《量子密码学.》由会员分享，可在线阅读，更多相关《量子密码学.（39页珍藏版）》请在金锄头文库上搜索。
1、1 量子密码学： 从“不可破译的密码”到“量子骇客” 戚兵 bing.qiutoronto.ca 电子与计算机工程系，多伦多大学，加拿大 2 信息时代？密码时代？ 儿子的生日 + 的前5位 + 姨妈的小名 + ? 3 如何记住你的密码 密码: 65423 木条长度= 0.65423m 可变长 度范围 L 1 m 信息容量 log2(L/) 20 bits 长度测量精度 = 10-6 m 长度测量 读出密码 4 信息与测量 信息的获取涉及测量过程； 测量精度决定可获取的信息量； 经典物理 测量过程可以不改变被测物体状态； 窃听者可以获取信息而不被发现。 量子物理 测量过程一般会改变被测物体状态（
2、测不准原理） ； 量子力学提供了探测窃听的手段。 5 报告内容 量子密码学简介； 实际量子密钥分配(QKD)系统安全性研究 安全漏洞及攻击方案 防御措施 总结 量子密钥分配（QKD）的基本原理 6 7 现代密码学中“不可破译”的密码 “一次一密”加密方式 明文明文011010 011010 XOR 110010XOR 110010 XOR=XOR= Exclusive-ORExclusive-OR 101000101000 密文密文 通道通道 101000101000 密文密文 XOR 110010XOR 110010 011010011010 明文明文 如果 1）密钥的长度=信息的长度 2）
3、密钥只使用一次 “一次一密”原理上绝对安全 (Shannon 1949) 如何在发送者与接收者间建立 密钥？密钥分配问题 发送者发送者 AliceAlice 窃听者窃听者 EveEve 接收者接收者 BobBob 密钥密钥 密钥密钥 VENONA Project: Silly Bugs Can Kill Serious Cryptosystems Soviet Union spied in Manhattan project! Spies communications with Moscow were encrypted by one- time pad. Owing to procedura
4、l errors, Soviet re-used one-time- pad! From 1948 to 1951, numerous Soviet spies were uncovered and prosecuted. Today, everyone can view these encrypted tables. 8 9 量子力学：测量过程 对量子态产生扰动 量子密钥分配的基本原理 1011100000110110011010001101 Alice Bob Eve 量子编码 Errors 随机数 发生器 过高的比特误码率窃听者的存在 10 要点1 利用单个量子态编码：例如单个光子的偏振
5、态。 ！Eve 可以进行“截取-测量-再发送”攻击 实例：BB84协议（1） 1 0 1 1 0 1 “1” “0” Alice Bob 90 0 偏振 比特值 偏振分光镜 单光子探测器 11 Alice Bob 90 1 0 1 1 0 1 “1” “0” 基一 1 0 1 1 0 1 “1” “0” 基二 /2 0 135 45 实例：BB84协议（2） 要点2: 两组非对易“基” Alice/Bob随机改变“发送基”/“测量基” Alice/Bob 只保留“相同基”的数据 12 Alices 比特值1001011101 Alices 编码基 Alices 偏振13545013509090
6、135090 Bobs 测量基 Bobs 测量结果0450*13590135*090 Bobs 比特值00011101 Sifted key （相同基）00101 : 基1; : 基2; *: 没有探测到光子（损耗） Alice编码 基一“+”：0 偏振“0”；90偏振“1” 基二“”：45 偏振“0”；135偏振“1” Bob随机选取测量基：“+”-0/90 或“”-45/135 实例：BB84协议（3） 实例：BB84协议（4） 13 安全性的直观理解 量子力学：不可能区分0/45/90/135偏振的单光子 量子非克隆原理； Eve随机选取基测量，再发送引入比特误差（25%）； Eve获得
7、的信息量越大比特误差率越高； 安全性证明：建立比特误差率与Eve的最大信息量间的 关系。只要I(A:B)I(A:E)或者I(A:B)I(E:B)，Alice 和Bob就可以产生密钥。 实际系统中噪声的影响 无法区分噪声引入的比特误差与Eve引入的比特误差； 保守的估计：所有的比特误差归结于Eve的攻击； 高噪声的系统无法证明安全性。 量子密钥分配中的传统信息通道 14 Alice与Bob间的传统认证通道 o 防止“Man-in-the-middle”攻击； o 利用传统密码学方法实现，Alice和Bob预先建立密钥； o QKD密钥扩展协议。 比较编码基/测量基； 比特误差率的估计； 误差校正
8、（Error Correction）：产生全同密钥； 隐私放大（Privacy Amplification)：产生安全的 密钥。 现状及未来 15 实验系统 距离：自由空间：150km； 光纤：250km 效率：（50km）：1Mbits/S 商用系统 距离：1 2. 探测器效率的不匹配 26 Eve 随机“时移”量子信号 01 or 10； 对应每一个信号，特定的单光子探测器 有更高的效率； Eve 获得密钥部分信息。 B. Qi, C.-H. F. Fung, H.-K. Lo, and X. Ma, Quant. Info. Compu. 7, 73 (2007). “Time-shif
9、t” 攻击击基本原理 27 “Time-shift” 攻击实验 Y. Zhao, C.-H. F. Fung, B. Qi, C. Chen, H.-K. Lo, Physical Review A 78 042333 (2008) 商用QKD系统 （瑞士，ID QUANTIQUE） OVDL：可调光学延迟 首次成功攻击商用QKD系统 28 攻击实验结果 Y. Zhao, C.-H. F. Fung, B. Qi, C. Chen, and H.-K. Lo, PRA 78:042333 Y. Zhao, C.-H. F. Fung, B. Qi, C. Chen, and H.-K. Lo,
10、 PRA 78:042333 (2008).(2008). Lower bound (ignoring the attack) 6.81e-5 Upper bound (considering the attack) 6.76e-5 29 为什么攻击会成功？ Alice将随机数编码在单光子的偏振态； Eve将她自己的随机数编码在同一个光子的其它 自由度（时移）； 测量前，Alice的随机数同Eve的随机数相互独立 ； Bob的非理想探测器（探测效率不匹配）“Post- select”Alice和Eve比特值相同的事件（“fair sampling”不再成立）。 30 防御措施 精确检测信号到达
11、时间； 四相位调制方案Bob随机改变单光子探 测器与比特值的对应关系； *C.-H. F. Fung, K. Tamaki, B. Qi, H.-K. Lo, and X. Ma, QIC 9:131 (2009)QIC 9:131 (2009) 探测器效率不匹配条件下的安全性证明* 硬件措施 软件措施 31 教训 QKD协议的安全性 实际系统的安全性； Eve利用实际系统的不完善发起攻击； 一旦发现了安全漏洞，找到相应的防御措 施不太困难； 如何寻找安全漏洞？ o“Quantum hacking” 更通用的解决方案？ o设计“不依赖”于实际系统的QKD协议 32 更通用的解决方案 （1） S
12、ource PM PM SPD 0,/2,3/20,/2,3/2 Alice Bob 四相位调制方案 Bob 随机改变单光子探测器与比特值的对应关系； Eve 即使知道特定的探测器响应，也无法获得对应的比特值。 “1” or “0” “0” or “1” 33 Failed: detector blinding attack*Failed: detector blinding attack* 利用强光照射单光子探测器进入线性工作状态； Eve进行“截取再发送”攻击； 只有当Bob和Eve使用的基相同，探测器才会相应 “basis dependent” post-selection *Lars
13、Lydersen, et al., Nature Photonics 4, 686 - 689 (2010) 34 Time-Reversed EPR Quantum Key Distribution* H. Inamori, Algorithmica 34, pp. 340-365 (2002) Bell measurement Alice Single photon source Polarization modulation Bob Single photon source Polarization modulation Eve BB84 states BB84 states 假设：Al
14、ice 与 Bob 正确制备量子态。 优点：测量系统可以完全受Eve控制。 更通用的解决方案 （2） Basic idea: q Alice and Bob can perform Bell inequalities test without knowing how the device actually works. q As long as Alice and Bob can verify the existence of entanglement, it is possible to generate secure key. 35 “ “Device independentDevice
15、independent” ”QKDQKD1,2 1,2 1 D. Mayers and A. C.-C. Yao, in Proceedings of the 39th Annual Symposium on Foundations of Computer Science (FOCS98) (IEEE Computer Society, Washington, DC, 1998), p. 503. 2 A. Acn, N. Brunner, N. Gisin, S. Massar, S. Pironio and V. Scarani, Phys. Rev. Lett. 98, 230501 (2007). 假设 q 量子力学是正确的; q 测量基的选择是完全随机的; q 信息不能随意从Alice和Bob的系统中泄露出去。 局限 q DI-QKD is highly impractical as it requires a near unity detection efficien
