[論文レビュー] Perfect random number generator is unnecessary for secure quantum key distribution

Xiang‐Bin Wang|ArXiv.org|May 31, 2004

Chaos-based Image/Signal Encryption参考文献 1被引用数 4

ひとこと要約

この論文は、乱数生成器のエントロピーが十分に高い限り、不完全な乱数生成器（IRNG）を用いても、量子鍵配送（QKD）が絶対的に安全であることを示している。PRNGと比較してIRNGを用いた場合のセキュリティ境界がわずかに劣化するという証明により、完全なランダムネスはQKDの安全な実装に必須ではないことが示され、実装コストが著しく低下し、到達不可能な理想のランダムネスに依存しなくなる。

ABSTRACT

Game G: Clare passes a string s which is either from perfect random number generator R0 or from good imperfect number generator R1, with equal probability. Alice's information about whether it is from R0 or R1 is bounded by small value h. Alice use s as the input random numbers for QKD protocol with Bob. Suppose Eve may have very small information about the final key if s is from R0 and Eve has large information if s is from R1, then after the protocol, Alice announce the final key, Eve's information about whether s is from R0 or R1 is unreasonablly large, i.e., breaks the known bound, h. Explicit formulas are given in the article.

研究の動機と目的

• 実世界の実装において避けがたい不完全な乱数生成器（IRNG）の使用に関するQKDセキュリティ証明における重要なギャップを埋めること。
• 有限のエントロピー損失（例：ω−ε）を伴うIRNGが、QKDプロトコルにおいても絶対的セキュリティを維持できるかどうかを特定すること。
• ランダムネス品質に関する未検証の仮定に依存しない、最小品質要件を明確に定義する厳密で運用可能な基準を提供すること。
• 元々完全な乱数生成器（PRNG）に基づいて構築された既存のセキュリティ証明を、実際の状況におけるアリスおよび／またはボブがIRNGを使用する場合にまで拡張すること。

提案手法

• 論文は、出力エントロピー H(s) = θ（θ < ω で、ω ビットの生成器に対して）としてIRNGをモデル化し、このような生成器のクラス Rω,θ を定義する。
• 攻撃者の最悪ケースをモデル化するため、EveがIRNGの正確な統計的パターンを把握していると仮定する（アリスとボブが把握していない場合でも）。
• セキュリティ解析ではホルボの上限を用いて、Eveが最終鍵に対する利用可能な情報 I_E(X:Y_j) を定量化し、Eveの確率分布間の差異 δ_j を根拠に境界を導出する。
• IRNG使用下での最終鍵のエントロピー H(Q) の下限を導出し、エントロピー損失が √h に比例することを示す（h はPRNGの場合におけるEveの情報の上界）。
• アリスとボブの両方がIRNGを使用する場合に拡張し、それぞれの生成器のエントロピー損失 ε_A と ε_B を含む統合セキュリティ境界を導出する。
• 漸近的展開とオーダー推定（O(⋅)）を用いて、IRNG使用下でのセキュリティ劣化を限定し、ε が小さい場合には劣化が無視できることが示される。

実験結果

リサーチクエスチョン

• RQ1 不完全な乱数生成器を完全な生成器の代わりに使用しても、量子鍵配送が絶対的に安全に保たれるか？
• RQ2 QKDプロトコルのセキュリティを維持できる範囲で、乱数生成器の不完全性（エントロピー損失で測定）の最大許容値は何か？
• RQ3 EveがIRNGの統計的パターンを把握している場合、完全なランダムネスが仮定されている場合と比較して、最終鍵に関する情報量が著しく増加するか？
• RQ4 両者が異なる不完全性レベルのIRNGを使用する場合、セキュリティ劣化はどのようにスケーリングするか？

主な発見

• QKDは、同じプロトコルが完全な乱数生成器（PRNG）を用いた場合に安全である限り、エントロピー H(s) = ω − ε のIRNGを用いても絶対的に安全である。
• IRNG使用下でのEveの情報上界は、η ≤ ε₀ + (4k+1)[1+O(√h)]√h − O(h) で与えられ、ここで h ≤ ε_A/2 であり、k は鍵長である。
• アリスとボブがそれぞれ Rω_a,ε_A と Rω_b,ε_B を使用する場合、セキュリティ劣化は η ≤ ε₀ + (4k+1)√(ε_A/2) + (4k+1)√(ε_B/2) + O(ε_A^{3/2}) + O(ε_A) で抑えられる。
• ε_A と ε_B が小さい場合、セキュリティ劣化は無視できるため、ランダムネスの指数的かつ小さな不完全性がセキュリティを損なわないことが示された。
• 完全な乱数生成器は、IRNGのエントロピーが十分に高い（例：ε が小さい ω−ε）限り、QKDの安全な実装に必要ではない。
• この結果により、実世界のQKDシステムにおいて、高品質だが完全でない乱数生成器の実用的利用が正当化され、極めて高価な完全生成器の必要性が回避される。