Beoordeling van de veiligheid van twee-richtings kwantum direct communicatie protocollen tegen ondetecteerbare afluistering

Samenvatting

We beschouwen aanvallen op twee-richtings kwantum sleutelverdeling protocollen waarbij een ondetecteerbare afluisteraar alle berichten in de berichtmodus kopieert. We tonen aan dat onder dergelijke aanvallen geen verstoring optreedt in de berichtmodus en dat de wederzijdse informatie tussen zender en ontvanger altijd constant is en gelijk aan één. Het volgt dat recente veiligheidsbewijzen voor twee-richtings protocollen niet compleet kunnen worden beschouwd, aangezien ze de overwogen aanvallen niet dekken.

Achtergrond

Kwantumcryptografie, in het bijzonder kwantum sleutelverdeling (QKD) protocollen, biedt ons, in tegenstelling tot de klassieke variant, waarschijnlijk onbreekbare communicatie gebaseerd op de kwantumfysieke eigenschappen van de informatiedragers. Tot nu toe waren implementaties voornamelijk gebaseerd op het BB84-protocol, dat onvoorwaardelijk veilig is mits de kwantum-bit-foutpercentage (QBER) laag genoeg is. Echter, QBER in BB84-achtige protocollen kan hoog zijn, en aangezien we de bitflips van de afluisteraar (Eve) niet kunnen onderscheiden van bitflips veroorzaakt door verliezen en imperfecties, is de eis van een voldoende lage QBER voor het verwerken van de bits vaak moeilijk te voldoen. Bijvoorbeeld, 4-toestanden BB84 met meer dan 11% en 6-toestanden BB84 met meer dan 12,6% verstoring (D) moeten worden afgebroken (D is gedefinieerd als het percentage polarisatie-flips veroorzaakt door Eve, maximum 0,5). Omdat D niet kan worden onderscheiden van de inherent QBER in de lijn, zijn deze niveaus van totale QBER onveilig (wederzijdse informatie tussen zender (Alice) en Eve (I_AE) overstijgt die tussen Alice en ontvanger (Bob) (I_AB): I_AE>I_AB voor D>0,11, 0,126 respectievelijk) en kunnen dus niet worden uitgevoerd puur omdat Eve mogelijk in de lijn zit.

In de zoektocht naar efficiëntere protocollen, werden twee-richtings protocollen voorgesteld en geïmplementeerd. In het bijzonder, verfijnde foton twee-richtings protocollen gebaseerd op twee (ook wel ping-pong (pp) protocol genoemd) en vier (Ψ^∓, Φ^∓) Bell-toestanden, enerzijds, en een enkel-foton deterministisch Lucamarini-Mancini (LM05) protocol, anderzijds. Verscheidene variaties, modificaties en generalisaties van het laatste protocol zijn gegeven in diverse referenties. Twee variaties werden geïmplementeerd in andere studies. Het eerdere pp-protocol werd geïmplementeerd door Ostermeyer en Walenta in 2008, terwijl het protocol met vier Bell-toestanden niet kan worden geïmplementeerd met lineaire optische elementen. In de genoemde referenties zijn verschillende veiligheidsschattingen verkregen.

In een studie leveren Lu, Fung, Ma, en Cai een veiligheidsbewijs van een LM05 deterministische QKD voor het soort aanval voorgesteld in andere werk. Niettemin claimen ze het een bewijs van de onvoorwaardelijke veiligheid van LM05 te zijn. In een ander werk leveren Han, Yin, Li, Chen, Wang, Guo, en Han een veiligheidsbewijs voor een gemodificeerd pp-protocol en bewijzen de veiligheid tegen collectieve aanvallen in ruisende en verlieslijke kanalen.

Alle overwegingen van de veiligheid van twee-richtings protocollen veronderstellen dat Eve elk signaal tweemaal aanvalt, eenmaal op de weg van Bob naar Alice, en later op de terugweg van Alice naar Bob, en dat ze daarbij het signaal in de berichtmodus verstoort. Echter, zoals we hieronder tonen, zijn er andere aanvallen waarbij een ondetecteerbare Eve Bob's signalen codeert volgens Alice's codering van een decoy-signaal naar haar gestuurd en later door Eve uitgelezen.

In dit papier tonen we aan dat in twee-richtings deterministische QKD protocollen onder een specifieke intercept-en-terugstuur-aanval, een ondetecteerbare Eve alle berichten in de berichtmodus (MM) kan verkrijgen en dat de wederzijdse informatie tussen Alice en Bob constant is en gelijk aan één. Dat betekent dat de veiligheid van de protocollen niet kan worden vastgesteld via standaard procedures voor het evalueren van de geheime fractie van sleutellengtes.

Methoden

We analyseren de aanvallen op twee verschillende twee-richtings QKD protocollen: verfijnde foton en enkel-foton protocollen. In het bijzonder elaboreren we op de procedure die Eve in staat stelt om alle berichten in de berichtmodus uit te lezen terwijl ze ondetecteerbaar blijft. Vervolgens voeren we een veiligheidsanalyse uit, om de wederzijdse informatie tussen Alice en Eve, alsook tussen Alice en Bob, te berekenen als functie van de verstoring die Eve zou kunnen introduceren tijdens afluisteren. Ten slotte passen we de verkregen resultaten toe op de procedure die erop gericht is de onvoorwaardelijke veiligheid van twee-richtings protocollen te bewijzen.

Resultaten en Discussie

Verfijnde Foton Twee-Richtings Protocollen

We overwegen een verfijnde-foton twee-richtings protocol gebaseerd op twee Bell-toestanden (pp-protocol). Bob bereidt verfijnde fotonen in een van de Bell-toestanden en stuurt er een naar Alice en houdt de andere in een kwantumgeheugen. Alice stuurt het foton ongewijzigd terug of handelt erop om beide fotonen in een andere Bell-toestand te brengen. De Bell-toestanden die ze op deze manier stuurt, zijn haar berichten naar Bob. Bob combineert het foton dat hij van Alice ontvangt met het zijn, en bij een bundelsplitter (BS), decodeert hij Alice's berichten. Dergelijke berichten worden gezegd in een berichtmodus (MM) te worden verstuurd. Er is ook een controlemodus (CM) waarin Alice Bob's foton meet. Ze kondigt het wisselen tussen de modi over een publiek kanaal aan alsook de uitkomsten van haar metingen in CM.

We definiëren de Bell-basis als een basis bestaande uit twee Bell-toestanden:

$$\begin{array}{@{}rcl@{}} |\Psi^{\mp}\rangle=\frac{1}{\sqrt{2}}(|H\rangle_{1}|V \rangle_{2}\mp|V\rangle_{1}|H\rangle_{2}), \end{array}$$ (1)

waar |H〉_i (|V〉_i), i=1,2, horizontale (verticale) gepolariseerde fotontoestanden vertegenwoordigen.

Fotonparen in de toestand |Ψ⁻〉 worden gegenereerd door een nedergedraagde verfijnde fotonbron. Om de |Ψ⁻〉 toestand te sturen, stuurt Alice haar foton gewoon terug naar Bob. Om |Ψ⁺〉 te sturen, plaatst ze een half-golfplaat (HWP(0°)) in het pad van haar foton. De HWP verandert het teken van de verticale polarisatie.

Bij Bob's BS zullen fotonen in toestand |Ψ⁻〉 splitsen en die in toestand |Ψ⁺〉 zullen samenklonteren.

Eve voert haar aanval uit, ontworpen door Nguyen, als volgt: Ze plaatst eerst Bob's foton in een kwantumgeheugen en maakt gebruik van een kopie van Bob's apparaat om Alice een foton van een nedergedraagd paar in toestand |Ψ⁻〉 te sturen. Wanneer Eve het foton van Alice ontvangt, combineert ze het met het andere foton uit het paar en bepaalt de Bell-toestand op dezelfde manier als Bob. Ze gebruikt dit resultaat om dezelfde Bell-toestand voor Bob te genereren door de juiste HWPs in het pad van Bob's foton te plaatsen.

Dus kan Eve elk enkel bericht in MM deterministisch kopiëren en is het versturen van berichten in MM equivalent aan het versturen van platte tekst "beveiligd" door CM. We komen later op dit punt terug.

Hier benadrukken we dat fotonen vier keer de afstand afleggen die ze in BB84 afleggen. Als de kans dat een foton gedetecteerd wordt over alleen de Bob-Alice afstand p is, zal de kans om gedetecteerd te worden over de Bob-Alice-Bob afstand p⁴ zijn, wat met exponentieel toenemende verliezen over afstand ook exponentieel de kans verlaagt om de verstoring die Eve in CM introduceert te detecteren.

Enkel-Foton Twee-Richtings Protocollen

We beginnen met een korte presentatie van het LM05-protocol. Zoals getoond in Fig. 3, bereidt Bob een qubit in een van de vier toestanden |0〉, |1〉 (de Pauli Z eigenstates), |+〉, of |−〉 (Pauli X eigenstates) en stuurt het naar Alice. In de MM, wijzigt ze de qubit-toestand door ofwel I toe te passen, wat de qubit ongewijzigd laat en logische 0 codeert, of door i Y=ZX toe te passen, wat de qubit-toestand omkeert en logische 1 codeert. Alice stuurt de qubit nu terug naar Bob die het meet in dezelfde basis waarin hij het bereidde, en deterministisch Alice's operaties, dus haar berichten, afleidt zonder basisherstelprocedure.

De aanval op het LM05-protocol die we overwegen is voorgesteld door Lucamarini. Het wordt getoond in Fig. 4. Eve vertraagt Bob's foton (qubit) in een vezelspool (een kwantumgeheugen) en stuurt in plaats daarvan haar eigen decoy-foton in een van de vier toestanden |0〉, |1〉, |+〉, of |−〉 naar Alice. Alice codeert haar bericht via I of i Y en stuurt het foton terug. Eve meet het in dezelfde basis waarin ze het bereidde, leest het bericht uit, codeert Bob's vertraagde foton via I, als ze 0 las, of via i Y, als ze 1 las, en stuurt het terug naar Bob.

Eve leert nooit de toestanden waarin Bob zijn fotonen stuurde, maar dat is irrelevant in de MM aangezien alleen polarisatie-omkeren of niet-omkeren berichten coderen. Alice hoeft ook niet Bob's toestanden te kennen. Dit betekent dat Eve alleen in CM onthuld kan worden, waarin Alice een projectieve meting van de qubit uitvoert langs een willekeurig gekozen basis tussen Z en X, een nieuwe qubit bereidt in dezelfde toestand als de meetuitkomst, deze terugstuurt naar Bob, en dit onthult over een klassiek publiek kanaal.

Hier moet benadrukt worden dat fotonen in LM05 tweemaal de afstand afleggen die ze in BB84 afleggen. Als de kans dat een foton gedetecteerd wordt over alleen de Bob-Alice afstand p is, zal de kans om gedetecteerd te worden over Bob-Alice-Bob afstand p² zijn en Eve zou zich exponentieel beter kunnen verstoppen in CM dan in BB84.

Veiligheid van Twee-Richtings Protocollen

In een BB84-protocol met meer dan 11% verstoring, is de wederzijdse informatie tussen Alice en Eve I_AE hoger dan die tussen Alice en Bob I_AB en moet men het afbreken.

Voor onze aanvallen is er geen verstoring (D) die Eve induceert in MM en is de wederzijdse informatie tussen Alice en Bob gelijk aan eenheid.

$$\begin{array}{@{}rcl@{}} I_{\text{AB}}=1. \end{array}$$ (2)

Daarom, in tegenstelling tot BB84, zijn I_AB en I_AE geen functies van D en dat verhindert ons de veiligheid te bewijzen met de standaard aanpak.

Ook in een realistische implementatie is er geen significante D in MM. Wanneer Bob bijvoorbeeld een foton in |H〉 toestand stuurt en Alice het niet wijzigt, dan zal Bob |H〉 detecteren met een kans dicht bij 1, met of zonder Eve, en onafhankelijk van afstand. De enige QBER die afhangt van de vezellengte is die voortkomend uit de donkertellingen van detectoren. In een recente implementatie van een eenrichtings QKD was de totale QBER onder 2% over 250 km afstand. We kunnen de donkertellingen praktisch volledig elimineren, en daarmee elke onbeheerste polarisatie-flip, door gebruik te maken van supergeleidende overgangsrand sensor (TES) fotondetectoren. De hoogste efficiëntie van dergelijke detectoren is momenteel boven 98%, en hun donkertelkans is praktisch nul.

Voor BB84, en praktisch alle eenrichtings een-foton protocollen recent geïmplementeerd of overwogen voor implementatie, wordt de veiligheid geëvalueerd via de kritieke QBER door de geheime fractie te berekenen:

$$\begin{array}{@{}rcl@{}} r={\lim}_{N\to\infty}\frac{l}{n}=I_{\text{AB}} - I_{\text{AE}} \end{array}$$ (3)

waar l de lengte is van de lijst die de finale sleutel maakt en n de lengte van de lijst die de ruwe sleutel maakt, I_AB=1+D log2D+(1−D) log2(1−D) en I_AE=−D log2D−(1−D) log2(1−D) en hun snijpunt levert D=0,11 op. Equivalent, r=1+2D log2D+2(1−D) log2(1−D) daalt naar 0 wanneer D 0,11 bereikt.

We hebben zo'n optie niet voor onze aanvallen op twee-richtings protocollen, aangezien het uit Vergelijkingen (2) en (3) volgt dat r nooit negatief is. Eigenlijk benadert het 0 alleen wanneer Eve de hele tijd in de lijn zit.

Omdat D niet gerelateerd is aan MM-modus op enige manier, is het aan Alice en Bob om te beslissen na welke D ze hun transmissie zouden afbreken. Welke 0≤D≤0,5 ze ook kiezen, I_AB−I_AE zal altijd niet-negatief zijn, en ze zullen geen kritische D hebben als in BB84 waar de curven I_AB(D) en I_AE(D) snijden voor D=0,11 in MM. Voor twee-richtings deterministische protocollen, heeft het niveau van D, gedefinieerd in CM (en niet in MM), geen effect op I_AB, d.w.z., er is geen verschil of D=0 of D=0,5; 0≤D<0,5 zou alleen betekenen dat Eve niet de hele tijd in de lijn zit, maar Bob krijgt altijd volledige informatie van Alice: wanneer Eve niet in de lijn zit, omdat ze niet in de lijn zit, en wanneer Eve in de lijn zit, omdat ze alle berichten van Alice getrouw aan Bob doorgeeft.

We kunnen aannemen dat Eve slechts een fractie van de berichten ontvoert om de QBER in CM laag te houden (en I_AE≤1) wat acceptabel zou zijn voor Alice en Bob. Met dat in gedachten, kunnen we proberen de veiligheidsevaluatie voor onze aanval uit te voeren en controleren of de bewijzen van onvoorwaardelijke veiligheid voor andere soorten aanval op LM05 in andere studies ook op onze aanval van toepassing zijn.

In het eerdergenoemde veiligheidsbewijs, dat geclaimd wordt onvoorwaardelijk te zijn, claimen de auteurs eerst in Sectie III.A dat Eve de qubits in zowel de Bob-Alice als Alice-Bob kanalen moet aanvallen om Alice's sleutelbits te verkrijgen, en in Sectie III.B, Vergelijking (1,3), veronderstellen ze dat Eve Bob's qubit uitleest en een verstoring induceert in de berichtmodus in zowel de Bob-Alice als Alice-Bob kanalen (foutpercentage e).

Echter, in de overwogen aanvallen, meet Eve Bob's qubits niet. Ze bewaart ze alleen in een kwantumgeheugen. Ze stuurt haar eigen qubits naar Alice en leest af of ze ze gewijzigd heeft (Y) of niet (I). Vervolgens past ze Y of I toe op de opgeslagen qubits van Bob en stuurt ze terug naar hem. Gevolglik induceert ze geen verstoring in het Alice-Bob kanaal ook niet. Ook maakt ze geen gebruik van ancilla's als in de andere studie. Daarom is de analyse van het verkrijgen van de sleutelbits uitgevoerd in die studie niet toepasbaar op onze aanval.

Daarom, aangezien het veiligheidsbewijs gepresenteerd in die studie alleen van toepassing is op de daarin overwogen aanval en niet op de bovenstaande aanval van Lucamarini, is het niet universeel, d.w.z., het kan niet als onvoorwaardelijk worden beschouwd.

Laten we nu overwegen of een standaard bekende procedure kan worden gebruikt om de veiligheid van het LM05-protocol vast te stellen. In het protocol hebben we noch wisseling noch enige foutpercentage in de berichtmodus. Dus de standaard foutcorrectie kan ook niet worden toegepast.

De enige procedure die ons overblijft om de veiligheid te vestigen is de privacy-amplificatie. Als Eve slechts een fractie van de data bezit, zal ze de draad van haar bits kwijtraken en zullen die van Alice en Bob krimpen. Eve zou data kunnen herstellen door de bits die ze mist te gokken en alle bits weer in de hash-functie te introduceren. Als onsuccessvol, zal haar informatie deels weggeveegd worden. Echter, Alice en Bob treffen een cruciaal probleem bij het ontwerpen van hun beveiligingsprocedure (bijv. hash-functie) die garandeert dat Eve geen informatie over de finale sleutel overhoudt. Ze hebben geen kritiek aantal van Eve's bits als in BB84 (11%) die expliciet in de vergelijkingen van de privacy-amplificatie procedure zijn opgenomen.

Kortom, de privacy die geamplificeerd moet worden is niet goed gedefinieerd. Het ontwerpen van een protocol voor zo'n "blinde" privacy-amplificatie is een complexe onderneming, en het is de vraag of het versturen van – in feite – platte tekst via MM beveiligd door occasionele verificatie van fotontoestanden in CM ons enig voordeel of betere veiligheid biedt dan het BB84-protocol.

In Tabel 1 liesten we de eigenschappen van een BB84-achtig protocol onder een willekeurige aanval vs. twee-richtings protocollen onder de bovenstaande aanvallen, wat erop lijkt te duiden dat het moeilijk zou zijn om de voorgaande vraag positief te beantwoorden.

Conclusies

Samenvattend, hebben we deterministische aanvallen op twee soorten twee-richtings QKD protocollen (pp met verfijnde fotonen en LM05 met enkel fotonen) overwogen waarin een ondetecteerbare Eve alle berichten in de berichtmodus (MM) kan decoderen en hebben we getoond dat de wederzijdse informatie tussen Alice en Bob geen functie is van verstoring maar gelijk is aan eenheid, ongeacht of Eve in de lijn zit of niet. Eve induceert een verstoring (D) alleen in de controlemodus (CM) en daarom zijn de standaard aanpak en protocollen voor het schatten en berekenen van de veiligheid niet beschikbaar, aangezien ze allemaal de aanwezigheid van D in MM veronderstellen. Als resultaat kan een kritieke D niet worden bepaald, de standaard foutcorrectieprocedure kan niet worden toegepast voor eliminatie van Eve's informatie, de efficiëntie van de privacy-amplificatie is beperkt, en de onvoorwaardelijke veiligheid kan niet als bewogen worden beschouwd. Op een manier is Alice's versturen van de sleutel equivalent aan het versturen van een onversleutelde platte tekst "beveiligd" door een onbetrouwbare indicator van Eve's aanwezigheid en dergelijke protocollen kunnen niet voor implementatie worden overwogen, tenminste niet voordat men bewijst of weerlegt dat een nieuw soort beveiligingsprocedures voor dergelijke deterministische aanvallen kan worden ontworpen.

We benadrukken dat voor het beslissen of een protocol onvoorwaardelijk veilig is of niet, het irrelevant is of Eve aanvallen kan uitvoeren die efficiënter zijn dan de bovengenoemde, voor een gekozen D in CM. Een bewijs van onvoorwaardelijke veiligheid zou ze allemaal moeten dekken.