[论文解读] Can Quantum Key Distribution Be Secure

Horace P. Yuen|arXiv (Cornell University)|May 2, 2014

Quantum Information and Cryptography参考文献 7被引用 4

一句话总结

本文批判性地审视了量子密钥分发（QKD）的理论安全性，认为尽管声称具有信息论安全性，但当前的标准如可访问信息和迹距离无法提供有意义的安全保证。它表明，即使QKD生成的密钥在随机性上存在微小偏差（以迹距离d量化），也可能导致灾难性的安全漏洞，尤其是在已知明文攻击下，这使得当前性能水平下的实际QKD不安全。

ABSTRACT

The importance of quantum key distribution as a cryptographic method depends upon its purported strong security guarantee. The following gives reasons on why such strong security guarantee has not been validly established and why good QKD security is difficult to obtain.

研究动机与目标

• 评估QKD是否能实现如普遍宣称的真正信息论安全性。
• 识别现有安全标准（如可访问信息和迹距离）中的基础性缺陷。
• 证明即使密钥存在微小缺陷（以迹距离d量化），也可能导致严重的安全漏洞。
• 挑战广泛使用的迹距离标准作为QKD协议中安全度量的可靠性。
• 强调当前理论与实验的QKD安全水平不足以满足实际部署需求。

提出的方法

• 分析迹距离标准d作为实际密钥分布与均匀分布之间偏差的度量。
• 在已知明文攻击和仅密文攻击下评估d的安全保证，推导出有效失败概率为d^{1/4}。
• 构建反例表明，当d = 2^{-m}时，Eve在得知m位后可以以概率1恢复整个密钥。
• 研究纠错对安全性的影响，认为纠错码泄露的信息会破坏安全保证。
• 考虑使用不完美密钥进行消息认证的影响，表明安全参数会丧失。
• 对所有QKD协议（包括测量设备无关变体）进行形式化分析，以证明该问题的普遍性。

实验结果

研究问题

• RQ1 当d > 0时，迹距离标准d是否能真正保证QKD的安全性？
• RQ2 在已知明文攻击下，给定迹距离d，QKD的有效失败概率是多少？
• RQ3 为何广泛使用的基于d的安全保证对实际QKD系统而言是不足的？
• RQ4 纠错过程如何破坏QKD的安全性，尤其是在使用不完美密钥时？
• RQ5 即使d很小，一个具有非均匀位相关性的密钥是否仍会导致攻击者完全恢复密钥？

主要发现

• 在已知明文攻击下，QKD的有效失败概率为d^{1/4}，而非d，这使得安全保证显著恶化。
• 当理论d ≈ 10^{-14}且实验d ≈ 10^{-2.3}时，有效失败概率每日超过10^{-3}，意味着每天最多可发生1000次密钥泄露。
• 为实现实际安全（失败概率≤10^{-15}），必须使d ≤ 10^{-60}，以确保d^{1/4} ≤ 10^{-20}，远超当前技术能力。
• 密钥估计中即使出现一位错误，也可能因一次性密码解密的特性而使整个密钥序列变得不安全。
• 纠错过程会泄露结构信息，且这些泄露无法被完全消除，尤其在使用不完美密钥保护校验位时更为严重。
• 在消息认证中使用不完美密钥会导致安全参数丧失，从而破坏认证安全性。