[论文解读] Problems of Existing Unconditional Security Proofs in Quantum Key Distribution

Horace P. Yuen|arXiv (Cornell University)|Sep 6, 2011

Quantum Computing Algorithms and Architecture参考文献 3被引用 5

一句话总结

本文挑战了量子密钥分发（QKD）无条件安全证明中所依赖的基础安全准则 $d$，表明当密钥用于直接加密时，$d$ 无法在已知明文攻击（KPA）下保证安全性。文章指出，$I_{ac}$ 与 $d$ 均无法确保密钥子集的语义安全，并呼吁采用 $M$-ary 量子检测理论与修正准则 $d'$，以实现根本性的安全保证，揭示当前 QKD 安全证明在量子存储器攻击下本质上是不完整的。

ABSTRACT

It is repeatedly and persistently claimed in the literature that a specific trace criterion $d$ would guarantee universal composition security in quantum cryptography. Currently that is the sole basis of unconditional security claim in quantum key distribution. In this paper, it is shown that just security against known-plaintext attacks when the generated key is used in direct encryption is not provided by $d$. The problem is directly connected with several general problems in the existing unconditional security proofs in quantum key distribution. A number of issues will be clarified concerning the nature of true security, privacy amplification, key generation rate and the mathematical approach needed for their determination in concrete protocols.

研究动机与目标

• 挑战 trace distance 准则 $d$ 作为 QKD 无条件安全唯一基础的有效性。
• 证明基于 $I_{ac}$ 或 $d$ 的现有安全证明无法保证对已知明文攻击（KPA）的安全性。
• 主张量子检测理论而非经典信息论，才是 QKD 中准确安全量化所必需的。
• 揭示当前 QKD 安全证明的根本缺陷：未能对爱丽丝（Eve）估计密钥子集的成功概率进行有效约束。
• 倡导采用修正准则 $d'$ 与 $M$-ary 量子检测理论，以实现真正的语义安全与准确的密钥速率估计。

提出的方法

• 分析 trace distance 准则 $d \leq \epsilon$ 的三种解释，揭示其在 KPA 安全性上的不足。
• 通过反例反驳了 $d \leq \epsilon$ 暗示对 KPA 具有安全性的主张，尤其在已知 $n-1$ 个密钥位时。
• 提出新准则 $d'$，以约束对密钥子集的可区分性优势，取代有缺陷的 $d$。
• 应用 $M$-ary 量子检测理论，建模爱丽丝对密钥子集的最优测量策略，表明经典方法在量子层面失效。
• 利用变分距离与 trace distance 推导子集概率 $p(\tilde{K})$ 的边界，表明 $d$ 无法确保子集 $p(\tilde{K})$ 被有效约束。
• 重新评估隐私放大（privacy amplification）的作用，表明其无法克服 $d'$-有界协议中的根本限制。

实验结果

研究问题

• RQ1 trace distance 准则 $d$ 真的能保证 QKD 对已知明文攻击的安全性吗？
• RQ2 标准 $I_{ac}$ 或 $d$ 准则能否确保对生成密钥任意子集的语义安全性？
• RQ3 为何经典信息论不足以量化 QKD 中的根本安全性？$M$-ary 量子检测理论在此中扮演什么角色？
• RQ4 QKD 的真实安全密钥生成速率是多少？为何其远低于当前假设的水平？
• RQ5 在量子存储器攻击下，隐私放大能否单独克服基于 $d$ 的安全证明的局限性？

主要发现

• 即使 $d$ 极其微小（指数级小），trace distance 准则 $d$ 也无法保证对已知明文攻击的安全性。
• 反例表明，当 $n-1$ 个密钥位已知时，最后一个密钥位可能被确定性泄露，从而否定 $d$ 作为安全保证的有效性。
• 准则 $d$ 无法约束对密钥任意真子集的正确估计概率，即使满足 $d \leq \epsilon$。
• 实际安全密钥速率受定量误差指数的限制，远低于名义速率，必须借助 $M$-ary 量子检测理论才能准确估计。
• 隐私放大无法弥补基于 $d$ 的证明的根本不安全性，尤其在 $d'$ 未被约束时更为显著。
• 必须引入新准则 $d'$，以确保子集概率 $p(\tilde{K})$ 得到恰当约束，唯有基于 $d'$ 的保证才能支持真正的语义安全。