双方向量子直接通信プロトコルの検出不能盗聴に対するセキュリティ評価

概要

メッセージモードで全メッセージをコピーする検出不能な盗聴者（イヴ）による双方向量子鍵配送（QKD）プロトコルへの攻撃を考察。この攻撃下ではメッセージモードに擾乱がなく、送信者（アリス）と受信者（ボブ）の相互情報量は常に定数1に等しい。したがって、このような攻撃をカバーしていない最近の双方向プロトコル安全性証明は完全とは見なせない。

背景

量子暗号、特にQKDプロトコルは、古典暗号とは異なり、情報キャリアの量子物理的性質に基づくおそらく破れない通信を提供。これまで実装は主にBB84プロトコルベースで、量子ビットエラーレート（QBER）が十分低ければ無条件安全。しかしBB84類プロトコルではQBERが高くなりがち、イヴのビットフリップと損失・不完全性由来のビットフリップを識別不能なため、ビット処理に十分低いQBER要求は満たし難い。例：4状態BB84で11%以上、6状態BB84で12.6%以上の擾乱（D）では中止必須（Dはイヴ起因偏光フリップ割合、最大0.5）。Dを固有QBERから識別不能なため、これら総QBERレベルは不安全（アリス-イヴ相互情報I_AE > アリス-ボブ相互情報I_AB）で、イヴが「いるかもしれない」だけで実行不能。更なる効率的プロトコル探索で双方向プロトコルが提案・実装。特に、2つのベル状態（ピンポン（pp）プロトコル）と4つのベル状態（Ψ∓, Φ∓）ベースのエンタングル光子双方向プロトコル、単一光子決定論的Lucamarini-Mancini（LM05）プロトコル。LM05の様々な変種、修正、一般化も提案。複数の安全性評価がなされているが、全てイヴが各信号を往路復路で2回攻撃し、メッセージモードで信号を擾乱する前提。しかし以下で示す通り、イヴがボブの信号をアリスのデコイ信号エンコードに従ってエンコードし、後にイヴが読み取る攻撃では、検出不能イヴがメッセージモード（MM）全メッセージを取得可能。本論文では、特定のインターセプト・リセンド攻撃下で検出不能イヴがMM全メッセージを取得し、アリス-ボブ相互情報が定数1であることを示す。したがって標準的な秘密鍵長割合評価手順ではプロトコル安全性を確立不能。

実験方法

エンタングル光子と単一光子の2種類双方向QKDプロトコルへの攻撃を分析。特に、イヴがMM全メッセージを読み取りながら検出不能でいられる手順を詳細化。その後セキュリティ解析を行い、イヴが盗聴時に導入しうる擾乱の関数としてアリス-イヴ相互情報とアリス-ボブ相互情報を計算。最終的に、双方向プロトコル無条件安全性証明を目指す手順に得られた結果を適用。

結果と考察

エンタングル光子双方向プロトコル

2ベル状態ベースのエンタングル光子双方向プロトコル（ppプロトコル）を考察。ボブがベル状態の1つでエンタングル光子対生成、1光子をアリスへ送り、他方を量子メモリ保持。アリスは光子をそのまま返すか、作用して両光子を別ベル状態にする。アリスがこの方法で送るベル状態がボブへのメッセージ。ボブはアリスから受信した光子と保持光子をビームスプリッタ（BS）で結合し、アリスのメッセージをデコード。このメッセージを「メッセージモード」（MM）と呼ぶ。また「制御モード」（CM）ではアリスがボブの光子を測定。モード切替とCM測定結果を公開チャネルで発表。ベル基底を2ベル状態からなる基底と定義：|Ψ∓⟩ = 1/√2 (|H⟩₁|V⟩₂ ∓ |V⟩₁|H⟩₂）。|H⟩ᵢ, |V⟩ᵢは水平/垂直偏光光子状態。ダウンコンバージョン源で|Ψ⁻⟩状態光子対生成。|Ψ⁻⟩送信はアリスが光子そのまま返すだけ。|Ψ⁺⟩送信には半波長板（HWP(0°)）を自光子パスに挿入、垂直偏光符号反転。ボブのBSで|Ψ⁻⟩は分離、|Ψ⁺⟩はバンチング。イヴはNguyen考案の攻撃実行：まずボブ光子を量子メモリ保存、ボブデバイスのコピーを使いダウンコンバージョン対の1光子を|Ψ⁻⟩状態でアリスへ送信（Fig.2）。アリスから光子受信時、対の他方光子と結合しボブと同じ方法でベル状態決定。この結果を用い、ボブ光子パスに適切なHWP挿入で同じベル状態生成。 thus、イヴはMMの全ベル状態メッセージを決定論的にコピー可能。MMでのメッセージ送信は、CMによって「保護された」平文送信と等価。後でこの点に戻る。ここで、光子はBB84の4倍距離を移動。ボブ-アリス間検出確率pなら、ボブ-アリス-ボブ距離ではp⁴、距離に伴う指数関損失でイヴがCMで導入する擾乱検出確率も指数関数的に減少。

単一光子双方向プロトコル

LM05プロトコル簡述。ボブが|0⟩, |1⟩（パウリZ固有状態）、|+⟩, |-⟩（パウリX固有状態）の4状態いずれかで量子ビット準備、アリスへ送信。MMではアリスがI（量子ビット不変、論理0エンコード）またはiY=ZX（量子ビット反転、論理1エンコード）適用。アリスが量子ビット返送、ボブは準備と同基底で測定、基底照合なしでアリス操作（メッセージ）を決定論的に推測。考慮する攻撃はLucamarini提案（Fig.4）。イヴがボブ光子（量子ビット）をファイバースプール（量子メモリ）で遅延、自身のデコイ光子を|0⟩, |1⟩, |+⟩, |-⟩いずれかでアリスへ送信。アリスがIまたはiYでメッセージエンコードし返送。イヴは準備と同基底で測定、メッセージ読取り、ボブ遅延光子を読取り0ならI、1ならiYでエンコードしボブへ返送。イヴはボブ送信状態を決して知らないが、MMでは偏光反転/非反転のみがメッセージエンコードなので無関係。アリスもボブ状態知る必要なし。イヴはCMでのみ露見可能性あり。CMではアリスがZとX基底からランダム選択で量子ビット射影測定、測定結果と同状態新量子ビット準備し返送、公開古典チャネルで公開。LM05光子はBB84の2倍距離移動。ボブ-アリス間検出確率pならボブ-アリス-ボブではp²、イヴはBB84より指数関数的にCMで隠蔽可能。

双方向プロトコルの安全性

BB84で11%以上擾乱ならI_AE > I_ABで中止。本攻撃ではイヴがMMに誘起する擾乱（D）なし、アリス-ボブ相互情報は1に等しい。I_AB = 1. したがってBB84と異なりI_ABとI_AEはDの関数でなく、標準アプローチで安全性証明不能。現実的実装でもMMに有意なDなし。例：ボブが|H⟩送信、アリス不変ならボブはイヴ有無・距離によらず|H⟩検出確率≈1。唯一ファイバ長依存QBERは検出器ダークカウント由来。最近の片道QKD実装で250km超でも総QBER 2%未満。超伝導遷移エッジセンサ（TES）光子検出器でダークカウント実質ゼロ、非制御偏光フリップほぼ完全除去可能。BB84等片道単一光子プロトコルでは秘密鍵割合r = lim(l/n) = I_AB - I_AEで安全性評価。I_AB = 1 + D log₂D + (1-D)log₂(1-D)、I_AE = -D log₂D - (1-D)log₂(1-D)、交点でD=0.11。r = 1+2D log₂D+2(1-D)log₂(1-D)がD=0.11で0に。本攻撃ではEq.(2)(3)よりrは決して負にならず、イヴ常時回線時のみ0接近。DはMMとは無関係、アリスとボブがどのDで中止判断してもI_AB-I_AE常に非負、BB84のようなD=0.11でのI_AB(D)とI_AE(D)交点（クリティカルD）存在せず。双方向決定論的プロトコルではDレベル（CMで定義、MMではない）がI_ABに影響なし、D=0でもD=0.5でも差なし（Fig.5b）。0≤D<0.5はイヴが常時回線でない意味だが、ボブ常にアリスから完全情報取得：イヴ不在時はイヴ不在故に、イヴ在線時はイヴがアリス全メッセージ忠実にボブへ転送故に。イヴがCM QBER低水準維持のためメッセージ一部のみ窃取する場合、I_AE≤1でアリス・ボブ許容範囲内。その前提で安全性評価試み、LM05への他種攻撃に対する無条件安全性証明が本攻撃にも適用可能か検証。前述安全性証明（[17]、無条件と主張）では、Sec.III.Aでイヴがボブ-アリスとアリス-ボブ両チャネル攻撃必須と主張、Sec.III.B Eq.(1,3)でイヴがボブ量子ビット読取り、両チャネルでMM擾乱誘起（エラーレートe）と仮定。しかし本攻撃ではイヴはボブ量子ビット「測定せず」、量子メモリ保存のみ。自身の量子ビットをアリスへ送り、I/Y変更有無読取り、保存ボブ量子ビットにY/I適用し返送。したがってアリス-ボブチャネルでも擾乱誘起せず。[17]のようなアニシラも用いない。ゆえに[17]の鍵ビット取得解析は本攻撃に不適用。[17]証明はそこ考慮攻撃のみ適用、普遍的でない＝無条件とは見なせない。LM05プロトコル安全性確立に標準手順適用可能か検討。プロトコルにシフティングなし、MMにエラーレートなし。標準エラー訂正適用不能。残る手順はプライバシー増幅。イヴがデータ一部保持時、欠落ビット推測しハッシュ関数再導入で回復試行。失敗ならイヴ情報部分消去。しかしアリス・ボブは、最終鍵についてイヴ情報ゼロ保証するセキュリティ手順（ハッシュ関数等）設計で重大問題直面。BB84のようなクリティカルなイヴビット量（11%）がプライバシー増幅方程式に明示的含まれない。「増幅すべきプライバシー」がwell-definedでない。こうした「盲目」プライバシー増幅プロトコル設計は複雑、CMでの時折り光子状態検証で「保護された」平文送信がBB84より優位性やより良い安全性提供するか疑問。Table 1にBB84類プロトコル（任意攻撃）vs 双方向プロトコル（本攻撃）の特性列挙、前記疑問への肯定的回答困難示唆。

結論

要約：2種類双方向QKDプロトコル（エンタングル光子pp、単一光子LM05）への決定論的攻撃考察。検出不能イヴがMM全メッセージデコード可能、アリス-ボブ相互情報が擾乱関数でなく、イヴ在線有無にかかわらず1に等しいことを示した。イヴ誘起擾乱（D）はCMのみ、標準的安全性評価・計算手順・プロトコルは全てMMにD存在前提なので利用不能。結果：クリティカルD決定不能、標準エラー訂正でイヴ情報除去不能、プライバシー増幅効率制限、無条件安全性証明不能。アリス鍵送信は実質的に「信頼性低いイヴ存在指標で保護された」平文送信と等価、新種セキュリティ手順が設計可能か証明/反証されるまで実装考慮不可。イヴがCMで選択Dに対しより効率的攻撃実行可能か否かは、プロトコル無条件安全か否か判断に無関係。無条件安全性証明は全攻撃カバー必須。