[論文レビュー] Misconception in Theory of Quantum Key Distribution -Reply to Renner-

Osamu Hirota|arXiv (Cornell University)|Jun 6, 2013

Intelligence, Security, War Strategy被引用数 3

ひとこと要約

この論文は、量子鍵配送（QKD）理論における基盤的セキュリティ解釈に挑戦し、特にトレース距離をセキュリティ基準として用いること——特にそれが失敗確率として解釈されること——が暗号学的文脈において操作的意味を持たないとしている。現在の理論は、Shor-PreskillおよびRennerの枠組みに基づいているが、シャノンの操作的基準（例：盗聴者による鍵推定の成功確率）を適切に評価できていないため、10⁻²⁰のような極めて低いトレース距離であっても、実際のセキュリティを保証するものではない可能性がある。

ABSTRACT

It has been pointed out by Yuen that the security theory of quantum key distribution(QKD) guided by Shor-Preskill theory has serious defects, in particular their key rate theory is not correct. Theory groups of QKD tried to improve several defects. Especially, Renner employed trace distance and quantum leftover Hash Lemma. However, the present theory encountered a problem of a quantitative evaluation of security. To cope with it, he uses a wrong interpretation on the trace distance and its level epsilon_{sec}, and justifies the unconditional security of own system when epsilon_{sec} is 10^{-6 } ~ 10^{-20}. In this paper, we discuss the following problems. What is the origin of the misconception of the present theory? How does the present theory lead to the misconception?. To show their process toward the misconception, Koashi-Preskill's theory which has a typical misconception is examined. A main point of our comment is that QKD theory ignores the security requirement against attacker which is necessary to compare whole encryption schemes from classical to quantum. To clarify it, we emphasize that the trace distance itself cannot have any operational meaning such as failure probability, and it is only mathematical tool as a measure of closeness. As a result, it is given that the security with above values derived from their formulation means nothing in the general cryptological sense. In addition, I point out that a comment by Bennett and Riedel on unconditional security of QKD is not correct. Also, I point out that the experimental systems of groups of Los Alamos, Toshiba-UK, NICT, and others cannot have security guarantee even in future.

研究の動機と目的

• 現在のQKDセキュリティ理論における核心的な誤解、特にトレース距離を失敗確率として解釈することの原因を特定すること。
• Rennerのセキュリティ枠組みの妥当性に疑問を呈すること。この枠組みは、トレース距離10⁻²⁰レベルで無条件セキュリティを保証するとし、それを物理的確率として扱っている。
• 現在のQKD理論がシャノンの操作的セキュリティ基準（特に盗聴者Eveの鍵推定成功確率）を無視していることにより、実際のセキュリティを保証できない可能性があると主張すること。
• i.i.d.仮定とアクティブ攻撃が、プライバシー拡張を伴う現在のQKDプロトコルのセキュリティ主張を無効にすることを示すこと。
• シャノンの元来の情報理論的セキュリティフレームワークへの回帰を提唱すること。このフレームワークは操作的定義に基づく。

提案手法

• 誤解の代表例として、Koashi-PreskillのQKD理論を分析し、操作的根拠のないトレース距離依存に注目する。
• 式(5)を用いて、トレース距離とシャノンの鍵推定成功確率との関係を再表現し、トレース距離だけではセキュリティを定量化できないことを示す。
• Rennerがトレース距離を失敗確率として扱うことの数学的非妥当性を批判的に検証し、確率論的枠組み下で無効であることを示す。
• プライバシー拡張は相互情報量を低下させるが、Eveの知識を完全に排除したり、推定成功確率を向上させたりはしないことを強調する。
• 実験的QKDシステム（例：Los Alamos、Toshiba-UK、NICT）が定量的セキュリティ評価を欠き、理論的進展とは独立していることを指摘する。
• BennettとRiedelによるQKDの無条件セキュリティ主張を再評価し、理論的基盤の欠落により正当化されていないことを示す。

実験結果

リサーチクエスチョン

• RQ1 なぜQKD理論におけるトレース距離が失敗確率として誤解され、その誤解の結果としてどのような影響が生じるのか？
• RQ2 現在のQKDセキュリティフレームワークは、なぜシャノンの操作的定義に基づく情報理論的セキュリティを満たさないのか？
• RQ3 トレース距離と盗聴者による鍵推定成功確率の真の関係は何か？
• RQ4 なぜi.i.d.仮定は、アクティブ攻撃を伴う現実的QKD環境では不適切であり、それが現在のセキュリティ証明を無効にしているのか？
• RQ5 定量的セキュリティ評価がなく、理論的進展と断絶している実験的QKDシステムは、セキュアと見なせるのか？

主な発見

• QKDセキュリティ証明で用いられるトレース距離は、量子状態間の近接度を測る数学的尺度にすぎず、失敗確率として解釈することはできない。これは、Rennerによる10⁻²⁰レベルでのセキュリティの正当化と矛盾する。
• 現在の理論はシャノンの操作的セキュリティ基準（Eveによる鍵推定成功確率）を無視しており、実用的暗号学的文脈においてそのセキュリティ主張は意味を持たない。
• トレース距離が10⁻²⁰であっても、そのセキュリティは操作的意味を持たない。トレース距離はいかなる測定可能な失敗レートに対応しないからである。
• 後処理とプライバシー拡張に基づくプロトコルは、i.i.d.仮定が成立しない場合、特にアクティブ攻撃に対して鍵列の均一性を保証できない。
• Los Alamos、Toshiba-UK、NICTの実験的QKDシステムは定量的セキュリティ保証を提供せず、理論的セキュリティ基準とは無関係である。
• BennettとRiedelによるQKDの無条件セキュリティ主張は正当化されていない。現在の理論的枠組みには操作的根拠が欠如しており、証明も存在しない。