Evaluación de la seguridad de protocolos de comunicación cuántica directa bidireccional contra espionaje indetectable

Resumen

Consideramos ataques a protocolos de distribución de clave cuántica bidireccionales en los que un espía indetectable copia todos los mensajes en el modo mensaje. Mostramos que bajo estos ataques no hay perturbación en el modo mensaje y que la información mutua entre el emisor y el receptor es siempre constante e igual a uno. Se deduce que las pruebas recientes de seguridad para protocolos bidireccionales no pueden considerarse completas ya que no cubren los ataques considerados.

Introducción

La criptografía cuántica, en particular los protocolos de distribución de clave cuántica (QKD), nos ofrece, en contraste con la clásica, una comunicación probablemente inquebrantable basada en las propiedades físicas cuánticas de los portadores de información. Hasta ahora, las implementaciones se basaban mayormente en el protocolo BB84, que es incondicionalmente seguro siempre que la tasa de error cuántico (QBER) sea lo suficientemente baja. Sin embargo, la QBER en protocolos tipo BB84 podría ser alta, y como no podemos discriminar los volteos de bit del espía (Eve) de los causados por pérdidas e imperfecciones, el requisito de tener QBER lo suficientemente baja para procesar los bits es a menudo difícil de satisfacer, por ejemplo, BB84 de 4 estados con más del 11% y BB84 de 6 estados con más del 12.6% de perturbación (D) deben abortarse (D se define como el porcentaje de volteos de polarización causados por Eve, siendo el máximo 0.5). Dado que D no puede discriminarse de la QBER inherente en la línea, estos niveles de QBER total son inseguros (la información mutua entre el emisor (Alice) y Eve (I_AE) supera la entre Alice y el receptor (Bob) (I_AB): I_AE > I_AB para D > 0.11, 0.126, respectivamente) y por tanto no pueden llevarse a cabo solo porque Eve podría estar en la línea.

En busca de protocolos más eficientes, se propusieron e implementaron protocolos bidireccionales. En particular, protocolos bidireccionales de fotones entrelazados basados en dos estados de Bell (también llamado protocolo ping-pong (pp)) y cuatro (Ψ^∓, Φ^∓) por un lado, y un protocolo determinista de fotón único Lucamarini-Mancini (LM05) por otro. Varias variedades, modificaciones y generalizaciones de este último protocolo se dan en referencias. Dos variedades se implementaron en otras referencias. El protocolo pp anterior fue implementado por Ostermeyer y Walenta en 2008, mientras que el protocolo con cuatro estados de Bell no puede implementarse con elementos ópticos lineales. En las referencias mencionadas, se han obtenido diversas estimaciones de seguridad.

En una referencia, Lu, Fung, Ma y Cai proporcionan una prueba de seguridad de un QKD determinista LM05 para el tipo de ataque propuesto en otras referencias. No obstante, afirman que es una prueba de seguridad incondicional de LM05. En otra referencia, Han et al. proporcionan una prueba de seguridad para un protocolo pp modificado y prueban su seguridad contra ataques colectivos en canal ruidoso y con pérdidas.

Todas las consideraciones de seguridad de protocolos bidireccionales asumen que Eve ataca cada señal dos veces, una en el camino de Bob a Alice, y luego en el regreso de Alice a Bob, y que al hacerlo perturba la señal en el modo mensaje. Sin embargo, como mostramos a continuación, existen otros ataques en los que una Eve indetectable codifica las señales de Bob según la codificación de Alice de una señal señuelo enviada a ella y luego leída por Eve.

En este artículo mostramos que en los protocolos QKD deterministas bidireccionales bajo un ataque particular de intercepción y reenvío, una Eve indetectable puede adquirir todos los mensajes en el modo mensaje (MM) y que la información mutua entre Alice y Bob es constante e igual a uno. Eso significa que la seguridad de los protocolos no puede establecerse mediante procedimientos estándar de evaluación de la fracción secreta de longitudes de clave.

Métodos

Analizamos los ataques en dos protocolos QKD bidireccionales diferentes: de fotones entrelazados y de fotón único. En particular, elaboramos el procedimiento que permite a Eve leer todos los mensajes en el modo mensaje mientras permanece indetectable. Posteriormente, realizamos un análisis de seguridad para calcular la información mutua entre Alice y Eve, así como entre Alice y Bob, en función de la perturbación que Eve podría introducir al espiar. Finalmente, aplicamos los resultados obtenidos al procedimiento que busca probar la seguridad incondicional de protocolos bidireccionales.

Resultados y discusión

Protocolos bidireccionales de fotones entrelazados

Consideramos un protocolo bidireccional de fotones entrelazados basado en dos estados de Bell (protocolo pp). Bob prepara fotones entrelazados en uno de los estados de Bell y envía uno a Alice y guarda el otro en una memoria cuántica. Alice devuelve el fotón tal cual o actúa sobre él para poner ambos fotones en otro estado de Bell. Los estados de Bell que envía son sus mensajes a Bob. Bob combina el fotón que recibe de Alice con el que guardó, y en un divisor de haz (BS), decodifica los mensajes de Alice. Dichos mensajes se envían en modo mensaje (MM). También hay un modo control (CM) en el que Alice mide el fotón de Bob. Ella anuncia el cambio entre modos por un canal público y los resultados de sus mediciones en CM.

Definimos la base de Bell como una base que consiste en dos estados de Bell:

$$\begin{array}{@{}rcl@{}} |\Psi^{\mp}\rangle=\frac{1}{\sqrt{2}}(|H\rangle_{1}|V \rangle_{2}\mp|V\rangle_{1}|H\rangle_{2}), \end{array} $$ (1)

donde |H〉_i (|V〉_i), i=1,2, representan estados de fotones polarizados horizontal (vertical).

Pares de fotones en el estado |Ψ⁻〉 se generan por una fuente de fotones entrelazados por conversión descendente. Para enviar el estado |Ψ⁻〉 Alice solo devuelve su fotón a Bob. Para enviar |Ψ⁺〉, coloca una lámina de media onda (HWP(0°)) en el camino de su fotón, como se muestra en la Fig. 1b. El HWP cambia el signo de la polarización vertical.

Esquemas de protocolos BB84 y ping-pong (pp). a BB84—canales clásico y cuántico fusionados. b MM del protocolo pp—canal cuántico. c CM del protocolo pp—canal clásico

En el BS de Bob, los fotones en estado |Ψ⁻〉 se separan y los en estado |Ψ⁺〉 se agrupan juntos.

Eve lleva a cabo su ataque, diseñado por Nguyen, de la siguiente manera: Primero pone el fotón de Bob en una memoria cuántica y usa una copia del dispositivo de Bob para enviar a Alice un fotón de un par convertido descendentemente en estado |Ψ⁻〉 como se muestra en la Fig. 2. Cuando Eve recibe el fotón de Alice, lo combina con el otro fotón del par y determina el estado de Bell de la misma forma que Bob. Usa este resultado para generar el mismo estado de Bell para Bob colocando los HWP apropiados en el camino del fotón de Bob.

Ataque de Nguyen al protocolo pp. Eve puede copiar determinísticamente cada uno de los mensajes de estado de Bell en el modo mensaje del protocolo pp

Así, Eve puede copiar cada mensaje en MM y por tanto el envío de mensajes en MM es equivalente a envío de texto plano "asegurado" por CM. Volveremos a este punto más adelante.

Aquí destacamos que los fotones recorren cuatro veces la distancia que en BB84. Así, si la probabilidad de que un fotón sea detectado solo en la distancia Bob-Alice es p, la probabilidad de ser detectado en la distancia Bob-Alice-Bob será p⁴, lo que con las pérdidas crecientes exponencialmente sobre la distancia también disminuye exponencialmente la probabilidad de detectar la perturbación que Eve introduce en CM.

Protocolos bidireccionales de fotón único

Comenzamos con una breve presentación del protocolo LM05. Como se muestra en la Fig. 3, Bob prepara un qubit en uno de los cuatro estados |0〉, |1〉 (autovalores de Pauli Z), |+〉, o |−〉 (autovalores de Pauli X) y lo envía a su contraparte Alice. En el MM, ella modifica el estado del qubit aplicando I, que deja el qubit inalterado y codifica el lógico 0, o aplicando iY=ZX, que invierte el estado del qubit y codifica el lógico 1. (iY|0〉=−|1〉, iY|1〉=|0〉, iY|+〉=|−〉, iY|−〉=−|+〉.) Alice ahora envía el qubit de vuelta a Bob quien lo mide en la misma base en que lo preparó e infiere determinísticamente las operaciones de Alice, es decir, sus mensajes, sin procedimiento de reconciliación de bases.

Protocolo LM05. a Modo mensaje (MM) según [19, Fig. 1]. b Modo control

El ataque al protocolo LM05 que consideramos fue propuesto por Lucamarini. Se muestra en la Fig. 4. Eve retrasa el fotón de Bob (qubit) en una bobina de fibra (memoria cuántica) y envía su propio fotón señuelo en uno de los cuatro estados |0〉, |1〉, |+〉, o |−〉 a Alice, en su lugar. Alice codifica su mensaje vía I o iY y devuelve el fotón. Eve lo mide en la misma base en que lo preparó, lee el mensaje, codifica el fotón retrasado de Bob vía I si leyó 0, o vía iY si leyó 1, y lo devuelve a Bob.

Ataque de Lucamarini al protocolo LM05. Esquemas según [18, p. 61, Fig. 5.5]

Eve nunca aprende los estados en que Bob envió sus fotones, pero eso es irrelevante en MM ya que solo el volteo o no de polarización codifica mensajes. Alice tampoco necesita conocer los estados de Bob. Esto significa que Eve solo podría ser revelada en CM en el que Alice realiza una medición proyectiva del qubit en una base elegida aleatoriamente entre Z y X, prepara un nuevo qubit en el mismo estado que el resultado de la medición, lo devuelve a Bob, y revela esto por un canal público clásico, como se muestra en la Fig. 4.

Aquí se debe enfatizar que los fotones en LM05 recorren el doble de distancia que en BB84. Así, si la probabilidad de que un fotón sea detectado solo en la distancia Bob-Alice es p, la probabilidad de ser detectado en la distancia Bob-Alice-Bob será p² y Eve podría esconderse en CM exponencialmente mejor que en BB84.

Seguridad de protocolos bidireccionales

En un protocolo BB84 con más del 11% de perturbación, la información mutua entre Alice y Eve I_AE es mayor que la entre Alice y Bob I_AB y se debe abortar.

Para nuestros ataques, no hay perturbación (D) que Eve induzca en MM y la información mutua entre Alice y Bob es igual a la unidad.

$$\begin{array}{@{}rcl@{}} I_{\text{AB}}=1. \end{array} $$ (2)

Por tanto, a diferencia de BB84, I_AB e I_AE no son funciones de D y eso impide probar la seguridad usando el enfoque estándar.

Además, en una implementación realista, no hay D significativa en MM tampoco. Cuando Bob, por ejemplo, envía un fotón en estado |H〉 y Alice no lo cambia, Bob detectará |H〉 con probabilidad cercana a 1, con o sin Eve, e independientemente de la distancia. La única QBER que depende de la longitud de fibra es la que proviene de conteos oscuros de detectores. En una implementación reciente de QKD unidireccional, la QBER total fue inferior al 2% a 250 km. Podemos eliminar prácticamente los conteos oscuros, y por tanto cualquier volteo de polarización incontrolado, usando detectores de fotones de sensor de transición superconductora (TES). La eficiencia más alta de tales detectores supera actualmente el 98%, y su probabilidad de conteo oscuro es prácticamente cero.

Para BB84, y prácticamente todos los protocolos unidireccionales de fotón único recientemente implementados o considerados, la seguridad se evalúa vía QBER crítica calculando la fracción secreta:

$$\begin{array}{@{}rcl@{}} r={\lim}_{N\to\infty}\frac{l}{n}=I_{\text{AB}} - I_{\text{AE}} \end{array} $$ (3)

donde l es la longitud de la lista que forma la clave final y n la de la clave en bruto, I_AB=1+D log₂D+(1−D) log₂(1−D) e I_AE=−D log₂D−(1−D) log₂(1−D) y su intersección produce D=0.11. Equivalentemente, r=1+2D log₂D+2(1−D) log₂(1−D) baja a 0 cuando D alcanza 0.11.

No tenemos tal opción para nuestros ataques en protocolos bidireccionales ya que de las Eqs. (2) y (3) se deduce que r nunca es negativo. De hecho, se acerca a 0 solo cuando Eve está en la línea todo el tiempo.

Dado que D no está relacionado con el modo MM de ninguna manera, depende de Alice y Bob decidir tras qué D abortarían su transmisión. Sin embargo, cualquiera que sea 0≤D≤0.5 que elijan, I_AB−I_AE será siempre no negativo, y no tendrán un D crítico como en BB84 donde las curvas I_AB(D) e I_AE(D) se intersecan para D=0.11 en MM como se muestra en la Fig. 5a. Para protocolos deterministas bidireccionales, el nivel de D, definido en CM (y no en MM), no tiene efecto en I_AB, es decir, no hay diferencia si D=0 o D=0.5, como se muestra en la Fig. 5b; 0≤D<0.5 solo significaría que Eve no está en la línea todo el tiempo, pero Bob siempre obtiene información completa de Alice: cuando Eve no está en la línea, porque no lo está, y cuando Eve está en la línea, porque ella transmite fielmente todos los mensajes de Alice a Bob.

Gráficos de información mutua para BB84 vs. protocolos deterministas bidireccionales. a Protocolo probabilístico unidireccional BB84. b Protocolos deterministas bidireccionales con estados de Bell entrelazados o con estados de fotón único tipo LM05. Diferencia esencial: en a Eve causa volteos de polarización en el modo mensaje, mientras que en b Eve idealmente no causa ningún volteo en el modo mensaje

Podemos suponer que Eve captura solo una porción de mensajes para mantener QBER en CM en un nivel bajo (y tener I_AE≤1) lo cual sería aceptable para Alice y Bob. Con esto en mente, podemos intentar evaluar la seguridad para nuestro ataque y verificar si las pruebas de seguridad incondicional realizadas para otro tipo de ataque en LM05 podrían aplicarse también a este.

En la prueba de seguridad mencionada, que se dice incondicional, los autores primero, en Sec. III.A, afirman que Eve tiene que atacar los qubits tanto en el canal Bob-Alice como Alice-Bob para obtener los bits de clave de Alice, y en Sec. III.B, Eq. (1,3), asumen que Eve lee el qubit de Bob e induce una perturbación en el modo mensaje en ambos canales (tasa de error e; último párrafo de Sec. III.B y primer párrafo de Sec. III.F).

Sin embargo, en los ataques considerados, Eve no mide los qubits de Bob. Solo los almacena en una memoria cuántica. Envía sus propios qubits a Alice y lee si ella los cambió (Y) o no (I). Luego aplica Y o I a los qubits de Bob almacenados y se los devuelve. Consecuentemente, no induce ninguna perturbación en el canal Alice-Bob, tampoco. Tampoco usa ancilas como en la referencia. Por tanto, el análisis de obtención de bits de clave realizado en esa referencia es inaplicable a nuestro ataque.

Por tanto, como la prueba de seguridad presentada en esa referencia solo se aplica al ataque considerado en ella y no al ataque de Lucamarini anterior, no es universal, es decir, no puede considerarse incondicional.

Consideremos ahora si algún procedimiento estándar conocido puede usarse para establecer la seguridad del protocolo LM05. En el protocolo, no tenemos ni cribado ni tasa de error en el modo mensaje. Así, la reconciliación de errores estándar no puede aplicarse tampoco.

El único procedimiento que queda para establecer la seguridad es la amplificación de privacidad. Cuando Eve posee solo una fracción de datos, perderá rastro de sus bits y los de Alice y Bob se reducirán. Eve podría recuperar datos adivinando los bits que le faltan y reintroduciéndolos todos en la función hash. Si falla, su información se borrará parcialmente. Sin embargo, Alice y Bob enfrentan un problema crucial al diseñar su procedimiento de seguridad (p.ej., función hash) que garantice que Eve quede sin información sobre la clave final. No tienen una cantidad crítica de bits de Eve como en BB84 (11%) que se incluyan explícitamente en las ecuaciones del procedimiento de amplificación de privacidad.

En una palabra, la privacidad que debería amplificarse no está bien definida. Diseñar un protocolo para tal amplificación de privacidad "ciega" es una tarea compleja, y es cuestionable si el envío de—en efecto—texto plano vía MM asegurado por verificación ocasional de estados de fotones en CM nos ofrece alguna ventaja o mejor seguridad que el protocolo BB84.

En la Tabla 1, listamos las propiedades de un protocolo tipo BB84 bajo un ataque arbitrario vs. protocolos bidireccionales bajo los ataques anteriores, lo que parece indicar que sería difícil responder a la pregunta anterior en sentido positivo.

Conclusiones

En resumen, consideramos ataques deterministas en dos tipos de protocolos QKD bidireccionales (pp con fotones entrelazados y LM05 con fotones únicos) en los que una Eve indetectable puede decodificar todos los mensajes en el modo mensaje (MM) y mostramos que la información mutua entre Alice y Bob no es función de la perturbación sino que es igual a la unidad sin importar si Eve está en la línea o no. Eve induce una perturbación (D) solo en el modo control (CM) y por tanto el enfoque estándar y protocolos para estimar y calcular la seguridad no están disponibles ya que todos asumen la presencia de D en MM. Como resultado, no se puede determinar un D crítico, el procedimiento estándar de corrección de errores no puede aplicarse para eliminar la información de Eve, la eficiencia de la amplificación de privacidad se ve limitada, y la seguridad incondicional no puede considerarse probada. De cierto modo, el envío de la clave por Alice es equivalente a enviar un texto plano no cifrado "asegurado" por un indicador poco fiable de la presencia de Eve y tales protocolos no pueden considerarse para implementación al menos no antes de probar o refutar que se pueden diseñar nuevos procedimientos de seguridad para tales ataques deterministas.

Enfatizamos que para decidir si un protocolo es incondicionalmente seguro o no, es irrelevante si Eve puede realizar ataques más eficientes que los considerados arriba, para un D elegido en CM. Una prueba de seguridad incondicional debe cubrirlos a todos.

Historial de cambios