一种可信中继量子通信方法及系统

摘要

本发明涉及一种可信中继量子通信方法及系统。该方法包括：1)中继站分别与相邻的两个终端通过QKD生成两个量子密钥，然后通过异或运算计算两个量子密钥的异或值，并销毁所述两个量子密钥；2)中继站将通过异或运算得到的异或值公开给通信终端；3)通信终端在量子通信中利用本地量子密钥和所述异或值对消息进行加解密运算。本发明的异或值公开方案的安全性与存储异或值的加密方案是等价的，只要在生成异或值密钥后安全地销毁密钥，则该加密方案是无条件安全的。本发明不但可以简化系统复杂性，减少中继站的操作，而且能够在一定程度上减小多次传输产生的错误率。

权利要求

1.一种可信中继量子通信方法，其特征在于，包括以下步骤：

1)中继站分别与相邻的两个通信终端或中继站通过QKD生成两个量子密钥，然后通过异或运算计算两个量子密钥的异或值，并立即安全地销毁所述两个量子密钥；

2)中继站将通过异或运算得到的异或值公开，使得所有通信终端能够得到异或值；

3)通信终端在量子通信中利用本地量子密钥和所述异或值对消息进行加解密运算。

2.根据权利要求1所述的方法，其特征在于，所述中继站为一个或多个，所述通信终端为两个或多个。

3.根据权利要求2所述的方法，其特征在于，所述中继站为一个，所述通信终端为两个；

设k1和k2分别表示中继站通过QKD与两个通信终端A和B生成的量子密钥，a1表示k1和k2的异或值，m表示消息，则步骤3)包括：

3-1)通信终端A以k1作为加密密钥，将消息m加密后，发送 给通信终端B；

3-2)通信终端B以a1和k2作为解密密钥，计算 即得到消息m。

4.根据权利要求2所述的方法，其特征在于，所述中继站为多个，所述通信终端为两个；

设有n段量子通信，n-1个量子中继站，每个中继站与左右中继站或通信终端通过QKD生成两个密钥，ai表示该两个密钥的异或值，m表示消息，则步骤3)包括：

3-1)通信终端A以通信终端A与第一个中继站生成的密钥k1作为加密密钥，将消息m加密后，发送 给通信终端B；

3-2)通信终端B以各中继站公开的异或值ai以及通信终端B与最后一个中继站生成的密钥kn作为解密密钥，计算 即得到消息m。

5.根据权利要求2所述的方法，其特征在于，所述通信终端为至少三个时，将每两个通信终端之间所有公开的异或值再进行异或计算，通信终端利用得到的异或值进行解密以获得消息。

6.根据权利要求5所述的方法，其特征在于，原始密钥不能多次使用，以对抗内部攻击者。

7.一种用于可信中继量子通信的中继站，其特征在于，包括：异或运算模块，负责对与相邻的两个通信终端或中继站通过QKD生成的两个量子密钥进行异或运算，然后立即安全地销毁所述两个量子密钥；

异或值公开模块，负责将所述异或运算模块得到的异或值公开，使得所有通信终端能够得到异或值，以便所述通信终端在量子通信中利用所述异或值对消息进行加解密运算。

8.一种用于可信中继量子通信的通信终端，其特征在于，包括：接收模块，负责接收权利要求7所述用于可信中继量子通信的中继站公开的量子密钥的异或值；

通信模块，负责利用本地量子密钥和所述异或值对消息进行加解密，以实现量子通信。

9.一种可信中继量子通信系统，其特征在于，包括权利要求7所述的用于可信中继量子通信的中继站，以及权利要求8所述的用于可信中继量子通信的通信终端。

10.根据权利要求9所述的系统，其特征在于，所述中继站为一个或多个，所述通信终端为两个或多个。

说明书

一种可信中继量子通信方法及系统

技术领域

[0001] 本发明属于量子通信技术领域，具体涉及一种可信中继量子通信方法及系统。

背景技术

[0002] 对于可信中继量子通信系统，最初的加密方案是：终端加密通信消息m后，中继站再利用各点对点量子密钥分配系统生成的密钥对密文进行加解密逐级传输。一旦任意一个
中继站被攻击，整个系统将不具有安全性。

[0003] 存储密钥异或值进行加密的方式是每个中继站对与相邻两端通过QKD(Quantum Key Distribution，量子密钥分配)生成的密钥进行异或运算，然后立即销毁密钥并将密钥
异或值存储，再使用存储的密钥异或值进行加密计算，即：终端生成随机数s后用密钥k1加
密得到 前两个点对点QKD系统生成的密钥记为k1和k2，第一个中继站计算 当
收到加密随机数 后计算 得到 并传给第二个中继站，按此方式逐
级传递直至接收终端，最终两终端共享随机数s，即可利用随机数s对消息进行加解密从而
完成通信。此方法虽然较为安全，但却会增加系统的复杂性。

发明内容

[0004] 本发明对现有技术中存储密钥异或值进行加密的方式进行了改进，提出了一种异或值公开的可信中继量子通信方法及系统，能够简化系统复杂性并减小错误率。

[0005] 本发明采用的技术方案如下：

[0006] 一种可信中继量子通信方法，包括以下步骤：

[0007] 1)中继站分别与相邻的两个终端通过QKD生成两个量子密钥，然后通过异或运算计算两个量子密钥的异或值，并销毁所述两个量子密钥；

[0008] 2)中继站将通过异或运算得到的异或值公开给通信终端；

[0009] 通信终端在量子通信中利用本地量子密钥和所述异或值对消息进行加解密运算。

[0010] 进一步地，所述中继站为一个或多个，所述通信终端为两个或多个。

[0011] 进一步地，所述中继站为一个，所述通信终端为两个；设k1和k2分别表示中继站通过QKD与两个通信终端A和B生成的量子密钥，a1表示k1和k2的异或值，m表示消息，则步骤3)
包括：

[0012] 3-1)通信终端A以k1作为加密密钥，将消息m加密后，发送 给通信终端B；

[0013] 3-2)通信终端B以a1和k2作为解密密钥，计算 即得到消息m。

[0014] 进一步地，所述中继站为多个，所述通信终端为两个；设有n段量子通信，n-1个量子中继站，每个中继站与左右中继站或终端量子设备通过QKD生成两个密钥，ai表示该两个
密钥的异或值，m表示消息，则步骤3)包括：

[0015] 3-1)通信终端A以通信终端A与第一个中继站生成的密钥k1作为加密密钥，将消息m加密后，发送 给通信终端B；

[0016] 3-2)通信终端B以各中继站公开的异或值ai以及通信终端B与最后一个中继站生成的密钥kn作为解密密钥，计算 即得到消息m。

[0017] 进一步地，所述通信终端为至少三个时，将每两个通信终端之间所有公开的异或值再进行异或计算，通信终端利用得到的异或值进行解密以获得消息。

[0018] 进一步地，原始密钥不能多次使用，以对抗内部攻击者。

[0019] 一种用于可信中继量子通信的中继站，其包括：

[0020] 异或运算模块，负责对与相邻的两个终端通过QKD生成的两个量子密钥进行异或运算，然后销毁所述两个量子密钥；

[0021] 异或值公开模块，负责将所述异或运算模块得到的异或值公开给通信终端，以便所述通信终端在量子通信中利用所述异或值对消息进行加解密运算。

[0022] 一种用于可信中继量子通信的通信终端，其包括：

[0023] 接收模块，负责接收上面所述用于可信中继量子通信的中继站公开的量子密钥的异或值；

[0024] 通信模块，负责利用本地量子密钥和所述异或值对消息进行加解密，以实现量子通信。

[0025] 一种可信中继量子通信系统，其特征在于，包括上面所述的用于可信中继量子通信的中继站，以及上面所述的用于可信中继量子通信的通信终端。

[0026] 本发明的有益效果如下：

[0027] 本发明的异或值公开方案的安全性与存储异或值的加密方案是等价的，只要在生成异或值密钥后安全地销毁密钥，则该加密方案是无条件安全的。由于中继站中所存储的
异或值公开与不公开，攻击者得到的信息量相同，而公开异或值之后可以不再进行逐段加
密的二次密钥生成方案，而直接利用公开的异或值和首尾段的QKD密钥进行加解密，不但可
以简化系统复杂性，减少中继站的操作，而且一定程度上减小多次传输产生的错误率。

附图说明

[0028] 图1是两方通信，一个中继站的改进方案示意图。

[0029] 图2是两方通信，多个中继站的改进方案示意图。

[0030] 图3是三方和四方通信的改进方案中的密钥使用示意图。

[0031] 图4是耗散攻击中攻击者得到信息量与错误率的关系图。

具体实施方式

[0032] 为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步详细说明。

[0033] 1.异或值公开方案

[0034] 本发明中，无论是中继站还是接入站，只要是不直接参与通信的站点都对与相邻两端通过QKD生成的密钥进行异或运算，然后立即销毁密钥，但不保密和保存密钥的异或
值，而是公开，终端可直接得到所有异或值，再用异或值直接对消息进行加解密运算。在后
文证明了这种方案和现有的存储密钥异或值方案的安全性是等价的，所以可以对该现有的
方案进行改进，达到简化系统的效果。改进方案具体描述如下：

[0035] 对于两方通信，只有一个中继站的情况，如图1所示。密钥k1和k2分别是中继1通过QKD与左右两边的终端的量子设备生成的，中继站计算 之后公开a1并安全地销
毁k1和k2。与原方案不同的是：

[0036] (1)中继站不再存储异或值密钥，异或值密钥直接公开；

[0037] (2)不再进行二次密钥生成，用户直接利用本地量子密钥和中继站公开的异或值对消息加密和解密。

[0038] 当用户Alice和用户Bob进行通信时，用户Alice以k1作为加密密钥，发送给用户Bob，用户Bob以异或值密钥a1和k2作为解密密钥，计算 即可得到消息m。

[0039] 此方案可以扩展到多中继站的情况，假设有n段量子通信，(n-1)个量子中继站，每个中继站与左右中继站(或终端量子设备)通过QKD生成两个密钥，计算两密钥异或值ai后
立即安全地销毁密钥，公开异或值ai。用户Alice想要和用户Bob通信时，以用户Alice与第
一个中继站生成的密钥k1作为加密密钥，将消息m加密后，发送 给用户Bob。用户
Bob以各中继站公开的异或值密钥ai以及用户Bob与最后一个中继站生成的密钥kn作为解密
密钥，计算 即可得到消息m。在后文中，将证明存储密钥异或值方案
与此方案的安全性是等价的。

[0040] 和存储密钥异或值方案类似，此方案还可以扩展为三方通信，为满足用户A、用户B、用户C可以两两通信，将用户A和用户B之间所有公开的异或值再进行异或计算，计算结果
等同于 记为 将用户B和用户C之间所有公开的异或值再进行异或，计算结果
等同于 记为 将用户A和用户C之间所有公开的异或值再进行异或，计算结果
等同于 记为 与两方通信类似，若用户A想和用户B通信时，以用户A与第一个
中继站生成的密钥 作为加密密钥，将消息m1加密后，发送 给用户B。用户B计算
得到m1；若用户A想和用户C通信时，以用户A与第一个中继站生成的密钥
作为加密密钥，将消息m2加密后，发送 给用户C。用户C计算 得到
m2。

[0041] 然而此方案存在安全隐患，若用户B为内部攻击者，通过和用户A的通信，他得到的信息有：用户A和用户B之间通路中所有异或值和自己与最近一个中继站生成的密钥 因
此，用户B可以轻松还原中继站已销毁的密钥值以及 从而计算 获取用户A
和用户C通信的信息。所以为对抗内部攻击者，原始密钥不能多次使用。对于三用户，若用户
A和用户B通信使用的密钥为 当用户B和用户C通信时，用户B必须使用新的密钥，记为
而用户A和用户C通信时，用户A和用户C都必须使用新的密钥，记为 四方通信或
更多方的通信与此类似，密钥使用情况如图3所示，其中(a)图为三方通信，(b)图为四方通
信。

[0042] 2.安全性说明

[0043] 下面说明对于现有的存储密钥异或值方案而言，密钥的异或值可以由相邻系统加密后的随机数异或得到，即使防护也不能阻止攻击者得到异或值密钥；而且攻击者对加密
后总随机数分析得到关于总随机数的信息量和对中继的异或值分析得到的信息量相同，这
种防护是不必要的。

[0044] 分三节对此进行阐述，第一节从理论上分析计算了敌手对每一个点对点系统进行攻击，最终所得到的关于随机数的信息量；第二节假设敌手同样利用耗散的方法对每个小
系统进行攻击，且同时得到密钥异或值并加以利用，最终所得到的信息量；第三节对两种攻
击所得到的信息量进行比对分析。这里，耗散攻击只是一个具体例子，对于其他攻击方案，
只要敌手对每段QKD进行攻击可以以一定优势概率得到量子密钥，下面分析都成立。

[0045] 2.1基于二次密钥生成方案，攻击者得到信息量的变化

[0046] 敌手对每一个点到点系统的微弱攻击经过多次累积可能会有较大的威胁。在密码学中，同一密钥随加密明文次数增加而安全性降低，受到唯一解距离限制，而对于同一明文
多次用不同密钥加密的问题研究较少。在传递同一明文时，给了攻击者不同密钥的相关性，
在一次一密这种异或加密系统中相关性更加明显。

[0047] 系统存储上下游密钥的异或值并作为密钥，攻击者得不到相关信息，只能得到加密后的随机数。简化n段可信中继量子通信系统：只考虑单个比特的传输，协议双方Alice和
Bob要传递的随机数为s，s∈{0,1}，中间经过n-1个量子中继站，共n段通信。采用一次一密
的加密方式，第i段通信中QKD分配的密钥为ki，ki∈{0,1}，经典信道中传输的加密随机数的
密文为ci，ci∈{0,1}，则

[0048] 对于简化系统中的每段QKD，若无信息泄露，则量子密钥是0,1均衡的，即但是攻击者Eve可攻击QKD，例如耗散攻击得到一定的关于量子
密钥的信息，此时她得到的量子密钥值的概率p(ki＝0)≠p(ki＝1)，有一定偏向性，假设偏
向概率为pi， 分析中考虑一种简单的情况，假设每次攻击Eve得到的量子密钥均
偏向于ki＝0且ki＝0的概率相同，记pi＝p。假设随机数s＝0的概率和s＝1的概率相等，

[0049] 对于第一段通信，易得如表1所示的结果：

[0050] 表1.第一段通信的结果列表

[0051]

[0052] 当Eve已知c1，得到关于随机数s的信息量：

[0053] Is＝1-H(s|c1)＝1-H(p).   (1)

[0054] 对于n段通信系统，n个加密后的随机数s的密文ci可当作长度为n的布尔向量C，n段QKD生成的密钥ki也可当作长度为n的布尔向量K，其中K,C∈{0,1}n，S∈{0,1}是随机变
量。密钥含糊度H(S|C)度量了给定密文下所传递随机数s的不确定性。根据条件熵的定义，
可得到

[0055]

[0056] 由于 随机数s和量子密钥ki唯一确定ci，当给定某一特定的密文向量c时，对应的量子密钥向量k有且只有一个。根据之前假设，对于所有ki＝0，均有p(ki＝0)＝p，
所以考虑用向量c中0,1的个数的不同进行分类计算。根据贝叶斯公式，当密文向量c是由w
个1，n－w个0构成的特定序列时，S＝0的概率：

[0057]

[0058] 其中

[0059]

[0060]

[0061] 式(5)中第二个“＝”成立是因为K和S这两个随机变量是独立的。第三个“＝”是由于n长随机变量K的构成由特定向量c完全决定，是由w个1，n－w个0构成的特定序列。

[0062]

[0063] 式(6)中 其中 n长随机变量K是由w个1，n－w个0构成的特定序列。由式(5)和式(6)，根据全概率公式可以得到：

[0064]

[0065] 将式(4)、式(5)、式(7)代入式(3)可以得到：

[0066]

[0067] 同理，当Eve得到c时，S＝1的概率为：

[0068]

[0069] 因此，若Eve得到任意加密随机数的密文向量C，则条件熵H(S|C)为：

[0070]

[0071] 式(10)中，w是向量c中1的个数，即向量c的汉明重量。攻击者Eve得到关于K的信息量为IS＝1-H(S|C)。

[0072] 取n＝31时，对应于p不同取值的下结果(在耗散攻击中 )见表2。

[0073] 表2.不同程度的耗散攻击，Eve所能得到的关于随机数的信息量

[0074]p Hi(比特) nIi(比特) H(S|C)(比特) I(比特)
0.51 0.9997 8.95×10-3 0.9911 8.89×10-3
0.55 0.993 0.224 0.804 0.195
0.6 0.971 0.901 0.435 0.565
0.7 0.881 3.68 0.0391 0.961
0.75 0.811 5.85 5.68×10-3 0.994

[0075] 易看出，对n段可信中继量子通信系统，攻击者Eve对n段通信攻击密钥得到的关于随机数s的信息量比攻击每一段通信得到的信息量的简单数值叠加小。这是由于每次通信
所传递的随机数s是相同的，每次通信所泄漏的信息可能有相同的部分。此结果对于同一消
息被不同密钥经一次一密加密多次传递的模型均适用。

[0076] 2.2各结点异或值公开，攻击者得到信息量的变化

[0077] 对于n段可信中继量子通信系统，假设第i个密钥异或值为

[0078]

[0079] 对于相邻两段通信

[0080]

[0081]

[0082] 说明即使不公开密钥的异或值，Eve利用得到的各段密文ci也可计算出ai的值；并且式(11)与式(12)和(13)线性相关，说明密钥的异或值公开并没有使Eve获得更多的信息。
下面从概率和信息论的角度对敌手在异或值公开的情况得到的信息量进行分析。

[0083] 倘若攻击者Eve进行耗散攻击，虽然总体密钥是均匀分布的，但是对于攻击者而言每个比特为0、为1的概率不同，她可以以一定优势得到量子密钥。此时利用ai的信息，Eve可
以得到k1和其他任何一位密钥ki的异或值，从而得到更多关于k1的信息。由于 即
可得到更多关于随机数s的信息。

[0084] 当i＝1时，Eve可以获得 则对于第1段和第2段通信，易得表3所示的结果：

[0085] 表3.第1段和第2段通信的结果

[0086]

[0087] 得到关于k1的信息量：

[0088]

[0089] 对于n段量子通信，有n-1个量子中继站，Eve利用ai的信息易得随机变量B≡(B1B2...Bn-1)是长度为n-1的
向量。记某一给定的汉明重量为w的向量B为b，密钥含糊度H(k1|B)度量了给定异或值情形
下量子密钥k1的不确定性。根据条件熵的定义，可得到：

[0090]

[0091] 同上小节分析，利用贝叶斯公式，当Eve得到b时，k1＝0的概率为：

[0092]

[0093] 其中

[0094] p(k1＝0)＝p,   (17)

[0095]

[0096] 式(18)中向量k’长度为n-1，每一个元素都满足ki+1＝bi，由于向量b是由w个1和n-1-w个0的特定组合，所以向量k’是与之对应的由w个1和n-1-w个0的特定组合。

[0097]

[0098] 式(19)中向量k’长度为n-1，每一个元素都满足 由于向量b是由w个1和n-1-w个0的特定组合，所以向量k’是与之对应的由w个0和n-1-w个1的特定组合。得到

[0099]

[0100]

[0101] 同理，当Eve得到b时，k1＝1的概率为：

[0102]

[0103] 对于某一特定的且汉明重量为w的向量b出现的概率为：

[0104]

[0105] 因此，若Eve得到向量B时，关于k1的条件熵为：

[0106]

[0107] Eve得到关于k1的信息量为

[0108] 2.3两种方案中攻击者得到结果的对比分析

[0109] 下面分析敌手用这两种方式攻击所得到关于随机数的信息量的关系：

[0110]

[0111] 其中

[0112]

[0113] 利用下式：

[0114]

[0115] 对式(25)中w项和(n-w)项求和，由式(26)可知：

[0116] fp(w)＝fp(n-w),   (28)

[0117] 所以

[0118]

[0119] 将式(29)代入式(25)可以得到，当n为奇数时，

[0120] Δ＝0；   (30)

[0121] 当n为偶数时，

[0122]

[0123] Δ＝0说明二者相等：对于n段可信中继量子通信系统，攻击者Eve对加密后的随机数分析得到关于随机数s的信息量和对中继中存储的密钥异或值分析得到的信息量相同。
其本质原因是攻击者利用的已知信息是相同的，即

[0124] 而文献“Li Yang,Bing Zhu.Dissipation attack on Bennett-Brassard 1984 protocol in practical quantum key distribution system.arXiv:1305.5744,2013.”
对耗散攻击的错误率和得到的信息量也有所分析，随机在BB84协议中四个偏振态所在方向
进行耗散(即文献中第一种方法)得到的错误率为： 一阶近似
得到 该文献给出了Eve获得的信息与错误率的关系图，如图4所示，其中H1＝
1-H(p)。对于信息量与表2中数据，结果较为一致。

[0125] 由于中继站中所存储的异或值公开与不公开，攻击者得到的信息量相同，而公开异或值之后可以不再进行逐段加密的二次密钥生成方案，而直接利用公开的异或值和首尾
段的QKD密钥进行加解密，不但可以简化系统复杂性也可以一定程度上减小错误率，所以本
发明的公开异或值的方案是一种改进方案。

[0126] 本发明另一实施例提供一种用于可信中继量子通信的中继站，其包括：

[0127] 异或运算模块，负责对与相邻的两个终端通过QKD生成的量子密钥进行异或运算，然后销毁所述量子密钥；

[0128] 异或值公开模块，负责将所述异或运算模块得到的异或值公开给通信终端，以便所述通信终端在量子通信中利用所述异或值对消息进行加解密运算。

[0129] 本发明另一实施例提供一种用于可信中继量子通信的通信终端，其包括：

[0130] 接收模块，负责接收上面所述用于可信中继量子通信的中继站公开的量子密钥的异或值；

[0131] 通信模块，负责利用本地量子密钥和所述异或值对消息进行加解密，以实现量子通信。

[0132] 本发明另一实施例提供一种可信中继量子通信系统，包括上面所述的用于可信中继量子通信的中继站，以及上面所述的用于可信中继量子通信的通信终端。

[0133] 本发明提供了一种针对可信中继的加密方式，不仅适用于链型结构，其他网络结构(如：树形结构、星型结构等)的每一条通路，只要需要中继站的网络结构均可以采用这种
通信方式。

[0134] 以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本
发明的保护范围应以权利要求书所述为准。