基于不同光源下的誘騙態雙向QKD協議研究*

張昌宏，李 鵬

(1.海軍工程大學 信息安全系,湖北 武漢 430033；2.中國人民解放軍92886部隊,山東 膠州 263000)

基于不同光源下的誘騙態雙向QKD協議研究*

張昌宏1，李 鵬2

(1.海軍工程大學 信息安全系,湖北 武漢 430033；2.中國人民解放軍92886部隊,山東 膠州 263000)

在量子密鑰分配系統的光源特征研究中，通過實驗分析了標記單光子源(HSPS)對基于誘騙態雙向QKD協議系統安全性的影響。首先，基于誘騙態方法和雙向QKD協議，給出使用HSPS的誘騙態雙向QKD協議中單光子、雙光子的計數率下限和誤碼率上限的計算公式；其次，計算出相應的安全密鑰率公式；最后通過數值模擬，比較了不同光源下的誘騙態雙向QKD協議的安全密鑰率和安全傳輸距離，模擬結果表明HSPS光源相比WCP光源在安全密鑰率和傳輸距離方面具有明顯優勢。

雙向QKD;光源;誘騙態

0 引 言

密碼的安全性由密碼算法設計的科學性和密鑰的保密性共同決定，如何使密碼通信雙方安全地獲取密鑰一直是信息安全領域關注熱點。量子通信協議的建立，擺脫了傳統密鑰分配協議中加密協議部分在量子通信過程中不可使用的困境，在此基礎上發展出的量子密鑰分配協議在未來的保密通信中將發揮出越來越明顯的技術優勢。量子密鑰分配(QKD,Quantum Key Distribution)，是指以量子物理基本原理為核心，在量子通信系統的雙方之間建立起無條件安全密鑰的過程，其密鑰分配方案通過將密鑰信息編碼在量子態中以確保密鑰的安全性。1984年，Bennett和Brassard提出了著名的BB84協議[1]，標志著量子密鑰分配理論的逐漸成型，但在實用領域由于裝置水平的限制等因素，量子通信的安全性仍然很難達到合理期望，因此，如何在通信雙方之間的有效距離內形成較為安全的密鑰成了研究的重點。近年來，諸如SARG04協議[2]、LM05協議[3]等一些基于參量下轉換光子對的誘騙態(decoy state)方法的量子密鑰方案相繼被提出，相比于傳統的BB84協議有了更為廣闊的發展前景。

1 誘騙態量子密鑰分配

1.1 光子數分束攻擊

理想的量子通信的安全性已經被量子的物理特性所保證，但大多數協議的設計建立在單光子源的基礎上。由于目前單光子源技術的不成熟，在實際QKD實驗中，使用的多為強衰減的弱激光脈沖，而不是理想的單光子源，因此不可避免地會出現多光子的情況。特別是，單光子脈沖在傳輸信道中會受到各種衰減，經過一段距離后，多光子脈沖占據了剩余脈沖的主要地位，此時，竊聽者Eve就可以通過光子數分束攻擊(PNS)，在通信雙方Alice和Bob不知情的情況下利用多光子攜帶的相同信息特性，來獲取Alice和Bob通信雙方之間的密鑰信息。而攻擊者可以通過將單光子脈沖全部攔截后丟掉，不讓其產生絕對安全的密鑰。因此，考慮到光子數分束攻擊的存在，傳統的量子通信協議在非理想條件下的傳輸距離和安全密鑰率都受到較大限制。

1.2 誘騙態方案

2003年，Hwang[4]提出了誘騙態方法，以更好地估計脈沖中的單光子比率，這使得QKD系統的安全密鑰率和最大安全距離都有顯著提升，并被證明是抵抗光子數分束攻擊(PNS)的最佳方案[5]。誘騙態方法的基本原理是，發送方Alice分別制備信號態和誘騙態兩種光子脈沖，這些冗余的誘騙態光脈沖與信號態光脈沖的唯一區別就是平均光強不同，根據不同強度下兩種態的相位和偏振都是隨機的特性，竊聽者Eve在不知情的情況下，不能分辨出截獲的信息是信號態光子還是誘騙態光子，只能對其完全接收。但接收方Bob通過對信號態和誘騙態分別進行計數，可以估計出信號態的單光子計數率下限和單光子誤碼率上限，最終可以得到誘騙態QKD協議的密鑰生成率和安全通信距離。

這一方案的設計思想得到了學界的廣泛認同，并出現了很多后續的改進方案。但總的來說，各個誘騙態協議具有的共同點，都是要設法在通信過程中利用不同光強下光源的不同特征，產生兩種或兩種以上的不同的光子數分布，借此對信道屬性進行估計，通過觀察光子數來測量是否有光子被竊取，最終得以判斷是否存在竊聽攻擊。

1.3 LM05協議

LM05協議是一種典型的量子密鑰分配方案，其具體工作流程如下：Bob在兩種垂直偏振態、兩種對角偏振態這四種偏振態中，選擇一種光子態和兩個基態(垂直偏振態)發送給Alice。與BB84協議類似，Alice利用控制模塊以c的概率對其進行光子測量，這將保證這一部分光子至少會具有和BB84協議一樣的安全性。而對于剩下的另一部分光子，Alice將以1-c的概率，通過對其進行翻轉(編碼為1)或不進行翻轉(編碼為0)進行編碼，然后，Alice將處理后的光子發回給Bob，Bob通過其中相同的量子比特來準確地解碼Alice的信息。可以看到，這種方法不需要經典信道，而是直接在量子信道之中進行通信，較以往的量子密鑰分配協議，有了明顯的突破。

需要指出的是，LM05協議并不能在信道被竊聽或者有噪聲時進行直接溝通。如果在其中使用糾錯協議，竊聽者Eve就會從中獲取大量的信息，我們并不能確定這些信息是否會泄露密鑰的相關信息；同樣，如果在其中使用保密增強協議，Bob就不可能完全獲得Alice的所有信息。目前而言，是否能夠安全可靠地在有噪聲或存在損失的信道中進行直接通信一直是眾多協議中存在的瓶頸難題，但盡管如此，LM05協議仍是通過量子信道進行直接通信的卓有成效的方案。因此，本實驗所使用的雙向QKD協議即采用LM05協議。

2 基于不同光源下的誘騙態雙向QKD協議分析

2.1 誘騙態雙向QKD協議設計

一般誘騙態量子密鑰分配的關鍵問題，是利用光脈沖檢測得出安全的單光子計數率的下限和單光子誤碼率的上限，但由于雙向QKD協議的設計，光子也會在雙向信道的兩次測量中出現損失。LM05協議中，采取了密鑰提純的方法并引入雙光子計數率這一參數，有效減少了由于雙向量子信道帶來的部分損失，因此，本實驗的設計采用LM05協議中的方法進行。

雖然，從理論上講，無限誘騙態的方法更便于計算而且能更精確地研究不同光源下對其不同的干擾，然而，對于一個實用裝置，其有限性是一個不可能改變的現實，因此，本文采用雙誘騙態的方法，考慮分別用光強度為v1，v2下的兩個誘騙態和光強度為μ下的一個信號態進行實驗，其中v1+v2<μ且v1+v2<1。這些條件并不意味著對μ值的約束，僅僅是為了確保其最大密鑰率，并可以在實驗中觀察Qv1，Qv2兩個誘騙態增益和Qu信號態增益。

由于理想的單光子源是理想QKD協議安全性的基礎，但其制備過程在實際使用中非常困難，因此在應用環境下，當前實驗使用弱相干光源(WCP)和標記單光子源(HSPS)近似代替理想單光子源。

2.2 基于WCP光源下的誘騙態雙向QKD分析

2.2.1 單光子和雙光子單獨計數

實驗采納SARG04協議中的方法對雙光子探測概率進行計算，但由于單光子計數率下限Y1本身不能直接在實驗中測量，而只能估計其下限，因此，首先需要對單光子的探測概率進行公式推導。記單光子計數率下限的形式為：

記在光強度v1，v2下的兩個誘騙態的增益分別為Qv1，Qv2，誤碼率分別為e1，e2，可以建立關于增益和誤碼率的方程：

(1)

(2)

假設在光源發射的脈沖中，不含有大于2的光子數的光脈沖，則式(2)可化簡為：

(3)

(4)

對于雙光子脈沖計數率的計算，由于實驗圍繞光脈沖中單光子和雙光子計數率展開，因此，可以對式(2)右邊的第二項進行改寫，令其為：

(5)

由此可得：

(6)

式(6)中，Y0的取值參考文獻[6]的計算值：

(7)

這里，存在以下不等式：

(8)

(9)

(10)

(11)

2.2.2 單光子和雙光子整體計數

以上分析僅考慮單光子雙光子計數率的準確性，但現實中由于探測裝置只能探測到光脈沖的有無，卻無法得知其確切的光子數。同時，由于信道干擾，無法完全根據Y1和Y2的函數關系確定接收到的究竟是單光子還是雙光子，因此本節的計算，將把Y1和Y2當作一個整體來觀察其在LM05協議中密鑰生成率下界的變化，并期望得到一個下界為Y1+Y2的函數。由于：

(12)

(13)

(14)

(15)

同樣，以考慮Y1+Y2整體增益這種方式，可得Y1+Y2下界的有效增益為：

(16)

考慮到實際傳輸時存在于信道中的誤碼率，假設所有誤碼差均來自單光子和雙光子檢測(以及暗計數)，可以得出：

EuQu=e0Y0e-u+εQ12(u)

(17)

式中，ε是有效誤差的有效臨界增益。最后，可以得到誤碼率的上限為：

(18)

2.3 基于HSPS光源的誘騙態雙向QKD分析

2.2節在基于WPC相干光源的情況下對雙向QKD協議進行了分析討論，本節將在基于HSPS光源的情況下對雙向QKD協議進行分析對比。由于二者的區別僅僅在于光子數分布不同，因此，僅需計算出在光子數分布不同的情況下，HSPS標記單光子引起的新的計數率和誤碼率的不同即可。

HSPS光源一般由單模自發參量轉換觸發機制產生，其產生的光子數分布如下式所示：

(19)

接收方Bob接受檢測到的第i個光子態的增益，可以用指數函數表示為：

(20)

同時，可以計算出第i個光子態的量子比特誤碼率(QBER)為：

(21)

經過整理，可以得到HSPS光源的總誤碼率為：

(22)

同2.2節的方法一樣，通過建立增益與誤碼率關系的方程，可以求得光子計數率的下限。首先，可計算增益為：

(23)

(24)

通過整理上式，可以得到基于HSPS光源下單光子、雙光子計數率下限為：

(25)

(26)

在此列出增益與誤碼率的相關方程：

(27)

(29)

2.4 安全密鑰率

在安全密鑰率的計算上，文獻[7]只涉及到單光子計數的安全密鑰率，但在雙光子態保密放大不超過單光子態的情況下，該框架可以被擴展到包括雙光子計數率的情況。因此，可以用2.3節中得到的公式，通過GLLP公式[7]來推導它們的安全密鑰率：

(30)

綜合上述單獨計數和整體計數的方法，得出其各自的安全密鑰率為：

(31)

(32)

需要說明的是，本實驗出于保密性能放大的要求，需從單光子和雙光子貢獻相結合的角度確定有效的誤碼率，因此，實驗舍棄這兩個比特數中較大的數值，以確保Eve竊取的信息量沒有被低估。量子比特的取舍參考文獻[8]中的公式：

(33)

3 實驗結果

根據HSPS的誘騙態雙向QKD協議中單光子、雙光子計數率的下限和在誤碼率上限的計算公式和相應的安全密鑰率公式，通過Matlab軟件進行數值模擬，可以得到使用不同光源的誘騙態雙向QKD協議的安全密鑰率和安全傳輸距離。為了數值計算的方便，實驗中統一采用弱+真空的誘騙態協議，令其中的一個光源強度無限趨近于0。在不考慮各種光強統計漲落的情況下，由于光纖在不同入射波長信號光作用下表現出不同的特性，光纖和探測器的具體數據選用如下的實驗參數。

表1 光纖、探測器實驗參數取值

首先，對上節兩種不同計數方法得出的R1+2和R12安全密鑰率作比較。圖1中，1線標注處為80 km，2線R1+2代表使用單雙光子單獨計數時，WCP光源的安全密鑰率隨傳輸距離變化的曲線，3線R12代表使用單雙光子統一計數時，WCP光源的安全密鑰率隨傳輸距離變化的曲線。顯然，R1+2無論是距離還是安全性都高于R12。

圖1 單雙光子單獨計數與統一計數的密鑰安全率曲線

接下來，將WCP相干光源在雙向QKD(LM05協議)下安全密鑰率R1+2隨距離變化曲線，與傳統WCP相干光源在普通QKD(BB84協議)下的曲線進行比較。圖2中，1線標注處為80 km，在使用單雙光子單獨計數時，2線R1+2代表WCP光源在雙向QKD下的安全密鑰率隨傳輸距離變化的曲線，3線代表WCP光源在普通誘騙態QKD下的安全密鑰率隨傳輸距離變化的曲線。

圖2 WCP光源在雙向QKD和普通QKD下的安全密鑰率曲線

由圖2可知，在傳統BB84協議有效的安全密鑰率范圍內，雙向QKD協議并沒有優勢，在一定的傳輸距離內，LM05協議使用的密鑰率較BB84協議存在較低的安全性。但同時能夠看到，雖然安全密鑰率較低，但雙向QKD協議延長了有效的通信距離。因此可以認為，在長距離(大于90 km)通信時，雙向QKD協議較之傳統的單向誘騙態協議具有優勢。

最后，在基于雙向QKD協議的條件之下，實驗比較WCP和HSPS兩種光源產生的密鑰率的變化。圖3中，1線標注處為80 km，在使用單雙光子單獨計數的條件下，2線為WCP光源的安全密鑰率隨傳輸距離變化的曲線，3線為HSPS光源的安全密鑰率隨傳輸距離變化的曲線。

圖3 WCP光源和HSPS光源的安全密鑰率曲線

由圖3可知，HSPS相比WCP，對此協議具有更好的適應性和安全性。通過將圖2、圖3對比可以發現，使用HSPS光源可以極大地擴展雙向QKD協議的傳輸距離。因此，相比傳統QKD協議，雙向誘騙態QKD協議在傳輸距離方面有著明顯的優勢，在保證一定安全性的基礎之上，未來研究的重心可以放在如何增大傳輸距離方面。模擬結果證明：HSPS光源相比WCP光源在雙向誘騙態協議中，在安全密鑰率和傳輸距離方面具有明顯優勢。

[1] Bennett C H, Brassard G. Quantum Cryptography: Public Key Distribution and Coin Tossing [J]. Theoretical Computer Science, 2014,560(1):7-19.

[2] Scarani, Acin A, Ribordy G. Quantum Cryptography Protocols Robust against Photon Number Splitting Attacks for Weak Laser Pulse Implementations [J]. Physical review letters，2004，20(6):119-124.

[3] Kwong H,Chau H F, Ardehali M. Efficient Quantum Key Distribution Scheme and a Proof of Its Unconditional Security [J]. Journal of Cryptology , 2005,18:133-140.

[4] Hwang W Y. Quantum Key Distribution with High Loss： Toward Global Secure Communication [J]. Physical Review Letters,2003,91(5):97-99.

[5] 唐少杰.量子通信中單光子源特性的研究[D].北京:北京郵電大學,2011. TANG Shao-jie.The Charatieristic Study of Single Photon Source in Quantum Communication[D].Beijing:BUPT,2001.

[6] Shaari J S, Bahari I,Ali S. Decoy States and Two Way Quantum Key Distribution Schemes Optics Communications[J]. Optics Communications,2011,284(2): 697-702.

[7] Gottesman, Lutkenhaus H K. Security of Quantum Key Distribution with Imperfect Devices[J]. Information Theory, 2004(06):27-33.

[8] Kwong H. Practical Decoy State for Quantum Key Distribution[J]. Virtual Journal of Quantum Information ,2005(07):46-55.

Decoy State Two-Way QKD Protocol under Different Light Sources

ZHANG Chang-hong1，LI Peng2

(1.Department of Information Security,Navy University of Engineering, Wuhan Hubei 430033, China;2.PLA Unit,92886; Jiaozhou Shandong 263000, China )

In the research on light source characteristics of QKD (Quantum Key Distribution) system, the effects of HSPS on the system sucurity based on the two-way QKD protocols of decoy state are analyzed. Firstly, the formula for lower and upper limits of the counting rate is given in the single-photon and two-photon case under the basis of decoy state method and two-way QKD protocols. Then, the formula of appropriate security key rate is calculated. Finally, through numerical modeling, the secure key rate and transmission distance are compared in different sources of decoy state two-way QKD protocol. Simulation result shows that HSPS enjoys obvious advantages over WCP in both secure key rate and transmission distance.

two-way QKD; light source; decoy state

date:2014-10-22；Revised date：2015-02-28

TP393

A

1002-0802(2015)04-0463-06

張昌宏(1964—)，男，碩士，副教授，主要研究方向為信息安全；

李 鵬(1986—)，男，碩士，助理工程師，主要研究方向為信息安全。

10.3969/j.issn.1002-0802.2015.04.016

2014-10-22；

2015-02-28