[论文解读] Security Significance of the Trace Distance Criterion in Quantum Key Distribution

Horace P. Yuen|arXiv (Cornell University)|Sep 13, 2011

Quantum Information and Cryptography参考文献 3被引用 14

一句话总结

本文批判性地审视了量子密钥分发（QKD）中迹距离准则 $d$ 的安全意义，表明尽管 $d \leq \epsilon$ 是当前无条件安全声明的基础，但它并不能定量保证强安全。研究显示，Eve 的序列误码率仅受 $d^{1/3}$ 限制，比特误码率仅受 $d^{1/4}$ 限制，且其在估计密钥子集或已知明文攻击中的成功概率无任何上限，这意味着即使在实际可实现的 $d$ 水平下，仍可能存在灾难性的安全漏洞。

ABSTRACT

The security significance of the trace distance security criterion $d$ is analyzed in terms of operational probabilities of an attacker's success in identifying different subsets of the generated key, both during the key generation process and when the key is used in one-time pad data encryption under known-plaintext attacks. The difference between Eve's sequence error rate and bit error rate is brought out. It is shown with counter-examples that the strong security claim maintained in the literature is incorrect. Other than the whole key error rates that can be quantified at the levels d^{1/3} and d^{1/4} which are much worse than $d$ itself, the attacker's success probabilities in estimating various subsets of the key and in known-plaintext attacks are yet to be quantified from $d$ if possible. It is demonstrated in realistic numerical examples of concrete protocols that drastic breach of security cannot yet be ruled out.

研究动机与目标

• 严格评估 QKD 中迹距离准则 $d$ 的实际安全含义。
• 挑战文献中广泛存在的观点，即 $d \leq \epsilon$ 意味着强安全，尤其是在已知明文攻击下。
• 量化 $d$ 所提供的实际安全上限，特别是 Eve 成功估计密钥子集的程度。
• 证明当前 QKD 的安全保证不足，可能在可实现的 $d$ 水平下导致灾难性安全泄露。
• 主张需要新的准则和协议，因为 $d$ 单独无法确保根本性安全。

提出的方法

• 将迹距离准则 $d = \frac{1}{2}\|\rho_{KE} - \rho_U \otimes \rho_E\|_1$ 作为 QKD 中的主要安全度量进行分析。
• 利用 $d$ 推导 Eve 序列错误概率和比特错误率的上界，表明其分别按 $d^{1/3}$ 和 $d^{1/4}$ 的速率增长。
• 通过具体协议的反例和数值示例，评估 $d \leq \epsilon$ 的实际操作意义。
• 评估 $d$ 在量化密钥子集 $\tilde{K} \subset K$ 和已知明文攻击中安全性的局限性。
• 使用马尔可夫不等式和信息论界估计失败概率，并与基于 $d$ 的声明进行比较。
• 强调目前缺乏针对已知明文攻击的正式安全准则，且对子集估计的量化边界也完全缺失。

实验结果

研究问题

• RQ1 迹距离准则 $d \leq \epsilon$ 真的能如文献中普遍声称的那样，在 QKD 中真正保证强安全吗？
• RQ2 在 $d \leq \epsilon$ 的前提下，Eve 成功估计完整密钥或密钥子集的实际操作性边界是什么？
• RQ3 能否用 $d$ 定量界定 Eve 在一次性密码加密密钥上的已知明文攻击中的成功概率？
• RQ4 为何当前 QKD 安全证明即使在 $d$ 很小时也无法排除灾难性安全漏洞？
• RQ5 将 $d$ 解释为通用安全准则是否存在根本性缺陷，特别是在组合安全的语境下？

主要发现

• 迹距离准则 $d \leq \epsilon$ 并不能定量保证强安全，因为目前对 Eve 序列错误率和比特错误率的最佳已知上界分别为 $d^{1/3}$ 和 $d^{1/4}$，远差于 $d$ 本身。
• 目前尚无针对任意子集 $\tilde{K} \subset K$ 上 Eve 最优攻击的已知边界，导致其在估计此类子集时的成功率无法量化，可能造成灾难性后果。
• 即使在六态 BB84 协议中 $d = 10^{-9}$，Eve 的平均比特错误率也受 $\sim 2^{-9}$ 限制，意味着她平均每 500 比特可正确猜测出一个额外的比特。
• 对于实验系统中 $I_{ac} \sim 2^{-21}$ 的情况，经过隐私放大后对应的失败概率上升至 $\sim 2^{-7}$，表明安全信心出现急剧下降。
• 声称 $d \leq \epsilon$ 意味着“失败概率”$\leq \epsilon$ 是操作上具有误导性的，因为它未考虑个别案例中的安全泄露。
• 本文结论认为，基于 $d$ 的安全声明不足以排除大规模密钥泄露，必须为已知明文攻击和子集估计开发新的安全准则。