Avaliação da Segurança de Protocolos de Comunicação Quântica Direta de Duas Vias Contra Escuta Indetectável

Resumo

Consideramos ataques a protocolos de distribuição quântica de chaves de duas vias nos quais um espião indetectável copia todas as mensagens no modo de mensagem. Mostramos que sob esses ataques, não há perturbação no modo de mensagem e que a informação mútua entre remetente e receptor é sempre constante e igual a um. Consequentemente, provas recentes de segurança para protocolos de duas vias não podem ser consideradas completas, pois não cobrem os ataques considerados.

Introdução

Criptografia quântica, em particular protocolos de distribuição quântica de chaves (QKD), oferece, em contraste com a clássica, comunicação provavelmente inquebrável baseada nas propriedades quânticas dos portadores de informação. Até agora, implementações basearam-se principalmente no protocolo BB84, incondicionalmente seguro desde que a taxa de erro quântico (QBER) seja baixa o suficiente. No entanto, QBER em protocolos tipo BB84 pode ser alta, e como não podemos discriminar inversões de bit do espião (Eve) de inversões causadas por perdas e imperfeições, a exigência de QBER baixa para processamento dos bits é frequentemente difícil de satisfazer. Protocolos de duas vias foram propostos e implementados em busca de maior eficiência. Em particular, protocolos de fótons entrelaçados de duas vias baseados em dois (também chamado protocolo ping-pong (pp)) e quatro estados de Bell, por um lado, e protocolo determinístico de fóton único Lucamarini-Mancini (LM05), por outro. Várias variedades, modificações e generalizações deste último são dadas em referências. Duas variedades foram implementadas. O protocolo pp foi implementado por Ostermeyer e Walenta em 2008, enquanto o protocolo com quatro estados de Bell não pode ser implementado com óptica linear. Nas referências mencionadas, várias estimativas de segurança foram obtidas.

Em [17], Lu, Fung, Ma e Cai fornecem prova de segurança de QKD determinístico LM05 para o tipo de ataque proposto em [1, 19]. No entanto, alegam ser prova de segurança incondicional do LM05. Em [10], Han et al. fornecem prova de segurança para protocolo pp modificado e provam sua segurança contra ataques coletivos em canal ruidoso e com perdas.

Todas considerações de segurança de protocolos de duas vias assumem que Eve ataca cada sinal duas vezes, uma na ida de Bob para Alice, e depois na volta de Alice para Bob, perturbando o sinal no modo de mensagem. No entanto, como mostramos abaixo, existem outros ataques nos quais uma Eve indetectável codifica os sinais de Bob de acordo com a codificação de Alice de um sinal isca enviado a ela e depois lido por Eve.

Neste artigo, mostramos que em protocolos QKD determinísticos de duas vias sob um ataque particular de interceptação e reenvio, uma Eve indetectável pode adquirir todas as mensagens no modo de mensagem (MM) e que a informação mútua entre Alice e Bob é constante e igual a um. Isso significa que a segurança dos protocolos não pode ser estabelecida via procedimentos padrão de avaliação da fração secreta de comprimentos de chave.

Métodos

Analisamos ataques em dois diferentes protocolos QKD de duas vias: de fótons entrelaçados e de fóton único. Em particular, elaboramos o procedimento que permite a Eve ler todas as mensagens no modo de mensagem enquanto permanece indetectável. Subsequentemente, realizamos análise de segurança para calcular informação mútua entre Alice e Eve, bem como entre Alice e Bob, como função da perturbação que Eve possa introduzir ao escutar. Eventualmente, aplicamos resultados obtidos no procedimento que visa provar segurança incondicional de protocolos de duas vias.

Resultados e Discussão

Protocolos de Duas Vias com Fótons Entrelaçados

Consideramos protocolo de duas vias com fótons entrelaçados baseado em dois estados de Bell (protocolo pp). Bob prepara fótons entrelaçados em um dos estados de Bell e envia um dos fótons a Alice e mantém o outro em memória quântica. Alice ou devolve o fóton como está ou atua sobre ele para colocar ambos fótons em outro estado de Bell. Os estados de Bell que ela envia são suas mensagens a Bob. Bob combina o fóton que recebe de Alice com o que guardou, e em um divisor de feixe (BS), decodifica as mensagens de Alice. Tais mensagens são ditas enviadas em modo de mensagem (MM). Há também modo de controle (CM) no qual Alice mede fóton de Bob. Ela anuncia troca entre modos via canal público assim como resultados de suas medições em CM.

Definimos base de Bell como base consistindo de dois estados de Bell

$$\begin{array}{@{}rcl@{}} |\Psi^{\mp}\rangle=\frac{1}{\sqrt{2}}(|H\rangle_{1}|V \rangle_{2}\mp|V\rangle_{1}|H\rangle_{2}), \end{array} $$ (1)

onde |H〉 _i (|V〉 _i ), i=1,2, representam estados de fóton polarizados horizontal (vertical).

Pares de fótons no estado |Ψ ⁻〉 são gerados por fonte de fótons entrelaçados de conversão descendente. Para enviar |Ψ ⁻〉 Alice apenas devolve seu fóton a Bob. Para enviar |Ψ ⁺〉, ela coloca meia-onda (HWP(0°)) no caminho de seu fóton, como mostrado na Fig. 1b. HWP muda sinal da polarização vertical.

No BS de Bob, fótons no estado |Ψ ⁻〉 se separam e os no estado |Ψ ⁺〉 se agrupam.

Eve realiza seu ataque, projetado por Nguyen [21], da seguinte forma: Ela primeiro coloca fóton de Bob em memória quântica e usa cópia do dispositivo de Bob para enviar a Alice fóton de par de conversão descendente no estado |Ψ ⁻〉 como mostrado na Fig. 2. Quando Eve recebe fóton de Alice, combina com o outro fóton do par e determina estado de Bell da mesma forma que Bob. Usa este resultado para gerar mesmo estado de Bell para Bob colocando HWPs apropriados no caminho do fóton de Bob.

Assim, Eve copia toda mensagem em MM e portanto envio de mensagens em MM equivale a envio de texto plano "seguro" por CM. Voltaremos a este ponto depois.

Aqui, ressaltamos que fótons percorrem quatro vezes a distância que percorrem no BB84. Se probabilidade de fóton ser detectado sobre apenas distância Bob-Alice é p, probabilidade de ser detectado sobre distância Bob-Alice-Bob será p ⁴, o que com perdas exponencialmente crescentes com distância também diminui exponencialmente a probabilidade de detectar perturbação que Eve introduz em CM.

Protocolos de Duas Vias com Fóton Único

Iniciamos com breve apresentação do protocolo LM05 [18, 19]. Como mostrado na Fig. 3, Bob prepara qubit em um dos quatro estados |0〉, |1〉 (autovalores de Pauli Z), |+〉, ou |−〉 (autovalores de Pauli X) e envia a Alice. No MM, ela modifica estado do qubit aplicando I, que deixa qubit inalterado e codifica lógico 0, ou aplicando i Y=Z X, que inverte estado do qubit e codifica lógico 1. Alice envia qubit de volta a Bob que mede na mesma base em que preparou e infere deterministicamente operações de Alice, ou seja, suas mensagens, sem procedimento de reconciliação de base.

O ataque no protocolo LM05 que consideramos é proposto por Lucamarini em [18, p. 61, Fig. 5.5]. Mostrado na Fig. 4. Eve atrasa fóton de Bob (qubit) em carretel de fibra (memória quântica) e envia seu próprio fóton isca em um dos quatro estados |0〉, |1〉, |+〉, ou |−〉 a Alice. Alice codifica mensagem via I ou i Y e envia fóton de volta. Eve mede na mesma base em que preparou, lê mensagem, codifica fóton atrasado de Bob via I se leu 0, ou via i Y se leu 1, e envia de volta a Bob.

Eve nunca aprende estados em que Bob enviou seus fótons mas isso é irrelevante no MM já que apenas inversão de polarização ou não codificam mensagens. Alice também não precisa saber estados de Bob [19]. Isso significa que Eve só poderia ser revelada em CM no qual Alice realiza medição projetiva do qubit base aleatoriamente escolhida entre Z e X, prepara novo qubit no mesmo estado do resultado da medição, envia de volta a Bob, e revela isso via canal público clássico [19], como mostrado na Fig. 4.

Aqui, deve-se ressaltar que fótons no LM05 percorrem duas vezes a distância do BB84. Se probabilidade de fóton ser detectado sobre apenas distância Bob-Alice é p, probabilidade sobre Bob-Alice-Bob será p ² e Eve poderia se esconder em CM exponencialmente melhor que no BB84.

Segurança de Protocolos de Duas Vias

No protocolo BB84 com mais 11 % de perturbação, informação mútua entre Alice e Eve I _AE é maior que entre Alice e Bob I _AB e deve-se abortar.

Para nossos ataques, não há perturbação (D) que Eve induz em MM e informação mútua entre Alice e Bob é igual a unidade.

$$\begin{array}{@{}rcl@{}} I_{\text{AB}}=1. \end{array} $$ (2)

Portanto, diferente do BB84, I _AB e I _AE não são funções de D e isso impede provar segurança usando abordagem padrão.

Também, em implementação realista, não há D significativo em MM. Quando Bob envia fóton em estado |H〉 e Alice não muda, Bob detectará |H〉 com probabilidade próxima a 1, com ou sem Eve, independentemente de distância. Único QBER dependente de comprimento de fibra é o que provém de contagens escuras de detectores. Em implementação recente de QKD de uma via, QBER total foi abaixo de 2 % sobre 250 km. Podemos praticamente eliminar contagens escuras, e portanto inversões de polarização não controladas, usando detectores de fóton de sensor de borda de transição supercondutor (TES). Maior eficiência desses detectores atualmente >98 %, e probabilidade de contagem escura praticamente zero.

Para BB84, e praticamente todos protocolos de fóton único de uma via recentemente implementados ou considerados, segurança avaliada via QBER crítico calculando fração secreta

$$\begin{array}{@{}rcl@{}} r={\lim}_{N\to\infty}\frac{l}{n}=I_{\text{AB}} - I_{\text{AE}} \end{array} $$ (3)

onde l comprimento da lista fazendo chave final e n comprimento da lista fazendo chave bruta, I _AB=1+D log2D+(1−D) log2(1−D) e I _AE=−D log2D−(1−D) log2(1−D) e sua interseção resulta D=0,11. Equivalentemente, r=1+2D log2D+2(1−D) log2(1−D) cai a 0 quando D atinge 0,11.

Não temos tal opção para nossos ataques em protocolos de duas vias pois segue das Eqs. (2) e (3) que r nunca é negativo. Na verdade, aproxima-se de 0 apenas quando Eve está na linha o tempo todo.

Como D não relacionado a modo MM de forma alguma, cabe a Alice e Bob decidir após qual D abortariam transmissão. Qualquer 0≤D≤0,5 que escolham, I _AB−I _AE será sempre não-negativo, e não terão D crítico como no BB84 onde curvas I _AB(D) e I _AE(D) intersectam para D=0,11 em MM como mostrado na Fig. 5a. Para protocolos determinísticos de duas vias, nível de D, definido em CM (e não em MM), não afeta I _AB, ou seja, não há diferença se D=0 ou D=0,5, como mostrado na Fig. 5b; 0≤D<0,5 apenas significa que Eve não está na linha o tempo todo, mas Bob sempre obtém informação completa de Alice: quando Eve não está na linha, porque ela não está, e quando Eve está na linha, porque ela passa fielmente todas mensagens de Alice a Bob.

Podemos assumir que Eve captura apenas parte das mensagens para manter QBER em CM em nível baixo (e ter I _AE≤1) aceitável a Alice e Bob. Com isso, tentamos avaliação de segurança para nosso ataque e verificar se provas de segurança incondicional para outro tipo de ataque no LM05 em [1, 17] poderiam aplicar-se também.

Na prova de segurança mencionada [17], alegada incondicional, autores primeiro, na Sec. III.A, alegam que Eve tem que atacar qubits em ambos canais Bob-Alice e Alice-Bob para ganhar bits de chave de Alice, e na Sec. III.B, Eq. (1,3), assumem que Eve lê qubit de Bob e induz perturbação no modo de mensagem em ambos canais (taxa de erro e; último parágrafo Sec. III.B e primeiro parágrafo Sec. III.F).

No entanto, nos ataques considerados, Eve não mede qubits de Bob. Ela apenas os armazena em memória quântica. Envia seus próprios qubits a Alice e lê se ela os mudou (Y) ou não (I). Então aplica Y ou I aos qubits de Bob armazenados e envia de volta. Consequentemente, ela não induz perturbação no canal Alice-Bob, tampouco. Também não usa ancilas como em [17]. Portanto, análise de obtenção de bits de chave em [17] é inaplicável ao nosso ataque.

Portanto, como prova de segurança em [17] aplica-se apenas ao ataque considerado nela e não ao ataque de Lucamarini acima, não é universal, ou seja, não pode ser considerada incondicional.

Vamos considerar se algum procedimento padrão conhecido pode estabelecer segurança do protocolo LM05. No protocolo, não temos nem peneiração nem taxa de erro no modo de mensagem. Então reconciliação de erro padrão não pode ser aplicada.

Único procedimento restante para estabelecer segurança é amplificação de privacidade. Quando Eve possui apenas fração de dados, ela perde rastro de seus bits e os de Alice e Bob encolhem. Eve pode recuperar dados adivinhando bits que falta e reintroduz todos bits novamente na função hash. Se mal sucedida, sua informação será parcialmente apagada. No entanto, Alice e Bob enfrentam problema crucial ao projetar procedimento de segurança (ex: função hash) que garanta que Eve fique sem informação sobre chave final. Eles não têm quantidade crítica de bits de Eve como no BB84 (11 %) explicitamente incluída nas equações de amplificação de privacidade [3].

Em suma, a privacidade que deve ser amplificada não está bem definida. Projetar protocolo para tal amplificação de privacidade "cega" é empreitada complexa [3], e é questão se envio de — em efeito — texto plano via MM seguro por verificação ocasional de estados de fóton em CM oferece vantagem ou segurança melhor que BB84.

Na Tabela 1, listamos propriedades de protocolo tipo BB84 sob ataque arbitrário vs. protocolos de duas vias sob ataques acima, que parecem indicar que seria difícil responder positivamente à questão acima.

Conclusões

Resumindo, consideramos ataques determinísticos em dois tipos de protocolos QKD de duas vias (pp com fótons entrelaçados e LM05 com fótons únicos) nos quais uma Eve indetectável pode decodificar todas mensagens no modo de mensagem (MM) e mostramos que informação mútua entre Alice e Bob não é função de perturbação mas igual a unidade não importa se Eve está na linha ou não. Eve induz perturbação (D) apenas no modo de controle (CM) e portanto abordagem padrão e protocolos para estimar e calcular segurança não estão disponíveis pois todos assumem presença de D em MM. Como resultado, D crítico não pode ser determinado, procedimento padrão de correção de erro não pode ser aplicado para eliminação de informação de Eve, eficiência de amplificação de privacidade é reduzida, e segurança incondicional não pode ser considerada provada. De certa forma, envio de chave por Alice equivale a envio de texto plano não criptografado "seguro" por indicador não confiável de presença de Eve e tais protocolos não podem ser considerados para implementação pelo menos não antes que se prove ou refute que novo tipo de procedimentos de segurança para tais ataques determinísticos pode ser projetado.

Ressaltamos que para decidir se protocolo é incondicionalmente seguro ou não, é irrelevante se Eve pode realizar ataques mais eficientes que os considerados acima, para um D escolhido em CM. Prova de segurança incondicional deve cobrir todos.

Histórico de Alterações