[論文レビュー] Can Quantum Key Distribution Be Secure

Horace P. Yuen|arXiv (Cornell University)|May 2, 2014

Quantum Information and Cryptography参考文献 7被引用数 4

ひとこと要約

この論文は、量子鍵配送（QKD）の理論的セキュリティを批判的に検討し、情報理論的セキュリティを主張する一方で、現在の基準（利用可能な情報とトレース距離）が意味のあるセキュリティ保証を提供しないと主張している。実証的に示されたのは、QKDが生成する鍵の完全なランダム性からのわずかなずれ（トレース距離dで定量化）が、既知の平文攻撃においても深刻なセキュリティ侵害を引き起こす可能性があることである。これは、現在の性能水準では実用的なQKDが安全でないことを示している。

ABSTRACT

The importance of quantum key distribution as a cryptographic method depends upon its purported strong security guarantee. The following gives reasons on why such strong security guarantee has not been validly established and why good QKD security is difficult to obtain.

研究の動機と目的

• QKDが一般的に主張されている真の情報理論的セキュリティを達成できるかどうかを評価すること。
• 利用可能な情報やトレース距離といった既存のセキュリティ基準における根本的な欠陥を特定すること。
• トレース距離dで定量化されたわずかな鍵の不完全性ですら深刻なセキュリティ脆弱性を引き起こすことを示すこと。
• 広く用いられているトレース距離基準がQKDプロトコルにおける信頼できるセキュリティ指標であるという妥当性を疑問視すること。
• 現在の理論的および実験的QKDのセキュリティ水準が実用的導入には不十分であることを強調すること。

提案手法

• 実際の鍵分布と一様分布との乖離を測るトレース距離基準dの分析。
• 既知の平文攻撃および暗号文のみの攻撃下でのdのセキュリティ保証を評価し、有効な失敗確率をd^{1/4}として導出。
• d = 2^{-m}のとき、攻撃者Eveがmビットを学習した後、鍵全体を確率1で回復できることを示す反例の構築。
• 誤り訂正のセキュリティへの影響を検討し、誤り訂正コードから漏洩する情報がセキュリティ保証を損なうと主張。
• 不完全な鍵をメッセージ認証に使用した場合の影響を検討し、セキュリティパラメータの損失を示す。
• 測定装置に依存しないバージョンを含むすべてのQKDプロトコルに形式的解析を適用し、問題の一般性を示す。

実験結果

リサーチクエスチョン

• RQ1 d > 0 の場合、トレース距離基準dがQKDにおけるセキュリティを真に保証できるのか？
• RQ2 トレース距離dが与えられたとき、既知の平文攻撃下でのQKDの有効な失敗確率はどの程度か？
• RQ3 なぜ広く用いられているdに基づくセキュリティ保証は、実用的QKDシステムには不十分なのか？
• RQ4 誤り訂正手順は、特に不完全な鍵が使用される場合、どのようにQKDのセキュリティを損なうのか？
• RQ5 非一様なビット相関を持つ鍵であっても、dが小さくても攻撃者が完全に鍵を回復できるのか？

主な発見

• 既知の平文攻撃下でのQKDの有効な失敗確率はd^{1/4}であり、dではない。これはセキュリティ保証を著しく悪化させる。
• 理論的d ≈ 10^{-14}および実験的d ≈ 10^{-2.3}の下で、有効な失敗確率は1日あたり10^{-3}を超え、1日1000回の鍵改ざんの可能性を示唆する。
• 実用的セキュリティ（失敗確率 ≤ 10^{-15}）を達成するためには、d ≤ 10^{-60}である必要があり、d^{1/4} ≤ 10^{-20}を達成するためである。これは現在の技術能力をはるかに超える。
• 鍵推定における1ビットの誤りですら、ワンタイムパッド復号の性質上、全鍵列を不正に危険にさらすことになる。
• 誤り訂正手順から漏洩する構造的情報は完全に補正できない。特に、パリティビットの保護に不完全な鍵が使用される場合に顕著である。
• メッセージ認証に不完全な鍵を使用すると、セキュリティパラメータが損なわれ、認証のセキュリティが崩壊する。