基于非局域性正交乘積態的動態量子秘密共享方案

宋秀麗 李 闖

①(重慶郵電大學計算機科學與技術學院 重慶 400065)

②(重慶郵電大學網絡空間安全與信息法學院 重慶 400065)

1 引言

量子秘密共享(Quantum Secret Sharing,QSS)是量子密碼學的一個重要研究子領域，它將1個量子(經典)秘密分成多個份額，并將其分配給多個參與者，每個參與者擁有1個份額，只有多個參與者相互協作才能正確恢復出原始的秘密值。1999年，Hillery等人[1]發現對Greenberger-Horne-Zeilinger態的粒子執行測量，所得的結果具有關聯性，基于這一性質，他們提出了首個QSS方案。此后，糾纏態測量結果的關聯性引起了學者的廣泛關注，一些基于糾纏態的QSS方案相繼出現[1-4]，例如Karlsson等人[2]基于二粒子糾纏態的測量關聯性提出了QSS方案，并討論了如何抵抗外部攻擊者的竊聽攻擊或參與者的內部攻擊。

上述QSS方案都是基于糾纏態的非局域性設計的，后來一些學者基于經典通信和局域測量(Local Operations and Classical Communications,LOCC)將正交乘積基(Orthogonal Product Basis,OPB)中量子態完全區分開，提出了許多基于LOCC的正交乘積態QSS方案[5-7]，這些方案避免了量子態糾纏的開銷。除了基于LOCC的正交乘積態可作為量子資源態之外，Bennett等人[8]構建的非局域性正交乘積基量子態也可以作為量子資源態，其只有全局測量才能被區分。2002年，Walgate等人[9]對文獻[8]中構建的9個正交乘積態給出了簡單的局域不可區分的證明。之后一些學者研究了一般的非局域性正交乘積基的構造及其證明[10,11]，例如，2021年，Xu等人[11]給出高維非局域性OPB的最小化構造，并證明了Cd ?Cd系統中至少有 2d-4個正交乘積態是不能被局域區分的。目前，非局域性OPB量子態已經應用于量子秘密共享和量子簽名等領域[12,13]。其中，2022年，Fu等人[13]基于非局域性OPB態提出了一種多方QSS方案，該方案的量子網絡中，每個節點都擁有1個OPB態序列，用于共享秘密值，導致其量子資源開銷較大。

上述QSS方案中參與者人數是固定的，有一個參與者缺席將導致秘密共享不能成功，動態量子秘密共享[14-18]能有效解決這一問題。2013年，Hsu等人[14]基于Bell態糾纏交換提出了一個動態QSS方案，可以在不改變秘密的情況下，實現參與者加入或退出。Wang等人[15]指出文獻[14]中兩個不誠實參與者使用Bell態替換攻擊能竊取到分發者的秘密。2018年，Du等人[16]提出了可動態更新秘密和參與者份額的QSS方案，但是文獻[17]指出該方案也不能抵抗合謀攻擊。為了增強動態QSS方案的安全性，Li等人[18]提出了基于Bell態的動態QSS方案，該方案不僅能抵抗合謀攻擊，并且考慮了參與者欺騙攻擊的問題。

在基于非局域性OPB態的QSS方案中，當參與者人數增加時，量子資源開銷較大；現有大多數動態QSS方案中使用糾纏態共享秘密，量子資源制備的難度較大，并且這些方案的安全性有待提升，鑒于以上兩種QSS方案的局限性，本文以非局域性正交乘積態作為量子資源態，提出了一種多方參與者可動態加入或退出的量子秘密共享方案。與其他相似的QSS方案相比，提出的方案具有以下優勢：

(1) 非局域性OPB態作為量子資源態，不僅量子資源開銷較低，而且其非局域性在量子信息傳輸中擁有較好的安全性；

(2) 根據平方和定理將秘密進行分發和重構，可實現參與者人數的增加與減少，有較好的靈活性；

(3) 依據Rabin密碼思想設計驗證機制，測量結果驗證過程具有強安全性。

2 預備知識

2.1 平方和定理

在整數域 Zp中，p是一個無平方因子數，對于任意整數r ∈Zp，它可以表示成n ≥2個整數{r1,r2,...,rn}∈的平方數之和[19]

2.2 d維酉算子

定義1(d維Pauli算子)在d維量子空間中，通用的Pauli算子定義為，其中t ∈{0,1,...,d-1}，⊕是模d加法。

定義2(d維拉格朗日酉算子)由定義1可知，所有的通用酉算子集合 {U(0),U(1),...,U(d-1)}構成了一個有限循環矩陣群。以此循環矩陣群為基礎，可構造一個如式(2)所示的拉格朗日酉算子[20]

其中ω=。酉算子U(t)與M(θ)滿足如式(3)的交換和結合性質

定義3(d維 F變換及逆變換 F?)d維(d是奇數)希爾伯特空間中，定義F變換為

將其作用在 |k〉(k ∈{0,1,...,d-1}) 上， |k〉演變成。并且， 變換的逆變換 定義為FF?

將F?算子作用量子態(|k〉+|k ⊕1〉)，其演變為， 其 中k ∈{0,1,...,d-1}。

2.3 d維正交乘積態

在Cd ?Cd(d為奇數)系統中，最小化不可局域區分的正交乘積基[11]包含 2d-4個元素，它們表示為

其中 |j±(j+1)〉=(|j〉±|j+1〉)。特別的，將酉變換U(k)?Ok,k ∈{0,1,...,d-2}作用在量子態|〉 上，演變過程如式(7)，其中，如果k=1(mod2) ，酉算子Ok=U(1) ；如果k=0(mod2)，Ok為單位門I

3 基于非局域性正交乘積態的動態量子秘密共享方案

作為秘密序列的分發者，Alice在參與者集合B ={Bob1,Bob2,···,Bobl}中分發秘密值，且她從集合B中選取任意一個參與者Bobl作為半可信的驗證者，Bobl的職責是聯合Alice對測量結果進行驗證。本文所提方案主體上包括份額分發階段、粒子制備階段、秘密重構階段和測量結果驗證4個階段。如果有其他參與者想要加入或退出秘密共享方案，則執行后續的參與者加入與退出過程。

3.1 份額分發階段

Alice選擇一個合適的有限域 GF(d)，其中d是兩個素數d1,d2的乘積。Alice生成一個秘密值序列T={T1,T2,...,Tn}， 其中 {Tj ∈GF(d)|j=1,2,...,n}。以序列T為基礎，Alice根據等式(1)構建l×n矩陣

參與者Bobi(i=1,2,...,l)收到份額向量后，他們與Alice共同協商一個隨機數b∈Zn用于向量移位。

3.2 粒子制備階段

步驟1 Alice從集合{?,?,ψ}中 隨機選取n個粒子對，將這些粒子對的第1個粒子組成信息粒子序列PS={|p1〉S,|p2〉S,...,|pn〉S}，第2個粒子組成信息粒子序列QS={|q1〉S,|q2〉S,...,|qn〉S}，然后根據序列A={A1,A2,...,An} ，對序列PS中粒子|pj〉S(j=1,2,...,n)執 行酉算子M(ωj)得 到 |pj〉0=M(ωj)|pj〉S，參數ωj=π(2d-Aj′)/d,j′=1+((j+b-1)modn)，對應于圖1 的步驟①。隨后，A l i c e 從集合{Ψ±,Φ±} 中任意選取v個粒子對作為誘騙粒子插入到 序 列P0={|p1〉0,|p2〉0,...,|pn〉0}得 到 新 的 序 列，當Alice記錄序列Pˉ0中誘騙粒子的位置和初始態之后，她將序列發送給參與者Bob1。

圖1 方案主體流程圖

3.3 秘密重構階段

步驟2 Bob1收到序列后，Alice告知Bob1在中誘騙粒子對的位置和初始態，Bob1根據收到的位置信息，使用OPB基測量每對誘騙粒子。然后，Bob1將得到的測量結果與Alice告知的初始態進行比較。如果錯誤率高于閾值(一般選取2%～8%)，將會放棄本輪操作，開始新一輪協議；否則Bob1恢復出序列P0并執行步驟3。

步驟3 Bob1使用份額向量m1中的元素m1,j(j=1,2,...,n) 分別對相應的粒子 |pj〉0執行酉算子U(m) 得到U(m)|pj〉0，然后根據m1的第j′個元素m1,j′計算θ1,j=πm1,j′/d,j′=1+((b+j-1)酉算子M(θ1,j) ，得到|pj〉1=M(θ1,j)U(m)|pj〉0，modn) 。接著，Bob1對U(m)|pj〉0執行拉格朗日對應于圖1的步驟②。當P0中的所有粒子變換完畢，得到序列P1={|p1〉1,|p2〉1,...,|pn〉1}。

最后，Bob1從集合 {Ψ±,Φ±} 中隨機選擇v對誘騙粒子，將誘騙粒子插入到序列P1中得到一個新的序列，并將其發送給下一個參與者Bob2。

步驟4 參與者Bob2收到序列Pˉ1之后，執行類似于Bob1的步驟2和3。恢復出序列P1之后，Bob2首先使用隱私份額向量m2中的每一個元素m2,j(j=1,2,...,n) 分 別 對 相 應 的 粒 子 |pj〉1執 行U(m) 得 到U(m)|pj〉1，然 后根據m2中元 素m2,j′計 算 角 度θ2,j=πm2,j′/d，其 中j′=1+((b+j-1)modn) ，再次對U(m)|pj〉0執行拉格朗日酉算 子M(θ2,j) ，得 到 |pj〉2=M(θ2,j)U(m)|pj〉1，對應于圖1的步驟③。當序列P1中所有粒子變換完畢，得到序列P2={|p1〉2,|p2〉2,...,|pn〉2}。

最后，Bob2以誘騙粒子的傳輸模式將序列P2發送給參與者Bob3。其他參與者Bobi(i=3,4,...,l)執行類似于Bob2的操作步驟，直到最后一個參與者Bobl執行完酉變換得到序列Pl，對應圖1的步驟④。

步驟5 當所有參與者執行完自己的操作步驟之后，Alice將序列QS和向量E以誘騙粒子的模式發送給參與者Bobl，并且告知Bobl粒子對|pj,qj〉S(j=1,2,...,n) 的 制備時初態。Bobl根據向量E中元素Ej(j=1,2,...,n)對QS中粒子 |qj〉S執行Oracle算子OEj得到OEj|qj〉S( 如果Ej=1， 則OEj為酉算子U(1)；如果Ej=0 ，則OEj為單位門I)，將這個過程記為O變換，對應于圖1的步驟⑤。當序列QS中的n個粒子執行完畢，得到一個新的序列Ql={|q1〉l,|q2〉l,...,|qn〉l}。

步驟6 當Alice選取的粒子對|pj,qj〉S(j ∈{1,2,...,n})為 |ψ〉 時，B o bl對 |pj,qj〉l執 行(F ?F?U(d-1)) 變換得到 |pj,qj〉；當Alice選取的粒子對屬于 {|〉,|〉} 時，Bobl對 |pj,qj〉l不執行任何變換。當所有粒子對變換完成，Bobl得到新的粒子對序列{P′,Q′}={|p1,q1〉,|p2,q2〉...,|pn,qn〉時，將該過程記為F變換。

步驟7 Bobl使用OPB基對序列 {P′,Q′}中的n個粒子對執行測量操作，其中每個粒子對的量子態是集合 {|〉|〉,...,|?〉}中的一個元素，對應于 圖1 的 步 驟⑥。 量 子 態 集 合{|〉|〉,...,|?〉}與 經典整數集合 {0,1,...,d-2}之間的編碼關系為：{ |〉→0;|〉→1;...;|?〉→(d-2)}。那么，Bobl根據每個粒子對的量子態得到對應的整數，記為 {R1,R2,...,Rn}。

3.4 測量結果驗證階段

步驟8 針對測量結果Rj(j=1,2,...,n)，如果它不是 GF(d)中的平方剩余數，那么Bobl認為被測量的粒子對是不合法的，本次秘密共享協議中存在不誠實的參與者，放棄本次協議；否則對于合法的測量結果Rj，Bobl根據{r2≡Rj(modd1),r2≡Rj(modd2)} 計算出4個平方根rj,1,rj,2,rj,3,rj,4。然后，Bobl從平方根之中隨機選取一個元素rj,τ(τ ∈{1,2,3,4}) ，并使用安全單向函數H計算哈希值Hj=H(IDl||rj,τ×ml,j) ， IDl是Bobl的公開身份信息。最后，Bobl通過經典安全信道將{Hj|j=1,2,...,n}發送給Alice。

步驟9 Alice收到Bobl的{Hj|j=1,2,...,n}后，根據Bobl的份額向量中元素ml,j和 IDl，以及的平方根向量tj=(tj,1,tj,2,tj,3,tj,4)(Tj在tj中序號為Ij ∈{1,2,3,4} )，分別 計算{H=H(IDl||tj,u×ml.j)|u=1,2,3,4} ， 并將它們與Hj分別進行比對，如果有一個(u ∈{1,2,3,4})與Hj相等，則認為測量結果Rj驗證成功；反之，則告知Bobl本次秘密共享中存在不誠實的參與者，放棄本次協議。直到所有測量結果Rj被驗證成功后，Alice將Tj(j=1,2,...,n)在tj中的序號Ij作為標識信息通過經典安全信道發送給Bobl，此時Bobl確定Rj的平方根rj,Ij為秘密值Tj，最后將秘密序列T在參與者之間共享。對應圖1的步驟⑦。

3.5 參與者加入與退出過程

如果有其他t位參與者Bobl+1, Bobl+2, ···, Bobl+t想要加入到秘密共享過程之中，同時有一位參與者Bobk(k ∈{1,2,...,l})想要退出秘密共享過程，則他們執行以下操作：

參與者Bobk根據份額向量mk=(mk,1,mk,2,...,mk,n) 重新計算一個新的t×n矩陣

4 正確性證明

定理1若粒子對的初態為 |〉，先對其執行U(k)?Ok,k ∈{0,1,...,d-2}變換，然后再執行變換 (F ?F?U(d-1)) 得到量子態|〉。

證明對于初態 |ψ〉=|0〉?|0+1〉，對其執行U(k)?Ok變換，其中，若k=1(mod2)，則酉算子Ok為U(1)， |ψ〉 演變為 |ψ〉′=(|k〉?|1+2〉)；若k=0(mod2) ，則Ok為 單 位 門I， |ψ〉演 變 為(|k〉?|0+1〉)。 然后，對 |ψ〉′執 行(F ?F?U(d-1))變換將演變為|〉′′=(F ?F?U(d-1))|ψ〉′

引理1在份額重構階段，如果參與者Bobi(i=1,2,...,l) 對 序 列P0中 每 一 個 粒 子|pj〉0(j=1,2,...,n) 依次執行酉算子M(θi,j)U(m)，當所有參與者執行完畢，Bobl對序列QS中粒子 |qj〉S執行OEj變換，得到 |pj,qj〉l。Bobl對粒子對 |pj,qj〉l執行F變換后，Bobl使用OPB基測量序列 {P′,Q′}得到測量結果 {R1,R2,...,Rn}。當所有測量結果通過驗證后，所有參與者能共享正確的秘密值序列T={T1,T2,...,Tn}。

證明針對序列P0中的任意一個粒子|pj〉0(j=1,2,...,n) ，如果參與者Bobi(i=1,2,...,l)對其依次執行酉算子M(θi,j)U(m2i,j)，當所有參與者執行完畢之后，那么該粒子將演變為

由式(3)可知，通用酉算子U與拉格朗日酉算子M滿足交換性質，因此式(11)可改寫為

其 中，j′=1+((b+j-1)modn) 。 由 于|pj〉0=M(ωj)|pj〉S，混 淆 角度ωj=π(2d-Aj′)/d，其 中，那么式(12)可改寫為

當Bobl對序列QS中的粒子|qj〉S(j=(1,2,...,n))執行OEj操作之后，粒子對 |pj〉l ?|qj〉S演變為

5 安全性分析

5.1 抗共享秘密的泄露攻擊

在測量結果驗證階段，對于驗證者Bobl的每一個測量結果Rj(j=1,2,...,n) ， Bobl從Rj的4個平方根rj,1,rj,2,rj,3,rj,4中 隨機選取元素rj,τ(τ ∈{1,2,3,4})，計算Hj=H(IDl||rj,τ×ml,j)并通過經典信道將其發送給Alice。假設外部攻擊者Eve截獲了哈希值Hj，并想從Hj中獲取有效信息。如果Eve使用碰撞攻擊推測出 IDl||rj,τ×ml,j，雖然 IDl是公開信息，但Eve并不知道Bobl的隱私份額向量ml，且rj,τ對于她而言是未知的，那么Eve從碰撞攻擊中不能獲取到任何有用的信息。

5.2 抗截獲-重放攻擊性

假設存在一個攻擊者Eve，具有僅僅受限于量子力學原理的強大的計算能力，并且可以截獲量子信道的粒子或重放偽造的粒子，并試圖從截獲的粒子中獲得有效的信息。在秘密重構階段，假設Eve截獲了從Alice或Bobi(i ∈{1,2,...,l-1})傳輸給下一個參與者的序列，并試圖傳輸偽造序列P給下一個參與者以逃過Alice或Bobi對量子信道的竊聽檢測。因為序列Pˉi中包含v個誘騙粒子對，且這些誘騙粒子對是局域不可完美區分的，如果Eve想要正確測量出這些誘騙粒子對的量子態，前提是她知道每個誘騙粒子對在Pˉi中的位置并且使用正確的OPB基測量，然而Eve對誘騙粒子對的位置是未知的。如果Eve從截獲的粒子中隨機選擇一個粒子，這個粒子是誘騙粒子的概率是 2v/(n+2v)，從剩下的誘騙粒子中找到與之配對粒子的概率為1 /(2v-1)，那么這一誘騙粒子對被成功找出的概率為。對于v個誘騙粒子對，那么E v e 錯誤地找出這些誘騙粒子對的概率為。若誘騙粒子對數目v越來越大，Pe接近于1，Eve使用OPB基測量誘騙粒子引入錯誤的概率接近于1，那么偽造的序列P與原序列Pˉi不同的概率接近于1，Bobi+1在3.3節步驟3中能檢測到該錯誤。因此，本方案能抵抗截獲-重放攻擊。

5.3 抗糾纏-測量攻擊性

在糾纏-測量攻擊中，攻擊者Eve截獲分發者Alice或參與者Bobi傳輸的序列(i=0,1,...,l-1)中的粒子，執行酉操作UE將自己制備的附加粒子|ψ〉與截獲的粒子糾纏起來，并試圖通過測量附加粒子獲取有效信息。為了不失一般性，假設酉操作UE滿足式(15)

由式(17)可知，誘騙粒子與附加粒子并沒有發生糾纏，因此當Eve測量附加粒子時，不能獲得任何有用的信息。類似的，對于屬于正交基{σ0=|0〉,=|t±(t+1)〉|t=1,3,...,d-2}的 誘 騙 粒 子，Eve也執行酉操作UE將制備的附加粒子 |ψ〉與此誘騙粒子糾纏起來，如果Eve想要避開竊聽檢測，根據誘騙粒子只能出現的測量結果，附加粒子與誘騙粒子并不會產生糾纏關系，同理可證明，此時Eve也不能獲取任何有用的信息。因此，本方案可以抵抗糾纏-測量攻擊。

5.4 抗欺騙攻擊性

在秘密重構階段，假設不誠實參與者Bobr(r ∈{1,2,...,l-1}) 在 對 序 列Pr-1中 粒 子|pj〉r-1(j=1,2,...,n)執 行U(m)和M(θr,j)的過程中，使用虛假值r,j(j ∈{1,2,...,n}) 替 換真實的份額值mr,j，其他參與者都誠實地執行3.3節步驟4，Bobl執行完 步 驟5 后，序 列 {Ql,Pl} 中 第j和k(=1+(jb-1(modn)))個粒子對演變成

5.5 抗合謀攻擊性

合謀攻擊是指存在多個不誠實參與者聯合起來想獲取其他誠實參與者的份額值，目的是不需要這些誠實參與者參與就能恢復出秘密值。對于合謀攻擊，本節考慮以下兩種假設。

假設1Bobi-1(i ∈{2,3,···,l-2})和Bobi+1的合謀攻擊。

假設2Bob1和Bobl的合謀攻擊。

5.6 抗光學器件的非理想特性攻擊

以上理論安全分析是建立在量子態制備和測量是完美的前提假設，現有的光學器件中存在不滿足理論安全的非理想特性。針對實際系統中的弱相干光源引起的光子數分流攻擊，本方案使用與信息粒子具有不可區分性的OPB粒子作為誘騙態，這些誘騙態的平均光子數與信息粒子的平均光子數不同，通信雙方在對量子信道的安全檢測中，通過比較誘騙態的響應比脈沖可以判斷是否存在光子數分流攻擊。在量子信道中，攻擊者Eve可能發起的兩種特洛伊木馬攻擊：不可見光子攻擊和延遲光子攻擊。針對不可見光子攻擊，本方案中每個參與者可以在接收量子態序列之前添加濾波器，只允許接近合法波長的光子通過，這樣不可見光子就會被過濾掉。針對延遲光子攻擊，本方案中參與者在接收到通過濾波器的粒子序列之后，可以選取部分光子進行多光子率檢測，通過觀察多光子率是否超出閾值達到檢測延遲光子攻擊行為的目的。

6 性能分析

本節首先將本文方案與其他OPB態QSS方案(文獻[7,13])從信息粒子類型、粒子數量、計算消耗等5個方面進行比較，比較結果如表1所示。為了便于比較，這里規定各方案的屬性，l是多方參與者的人數，本方案每次共享1個d進制秘密，文獻[7,13]中共享長度為的二進制秘密序列。

表1 相似方案的性能比較

從表1可以得出，文獻[7]是基于3維OPB態的兩方QSS方案，參與者人數受到正交乘積態中粒子數量限制，在拓展至更高維量子系統以及多個參與者的秘密共享場景下存在較大局限性；文獻[13]使用2維多粒子OPB態拓展了參與者的人數，每個參與者都擁有1個OPB態，量子資源開銷較大。本方案使用d維OPB態拓展了正交乘積態QSS方案的量子維度，參與者人數可以動態調整，并且降低了參與者人數拓展時產生的量子資源開銷，具有更好的靈活性和通用性。

其次，本節將本文方案與其他動態QSS方案(文獻[16,18,21])主要從抗截獲-重放攻擊性、抗糾纏-測量攻擊性、抗合謀攻擊性等5個方面進行比較和分析，比較結果如表2所示。在表2中，文獻[18,21]和提出的方案能抵抗截獲-重放攻擊；在文獻[17]指出，文獻[16]中只需要兩個參與者就能獲取到分發者的秘密，因此不能抵抗合謀攻擊；與其他相似方案相比，只有文獻[18]和本方案考慮了內部參與者參與欺騙的安全問題，文獻[18]中分發者將秘密S的哈希值H(S)編碼在Bell態粒子中并發送給最后一個參與者，如果存在不誠實參與者Bobm使用虛假值R代替真實份額值Rm參與秘密重構，最后一個參與者測量粒子得到u1=S+(R-Rm)+和并將u1和u2在參與者之間公布，此時Bobm計算u2-u1=H(S)-S，其中 {H(S),S}∈GF(d)。在安全性不依賴于d是大整數的情況下，Bobm使用窮舉攻擊能以一定概率推測出秘密值，那么該驗證過程會泄露秘密值；本方案在粒子測量階段得到秘密的平方剩余，由于平方剩余與其平方根是一對多映射，隨機選取一個平方根實現對平方剩余的驗證，驗證過程中不會泄露有效信息，防止了秘密值的泄露。從分析可知，與其他相似方案相比，本方案的安全性能最優。

表2 相似動態QSS方案的安全性比較

7 結束語

本文提出基于非局域性正交乘積態的動態量子秘密共享方案。本文使用非局域性OPB態攜帶信息，并借鑒Rabin密碼思想設計驗證機制，保證了秘密共享和驗證過程具有較好的安全性。相對于現有基于OPB態QSS方案，本方案拓展了量子空間的維度，并且參與者人數動態增減，具有更好的靈活性和通用性；與相似的動態QSS方案相比，本方案具有更好的安全性。下一步工作是使用新的非局域性正交乘積態，進一步降低基于正交乘積態的QSS方案的量子資源開銷。