[論文レビュー] Essential lack of security proof in quantum key distribution

Horace P. Yuen|arXiv (Cornell University)|Oct 2, 2013

Quantum Computing Algorithms and Architecture参考文献 15被引用数 12

ひとこと要約

この論文は、量子鍵配送（QKD）における無条件安全の証明の妥当性に疑問を呈し、特にBB84およびその変種に関する既存の証明が、トレース距離基準の誤解と安全パラメータの欠如によって根本的に誤りであると主張する。本稿では、撹乱-情報トレードオフ原理に代わってKCQ（量子ノイズ内での鍵付き通信）フレームワークと、新たなDBM（デコイビット法）を導入し、より高い効率と耐障害性を備えた、厳密に証明可能な情報理論的安全な鍵交換を実現することを提案する。

ABSTRACT

All the currently available unconditional security proofs on quantum key distribution, in particular for the BB84 protocol and its variants including continuous-variable ones, are invalid or incomplete at many points. In this paper we discuss some of the main known problems, particularly those on operational security guarantee and error correction. Most basic are the points that there is no security parameter in such protocols and it is not the case the generated key is perfect with probability $\geq 1-ε$ under the trace distance criterion $d\leqε$, which is widely claimed in the technical and popular literature. The many serious security consequences of this error about the QKD generated key would be explained, including practical ramification on achievable security levels. It will be shown how the error correction problem alone may already defy rigorous quantitative analysis. Various other problems would be touched upon. It is pointed out that rigorous security guarantee of much more efficient quantum cryptosystems may be obtained by abandoning the disturbance-information tradeoff principle and utilizing instead the known KCQ (keyed communication in quantum noise) principle in conjunction with a new DBM (decoy bits method) principle that will be detailed elsewhere.

研究の動機と目的

• BB84型QKDプロトコルの安全証明における深刻な欠陥を暴露すること、特にトレース距離基準と安全パラメータの欠如に関して。
• QKDの広く語られる「完全な安全」または「無条件安全」が数学的に正当でなく、運用的に誤解を招くものであることを示すこと。
• 安全レベルを高めることが、根本的かつ避けられない撹乱と鍵生成レートのトレードオフによって実現不可能であることを強調すること。
• 撹乱に基づく安全保証から、KCQ原理とDBM手法を組み合わせたより強固で、証明可能に安全な量子暗号フレームワークへのパラダイムシフトを提唱すること。

提案手法

• トレース距離基準 $ d \leq \epsilon $ を分析し、ここで $ \epsilon $ が安全パラメータではなく統計的偏差の尺度であると主張する。
• 鍵が $ \epsilon $-一様（すなわち、一様分布から区別不能）であるという主張が、$ \epsilon $-安全であることに等価でないことを特定し、QKDの安全証明の基盤を揺るがす。
• 撹乱-情報トレードオフ原理に代わって、撹乱のモニタリングを必要とせず、最適な量子検出を活用するKCQ（量子ノイズ内での鍵付き通信）フレームワークを提案する。
• QKDのデコイ状態プロトコルとは独立した、新たなセキュリティ証明手法としてのDBM（デコイビット法）を導入し、一般攻撃下での鍵セキュリティの厳密な分析を可能にする。
• 共有秘密のシードを用いた擬似ランダム生成機を用いて量子ビットを選択することでQKDを変更し、撹乱チェックの必要性を排除するとともに、チャネルの別個的特徴付けを可能にする。
• 新しいフレームワークにおけるエンドツーエンドの安全を保証するため、メッセージ認証コード（MAC）とプライバシー強化コード（PACE）の使用を強調する。

実験結果

リサーチクエスチョン

• RQ1 BB84および連続変数型のQKDプロトコルにおける現在の無条件安全証明が、なぜ根本的に無効または不完全であるのか。
• RQ2 QKDの文脈において、トレース距離基準 $ d \leq \epsilon $ の正しい解釈は何か。なぜその現在の使用が誤解を招くのか。
• RQ3 QKDプロトコルに安全パラメータが存在しないことが、その運用上の安全保証をどのように損なうのか。
• RQ4 鍵生成レートと安全レベルの間のトレードオフの定量的影響は何か。なぜ $ 10^{-15} $ の安全レベルを達成することは現実的ではないのか。
• RQ5 KCQとDBMに基づく新しい量子暗号フレームワークは、従来のQKDに代わるより厳密で効率的かつ耐障害性の高い代替手段を提供できるか。

主な発見

• トレース距離基準下でのQKDが生成する鍵が $ \epsilon $-安全であるという主張は、$ \epsilon $ の意味を誤解しているため無効である。$ \epsilon $ は調整可能な安全パラメータとして機能しない。
• 有限キーや集団的攻撃モデル下でのすべての攻撃状況を考慮した、BB84型プロトコルの厳密な安全証明は存在しない。
• 現在の最先端の安全レベル $ 10^{-9} $ は正当に導出されておらず、実用的セキュリティに求められる $ 10^{-15} $ のレベルと比較して36桁も不足している。
• QKDでは、アシンプトティック的にも、鍵生成レートと安全レベルの間で根本的なトレードオフが存在し、安全パラメータの調整ではこれを緩和できない。
• KCQフレームワークに加えてDBM手法を組み合わせることで、撹乱モニタリングの必要性を排除し、厳密な安全証明を可能にするBB84型プロトコルの代替手段が得られる。
• 提案されたKCQ+DBMアプローチにより、既存の光ファイバーインfraに準拠した完全な量子的、情報理論的安全なシステムを実現でき、現在のQKD実装よりもはるかに耐障害性が高くなる。