Криптографическая стойкость систем квантовой криптографии с фазово-временным кодированием

Диссертационная работа посвящена протоколам квантового распределения ключей с фазово-временпым кодированием и исследованию их криптографической стойкости: как против атаки на реализацию протокола с использованием строго однофотонных импульсов, 'гак и против атаки с разделением по числу фотонов.

Квантовая криптография как наука зародилась в 1984 году, когда был разработан первый протокол квантового распределения ключей, названный ВВ84 [7]. Главным преимуществом квантовых криптографических протоколов перед классическими является строгое теоретическое обоснование их стойкости: если в классической криптографии стойкость сводится, как правило, к предположениям о вычислительных возможностях подслушивателя, то в квантовой криптографии перехватчик может предпринимать все допустимые законами природы действия, и всё равно у него не будет возможности узнать секретный ключ, оставшись при этом незамеченным.

Важным для квантовой криптографии свойством квантовой механики является свойство коллапса волновой функции, которое означает, что при измерении любой квантовомеханической системы её исходное состояния, вообще говоря, меняется. Это ведёт к важному следствию о том, что невозможно достоверно различить квантовые состояния из их неортогонального набора. Именно это свойство используется в обосновании секретности квантовой криптографии: при попытке подслушать передаваемые состояния из их неортогонального набора перехватчик неизбежно вносит в них ошибку, в результате чего он может быть обнаружен по дополнительным помехам на приёмной стороне. Поэтому решение о возможности секретного распространения ключей достигается легитимными пользователями на основе величины наблюдаемой ошибки на приёмной стороне: при приближении значения этой ошибки к критической величине (зависящей от используемого протокола) длина секретного ключа в битах стремится к пулю, и передача ключей становится невозможной.

Это означает, что важнейшей характеристикой протоколов квантовой криптографии является допустимая критическая ошибка на приёмной стороне, до которой возможно секретное распространение ключей: чем она больше, тем более устойчивой является система квантовой криптографии по отношению к собственным шумам и попыткам подслушивания. Важным результатом является нахождение точной величины критической ошибки для протокола ВВ84, которая оказывается равной приблизительно 11%[71].

Экспериментальная реализация квантовой криптографии натолкнулась на ряд технологических трудностей, наиболее важной из которых является сложность генерации строго однофотонных квантовых состояний. На практике обычно используются ослабленные лазерные импульсы, которые описываются когерентными квантовыми состояниями. Лазерное излучение имеет пуассоновское распределение по числу фотонов, поэтому с определённой вероятностью, зависящей от среднего числа фотонов, в когерентных состояниях могут встречаться посылки, в которых присутствуют два, три и более фотонов с убывающими вероятностями. Это оказывается важным допущением, так как использование многофотонных состояний в сочетании с неизбежным затуханием в реальных каналах связи даёт перехватчику теоретическую возможность задержать часть фотонов у себя, а после получения некоторых сведений от легитимных пользователей, передаваемых по открытому каналу, извлечь из них всю необходимую информацию, в результате чего схемы квантовой криптографии теряют свою секретность. Подобные действия перехватчика получили название атаки с разделением по числу фотонов, или PNS-атаки (Photon number splitting attack) [2].

Разработки в области противодействия PNS-атаке привели к появлению протокола с изменённой (по сравнению с ВВ84) конфигурацией состояний, используемых легитимными пользователями. Подобная конфигурация хотя и обеспечивает меньшую скорость генерации ключа, уже не позволяет перехватчику получить всю необходимую информацию о ключе даже при успешной задержке части передаваемых фотонов в своей квантовой памяти. Наиболее известным протоколом, устойчивым к PNS-атаке, является протокол SARG04[2, 65], предложенный в 2004 году. Как показал анализ, он перестаёт быть секретным только в том случае, когда перехватчик имеет возможность блокировать все одно-, двухи трёхфотонные посылки. А это значит, что квантовое распространение ключей возможно на большей дистанции, чем при использовании протокола ВВ84, так как возможная длина линии связи зависит от среднего числа фотонов в посылке. Таким образом, можно говорить о понятии критической дистанции секретного распределения ключей, на которой доля доля импульсов с большим числом фотонов достаточно мала, и устойчивость протокола против PNS-атакиопределяется именно этой критической дистанцией.

Другая часть усилий исследователей направлена на модификацию протоколов кватового распределения ключей с целью увеличения критической величины ошибки, и на сегодняший день разработаны технологии, позволяющие довести её примерно до 30%[1, о, 13, 18, 27, 56, 72, 77]. Одним из важнейших методов увеличения критической ошибки является использование классической предварительной обработки данных[5], сводящейся к специальным согласованным действиям легитимных пользователей после оценки количества ошибок на приёмной стороне. В то же время теоретический предел на возможную вероятность ошибки при безошибочной передаче какой-либо информации составляет, согласно теореме Шеннона, 50% [67, 82]. Возникает вопрос: возможно ли сделать так, чтобы передача секретных данных также была возможна при ошибке на приёмной сторона, не превышающей 50%. На первый вопрос кажется, что это невозможно: часть информации в любом случае может попасть к перехватчику, и в этом случае критическая ошибка уже оказывается строго меньше 50%. Однако оказывается, что возможна конфигурация сигнальных состояний, которая даёт в определённых случаях возможность распространения ключа при ошибке на приёмной стороне вплоть до 50%, и это оказывается возможным при использовании двухпараметрических протоколов квантовой криптографии, к которым относится протокол с фазово-времепным кодированием.

Протокол с фазово-временным кодированием оценивает информацию подслушивателя по двум наблюдаемым на приёмной стороне параметрам: количеству битовых ошибок и количеству отсчётов в контрольных временных окнах. Причина введения дополнительного параметра такова: битовая ошибка на приёмной стороне не всегда вызвана действиями перехватчика, иногда она появляется вследствие несовершенства аппаратуры, в частности из-за разбалансировки интерферометра. Два параметра поэтому позволяют в некотором роде разделить ошибки, вызванные неидеалыюстыо аппаратуры и ошибки, вызванные перехватчиком. Так, анализ стойкости протокола показывает, что при отсутствии отсчётов в контрольных временных окнах секретное распределение ключей возможно, если битовая ошибка меньше 50%, что соответствует теоретическому пределу: это означает, что в таком случае перехватчик, какие бы действия он ни совершал, неспособен получить какую-либо полезную информацию. В то же время любые действия перехватчика, приводящие к получению им передаваемой информации, влекут к появлению контрольных отсчётов, что позволяет оценить доступную перехватчику информацию по двум параметрам протокола. Важно отметить, что метод классической предварительной обработки сигналов даёт результаты и для протокола с фазово-временным кодированием, увеличивая его критическую ошибку при ненулевых контрольных отсчётах.

Другая модификация протокола с фазово-временным кодированием использует конфигурацию базисных векторов, схожую с их конфигурацией в протоколе ЗАГЮ04 (конкретно, неортогональными оказываются не только векторы в разных базисах, но и внутри каждого из базисов), что позволяет сделать этот протокол также устойчивым против Р^-атаки. Более того, благодаря тому, что протокол с фазово временным кодированием использует большее количество базисов по сравнению с ЗА1Ю04, его устойчивость к Р^-атаке оказывается существенно больше: теперь уже для полного взлома перехватчику нужно иметь возможность блокировать почти все посылки, содержащие от одного до пяти фотонов (а не от одного до трёх, как в случае 8А1Ю04). Результат этого — наибольшая критическая длина линии связи среди всех изветных на сегодняшний день протоколов квантового распределения ключей.

Другой осмысленной задачей является построение явной квантовой схемы оптимальной однофотонной атаки перехватчика на известные протоколы квантового распределения ключей. Такая схема должна сводить все действия перехватчика к использованию реализуемых на сегодняшний день элементов, преобразующих квантовые состояния. Такими элементами являются однокубитовые элементы (реализуемые с помощью асимметричных светоделителей и фазовых модуляторов) и элемент «контролируемое НЕ» (СКОТ), действующий на двухчастичные состояния. Строго говоря, элемент СИОТ на сегодняшний день является ещё слишком сложным для построения, и вместо него в экспериментах используются его вероятностные модификации, выполняющие нужное действие лишь с некоторой вероятностью. Однако так как произвольное квантовое преобразование невозможно без реализации двухчастичных вентилей, то будем предполагать, что элемент С1МОТ, как наиболее простую двухчастичную операцию, можно реализовать с применением сегодняшних технологий. Задача построения схемы оптимальной атаки важна, в частности, тем, что с её помощью можно оценить сравнительную сложность атаки на разные криптографические протоколы.

Из этого следует актуальность работы, связанная с возможностью получения полностью секретного ключа в реальных условиях при передаче ослабленных лазерных испульсов по оптоволоконным линиям связи и исследованием зависимости длины финального ключа от параметров, наблюдаемых на приёмной стороне.

Подводя итог вышесказанному, можно следующим образом сформулировать задачи диссертационной работы:

1. Нахождение критической величины ошибки для протокола ЗА1Ю04 в случае использования строго однофотонных состояний для передачи информации.

2. Исследование стойкости протокола с фазово-временным кодированием при использовании строго однофотонных импульсов, нахождение области секретности протокола как функции двух параметров — битовой ошибки на приёмной стороне и количества отсчётов в контрольных временных окнах.

3. Исследование стойкости модификации протокола с фазово-временным кодированием с неортогональными состояниями внутри базисов против атаки с разделением по числу фотонов и получение критической длины линии связи.

4. Построение квантовой схемы для оптимального подслушивания протокола с фазово-времепным кодированием при использовании строго однофотонных состояний для передачи данных.

5. Получение оценок стойкости протокола с фазово-временным кодированием с использованием классической предвартельной обработки данных.

Новизна диссертационной работы заключается в следующих положениях:

1. Для протокола 8А1Ю04 получены значения критической ошибки на приёмной стороне С2с при каждом значении параметра протокола — угла между сигнальными состояниями внутри базиса.

2. Найдена область секретности протокола с фазово-временным кодированием на плоскости (<3, д) параметров, наблюдаемых на приёмной стороне: битовой ошибки и количества отсчётов в контрольных временных окнах. Показано, что при отсутствии отсчётов в контрольных временных окнах секретная передача информации возможна при битовой ошибке, меньшей 50%, что является теоретическим пределом.

3. Получена зависимость критической длины линии связи от среднего числа фотонов в лазерном импульсе для неортогональной модификации протокола с фазово-временным кодированием.

4. Построена квантовая схема оптимальной однофотонной атаки на протокол с фазово-временным кодированием и даны принципы физической реализации подобной атаки.

Научная и практическая значимость диссертации состоит в возможности использования её результатов при построении системы квантового распространения ключей с использованием ослабленных лазерных импульсов и оптоволоконных линий связи:

• для оценки информации подслушивателя о ключе из наблюдаемых на приёмной стороне параметров.

• для оценки критической длины линии связи, до которой перехватчик не имеет возможность применить PNS-атаку.

• для оценки изменения информации перехватчика при применении метода предварительной блочной обработки данных.

Результаты работы прошли апробацию на следующих конференциях:

• Международная конференция «Quantum Informatics — QI-2007», Москва, Россия, 2007 г.;

• Международная конференция «Quantum Cryptography and Computing: Theory and Implementation», Гданьск, Польша, 2009 г.;

• Международная конференция «Quantum Informatics — QI-2009», Москва, Россия, 2009 г.;

• Международная конференция «19th International Laser Physics Workshop», Фос-ду-Игуасу, Бразилия, 2010 г.

Диссертационная работа состоит из введения, четырёх глав и заключения.

Основные выводы и результаты диссертационной работы:

Исследована стойкость протокола ЗА1Ю04 в однофотонпом режиме: получены значения критической ошибки на приёмной стороне при произвольном значении угла между сигнальными состояниями внутри базиса. При состояниях внутри базиса, близким к ортогональным, значение критической ошибки, как и ожидалось, близко к 11%, а при уменьшении значения угла оно увеличивается и приближается к 16%.

Найдена область секретности протокола с фазово-временным кодированием на плоскости параметров, наблюдаемых на приёмной стороне: битовой ошибки и количества отсчётов в контрольных временных окнах. При отсутствии контрольных отсчётов распределение ключей оказывается возможным при битовой ошибке, не превышающей 50%, что соответствует теоретическому пределу.

Получена зависимость критической длины линии связи от среднего числа фотонов в лазерном импульсе для неортогональной модификации протокола с фазово-временным кодированием. Эта величина существенно превосходит аналогичные значения, полученные для других известных на сегодняшний день протоколов.

Построена квантовая схема оптимальной однофотонной атаки на протокол с фазово-времепным кодированием. Из её построения видно, что задача прозрачного подслушивания этого протокола является существенно более сложной, чем для протокола ВВ84 и фактически требует наличия в распоряжении перехватчика квантового компьютера.

Исследован способ увеличения области секретности с помощью классической предварительной обработки сигналов: рассмотрено объединение в блоки битов с одинаковыми значениями при совпадении их значений у легитимных пользователей, что позволяет расширить область секретности.

Заключение

.