[論文レビュー] Problems of Security Proofs and Fundamental Limit on Key Generation Rate in Quantum Key Distribution

Horace P. Yuen|arXiv (Cornell University)|May 16, 2012

Quantum Information and Cryptography参考文献 1被引用数 11

ひとこと要約

この論文は、BB84型量子鍵配送における標準的なセキュリティ証明の妥当性に疑問を呈し、共同攻撃下で現在の誤り訂正およびプライバシー強化処理が誤りであることを示している。理想的な状況下でも、集団的攻撃に限っても、量子ビット誤り率（QBER）の最大許容値はわずか約1.5%にとどまり、この誤り率では実用的な誤り訂正符号ではネットワークセキュアキーを生成できない。これは、既存のQKDプロトコルが実用的なネットワークキー生成に対して成立しないことを裏付ける。

ABSTRACT

It is pointed out that treatments of the error correcting code in current quantum key distribution protocols of the BB84 type are not correct under joint attack, and the general interpretation of the trace distance security criterion is also incorrect. With correct interpretation of the criterion as well as a correct treatment of the error correcting code and privacy amplification code, it is shown that even for an ideal system under just collective attack, the maximum tolerable quantum bit error rate is about 1.5% and a net key cannot actually be generated with practical error correcting codes even at such low rates, contrary to claims in the literature.

研究の動機と目的

• 現在のQKDセキュリティ証明で用いられるトレース距離セキュリティ基準の解釈に存在する根本的欠陥を特定・是正すること。
• 共同攻撃下における誤り訂正符号（ECC）およびプライバシー強化符号（PAC）の役割を再解釈し、それらの現在の取り扱い方が定量的に誤っていることを示すこと。
• 修正されたセキュリティ基準の解釈に基づき、集団的攻撃下でのネットキー生成に耐えうる最大量子ビット誤り率（QBER）を再評価すること。
• 修正された1.5% QBER限界においても、既知の実用的ECCが正のネットキー生成レートを達成できないことを示し、現在のQKDプロトコルの実現可能性に疑問を呈すること。
• 既存のQKDプロトコルが、セキュリティ解析における誤った古典的カウントと無視されたシステムの不完全性により、証明可能な正のネットセキュアキー生成レートを持たないという主張をすること。

提案手法

• トレース距離基準 $d$ を、一般的な誤解である最大失敗確率とは異なり、運用上のセキュリティを確保するには $d$ が鍵長の逆数に比例するスケーリングを満たす必要があると再解釈する。
• 左側ハッシュ補題とマーカフ不等式を2回適用し、失敗確率 $P_f \sim \epsilon^{1/3}$ の境界を導出することで、最終鍵 $K$ の近似的な一様性を保証する。
• 量子検出理論を用いて、誤り訂正済み鍵 $L$ の最小エントロピー $H_{\text{min}}$ の修正された境界を導出し、最適な推測確率 $\bar{p}_1(S)$ と関連付ける。
• 標準的な $\text{leak}_{\text{EC}} = f \cdot |S| \cdot h(Q)$ 公式を再評価し、根拠のないものであり、特に共同攻撃下では情報漏洩を過大評価していることを示す。
• 系統形式の線形ECCの漸近的極限を用いて必要なパリティビット数をモデル化し、$f=1$ であっても、標準公式では実際の情報漏洩が捉えられていないことを示す。
• 新しいキートーレート条件 $h(Q) < 8 - \frac{7}{r}$ を導出し、ここで $r$ はECCのレートである。この条件により、ネットキーが生成可能かどうかを判定できる。

実験結果

リサーチクエスチョン

• RQ1 QKDセキュリティ証明におけるトレース距離基準 $d$ の正しい運用的解釈は何か？ 一般的な誤解である失敗確率としての解釈とはどのように異なるか？
• RQ2 誤り訂正符号およびプライバシー強化の正しい取り扱いが、集団的攻撃下での最大許容量子ビット誤り率（QBER）にどのように影響するか？
• RQ3 修正されたセキュリティ境界を適用した場合、既知の実用的誤り訂正符号が正のネットキートーレートを生成できるか？
• RQ4 なぜ標準公式 $\text{leak}_{\text{EC}} = f \cdot |S| \cdot h(Q)$ は共同攻撃下のセキュリティ証明において無効であり、情報漏洩を正しく見積もる正しい方法は何か？
• RQ5 システムの不完全性と誤った古典的カウントを考慮した場合、QKDにおけるネットキー生成の根本的定量的制限は何か？

主な発見

• トレース距離基準の正しい解釈では、最終鍵の近似的な一様性を保証するため、失敗確率が $\epsilon^{1/3}$ に比例する必要がある。これは、$d \leq \epsilon$ を失敗確率とみなす一般的な仮定を無効にする。
• 修正された解釈に基づくと、集団的攻撃下でのネットキー生成に耐えうる最大許容量子ビット誤り率（QBER）は、しばしば主張される11%以上ではなく、わずか約1.5%にとどまる。
• $(8160, 7159)$ QC-LDPC符号を含む、既知のすべての実用的誤り訂正符号は、修正された1.5% QBER限界においても、誤り訂正プロセスにおける過剰な情報漏洩のため、正のネットキートーレートを生成できない。
• 標準公式 $\text{leak}_{\text{EC}} = f \cdot |S| \cdot h(Q)$ は根拠がなく、情報漏洩を過大評価しており、既存のQKDプロトコルにおけるキートーレート推定値をあまりに楽観的にしている。
• 集団的攻撃下の理想化された単一光子BB84プロトコルでさえ、セキュアキートーレートが約1.5% QBERに根本的に制限されており、この条件下で正のネットセキュアキーを生成できるプロトコルは証明されていない。
• NEC実験システムは、定量的セキュリティを有しているが、ECCによる情報漏洩を考慮しておらず、$Q > 5\%$ の状態で動作しているため、修正された解析に基づくとネットキー生成は現実的ではない。