[論文レビュー] On the Foundations of Quantum Key Distribution - Reply to Renner and Beyond

Horace P. Yuen|arXiv (Cornell University)|Oct 10, 2012

Quantum Information and Cryptography参考文献 27被引用数 13

ひとこと要約

この論文は、量子鍵配送（QKD）の基礎的セキュリティ主張に疑問を呈し、トレース距離基準 $ d $ の重大な誤解に着目して、$ d $ が一般的に信じられているように失敗確率 $ 1-p $ を上限付けしないことを主張する。$ d = 10^{-20} $ であっても、鍵の均一性の高い確率を保証しないことが示され、BB84などのプロトコルのセキュリティが損なわれ、標準的なQKDセキュリティ証明に根本的な欠陥が存在することを明らかにする。

ABSTRACT

In a recent note (arXiv:1209.2423) Renner claims that the criticisms of Hirota and Yuen on the security foundation of quantum key distribution arose from a logical mistake. In this paper it is shown that Renner misrepresents the claims of Yuen and also Hirota while adopting one main theorem of Yuen in lieu of his own previous error. This leads to his incoherent position which ignores quantitative security criterion levels that undermine the current security claims, a main point of the Yuen and Hirota criticisms. This security criterion issue has never been properly addressed in the literature and is here fully discussed, as are several common misconceptions on QKD security. Other foundational issues are touched upon to bring out further the present precarious state of quantum key distribution security proofs.

研究の動機と目的

• Yuen や Hirota によるQKDセキュリティへの批判が論理的誤謬に起因するというRennerの主張を反証すること。
• トレース距離 $ d $ の正しい運用的意味を明確にし、それが鍵の均一性に対して $ p \geq 1-d $ を示さないことを示すこと。
• $ 10^6 $ ビットの鍵に対して $ d=10^{-20} $ であっても、実用的セキュリティを保証できないこと、特に既知平文攻撃下で顕著であることを実証すること。
• QKD証明において、特に検出器の挙動やシステムの不完全性に関して、きめ細やかな物理的モデル化が欠落していることの問題を浮き彫りにすること。
• QKDのセキュリティ主張が普遍的に有効であるとは限らず、セキュリティを主張する側に証明の責任が帰属するべきであると主張すること。

提案手法

• Yuen や Hirota の解釈と比較して、Rennerの解釈とは対照的に、トレース距離基準 $ d $ を量子鍵配送の文脈で分析する。
• 実際の鍵分布 $ P $ と一様分布 $ U $ の間の変動距離 $ \delta(P,U) $ を用いて鍵の質を評価し、$ d $ が $ 1-p $ を上限付けしないことを示す。
• Footnote [19] におけるRennerの反例を批判し、彼の議論に内在する概念的・論理的誤りを暴く。
• 文献 [13] の結果を用いて、鍵レートとセキュリティ水準のトレードオフを評価し、$ d $ がゼロに近い状態でない限り、低レートでもセキュリティ水準が著しく低いことを示す。
• 誤り訂正と情報漏洩量 $ \text{leak}_{\text{EC}} $ の役割を検討し、$ d > 0 $ であると、セキュリティ証明における標準的仮定が破綻することを主張する。
• 特に検出器の挙動やチャネルの不完全性を含む、不完全なシステムモデル化が、現在のQKDセキュリティ証明における根本的欠陥であると特定する。

実験結果

リサーチクエスチョン

• RQ1 QKDセキュリティ証明におけるトレース距離 $ d $ の正しい運用的解釈は何か？
• RQ2 なぜ $ d $ が失敗確率 $ 1-p $ を上限づけるという主張、つまり $ p \geq 1-d $ が根本的に誤りであるのか？
• RQ3 鍵レートとセキュリティ水準のトレードオフは、BB84型QKDプロトコルの実用的妥当性にどのように影響するか？
• RQ4 なぜ $ d = 10^{-20} $ であっても、$ 10^6 $ ビットの鍵に対して、現実的な攻撃モデル下で十分なセキュリティを保証できないのか？
• RQ5 検出器応答やチャネル損失といった不完全な物理的モデル化が、QKDセキュリティ主張の妥当性に及ぼす影響は何か？

主な発見

• トレース距離 $ d $ は失敗確率 $ 1-p $ を上限づけない。代わりに、Eveは確率 $ d $ で $ K $ を特定できるため、$ d > 0 $ の場合、$ p = 0 $ となる。これは一般的に信じられている $ p \geq 1-d $ とは矛盾する。
• $ l = 10^6 $ かつ $ d = 10^{-20} $ の場合、鍵は均一に近くなく、実用的利用にはあまりに弱いセキュリティ水準である。特に既知平文攻撃下で顕著である。
• BB84型プロトコルでは、$ d = 10^{-14} $ に達すると鍵レートが実質的にゼロになる。これは、高いセキュリティ水準と実用的鍵レートが両立できないことを示唆する。
• $ d $ を失敗確率として解釈することは誤りである。正しい解釈は、文献で想定されているよりもはるる弱いセキュリティ保証を意味する。
• 検出器のブロッキング、光子数分割攻撃、ヘテロダイン再送攻撃などのシステムの不完全性を無視した証明は無効である。
• 文献には、QKDに対する一般的で正当な無条件セキュリティ証明は存在せず、セキュリティを主張する側に証明の責任が帰属するべきである。