基于量子游走的仲裁量子簽名方案*

馮艷艷 施榮華 石金晶 郭迎

(中南大學(xué)計(jì)算機(jī)學(xué)院,長(zhǎng)沙 410083)

1 引 言

量子簽名是數(shù)字簽名的量子相對(duì)物.類似于經(jīng)典數(shù)字簽名,依照仲裁的參與度,量子簽名區(qū)分為真實(shí)量子簽名(true quantum signature,TQS)和仲裁量子簽名(arbitrated quantum signature,AQS).在TQS算法中,簽名算法是隱秘的,驗(yàn)證算法是暴露的.只有在產(chǎn)生糾紛或者分歧的時(shí)候,仲裁才被需求.在AQS算法中,簽名和驗(yàn)證算法均為秘密的.仲裁作為可信任的第三方參與算法的設(shè)計(jì)和實(shí)現(xiàn)過(guò)程.盡管TQS是有利的,AQS被證明在電子投票和電子支付場(chǎng)景是更加實(shí)用的[1,2].因此,本文重點(diǎn)關(guān)注AQS.

隨著未來(lái)量子計(jì)算機(jī)[3]的出現(xiàn),依據(jù)不可證明計(jì)算假設(shè)和許多難解數(shù)學(xué)難題的簽名算法將被攻破.而依據(jù)物理特性的量子密碼簽名算法是信息安全的,加之量子保密通信技術(shù)在理論和實(shí)驗(yàn)上的不斷發(fā)展[4-8],許多學(xué)者們對(duì)AQS方案的研究一直密切關(guān)注.2002年,Zeng和Keitel[2]首次基于Greenberger-Horne-Zeilinger (GHZ)態(tài)提出AQS方案.2008年,Curty和Lütkenhaus[9]對(duì)文獻(xiàn)[2]方案的描述和操作給出了評(píng)論.同年,Zeng[10]對(duì)文獻(xiàn)[2]給出了一個(gè)詳細(xì)的證明并對(duì)文獻(xiàn)[9]給出了回應(yīng).2009年,Li等[11]使用Bell態(tài)代替GHZ態(tài)提出了相對(duì)應(yīng)的AQS方案,并展示了其在傳輸效率和實(shí)現(xiàn)具有低復(fù)雜度的優(yōu)勢(shì).之后,研究者對(duì)AQS的安全性進(jìn)行了深入研究.2010年,Zou和Qiu[12]宣稱已有的AQS方案不能保證來(lái)自接收者的抵賴,并設(shè)計(jì)了可以抵抗接收者抵賴的AQS算法.2011年,Gao等[13]指出基于量子一次一密(quantum one time pad,QOTP)的AQS方案中存在簽名的抵賴攻擊和接收者的偽造攻擊,并給出了相應(yīng)的改進(jìn)方法.同年,Choi等[14]強(qiáng)調(diào)已有AQS協(xié)議中存在一種通過(guò)修改傳輸消息和簽名的偽造攻擊,并提出了抵御這種攻擊的方法.2013年,張駿和吳吉義[15]建議了一種能夠抵抗驗(yàn)證者已知明文攻擊的AQS協(xié)議.2015年,Li和Shi[16]使用鏈?zhǔn)绞芸胤遣僮鞔鍽OTP提出了AQS方案.2016年,Yang等[17]設(shè)計(jì)了基于簇態(tài)的AQS協(xié)議,其效率可以達(dá)到 1.2017年,Zhang等[18]設(shè)計(jì)了基于鍵控鏈?zhǔn)绞芸胤?keycontrolled chained CNOT,KCCC)操作的改進(jìn)的AQS方案.2018年,Zhang和Zeng[19]提出一個(gè)改進(jìn)的基于Bell態(tài) AQS方案.以上這些方案都是基于離散變量的AQS方案.在連續(xù)變量AQS協(xié)議方面,我們分別提出了基于相干態(tài)[20]和壓縮真空態(tài)[21]的AQS方案.

依據(jù)信息副本從簽名者到接收者被傳輸?shù)姆绞?以上所提到的AQS協(xié)議可以分為兩類：1)基于糾纏態(tài)的隱形傳輸方式,例如GHZ[2]、Bell[11]、連續(xù) Einstein-Podolsky-Rosen (EPR)[20,21];2)簡(jiǎn)單的量子加密方式,例如QOTP[12]、鏈?zhǔn)绞芸胤遣僮鱗16]、KCCC操作[18].第二種AQS協(xié)議又可以分為可以抵抗存在性偽造攻擊和不可以抵抗存在性偽造攻擊的協(xié)議.其中在基于QOTP的AQS[12-16]中,由于其一個(gè)比特對(duì)應(yīng)一個(gè)比特的加密方式,簽名者能夠執(zhí)行抵賴攻擊且接收者在已知信息環(huán)境下可以執(zhí)行存在性偽造攻擊,基于KCCC算法的改進(jìn)的AQS協(xié)議[18]可以較優(yōu)地抵抗這兩類攻擊.相比于第二種信息傳輸方式,基于糾纏的量子隱形傳輸方式具有如下特性：第一,在傳輸過(guò)程中具有防竊聽(tīng)功能,即一旦有竊聽(tīng)者想要竊聽(tīng)信息,測(cè)量引起的擾動(dòng)會(huì)被誠(chéng)實(shí)的參與者發(fā)現(xiàn);第二,可以避免傳輸載體本身,只是轉(zhuǎn)移粒子所處的量子狀態(tài);第三,不受物理距離的限制,普通的加密方式僅限在地區(qū)性的網(wǎng)絡(luò)上.因此,應(yīng)用基于量子游走的隱形傳輸轉(zhuǎn)移信息副本和KCCC算法執(zhí)行中間過(guò)程的加密傳輸,本文提出一種新型的AQS協(xié)議.

量子游走是經(jīng)典游走的量子對(duì)應(yīng).1993年,Aharonov等[22]初次提出量子游走模型.量子游走在多個(gè)方面展示了有意義的應(yīng)用(詳見(jiàn)綜述文獻(xiàn)[23,24]),其中量子游走在通信協(xié)議方面的應(yīng)用[25-27]也開(kāi)始暫露頭角.例如,近兩年,Wang等[25]和Shang等[26]提出了量子游走的不同模型在隱形傳輸?shù)某晒?yīng)用,文中指出必要的糾纏態(tài)無(wú)需提前制備,它們可以在量子游走的第一步之后被制備(相對(duì)于糾纏態(tài)的難以制備,這是一種很大的改進(jìn)).而且,作者給出了一維量子游走的實(shí)現(xiàn)線路圖.由于量子游走已經(jīng)被證明可以在多種不同的物理系統(tǒng)和實(shí)驗(yàn)上實(shí)現(xiàn)[28-30],將其應(yīng)用在量子通信協(xié)議中是有益的.

因此,本文通過(guò)將基于量子游走的隱形傳輸方式應(yīng)用在AQS方案中傳輸信息副本,提出了基于量子游走的AQS方案.提出的方案具有以下優(yōu)勢(shì)：1)糾纏態(tài)不必提前制備,量子游走的第一步會(huì)產(chǎn)生信息傳輸必需的糾纏態(tài);2)KCCC操作和隨機(jī)數(shù)的應(yīng)用可以抵抗已有AQS方案中的抵賴和存在性偽造攻擊,本方案滿足不可抵賴、不可偽造和不可否認(rèn)特性;3)由于量子游走已經(jīng)被證明可以通過(guò)現(xiàn)有的光學(xué)元素實(shí)現(xiàn),提出的AQS方案實(shí)驗(yàn)上也許是可實(shí)現(xiàn)的.

本文的結(jié)構(gòu)如下：第2節(jié)描述基于圖的量子游走;第3節(jié)提出基于量子游走的AQS算法;第4節(jié)對(duì)提出的AQS算法給出安全性分析、討論以及比較;第5節(jié)為結(jié)論.

2 基于圖的量子游走

圖上基于硬幣的量子游走模型的定義由Aharonov等[31]給出.已知G=(V,E)為一個(gè)圖,V代表G的頂點(diǎn)集,E代表G的邊集.對(duì)于規(guī)則圖形,圖中的每個(gè)頂點(diǎn)具有相同的鄰居,其希爾伯特(Hilbert)空間可以表述為位置空間和硬幣空間的張量積,即

其中Hv是頂點(diǎn)態(tài)|v〉張成的Hilbert位置空間,其中v∈V.在每一個(gè)頂點(diǎn)j,有d條有向邊連接到其他的頂點(diǎn),Hc是邊態(tài)|c〉張成的Hilbert硬幣空間,其中c ∈{0,···,d-1},它們用來(lái)標(biāo)記有向邊.位置空間Hv和硬幣空間Hc之間的條件移算符可以表示為

其中標(biāo)簽c指示游走者從頂點(diǎn)j游走到頂點(diǎn)k.

考慮一個(gè)包含l(l=4)個(gè)頂點(diǎn)的圖(環(huán)),如圖1所示,頂點(diǎn)標(biāo)記為0,1,2,3,構(gòu)成量子游走的位置空間為在每個(gè)頂點(diǎn)有兩條邊,它們的標(biāo)記分別為0和1,構(gòu)成量子游走的硬幣空間為其條件移算符為

其中k代表環(huán)中的頂點(diǎn).環(huán)上的相移規(guī)則見(jiàn)圖1.

圖1 具有四個(gè)頂點(diǎn)的環(huán)及其相移規(guī)則Fig.1.Shift regulations on a cycle with four vertexes.

3 基于量子游走的量子簽名算法

本AQS算法中,Alice是信息的發(fā)送者和簽名者,Bob是簽名后信息的接收者和驗(yàn)證者,Charlie是值得Alice和Bob信任的第三方仲裁.對(duì)于一個(gè)安全量子簽名算法[2],它應(yīng)該遵循Alice對(duì)簽名后的信息和簽名的不可抵賴、任何人對(duì)Alice簽名的不可偽造和Bob對(duì)接收到的簽名信息或文件的不可否認(rèn)特性.

3.1 初始化階段

1)密鑰制備和分發(fā)：Alice和Charlie制備共享密鑰Ka,Bob和Charlie制備共享密鑰Kb,Ka和Kb分別記為

2)系統(tǒng)配置：當(dāng)Alice和Bob需要通信時(shí),Alice或Bob向Charlie申請(qǐng)通信.

3.2 簽名階段

其中|φi〉(i=1,2,···,n)代表一個(gè)單量子比特,記為

2)Alice選擇一個(gè)隨機(jī)數(shù)r,并用其變換|φ〉為秘密的信息序列|φ′〉,可記為

3)應(yīng)用Zhang等[18]提出的KCCC算法,Alice使用密鑰Ka生成量子態(tài)|Sa〉,記為

其中EK代表改進(jìn)的鏈?zhǔn)绞芸胤羌用懿僮?包含兩步操作：第一步使用受控非操作加密|φ′〉,第二步使用二進(jìn)制密鑰控制的HadamardH門(mén)執(zhí)行操作,當(dāng)二進(jìn)制密鑰為0,H門(mén)執(zhí)行單位矩陣I操作,反之,執(zhí)行H門(mén)操作.EK′代表KCCC加密操作,關(guān)鍵點(diǎn)是引進(jìn)了受控的轉(zhuǎn)換操作,用以重組簽名態(tài)中的量子比特位置,來(lái)規(guī)避QOTP中一個(gè)比特對(duì)應(yīng)一個(gè)比特的加密方式引起的可能的抵賴和存在性偽造攻擊[13,18].這個(gè)KCCC算法在文獻(xiàn)[18]中已詳細(xì)介紹,這里將不再贅述.

4)為了繼續(xù)簽名過(guò)程,考慮四個(gè)頂點(diǎn)的環(huán)上的基于兩個(gè)硬幣的量子游走模型,其線路原理圖如圖2所示.作用在位置和硬幣空間的條件相移算符Tcircle重寫(xiě)如下：

Alice持有兩個(gè)粒子A1和A2,硬幣1的態(tài)編碼在A1,位置態(tài)編碼在A2.Bob擁有一個(gè)粒子B,硬幣2的態(tài)編碼在B.A1,A2和B的初始態(tài)分別為則游走系統(tǒng)的總初始態(tài)為

量子游走第一步的幺正演化操作符為

圖2 兩個(gè)硬幣的環(huán)上的量子游走線路原理圖Fig.2.Circuit diagram of quantum walks on cycles with two coins.

這一步使得位置空間和硬幣空間產(chǎn)生了糾纏,即Alice和Bob之間有了糾纏.量子游走第二步演化算符為

我國(guó)職前體育教師在實(shí)習(xí)階段大多只關(guān)注如何組織好體育課堂，鮮有參與其他活動(dòng)。悉尼大學(xué)根據(jù)教師的終身專業(yè)發(fā)展需求，為實(shí)習(xí)生設(shè)定任務(wù)，在實(shí)習(xí)階段要參與一部分班主任工作，契合了其培養(yǎng)全科型教師的目標(biāo)。目前我國(guó)培養(yǎng)中小學(xué)教師還是采取明確學(xué)科分類的培養(yǎng)方式，教師往往只關(guān)注與自身學(xué)科相關(guān)的教學(xué)任務(wù)，但目前國(guó)內(nèi)越來(lái)越多的中小學(xué)要求體育教師承擔(dān)“副班主任”工作，這就對(duì)職前體育教師的能力提出了新要求。跳出單一學(xué)科的限定，豐富實(shí)習(xí)內(nèi)容，可以激發(fā)職前體育教師突破自身專業(yè)限制，對(duì)各種影響教學(xué)過(guò)程的因素給予充分的關(guān)注，從不同的視角觀察教育教學(xué)問(wèn)題，促進(jìn)教師專業(yè)化與綜合化的發(fā)展，更好地迎合社會(huì)需求。

有必要提到的是對(duì)于本文系統(tǒng)量子態(tài)的表達(dá),其所有的粒子是按照A2,A1與B粒子的順序書(shū)寫(xiě).

6)Alice 發(fā)送|S〉=(|Ma〉,|Sa〉)以 及信息|φ′〉的一個(gè)副本給Bob.

3.3 驗(yàn)證階段

1)Bob通過(guò)KCCC加密算法應(yīng)用密鑰Kb加密得到

然后Bob傳輸|Yb〉給Charlie.

2)Charlie使用密鑰Kb解密接收到的|Yb〉,得到|Sa〉和|φ′〉.接著 Charlie 用密鑰Ka加密|φ′〉,獲得|Sc〉.為了判斷|Sa〉和|Sc〉是否連續(xù),Charlie設(shè)計(jì)了驗(yàn)證參數(shù)t,

其 中|Sc〉和|Sa〉分 別 從|φ′〉和|Yb〉得到.接著Charlie應(yīng)用KCCC加密算法使用密鑰Kb加密|Sa〉,|φ′〉和t,生成|Ycb〉,

將其傳輸給Bob.

3)Bob使用密鑰Kb解密接收到的|Ycb〉,得到|Sa〉,|φ′〉和t.基于t的值,Bob進(jìn)行第一輪驗(yàn)證：如果t=0,簽名也許被偽造,Bob立即拒絕來(lái)自Alice的信息|φ〉;如果t=1,它僅僅說(shuō)明量子態(tài)|Sa〉是連續(xù)的,需要進(jìn)行第二輪的驗(yàn)證.

4)在t=1 的情況下,首先Bob需要恢復(fù)出密文信息序列,然后與原密文信息序列|φ′〉進(jìn)行比較.由于量子游走的第一步之后使得位置空間和硬幣空間之間具有糾纏,Alice對(duì)位置和硬幣1的測(cè)量使得傳輸?shù)男畔⑻贐ob的硬幣2上.基于Alice的A1和A2的測(cè)量結(jié)果Ma,Bob執(zhí)行相應(yīng)的泡利操作在硬幣2,如表1所列.Bob的測(cè)量基表示為

如果|φ′〉/=|φ′out〉,B ob拒絕|φ′〉并放棄這次通信.否則,Bob發(fā)布一個(gè)請(qǐng)求Alice公布隨機(jī)數(shù)r的通知.

根據(jù)表1,例如,基于Alice的位置和硬幣1的測(cè)量結(jié)果Ma,Bob可以得到|φ′out〉.其相應(yīng)的變換規(guī)則為：測(cè)量結(jié)果0與2分別對(duì)應(yīng)于A2的|0〉與|2〉,測(cè)量結(jié)果1與—1分別對(duì)應(yīng)于A1的|+〉與|-〉.假設(shè)Alice應(yīng)用測(cè)量基|2〉在粒子A2,并得到測(cè)量結(jié)果為2,A1和B之間的糾纏態(tài)為

然后當(dāng)Alice對(duì)粒子A1選擇測(cè)量基|+〉,即測(cè)量結(jié)果對(duì)應(yīng)為1,可以看到Bob應(yīng)用單位矩陣I在硬幣 2 得到,即|φ′out〉=|φ′〉.然而當(dāng)Alice對(duì)A1應(yīng)用測(cè)量基|-〉,Bob得到|φ′out〉為根據(jù)表1,Bob應(yīng)用泡利Z操作在得到變換后結(jié)果為即其他兩種情況可以類似的得到驗(yàn)證.因此,倘若密文信息序列|φ′〉中的n個(gè)量子比特都可以得到驗(yàn)證,那么確定Alice執(zhí)行的簽名是有效的,密文信息|φ′〉是完整且真實(shí)的.

表1 測(cè)量結(jié)果與對(duì)應(yīng)的恢復(fù)操作Table 1.Measurement outcomes and the corresponding recovery operations.

5)Alice通過(guò)公共板公布r.

6)Bob使用r從|φ′〉恢復(fù) | φ〉 并確認(rèn)(|Sa〉,r)為Alice的信息序列|φ〉的簽名.本AQS算法的方案原理圖如圖3所示.

4 安全性分析

首先,我們重述仲裁Charlie在所提出的簽名算法中所起的作用.在初始化階段,Charlie和Alice (Bob)通過(guò)量子密鑰分發(fā)系統(tǒng)制作準(zhǔn)備并分配了秘密鑰Ka(Kb);在驗(yàn)證階段,Charlie創(chuàng)造了驗(yàn)證參數(shù)t,用以判斷量子態(tài)|Sa〉和|Sc〉的連續(xù)性,這一步驟有效地輔助Bob完成兩輪的驗(yàn)證,如步驟3)和4).然后,基于一個(gè)簽名算法的安全性規(guī)則,我們對(duì)提出的簽名算法從不可抵賴、不可偽造與不可否認(rèn)三個(gè)方面給出相應(yīng)的安全性分析、討論以及與已有典型AQS協(xié)議的比較.在這個(gè)過(guò)程中,我們說(shuō)Charlie是絕對(duì)安全且值得信任的.

4.1 不可抵賴性

Alice不可抵賴自己完成的簽名.從(9)式可以看到,量子態(tài)|Sa〉是通過(guò)Ka加密|φ′〉得 到,即其中Ka是 Alice和Charlie通過(guò)無(wú)條件安全的量子密鑰分發(fā)系統(tǒng)制備.如果Alice抵賴了|Sa〉并因此與Bob陷入了糾紛,此時(shí)通過(guò)傳輸|Sa〉給Charlie.如果Charlie判定接收到的|Sa〉中 有Ka,則|Sa〉一定由 Alice 創(chuàng)造;否則,它也許被叛變的Bob或外部攻擊者偽造.

而且,Alice抵賴|Sa〉的概率可以被量化.Alice對(duì)|Sa〉有抵賴或接受兩種可能,因此Alice抵賴和接受的概率分別是1/2,將抵賴和接受看作二分變量.假設(shè)|Sa〉中的n個(gè)量子比特有m個(gè)被抵賴,那么Alice抵賴簽名的概率為

其中

圖3 簽名方案原理圖(QKD代表量子密鑰分發(fā))Fig.3.Schematic of the suggested arbitrated quantum signature scheme.QKD is short for quantum key distribution.

如圖4所示,圖中呈現(xiàn)了n=50,100,150 三種情況,橫軸表示被抵賴的量子比特?cái)?shù)m,縱軸為Alice抵賴m個(gè)量子比特的概率Pdisavowal(m),可以發(fā)現(xiàn)隨著n值變大,抵賴概率的最大值在變小,可以推斷當(dāng)n非常大時(shí),Alice抵賴的概率可以非常小或接近0.這時(shí)假定抵賴概率閾值為Pthreshold,我們規(guī)定如果Pdisavowal(m)小 于Pthreshold,認(rèn)為不存在抵賴行為,否則認(rèn)為有抵賴行為存在.當(dāng)n是確定的,抵賴概率閾值可以選擇為抵賴概率的平均值,即

圖4n=50,100,150三種情況下Alice成功抵賴簽名的概率Pdisavowal(m)Fig.4.Alice's disavowal probabilityPdisavowal(m)as a function of the amountmof the disavowed qubit in the signature state|Sa〉for the respectiven=50,n=100 and n=150.

4.2 不可偽造性

任何人無(wú)法偽造Alice的簽名量子態(tài)|Sa〉.如果Bob是一個(gè)叛徒,他想要偽造|Sa〉.假設(shè)Bob成功偽造了|Sa〉,那他一定知道了生成|Sa〉的 元素Ka和|φ′〉.然而,獲取這些元素對(duì)于Bob來(lái)說(shuō)是不可能的.原因是Ka是Alice和Charlie通過(guò)量子密鑰分發(fā)系統(tǒng)制備和分配的,它具有無(wú)條件安全性,Bob無(wú)法獲取Ka,則Bob也就無(wú)法成功偽造正確的|Sa〉.不正確的|Sa〉在驗(yàn)證階段將被Charlie檢測(cè)得到t=0 .因此,在Charlie的輔助驗(yàn)證下,Bob無(wú)法偽造正確的|Sa〉.

任何外部的攻擊者也一定是不可能成功偽造簽名|Sa〉的.對(duì)于外部攻擊者來(lái)說(shuō),在本算法中暴露的 參數(shù)是|S〉,|Sa〉,|Yb〉和|Ycb〉,它 們 均 通過(guò)KCCC[18]加密得到,具有很高的安全性.前面我們已經(jīng)分析內(nèi)部參與者Bob是不可能偽造出正確的|Sa〉,且推斷外部的攻擊者也一定是不可能的,也就是說(shuō),無(wú)條件安全的量子密鑰分發(fā)以及高安全性的加密算法確保了本方案的安全性.因此內(nèi)部參與者和外部潛在的攻擊者都不能成功變?cè)霢lice的簽名|Sa〉.

4.3 不可否認(rèn)性

在提出的AQS算法中,Bob無(wú)法否認(rèn)收到Alice的簽名|Sa〉以 及信息|φ〉,即包含Alice簽名的信息或文件.Charlie的存在使得Bob的否認(rèn)攻擊策略是不可能的,這種情況和Alice不可抵賴的情況是類似的.即使通過(guò)簽名方案減少對(duì)Charlie的依賴,這個(gè)特性仍然是滿足的.在驗(yàn)證階段的第一步,Bob傳輸|Yb〉給Alice而不是Charlie.然后Alice實(shí)現(xiàn)新的簽名|S′〉,即

隨后將|S′〉傳送給Charlie.在驗(yàn)證階段的第二步Charlie制備新的|Ycb〉,即

這時(shí)可以看到|S′〉包 含Alice的密鑰Ka和Bob的密鑰Kb.一旦Bob想要否認(rèn),Charlie如果檢測(cè)到|S′〉中 包含Kb,則Bob一定接收到了包含Alice簽名的文件或信息.因此Bob是不可能成功否認(rèn)接收到的Alice的文件或消息.

4.4 討 論

根據(jù)Gao等[13]對(duì)AQS算法的密碼學(xué)分析,討論本方案是否可抵抗Alice的抵賴攻擊以及Bob的存在性偽造攻擊.例如在驗(yàn)證階段的第二步,在Charlie完成判斷之后,Charlie傳輸給Bob.此時(shí),Alice有時(shí)機(jī)去修改簽名態(tài)|Sa〉產(chǎn) 生使得它不再是信息序列|φ〉的有效簽名.由于所使用的KCCC算法的特點(diǎn),這種修改是無(wú)法成功的,Alice不再像QOTP算法中一樣可以準(zhǔn)確獲取簽名量子態(tài)中量子比特的位置和順序.因此,KCCC算法在AQS中的使用可以規(guī)避此類攻擊.

此外,Bob也是無(wú)法成功實(shí)現(xiàn)已知有效的簽名信息對(duì)下的存在性偽造攻擊.這種攻擊是假如Bob擁有一個(gè)有效的信息簽名對(duì) (|φ〉,|Sa〉),他執(zhí)行n次泡利操作(I,X,Y,Z)在|φ〉中的量子比特,同時(shí)相同的操作執(zhí)行在|Sa〉的后n個(gè)量子比特,得到的新的信息簽名對(duì)稱為是一個(gè)成功的偽造,其中每一個(gè)泡利操作是四個(gè)泡利操作I,X,Y,Z之一,Bob至少可以實(shí)現(xiàn) 4n-1 種偽造,他可以選擇對(duì)自己利益最大化的信息聲稱是Alice簽的.這時(shí)Charlie總會(huì)站在Bob這邊.然而由于KCCC加密算法的應(yīng)用,這種攻擊是不可能的.首先需要明確的是在Bob接收Alice的簽名之前是不可能的,原因是信息序列是以密文|φ′〉的形式存在,在完成驗(yàn)證之后,Bob才可以通過(guò)公布的隨機(jī)數(shù)獲取原始信息序列|φ〉.在驗(yàn)證階段之后,仍然是不可能的,因?yàn)锽ob無(wú)法準(zhǔn)確獲取簽名態(tài)中量子比特的準(zhǔn)確位置和順序,則Bob無(wú)法執(zhí)行等效的操作在有效的信息簽名對(duì),無(wú)法成功獲取簽名|Sa〉的偽造.

4.5 比 較

基于量子游走隱形傳輸模型、KCCC操作、隨機(jī)數(shù)以及公共板的應(yīng)用,本文提出了一種目前較好的一種AQS方案.我們將其與已存在的幾種典型的AQS協(xié)議進(jìn)行比較,如表2所列：根據(jù)所使用的量子資源、信息副本的傳輸方式、加解密操作、Alice的抵賴攻擊是否成功以及Bob的存在性偽造攻擊是否成功進(jìn)行對(duì)比.可以看到信息副本的傳輸方式分為三種：基于糾纏態(tài)的隱形傳輸[2,11,14,16],普通量子加密方式[12]以及本協(xié)議的基于量子游走不需要提前準(zhǔn)備糾纏態(tài)的隱形傳輸方式.對(duì)于采用QOTP算法或者改進(jìn)的QOTP的AQS協(xié)議,均不能抵抗Alice的抵賴攻擊和Bob的存在性偽造攻擊,這個(gè)現(xiàn)象在文獻(xiàn)[13]中已做了分析,他們展示抵賴或偽造攻擊成功的原因是QOTP加密的方式是一個(gè)比特對(duì)應(yīng)一個(gè)比特,量子比特的位置和順序在基于QOTP的AQS協(xié)議中是確定的,攻擊者可以找到相應(yīng)的量子比特位置并執(zhí)行泡利操作對(duì)其修改.文獻(xiàn)[16]中提出的采用受控非代替QOTP,仍然不能抵抗Bob的偽造攻擊[18],幸運(yùn)的是受控非修改了量子簽名中的量子比特使其之間互相關(guān)聯(lián),可以有效防止Alice的抵賴攻擊.本方案使用Zhang等[18]提出的KCCC操作作為中間量子態(tài)傳輸?shù)募咏饷芊椒?使用量子游走隱形傳輸模型[25,26]傳輸信息副本,本協(xié)議具有文獻(xiàn)[18]的所有優(yōu)勢(shì).此外,相比于普通的量子加密方式,基于量子游走的隱形傳輸具有如下優(yōu)勢(shì)：第一,不需要傳輸載體粒子本身,傳輸?shù)氖橇Ｗ铀幍牧孔訝顟B(tài);第二,沒(méi)有物理限制,便于擴(kuò)展傳輸距離,量子加密僅限在地區(qū)性的網(wǎng)絡(luò)上,量子中繼器還不存在;第三,由于糾纏的存在在傳輸過(guò)程中具有防竊聽(tīng)功能,即一旦有竊聽(tīng)者想要竊聽(tīng)信息,測(cè)量引起的擾動(dòng)會(huì)被誠(chéng)實(shí)的參與者發(fā)現(xiàn).相比于普通的量子隱形傳輸,基于量子游走的隱形傳輸不需要提前制備糾纏態(tài),必要的糾纏態(tài)可以在量子游走的第一步自動(dòng)產(chǎn)生.此外,從通信效率來(lái)說(shuō),相比于典型的文獻(xiàn)[2]和文獻(xiàn)[11],本方案的驗(yàn)證階段的第一步不需要傳輸測(cè)量基Mb,所以本方案的通信效率更高,通信負(fù)擔(dān)更小.因此,本AQS方案目前來(lái)講是較優(yōu)的.

表2 協(xié)議比較Table 2.Protocols comparison.

5 結(jié) 論

本文設(shè)計(jì)了基于環(huán)上兩個(gè)硬幣的量子游走的AQS算法.不同于已有的AQS協(xié)議,在初始化階段不需要制備糾纏態(tài),而是在簽名階段量子游走的第一步產(chǎn)生Alice和Bob之間的糾纏態(tài).基于量子游走的量子隱形傳輸模型,兩步游走之后,Alice應(yīng)用測(cè)量基|0〉,|2〉和|+〉,|-〉在自己的量子態(tài),由于Alice和Bob之間糾纏的存在,Alice的測(cè)量使得傳輸信息塌陷在Bob的量子態(tài).Bob執(zhí)行相應(yīng)的泡利操作恢復(fù)信息,進(jìn)而驗(yàn)證簽名的有效性以及信息的完整性和真實(shí)性.由于KCCC算法的使用,本算法滿足簽名方案的安全性規(guī)則.目前,Xue等[32]在實(shí)驗(yàn)上已成功證實(shí)了量子游走可以應(yīng)用于量子通信,且量子游走在一維空間已經(jīng)做到20步以上.所以,基于當(dāng)前的技術(shù),實(shí)現(xiàn)本文提出的AQS協(xié)議是切實(shí)可行的.