CN110730070B

CN110730070B - 基于Bell态的半量子隐私比较方法

Info

Publication number: CN110730070B
Application number: CN201910960917.9A
Authority: CN
Inventors: 蒋丽珍
Original assignee: Zhejiang Gongshang University
Current assignee: Zhejiang Gongshang University
Priority date: 2019-10-10
Filing date: 2019-10-10
Publication date: 2022-06-14
Anticipated expiration: 2039-10-10
Also published as: CN110730070A

Abstract

本发明提出了一种基于Bell态的半量子隐私比较方法。在一个半忠诚的量子第三方(Thirdparty,TP)的帮助下，两个经典参与者可以在不泄露自己秘密的情况下比较他们秘密的相等性。第三方TP是半忠诚的，意味着她被允许按照自己意愿错误行事，但不允许与其他人合谋。本方法在效率上比之前的半量子隐私比较方法要高。此外，本方法可以抵抗常见的攻击，比如测量‑重发攻击、截获‑重发攻击、纠缠‑测量攻击和参与者攻击。

Description

基于Bell态的半量子隐私比较方法

技术领域

本发明涉及量子密码学领域。本发明涉及一种基于Bell态的半量子隐私比较方法，在一个半忠诚的量子第三方TP的帮助下，经典参与者Alice和Bob在不泄露各自秘密的情况下，比较各自秘密的相等性。

背景技术

量子密码学可以看作是量子力学和经典密码学的结合。其安全性是基于量子力学的基本原理而不是解决数学问题的计算复杂性。迄今为止，已经设计了许多量子加密方法来完成各种加密任务，如量子密钥分发(QKD)[1-6]，量子安全直接通信(QSDC)[7-10]，量子秘密共享(QSS)[11-14]，量子私有查询[15-18]等。

安全多方计算(SMC)旨在基于不公开每个隐私输入的真实内容来计算来自分布式网络中的不同方的隐私输入的功能。作为SMC的一个重要分支，隐私比较，是Yao[19]首先百万富翁的问题中提出的。在百万富翁的问题中，两位百万富翁想要在不了解彼此的实际财产的情况下判断谁更富有。之后，Boudot等人[20]提出了一个判断两位百万富翁是否同样富有的隐私比较方法。将经典隐私比较推广到量子力学领域，Yang和Wen[21]在2009年首次提出了量子隐私比较(QPC)。

近年来，QPC方法的设计和分析成功引起了人们的广泛关注。基于不同量子态的QPC方法被设计出来，如基于单粒子态，两粒子乘积态，Bell态，GHZ态，W态，Cluster态，χ型纠缠态和多级量子系统[22-45]。由于不可能在两方情景中构建安全的相等函数[46]，因此在QPC方法中总是需要一些额外的假设，例如第三方(TP)。很容易发现所有上述QPC方法[21-45]都要求所有参与者都具有完整的量子能力。

在2007年，Boyer等人[47-48]第一次提出了半量子密钥分配(SQKD)这一新颖的概念。在这个方法中，Alice具备完全的量子能力，而Bob的能力被限制只能在量子信道中执行以下这些操作；(a)发送或不带干扰地返回量子比特；(b)用固定的正交基{0>,|1>}测量量子比特；(c)制备(新的)量子比特处于固定的正交基{0>,|1>}；和(d)对量子比特重新排序(通过不同的延迟线)。根据文献[47-48]的定义，正交基{0>,|1>}可被视为经典测量基并用经典记号{0,1}代替，因为它只涉及量子比特|0>和|1>而非任何量子叠加态。尽可能少地使用量子资源来实现量子密码方法是非常有意义的。研究者对半量子密码表现出了极大的热情，并尝试将半量子的理念应用于QKD，QSDC和QSS等不同的量子密码学任务。因此，许多半量子密码方法，如SQKD方法[49-58]，半量子安全直接通信(SQSDC)方法[59-61]，半量子秘密共享(SQSS)方法[62-69]和半量子隐私比较(SQPC)方法[70-72,80]已被设计出来。方法[70-71]利用Bell态作为初始量子资源并且需要TP进行Bell态测量。而方法[72]利用两粒子乘积态作为初始量子资源，需要TP进行单粒子测量。然而这些方法的效率都不高。

本文提出了一种基于Bell态的高效SQPC方法。在半忠诚的量子方TP的帮助下，经典参与者可以在不泄露他们秘密的情况下比较他们的秘密的相等性。TP具有完全的量子能力，而TP是半诚实的意味着她可能自己行为不端，但不允许与其他任何人勾结。本发明提出的SQPC方法在粒子效率上比之前的SQPC方法要高。

参考文献

[1]Bennett,C,H.,Brassard,G.:Quantum cryptography:public-keydistribution and coin tossing.In:Proceedings of the IEEE InternationalConference on Computers,Systems and Signal Processing.Bangalore:IEEE Press,1984,175-179

[2]Ekert,A.K.:Quantum cryptography based on Bell's theorem.Phys RevLett,1991,67(6):661-663

[3]Bennett,C.H,Brassard,G.,Mermin,N.D.:Quantum cryptographywithoutBell theorem.Phys Rev Lett,1992,68:557-559

[4]Cabello,A.:Quantum key distribution in the Holevo limit.Phys RevLett,2000,85:5635

[5]Zhang,C.M.,Song,X.T.,Treeviriyanupab,P.,et al..:Delayed errorverification in quantum key distribution.Chin Sci Bull,2014,59(23):2825-2828

[6]Long,G.L.,Liu,X.S.:Theoretically efficient high-capacity quantum-key-distribution scheme.Phys Rev A,2002,65:032302

[7]Deng,F.G.,Long,G.L.,Liu,X,S.:Two-step quantum direct communicationprotocol using the Einstein-Podolsky-Rosen pair block.Phys Rev A,2003,68:042317

[8]Deng,F.G.,Long,G.L.:Secure direct communication with a quantumone-time pad.Phys Rev A,2004,69:052319

[9]Chen,X.B.,Wen,Q.Y.,Guo,F.Z.,Sun,Y.,Xu,G.,Zhu,F.C.:Controlledquantum secure direct communication with W state.Int J Quant Inform,2008,6(4):899-906

[10]Chang,Y.,Xu,C.X.,Zhang,S.B.,et al..:Controlled quantum securedirect communication and authentication protocol based on five-particlecluster state and quantum one-time pad.Chin Sci Bull,2014,59(21):2541-2546

[11]Hillery,M.,Buzek,V.,Berthiaume,A.:Quantum secret sharing.Phys RevA,1999,59:1829-1834

[12]Karlsson,A.,Koashi,M.,Imoto,N.:Quantum entanglement for secretsharing and secret splitting.Phys Rev A,1999,59:162-168

[13]Xiao,L.,Long,G.L.,Deng,F.G.,Pan,J.W.:Efficient multipartyquantum-secret-sharing schemes.Phys Rev A,2004,69:052307

[14]Wang,T.Y.,Wen,Q.Y.,Chen,X.B.,et al.:An efficient and securemultiparty quantum secret sharing scheme based on single photons.OpticsCommunications,2008,281(24):6130-6134

[15]Jakobi,M.,Simon,C.,Gisin,N.,etal.:Practical private databasequeries based on a quantum-key-distribution protocol.Phys Rev A,2011,83,022301

[16]Gao,F.,Liu,B.,Huang,W.,Wen,Q.Y.:Postprocessing of the obliviouskey in quantum private query.IEEE J Sel Top Quant,2015,21,6600111

[17]Wei,C.Y.,Wang,T.Y.,Gao,F.:Practical quantum private query withbetter performance in resisting joint-measurement attack.Phys Rev A,93,2016,042318

[18]Wei,C.Y.,Cai,X.Q.,Liu,B.,et al.:A generic construction ofquantum-oblivious-key-transfer-based private query with ideal database security and zero failure,IEEE Trans on Comput,2018,67,2-8

[19]Yao,A.C.:Protocols for secure computations.In:Proceedings of 23rdIEEE Symposium on Foundations of Computer Science (FOCS’82),Washington,DC,1982,p.160

[20]Boudot,F.,Schoenmakers,B.,Traor’e J.:A fair and efficientsolution to the socialist millionaires’problem.Discret Appl Math,2001,111(1-2):23-36

[21]Yang,Y.G.,Wen,Q.Y.:An efficient two-party quantum PrivateComparison protocol with decoy photons and two-photon entanglement.J Phys A:Math and Theor,2009,42(5):055305

[22]Yang,Y.G.,Gao,W.F.,Wen,Q.Y.:Secure quantum privatecomparison.Phys Scr,2009,80(6):065002

[23]Chen,X.B.,Su,Y.,Niu,X.X.,Yang,Y.X.:Efficient and feasible quantumprivate comparison of equality against the collective amplitude dampingnoise.Quantum InfProcess,2014,13(1):101-112

[24]Liu,B.,Gao,F.,Jia,H.Y.,Huang,W.,Zhang,W.W.,Wen,Q.Y.:Efficientquantum private comparison employing single photons and collectivedetection.Quantum InfProcess,2013,12(2):887-897

[25]Yang,Y.G.,Xia,J.,Jia,X.,Zhang,H.:Comment on quantum privatecomparison protocols with a semi-honest third party.Quantum InfProcess,2013,12(2):877-885

[26]Ye,T.Y.:Quantum private comparison via cavity QED.CommunTheorPhys,2017,67(2):147-156

[27]Liu,W.,Wang,Y.B.,Cui,W.:Quantum private comparison protocol basedon Bell entangled states.Commun Theor Phys,2012,57(4):583-588

[28]Zi,W.,Guo,F.Z.,Luo,Y.,Cao,S.H.,Wen,Q.Y.:Quantum privatecomparison protocol with the random rotation.Int J Theor Phys,2013,52(9):3212-3219

[29]Tseng,H.Y.,Lin,J.,Hwang,T.:New quantum private comparisonprotocol using EPR pairs.Quantum Inf Process,2012,11(2):373-384

[30]Zhang,W.W.,Zhang,K.J.:Cryptanalysis and improvement of thequantum private comparison protocol with semi-honest third party.QuantumInfProcess,2013,12(5):1981-1990

[31]Lin,J.,Yang,C.W.,Hwang,T.:Quantum private comparison of equalityprotocol without a third party.Quantum Inf Process,2014,13(2):239-247

[32]Chen,X.B.,Xu,G.,Niu,X.X.,Wen,Q.Y.,Yang,Y.X.:An efficient protocolfor the private comparison of equal information based on the tripletentangled state and single-particle measurement.Opt Commun,2010,283(7):1561-1565

[33]Lin,J.,Tseng,H.Y.,Hwang,T.:Intercept-resend attacks on Chen etal.'s quantum private comparison protocol and the improvements.Opt Commun,2011,284(9):2412-2414

[34]Chang,Y.J.,Tsai,C.W.,Hwang,T.:Multi-user private comparisonprotocol using GHZ class states.Quantum Inf Process,2013,12(2):1077-1088

[35]Liu,W.,Wang,Y.B.,Jiang,Z.T.:An efficient protocol for the quantumprivate comparison ofequality with W state.Opt Commun,2011,284(12):3160-3163

[36]Li,J.,Zhou,H.F.,Jia,L.,Zhang,T.T.:An efficient protocol for theprivate comparison of equal information based on four-particle entangled Wstate and Bell entangled states swapping.Int J Theor Phys,2014,53(7):2167-2176

[37]Zhang,W.W.,Li,D.,Li,Y.B.:Quantum private comparison protocol withW states.Int J Theor Phys,2014,53(5):1723-1729

[38]Xu,G.A.,Chen,X.B.,Wei,Z.H.,Li,M.J.,Yang,Y.X.:An efficientprotocol for the quantum private comparison of equality with a four-qubitcluster state.Int J Quant Inform,2012,10(4):1250045

[39]Sun,Z.W.,Long,D.Y.:Quantum private comparison protocol based oncluster states.Int J TheorPhys,2013,52(1):212-218

[40]Liu,W.,Wang,Y.B.,Jiang,Z.T.,Cao,Y.Z.:A protocol for the quantumprivate comparison of equality withχ-type state.Int J Theor Phys,2012,51(1):69-77

[41]Liu,W.,Wang,Y.B.,Jiang,Z.T.,Cao,Y.Z.,Cui,W.:New quantum privatecomparison protocol usingχ-type state.Int J Theor Phys,2012,51(6):1953-1960

[42]Lin,S.,Guo,G.D.,Liu,X.F.:Quantum private comparison of equalitywithχ-type entangled states.Int J Theor Phys,2013,52(11):4185-4194

[43]Liu,W.,Wang,Y.B.,Wang,X.M.:Multi-party quantum private comparisonprotocol using d-dimensional basis states without entanglement swapping.Int JTheor Phys,2014,53(4):1085-1091

[44]Wang,Q.L.,Sun,H.X.,Huang,W.:Multi-party quantum privatecomparison protocol with n-level entangled states.Quantum Inf Process,2014,13(11):2375-2389

[45]Ye,C.Q.,Ye,T.Y.:Circular Multi-party quantum private comparisonwith n-level single-particle states.Int J Theor Phys,201958(4):1282–1294.

[46]Lo,H.K.:Insecurity ofquantum secure computations.Phys Rev A,1997,56(2):1154-1162

[47]Boyer,M.,Kenigsberg,D.,Mor,T.:Quantum key distribution withclassical Bob.Phys Rev Lett,2007,99(14):140501

[48]Boyer,M.,Gelles,R.,Kenigsberg,D.,Mor,T.:Semiquantum keydistribution.Phys Rev A,2009,79(3):032341

[49]Lu,H.,Cai,Q.Y.:Quantum key distribution with classical Alice.IntJ Quant Inform,2008,6(6):1195-1202

[50]Zou,X.F.,Qiu,D.W.,Li,L.Z.,Wu,L.H.,Li,L.J.:Semiquantum-keydistribution using less than four quantum states.Phys Rev A,2009,79(5):052312

[51]Sun,Z.W.,Du,R.G.,Long,D.Y.:Quantum key distribution with limitedclassical Bob.Int J Quant Inform,2013,11(1):1350005

[52]Zou,X.F.,Qiu,D.W.,Zhang,S.Y.,Mateus,P.:Semiquantum keydistribution without invoking the classical party’s measurementcapability.Quantum InfProcess,2015,14(8):2981-2996

[53]Krawec,W.O.:Restricted attacks on semi-quantum key distributionprotocols.Quantum InfProcess,2014,13(11):2417-2436

[54]Yang,Y.G.,Sun,S.J.,Zhao,Q.Q.:Trojan-horse attacks on quantum keydistribution with classical Bob.Quantum Inf.Process,2015,14(2):681-686

[55]Krawec,W.O.:Security of a semi-quantum protocol where reflectionscontribute to the secret key.Quantum Inf Process,2016,15(5):2067-2090

[56]Wang,J.,Zhang,S.,Zhang,Q.,Tang,C.J.:Semiquantum key distributionusing entangled states.Chin Phys Lett,2011,28(10):100301

[57]Krawec,W.O.:Mediated semi-quantum key distribution.Phys Rev A,2015,91(3):032323

[58]Boyer,M.,Katz,M.,Liss,R.,Mor,T.:A new and feasible protocol forsemi-quantum key distribution.2017,http://arxiv.org/pdf/quant-ph/170107044.pdf

[59]Zou,X.F.,Qiu,D.W.:Three-step semiquantum secure directcommunication protocol.Sci China-Phys Mech Astron,2014,57(9):1696-1702

[60]Luo,Y.P.,Hwang,T.:Authenticated semi-quantum direct communicationprotocols using Bell states.Quantum Inf.Process,2016,15(2):947-958

[61]Zhang M H,Li H F,Xia Z Q,et al.Semiquantum secure directcommunication using EPR pairs.Quantum Inf.Process,2017,16(5):117

[62]Li,Q.,Chan,W.H.,Long,D.Y.:Semiquantum secret sharing usingentangled states.Phys.Rev.A,2010,82(2):022303

[63]Wang,J.,Zhang,S.,Zhang,Q.,et al.:Semiquantum secret sharing usingtwo-particle entangled state.Int.J.Quantum Inf,2012,10(5):1250050

[64]Li,L.Z.,Qiu,D.W.,Mateus,P.:Quantum secret sharing with classicalBobs.J.Phys.A Math.Theor,2013,46(4):045304

[65]Lin,J.,Yang,C.W.,Tsai,C.W.,et al.:Intercept-resend attacks onsemi-quantum secret sharing and the improvements.Int J Theor Phys,2013,52(1):156-162

[66]Yang,C.W.,Hwang,T.:Efficient key construction on semi-quantumsecret sharing protocols.Int J Quant Inform,2013,11(5):1350052

[67]Xie,C.,Li,L.Z.,Qiu,D.W.:A novel semi-quantum secret sharingscheme ofspecific bits.Int J Theor Phys,2015,54(10):3819-3824

[68]Yin,A.,Fu,F.:Eavesdropping on semi-quantum secret sharing schemeof specific bits.Int J Theor Phys,2016,55(9):4027-4035

[69]Gao,G.,Wang,Y.,Wang,D.:Multiparty semi-quantum secret sharingbased on rearranging orders ofqubits.Mod.Phys.Lett.B,2016,30(10):1650130

[70]Chou,W.H.,Hwang,T.,Gu,J.:Semi-quantum private comparison protocolunder an almost-dishonest third party.http://arxiv.org/pdf/quant-ph/160707961.pdf

[71]Thapliyala,K.,Sharmab,R.D.,Pathak,A.:Orthogonal-state-based andsemi-quantum protocols for quantum private comparison in noisyenvironment.http://arxiv.org/pdf/quant-ph/160800101.pdf

[72]Ye,T.Y.,Ye,C.Q.:Measure-Resend Semi-Quantum Private ComparisonWithout Entanglement.Int J Theor Phys,2018,57(12):3819-3834.

[73]Gao,F.,Qin,S.J.,Wen,Q.Y.,Zhu,F.C.:A simple participant attack onthe Bradler-Dusek protocol.Quantum Inf Comput,2007,7:329

[74]Lin,J.,Hwang,T.:An enhancement on Shi et al.’s multiparty quantumsecret sharing protocol.Opt.Commun,2011,284(5):1468-1471

[75]Chen,J.H.,Lee,K.C.,Hwang,T.:The enhancement ofZhou et al.’squantum secret sharing protocol.Int.J.Mod.Phys.C,1999,20(10):1531-1535

[76]Cai,Q.Y.:Eavesdropping on the two-way quantum communicationprotocols with invisible photons.Phys LettA,2006,351(1-2):23-25

[77]Gisin,N.,Ribordy,G.,Tittel,W.,Zbinden,H.:Quantum cryptography.RevMod Phys,2002,74(1):145-195

[78]Deng,F.G.,Zhou,P.,Li,X.H.,Li,C.Y.,Zhou,H.Y.:Robustness of two-wayquantum communication protocols against Trojan horse attack.2005,http://arxiv.org/pdf/quant-ph/0508168.pdf

[79]Li,X.H.,Deng,F.G.,Zhou,H.Y.:Improving the security of securedirect communication based on the secret transmitting order of particles.PhysRev A,2006,74:054302

[80]Lin,P.H.,Hwang.Teng.,Tsai.C.W.:Effificient semi-quantum privatecomparison using single photons.Quantum Inf.Process,2019,18:207

发明内容

本发明设计一种基于Bell态的半量子隐私比较方法，在一个半忠诚的量子第三方TP的帮助下，经典参与者Alice和Bob在不泄露各自秘密的情况下，比较各自秘密的相等性。共包括以下七个过程：

S1)首先，Alice和Bob通过W.O.Krawec在文献[57]所提出的SQKD方法共享一个长度为L的密钥串K。这里，K_i表示K的第i个比特，K_i∈{0,1}并且i＝1,2,...,L。与此同时，Alice和Bob通过随机数生成器分别制备长度为2L的生密钥RA和RB。这里，RA_j(RB_j)表示RA(RB)的第j个比特，RA_j,RB_j∈{0,1}。经典参与者Alice和Bob各自的秘密信息用X和Y表示。X和Y的二进制分别表示为(x_L,x_L-1,...,x₁)和(y_L,y_L-1,...,y₁)。

S2)TP随机地从式(1)所示的四种Bell态|φ⁺>,|φ^->,

和

中选出2L个Bell态。TP将这些粒子分成两个粒子序列S_A和S_B。S_A是由所有Bell态中的第一个粒子构成的，而S_B是由所有Bell态中S_A的第二个粒子构成的。在这之后，TP将序列S_A发送给Alice，S_B发送给Bob。

S3)在接收到所有的粒子之后，根据RA_j(RB_j)的值Alice(Bob)选择相应的操作模式。如果RA_j＝0(RB_j＝0)，那么Alice(Bob)选择反射模式。如果RA_j＝1(RB_j＝1)，那么Alice(Bob)选择翻转模式。具体的，在反射模式下，Alice(Bob)将粒子直接返回给TP。在翻转模式下，Alice(Bob)在经典基下对接收的粒子进行测量，并制备与测量结果相反状态的粒子。如果测量结果是|0>(|1>)，那么Alice(Bob)制备新的粒子|1>(|0>)。在这之后，Alice和Bob将自己手上的粒子进行重新排序并将这些粒子发送给TP。

S4)TP告知Alice和Bob她已经收到所有的粒子。在这之后，Alice和Bob分别公布他们所发送粒子的顺序。因此，TP可以将粒子的顺序恢复到她在步骤S1制备时的原始顺序。在这之后，TP对收到的粒子进行Bell态测量。根据初始Bell态和测量结果的不同，TP用RT_j来表示不同的结果，如表1所示。例如，初始状态是|φ⁺>或者|φ^->，测量结果是|φ⁺>或者|φ^->，TP令RT_j＝0。如果初始状态是|φ⁺>或者|φ^->，而测量结果是

或者

那么TP令RT_j＝1。这里，RT_j∈{0,1}。

表1初始Bell态，测量结果和RT_j

S5)TP随机选择L个粒子来进行窃听检测。然后她发信号通知Alice和Bob公布他们在所选粒子上所做的操作。之后Alice和Bob公布他们在这些粒子上所选择的操作，然后TP计算错误率。如果量子信道中没有窃听者，则会产生两种结果。当Alice和Bob选择相同的操作模式时，RT_j应为0，当Alice和Bob选择不同的操作模式时，RT_j应为1(详细信息如表2所示，分别用R和F表示反射模式和翻转模式)。如果错误率高于阈值，则通信将终止；否则通信继续。

表2初始Bell态,RA_j,RB_j,测量结果和RT_j之间的关系

S6)在用于安全检测的粒子丢弃之后，剩余的RA_j,RB_j和RT_j分别表示为RA_i′,RB_i′和RT_i′，这里，i＝1,2,...,L。如表2所示，

之后，Alice(Bob)用RA_i′(RB_i′)作为一次密码本来加密他们各自的秘密。Alice(Bob)计算

并公布MA(MB)给TP，这里，MA＝[MA₁,MA₂,...,MA_L](MB＝[MB₁,MB₂,...,MB_L])。

S7)对于i＝1,2,...,L：TP计算

如果R_i≠0，那么TP可以推断出X≠Y，并结束通信。否则的话，令i＝i+1，重新开始执行本步骤。如果对于所有的i，R_i＝0都成立，那么TP可以得出X＝Y。最后，TP告诉Alice和Bob比较的结果。

具体实施方式

下面结合本发明的具体步骤对本发明的技术方案做进一步描述。

1基于Bell态的半量子隐私比较方法

S2)TP随机地从式(1)所示的四种Bell态|φ⁺>,φ^->,

和

S4)TP告知Alice和Bob她已经收到所有的粒子。在这之后，Alice和Bob分别公布他们所发送粒子的顺序。因此，TP可以将粒子的顺序恢复到她在步骤S2制备时的原始顺序。在这之后，TP对收到的粒子进行Bell态测量。根据初始Bell态和测量结果的不同，TP用RT_j来表示不同的结果，如表1所示。例如，初始状态是|φ⁺>或者|φ^->，测量结果是|φ⁺>或者|φ^->，TP令RT_j＝0。如果初始状态是|φ⁺>或者|φ->，而测量结果是

或者

那么TP令RT_j＝1。这里，RT_j∈{0,1}。

S6)在用于安全检测的粒子丢弃之后，剩余的RA_j,RB_j和RT_j分别表示为RA′_i′,RB′_i′和RT_i′，这里，i＝1,2,...,L。如表2所示，

之后，Alice(Bob)用RA′_i′(RB′_i′)作为一次密码本来加密他们各自的秘密。Alice(Bob)计算

S7)对于i＝1,2,...,L：TP计算

2方法正确性分析

Alice和Bob各自拥有秘密X和Y。X和Y的二进制分别表示为(x_L,x_L-1,...,x₁)和(y_L,y_L-1,...,y₁)。这里，x_i,y_i∈{0,1}并且i＝1,2,...,L。他们想要在一个半忠诚的量子TP的帮助下比较X和Y是否相等。根据表2，可以得出

Alice将秘密信息x_i与RA′_i′和K_i一起加密得到

同时，Bob将秘密信息y_i与RB_i′和K_i一起加密得到

RA′_i′，RB′_i′和RT′_i′分别表示窃听检测后剩余的RA_j，RB_j和RT_j。通过计算

TP可以得到x_i和y_i的比较结果，因为

如果R_i＝0，可以得出x_i＝y_i。否则，可以得到x_i≠y_i。

3方法安全性分析

3.1外部攻击

针对本方法的每一个步骤，对外部窃听者Eve窃取参与者秘密的可能性进行分析。

在步骤S1中，量子信道中没有任何信息传递。粒子通过量子信道传输发生在步骤S2和S3中。Eve可能会尝试对传输的粒子发起一些常见的攻击，例如拦截-重发攻击，测量-重发攻击和纠缠-测量攻击，以获得一些有关参与者秘密的有用信息。

拦截-重发攻击意味着Eve截获从TP到Alice(Bob)的粒子，然后将制备好的假粒子发送给Alice(Bob)。通过这种攻击，Eve将不可避免地被发现，因为她不知道Alice和Bob所选择的操作模式。例如，Eve截获从TP到Alice(Bob)的粒子，然后，Eve利用经典基制备她的假粒子并分别将假粒子发送给Alice和Bob。当Alice和Bob都选择反射模式时，Eve的攻击将不可避免地导致错误，因为Eve的假粒子不一定与TP制备的粒子相同。可以得出结论，Eve通过拦截-重发攻击无法在不被发现的情况下，获取Alice和Bob的秘密。

测量-重发攻击意味着Eve截获从TP到Alice(Bob)的粒子后，在经典基上测量它们，并将测量后的态发送给Alice(Bob)。Eve的这种攻击，可以通过步骤S5中的安全检测中被发现。当Alice和Bob都选择反射模式时，Eve的测量将破坏纠缠态，并且她不知道Alice和Bob选择所选择的操作模式。可以得出结论，Eve无法通过测量-重发攻击在不被发现的情况下获得Alice和Bob的秘密。

纠缠-测量攻击意味着Eve截获传输的粒子并将辅助粒子与其进行纠缠，然后她对辅助粒子进行测量以提取秘密信息。不失一般性，Eve的酉操作

可以表示为：

这里，|e₀₀>,|e₀₁>,|e₁₀>和|e₁₁>表示由

所决定的纯态；|a|²+|b|²＝1，|c|²+|d|²＝1。

(a)首先，考虑到Eve想要窃取一个参与者秘密的情况。在本方法中，Alice的角色与Bob的角色是相同的。不失一般性，假设Eve想要窃取Alice的秘密信息。假设，TP制备Bell态|φ⁺>并将第一个粒子发送给Alice，第二个粒子发送给Bob。之后，Eve将自己的辅助粒子|e>与Alice发送TP的粒子进行纠缠。

如果Alice和Bob至少有一方选择了翻转模式，|s>_A和|t>_B将不再是纠缠态，Alice-Bob-Eve的状态将会变为：

这里，|s>_A表示Alice发送给TP的粒子，而|t>_B表示Bob发送给TP的粒子，并且s,t∈{0,1}。

如果Alice和Bob都选择反射模式，Alice-Bob-Eve的状态将会变为：

Eve为了不被TP在步骤S6中检测到，那么TP对于Alice和Bob反射回来的粒子的测量结果为|φ⁺>的概率应该为1。因此，可以得出

b＝c＝0， a＝d＝1。 (7)

|e₀₀>＝|e₁₁>。 (8)

将式(7)和(8)应用到(5)，可以得出

将式(7)和(8)应用到(6)，可以得出

根据式(9)和(10)，可以得出结论，Eve为了不被TP在步骤S6中检测到，那么她的辅助粒子和Alice的粒子不是互相纠缠的。因此，她不能通过测量自己的辅助粒子来获得Alice的秘密信息。

(b)其次，考虑到Eve想要窃取两个参与者秘密的情况。假设，TP制备Bell态，并将第一个粒子发送给Alice，第二个粒子发送给Bob。然后Eve将自己的辅助粒子|e>₁和|e>₂分别与Alice发送给TP的粒子，Bob发送给TP的粒子进行纠缠。

如果Alice和Bob都选择反射模式，并且TP制备的Bell态是|φ⁺>，那么Alice-Bob-Eve的状态将会变为：

如果，TP制备的Bell态是|φ^->，那么Alice-Bob-Eve的状态将会变为：

如果，TP制备的Bell态是

那么Alice-Bob-Eve的状态将会变为：

如果，TP制备的Bell态是

那么Alice-Bob-Eve的状态将会变为：

Eve为了不被TP在步骤S6中检测到，那么TP对于Alice和Bob反射回来的粒子的测量结果应该和初始制备的Bell态相同。因此，可以得出

这里，Ο表示零列向量。

根据式(16-19)可以得出

根据式(16-23)，|a|²+|b|²＝1，|c|²+|d|²＝1可以得出

或者

假设Eve的操作

满足式(24)，将式(24)应用到式(11)可以得出

将式(24)应用到式(12-15)可以得到

根据式(26-30)可以得出结论，Eve为了不被TP在步骤S6中检测到，那么她的辅助粒子和目标粒子不是互相纠缠的。因此，她不能通过测量自己的辅助粒子来获得Alice和Bob的秘密信息。另外，当Eve的操作

满足式(25)时，可以用同样的方法分析这种情形，并且可以得出相同的结论。

在步骤S4中，Alice(Bob)公布各自发送给TP的粒子顺序。然而，这对Eve获得Alice和Bob的秘密没有帮助。

在步骤S5中，TP选择用一半的粒子来进行窃听检测，Eve无法获得任何有用的信息。

在步骤S6和S7中，Eve可以获得MA和MB，以及的最后的比较结果。然而，由于她不知道RA′和RB′以及K的值，对于Eve来说仍然无法获得任何关于Alice和Bob的秘密信息。

现在可以得出结论，在不被发现的情况下，外部窃听者Eve无法获得任何关于Alice和Bob的秘密信息。

3.2参与者攻击

在本发明方法中，不诚实的Alice(Bob)无法获得Bob(Alice)的秘密。并且，半忠诚的TP也无法获得Alice和Bob的秘密。

情形(1)Alice(Bob)想要获取Bob(Alice)的秘密信息。

在本方法中，Alice的角色与Bob的角色相同。不失一般性，假设Alice是不诚实的一方。在步骤S2中TP发送粒子给Alice(Bob)并且在步骤S2中Alice(Bob)发送粒子给TP。然而，在Alice和Bob之间没有要发送的粒子。因此，Alice完全独立于Bob。为了获得Bob的秘密，当Alice试图对步骤S2中TP发送给Bob的粒子或者在步骤S3中Bob发送给TP的粒子发动攻击时，她本质上是一个外部窃听者。如上述外部攻击所分析的，如果她发动攻击，她将不可避免地被发现，因为她不知道Bob所选择的操作模式。

另外，在步骤S6和S7中，Alice可以从Bob公布的信息中得到MB，以及来自TP公布的比较结果。但是，这些信息仍无法帮助她获取Bob的秘密信息。

现在可以得出结论，不诚实的Alice(Bob)无法获得有关Bob(Alice)的秘密信息。

情形(2)不忠诚的TP想要获取Alice和Bob的秘密信息。

在本方法中，TP被允许按照自己的意愿错误行事，但不能与任何人和谋。在步骤S6中，TP可以获得MA和MB。由于TP是唯一拥有RT′，MA和MB信息的一方，因此，她可以得到两个参与者秘密信息的比较结果。但是，由于她不知道K，因此TP无法获得任何有关参与者秘密的信息。

实施例

1基于Bell态的半量子隐私比较方法应用举例

这里通过一个例子进一步说明本发明方法实现半量子隐私比较的过程。假设Alice拥有秘密X，而Bob的秘密Y。他们的二进制表示分别为(x_L,x_L-1,...,x₁)和(y_L,y_L-1,...,y₁)。Alice和Bob所共享的密钥K为(K_L,K_L-1,...,K₁)。步骤S2，他们根据自己制备的生密钥RA_j和RB_j值的不同选择不同的操作模式。TP通过Bell态测量的测量结果和初始态可以得出

在经过安全检测之后剩余的RA_j,RB_j和RT_j分别表示为RA_i′,RB_i′和RT_i′，Alice和Bob用RA_i′,RB_i′以及K_i对自己的秘密信息进行加密，得到

和

并将MA_i和MB_i发送给TP。在步骤S7中，TP计算

如果对所有R_i＝0都成立，那么可以得到Alice和Bob的秘密信息相等，否则他们的秘密信息不等。

2讨论

在不考虑安全检测的情况下，这里将本发明方法与之前的SQPC方法[70-72,80]进行比较。详细的比较结果如表3所示。方法[4]中引入的量子比特效率是用来表示安全量子通信效率的。在方法[74,75]中将量子比特效率定义为

c表示被比较的经典比特，q表示被消耗的粒子数量。在本方法中，为了比较一个比特秘密，TP应该制备2个Bell态(4比特)并分别将它们发送给Alice和Bob。然后Alice和Bob制备一个新的粒子并分别将粒子发送给TP。此外，本方法使用SQKD方法[57]来生成预共享密钥，该方法需要16个粒子来生成一个密钥。因此，本方法的量子比特效率都是

同样的，可以计算方法[70-72,80]中的粒子效率。在方法[70]中，为了比较一比特秘密信息，TP需要准备64个Bell态(128比特)并向Alice和Bob发送64个粒子。然后Alice和Bob需要制备16个新粒子并分别将这些粒子发送给TP。因此，量子比特效率是

在方法[71]和方法[72]中，为了比较一比特秘密信息，TP应该制备16个粒子并分别发送给Alice和Bob。然后Alice和Bob制备4个粒子并分别将这些粒子发送给TP。此外，它们需要使用SQKD方法消耗16个粒子来生成一个密钥。因此，方法[71]和方法[72]的量子比特效率是

至于方法[80]，为了比较一比特秘密信息，TP需要制备32个粒子并分别发送给Alice和Bob。然后，Alice和Bob分别制备8个粒子并将这些粒子发送给TP。因此，方法[80]的量子比特效率是

表3本发明方法和之前SQPC方法的比较

此外，在本发明方法中，粒子传输是往返的。因此，应该考虑来自外部窃听者的特洛伊木马攻击。为了抵抗不可见光子的特洛伊木马攻击[76]，接收器应该在她的设备前面插入一个滤波器来滤除非法波长的光子信号[77,78]。为了抵抗延迟光子特洛伊木马攻击[77,79]，接收器应采用光子数分光器(PNS：50/50)将每个采样量子信号分成两部分并在PNS之后使用合适的测量基对信号进行测量[77,78]。如果多光子率超过合理阈值，这种攻击将会被检测到。

3总结

综上所述，本发明文提出了一种基于Bell态的高效SQPC方法。在一个半忠诚的量子TP的帮助下，经典参与者Alice和Bob可以在不泄露他们秘密信息的情况下比较他们秘密的相等性。与之前的SQPC方法相比，显然本方法比先前的SQPC方法更高效。并且本方法能够抵御外部攻击和参与者攻击。经典参与者Alice和Bob无法获得对方的秘密，而且TP也不能获取Alice和Bob的秘密。

Claims

1.一种基于Bell态的半量子隐私比较方法，其特征在于：在一个半忠诚的量子TP的帮助下，经典参与者可以在不泄露他们秘密信息的情况下比较他们秘密的相等性；TP是半忠诚的，意味着他被允许按照自己意愿错误行事但不能与其他方合谋；共包括以下七个过程：

S1)首先，Alice和Bob通过SQKD方法共享一个长度为L的密钥串K；这里，K_i表示K的第i个比特，K_i∈{0,1}并且i＝1,2,…,L；与此同时，Alice和Bob通过随机数生成器分别制备长度为2L的生密钥RA和RB；这里，RA_j和RB_j表示RA和RB的第j个比特，RA_j,RB_j∈{0,1}；经典参与者Alice和Bob各自的秘密信息用X和Y表示；X和Y的二进制分别表示为(x_L,x_L-1,…,x₁)和(y_L,y_L-1,…,y₁)；

S2)TP随机地从式(1)所示的四种Bell态|φ⁺>,|φ^->,

和

中选出2L个Bell态；TP将这些粒子分成两个粒子序列S_A和S_B；S_A是由所有Bell态中的第一个粒子构成的，而S_B是由所有Bell态中S_A的第二个粒子构成的；在这之后，TP将序列S_A发送给Alice，S_B发送给Bob；

S3)在接收到所有的粒子之后，根据RA_j和RB_j的值Alice和Bob选择相应的操作模式；如果RA_j＝0和RB_j＝0，那么Alice和Bob选择反射模式；如果RA_j＝1和RB_j＝1，那么Alice和Bob选择翻转模式；具体的，在反射模式下，Alice和Bob将粒子直接返回给TP；在翻转模式下，Alice和Bob在经典基下对接收的粒子进行测量，并制备与测量结果相反状态的粒子；如果测量结果是|0>和|1>，那么Alice和Bob制备新的粒子|1>和|0>；在这之后，Alice和Bob将自己手上的粒子进行重新排序并将这些粒子发送给TP；

S4)TP告知Alice和Bob她已经收到所有的粒子；在这之后，Alice和Bob分别公布他们所发送粒子的顺序；因此，TP可以将粒子的顺序恢复到她在步骤S1制备时的原始顺序；在这之后，TP对收到的粒子进行Bell态测量；根据初始Bell态和测量结果的不同，TP用RT_j来表示他们的关系，其对应关系为：如果初始Bell态是|φ⁺>或|φ^->而测量结果是|φ⁺>或|φ^->，那么RT_j＝0；如果初始Bell态是|φ⁺>或|φ^->而测量结果是

或

那么RT_j＝1；如果初始Bell态是

或

而测量结果是

或

那么RT_j＝0；如果初始Bell态是

或

而测量结果是|φ⁺>或|φ^-〉，那么RT_j＝1；

S5)TP随机选择L个粒子来进行窃听检测；然后她发信号通知Alice和Bob公布他们在所选粒子上所做的操作；之后Alice和Bob公布他们在这些粒子上所选择的操作，然后TP计算错误率；如果量子信道中没有窃听者，则会产生两种结果；当Alice和Bob选择相同的操作模式时，RT_j应为0，当Alice和Bob选择不同的操作模式时，RT_j应为1；也就是说，Alice和Bob的操作信息RA_j和RB_j与RT_j的对应关系为：

如果错误率高于阈值，则通信将终止；否则通信继续；

S6)在用于安全检测的粒子丢弃之后，剩余的RA_j,RB_j和RT_j分别表示为RA_i′,RB_i′和RT_i′，这里，i＝1,2,...,L；显然，

在这之后，Alice和Bob用RA_i′和RB_i′作为一次密码本来加密他们各自的秘密；Alice和Bob计算

和

并公布MA和MB给TP，这里，MA＝[MA₁,MA₂,...,MA_L]，MB＝[MB₁,MB₂,...,MB_L]；

S7)对于i＝1,2,...,L：TP计算

如果R_i≠0，那么TP可以推断出X≠Y，并结束通信；否则的话，令i＝i+1，重新开始执行本步骤；如果对于所有的i，R_i＝0都成立，那么TP可以得出X＝Y；最后，TP告诉Alice和Bob比较的结果。