Дифференциальный фазовый сдвиг

Дифференциальный фазовый сдвиг (англ. DPS(Differential-phase-shift)) — протокол квантового распределения ключа, который был предложен в 2002 году Иноуэ, Ваксом и Ямамото. Протокол использует для кодирования информации дифференциальный сдвиг ослабленных когерентных состояний света. Носителями информации являются 2-х уровневые системы, называемые кубитами (квантовыми битами).

Введение

Квантовое распределение ключей(КРК) обеспечивает предотвращение утечки защищаемой информации и несанкционированных воздействий на защищаемую информацию основываясь на законах квантовой физики. В нем cекретный ключ для шифрования сообщения основываясь на квантовой механике безопасно разделяется между двумя легальными участниками обмена информацией(Алисой и Бобом). При этом криптоаналитик(Ева), имеющий доступ к каналу связи, не может получить доступ к полезной информации. DPS является одним из распространенных протоколов КРК. В отличае от других он не имеет процедуры выбора базиса, при этом требуя простую конфигурацию для реализации. Также преимуществом является устойчивость к атаке с расщеплением числа фотонов, которая является проблемой для BB84. Эксперименты КРК с данным протоколом точки показали рекордные значения с точки зрения зрения расстояния передачи и скорости создания ключа, хотя безопасность сгенерированного ключа была ограничена из-за общей индивидуальной атаки.

Описание протокола

Алгоритм распределения ключей

Алгоритм распределения ключей в протоколе dps.

1) Алиса генерирует последовательность когерентных импульсов, которые ослабляются так, что среднее число фотонов на импульс меньше 1, случайным образом модулируется по фазе на 0 или π и отправляется по квантовому каналу Бобу.

2) Каждый фотон когерентно распространяется на множество импульсов с фиксированной фазовой модуляцией.

3) На стороне приемника Боб делит поступающие импульсы на два пути и объединяет их, используя светоделители 50/50. Временная задержка, вносимая его интерферометром, равна обратной частоте тактового генератора или же равна временной разнице между последовательными импульсами.

4) Однофотонные детекторы размещены на выходных портах второго светоделителя. После прохождения интерферометра Боба последовательные импульсы интерферируют на выходном светоделителе, и то, какой детектор регистрирует событие обнаружения, зависит от разности фаз двух импульсов. Если интерферометр правильно отрегулирован, детектор 1 записывает событие, когда разность фаз равна 0, а детектор 2 записывает событие, когда разность фаз равна π.

5) Поскольку среднее число фотонов на импульс меньше единицы, Боб фиксирует фотон только изредка и в случайные моменты времени. Боб публично объявляет случаи, когда фотон был обнаружен, но он не раскрывает, какой детектор его обнаружил.

6) По своим данным модуляции Алиса знает, какой детектор на сайте Боба записал событие. Таким образом, назначая события обнаружения, записанные детектором 1 и 2, как биты 0 и 1 соответственно, они могут совместно использовать идентичную битовую строку.

Криптоанализ

Введение

Безопасность протокола DPS проистекает из недетерминированного коллапса волновой функции при квантовом измерении. В частности, если число импульсов во времени когерентности источника Алисы равно $n_{p}$, то каждый из фотонов Алисы находится в суперпозиции всех состояний, которые соответствуют $n_{p}$ моментам времени, с соответствующей фазой, примененной к каждому из них. Общая волновая функция является результирующим состоянием этих отдельных фотонных состояний. На стороне Боба обнаружение в определенный момент времени $n$ показывает разность фаз между импульсами в моменты времени $n$ и $n+1$, что соответствует одному биту информации. Однако эти события происходят совершенно случайным образом, поэтому Ева(перехватчик) не может определенным образом свернуть волновую функцию в один и тот же момент времени и получить тот же бит информации, что и Боб.

Атака светоделителем

В атаке светоделителем, Ева использует светоделитель для получения когерентных копий квантового состояния импульсов, которые Алиса посылает Бобу. Она также заменяет квантовый канал с потерями на канал без потерь, а несовершенные детекторы в приемном устройстве Боба - на идеальные. Предположение, что Ева может заменить несовершенные детекторы Боба совершенными, может показаться нереальным. Тем не менее, есть несколько способов, которыми Ева может улучшить характеристики детекторов Боба. Например, Ева может изменить длину волны фотонов в область с более высокой эффективностью обнаружения. Аналогичный аргумент может быть применен к скорости счета темных. Чтобы объяснить это, анализ безопасности основывается на консервативном предположении, что Ева контролирует квантовую эффективность и скорость темнового счета детекторов Боба.

Подобная атака не вызывает ошибок в коммуникации между Алисой и Бобом. Следовательно, она дает Еве полную информацию, что соответствует вероятности коллизии для каждого бита $p_{c_{0}}=1$, для доли бит, равной $2\mu (1-T)$, где $\mu$ - среднее количество фотонов за импульс, а $T$ - общая эффективность передачи квантового канала и оборудования Боба. Для оставшейся $1-2\mu (1-T)$ доли битов Ева не получает никакой информации, что означает, что $p_{c_{0}}=1/2$ для этих битов. Этот результат показывает, что взаимная информация между Евой и Бобом не зависит от эффективности передачи системы $T$, если $T<<1$. Следовательно, в случае $T<<1$, взаимную информацию между Евой и Бобом можно сделать небольшой, просто выбрав малый $\mu$, который не зависит от $T$.

Атака перехватом и пересылкой

Воспользовавшись присущей системе частотой ошибок, Ева также может применить атаку перехватом и пересылкой на некоторые импульсы, которые отпрравит Бобу после своего светоделителя. В этой атаке, Ева перехватывает некоторые импульсы, позволяет им проходить через интерферометр, идентичный Бобу, измеряет разности фаз, и в соответствии с результатом своего измерения она отправляет Бобу соответствующее состояние. В случае неточного или вакуумного результата она отправляет вакуумное состояние. Тогда как, когда она измеряет один фотон, она посылает фотон, разделенный на два импульса с правильной разностью фаз 0 или π, примененной между ними. Когда этот фотон прибывает к Бобу, он его подсчитывает, возможно, в три момента времени. Когда Боб измеряет центральный момент времени, он не обнаруживает подслушивание, потому что он получает правильную разность фаз. Тем не менее, с вероятностью 50% он измеряет дополнительные моменты времени, которые дают случайные, некоррелированные результаты, а с вероятностью 50% они приводят к ошибке.Следовательно, эта атака вызывает общую ошибку 25% в связи между Алисой и Бобом. Это означает, что если частота ошибок системы равна $e$, Ева может применить свою атаку к фракции из $4e$ фотонов, чтобы не превысить эту частоту ошибок. С вероятностью 50%, то есть вероятностью того, что Боб измеряет центральный момент времени для повторно отправленного фотона, Ева получает полную информацию для этих перехваченных фотонов, что означает, что $p_{c_{0}}=1$ для доли из $2e$ битов. Ева не получает никакой информации об оставшихся битах.

Гибридная атака

Если объединить атаку светоделителем с атакой перехватом и пересылкой, то доля битов, для которых у Евы нет информации, то есть для которых $p_{c_{0}}=1/2$, равна $1-2\mu (1-T)-2e$, при этом она получает полную информацию для остальных битов. Таким образом, если $n$ - длина ключа, средняя вероятность совпадения между битами, принадлежащими Бобу и Еве, определяется выражением:

$p_{c_{0}}=p_{c_{0}}^{n}=(1/2)^{n[1-2\mu (1-T)-2e]}$

Коэффициент уменьшения приватности:

$\tau =-{\log _{2}p_{c} \over n}=1-2\mu (1-T)-2e$

А коэффициент генерации секретного ключа:

$R_{DPS}=\nu p_{click}{\tau +f(e)[elog_{2}e+(1-e)log_{2}(1-e)]}$,

где $\tau$ это коэффициент уменьшения приватности, $p_{click}$ - вероятность того, что Боб обнаружит фотон в заданном такте, $\nu$ - частота повторения передачи, а $f(e)$ - функция характеризующая производительность алгоритма коррекции ошибок.

Для случая незначительной частоты ошибок и $p_{dark}<<p_{signal}<<1$:

$R_{DPS}\thickapprox \nu \mu T(1-2\mu )$,

где $\mu$ - среднее количество фотонов за импульс, а $T$ - общая эффективность передачи квантового канала и оборудования Боба.

Вывод

Используя методы теории обобщенного усиления конфиденциальности можно подобрать длину секретного ключа как:

$r=n\tau -\kappa -t$

где $n$ - длина полученной в процессе обмена по протоколу DPS Алисой И Бобом последовательности бит, $\kappa$ - количество битов, раскрытых во время коррекции ошибок, $t$ - параметр безопасности, а $\tau$ это коэффициент уменьшения приватности.

В этом случае криптоаналитик использующий перечисленные атаки не сможет извлечь секретный ключ из полученных данных.