Évaluation de la sécurité des protocoles de communication quantique directe bidirectionnels contre l'écoute indétectable

Résumé

Nous considérons des attaques sur des protocoles de distribution de clés quantiques bidirectionnels dans lesquels un écouteur indétectable copie tous les messages en mode message. Nous montrons que sous ces attaques, il n'y a aucune perturbation en mode message et que l'information mutuelle entre l'expéditeur et le destinataire est toujours constante et égale à un. Il s'ensuit que les preuves de sécurité récentes pour les protocoles bidirectionnels ne peuvent être considérées complètes car elles ne couvrent pas les attaques considérées.

Contexte

La cryptographie quantique, en particulier les protocoles de distribution de clés quantiques (QKD), offre, contrairement à la cryptographie classique, une communication probablement incassable basée sur les propriétés quantiques physiques des porteurs d'information. Jusqu'à présent, les implémentations étaient principalement basées sur le protocole BB84, qui est inconditionnellement sécurisé pourvu que le taux d'erreur quantique (QBER) soit suffisamment bas. Cependant, le QBER dans les protocoles de type BB84 peut être élevé, et comme nous ne pouvons pas discriminer les inversions de bits de l'écouteur (Eve) de celles causées par les pertes et imperfections, la demande d'un QBER assez bas pour traiter les bits est souvent difficile à satisfaire, par exemple, BB84 à 4 états avec plus de 11 % et BB84 à 6 états avec plus de 12,6 % de perturbation (D) doivent être avortés (D est défini comme le pourcentage d'inversions de polarisation causées par Eve, maximum 0,5). Comme D ne peut être discriminé du QBER inhérent à la ligne, ces niveaux de QBER total sont insécurisés (l'information mutuelle entre l'expéditeur (Alice) et Eve (I_AE) surpasse celle entre Alice et le destinataire (Bob) (I_AB) : I_AE > I_AB pour D > 0,11, 0,126 respectivement) et ne peuvent donc être menés juste parce qu'Eve pourrait être dans la ligne.

En quête de protocoles plus efficaces, des protocoles bidirectionnels ont été proposés et implémentés. En particulier, des protocoles bidirectionnels à photons intriqués basés sur deux états de Bell (aussi appelé protocole ping-pong (pp)) et quatre (Ψ^∓, Φ^∓) d'une part, et un protocole déterministe à photon unique Lucamarini-Mancini (LM05) d'autre part. Plusieurs variantes, modifications et généralisations de ce dernier protocole sont données dans diverses références. Deux variantes ont été implémentées. L'ancien protocole pp a été implémenté par Ostermeyer et Walenta en 2008, tandis que le protocole à quatre états de Bell ne peut être implémenté avec des éléments d'optique linéaire. Dans les références susmentionnées, diverses estimations de sécurité ont été obtenues.

Dans une référence, Lu, Fung, Ma et Cai fournissent une preuve de sécurité d'un QKD déterministe LM05 pour le type d'attaque proposé dans d'autres travaux. Néanmoins, ils la revendiquent comme preuve de sécurité inconditionnelle de LM05. Dans une autre référence, Han, Yin, Li, Chen, Wang, Guo et Han fournissent une preuve de sécurité pour un protocole pp modifié et prouvent sa sécurité contre les attaques collectives dans un canal bruité et perdant.

Toutes les considérations de sécurité des protocoles bidirectionnels supposent qu'Eve attaque chaque signal deux fois, une fois sur le chemin de Bob vers Alice, puis plus tard sur le chemin de retour d'Alice vers Bob, et qu'en faisant cela, elle perturbe le signal en mode message. Cependant, comme nous le montrons ci-dessous, il existe d'autres attaques dans lesquelles une Eve indétectable code les signaux de Bob selon le codage d'Alice d'un signal leurre envoyé à elle et lu plus tard par Eve.

Dans cet article, nous montrons que dans les protocoles QKD déterministes bidirectionnels sous une attaque particulière d'interception et de renvoi, une Eve indétectable peut acquérir tous les messages en mode message (MM) et que l'information mutuelle entre Alice et Bob est constante et égale à un. Cela signifie que la sécurité des protocoles ne peut être établie via les procédures standard d'évaluation de la fraction secrète de longueurs de clés.

Méthodes

Nous analysons les attaques sur deux protocoles QKD bidirectionnels différents : à photons intriqués et à photon unique. En particulier, nous élaborons sur la procédure qui permet à Eve de lire tous les messages en mode message tout en restant indétectable. Ensuite, nous menons une analyse de sécurité, afin de calculer l'information mutuelle entre Alice et Eve, ainsi qu'entre Alice et Bob, en fonction de la perturbation qu'Eve pourrait introduire en écoutant. Finalement, nous appliquons les résultats obtenus sur la procédure qui vise à prouver une sécurité inconditionnelle des protocoles bidirectionnels.

Résultats et discussion

Protocoles bidirectionnels à photons intriqués

Nous considérons un protocole bidirectionnel à photons intriqués basé sur deux états de Bell (protocole pp). Bob prépare des photons intriqués dans l'un des états de Bell et envoie l'un des photons à Alice et garde l'autre dans une mémoire quantique. Alice renvoie soit le photon tel quel, soit agit dessus pour mettre les deux photons dans un autre état de Bell. Les états de Bell qu'elle envoie ainsi sont ses messages à Bob. Bob combine le photon qu'il reçoit d'Alice avec celui qu'il a gardé, et à un séparateur de faisceau (BS), il décode les messages d'Alice. De tels messages sont dits envoyés en mode message (MM). Il y a aussi un mode contrôle (CM) dans lequel Alice mesure le photon de Bob. Elle annonce le basculement entre les modes sur un canal public ainsi que les résultats de ses mesures en CM.

Nous définissons la base de Bell comme une base consistant en deux états de Bell :

$$ |\Psi^{\mp}\rangle=\frac{1}{\sqrt{2}}(|H\rangle_{1}|V \rangle_{2}\mp|V\rangle_{1}|H\rangle_{2}) $$

où |H〉_i (|V〉_i), i=1,2, représentent les états de photon polarisé horizontalement (verticalement).

Des paires de photons dans l'état |Ψ⁻〉 sont générées par une source de photons intriqués par conversion descendante. Pour envoyer l'état |Ψ⁻〉, Alice renvoie simplement son photon à Bob. Pour envoyer |Ψ⁺〉, elle place une lame à demi-onde (HWP(0°)) sur le chemin de son photon, comme montré Fig. 1b. La HWP change le signe de la polarisation verticale.

Au BS de Bob, les photons dans l'état |Ψ⁻〉 se séparent et ceux dans l'état |Ψ⁺〉 se regroupent.

Eve mène son attaque, conçue par Nguyen, comme suit : Elle place d'abord le photon de Bob dans une mémoire quantique et utilise une copie du dispositif de Bob pour envoyer à Alice un photon d'une paire convertie dans l'état |Ψ⁻〉 comme montré Fig. 2. Quand Eve reçoit le photon d'Alice, elle le combine avec l'autre photon de la paire et détermine l'état de Bell de la même manière que Bob. Elle utilise ce résultat pour générer le même état de Bell pour Bob en plaçant les HWP appropriés sur le chemin du photon de Bob.

Ainsi, Eve est capable de copier chaque message unique en MM et donc l'envoi de messages en MM équivaut à l'envoi de texte en clair « sécurisé » par CM. Nous reviendrons sur ce point plus tard.

Soulignons que les photons parcourent quatre fois la distance qu'ils parcourent dans BB84. Donc, si la probabilité qu'un photon soit détecté sur la seule distance Bob-Alice est p, la probabilité d'être détecté sur la distance Bob-Alice-Bob sera p⁴, ce qui, avec les pertes exponentiellement croissantes sur la distance, diminue aussi exponentiellement la probabilité de détecter la perturbation qu'Eve introduit en CM.

Protocoles bidirectionnels à photon unique

Nous commençons par une brève présentation du protocole LM05. Comme montré Fig. 3, Bob prépare un qubit dans l'un des quatre états |0〉, |1〉 (états propres de Pauli Z), |+〉, ou |−〉 (états propres de Pauli X) et l'envoie à son homologue Alice. En MM, elle modifie l'état du qubit en appliquant soit I, qui laisse le qubit inchangé et encode le logique 0, soit en appliquant i Y=ZX, qui inverse l'état du qubit et encode le logique 1. Alice renvoie maintenant le qubit à Bob qui le mesure dans la même base dans laquelle il l'a préparé et déduit déterministiquement les opérations d'Alice, c'est-à-dire ses messages, sans procédure de réconciliation de base.

L'attaque sur le protocole LM05 que nous considérons est proposée par Lucamarini. Elle est montrée Fig. 4. Eve retarde le photon (qubit) de Bob dans une bobine de fibre (une mémoire quantique) et envoie son propre photon-leurre dans l'un des quatre états |0〉, |1〉, |+〉, ou |−〉 à Alice, à la place. Alice code son message via I ou i Y et renvoie le photon. Eve le mesure dans la même base dans laquelle elle l'a préparé, lit le message, code le photon retardé de Bob via I, si elle a lu 0, ou via i Y, si elle a lu 1, et le renvoie à Bob.

Eve n'apprend jamais les états dans lesquels Bob a envoyé ses photons, mais cela est sans importance en MM puisque seul le fait de retourner ou non la polarisation code les messages. Alice n'a pas non plus besoin de connaître les états de Bob. Cela signifie qu'Eve ne pourrait être révélée qu'en CM dans lequel Alice effectue une mesure projective du qubit le long d'une base choisie au hasard entre Z et X, prépare un nouveau qubit dans le même état que le résultat de la mesure, le renvoie à Bob, et révèle cela sur un canal classique public, comme montré Fig. 4.

Soulignons que les photons dans LM05 parcourent deux fois la distance qu'ils parcourent dans BB84. Donc, si la probabilité qu'un photon soit détecté sur la seule distance Bob-Alice est p, la probabilité d'être détecté sur la distance Bob-Alice-Bob sera p² et Eve pourrait se cacher en CM exponentiellement mieux que dans BB84.

Sécurité des protocoles bidirectionnels

Dans un protocole BB84 avec plus de 11 % de perturbation, l'information mutuelle entre Alice et Eve I_AE est plus élevée que l'information mutuelle entre Alice et Bob I_AB et il faut l'avorter.

Pour nos attaques, il n'y a aucune perturbation (D) qu'Eve induit en MM et l'information mutuelle entre Alice et Bob est égale à l'unité :

$$ I_{\text{AB}}=1. $$

Par conséquent, contrairement à BB84, I_AB et I_AE ne sont pas des fonctions de D et cela nous empêche de prouver la sécurité en utilisant l'approche standard.

Aussi, dans une implémentation réaliste, il n'y a pas de D significatif en MM non plus. Quand Bob, par exemple, envoie un photon dans l'état |H〉 et Alice ne le change pas, alors Bob détectera |H〉 avec une probabilité proche de 1, avec ou sans Eve, et indépendamment de la distance. Le seul QBER qui dépend de la longueur de la fibre est celui qui provient des comptes sombres des détecteurs. Dans une implémentation récente d'un QKD unidirectionnel, le QBER total était sous 2 % sur une distance de 250 km. Nous pouvons pratiquement éliminer complètement les comptes sombres, et donc toute inversion de polarisation non contrôlée, en utilisant des détecteurs de photons à capteur de transition supraconducteur (TES). L'efficacité la plus élevée de tels détecteurs est actuellement supérieure à 98 %, et leur probabilité de compte sombre est pratiquement nulle.

Pour BB84, et pratiquement tous les protocoles unidirectionnels à photon unique récemment implémentés ou envisagés pour l'implémentation, la sécurité des protocoles est évaluée via le QBER critique en calculant la fraction secrète :

$$ r={\lim}_{N\to\infty}\frac{l}{n}=I_{\text{AB}} - I_{\text{AE}} $$

où l est la longueur de la liste formant la clé finale et n la longueur de la liste formant la clé brute, I_AB=1+D log₂D+(1−D) log₂(1−D) et I_AE=−D log₂D−(1−D) log₂(1−D) et leur intersection donne D=0,11. Équivalentement, r=1+2D log₂D+2(1−D) log₂(1−D) descend à 0 quand D atteint 0,11.

Nous n'avons pas une telle option pour nos attaques sur les protocoles bidirectionnels car il résulte des équations (2) et (3) que r n'est jamais négatif. En fait, il approche 0 seulement quand Eve est dans la ligne tout le temps.

Puisque D n'est lié au mode MM d'aucune façon, c'est à Alice et Bob de décider après quel D ils avorteraient leur transmission. Cependant, quel que soit 0≤D≤0,5 qu'ils choisissent, I_AB−I_AE sera toujours non-négatif, et ils n'auront pas de D critique comme dans BB84 où les courbes I_AB(D) et I_AE(D) se croisent pour D=0,11 en MM comme montré Fig. 5a. Pour les protocoles déterministes bidirectionnels, le niveau de D, qui est défini en CM (et non en MM), n'a aucun effet sur I_AB, c'est-à-dire qu'il n'y a pas de différence que D=0 ou D=0,5, comme montré Fig. 5b ; 0≤D<0,5 signifierait seulement qu'Eve n'est pas dans la ligne tout le temps, mais Bob obtient toujours l'information complète d'Alice : quand Eve n'est pas dans la ligne, parce qu'elle n'y est pas, et quand Eve est dans la ligne, parce qu'elle transmet fidèlement tous les messages d'Alice à Bob.

Nous pouvons supposer qu'Eve ne capte qu'une portion des messages pour maintenir le QBER en CM à un niveau bas (et avoir I_AE≤1) ce qui serait acceptable pour Alice et Bob. Avec cela à l'esprit, nous pouvons tenter d'effectuer l'évaluation de sécurité pour notre attaque et vérifier si les preuves de sécurité inconditionnelle menées pour d'autres types d'attaque sur LM05 pourraient s'appliquer à celle-ci aussi.

Dans la preuve de sécurité mentionnée, qui est revendiquée comme inconditionnelle, les auteurs affirment d'abord, dans la Section III.A, qu'Eve doit attaquer les qubits dans les canaux Bob-Alice et Alice-Bob pour obtenir les bits de clé d'Alice, et dans la Section III.B, Équation (1,3), ils supposent qu'Eve lit le qubit de Bob et induit une perturbation en mode message dans les deux canaux Bob-Alice et Alice-Bob (taux d'erreur e ; dernier paragraphe de la Section III.B et premier paragraphe de la Section III.F).

Cependant, dans les attaques considérées, Eve ne mesure pas les qubits de Bob. Elle les stocke simplement dans une mémoire quantique. Elle envoie ses propres qubits à Alice et lit si elle les a changés (Y) ou non (I). Ensuite, elle applique Y ou I aux qubits de Bob stockés et les renvoie à lui. Par conséquent, elle n'induit aucune perturbation dans le canal Alice-Bob non plus. Elle n'utilise pas non plus d'ancillas comme dans la référence. Par conséquent, l'analyse de l'obtention des bits de clé menée dans cette référence est inapplicable à notre attaque.

Donc, puisque la preuve de sécurité présentée dans cette référence s'applique seulement à l'attaque considérée en elle et non à l'attaque de Lucamarini ci-dessus, elle n'est pas universelle, c'est-à-dire qu'elle ne peut être considérée inconditionnelle.

Considérons maintenant si une procédure standard connue peut être utilisée pour établir la sécurité du protocole LM05. Dans le protocole, nous n'avons ni écrémage ni aucun taux d'erreur en mode message. Donc, la réconciliation d'erreur standard ne peut être appliquée non plus.

La seule procédure qui nous reste pour établir la sécurité est l'amplification de la vie privée. Quand Eve ne possède qu'une fraction de données, elle perdra la trace de ses bits et ceux d'Alice et Bob se réduiront. Eve pourrait être capable de récupérer des données en devinant les bits qu'elle manque et en réintroduisant tous les bits à nouveau dans la fonction de hachage. Si elle échoue, son information sera partiellement effacée. Cependant, Alice et Bob rencontrent un problème crucial pour concevoir leur procédure de sécurité (par exemple, fonction de hachage) qui garantirait qu'Eve ne garde aucune information sur la clé finale. Ils n'ont pas une quantité critique de bits d'Eve comme dans BB84 (11 %) qui sont explicitement inclus dans les équations de la procédure d'amplification de la vie privée.

En un mot, la vie privée qui devrait être amplifiée n'est pas bien définie. Concevoir un protocole pour une telle « amplification de vie privée à l'aveugle » est une entreprise complexe, et il est question de savoir si l'envoi de — en fait — texte en clair via MM sécurisé par une vérification occasionnelle des états de photons en CM nous offre un avantage ou une meilleure sécurité que le protocole BB84.

Dans le Tableau 1, nous listons les propriétés d'un protocole de type BB84 sous une attaque arbitraire vs protocoles bidirectionnels sous les attaques ci-dessus, qui semblent indiquer qu'il serait difficile de répondre à la question susmentionnée de manière positive.

Conclusions

Pour résumer, nous avons considéré des attaques déterministes sur deux types de protocoles QKD bidirectionnels (pp à photons intriqués et LM05 à photon unique) dans lesquels une Eve indétectable peut décoder tous les messages en mode message (MM) et avons montré que l'information mutuelle entre Alice et Bob n'est pas une fonction de la perturbation mais est égale à l'unité peu importe qu'Eve soit dans la ligne ou non. Eve induit une perturbation (D) seulement en mode contrôle (CM) et donc l'approche standard et les protocoles pour estimer et calculer la sécurité ne sont pas disponibles car ils supposent tous la présence de D en MM. En conséquence, un D critique ne peut être déterminé, la procédure standard de correction d'erreur ne peut être appliquée pour éliminer l'information d'Eve, l'efficacité de l'amplification de la vie privée est réduite, et la sécurité inconditionnelle ne peut être considérée comme prouvée. D'une certaine manière, l'envoi de la clé par Alice équivaut à l'envoi d'un texte en clair non chiffré « sécurisé » par un indicateur peu fiable de la présence d'Eve et de tels protocoles ne peuvent être considérés pour l'implémentation au moins pas avant qu'on ne prouve ou ne réfute qu'un nouveau type de procédures de sécurité pour de telles attaques déterministes peut être conçu.

Nous soulignons que pour décider si un protocole est inconditionnellement sécurisé ou non, il est sans importance qu'Eve puisse mener des attaques plus efficaces que celles considérées ci-dessus, pour un D choisi en CM. Une preuve de sécurité inconditionnelle doit toutes les couvrir.

Historique des modifications