基于單光子的多方半量子秘密共享方案

李雪楊 昌 燕 張仕斌 代金鞘 鄭 濤

(成都信息工程大學網絡空間安全學院 四川 成都 610225)

0 引 言

量子秘密共享是量子密碼學的一個重要分支，它是經典秘密共享和量子理論的結合，它使得秘密信息(經典信息或量子編碼信息)通過量子操作分發、傳輸和恢復。量子秘密共享的安全性基于量子力學的基本原理，這使得量子秘密共享比傳統的秘密共享更為安全。

最早的量子秘密共享方案由Hillery等[1]提出，該方案采用Greenberger-Horne-Zeilinger(GHZ)糾纏態粒子完成了秘密共享。此后，越來越多的基于Bell糾纏態或多粒子糾纏態的量子秘密共享方案被提出[2-8]。然而，Bell態或多粒子糾纏態制備的困難性表明基于糾纏態的量子秘密共享方案在某些情況下是不值得的，畢竟實用性是量子信息論的重要追求，這些技術障礙使得此類量子秘密共享方案的實用性大大降低。對此，Guo等[9]提出一種無糾纏的量子秘密共享方案，該方案利用單粒子完成了經典信息的秘密共享。Yan等[10]提出一種無糾纏的多方和多方之間的量子秘密共享方案，但隨后文獻[11]指出該方案在粒子傳輸上存在安全隱患，造成秘密信息泄露，并給出了相應改進措施。此類量子秘密共享方案雖然沒有采用糾纏態粒子的糾纏特性完成秘密共享，但很難保證粒子傳輸的安全性。且現有的量子秘密共享協議大都要求通信雙方具有完備量子能力，成本和量子資源的限制嚴重阻礙了量子秘密共享實現商業化和大眾化。

半量子密碼通信是量子通信的一個研究分支，指具有完備量子能力和存在限制量子能力的通信者間的通信。它不要求通信雙方都具有完備的量子能力，卻又通過量子力學特性提升了通信過程的安全性，同時減少了對量子設備資源的依賴。Boyer等[12]提出了半量子協議的定義和應用思路，并基于半量子思想提出了第一個基于BB84的半量子密碼協議。此后，研究人員開始研究基于半量子思想的量子密碼協議，將半量子密碼概念應用于量子密鑰分發、量子直接通信、量子隱私比較、量子秘密共享等量子密碼學任務[13-16]。Li等[17]將半量子思想擴展到量子秘密共享，提出了兩個基于類GHZ態的半量子秘密共享方案。Wang等[18]提出了一種基于兩粒子糾纏態的半量子秘密共享方案。Li等[19]提出了一種兩粒子乘積態的半量子秘密共享方案，用|+〉|+〉態作為初始態，完成了三方秘密共享，這使得量子秘密共享方案更具有實用性且減少了量子資源的消耗。Xie等[20]提出了一種基于類GHZ態的半量子秘密共享協議；Ye等[21]提出了一種基于單光子的環形半量子秘密共享協議?？梢姡肓孔油ㄐ攀且环N具有實踐意義的通信方案，它在保證通信安全性的同時大大減少了對量子資源的依賴。受半量子密碼啟發，本文提出一種基于單光子的多方半量子秘密共享方案，僅采用單粒子完成多方之間的秘密共享，且降低了對量子設備的依賴，便于在實踐中實施。

1 預備知識

1.1 量子秘密共享

量子秘密共享是經典秘密共享與量子密碼的結合，它基于量子力學的特性來提升秘密共享的安全性。量子秘密共享中秘密分發者將經典信息編碼拆分為量子態，參與者通過量子通信收到量子態后，通過量子操作恢復出秘密信息的一部分，每個參與者只能通過誠實合作才能恢復出原始秘密信息。

1.2 半量子密碼通信

半量子密碼通信指通信雙方中一方擁有完備量子能力(量子方)，另一方擁有受限的量子能力(經典方)，規定經典方只能進行如下操作：

(1)用Z基測量粒子；

(2)不測量粒子，將粒子直接反射給量子方；

(3)以Z基制備粒子發送給量子方；

(4)重新對收到的粒子序列進行排序。

半量子密碼通信不嚴格要求通信雙方具有完備量子能力，減少了對量子資源的依賴，卻又具備量子密碼的特性，提升了安全性。

2 方案設計

假設秘密分發者Alice準備和n個接收者Bobi完成長度為M的秘密信息共享。Alice擁有量子能力，而Bobi只擁有經典能力。為完成與Bobi共享Alice密鑰的任務，本文采用單光子構造了多方半量子秘密共享方案。

定義經典方Bobi擁有的兩種操作：

(1)用Z基({|0〉,|1〉})測量收到的粒子，并制備一個相同量子態的新粒子發送給Alice(簡稱為MEASURE)。

(2)將粒子沒有干擾地返回給Alice(簡稱為REFLECT)。

方案具體步驟如下：

步驟1秘密分發者Alice制備一串長度為M+T的單光子序列|S〉，其中每個單光子|Si〉隨機處于四個量子態{|0〉,|1〉,|+〉,|-〉}之一。

步驟2Alice將|S〉發送給接收方Bob1。Bob1收到來自Alice的所有粒子后，Bob1隨機的選擇M個粒子進行MEASURE，并對剩下的T個粒子進行REFLECT。Bob1將M個粒子的測量結果表示為經典信息，記為KB1。

步驟3Alice確認收到Bob1的M+T個粒子后，Bob1向Alice公布他選擇MEASURE和選擇REFLECT的粒子的位置。

下面以Alice與Bob1、Bob2、Bob3、Bob4的秘密共享為例，舉例了M=10、T=5時的五方半量子秘密共享過程，KA=KB1XORKB2XORKB3XORKB4，其中MEASURE和REFLECT操作簡記為M和R：

Alice發送的粒子序列|S〉

|+-++1,-0+10,011+0〉

Bob1對接收粒子執行的操作

MRMMR,MMMMR,MRRMM

Bob1的測量結果的經典信息KB1

101,1011,010

Bob1發送以及反射給Alice的粒子序列

|1-011,10110,01110〉

Bob2對接收粒子執行的操作

RMRRM,MMRRM,MMMMM

Bob2的測量結果的經典信息KB2

11,000,01110

Bob2發送以及反射給Alice的粒子序列

|+1++1,00+10,01110〉

Bob3對接收粒子執行的操作

MMRRM,MRRMM,RMMMM

Bob3的測量結果的經典信息KB3

111,010,1100

Bob3發送以及反射給Alice的粒子序列

|11++1,00+10,01100〉

Bob4對接收粒子執行的操作

RRMMM,MRMMM,RMMMR

Bob4的測量結果的經典信息KB4

001,0010,111

Bob4發送以及反射給Alice的粒子序列

|+-001,00010,01110〉

Alice的秘密信息KA

1011101111

3 安全性分析

本方案可以有效抵御內部參與者和外部攻擊，保證量子秘密信息共享的安全性。

3.1 內部攻擊

任意內部參與者Bobi無法通過截獲/重發攻擊來獲取利益。

假設Bobi截獲Alice發送給Bobj的粒子序列，然后Bobi制備一串新的長度為M+T的粒子序列發送給Bobj，如根據自己的利益制備由|0〉或|1〉構成的粒子序列發送給Bobj。由于Bobi不知道Bobj選擇MEASURE和REFLECT的位置，Alice收到Bobj的粒子后，可以通過竊聽檢測發現異常，因為Bobi制備的粒子序列不與Alice制備的粒子序列相同，Alice可以通過檢查Bobj執行REFLECT操作的粒子來發現異常。

任意內部參與者Bobi無法通過測量/重發攻擊來竊取他人的測量結果的經典信息KBj。

假設Bobi截獲并測量Bobj發送給Alice的粒子序列，并將測量后的粒子序列重新發送給Alice，企圖在Bobj公布選擇MEASURE和REFLECT的粒子的位置后確定KBj。但此前Bobi不知道Bobj選擇MEASURE和REFLECT的位置，因此Alice可以通過檢查Bobj執行REFLECT操作的粒子來發現異常。

此外，任意內部參與者Bobi無法通過猜測其他參與者測量結果的經典信息推測出Alice的完整秘密信息KA。

長度為M的秘密信息KA由KB1，KB2，…,KBn按位異或得到。對于每一位異或值，假設Bobi有50%的概率猜對其他參與者測量結果的經典信息的異或值，可以根據統計數據定量評估Bobi成功推斷整個消息秘密信息KA的概率Pinfer。

(1)

式中：k表示Bobi正確猜測的異或值的總數；M表示整個秘密信息KA的長度。概率Pinfer符合二項分布和二項式系數。

(2)

通過計算M=256、M=512、M=1 024、M=2 048時Bobi正確猜測異或值的數量k下的概率Pinfer可知，對于不同的M，Pinfer在區間(0,k)上存在它的最大值(Pmax(M=256)≈0.057 5，Pmax(M=512)≈0.040 7，Pmax(M=1 024)≈0.028 8，Pmax(M=2 048)≈1.480 4×10-102)，并且隨著M的增大而減小。因此任意內部參與者Bobi無法通過猜測推測出完整秘密信息KA。

3.2 外部攻擊

外部竊聽者Eve或任意內部參與者無法通過糾纏/測量攻擊來獲取利益。

假設攻擊者Eve截獲秘密共享過程中Alice發送給Bob的粒子串|S〉以及Bob執行MEASURE和REFLECT操作后發送給Alice的粒子串|B〉，并通過單一操作矩陣運算E將新的輔助粒子e與|S〉或|Bi〉(|Si〉={|0〉、|1〉、|+〉、|-〉}，|Bi〉={|0〉、|1〉})纏繞在一起形成一個更大的希爾伯特空間，那么可能出現的4種系統態如下：

E?|0e〉=a|0e00〉+b|1e01〉

(3)

E?|1e〉=b′|0e10〉+a′|1e11〉

(4)

式中：a、a′、b、b′是概率幅度參數。

a′|e11〉)+|-〉(a|e00〉-b|e01〉+

b′|e10〉-a′|e11〉)]

(5)

a′|e11〉)+|-〉(a|e00〉-b|e01〉-

b′|e10〉+a′|e11〉)]

(6)

其中，E是Eve的單一操作矩陣，表示為：

(7)

由E運算符決定的四個{e00,e01,e10,e11}純狀態滿足歸一化條件：

(8)

因為EE*=1,a,b,a′,b′滿足以下關系：

|a|2+|b|2=1 |a′|2+|b′|2=1ab*=(a′)*b′

(9)

可以獲得結果：

|a|2=|a′|2|b|2=|b′|2

(10)

如果Eve的攻擊粒子處于糾纏態，這種竊聽者的干擾最終將不可避免地引入錯誤，Alice可以通過PE的概率在竊聽檢測過程中檢測到竊聽者的存在。

PE=|b|2=1-|a|2=|b′|2=1-|a′|2

(11)

如果Eve不想引入誤差，則總粒子必須與Eve的輔助粒子以直積態相關。然而，在直積態下，輔助粒子e與|Si〉粒子或|Bi〉粒子之間沒有任何相關性，因此Eve沒有得到任何有用信息，這證明了糾纏/測量攻擊是徒勞的。

4 結 語

本文分析了之前主要的基于糾纏態的量子秘密共享方案，以及半量子秘密共享方案，并提出一種基于單光子的多方半量子秘密共享方案。該方案僅采用單粒子完成了量子方與多個半量子方之間的秘密共享，可以應用在更貼近實際的量子通信網絡中，如Alice作為量子方，由網絡信息服務供應商來充當，Bobi等經典方代表網絡中的普通客戶，達成安全可靠的多方秘密共享。

與以前的量子秘密共享方案不同，本文方案的優點歸納如下：(1)本文秘密共享方案不依賴于糾纏態粒子，而是采用單粒子，在實際中具有更強的實用性。(2)本文協議不需要經典方具備完備量子能力，降低了量子設備資源的需求。(3)本文完成了秘密分發者與多方間的秘密共享，而不僅限于三方間的秘密共享。安全性分析表明，本文方案能夠抵御內部攻擊和外部糾纏攻擊，在當前技術下是安全可行的。