба к Алисе и обратно, и при этом она нарушает сигнал в режиме сообщений. Однако, как показано ниже, существуют иные атаки, в которых незаметная Ева кодирует сигналы Боба согласно кодированию Алисы декой-сигнала, посланного ей, а затем считывается Евой.

В данной работе показано, что в детерминированных двусторонних QKD протоколах при определенной атаке типа «перехват и повторная отправка» незаметная Ева может получить все сообщения в режиме сообщений (MM), а взаимная информация между Алисой и Бобом постоянна и равна единице. Это означает, что безопасность протоколов не может быть установлена стандартными процедурами оценки секретной доли длины ключа.

Методы

Анализируются атаки на два типа двусторонних QKD протоколов: запутанно-фотонные и однолототные. В частности, описывается процедура, позволяющая Еве считывать все сообщения в MM оставаясь незамеченной. Затем проводится анализ безопасности для вычисления взаимной информации между Алисой и Евой, а также между Алисой и Бобом как функции помех, которые Ева может внести. Наконец, полученные результаты применяются к процедуре, направленной на доказательство безусловной безопасности двусторонних протоколов.

Результаты и обсуждение

Запутанно-фотонные двусторонние протоколы

Рассмотрим запутанно-фотонный двусторонний протокол на двух Белловских состояниях (pp протокол). Боб готовит запутанные фотоны в одном из Белловских состояний и отправляет один фотон Алисе, сохраняя другой в квантовой памяти. Алиса либо возвращает фотон как есть, либо действует на нем, переводя оба фотона в другое Белловское состояние. Белловские состояния, которые она отправляет, являются ее сообщениями Бобу. Боб комбинирует полученный фотон с сохраненным и на лучоразделителе (BS) декодирует сообщения Алисы. Такие сообщения называются отправленными в режиме сообщений (MM). Также есть контрольный режим (CM), в котором Алиса измеряет фотон Боба. Она анонсирует переключение режимов по публичному каналу и результаты измерений в CM.

Определим Белловскую базу как базу из двух Белловских состояний: |Ψ^∓⟩ = 1/√2 (|H⟩₁|V⟩₂ ∓ |V⟩₁|H⟩₂), где |H⟩, |V⟩ — горизонтально/вертикально поляризованные состояния. Пары фотонов в состоянии |Ψ⁻⟩ генерируются запутанно-фотонным источником. Чтобы отправить |Ψ⁻⟩ Алиса просто возвращает фотон. Чтобы отправить |Ψ⁺⟩, она ставит полуволновую пластинку (HWP(0°)) в путь фотона, меняя знак вертикальной поляризации. На BS Боба фотоны в состоянии |Ψ⁻⟩ расходятся, а в состоянии |Ψ⁺⟩ сгущаются вместе.

Ева проводит атаку, разработанную Nguyen: она помещает фотон Боба в квантовую память и использует копию устройства Боба, чтобы отправить Алисе фотон из запутанной пары в состоянии |Ψ⁻⟩. Когда Ева получает фотон от Алисы, она комбинирует его с другим фотоном пары и определяет Белловское состояние так же, как Боб. Она использует этот результат для генерации того же Белловского состояния для Боба, помещая соответствующие HWP в путь фотона Боба. Таким образом, Ева детерминированно копирует каждое сообщение в MM, и отправка сообщений в MM эквивалентна отправке открытого текста, «защищенного» CM.

Подчеркиваем: фотоны преодолевают в четыре раза большее расстояние, чем в BB84. Если вероятность обнаружения фотона на расстоянии Боб-Алиса равна p, то на расстоянии Боб-Алиса-Боб она p⁴, что с экспоненциально растущими потерями экспоненциально снижает вероятность обнаружения помех, внесенных Евой в CM.

Однолототные двусторонние протоколы

Начнем с краткого описания протокола LM05. Боб готовит кубит в одном из четырех состояний |0⟩, |1⟩ (собственные состояния Pauli Z), |+⟩, |−⟩ (собственные Pauli X) и отправляет Алисе. В MM она модифицирует состояние кубита, применяя либо I (оставляет кубит неизменным, кодирует логический 0), либо iY=ZX (переворачивает состояние, кодирует логический 1). Алиса отправляет кубит обратно Бобу, который измеряет его в той же базе, в которой подготовил, и детерминированно выводит операции Алисы, то есть ее сообщения, без процедуры согласования баз.

Атака на LM05, предложенная Lucamarini: Ева задерживает фотон Боба в волоконной катушке (квантовая память) и отправляет свой декой-фотон в одном из четырех состояний |0⟩, |1⟩, |+⟩, |−⟩ Алисе. Алиса кодирует сообщение через I или iY и отправляет обратно. Ева измеряет его в той же базе, в которой подготовила, считывает сообщение, кодирует задержанный фотон Боба через I, если прочитала 0, или через iY, если 1, и отправляет Бобу. Ева никогда не узнает состояния, в которых Боб отправлял фотоны, но это неважно в MM, так как только переворот поляризации или его отсутствие кодируют сообщения. Алисе также не нужно знать состояния Боба. Ева может быть обнаружена только в CM, где Алиса проводит проективное измерение кубита по случайно выбранной базе Z или X, готовит новый кубит в том же состоянии, отправляет обратно Бобу и раскрывает это по классическому публичному каналу.

Фотоны в LM05 преодолевают в два раза большее расстояние, чем в BB84. Вероятность обнаружения на расстоянии Боб-Алиса-Боб становится p², и Ева может скрыться в CM экспоненциально лучше, чем в BB84.

Безопасность двусторонних протоколов

В BB84 с >11 % помех I_AE > I_AB, протокол прерывается. Для наших атак нет помех D, внесенных Евой в MM, и I_AB = 1. Следовательно, в отличие от BB84, I_AB и I_AE не являются функциями D, что мешает доказательству безопасности стандартным подходом.

В реалистичной реализации также нет значимых D в MM. Когда Боб отправляет фотон в |H⟩, а Алиса не меняет его, Боб обнаружит |H⟩ с вероятностью близкой к 1, с или без Евы, независимо от расстояния. Единственный QBER, зависящий от длины волокна, исходит от темных счетов детекторов. В недавней реализации одностороннего QKD общий QBER был <2 % на 250 км. Темные счета можно практически устранить сверхпроводящими детекторами TES с эффективностью >98 % и практически нулевой вероятностью темных счетов.

Для BB84 и практически всех односторонних протоколов безопасность оценивается через критический QBER путем расчета секретной доли r = lim (l/n) = I_AB - I_AE, где l — длина финального ключа, n — длина сырого ключа. I_AB = 1 + D log₂D + (1−D) log₂(1−D), I_AE = −D log₂D − (1−D) log₂(1−D). Пересечение дает D=0,11. Эквивалентно, r = 1 + 2D log₂D + 2(1−D) log₂(1−D) падает до 0 при D=0,11.

Для наших атак на двусторонние протоколы из уравнений следует, что r никогда не отрицательно. Оно приближается к 0 только когда Ева в линии постоянно. Поскольку D не связано с MM, Алиса и Боб решают, после какого D прервать передачу. Однако любое 0≤D≤0,5 дает I_AB − I_AE неотрицательным, и критического D нет, как в BB84, где кривые I_AB(D) и I_AE(D) пересекаются при D=0,11 в MM. Для двусторонних детерминированных протоколов уровень D, определенный в CM (а не в MM), не влияет на I_AB: нет разницы, D=0 или D=0,5; 0≤D<0,5 означает только, что Ева не в линии постоянно, но Боб всегда получает полную информацию от Алисы: когда Евы нет — потому что ее нет, когда Ева есть — потому что она верно передает все сообщения Алисы Бобу.

Можно предположить, что Ева перехватывает только часть сообщений, чтобы держать QBER в CM низким (I_AE ≤ 1), что было бы приемлемо для Алисы и Боба. С этой точки зрения можно попытаться провести оценку безопасности для нашей атаки и проверить, применимы ли доказательства безусловной безопасности для других атак на LM05 к ней.

В упомянутом доказательстве безопасности, заявленном безусловным, авторы сначала утверждают, что Ева должна атаковать кубиты в обоих каналах Боб-Алиса и Алиса-Боб, чтобы получить ключевые биты Алисы, и затем предполагают, что Ева считывает кубит Боба и вносит помехи в MM в обоих каналах (ошибка e). Однако в рассматриваемых атаках Ева не измеряет кубиты Боба, а просто хранит их в квантовой памяти. Она отправляет свои кубиты Алисе и считывает, изменила ли она их (Y) или нет (I). Затем применяет Y или I к сохраненным кубитам Боба и отправляет обратно. Следовательно, она не вносит помех в канал Алиса-Боб и не использует анциллы. Поэтому анализ получения ключевых битов в той работе неприменим к нашей атаке.

Таким образом, доказательство безопасности в той работе применимо только к атаке, рассмотренной в ней, и не к атаке Lucamarini, то есть оно не универсально, не может считаться безусловным.

Рассмотрим, может ли стандартная процедура установить безопасность LM05. В протоколе нет сифтинга ни ошибочного уровня в MM, поэтому стандартная коррекция ошибок неприменима. Остается только усиление приватности (privacy amplification). Когда Ева обладает только частью данных, она теряет след своих битов, а биты Алисы и Боба сокращаются. Ева может попытаться восстановить данные, угадывая пропущенные биты и повторно вводя их в хеш-функцию. Если неудачно, ее информация частично стирается. Однако Алиса и Боб сталкиваются с проблемой проектирования процедуры безопасности (хеш-функции), гарантирующей, что Ева не получит информации о финальном ключе. У них нет критического количества битов Евы, как в BB84 (11 %), явно включаемого в уравнения усиления приватности. Приватность, которую нужно «усилить», не определена. Проектирование протокола для такого «слепого» усиления приватности — сложная задача, и вопрос, предлагает ли отправка — по сути — открытого текста через MM, «защищенного» случайной проверкой состояний фотонов в CM, какое-либо преимущество или лучшую безопасность по сравнению с BB84.

В Таблице 1 перечислены свойства BB84-подобного протокола при произвольной атаке против двусторонних протоколов при вышеуказанных атаках, указывающие на то, что трудно ответить на этот вопрос утвердительно.

Заключение

Подводя итог: рассмотрены детерминированные атаки на два вида двусторонних QKD протоколов (pp с запутанными фотонами и LM05 с однолототными) в которых незаметная Ева может декодировать все сообщения в MM, и показано, что взаимная информация между Алисой и Бобом не является функцией помех, а равна единице независимо от наличия Евы в линии. Ева вносит помехи D только в CM, поэтому стандартный подход и протоколы оценки безопасности недоступны, так как они все предполагают наличие D в MM. В результате критический D не может быть определен, стандартная коррекция ошибок неприменима для устранения информации Евы, эффективность усиления приватности снижена, безусловная безопасность не может считаться доказанной. В каком-то смысле отправка ключа Алисой эквивалентна отправке незашифрованного открытого текста, «защищенного» ненадежным индикатором присутствия Евы, и такие протоколы не могут рассматриваться для реализации по крайней мере до тех пор, пока не будет доказано или опровергнуто, что можно спроектировать новые виды процедур безопасности для таких детерминированных атак.

Подчеркиваем: для решения вопроса о безусловной безопасности протокола неважно, может ли Ева провести более эффективные атаки для выбранного D в CM. Доказательство безусловной безопасности должно покрывать их все.