CN107070651A

CN107070651A - 一种基于epr对的设备无关量子隐私查询方法

Info

Publication number: CN107070651A
Application number: CN201710212239.9A
Authority: CN
Inventors: 昌燕; 张仕斌
Original assignee: Chengdu University of Information Technology
Current assignee: Chengdu University of Information Technology
Priority date: 2017-04-01
Filing date: 2017-04-01
Publication date: 2017-08-18
Anticipated expiration: 2037-04-01
Also published as: CN107070651B

Abstract

本发明公开了一种基于EPR对的设备无关量子隐私查询方法，所述基于EPR对的设备无关量子隐私查询方法在设备无关密钥分发思想的基础上，利用EPR纠缠对提出设备无关的量子隐私查询协议；通过计算CHSH不等式违背，判断Bob是否制备了真正的纠缠对，乃至数据库拥有者Bob和用户Alice是否共享了纠缠对。即使Eve可以提供或者控制量子态制备源或者测量设备，数据库的信息也不会泄露给Eve。与已有的量子隐私查询协议相比，本发明的协议，在用于分发密钥的量子态制备源或测量设备不可信任的条件下仍然是安全的。

Description

一种基于EPR对的设备无关量子隐私查询方法

技术领域

本发明属于对称隐私信息查询技术领域，尤其涉及一种基于EPR对的设备无关量子隐私查询方法。

背景技术

在不可信用户间的通信中，公共隐私和用户个人隐私都需要被保护。对称隐私信息查询(SPIR)就是这种领域的一种应用，它主要完成以下任务：用户Alice购买了数据库的一条记录，她想要获得该条记录，一方面，数据库拥有者Bob不能知道Alice访问了哪一条记录，另一方面，Alice不能获取除她购买之外的其他记录。也就是说SPIR既保护用户Alice的隐私，又保护数据库商Bob的隐私。量子隐私查询(QPQ)是SPIR问题的量子解决方案。Bennett和Brassard提出了量子协议来解决类似于SPIR的问题，但是却发现想要保护两方的安全是非常困难的。早在2008年的时候，第一个QPQ方案由V.Giovannetti等人提出，他们利用oracle操作表示数据库的记录，同时作用于要查询的量子态。之后L.Olejnik等人也提出了基于oracle操作的QPQ协议，但是由于高维oracle操作很难实现，因此以上两种协议都很难实现大数据库的隐私查询。后来M.Jakobi等人提出了第一个实用的QPQ协议。该协议基于SARG04量子密钥分发协议在数据库商和用户之间分发不经意密钥，由于该协议没有使用oracle操作，因此很容易实现大数据库的隐私查询。后来很多学者提出了各种新颖、实用的QPQ协议。然而，所有的量子隐私查询协议主要考虑了来自不诚实的数据库拥有者和不诚实用户的威胁，来自外部攻击者的威胁却被忽略了，导致外部窃听者窃取数据库信息却不会被发现，带来了巨大的数据库安全隐患。假设一个外部攻击者Eve，他可以提供或者控制量子态制备源或者测量设备。也就是说，用于分发密钥的量子态制备源或测量设备不可信任，那么来自Eve的攻击可能会导致数据库信息全部泄露，而窃听却不会被发现。目前很多设备无关的量子密钥分发协议已经被提出用于抵御此类攻击。

综上所述，所有的量子隐私查询协议主要考虑了来自不诚实的数据库拥有者和不诚实用户的威胁，来自外部攻击者的威胁以及外部攻击者和不诚实用户合谋并利用设备的不可信任进行的攻击却被忽略。

发明内容

本发明的目的在于提供一种基于EPR对的设备无关量子隐私查询方法，旨在解决所有的量子隐私查询协议主要考虑了来自不诚实的数据库拥有者和不诚实用户的威胁，来自外部攻击者的威胁以及外部攻击者和不诚实用户合谋并利用设备的不可信任进行的攻击却被忽略的问题。

本发明是这样实现的，一种基于EPR对的设备无关量子隐私查询方法，所述基于EPR对的设备无关量子隐私查询方法在设备无关密钥分发思想的基础上，利用EPR纠缠对提出设备无关的量子隐私查询协议；通过计算CHSH不等式违背，判断数据库拥有者Bob和用户Alice是否共享了纠缠对。

进一步，所述基于EPR对的设备无关量子隐私查询方法包括以下步骤：

步骤一，Bob制备EPR对处于态：

对于每个EPR对，Bob以概率p选择先随机用B₀＝σ_Z基或B₁＝σ_X基测量粒子B，用基或基随机测量粒子A，然后再把粒子A发送给Alice，自己保留粒子B；或者以概率1-p不进行任何测量直接把粒子A发送给Alice，自己保留粒子B；

步骤二，对于每个Bob已经测量过的粒子，Bob计算CHSH多项式S＝<a₀b₀>+<a₀b₁>+<a₁b₀>-<a₁b₁>，这里<a_xb_y>定义为P(a＝b|xy)-P(a≠b|xy)；如果S≤2，Bob终止协议；否则他们继续协议；CHSH不等式违背检查是用于检测Bob制备的EPR对是否是真的纠缠态，防止当Eve控制或提供设备时，Eve制备非纠缠态；Bob通过公共信道公布CHSH不等式违背检查的位置，Alice和Bob丢弃这些位置的EPR对，剩余的EPR对称为子集M_R；

步骤三，Alice以概率η用σ_Z基测量M_R中自己的粒子，以概率1-η用σ_X基测量；Alice对每个粒子随机进行I或U操作，然后发送给Bob，这里：

I＝|0><0|+|1><1|,U＝iσ_y＝|0><1|-|1><0|；

步骤四，Bob随机选择一些位置(比例为ω)要求Alice公布她选取的测量基、她得到的测量结果以及她进行的酉操作；Bob用Alice公布的基测量这些位置的A和B粒子；通过比较Alice公布的测量结果和Bob自己测量得到的B粒子的测量结果，Bob可以知道Alice是否增加了η的值；根据Alice公布的酉操作和测量结果，Bob可以推断出粒子A的测量结果，通过比较推断出的结果和Bob对粒子A的测量结果，Bob可以知道Alice是否诚实执行了步骤3，也就是说，Alice不能进行以下不诚实操作：(1)将她的粒子保存在一个量子寄存器，直到Bob在步骤4公布了选取的位置，(2)只测量公布的这些位置的粒子，并且公布测量基和测量结果，这样Alice就可以不被Bob发现，(3)然后再对剩余的粒子中构成最终密钥的一位的所有量子位进行联合测量从而直接推断出最终密钥的该位；也就是说本协议可以抵御目前针对数据库安全的最强有力的攻击——联合测量攻击；此外，以上的窃听检测还可以检测外部窃听者的攻击；如果误码率高于事先设定的阈值，Bob终止协议，否则协议继续；Alice和Bob丢弃这些探测粒子，剩余的EPR对称为子集M_C；

步骤五，Bob用σ_Z基测量M_C中的粒子，基于集合M_C，根据步骤三和步骤五中σ_Z基测量的结果，Alice和Bob共享一对设备无关的不经意的密钥，其中Bob知道密钥的全部位，而Alice知道原密钥的η位；Alice和Bob协商|0>表示“0”，|1>表示“1”；

步骤六，Alice和Bob进一步对原密钥进行压缩后处理；

步骤七，Bob用知道的密钥加密数据库中的所有记录，而Alice利用知道的密钥解密她购买的记录。

进一步，所述步骤二中，定义x∈{0,1}为粒子A设备的二进制输入，其中x＝0和x＝1分别表示测量基A₀和A₁；定义y∈{0,1}为粒子B设备的二进制输入，其中y＝0和y＝1分别表示测量基B₀和B₁；定义a＝{0,1}和b＝{0,1}分别表示粒子A设备和粒子B设备的二进制输出。

本发明的另一目的在于提供一种利用所述基于EPR对的设备无关量子隐私查询方法的数据库。

本发明提供的基于EPR对的设备无关量子隐私查询方法，在设备无关密钥分发思想的基础上，利用EPR纠缠对提出了一个设备无关的量子隐私查询协议；通过计算CHSH不等式违背，可以判断数据库拥有者Bob和用户Alice是否共享了纠缠对；在这种前提下，即使Eve可以提供或者控制量子态制备源或者测量设备，数据库的信息也不会泄露给Eve；与已有的量子隐私查询协议相比，本发明的协议，在用于分发密钥的量子态制备源或测量设备不可信任的条件下仍然是安全的。

附图说明

图1是本发明实施例提供的基于EPR对的设备无关量子隐私查询方法流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明在设备无关密钥分发思想的基础上，利用EPR纠缠对提出了一个设备无关的量子隐私查询协议。通过计算CHSH不等式违背，可以判断数据库拥有者Bob和用户Alice是否共享了纠缠对。在这种前提下，即使Eve可以提供或者控制量子态制备源或者测量设备，数据库的信息也不会泄露给Eve。与已有的量子隐私查询协议相比，本发明的协议，在用于分发密钥的量子态制备源或测量设备不可信任的条件下仍然是安全的。

下面结合附图对本发明的应用原理作详细的描述。

如图1所示，本发明实施例提供的基于EPR对的设备无关量子隐私查询方法包括以下步骤：

S101：在设备无关密钥分发思想的基础上，利用EPR纠缠对提出了一个设备无关的量子隐私查询协议；

S102：通过计算CHSH不等式违背，可以判断数据库拥有者Bob和用户Alice是否共享了纠缠对。

下面结合具体实施例对本发明的应用效果作进一步的描述。

1.基于EPR对的设备无关的量子隐私查询协议

1.1协议描述

假设Bob的数据库中有N条记录，Alice购买了其中的一条记录，Alice想要秘密的获取她购买的记录。以下的协议就是要帮助Alice和Bob安全的完成这个任务。基于设备无关的思想，在Alice和Bob之间分发一对设备无关不经意密钥，Bob知道密钥的全部位，而Alice只知道密钥的部分位。

考虑到用于分发密钥的量子态制备源或测量设备的不可信任，可能会引起第三方的侧信道攻击，从而导致Bob数据库的信息全部泄露给第三方攻击者，且攻击不会被发现，因此，在协议中，假设量子态制备源和测量设备完全由第三方攻击者Eve控制，或者由Eve提供。

为了实现Eve控制制备源的假设和不超光速传输的前提，首先，Alice和Bob的实验室开放，以便可以接收来自内部或外部的量子态信号，这样做的目的是为了满足量子态制备源由Eve提供或受Eve控制的前提；接下来，Alice和Bob的实验室完全关闭，即任何有关Alice和Bob的输入和输出的信息都不会泄露出去，这样做可以满足不超光速传输的前提。

步骤1.Bob制备EPR对处于态：

步骤2.对于每个Bob已经测量过的粒子，定义x∈{0,1}为粒子A设备的二进制输入，其中x＝0和x＝1分别表示测量基A₀和A₁；定义y∈{0,1}为粒子B设备的二进制输入，其中y＝0和y＝1分别表示测量基B₀和B₁；定义a＝{0,1}和b＝{0,1}分别表示粒子A设备和粒子B设备的二进制输出。Bob计算CHSH多项式S＝<a₀b₀>+<a₀b₁>+<a₁b₀>-<a₁b₁>，这里<a_xb_y>定义为P(a＝b|xy)-P(a≠b|xy)；如果S≤2，Bob终止协议；否则他们继续协议；CHSH不等式违背检查是用于检测Bob制备的EPR对是否是真的纠缠态，防止当Eve控制或提供设备时，Eve制备非纠缠态；Bob通过公共信道公布CHSH不等式违背检查的位置，Alice和Bob丢弃这些位置的EPR对，剩余的EPR对称为子集M_R；

步骤3.Alice以概率η用σ_Z基测量M_R中自己的粒子，以概率1-η用σ_X基测量；Alice对每个粒子随机进行I或U操作，然后发送给Bob，这里：

I＝|0><0|+|1><1|,U＝iσ_y＝|0><1|-|1><0|；

步骤4.Bob随机选择一些位置(比例为ω)要求Alice公布她选取的测量基、她得到的测量结果以及她进行的酉操作；Bob用Alice公布的基测量这些位置的A和B粒子；通过比较Alice公布的测量结果和Bob自己测量得到的B粒子的测量结果，Bob可以知道Alice是否增加了η的值；根据Alice公布的酉操作和测量结果，Bob可以推断出粒子A的测量结果，通过比较推断出的结果和Bob对粒子A的测量结果，Bob可以知道Alice是否诚实执行了步骤3，也就是说，Alice不能进行以下不诚实操作：(1)将她的粒子保存在一个量子寄存器，直到Bob在步骤4公布选取的位置，(2)只测量公布的这些位置的粒子，并且公布测量基和测量结果，这样Alice就可以不被Bob发现，(3)然后再对剩余的粒子中构成最终密钥的一位的所有量子位进行联合测量从而直接推断出最终密钥的该位；也就是说本协议可以抵御目前针对数据库安全的最强有力的攻击——联合测量攻击；此外，以上的窃听检测还可以检测外部窃听者的攻击；如果误码率高于事先设定的阈值，Bob终止协议，否则协议继续；Alice和Bob丢弃这些探测粒子，剩余的EPR对称为子集M_C；

步骤5.Bob用σ_Z基测量M_C中的粒子，基于集合M_C，根据步骤三和步骤五中σ_Z基测量的结果，Alice和Bob共享一对设备无关的不经意的密钥，其中Bob知道密钥的全部位，而Alice知道原密钥的η位；Alice和Bob协商|0>表示“0”，|1>表示“1”；

步骤6.为进一步压缩Alice知道的原密钥的位数，Alice和Bob可以进一步对原密钥进行压缩后处理。

步骤7.Bob用他知道的密钥加密数据库中的所有记录，而Alice利用她知道的密钥解密她购买的记录。详细过程如下：如果Alice知道Bob密钥K的第j位K_j，而她需要获得Bob数据库中的第i条记录X_i，Alice告诉Bobs＝j–i的值。如果s是一个负数，Bob将K循环右移|s|位；否则Bob将K循环左移|s|位，这样Bob就得到一个新的密钥K′。Bob用新密钥K′采用一次一密的方式加密数据库。Alice利用K_j获取X_i。

2.安全性分析

2.1用户隐私的安全性(Bob的欺骗)

首先，作为数据库拥有者，Bob不会与外部窃听者Eve合谋，因为这样可能会导致Eve获得数据库的记录。Bob欺骗的目的是在不破坏协议正常执行的前提下尽可能多的知道Alice密钥位在整个密钥中的位置。因此，在协议的步骤1和2中，Bob会诚实的进行CHSH不等式违背检查。Bob希望他制备的EPR对是真正的纠缠对，从而由纠缠的单配性保证Eve无法获取数据库的记录。

因而，其次，对于Bob来说，有效的攻击手段就是在步骤3之前用欺骗的基代替σ_Z基去测量粒子B(例如，{cosθ|0>+sinθ|1>,cosθ|0>-sinθ|1>})，这样做可以偏转Alice的测量结果。然而，这样做之后，并不能实现让Alice的位以更高的概率在某些位置出现，或者以更低的概率在某些位置出现。Bob的这种欺骗只能影响Alice得到|0>态或|1>态的概率，而这对于Bob想要知道Alice密钥位在整个密钥的位置没有丝毫的帮助。情况更糟的是，Bob的这种欺骗行为将会导致Alice和Bob密钥的不匹配，这种情况很快就会被Alice发现。

第三，Bob进行联合测量攻击的概率很小。原因在于：如文献[Jakobi,M.；Simon,C.；Gisin,N.；Bancal,J.D.；Branciard,C.；Walenta,N.；Zbinden,H.Practical privatedatabase queries based on a quantum-key-distributionprotocol.Phys.Rev.A.2011,83,022301]中所述，当每六位量子位形成一位最终密钥时，如果对这六位量子位进行联合测量，成功的概率的上界为0.05，那就意味着失败的概率的下届为0.95。而失败的测量必定导致错误的测量结果。也就是说，Bob的上述行为将会以非常高的概率(大于95％)导致Alice的最终密钥与Bob的最终密钥不匹配，这不是Bob的初衷，也必定很快被Alice发现。正如文献[Jakobi,M.；Simon,C.；Gisin,N.；Bancal,J.D.；Branciard,C.；Walenta,N.；Zbinden,H.Practical private database queries based ona quantum-key-distribution protocol.Phys.Rev.A.2011,83,022301]中所述，联合USD测量的成功概率将会随着后处理参数k的增加而急剧下降，就意味着随着后处理参数k的增加，联合USD测量的失败概率将会急剧上升。即使当k＝1时，联合USD测量的失败概率也达到了71％，因此，Bob不太可能进行这样的攻击。

2.2数据库安全(Alice的欺骗)

如果Alice不可信，那么她可能会和Eve合作，他们俩甚至可能是同一个人。在这种情况下，Alice就可能会提供不可信的设备，并给Bob制备纯态量子态。然而，如果Alice给Bob制备纯态量子态，步骤1和2的CHSH不等式违背将会失败，Bob就会发现Alice的行为，从而导致协议的终止。

第二，可以抵御联合测量攻击。在步骤4，Bob随机选择一些位置要求Alice公布她选取的测量基、她得到的测量结果以及她进行的酉操作；Bob用Alice公布的基测量这些位置的A和B粒子；根据Alice公布的酉操作和测量结果，Bob可以推断出粒子A的测量结果，通过比较推断出的结果和Bob对粒子A的测量结果，Bob可以知道Alice是否诚实执行了步骤3，也就是说，Alice不能进行以下不诚实操作：(1)将她的粒子保存在一个量子寄存器，直到Bob在步骤4公布选取的位置，(2)只测量公布的这些位置的粒子，并且公布测量基和测量结果，这样Alice就可以不被Bob发现，(3)然后再对剩余的粒子中构成最终密钥的一位的所有量子位进行联合测量从而直接推断出最终密钥的该位；也就是说本协议可以抵御目前针对数据库安全的最强有力的攻击——联合测量攻击。

第三，Alice不能在步骤3通过增大η的值来进行攻击。步骤4的窃听检查将会帮助Bob检查Alice是否增加了η的值。假设Alice将η的值增大为η′，也就是说，Alice可能用σ_Z基测量子集M_R中的一些粒子，但是却公布σ_X基和随机公布态|+>、|->中的一种。这样的情况下，只有一种情形不会让Bob发现，就是Alice公布的结果和Bob的测量结果相同(概率是1/2)。设M_R中EPR对的个数为M，Bob的最终密钥的位数为N，那么Alice通过将η增大为η′可以获得的额外的位数为Nη′^k-Nη^k。Alice的行为会被Bob发现的概率为：

，这里ω是步骤4中Bob窃听检测的粒子比例。

在文献[Wei,C.-Y.；Wang,T.-Y；Gao,F.Practical quantum private query withbetter performance in resisting joint-measurement attack.PHYSICAL REVIEWA.2016,93,042318]中，如果Alice用σ_Z基测量一个量子位却公布CTRL时，有两种情形不会被Bob发现：(1)Bob发送给Alice的量子处于σ_Z基{|0>,|1>}；(2)Bob发送给Alice的量子处于σ_X基，而且Bob得到与原始态相同的测量结果。那么Bob发现不了Alice的上述欺骗行为的概率为p′＝3/4。因此，该文献所述协议中，Alice的欺骗行为(将η的值增大为η′)会被Bob发现的概率为：

这里,M是步骤3后量子的总数量，ω是步骤4中Bob进行窃听检测的量子比例。通过比较发现，当取相同的参数M,η,η′和ω时，p_our总是大于p_[w]。这意味着我们的协议有比文献[Wei,C.-Y.；Wang,T.-Y；Gao,F.Practical quantumprivate query with betterperformance in resistingjoint-measurement attack.PHYSICAL REVIEW A.2016,93,042318]更好的数据库安全性。

2.3第三方攻击

协议利用纠缠态作为量子载体。如果纠缠态受Eve控制或由Eve提供，那么Eve就极有可能会为他们提供不完美的纠缠态，甚至是非纠缠态。在我们的协议中，在Bob制备EPR对之后，Bob通过计算是否测量结果违背CHSH不等式，从而可以判断出Alice和Bob是否可以共享事先约定的纠缠态。根据纠缠的单配性，即使Eve制备了不完美的态，他也无法获得数据库的秘密信息。因此如果Eve提供不完美的纠缠态，Eve会被Bob发现，即使不被发现，Eve也无法得到数据库的秘密信息。然而，目前的大多数量子隐私查询协议都是基于单光子，而且没有考虑由于设备不可信任造成的第三方侧信道攻击，因此，如果Eve控制或提供制备源或测量设备，数据库的秘密信息可能会全部泄露给Eve。

本发明基于设备无关密钥分发思想和EPR对提出了一个新颖的量子隐私查询协议。与已有协议相比，具有如下特点：

分析了在与量子力学原理相比，更弱的约束条件下(不超光速传输)，第三方外部侧信道攻击对协议的威胁。

与已有的量子隐私查询协议相比，本发明在用于分发密钥的量子态制备源或测量设备不可信任的条件下仍然是安全的。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于EPR对的设备无关量子隐私查询方法，其特征在于，所述基于EPR对的设备无关量子隐私查询方法在设备无关密钥分发思想的基础上，利用EPR纠缠对提出设备无关的量子隐私查询协议；通过计算CHSH不等式违背，判断数据库拥有者Bob和用户Alice是否共享了纠缠对。

2.如权利要求1所述的基于EPR对的设备无关量子隐私查询方法，其特征在于，所述基于EPR对的设备无关量子隐私查询方法包括以下步骤：

步骤一，Bob制备EPR对处于态：

I＝|0><0|+|1><1|,U＝iσ_y＝|0><1|-|1><0|；

步骤四，Bob随机选择一些位置(比例为ω)要求Alice公布她选取的测量基、她得到的测量结果以及她进行的酉操作；Bob用Alice公布的基测量这些位置的A和B粒子；通过比较Alice公布的测量结果和Bob自己测量得到的粒子B的测量结果，Bob可以知道Alice是否增加了η的值；根据Alice公布的酉操作和测量结果，Bob可以推断出粒子A的测量结果，通过比较推断出的结果和Bob对粒子A的测量结果，Bob可以知道Alice是否诚实执行了步骤3，也就是说，Alice不能进行以下不诚实操作：(1)将她的粒子保存在一个量子寄存器，直到Bob在步骤4公布了选取的位置，(2)只测量公布的这些位置的粒子，并且公布测量基和测量结果，这样Alice就可以不被Bob发现，(3)然后再对剩余的粒子中构成最终密钥的一位的所有量子位进行联合测量从而直接推断出最终密钥的该位；也就是说本协议可以抵御目前针对数据库安全的最强有力的攻击——联合测量攻击；此外，以上的窃听检测还可以检测外部窃听者的攻击；如果误码率高于事先设定的阈值，Bob终止协议，否则协议继续；Alice和Bob丢弃这些探测粒子，剩余的EPR对称为子集M_C；

步骤六，Alice和Bob进一步对原密钥进行压缩后处理；

3.如权利要求2所述的基于EPR对的设备无关量子隐私查询方法，其特征在于，所述步骤二中，定义x∈{0,1}为粒子A设备的二进制输入，其中x＝0和x＝1分别表示测量基A₀和A₁；定义y∈{0,1}为粒子B设备的二进制输入，其中y＝0和y＝1分别表示测量基B₀和B₁；定义a＝{0,1}和b＝{0,1}分别表示粒子A设备和粒子B设备的二进制输出。

4.一种利用权利要求1～3任意一项所述基于EPR对的设备无关量子隐私查询方法的数据库。