[論文レビュー] Formal Verification of Quantum Protocols

Rajagopal Nagarajan, Gay, Simon|ArXiv.org|Mar 18, 2002

Quantum Mechanics and Applications参考文献 12被引用数 23

ひとこと要約

本稿は、プロセス計算（CCS）とCWB-NCツールを用いたモデルチェックを用いて、量子プロトコルの形式的検証フレームワークを初めて提案する。BB84量子鍵配送プロトコルをモデル化し、トレース同値性を用いて盗聴に対する安全性を証明する。BB84は仕様と同値であるが、盗聴者（Eve）が存在する攻撃を受けたバージョンは同値でない。

ABSTRACT

We propose to analyse quantum protocols by applying formal verification techniques developed in classical computing for the analysis of communicating concurrent systems. One area of successful application of these techniques is that of classical security protocols, exemplified by Lowe's discovery and fix of a flaw in the well-known Needham-Schroeder authentication protocol. Secure quantum cryptographic protocols are also notoriously difficult to design. Quantum cryptography is therefore an interesting target for formal verification, and provides our first example; we expect the approach to be transferable to more general quantum information processing scenarios. The example we use is the quantum key distribution protocol proposed by Bennett and Brassard, commonly referred to as BB84. We present a model of the protocol in the process calculus CCS and the results of some initial analyses using the Concurrency Workbench of the New Century (CWB-NC).

研究の動機と目的

• 古典的並行システムからの形式的検証技法を量子暗号プロトコルに適用すること。
• 厳密な数学的モデリングにより、非形式的プロトコル記述の曖昧さを排除すること。
• 自動分析ツールを用いて、設計段階の初期段階で量子プロトコルのセキュリティ欠陥を特定すること。
• 古典的および量子コンponentsを併せ持つ複雑な量子情報システムの検証の基盤を構築すること。
• システムトレースを望ましい仕様と比較することで、プロトコル動作の自動デバッグを可能にすること。

提案手法

• 量子ビットの値と基底の二項パラメータを用いて、CCSによるBB84プロトコルのモデル化。
• 量子チャネルを二状態プロセスとして表現：空（受信可能）と満タン（量子ビットを含む）で、操作をputおよびgetとして定義。
• 測定結果を非決定的選択を用いてモデル化：正しい基底では正しいビットが得られ、誤った基底では0または1が非決定的に得られる。
• アリスとボブ間の正しいプロトコル順序付けを保証するため、同期アクション（go、reveal）を用いる。
• 理想動作を捉えた仕様プロセス（Spec）を定義：基底が一致する場合にのみボブがアリスが送信した値と一致するビットを保持する。
• 推測した基底で量子ビットを測定し、再送する盗聴者（Eve）をモデル化し、潜在的なビット反転を導入する。

実験結果

リサーチクエスチョン

• RQ1 古典的並行システムからの形式的技法は、量子プロトコルの検証に適応可能か？
• RQ2 理想状態下で、BB84プロトコルは形式的仕様が捉える通りに動作するか？
• RQ3 自動モデルチェックは、量子プロトコルにおける盗聴者の干渉を検出可能か？
• RQ4 盗聴者の存在はトレース同値性解析によって検出可能か？
• RQ5 このフレームワークは、コherentまたは集団的攻撃などのより複雑な攻撃の分析に拡張可能か？

主な発見

• BB84プロトコルのモデルは、仕様プロセス（Spec）とトレース同値であるため、理想状態下での正しく動作することが確認された。
• 盗聴者を含む攻撃を受けたプロトコル（BB84′）はSpecとトレース同値でないため、検出可能な乖離が生じていることが示された。
• CWB-NCは、BB84′では可能だがSpecでは不可能なトレースchoose(0)keep(1)を特定した。これはEveが鍵を変更可能であることを示している。
• モーダルμ計算式⟨⟨choose(0)⟩⟩⟨⟨keep(1)⟩⟩trueはBB84′では成立するがBB84では成立しないため、盗聴干渉の確認が得られた。
• 検証プロセスは完全に自動化されており、モデルと性質の定義後は人為的介入が一切不要である。
• このアプローチにより、セキュリティ欠陥の早期検出が可能となり、トレース解析を通じて実行可能なインサイトが得られる。