Bewertung der Sicherheit von Zwei-Wege-Quanten-Direktkommunikationsprotokollen gegen unentdeckbare Abhörangriffe

Zusammenfassung

Wir betrachten Angriffe auf Zwei-Wege-Quanten-Schlüsselverteilungsprotokolle, bei denen ein unentdeckbarer Abhörer alle Nachrichten im Nachrichtenmodus kopiert. Wir zeigen, dass unter diesen Angriffen keine Störung im Nachrichtenmodus auftritt und die gegenseitige Information zwischen Sender und Empfänger stets konstant und gleich eins ist. Daraus folgt, dass jüngste Sicherheitsbeweise für Zwei-Wege-Protokolle nicht als vollständig angesehen werden können, da sie die betrachteten Angriffe nicht abdecken.

Hintergrund

Quantenkryptographie, insbesondere Quanten-Schlüsselverteilungsprotokolle (QKD), bietet im Gegensatz zur klassischen vermutlich unknackbare Kommunikation basierend auf den quantenphysikalischen Eigenschaften der Informations-träger. Bisher basierten Implementierungenmostly auf dem BB84-Protokoll, das bedingungslos sicher ist, sofern die Quanten-Bit-Fehlerrate (QBER) niedrig genug ist. Allerdings könnte die QBER in BB84-ähnlichen Protokollen hoch sein, und da wir Abhörers (Eves) Bitflips nicht von durch Verluste und Imperfektionen verursachten Bitflips unterscheiden können, ist die Forderung nach ausreichend niedriger QBER oft schwer zu erfüllen. Zum Beispiel müssen 4-Zustands-BB84 mit mehr als 11 % und 6-Zustands-BB84 mit mehr als 12,6 % Störung (D) abgebrochen werden (D definiert als Prozentsatz der Polarisation-Flips durch Eve, Maximum 0,5). Da D nicht von der inhärenten QBER in der Leitung unterschieden werden kann, sind diese Gesamt-QBER-Niveaus unsicher (gegenseitige Information zwischen Alice und Eve I_AE übersteigt die zwischen Alice und Bob I_AB: I_AE > I_AB für D > 0,11, 0,126) und können nicht durchgeführt werden, nur weil Eve in der Leitung sein könnte.

Auf der Suche nach effizienteren Protokollen wurden Zwei-Wege-Protokolle vorgeschlagen und implementiert. Insbesondere verschränkte-Photon-Zwei-Wege-Protokolle basierend auf zwei (auch Ping-Pong (pp) Protokoll genannt) und vier (Ψ∓, Φ∓) Bell-Zuständen einerseits, und das Einzelphoton-deterministische Lucamarini-Mancini (LM05) Protokoll andererseits. Mehrere Varianten, Modifikationen und Verallgemeinerungen des letzteren sind in diversen Arbeiten gegeben. Zwei Varianten wurden implementiert. Das erstere pp-Protokoll wurde 2008 von Ostermeyer und Walenta implementiert, während das Protokoll mit vier Bell-Zuständen nicht mit linearen Optikelementen implementiert werden kann. In den genannten Referenzen wurden verschiedene Sicherheitsabschätzungen erhalten.

In einer Arbeit liefern Lu, Fung, Ma und Cai einen Sicherheitsbeweis für ein LM05 deterministisches QKD für die Art von Angriff, die in anderen Arbeiten vorgeschlagen wurde. Dennoch behaupten sie, es sei ein Beweis der bedingungslosen Sicherheit von LM05. In einer anderen Arbeit liefern Han et al. einen Sicherheitsbeweis für ein modifiziertes pp-Protokoll und beweisen dessen Sicherheit gegen kollektive Angriffe in rauschenden und verlustbehafteten Kanälen.

Alle Sicherheitsbetrachtungen von Zwei-Wege-Protokollen nehmen an, dass Eve jedes Signal zweimal angreift, einmal auf dem Weg von Bob zu Alice und später auf dem Rückweg von Alice zu Bob, und dass sie dabei das Signal im Nachrichtenmodus stört. Wie wir jedoch unten zeigen, gibt es andere Angriffe, bei denen eine unentdeckbare Eve Bobs Signale gemäß Alices Kodierung eines an sie gesendeten Täuschungssignals kodiert und später von Eve ausgelesen wird.

In diesem Papier zeigen wir, dass in Zwei-Wege-deterministichen QKD-Protokollen unter einem bestimmten Abfang-und-Weiterleit-Angriff eine unentdeckbare Eve alle Nachrichten im Nachrichtenmodus (MM) erlangen kann und die gegenseitige Information zwischen Alice und Bob konstant und gleich eins ist. Das bedeutet, dass die Sicherheit der Protokolle nicht über Standardverfahren der Bewertung des geheimen Anteils von Schlüssellängen etabliert werden kann.

Methoden

Wir analysieren die Angriffe auf zwei verschiedene Zwei-Wege-QKD-Protokolle: verschränkte-Photon- und Einzelphoton-Protokolle. Insbesondere erläutern wir das Verfahren, das Eve ermöglicht, alle Nachrichten im Nachrichtenmodus auszulesen, während sie unentdeckt bleibt. Anschließend führen wir eine Sicherheitsanalyse durch, um die gegenseitige Information zwischen Alice und Eve sowie zwischen Alice und Bob als Funktion der Störung zu berechnen, die Eve beim Abhören einführen könnte. Schließlich wenden wir die Ergebnisse auf das Verfahren an, das den Beweis der bedingungslosen Sicherheit von Zwei-Wege-Protokollen anstrebt.

Ergebnisse und Diskussion

Verschränkte-Photon-Zwei-Wege-Protokolle

Wir betrachten ein verschränktes-Photon-Zwei-Wege-Protokoll basierend auf zwei Bell-Zuständen (pp-Protokoll). Bob bereitet verschränkte Photonen in einem der Bell-Zustände vor und sendet eines der Photonen an Alice und behält das andere in einem Quanten-speicher. Alice gibt das Photon entweder unverändert zurück oder wirkt darauf ein, um beide Photonen in einen anderen Bell-Zustand zu versetzen. Die Bell-Zustände, die sie so sendet, sind ihre Nachrichten an Bob. Bob kombiniert das von Alice empfangene Photon mit dem behaltenen und dekodiert an einem Strahlteiler (BS) Alices Nachrichten. Solche Nachrichten werden als im Nachrichtenmodus (MM) gesendet bezeichnet. Es gibt auch einen Kontrollmodus (CM), in dem Alice Bobs Photon misst. Sie kündigt das Wechseln zwischen den Modi über einen öffentlichen Kanal an sowie die Ergebnisse ihrer Messungen im CM.

Wir definieren die Bell-Basis als Basis bestehend aus zwei Bell-Zuständen...

Photonenpaare im Zustand |Ψ⁻⟩ werden durch eine down-converted verschränkte Photonenquelle erzeugt. Um |Ψ⁻⟩ zu senden, gibt Alice ihr Photon einfach an Bob zurück. Um |Ψ⁺⟩ zu senden, legt sie eine Halbwellenplatte (HWP(0°)) in den Pfad ihres Photons, wie in Abb. 1b gezeigt. Die HWP ändert das Vorzeichen der vertikalen Polarisation. An Bobs BS werden Photonen im Zustand |Ψ⁻⟩ aufgespalten und jene im Zustand |Ψ⁺⟩ gebündelt.

Eve führt ihren Angriff, entworfen von Nguyen, wie folgt aus: Sie legt zunächst Bobs Photon in einen Quantenspeicher und nutzt eine Kopie von Bobs Gerät, um Alice ein Photon aus einem down-converted Paar im Zustand |Ψ⁻⟩ zu senden, wie in Abb. 2 gezeigt. Wenn Eve das Photon von Alice erhält, kombiniert sie es mit dem anderen Photon aus dem Paar und bestimmt den Bell-Zustand auf dieselbe Weise wie Bob. Sie nutzt dieses Ergebnis, um denselben Bell-Zustand für Bob zu erzeugen, indem sie die entsprechenden HWPs in den Pfad von Bobs Photon legt.

Daher ist Eve in der Lage, jede einzelne Nachricht im MM zu kopieren, sodass das Senden von Nachrichten im MM äquivalent zum Senden von Klartext ist, „gesichert“ durch CM. Wir kommen später darauf zurück.

Hier betonen wir, dass Photonen die vierfache Distanz zurücklegen wie in BB84. Wenn die Wahrscheinlichkeit, ein Photon nur über die Bob-Alice-Distanz zu detektieren, p ist, wird die Detektionswahrscheinlichkeit über Bob-Alice-Bob-Distanz p⁴ sein, was mit exponentiell zunehmenden Verlusten über Distanz auch die Detektionswahrscheinlichkeit der von Eve im CM eingeführten Störung exponentiell verringert.

Einzelphoton-Zwei-Wege-Protokolle

Wir beginnen mit einer kurzen Darstellung des LM05-Protokolls. Wie in Abb. 3 gezeigt, bereitet Bob ein Qubit in einem der vier Zustände |0⟩, |1⟩ (Pauli Z-Eigenzustände), |+⟩ oder |−⟩ (Pauli X-Eigenzustände) vor und sendet es an Alice. Im MM modifiziert sie den Qubit-Zustand durch Anwenden von entweder I, was das Qubit unverändert lässt und logisches 0 kodiert, oder iY = ZX, was den Qubit-Zustand flippt und logisches 1 kodiert. Alice sendet das Qubit nun zurück an Bob, der es in derselben Basis misst, in der er es präparierte, und deterministisch Alices Operationen, also ihre Nachrichten, ohne Basis-Abstimmungsverfahren ableitet.

Der auf das LM05-Protokoll betrachtete Angriff wurde von Lucamarini vorgeschlagen und ist in Abb. 4 dargestellt. Eve verzögert Bobs Photon (Qubit) in einer Faser-Spule (einem Quantenspeicher) und sendet stattdessen ihr eigenes Täuschungsphoton in einem der vier Zustände |0⟩, |1⟩, |+⟩ oder |−⟩ an Alice. Alice kodiert ihre Nachricht via I oder iY und sendet das Photon zurück. Eve misst es in derselben Basis, in der sie es präparierte, liest die Nachricht aus, kodiert Bobs verzögertes Photon via I, wenn sie 0 las, oder via iY, wenn sie 1 las, und sendet es zurück an Bob.

Eve lernt niemals die Zustände, in denen Bob seine Photonen sendete, aber das ist im MM irrelevant, da nur Polarisation-Flip oder Nicht-Flip Nachrichten kodieren. Alice muss Bobs Zustände auch nicht kennen. Das bedeutet, Eve könnte nur im CM enthüllt werden, in dem Alice eine projektive Messung des Qubits entlang einer zufällig zwischen Z und X gewählten Basis durchführt, ein neues Qubit im gleichen Zustand wie das Messergebnis präpariert, es an Bob zurücksendet und dies über einen klassischen öffentlichen Kanal offenlegt.

Hier sei betont, dass Photonen im LM05 die doppelte Distanz wie in BB84 zurücklegen. Wenn die Detektionswahrscheinlichkeit über Bob-Alice-Distanz p ist, wird sie über Bob-Alice-Bob p² sein, und Eve könnte sich im CM exponentiell besser verstecken als in BB84.

Sicherheit von Zwei-Wege-Protokollen

In einem BB84-Protokoll mit mehr als 11 % Störung ist die gegenseitige Information zwischen Alice und Eve I_AE höher als I_AB zwischen Alice und Bob, und man muss abbrechen.

Für unsere Angriffe gibt es keine Störung (D), die Eve im MM induziert, und die gegenseitige Information zwischen Alice und Bob ist gleich eins. Daher sind I_AB und I_AE im Gegensatz zu BB84 keine Funktionen von D, was verhindert, die Sicherheit mit dem Standardansatz zu beweisen.

Auch in realistischer Implementierung gibt es keine signifikante D im MM. Wenn Bob z.B. ein Photon im |H⟩-Zustand sendet und Alice es nicht ändert, detektiert Bob |H⟩ mit Wahrscheinlichkeit nahe 1, mit oder ohne Eve, und unabhängig von Distanz. Die einzige QBER, die von der Faserverlänger abhängt, stammt von Dunkelzählern der Detektoren. In einer jüngsten Implementierung eines Einweg-QKD lag die Gesamt-QBER unter 2 % über 250 km. Wir können Dunkelzähler praktisch vollständig eliminieren und damit unkontrollierte Polarisation-Flips durch supraleitende Transition-Edge-Sensor (TES) Photonendetektoren. Deren höchste Effizienz liegt aktuell über 98 %, und ihre Dunkelzählerwahrscheinlichkeit ist praktisch null.

Für BB84 und praktisch alle Einweg-Einzelphoton-Protokolle wird die Sicherheit über den kritischen QBER durch Berechnung des geheimen Anteils bewertet...

Wir haben diese Option für unsere Angriffe auf Zwei-Wege-Protokolle nicht, da aus den Gleichungen folgt, dass r niemals negativ ist. Tatsächlich nähert es sich 0 nur, wenn Eve die ganze Zeit in der Leitung ist.

Da D in keiner Weise mit dem MM-Modus verknüpft ist, liegt es an Alice und Bob, nach welchem D sie ihre Übertragung abbrechen. Welches 0≤D≤0,5 sie auch wählen, I_AB − I_AE wird immer nicht-negativ sein, und sie werden keinen kritischen D haben wie in BB84, wo sich die Kurven I_AB(D) und I_AE(D) für D=0,11 im MM schneiden. Für Zwei-Wege-deterministische Protokolle hat das Niveau von D, das im CM (und nicht im MM) definiert ist, keinen Einfluss auf I_AB; es gibt keinen Unterschied ob D=0 oder D=0,5. 0≤D<0,5 würde nur bedeuten, dass Eve nicht die ganze Zeit in der Leitung ist, aber Bob erhält immer volle Information von Alice: wenn Eve nicht in der Leitung ist, weil sie nicht in der Leitung ist, und wenn Eve in der Leitung ist, weil sie Alices Nachrichten treu an Bob weiterleitet.

Wir können annehmen, dass Eve nur einen Teil der Nachrichten abfängt, um die QBER im CM auf niedrigem Niveau zu halten (und I_AE ≤ 1), was für Alice und Bob akzeptabel wäre. Damit im Hinterkopf können wir versuchen, die Sicherheitsbewertung für unseren Angriff durchzuführen und zu verifizieren, ob die Beweise bedingungsloser Sicherheit für andere Angriffsarten auf LM05 auch darauf anwendbar sein könnten.

In dem genannten Sicherheitsbeweis, der als bedingungslos beansprucht wird, behaupten die Autoren zuerst, Eve müsse die Qubits in sowohl Bob-Alice- als auch Alice-Bob-Kanal angreifen, um Alices Schlüsselbits zu erlangen, und nehmen an, Eve lese Bobs Qubit aus und induziere Störung im MM in beiden Kanälen. In den betrachteten Angriffen misst Eve jedoch nicht Bobs Qubits. Sie speichert sie nur in einem Quantenspeicher. Sie sendet ihre eigenen Qubits an Alice und liest aus, ob sie diese änderte (Y) oder nicht (I). Dann wendet sie Y oder I auf Bobs gespeicherte Qubits an und sendet sie zurück. Folglich induziert sie keine Störung im Alice-Bob-Kanal. Auch nutzt sie keine Ancillas. Daher ist die Analyse der Schlüsselerlangung in jenem Beweis auf unseren Angriff nicht anwendbar.

Da der in jenem Beweis präsentierte Sicherheitsbeweis nur auf den dort betrachteten Angriff anwendbar ist und nicht auf den oben genannten Lucamarini-Angriff, ist er nicht universell, d.h., er kann nicht als bedingungslos angesehen werden.

Betrachten wir nun, ob ein Standardverfahren zur Etablierung der Sicherheit des LM05-Protokolls verwendet werden kann. Im Protokoll haben wir weder Sifting noch Fehlerrate im MM. So kann auch die Standard-Fehlerkorrektur nicht angewendet werden.

Das einzige verbleibende Verfahren ist die Privatsphärenverstärkung. Wenn Eve nur einen Bruchteil der Daten besitzt, verliert sie die Spur ihrer Bits und Alices und Bobs schrumpfen. Eve könnte Daten durch Raten der fehlenden Bits und Wiedereinführung in die Hash-Funktion wiederherstellen. Wenn erfolglos, wird ihre Information teilweise gelöscht. Alice und Bob begegnen jedoch einem entscheidenden Problem beim Design ihres Sicherheitsverfahrens (z.B. Hash-Funktion), das garantieren würde, dass Eve keine Information über den endgültigen Schlüssel behält. Sie haben keine kritische Menge von Eves Bits wie in BB84 (11 %), die explizit in die Gleichungen der Privatsphärenverstärkung eingehen.

Kurz gesagt, die zu verstärkende Privatsphäre ist nicht wohl definiert. Ein Protokoll für eine solche „blinde“ Privatsphärenverstärkung zu entwerfen ist komplex, und es ist fraglich, ob das Senden von – effektiv – Klartext via MM, gesichert durch gelegentliche Verifikation von Photonenzuständen im CM, irgendeinen Vorteil oder bessere Sicherheit als BB84 bietet.

In Tabelle 1 listen wir Eigenschaften eines BB84-ähnlichen Protokolls unter beliebigem Angriff vs. Zwei-Wege-Protokolle unter den obigen Angriffen auf, was andeutet, dass es schwer wäre, die Frage positiv zu beantworten.

Fazit

Zusammenfassend betrachteten wir deterministische Angriffe auf zwei Arten von Zwei-Wege-QKD-Protokollen (pp mit verschränkten Photonen und LM05 mit Einzelphotonen), bei denen eine unentdeckbare Eve alle Nachrichten im Nachrichtenmodus (MM) dekodieren kann, und zeigten, dass die gegenseitige Information zwischen Alice und Bob keine Funktion der Störung ist, sondern gleich eins, egal ob Eve in der Leitung ist oder nicht. Eve induziert Störung (D) nur im Kontrollmodus (CM), und daher sind der Standardansatz und Protokolle zur Abschätzung und Berechnung der Sicherheit nicht verfügbar, da sie alle die Anwesenheit von D im MM voraussetzen. Als Ergebnis kann kein kritischer D bestimmt werden, das Standard-Fehlerkorrekturverfahren kann nicht zur Eliminierung von Eves Information angewendet werden, die Effizienz der Privatsphärenverstärkung ist beschnitten, und die bedingungslose Sicherheit kann nicht als bewiesen gelten. In gewisser Weise ist Alices Senden des Schlüssels äquivalent zum Senden eines unverschlüsselten Klartextes, „gesichert“ durch einen unzuverlässigen Indikator für Eves Anwesenheit, und solche Protokolle können nicht für Implementierungen in Betracht gezogen werden, zumindest nicht bevor man beweist oder widerlegt, dass neuartige Sicherheitsverfahren für solche deterministischen Angriffe entworfen werden können.

Wir betonen, dass für die Entscheidung, ob ein Protokoll bedingungslos sicher ist oder nicht, irrelevant ist, ob Eve Angriffe durchführen kann, die effizienter sind als die oben betrachteten, für ein gewähltes D in CM. Ein Beweis bedingungsloser Sicherheit sollte sie alle abdecken.