[論文レビュー] Yuen's Criticisms on Security of Quantum Key Distribution and Onward

Takehisa Iwakoshi|arXiv (Cornell University)|Jan 1, 2017

Quantum Information and Cryptography参考文献 20被引用数 1

ひとこと要約

この論文は、量子鍵配送（QKD）の安全性を検証するための標準的なトレース距離指標が、最大の失敗確率や実際の盗聴成功確率を信頼できる形で表していないと主張する。分析の結果、特にεが十分に小さい場合に限って成立する一時鍵（OTP）互換性に関するQKDの安全性主張は、厳密な検証を受けると成立しなくなり、形式的証明の安全性が揺らされ、実用応用への懸念が生じる。

ABSTRACT

Quantum Key Distribution (QKD) has been attracting researchers that it would provide provable security to distribute secret keys since its birth in 1984. Since 2005, the trace distance between an ideal quantum state and an actually distributed state has been employed to evaluate its security level, and the trace distance was given an interpretation that it would be a maximum failure probability in distributing perfectly secure keys. However, in 2009, H. P. Yuen criticized that the trace distance would not have such an interpretation. Since then, O. Hirota, K. Kato, and T. Iwakoshi have been warning to make people pay attention to Yuen's criticisms. In 2015, T. Iwakoshi precisely explained why Yuen has been correct. In 2016, Yuen himself published a paper to explain the potentially unsolved problems in QKD. This study precisely explains the most important problems given in Yuen's paper, and gives recent topics around QKD and other quantum cryptographic protocols.

研究の動機と目的

• トレース距離解釈に基づくH. P. Yuenの2009年および2016年のQKDの安全性主張に対する批判を分析すること。
• トレース距離がQKDプロトコルにおける盗聴成功確率を真に上限づけるかどうかを評価すること。
• 一時鍵（OTP）の安全性に与える非一様な鍵分布の影響を調査すること。
• 既知平文攻撃とビット誤り率の仮定に基づくQKDの安全性保証の妥当性を評価すること。
• QKDの代替としてのKCQ（Y-00）などの代替量子暗号プロトコルを検討すること。

提案手法

• 実際の量子状態ρABEと理想状態τAB ⊗ τEとの間のトレース距離に基づく安全性定義（ε-安全性）を用いる。
• トレース距離を用いて盗聴成功確率Pr(K|E)を導出し、それがεそのものではなくε + 2−|K|で上限づけられることを示す。
• 鍵を既知部分と未知部分に分割することで、既知平文攻撃に対しても同様の数学的枠組みを適用し、Pr(K|E)が依然としてε + 2−|K|で上限づけられることを示す。
• ビット誤り率保証（BERG）の概念を導入し、盗聴者の鍵推定における成功確率が誤り率に依存することを主張する。
• 鍵生成レートとそのセキュリティとのトレードオフ、特にシンダム情報の漏洩との関係を分析する。
• KCQ（Y-00）や量子インスリュレーションに基づく手法などの代替プロトコルをレビューし、QKDに比べてより優れたスケーラビリティとセキュリティを有する可能性を検討する。

実験結果

リサーチクエスチョン

• RQ1 QKDにおけるトレース距離が、鍵配布の最大失敗確率を真に表しているのか？
• RQ2 盗聴成功確率Pr(K|E)はトレース距離εによって上限づけられるのか、それともYuenが主張するようにより大きくなるのか？
• RQ3 非一様な鍵分布が、QKDにおける一時鍵暗号の安全性にどの程度影響を与えるのか？
• RQ4 盗聴者の鍵推定におけるビット誤り率が、平文の機密性にどのように影響を与えるのか？
• RQ5 KCQのようなQKDの代替として、より実用的で高いセキュリティとスケーラビリティを提供するプロトコルは存在するのか？

主な発見

• トレース距離εはQKDの最大失敗確率を表していない。代わりに、盗聴成功確率Pr(K|E)はε + 2−|K|で上限づけられ、これはεよりも大きい。
• ε = 2−50 かつ |K| = 10^6 の場合、盗聴確率Pr(K|E)は約2−50となり、これは日本の自動車1台あたりの年間死亡率と同等であるため、QKDはAES-256より安全性が低いとされる。
• εが十分に小さくない場合、既知平文攻撃が非無視可能な確率で成功し、QKD鍵が一様分布であるという仮定が崩れる。
• 盗聴者の鍵推定における誤り率が、平文の機密性に顕著な影響を与える。たとえ小さな誤り率（例：QE = 2.5×10−6）であっても、εが十分に小さくない場合には、ほぼ確実に平文が解読可能になる。
• シンダム情報が漏洩するとQKDのセキュリティが低下し、劣化した鍵の安全性レベルを正確に評価しなければ、形式的証明の安全性を主張できない。
• KCQ（Y-00）や量子インスリュレーションに基づくプロトコルは、DARPAの性能要件を満たす可能性があり、QKDに比べてより優れた実用的セキュリティを提供する可能性がある。