[論文レビュー] Problems of Existing Unconditional Security Proofs in Quantum Key Distribution

Horace P. Yuen|arXiv (Cornell University)|Sep 6, 2011

Quantum Computing Algorithms and Architecture参考文献 3被引用数 5

ひとこと要約

この論文は、量子鍵配送（QKD）の無条件安全証明に用いられる基礎的セキュリティ基準 $d$ に挑戦し、鍵を直接暗号化に使用する際、$d$ が既知の平文攻撃（KPA）に対するセキュリティを保証しないことを示している。$I_{ac}$ も $d$ も、鍵の部分集合に対して意味的セキュリティを保証しないと主張し、根本的なセキュリティ保証を達成するため、$M$-ary 量子検出理論と見直された基準 $d'$ の導入を求める。これにより、現在の QKD セキュリティ証明が、量子メモリ攻撃下で根本的に不完全であることが明らかになった。

ABSTRACT

It is repeatedly and persistently claimed in the literature that a specific trace criterion $d$ would guarantee universal composition security in quantum cryptography. Currently that is the sole basis of unconditional security claim in quantum key distribution. In this paper, it is shown that just security against known-plaintext attacks when the generated key is used in direct encryption is not provided by $d$. The problem is directly connected with several general problems in the existing unconditional security proofs in quantum key distribution. A number of issues will be clarified concerning the nature of true security, privacy amplification, key generation rate and the mathematical approach needed for their determination in concrete protocols.

研究の動機と目的

• トレース距離基準 $d$ が QKD の無条件セキュリティの唯一の根拠であるというその有効性に挑戦すること。
• $I_{ac}$ や $d$ に基づく既存のセキュリティ証明が、既知の平文攻撃（KPA）に対するセキュリティを保証しないことを示すこと。
• QKD における正確なセキュリティ評価には、古典的情報理論ではなく、量子検出理論が必要であると主張すること。
• 現在の QKD セキュリティ証明における根本的欠陥を暴露すること：すなわち、攻撃者エヴェの鍵の部分集合を推定する成功確率を界磁していないこと。
• 真の意味的セキュリティと正確なキートレート推定を達成するため、見直された基準 $d'$ と $M$-ary 量子検出理論の使用を提唱すること。

提案手法

• トレース距離基準 $d \leq \epsilon$ の3つの解釈を分析し、KPA セキュリティに対してそれらが不十分であることを示す。
• 反例を用いて、$d \leq \epsilon$ が KPA に対してセキュリティを保証するという主張を反証し、特に $n-1$ 個の鍵ビットが既知の状況で特に有効でないことを示す。
• 部分集合推定の区別可能性優位性を界磁する新しい基準 $d'$ を導入し、欠陥のある $d$ を置き換える。
• $M$-ary 量子検出理論を適用して、エヴェの鍵の部分集合に対する最適測定戦略をモデル化し、古典的還元が量子力学的に失敗することを示す。
• 変動距離とトレース距離を用いて、部分集合確率 $p(\tilde{K})$ の界を導出し、$d$ が部分集合に対して $p(\tilde{K})$ が界に達することを保証しないことを示す。
• プライバシー強化の役割を再評価し、$d'$-界に達するプロトコルにおいては、根本的な限界を克服できないことを示す。

実験結果

リサーチクエスチョン

• RQ1 トレース距離基準 $d$ は、QKD における既知の平文攻撃に対して真にセキュリティを保証するのか？
• RQ2 標準的な $I_{ac}$ または $d$ 基準は、生成された鍵の任意の部分集合に対して意味的セキュリティを保証できるのか？
• RQ3 なぜ古典的情報理論は QKD における根本的セキュリティの定量的評価に不十分なのか？また、$M$-ary 量子検出理論はどのような役割を果たすのか？
• RQ4 QKD における真の安全なキートレートは何か？なぜ現在の仮定よりも顕著に低いのか？
• RQ5 プライバシー強化だけでは、量子メモリ攻撃下での $d$-ベースのセキュリティ証明の限界を克服できるのか？

主な発見

• トレース距離基準 $d$ ですら、$d$ が指数的に小さくても、既知の平文攻撃に対するセキュリティを保証しない。
• 反例により、$n-1$ ビットの鍵が既知の状況で、最後のビットが決定的に漏洩することが示され、$d$ がセキュリティ保証として不適切であることが明らかになった。
• $d \leq \epsilon$ の下でも、鍵の適切な部分集合を正しく推定する確率を界に達しないという点で、基準 $d$ は部分集合推定に対して失敗する。
• 実際の安全キートレートは定量的誤差指数によって制限され、名目上のレートよりも著しく小さい。正確な推定には $M$-ary 量子検出理論が必要である。
• プライバシー強化は、$d'$ が界に達しない場合、$d$-ベースの証明の根本的不完全性を補うことはできない。
• 部分集合確率 $p(\tilde{K})$ が適切に界に達するようにするためには、新しい基準 $d'$ が必要であり、真の意味的セキュリティを支えるのは $d'$-ベースの保証に限る。