[论文解读] Essential lack of security proof in quantum key distribution

Horace P. Yuen|arXiv (Cornell University)|Oct 2, 2013

Quantum Computing Algorithms and Architecture参考文献 15被引用 12

一句话总结

本文挑战了量子密钥分发（QKD）中无条件安全证明的有效性，认为现有证明——尤其是针对BB84及其变体的证明——由于对 trace distance 准则的错误解释以及缺乏适当的安全参数而存在根本性缺陷。本文提出用 KCQ（量子噪声中的密钥通信）框架和新型 DBM（诱骗比特方法）替代原有的扰动-信息权衡原则，以实现更高效、更鲁棒的严格可证明、信息论安全的密钥交换。

ABSTRACT

All the currently available unconditional security proofs on quantum key distribution, in particular for the BB84 protocol and its variants including continuous-variable ones, are invalid or incomplete at many points. In this paper we discuss some of the main known problems, particularly those on operational security guarantee and error correction. Most basic are the points that there is no security parameter in such protocols and it is not the case the generated key is perfect with probability $\geq 1-ε$ under the trace distance criterion $d\leqε$, which is widely claimed in the technical and popular literature. The many serious security consequences of this error about the QKD generated key would be explained, including practical ramification on achievable security levels. It will be shown how the error correction problem alone may already defy rigorous quantitative analysis. Various other problems would be touched upon. It is pointed out that rigorous security guarantee of much more efficient quantum cryptosystems may be obtained by abandoning the disturbance-information tradeoff principle and utilizing instead the known KCQ (keyed communication in quantum noise) principle in conjunction with a new DBM (decoy bits method) principle that will be detailed elsewhere.

研究动机与目标

• 揭露BB84型QKD协议安全证明中的关键缺陷，特别是关于 trace distance 准则以及缺乏安全参数的问题。
• 证明QKD所宣称的‘完美安全’或‘无条件安全’在数学上站不住脚，且在实际应用中具有误导性。
• 强调由于安全与密钥速率之间存在固有且不可避免的权衡，实现高安全级别在QKD中并不现实。
• 倡导从基于扰动的安全机制向KCQ原则结合DBM方法的范式转变，以构建更鲁棒且可严格证明安全的量子密码学框架。

提出的方法

• 分析 trace distance 准则 $ d \leq \epsilon $，认为其在QKD证明中被误用，其中 $ \epsilon $ 并非安全参数，而是统计偏差的度量。
• 指出声称密钥为 $ \epsilon $-均匀（即与均匀分布不可区分）并不等价于 $ \epsilon $-安全，从而动摇了QKD安全证明的基础。
• 提出用 KCQ（量子噪声中的密钥通信）框架替代扰动-信息权衡原则，该框架利用最优量子检测，无需监控扰动。
• 引入 DBM（诱骗比特方法），一种新型安全证明技术，独立于QKD的诱骗态协议，可对一般攻击下的密钥安全性进行严格分析。
• 建议通过使用共享秘密种子的伪随机生成器来选择量子比特，从而消除对扰动检测的需求，并实现通道特性的独立表征。
• 强调在新框架中使用消息认证码（MAC）和隐私放大码（PACE）以确保端到端安全性。

实验结果

研究问题

• RQ1 为何当前QKD协议（包括BB84及连续变量变体）的无条件安全证明在根本上无效或不完整？
• RQ2 在QKD背景下，trace distance 准则 $ d \leq \epsilon $ 的正确解释是什么？为何其当前用法具有误导性？
• RQ3 QKD协议中缺乏安全参数如何削弱其实际安全保证？
• RQ4 QKD中密钥生成速率与安全级别之间的权衡具有哪些定量影响？为何实现 $ 10^{-15} $ 的安全级别不现实？
• RQ5 基于KCQ与DBM的新量子密码框架能否提供比传统QKD更严格、更高效、更鲁棒的替代方案？

主要发现

• 声称在 trace distance 准则下QKD生成的密钥为 $ \epsilon $-安全是无效的，因为其对 $ \epsilon $ 的解释存在误解，$ \epsilon $ 并非可调节的安全参数。
• 目前尚无针对任何BB84型协议的严格安全证明能涵盖所有攻击场景，尤其是在有限密钥和集体攻击模型下。
• 当前最先进的安全级别 $ 10^{-9} $ 并非有效推导得出，与实现实际安全所需的 $ 10^{-15} $ 水平相差达36个数量级。
• 即使在渐近极限下，QKD中也存在密钥生成速率与安全级别之间的根本性权衡，且该权衡无法通过调节安全参数来缓解。
• KCQ框架结合DBM方法为BB84型协议提供了可行的替代方案，消除了对扰动监控的需求，并支持严格的安全证明。
• 所提出的KCQ+DBM方法可实现完全量子化、信息论安全的系统，兼容现有光通信基础设施，且比当前QKD实现更具鲁棒性。