[论文解读] What The Trace Distance Security Criterion in Quantum Key Distribution Does And Does Not Guarantee

Horace P. Yuen|arXiv (Cornell University)|Oct 25, 2014

Chaos-based Image/Signal Encryption参考文献 5被引用 7

一句话总结

本文批判性地挑战了在量子密钥分发（QKD）中对可 trace 距离准则的普遍误解，即将其解释为失败概率或每位失败概率。文章表明，可区分性优势的解释和 $d/l$ 每比特指标在概念上存在缺陷，因为它们错误地假设了密钥位之间的统计独立性，并错误地表述了实际的安全保证，揭示了当前的安全声明具有误导性的乐观性。

ABSTRACT

Cryptographic security of quantum key distribution is currently based on a trace distance criterion. The widespread misinterpretation of the criterion as failure probability and also its actual scope have been discussed previously. Recently its distinguishability advantage interpretation is re-emphasized as an operational guarantee, and the failure probability misinterpretation is maintained with a further failure probability per bit interpretation. In this paper we explain the basic perpetuating error as a confusion on the correspondence between mathematics and reality. We note that the assignment of equal a priori probability of 1/2 to the real and ideal situations for distinguishability advantage would not lead to operational guarantee. We explain why operational guarantee in terms of Eve's probabilities of getting various key bits is necessary for security, and why the failure probability interpretation misrepresents the security situation. The scope and limits of the trace distance guarantee are summarized. It is shown that there would have been no security problem to begin with if the failure probability per bit interpretation validity.

研究动机与目标

• 澄清 QKD 中数学 trace 距离与实际密码学安全之间的概念混淆。
• 揭示将 trace 距离 $d$ 解释为失败概率或每位失败概率的根本缺陷。
• 证明可区分性优势无法提供有效的实际安全保证。
• 表明 $d/l$ 每比特度量在数学和概念上均无效，因其错误地假设了位之间的独立性。
• 认为当前 QKD 文献中的安全解释具有误导性，因其夸大了 trace 距离所提供的实际保护。

提出的方法

• 将 trace 距离 $d = \frac{1}{2}\|\rho_{\text{real}} - \rho_{\text{ideal}}\|_1$ 分析为真实与理想密钥分布之间统计距离的度量。
• 考察可区分性优势的解释，表明其因对先验概率的错误假设而无法提供实际安全保证。
• 批判性地评估标记为“每位失败概率”的 $d/l$ 度量，证明其在密钥位相关性的现实假设下无效。
• 利用不等式 $p_1^E = 2^{-n} + d$ 表明，即使 $d \sim 10^{-9}$，对于 $n \sim 10^5$ 位而言仍不充分。
• 强调 $d$ 仅适用于单轮密钥，而非多轮的总和，且 $d/l$ 错误地代表了密钥被攻破的实际风险。
• 主张实际安全需要对爱丽丝（Eve）获得单个密钥位的概率提供保证，而非对可区分性或平均度量提供保证。

实验结果

研究问题

• RQ1 trace 距离准则 $d$ 是否真正代表了 QKD 系统在实际中的失败概率？
• RQ2 真实与理想密钥态之间的可区分性优势能否被解释为有意义的实际安全保证？
• RQ3 $d/l$ 的“每位失败概率”度量是否为 QKD 安全的有效或有意义的度量？
• RQ4 为何假设真实与理想情形下具有相等的先验概率无法产生实际安全保证？
• RQ5 trace 距离准则在保证 QKD 的信息论安全方面，其实际限制是什么？

主要发现

• trace 距离 $d$ 并不代表 QKD 系统的失败概率，将其解释为此类会导致误导性的安全评估。
• 可区分性优势的解释因未考虑二元假设检验的真实性质以及密钥位之间的依赖性，而无法提供实际安全保证。
• “每位失败概率”度量 $d/l$ 在概念上无效，因其假设了密钥位之间的统计独立性，而这种假设在现实中不成立，导致错误的乐观预期。
• 即使 $d \sim 10^{-9}$（某些协议中被认为表现良好），在单轮中爱丽丝获得全部 $10^5$ 位的概率仍不可忽视，表明对长密钥而言安全性较差。
• 对于每天 $10^6$ 轮 QKD 且 $d \sim 0.1$ 的情况，最多可能有 $10^5$ 轮被完全攻破，这与声称的“累积失败严格小于1”相矛盾。
• 声称具有 $d/l \sim 10^{-24}$ 的协议可运行至宇宙年龄且失败少于一次的说法无效，因其错误地将 $d$ 应用于总位数 $l$，而非单个密钥长度。