양방향 양자 직접 통신 프로토콜의 탐지 불가능한 도청 공격에 대한 보안성 평가

요약

메시지 모드에서 모든 메시지를 복사하는 탐지 불가능한 도청자가 존재하는 양방향 양자 키 분배 프로토콜에 대한 공격을 고려합니다. 이러한 공격 하에서 메시지 모드에는 교란이 없으며, 송신자와 수신자 간의 상호 정보량은 항상 일정하고 1과 같습니다. 따라서 고려된 공격을 다루지 않기 때문에 양방향 프로토콜에 대한 최근 보안 증명은 완전하다고 볼 수 없습니다.

배경

양자 암호학, 특히 양자 키 분배(QKD) 프로토콜은 고전적 암호와 달리 정보 전달체의 양자 물리적 특성에 기반하여 아마도 깨지지 않는 통신을 제공합니다[8,23,25]. 지금까지 구현은 대부분 BB84 프로토콜[2]에 기반했으며, 양자 비트 오류율(QBER)이 충분히 낮으면 무조건적으로 안전합니다. 그러나 BB84류 프로토콜에서 QBER이 높을 수 있으며, 도청자(Eve)의 비트 플립을 손실과 결함으로 인한 비트 플립과 구별할 수 없기 때문에, 비트 처리를 위한 충분히 낮은 QBER 요구사항을 만족하기 어려운 경우가 많습니다. 예를 들어 4상태 BB84는 11% 이상[26], 6상태 BB84[5]는 12.6% 이상[26]의 교란(D)이 있으면 중단해야 합니다(D는 Eve에 의한 편광 플립 비율, 최대 0.5). D를 라인의 고유 QBER과 구별할 수 없으므로, 이러한 총 QBER 수준은 안전하지 않습니다(Alice와 Eve 간 상호 정보량 I_AE가 Alice와 Bob 간 상호 정보량 I_AB를 초과: D>0.11,0.126에서 I_AE>I_AB). 따라서 Eve가 라인에 있을 수 있다는 이유만으로 수행할 수 없습니다.

더 효율적인 프로토콜을 찾아 양방향 프로토콜이 제안되고 구현되었습니다. 특히 두 개[4](핑퐁(pp) 프로토콜이라고도 함)와 네 개(Ψ^∓, Φ^∓)[6]의 벨 상태를 기반으로 한 얽힌 광자 양방향 프로토콜, 그리고 단일 광자 결정적 Lucamarini-Mancini(LM05) 프로토콜[1,19]이 있습니다. 후자의 다양한 변형, 수정, 일반화는 [11,12,24,27]에 제시되어 있으며, 두 가지 변형이 [7]과 [14]에서 구현되었습니다. 전자 pp 프로토콜은 Ostermeyer와 Walenta가 2008년에 구현했습니다[22] 반면 네 개 벨 상태 프로토콜은 선형 광학 소자로 구현할 수 없습니다[20,29]. 위 참고문헌에서 다양한 보안 추정이 얻어졌습니다.

[17]에서 Lu, Fung, Ma, Cai는 [1,19]에서 제안된 공격 유형에 대한 LM05 결정적 QKD의 보안 증명을 제공하지만, 이를 LM05의 무조건적 보안 증명이라고 주장합니다. [10]에서 Han, Yin, Li, Chen, Wang, Guo, Han은 수정된 pp 프로토콜에 대한 보안 증명을 제공하고 잡음 및 손실 채널에서 집단 공격에 대한 보안을 증명합니다.

양방향 프로토콜의 모든 보안 고려는 Eve가 각 신호를 두 번 공격한다고 가정합니다: Bob에서 Alice로 가는 도중 한 번, Alice에서 Bob으로 돌아오는 도중 한 번. 그리고 그렇게 함으로써 메시지 모드에서 신호를 교란시킵니다. 그러나 아래에서 보이듯이, 탐지 불가능한 Eve가 Bob의 신호를 Alice의 디코이 신호 인코딩에 따라 인코딩하고 나중에 Eve가 읽는 다른 공격이 존재합니다.

본 논문에서는 특정 인터셉트-리센드 공격 하에서 양방향 결정적 QKD 프로토콜에서 탐지 불가능한 Eve가 메시지 모드(MM)의 모든 메시지를 획득할 수 있고, Alice와 Bob 간의 상호 정보량이 상수 1과 같음을 보입니다. 이는 표준 비밀 키 길이 비율 평가 절차로는 프로토콜의 보안을 확립할 수 없음을 의미합니다.

방법

얽힌 광자와 단일 광자 두 가지 양방향 QKD 프로토콜에 대한 공격을 분석합니다. 특히 Eve가 메시지 모드에서 모든 메시지를 읽으면서 탐지 불가능하게 유지하는 절차를 자세히 설명합니다. 이후 Eve가 도청하면서 유발할 수 있는 교란(D)의 함수로 Alice-Eve 간 상호 정보량과 Alice-Bob 간 상호 정보량을 계산하는 보안 분석을 수행합니다. 마지막으로, 양방향 프로토콜의 무조건적 보안을 증명하려는 절차에 얻은 결과를 적용합니다.

결과 및 논의

얽힌 광자 양방향 프로토콜

두 벨 상태 기반 얽힌 광자 양방향 프로토콜(pp 프로토콜)[4]을 고려합니다. Bob은 두 벨 상태 중 하나로 얽힌 광자 쌍을 준비하고 한 광자를 Alice에게 보내고 다른 하나는 양자 메모리에 보관합니다. Alice는 광자를 그대로 반환하거나 두 광자를 다른 벨 상태로 만들도록 작용합니다. 이렇게 보내는 벨 상태가 Bob에게 보내는 메시지입니다. Bob은 Alice로부터 받은 광자와 보관한 광자를 결합하고 빔 스플리터(BS)에서 Alice의 메시지를 디코딩합니다. 이러한 메시지는 메시지 모드(MM)에서 전송된다고 합니다. 또한 Alice가 Bob의 광자를 측정하는 제어 모드(CM)가 있습니다. 그녀는 공개 채널을 통해 모드 전환과 CM에서의 측정 결과를 알립니다.

벨 기저를 두 벨 상태로 구성된 기저로 정의합니다:

$$\begin{array}{@{}rcl@{}} |\Psi^{\mp}\rangle=\frac{1}{\sqrt{2}}(|H\rangle_{1}|V \rangle_{2}\mp|V\rangle_{1}|H\rangle_{2}), \end{array} $$ (1)

여기서 |H〉_i (|V〉_i), i=1,2는 수평(수직) 편광 광자 상태를 나타냅니다.

|Ψ^-〉 상태의 광자 쌍은 하향 변환 얽힌 광자 소스에서 생성됩니다. |Ψ^-〉 상태를 보내기 위해 Alice는 광자를 그대로 Bob에게 반환합니다. |Ψ⁺〉를 보내기 위해 그녀는 광자 경로에 반파장판(HWP(0°))을 놓습니다(Fig. 1b 참조). HWP는 수직 편광의 부호를 바꿉니다.

Bob의 BS에서 |Ψ^-〉 상태의 광자는 분할되고 |Ψ⁺〉 상태의 광자는 뭉칩니다.

Eve는 Nguyen[21]이 설계한 공격을 수행합니다: 그녀는 먼저 Bob의 광자를 양자 메모리에 넣고 Bob의 장치 사본을 사용하여 Alice에게 |Ψ^-〉 상태의 하향 변환 쌍 광자를 보냅니다(Fig. 2 참조). Eve가 Alice로부터 광자를 받으면, 다른 쌍 광자와 결합하여 Bob과 같은 방식으로 벨 상태를 결정합니다. 이 결과를 사용하여 Bob의 광자 경로에 적절한 HWP를 놓아 Bob에게 동일한 벨 상태를 생성합니다.

따라서 Eve는 pp 프로토콜의 메시지 모드에서 모든 벨 상태 메시지를 결정적으로 복사할 수 있습니다. 따라서 MM에서의 메시지 전송은 CM에 의해 "보안된" 평문 전송과 동등합니다. 이 점을 나중에 다시 다룹니다.

여기서 광자는 BB84에서 커버하는 거리의 4배를 이동합니다. Bob-Alice 거리에 대한 광자 검출 확률이 p라면, Bob-Alice-Bob 거리에 대한 검출 확률은 p⁴가 되어 거리에 따라 기하급수적으로 증가하는 손실로 Eve가 CM에서 유발하는 교란 검출 확률도 기하급수적으로 감소합니다.

단일 광자 양방향 프로토콜

LM05 프로토콜[18,19]을 간략히 제시합니다. Fig. 3과 같이 Bob은 |0〉, |1〉(파울리 Z 고유상태), |+〉, |-〉(파울리 X 고유상태) 중 하나의 상태로 큐비트를 준비하여 Alice에게 보냅니다. MM에서 그녀는 큐비트 상태를 I(큐비트 불변, 논리 0 인코딩) 또는 iY=ZX(큐비트 상태 플립, 논리 1 인코딩) 적용으로 수정합니다. (iY|0〉=-|1〉, iY|1〉=|0〉, iY|+〉=|-〉, iY|-〉=-|+〉.) Alice는 이제 큐비트를 Bob에게 다시 보내고, Bob은 준비한 것과 같은 기저에서 측정하여 기저 조정 절차 없이 Alice의 연산, 즉 메시지를 결정적으로 추론합니다.

우리가 고려하는 LM05 프로토콜 공격은 Lucamarini[18, p.61, Fig.5.5]가 제안한 것으로 Fig. 4에 나와 있습니다. Eve는 Bob의 광자(큐비트)를 광섬유 스풀(양자 메모리)에 지연시키고, 대신 자신의 디코이 광자를 |0〉, |1〉, |+〉, |-〉 네 상태 중 하나로 Alice에게 보냅니다. Alice는 I 또는 iY로 메시지를 인코딩하고 광자를 되돌려 보냅니다. Eve는 준비한 것과 같은 기저에서 측정하여 메시지를 읽고, 0을 읽으면 I로, 1을 읽으면 iY로 Bob의 지연된 광자를 인코딩하여 Bob에게 다시 보냅니다.

Eve는 Bob이 광자를 보낸 상태를 절대 알 수 없지만, MM에서는 편광 플립 여부만 메시지를 인코딩하므로 무관합니다. Alice도 Bob의 상태를 알 필요가 없습니다[19]. 이는 Eve가 CM에서만 드러날 수 있음을 의미합니다. CM에서 Alice는 무작위로 Z와 X 기저 중 하나로 큐비트 투영 측정을 수행하고, 측정 결과와 같은 상태의 새 큐비트를 준비하여 Bob에게 되돌려 보내고, 이를 공개 고전 채널을 통해 알립니다[19](Fig. 4 참조).

여기서 LM05의 광자는 BB84의 2배 거리를 이동함을 강조합니다. Bob-Alice 거리에 대한 광자 검출 확률이 p라면, Bob-Alice-Bob 거리에 대한 검출 확률은 p²가 되어 Eve가 BB84보다 기하급수적으로 더 잘 CM에서 숨길 수 있습니다.

양방향 프로토콜의 보안성

BB84 프로토콜에서 11% 이상의 교란이 있으면 Alice-Eve 간 상호 정보량 I_AE가 Alice-Bob 간 I_AB보다 높아 중단해야 합니다.

우리의 공격에서는 Eve가 MM에서 유발하는 교란(D)이 없고 Alice-Bob 간 상호 정보량은 1과 같습니다.

$$\begin{array}{@{}rcl@{}} I_{\text{AB}}=1. \end{array} $$ (2)

따라서 BB84와 달리 I_AB와 I_AE는 D의 함수가 아니며, 이는 표준 접근법을 사용한 보안 증명을 방해합니다.

현실적인 구현에서도 MM에는 유의미한 D가 없습니다. Bob이 |H〉 상태의 광자를 보내고 Alice가 변경하지 않으면, Eve 유무와 거리와 무관하게 Bob은 |H〉를 확률 1에 가깝게 검출합니다. 유일한 QBER은 검출기 다크 카운트에서 기인하는 것으로 섬유 길이에 의존합니다[28]. 최근 단방향 QKD 구현에서 250km 거리에서 총 QBER이 2% 미만이었습니다[13]. 초전도 전이 가장자리 센서(TES) 단일 광자 검출기를 사용하여 다크 카운트를 실질적으로 완전히 제거할 수 있습니다. 현재 최고 효율은 98% 이상[9,15,16]이며 다크 카운트 확률은 실질적으로 0입니다.

BB84와 최근 구현되었거나 구현 고려 중인 거의 모든 단방향 단일 광자 프로토콜에서 프로토콜 보안은 임계 QBER을 통해 비밀 비율[26] 계산으로 평가됩니다:

$$\begin{array}{@{}rcl@{}} r={\lim}_{N\to\infty}\frac{l}{n}=I_{\text{AB}} - I_{\text{AE}} \end{array} $$ (3)

여기서 l은 최종 키를 구성하는 리스트 길이, n은 원시 키 리스트 길이, I_AB=1+Dlog2D+(1-D)log2(1-D), I_AE=-Dlog2D-(1-D)log2(1-D)이며, 교차점은 D=0.11을 산출합니다. 동등하게, r=1+2Dlog2D+2(1-D)log2(1-D)는 D가 0.11에 도달하면 0으로 내려갑니다.

우리 공격에서는 식 (2)와 (3)에서 r이 결코 음수가 되지 않음을 알 수 있습니다. 실제로 Eve가 항상 라인에 있을 때만 0에 접근합니다.

D가 MM 모드와 어떤 방식으로도 관련되지 않으므로, Alice와 Bob이 어떤 D에서 전송을 중단할지 결정합니다. 그러나 0≤D≤0.5 중 무엇을 선택하든 I_AB-I_AE는 항상 음수가 아니며, BB84에서처럼 I_AB(D)와 I_AE(D) 곡선이 MM에서 D=0.11로 교차하는 임계 D를 가지지 않습니다(Fig. 5a). 양방향 결정적 프로토콜에서 D는 CM에서 정의되며( MM이 아님), I_AB에 영향을 주지 않습니다. 즉, D=0이든 D=0.5이든 차이가 없습니다(Fig. 5b). 0≤D<0.5는 Eve가 항상 라인에 있지 않음을 의미할 뿐, Bob은 항상 Alice로부터 완전한 정보를 얻습니다: Eve가 라인에 없을 때는 그녀가 없어서, Eve가 라인에 있을 때는 그녀가 Alice의 모든 메시지를 Bob에게 충실히 전달하기 때문입니다.

Eve가 CM에서 QBER을 낮은 수준으로 유지하기 위해(I_AE≤1) 메시지의 일부만 가로채도록 가정할 수 있습니다. 이를 염두에 두고 우리 공격에 대한 보안 평가를 수행하고, [1,17]에서 LM05에 대한 다른 유형의 공격에 대해 수행된 무조건적 보안 증명이 여기에도 적용될 수 있는지 확인할 수 있습니다.

언급된 보안 증명[17]은 무조건적이라고 주장하지만, 먼저 III.A절에서 Eve가 Bob-Alice 및 Alice-Bob 채널에서 큐비트를 공격해야 Alice의 키 비트를 얻을 수 있다고 주장하고, III.B절 식(1,3)에서 Eve가 Bob의 큐비트를 읽고 Bob-Alice 및 Alice-Bob 채널 모두에서 메시지 모드에 교란을 유발한다고 가정합니다(오류율 e; III.B절 마지막 단락과 III.F절 첫 단락).

그러나 고려된 공격에서 Eve는 Bob의 큐비트를 측정하지 않습니다. 그녀는 단순히 양자 메모리에 저장합니다. 그녀는 자신의 큐비트를 Alice에게 보내고, Alice가 그것을 변경했는지(Y) 안 했는지(I) 읽습니다. 그런 다음 저장된 Bob의 큐비트에 Y 또는 I를 적용하여 Bob에게 되돌려 보냅니다. 결과적으로 그녀는 Alice-Bob 채널에서도 어떤 교란도 유발하지 않습니다. 또한 [17]에서처럼 엔실라를 사용하지 않습니다. 따라서 [17]에서 수행된 키 비트 획득 분석은 우리 공격에 적용할 수 없습니다.

따라서 [17]에 제시된 보안 증명은 그 안에서 고려된 공격에만 적용되며 위 Lucamarini의 공격에는 적용되지 않으므로 보편적이지 않습니다. 즉, 무조건적으로 간주될 수 없습니다.

이제 LM05 프로토콜의 보안을 확립하기 위해 어떤 표준 절차를 사용할 수 있는지 고려해 봅시다. 프로토콜에는 시프팅도 없고 메시지 모드에서 오류율도 없습니다. 따라서 표준 오류 정정도 적용할 수 없습니다.

남은 유일한 절차는 프라이버시 증폭입니다. Eve가 데이터의 일부만 가지면, 그녀는 자신의 비트 흔적을 잃고 Alice와 Bob의 비트는 줄어듭니다. Eve는 놓친 비트를 추측하여 해시 함수에 모든 비트를 다시 도입하여 데이터를 복구할 수 있습니다. 실패하면 그녀의 정보는 부분적으로 지워집니다. 그러나 Alice와 Bob은 해시 함수 등 Eve가 최종 키에 대한 정보를 남기지 않도록 보장하는 보안 절차 설계에 중요한 문제에 직면합니다. 그들은 BB84에서처럼 프라이버시 증폭 방정식에 명시적으로 포함된 Eve의 비트 임계량(11%)을 가지고 있지 않습니다[3].

한 마디로, 증폭되어야 할 프라이버시가 잘 정의되지 않았습니다. 그러한 "맹목적" 프라이버시 증폭 프로토콜 설계는 복잡한 작업[3]이며, 사실상 CM에서 광자 상태의 간헐적 검증으로 "보안된" 평문 전송과 같은 MM 전송이 BB84 프로토콜보다 어떤 이점이나 더 나은 보안을 제공하는지 의문입니다.

표 1에 BB84류 프로토콜의 임의 공격 하 속성과 위 공격 하 양방향 프로토콜의 속성을 나열했는데, 이는 앞서 질문에 긍정적으로 답하기 어려움을 시사합니다.

결론

요약하면, 두 종류의 양방향 QKD 프로토콜(얽힌 광자 pp와 단일 광자 LM05)에 대한 결정적 공격을 고려했습니다. 탐지 불가능한 Eve가 메시지 모드(MM)의 모든 메시지를 디코딩할 수 있으며, Alice와 Bob 간의 상호 정보량이 교란의 함수가 아니라 Eve가 라인에 있든 없든 1과 같음을 보였습니다. Eve는 제어 모드(CM)에서만 교란(D)을 유발하므로, 모두 MM에 D가 존재한다고 가정하는 표준 접근법과 보안 추정 프로토콜을 사용할 수 없습니다. 결과적으로 임계 D를 결정할 수 없고, 표준 오류 정정 절차를 Eve의 정보 제거에 적용할 수 없으며, 프라이버시 증폭 효율이 제한되고, 무조건적 보안이 증명되었다고 볼 수 없습니다. 어떤 면에서 Alice의 키 전송은 Eve의 존재를 나타내는 신뢰할 수 없는 지표로 "보안된" 암호화되지 않은 평문 전송과 동등하며, 이러한 프로토콜은 적어도 그러한 결정적 공격에 대한 새로운 종류의 보안 절차를 설계할 수 있음을 입증하거나 반증하기 전에는 구현 고려 대상이 될 수 없습니다.

우리는 CM에서 선택된 D에 대해 Eve가 위 공격보다 더 효율적인 공격을 수행할 수 있는지 여부는 프로토콜이 무조건적으로 안전한지 아닌지를 결정하는 데 무관함을 강조합니다. 무조건적 보안 증명은 그 모든 공격을 커버해야 합니다.