[논문 리뷰] Misconception in Theory of Quantum Key Distribution -Reply to Renner-

Osamu Hirota|arXiv (Cornell University)|2013. 06. 06.

Intelligence, Security, War Strategy인용 수 3

한 줄 요약

이 논문은 양자 키 분배(QKD) 이론의 기초적인 보안 해석을 도전하며, 특히 추적 거리(trace distance)를 보안 기준으로 사용하는 것—특히 이를 실패 확률로 오해하는 것—이 암호학적 맥락에서 운영적 의미가 없다고 주장한다. 기존 이론은 샤프-프레스킬 및 레너의 프레임워크에 기반하여, 샤논의 운영 기준(예: 탈옥 공격자의 키 추정 성공 확률)을 제대로 평가하지 못하며, 이로 인해 매우 낮은 추적 거리 수준(예: 10⁻²⁰)에서도 실제 보안을 보장하지 못할 수 있음을 시사한다.

ABSTRACT

It has been pointed out by Yuen that the security theory of quantum key distribution(QKD) guided by Shor-Preskill theory has serious defects, in particular their key rate theory is not correct. Theory groups of QKD tried to improve several defects. Especially, Renner employed trace distance and quantum leftover Hash Lemma. However, the present theory encountered a problem of a quantitative evaluation of security. To cope with it, he uses a wrong interpretation on the trace distance and its level epsilon_{sec}, and justifies the unconditional security of own system when epsilon_{sec} is 10^{-6 } ~ 10^{-20}. In this paper, we discuss the following problems. What is the origin of the misconception of the present theory? How does the present theory lead to the misconception?. To show their process toward the misconception, Koashi-Preskill's theory which has a typical misconception is examined. A main point of our comment is that QKD theory ignores the security requirement against attacker which is necessary to compare whole encryption schemes from classical to quantum. To clarify it, we emphasize that the trace distance itself cannot have any operational meaning such as failure probability, and it is only mathematical tool as a measure of closeness. As a result, it is given that the security with above values derived from their formulation means nothing in the general cryptological sense. In addition, I point out that a comment by Bennett and Riedel on unconditional security of QKD is not correct. Also, I point out that the experimental systems of groups of Los Alamos, Toshiba-UK, NICT, and others cannot have security guarantee even in future.

연구 동기 및 목표

• 현재 QKD 보안 이론의 核심 오해, 특히 추적 거리를 실패 확률로 오해하는 것의 근본 원인을 규명하는 것.
• 렌너의 보안 프레임워크의 타당성을 도전하며, 10⁻²⁰ 수준의 추적 거리로도 무조건적 보안을 정당화하는 데서 이를 물리적 확률로 간주한다는 점을 문제 삼는 것.
• 현재 QKD 이론이 샤논의 운영 기반 보안 기준—특히 암호해독자(Eve)의 키 추정 성공 확률—을 忽시하고 있음을 주장하며, 이로 인해 실제로 보안되지 않는 시스템이 될 수 있음을 밝히는 것.
• 독립(identically and independently distributed, iid) 가정과 능동 공격이 존재할 경우 기존 QKD 프로토콜의 보안 주장이 사라지며, 비록 프라이버시 압축이 적용되더라도 마찬가지임을 보여주는 것.
• 샤논의 원래 정보 이론적 보안 프레임워크로의 복귀를 주장하며, 이는 운영 정의에 기반한 보안 개념을 재정립하는 데 초점 맞추기

제안 방법

• 오해의 근본 원인을 보여주는 범용 사례로, 코아시-프레스킬의 QKD 이론을 분석하며, 운영적 근거 없이 추적 거리에 의존하는 점을 집중적으로 다룸.
• 식 (5)를 활용해 추적 거리와 샤논의 키 추정 성공 확률 간의 관계를 재구성하며, 추적 거리만으로는 보안을 정량화할 수 없음을 보임.
• 렌너가 추적 거리를 실패 확률로 해석하는 것의 수학적 비합리성을 비판적으로 평가하며, 확률 이론에 기반한 해석이 잘못되었음을 입증함.
• 프라이버시 압축은 상호정보량을 감소시키지만, 암호해독자의 지식이나 추정 성공 확률을 개선하지 못함을 강조함.
• 실험적 QKD 시스템(예: 로스앨라모스, 토시바-영국, NICT)이 정량적 보안 평가를 하지 않으며 이론적 진전과는 독립되어 있음을 지적함.
• 벤넷과 린델의 QKD에 대한 무조건적 보안 주장의 정당성을 재고하며, 이론적 기초가 흐트러져 있어 증명이 불가능하다는 점을 보임.

실험 결과

연구 질문

• RQ1 왜 QKD 이론에서 추적 거리가 실패 확률로 잘못 해석되는가? 이 오해의 결과는 무엇인가?
• RQ2 현재 QKD 보안 프레임워크는 샤논의 운영 기반 정보 이론적 보안 정의를 어떻게 충족하지 못하는가?
• RQ3 추적 거리와 암호해독자의 키 추정 성공 확률 사이의 진정한 관계는 무엇인가?
• RQ4 왜 iid 가정은 실제 QKD 환경에서 능동 공격가 존재할 경우 유효하지 않으며, 이로 인해 현재 보안 증명이 붕괴되는가?
• RQ5 정량적 보안 평가가 없고 이론적 진전과 단절된 실험적 QKD 시스템은 보안이 보장된다고 볼 수 있는가?

주요 결과

• QKD 보안 증명에서 사용되는 추적 거리는 양자 상태 간의 가까움을 수학적으로 측정하는 척도일 뿐이며, 이를 실패 확률로 해석하는 것은 레너의 보안 근거와 모순된다. 특히 10⁻²⁰ 수준의 추적 거리에서도 보안이 보장된다고 주장하는 것은 잘못이다.
• 현재 이론은 샤논의 운영 기준인 암호해독자의 키 추정 성공 확률을 忽시하고 있어, 실질적인 암호학적 맥락에서 보안 주장이 의미가 없게 된다.
• 조금이라도 추적 거리가 10⁻²⁰ 수준이더라도, 추적 거리가 어떤 측정 가능한 실패율과도 대응하지 않기 때문에 QKD 시스템의 보안은 운영적으로 의미가 없다.
• 후처리와 프라이버시 압축에 기반한 프로토콜은 활성 공격자가 존재할 경우, 특히 iid 가정이 성립하지 않을 경우 키 시퀀스의 균일성을 보장할 수 없다.
• 로스앨라모스, 토시바-영국, NICT의 실험적 QKD 시스템은 정량적 보안 보장을 제공하지 않으며, 이론적 보안 기준과 평가가 이뤄지지 않는다.
• 벤넷과 린델의 QKD에 대한 무조건적 보안 주장은 정당하지 않으며, 현재 이론적 프레임워크가 운영적 근거 없이 구성되어 있어 증명이 불가능하다.