评估双向量子直接通信协议对不可探测窃听的安全性

摘要

我们考虑双向量子密钥分发协议遭受的攻击：不可探测的窃听者在消息模式下复制所有消息。证明在此攻击下消息模式无扰动，发送方与接收方互信息恒定等于1。因此，近期双向协议的安全性证明不完整，因未覆盖此类攻击。

背景

量子密码学，特别是量子密钥分发（QKD）协议，基于量子物理特性提供理论上不可破解的通信，区别于经典密码。目前实现多基于BB84协议，在量子比特错误率（QBER）足够低时无条件安全。但BB84类协议QBER可能较高，且无法区分窃听者（Eve）翻转比特与损耗/缺陷导致的翻转，导致要求QBER足够低以处理比特往往难满足。如4态BB84扰动(D)>11%、6态BB84 D>12.6%须中止（D定义为Eve导致极化翻转百分比，最大0.5）。因D无法与固有QBER区分，这些总QBER水平不安全（Alice与Eve互信息I_AE超越Alice与Bob互信息I_AB：D>0.11,0.126时I_AE>I_AB），仅因Eve可能在线路中就无法执行。

为寻求更高效协议，提出并实现了双向协议。特别是基于两个（称ping-pong(pp)协议）和四个（Ψ^∓, Φ^∓）贝尔态的纠缠光子双向协议，以及单光子确定性Lucamarini-Mancini(LM05)协议。后者各种变体、修正和推广见文献。两种变体分别在文献[7]和[14]实现。前者pp协议2008年由Ostermeyer和Walenta实现，四贝尔态协议无法用线性光学元件实现。上述文献给出各种安全性估计。

文献[17]针对文献[1,19]提出的攻击类型给出LM05确定性QKD安全性证明，却声称是LM05无条件安全性证明。文献[10]为修正pp协议提供安全性证明，证实其在噪声损耗信道抗集体攻击安全。

所有双向协议安全性分析假设Eve在Bob→Alice和Alice→Bob两程各攻击一次，且在消息模式扰动信号。然而我们将展示，存在其他攻击：不可探测的Eve按Alice对诱饵信号的编码编码Bob的信号，稍后由Eve读取。

本文表明，在特定截获重发攻击下，不可探测Eve可获取消息模式(MM)所有消息，且Alice与Bob互信息恒等于1。这意味着无法通过评估密钥长度秘密分数的标准程序建立协议安全性。

方法

我们分析两类双向QKD协议遭受的攻击：纠缠光子和单光子协议。详述Eve在消息模式读取所有消息且保持不可探测的过程。随后进行安全性分析，计算Alice与Eve、Alice与Bob互信息作为Eve窃听可能引入扰动的函数。最终将结果应用于旨在证明双向协议无条件安全性的程序。

结果与讨论

纠缠光子双向协议

考虑基于两个贝尔态的纠缠光子双向协议（pp协议）[4]。Bob制备纠缠光子对处于某贝尔态，发送一光子给Alice，另一光子存量子存储器。Alice要么原样返回光子，要么操作使两光子进入另一贝尔态。她以此发送的贝尔态为给Bob的消息。Bob将收到光子与保留光子在分束器(BS)结合，解码Alice消息。此类消息称发送于消息模式(MM)。另有一控制模式(CM)，Alice测量Bob光子。她通过公开信道宣布模式切换及CM测量结果。

定义贝尔基为两贝尔态基：|Ψ^∓⟩ = 1/√2 (|H⟩₁|V⟩₂ ∓ |V⟩₁|H⟩₂)，其中|H⟩_i、|V⟩_i（i=1,2）表水平/垂直偏振光子态。下转换纠缠光子源产生|Ψ⁻⟩态。发送|Ψ⁻⟩态Alice直接回送光子。发送|Ψ⁺⟩态，她在光子路径放半波片(HWP(0°))，改变垂直偏振符号。Bob的BS上，|Ψ⁻⟩态光子分离，|Ψ⁺⟩态光子聚集。

Eve实施Nguyen[21]设计的攻击：先将Bob光子存量子存储器，用Bob设备副本发送Alice一对下转换光子中的|Ψ⁻⟩态光子。收到Alice返回光子后，Eve将其与另一光子结合，按Bob相同方式测定贝尔态。利用此结果在Bob光子路径放置适当HWP，为Bob生成相同贝尔态。 thus Eve能确定性复制MM中每个贝尔态消息，MM发消息等同于用CM"保护"的明文发送。稍后回到此点。

值得注意的是光子传输距离是BB84的四倍。若光子仅Bob-Alice距离被探测概率为p，则Bob-Alice-Bob距离概率为p⁴，随距离指数级损耗指数级降低Eve在CM引入扰动被探测概率。

单光子双向协议

简述LM05协议[18,19]。如图3，Bob制备量子比特于四态|0⟩、|1⟩（Pauli Z本征态）、|+⟩、|−⟩（Pauli X本征态）之一发送给Alice。MM中，她施加I（保持不变，编码逻辑0）或iY=ZX（翻转量子比特态，编码逻辑1）修改量子比特态。(iY|0⟩=−|1⟩, iY|1⟩=|0⟩, iY|+⟩=|−⟩, iY|−⟩=−|+⟩)。Alice回送量子比特，Bob用制备相同基测量，无需基协调即确定性推断Alice操作即消息。

考虑的LM05攻击由Lucamarini[18, p.61, Fig.5.5]提出，如图4。Eve用光纤线圈（量子存储器）延迟Bob光子，改发自己四态|0⟩、|1⟩、|+⟩、|−⟩之一的诱饵光子给Alice。Alice用I或iY编码消息回送。Eve用制备相同基测量，读取消息，按读取0或1对Bob延迟光子施加I或iY，回送Bob。

Eve从未知晓Bob发送态，但在MM中无关紧要，因仅偏振翻转与否编码消息。Alice也无需知Bob态[19]。Eve仅可能在CM中被揭露：Alice在Z、X基随机选择投影测量量子比特，制备相同态新量子比特回送Bob，经公开经典信道公布结果[19]。

值得注意的是LM05光子传输距离是BB84两倍。若Bob-Alice距离探测概率为p，则Bob-Alice-Bob距离为p²，Eve在CM隐藏指数级优于BB84。

双向协议安全性

BB84协议中扰动>11%时I_AE > I_AB，须中止。对我们的攻击，Eve在MM不引入扰动(D)，Alice与Bob互信息等于1。I_AB = 1。因此，与BB84不同，I_AB和I_AE非D函数，阻碍用标准方法证明安全性。

现实实现中MM中也无显著D。如Bob发|H⟩态Alice不改，Bob探测|H⟩概率接近1，无论Eve是否在线、距离远近。唯一随光纤长度相关的QBER源自探测器暗计数[28]。近期单向QKD实现250 km距离总QBER<2%[13]。利用超导转变沿传感器(TES)单光子探测器可几乎完全消除暗计数及不可控极化翻转，最高效率超98%[9,15,16]，暗计数概率几乎为零。

BB84及近乎所有近期实现或考虑实现的单向单光子协议，安全性通过临界QBER计算秘密分数评估：r = lim_{N→∞} l/n = I_AB − I_AE，l为最终密钥列表长，n为原始密钥列表长，I_AB = 1+D log₂D+(1−D)log₂(1−D)，I_AE = −D log₂D−(1−D)log₂(1−D)，交点得D=0.11。等价地，r=1+2D log₂D+2(1−D)log₂(1−D)在D=0.11降至0。

对我们的双向协议攻击，由式(2)(3)知r从非负。仅当Eve始终在线r趋近0。因D与MM无关，由Alice和Bob决定在何D中止。但无论选0≤D≤0.5，I_AB−I_AE恒非负，无BB84中I_AB(D)和I_AE(D)在MM D=0.11交叉的临界D（图5a）。对双向确定性协议，D定义于CM（非MM），不影响I_AB：D=0或D=0.5无差别（图5b）；0≤D<0.5仅意味着Eve非始终在线，但Bob总获Alice完整信息：Eve不在线因不在线，Eve在线因忠实传递Alice所有消息。

可假设Eve仅窃取部分消息以保CM QBER低水平（I_AE≤1）为Alice和Bob可接受。在此前提下，尝试对我们的攻击进行安全性评估，验证文献[1,17]针对LM05其他攻击的无条件安全性证明是否适用。

上述声称无条件的安全性证明[17]中，作者先在III.A节称Eve须攻击Bob-Alice和Alice-Bob两信道获取Alice密钥比特，在III.B节式(1,3)假设Eve读取Bob量子比特并在两信道MM引入扰动（误码率e；III.B最后段和III.F首段）。然而在考虑攻击中，Eve不测量Bob量子比特，仅存量子存储器。她发自己量子比特给Alice，读取Alice是否改变(Y或I)。再对存储的Bob量子比特施加Y或I回送。因此她不在Alice-Bob信道引入扰动，也不使用[17]中的辅助量子比特。故[17]获取密钥比特分析不适用于我们的攻击。

因此，[17]安全性证明仅适用于其考虑的攻击，不适用Lucamarini攻击，非普适，即不能视为无条件。

现在考虑能否用标准已知程序建立LM05协议安全性。协议无筛选、MM无误码率，标准纠错不可用。剩下的仅隐私放大。当Eve仅掌握部分数据，她将失去对自己比特和Alice/Bob比特的追踪。Eve可尝试猜测缺失比特重新引入哈希函数恢复数据。若失败，其信息部分被抹除。但Alice和Bob面临关键问题：设计安全程序（如哈希函数）保证Eve对最终密钥无信息。他们无BB84中显式纳入隐私放大方程的Eve临界比特量(11%)。一句话，应被"放大"的隐私未明确定义。为这种"盲目"隐私放大设计协议是复杂任务[3]，且质疑通过CM偶尔验证光子态"保护"的MM实质明文发送，是否比BB84提供优势或更好安全性。

表1列出任意攻击下BB84类协议与上述攻击下双向协议特性对比，似表明难肯定回答上述问题。

结论

综上，我们考虑了两类双向QKD确定性攻击（纠缠光子pp和单光子LM05），不可探测Eve可解码MM所有消息，证明Alice与Bob互信息非扰动函数，无论Eve是否在线恒等于1。Eve仅在CM引入扰动(D)，故假设MM有D的标准安全性评估和协议不可用。结果：无法确定临界D，标准纠错无法消除Eve信息，隐私放大效力受限，无条件安全性未被证明。某种意义上，Alice发密钥等同于发不可靠Eve存在指示器"保护"的明文，此类协议在设计出针对此类确定性攻击的新型安全程序并证明/证伪前，不应考虑实现。

强调：判断协议是否无条件安全，无关Eve能否针对选定CM扰动D实施更高效攻击。无条件安全性证明须覆盖所有攻击。