CN110830241B

CN110830241B - 基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法

Info

Publication number: CN110830241B
Application number: CN201910957760.4A
Authority: CN
Inventors: 蒋丽珍
Original assignee: Zhejiang Gongshang University
Current assignee: Zhejiang Gongshang University
Priority date: 2019-10-10
Filing date: 2019-10-10
Publication date: 2022-06-07
Anticipated expiration: 2039-10-10
Also published as: CN110830241A

Abstract

本发明提出了一种基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法。在一个半忠诚的量子第三方(Third party，TP)的帮助下，两个经典参与者可以在不泄露自己秘密的情况下比较他们秘密的相等性。第三方TP是半忠诚的，意味着她被允许按照自己意愿错误行事，但不允许与其他人合谋。本方法不需要经典通信者具备测量能力，并且在效率上比之前的半量子隐私比较方法要高。此外，本方法可以抵抗常见的攻击，比如测量‑重发攻击、截获‑重发攻击、纠缠‑测量攻击和参与者攻击。

Description

基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法

技术领域

本发明涉及量子密码学领域。本发明设计一种基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法，在一个半忠诚的量子第三方TP的帮助下，经典参与者Alice和Bob在不泄露各自秘密的情况下，比较各自秘密的相等性。

背景技术

量子密码学可以看作是量子力学和经典密码学的结合。其安全性是基于量子力学的基本原理而不是解决数学问题的计算复杂性。迄今为止，已经设计了许多量子加密方法来完成各种加密任务，如量子密钥分发(QKD)[1-6]，量子安全直接通信(QSDC)[7-10]，量子秘密共享(QSS)[11-14]，量子私有查询[15-18]等。

安全多方计算(SMC)旨在基于不公开每个隐私输入的真实内容来计算来自分布式网络中的不同方的隐私输入的功能。作为SMC的一个重要分支，隐私比较，是Yao[19]首先百万富翁的问题中提出的。在百万富翁的问题中，两位百万富翁想要在不了解彼此的实际财产的情况下判断谁更富有。之后，Boudot等人[20]提出了一个判断两位百万富翁是否同样富有的隐私比较方法。将经典隐私比较推广到量子力学领域，Yang和Wen[21]在2009年首次提出了量子隐私比较(QPC)。

近年来，QPC方法的设计和分析成功引起了人们的广泛关注。基于不同量子态的QPC方法被设计出来，如基于单粒子态，两粒子乘积态，Bell态，GHZ态，W态，Cluster态，χ型纠缠态和多级量子系统[22-45]。由于不可能在两方情景中构建安全的相等函数[46]，因此在QPC方法中总是需要一些额外的假设，例如第三方(TP)。很容易发现所有上述QPC方法[21-45]都要求所有参与者都具有完整的量子能力。

在2007年，Boyer等人[47-48]第一次提出了半量子密钥分配(SQKD)这一新颖的概念。在这个方法中，Alice具备完全的量子能力，而Bob的能力被限制只能在量子信道中执行以下这些操作；(a)发送或不带干扰地返回量子比特；(b)用固定的正交基{|0>，|1>}测量量子比特；(c)制备(新的)量子比特处于固定的正交基{|0>，|1>}；和(d)对量子比特重新排序(通过不同的延迟线)。根据文献[47-48]的定义，正交基{|0>，|1>}可被视为经典测量基并用经典记号{0，1}代替，因为它只涉及量子比特|0>和|1>而非任何量子叠加态。尽可能少地使用量子资源来实现量子密码方法是非常有意义的。研究者对半量子密码表现出了极大的热情，并尝试将半量子的理念应用于QKD，QSDC和QSS等不同的量子密码学任务。因此，许多半量子密码方法，如SQKD方法[49-58]，半量子安全直接通信(SQSDC)方法[59-61]，半量子秘密共享(SQSS)方法[62-69]和半量子隐私比较(SQPC)方法[70-72，80]已被设计出来。方法[70-71]利用Bell态作为初始量子资源并且需要TP进行Bell态测量。而方法[72]利用两粒子乘积态作为初始量子资源，需要TP进行单粒子测量。然而这些方法的效率都不高。

本文提出了一种基于Bell态的不要求经典通信者具备测量能力的高效SQPC方法。在半忠诚的量子方TP的帮助下，经典通信者可以在不泄露他们秘密的情况下比较他们的秘密的相等性。TP具有完全的量子能力，而TP是半诚实的意味着她可能自己行为不端，但不允许与其他任何人勾结。在本发明方法中，经典通信者不需要具备测量能力并且提出的SQPC方法在粒子效率上比之前的SQPC方法要高。

参考文献

[1]Bennett，C，H.，Brassard，G.：Quantum cryptography：public-keydistribution and coin tossing.In：Proceedings of the IEEE InternationalConference on Computers，Systems and Signal Processing.Bangalore：IEEE Press，1984，175-179

[2]Ekert，A.K.：Quantum cryptography based on Bell′s theorem.Phys RevLett，1991，67(6)：661-663

[3]Bennett，C.H，Brassard，G.，Mermin，N.D.：Quantum cryptography withoutBell theorem.Phys Rev Lett，1992，68：557-559

[4]Cabello，A.：Quantum key distribution in the Holevo limit.Phys RevLett，2000，85：5635

[5]Zhang，C.M.，Song，X.T.，Treeviriyanupab，P.，et al..：Delayed errorverification in quantum key distribution.Chin Sci Bull，2014，59(23)：2825-2828

[6]Long，G.L.，Liu，X.S.：Theoretically efficient high-capacity quantum-key-distribution scheme.Phys Rev A，2002，65：032302

[7]Deng，F.G.，Long，G.L.，Liu，X，S.：Two-step quantum direct communicationprotocol using the Einstein-Podolsky-Rosen pair block.Phys Rev A，2003，68：042317

[8]Deng，F.G.，Long，G.L.：Secure direct communication with a quantumone-time pad.Phys Rev A，2004，69：052319

[9]Chen，X.B.，Wen，Q.Y.，Guo，F.Z.，Sun，Y.，Xu，G.，Zhu，F.C.：Controlledquantum secure direct communication with W state.Int J Quant Inform，2008，6(4)：899-906

[10]Chang，Y.，Xu，C.X.，Zhang，S.B.，et al..：Controlled quantum securedirect communication and authentication protocol based on five-particlecluster state and quantum one-time pad.Chin Sci Bull，2014，59(21)：2541-2546

[11]Hillery，M.，Buzek，V.，Berthiaume，A.：Quantum secret sharing.Phys RevA，1999，59：1829-1834

[12]Karlsson，A.，Koashi，M.，Imoto，N.：Quantum entanglement for secretsharing and secret splitting.Phys Rev A，1999，59：162-168

[13]Xiao，L.，Long，G.L.，Deng，F.G.，Pan，J.W.：Efficient multipartyquantum-secret-sharing schemes.Phys Rev A，2004，69：052307

[14]Wang，T.Y.，Wen，Q.Y.，Chen，X.B.，et al.：An efficient and securemultiparty quantum secret sharing scheme based on single photons.OpticsCommunications，2008，281(24)：6130-6134

[15]Jakobi，M.，Simon，C.，Gisin，N.，etal.：Practical private databasequeries based on a quantum-key-distribution protocol.Phys Rev A，2011，83，022301

[16]Gao，F.，Liu，B.，Huang，W.，Wen，Q.Y.：Postprocessing of the obliviouskey in quantum private query.IEEE J Scl Top Quant，2015，21，6600111

[17]Wei，C.Y.，Wang，T.Y.，Gao，F.：Practical quantum private query withbetter performance in resisting joint-measurement attack.Phys Rev A，93，2016，042318

[18]Wei，C.Y.，Cai，X.Q.，Liu，B.，et al.：A genetic constmction of quantum-oblivious-key-transfer-based private query with ideal database secur ity andzero failure，IEEE Trans on Comput，2018，67，2-8

[19]Yao，A.C.：Protocols for secure computations.In：Proceedings of 23rdIEEE Symposium on Foundations of Computer Science (FOCS’82)，Washington，DC，1982，p.160

[20]Boudot，F.，Schoenmakers，B.，Traor’e J.：A fair and efficientsolution to the socialist millionaires’problem.Discret Appl Math，2001，111(1-2)：23-36

[21]Yang，Y.G.，Wen，Q.Y.：An efficient two-party quantum PrivateComparison protocol with decoy photons and two-photon entanglement.J Phys A：Math and Theor，2009，42(5)：055305

[22]Yang，Y.G.，Gao，W.F.，Wen，Q.Y.：Secure quantum privatecomparison.Phys Scr，2009，80(6)：065002

[23]Chen，X.B.，Su，Y.，Niu，X.X.，Yang，Y.X.：Efficient and feasible quantumprivate comparison of equality against the collective amplitude dampingnoise.Quantum Inf Process，2014，13(1)：101-112

[24]Liu，B.，Gao，F.，Jia，H.Y.，Huang，W.，Zhang，W.W.，Wen，Q.Y.：Efficientquantum private comparison employing single photons and collectivedetection.Quantum Inf Process，2013，12(2)：887-897

[25]Yang，Y.G.，Xia，J.，Jia，X.，Zhang，H.：Comment on quantum privatecomparison protocols with a semi-honest third party.Quantum Inf Process，2013，12(2)：877-885

[26]Ye，T.Y.：Quantum private comparison via cavity QED.Commun TheorPhys，2017，67(2)：147-156

[27]Liu，W.，Wang，Y.B.，Cui，W.：Quantum private comparison protocol basedon Bell entangled states.Commun Theor Phys，2012，57(4)：583-588

[28]Zi，W.，Guo，F.Z.，Luo，Y.，Cao，S.H.，Wen，Q.Y.：Quantum privatecomparison protocol with the random rotation.Int J Theor Phys，2013，52(9)：3212-3219

[29]Tseng，H.Y.，Lin，J.，Hwang，T.：New quantum private comparisonprotocol using EPR pairs.Quantum Inf Process，2012，11(2)：373-384

[30]Zhang，W.W.，Zhang，K.J.：Cryptanalysis and improvement of thequantum private comparison protocol with semi-honest third party.Quantum InfProcess，2013，12(5)：1981-1990

[31]Lin，J.，Yang，C.W.，Hwang，T.：Quantum private comparison of equalityprotocol without a third party.Quantum Inf Process，2014，13(2)：239-247

[32]Chen，X.B.，Xu，G.，Niu，X.X.，Wen，Q.Y.，Yang，Y.X.：An efficient protocolfor the private comparison of equal information based on the tripletentangled state and single-particle measurement.Opt Commun，2010，283(7)：1561-1565

[33]Lin，J.，Tseng，H.Y.，Hwang，T.：Intercept-resend attacks on Chen etal.′s quantum private comparison protocol and the improvements.Opt Commun，2011，284(9)：2412-2414

[34]Chang，Y.J.，Tsai，C.W.，Hwang，T.：Multi-user private comparisonprotocol using GHZ class states.Quantum Inf Process，2013，12(2)：1077-1088

[35]Liu，W.，Wang，Y.B.，Jiang，Z.T.：An efficient protocol for the quantumprivate comparison of equality with W state.Opt Commun，2011，284(12)：3160-3163

[36]Li，J.，Zhou，H.F.，Jia，L.，Zhang，T.T.：An efficient protocol for theprivate comparison of equal information based on four-particle entangled Wstate and Bell entangled states swapping.Int J Theor Phys，2014，53(7)：2167-2176

[37]Zhang，W.W.，Li，D.，Li，Y.B.：Quantum private comparison protocol withW states.Int J Theor Phys，2014，53(5)：1723-1729

[38]Xu，G.A.，Chen，X.B.，Wei，Z.H.，Li，M.J.，Yang，Y.X.：An efficientprotocol for the quantum private comparison of equality with a four-qubitcluster state.Int J Quant Inform，2012，10(4)：1250045

[39]Sun，Z.W.，Long，D.Y.：Quantum private comparison protocol based oncluster states.Int J Theor Phys，2013，52(1)：212-218

[40]Liu，W.，Wang，Y.B.，Jiang，Z.T.，Cao，Y.Z.：A protocol for the quantumprivate comparison of equality with χ-type state.Int J Theor Phys，2012，51(1)：69-77

[41]Liu，W.，Wang，Y.B.，Jiang，Z.T.，Cao，Y.Z.，Cui，W.：New quantum privatecomparison protocol using χ-type state.Int J Theor Phys，2012，51(6)：1953-1960

[42]Lin，S.，Guo，G.D.，Liu，X.F.：Quantum private comparison of equalitywith χ-type entangled states.Int J Theor Phys，2013，52(11)：4185-4194

[43]Liu，W.，Wang，Y.B.，Wang，X.M.：Multi-party quantum private comparisonprotocol using d-dimensional basis states without entanglement swapping.Int JTheor Phys，2014，53(4)：1085-1091

[44]Wang，Q.L.，Sun，H.X.，Huang，W.：Multi-party quantum privatecomparison protocol with n-level entangled states.Quantum Inf Process，2014，13(11)：2375-2389

[45]Ye，C.Q.，Ye，T.Y.：Circular Multi-party quantum private comparisonwith n-level single-particle states.Int J Theor Phys，2019 58(4)：1282-1294.

[46]Lo，H.K.：Insecurity of quantum secure computations.Phys Rev A，1997，56(2)：1154-1162

[47]Boyer，M.，Kenigsberg，D.，Mor，T.：Quantum key distribution withclassical Bob.Phys Rev Lett，2007，99(14)：140501

[48]Boyer，M.，Gelles，R.，Kenigsberg，D.，Mor，T.：Semiquantum keydistribution.Phys Rev A，2009，79(3)：032341

[49]Lu，H.，Cai，Q.Y.：Quantum key distribution with classical Alice.IntJ Quant Inform，2008，6(6)：1195-1202

[50]Zou，X.F.，Qiu，D.W.，Li，L.Z.，Wu，L.H.，Li，L.J.：Semiquantum-keydistribution using less than four quantum states.Phys Rev A，2009，79(5)：052312

[51]Sun，Z.W.，Du，R.G.，Long，D.Y.：Quantum key distribution with limitedclassical Bob.Int J Quant Inform，2013，11(1)：1350005

[52]Zou，X.F.，Qiu，D.W.，Zhang，S.Y.，Mateus，P.：Semiquantum keydistribution without invoking the classical party’s measurementcapability.Quantum Inf Process，2015，14(8)：2981-2996

[53]Krawec，W.O.：Restricted attacks on semi-quantum key distributionprotocols.Quantum Inf Process，2014，13(11)：2417-2436

[54]Yang，Y.G.，Sun，S.J.，Zhao，Q.Q.：Trojan-horse attacks on quantum keydistribution with classical Bob.Quantum Inf.Process，2015，14(2)：681-686

[55]Krawec，W.O.：Security of a semi-quantum protocol where reflectionscontribute to the secret key.Quantum Inf Process，2016，15(5)：2067-2090

[56]Wang，J.，Zhang，S.，Zhang，Q.，Tang，C.J.：Semiquantum key distributionusing entangled states.Chin Phys Lett，2011，28(10)：100301

[57]Krawec，W.O.：Mediated semi-quantum key distribution.Phys Rev A，2015，91(3)：032323

[58]Boyer，M.，Katz，M.，Liss，R.，Mor，T.：A new and feasible protocol forsemi-quantum key distribution.2017，http：//arxiv.org/pdf/quant-ph/170107044.pdf

[59]Zou，X.F.，Qiu，D.W.：Three-step semiquantum secure directcommunication protocol.Sci China-Phys Mech Astron，2014，57(9)：1696-1702

[60]Luo，Y.P.，Hwang，T.：Authenticated semi-quantum direct communicationprotocols using Bell states.Quantum Inf.Process，2016，15(2)：947-958

[61]Zhang M H，Li H F，Xia Z Q，et al.Semiquantum secure directcommunication using EPR pairs.Quantum Inf.Process，2017，16(5)：117

[62]Li，Q.，Chan，W.H.，Long，D.Y.：Semiquantum secret sharing usingentangled states.Phys.Rev.A，2010，82(2)：022303

[63]Wang，J.，Zhang，S.，Zhang，Q.，et al.：Semiquantum secret sharing usingtwo-particle entangled state.Int.J.Quantum Inf，2012，10(5)：1250050

[64]Li，L.Z.，Qiu，D.W.，Mateus，P.：Quantum secret sharing with classicalBobs.J.Phys.A Math.Theor，2013，46(4)：045304

[65]Lin，J.，Yang，C.W.，Tsai，C.W.，et al.：Intercept-resend attacks onsemi-quantum secret sharing and the improvements.Int J Theor Phys，2013，52(1)：156-162

[66]Yang，C.W.，Hwang，T.：Efficient key construction on semi-quantumsecret sharing protocols.Int J Quant Inform，2013，11(5)：1350052

[67]Xie，C.，Li，L.Z.，Qiu，D.W.：A novel semi-quantum secret sharingscheme of specific bits.Int J Theor Phys，2015，54(10)：3819-3824

[68]Yin，A.，Fu，F.：Eavesdropping on semi-quantum secret sharing schemeof specific bits.Int J Theor Phys，2016，55(9)：4027-4035

[69]Gao，G.，Wang，Y.，Wang，D.：Multiparty semi-quantum secret sharingbased on rearranging orders of qubits.Mod.Phys.Lett.B，2016，30(10)：1650130

[70]Chou，W.H.，Hwang，T.，Gu，J.：Semi-quantum private comparison protocolunder an almost-dishonest third party.http：//arxiv.org/pdf/quant-ph/160707961.pdf

[71]Thapliyala，K.，Sharmab，R.D.，Pathak，A.：Orthogonal-state-based andsemi-quantum protocols for quantum private comparison in noisyenvironment.http：//arxiv.org/pdf/quant-ph/160800101.pdf

[72]Ye，T.Y.，Ye，C.Q.：Measure-Resend Semi-Quantum Private ComparisonWithout Entanglement.Int J Theor Phys，2018，57(12)：3819-3834.

[73]Gao，F.，Qin，S.J.，Wen，Q.Y.，Zhu，F.C.：A simple participant attack onthe Bradler-Dusek protocol.Quantum Inf Comput，2007，7：329

[74]Lin，J.，Hwang，T.：An enhancement on Shi et al.’s multiparty quantumsecret sharing protocol.Opt.Commun，2011，284(5)：1468-1471

[75]Chen，J.H.，Lee，K.C.，Hwang，T.：The enhancement of Zhou et al.’squantum secret sharing protocol.Int.J.Mod.Phys.C，1999，20(10)：1531-1535

[76]Cai，Q.Y.：Eavesdropping on the two-way quantum communicationprotocols with invisible photons.Phys Lett A，2006，351(1-2)：23-25

[77]Gisin，N.，Ribordy，G.，Tittel，W.，Zbinden，H.：Quantum cryptography.RevMod Phys，2002，74(1)：145-195

[78]Deng，F.G.，Zhou，P.，Li，X.H.，Li，C.Y.，Zhou，H.Y.：Robustness of two-wayquantum communication protocols against Trojan horse attack.2005，http：//arxiv.org/pdf/quant-ph/0508168.pdf

[79]Li，X.H.，Deng，F.G.，Zhou，H.Y.：Improving the security of securedirect communication based on the secret transmitting order of particles.PhysRev A，2006，74：054302

[80]Lin，P.H.，Hwang.Teng.，Tsai.C.W.：Effificient semi-quantum privatecomparison using single photons.Quantum Inf.Process，2019，18：207

发明内容

本发明设计一种基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法，在一个半忠诚的量子第三方TP的帮助下，经典通信者Alice和Bob在不泄露各自秘密的情况下，比较各自秘密的相等性。共包括以下七个过程：

S1)首先，Alice和Bob通过W.O.Krawec在文献[57]所提出的SQKD方法共享一个长度为L的密钥串K。这里，K_i表示K的第i个比特，K_i∈{0，1}并且i＝1，2，...，L。与此同时，Alice和Bob通过随机数生成器分别制备长度为L的生密钥RA和RB。这里，RA_i(RB_i)表示RA(RB)的第i个比特，RA_i，RB_i∈{0，1}。经典参与者Alice和Bob各自拥有秘密信息用X和Y表示。X和Y的二进制分别表示为(x_L，x_L-1，...，x₁)和(y_L，y_L-1，...，y₁)。

S2)TP随机地从式(1)所示的四种Bell态|φ⁺>，|φ^->，

和

中选出2L个Bell态。TP将这些粒子分成两个粒子序列S_A和S_B。S_A是由所有Bell态中的第一个粒子构成的，而S_B是由所有Bell态中S_A的第二个粒子构成的。在这之后，TP将序列S_A发送给Alice，S_B发送给Bob。

S3)在接收到所有的粒子之后，Alice(Bob)随机地选择反射模式(用CTRL表示)或者编码模式(用SIFT表示)。具体的，在反射模式下，Alice(Bob)将粒子直接返回给TP。在编码模式下，Alice(Bob)丢弃TP发送过来的粒子，然后计算

这里，

表示模2加法。再根据MA_i(MB_i)的值，Alice(Bob)利用经典基(即{|0>，|1>})制备相应状态的量子态。例如MA_i＝0(MB_i＝1)那么Alice(Bob)制备|0>(|1>)。最后，Alice(Bob)将粒子发送给TP。

S4)TP告知Alice和Bob她已经收到所有的粒子。在这之后，Alice和Bob分别公布对哪些粒子进行了CTRL操作，哪些粒子进行了SIFT操作。

S5)TP根据Alice和Bob公布的操作信息，对接收到的粒子进行不同的操作，如表1所示。

表1三个参与者对粒子的操作

(a)如果Alice和Bob都选择了反射模式(CTRL)，TP将对收到的粒子进行Bell态测量。在这种情形下，TP可以进行窃听检测，来判断是否有窃听者存在。如果没有窃听者存在，那么TP测量的结果将会和她自己制备的Bell态相同。

(b)如果表1中的情形(1)，(2)和(3)发生，TP对被执行了SIFT操作的粒子进行单粒子测量。这样TP就可以知道MA_i和

MB_i的值，这里i＝1，2，...，L。

S6)TP检查情形(4)中的错误率，如果错误率超过阈值，那么终止通信并重新开始。否则，进行下一步。

S7)在窃听检测之后，Alice和Bob分别公布RA和RB给TP。这里，RA＝[RA₁，RA₂，...，RA_L]，RB＝[RB₁，RB₂，...，RB_L]。在这之后，TP计算

如果R_i≠0，那么TP可以推断出X≠Y，并结束通信；否则的话，令i＝i+1，重新开始执行本步骤。

如果对于所有的i，R_i＝0都成立，那么TP可以得出X＝Y。最后，TP告诉Alice和Bob比较的结果。

具体实施方式

下面结合本发明的具体步骤对本发明的技术方案做进一步描述。

1基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法

S2)TP随机地从式(1)所示的四种Bell态|φ⁺>，|φ^->，

和

这里，

表示模2加法。再根据MA_i(MB_i)的值，Alice(Bob)利用经典基(即{|0>，|1〉})制备相应状态的量子态。例如MA_i＝0(MB_i＝1)那么Alice(Bob)制备|0>(|1>)。最后，Alice(Bob)将粒子发送给TP。

(b)如果表1中的情形(1)，(2)和(3)发生，TP对被执行了SIFT操作的粒子进行单粒子测量。这样TP就可以知道MA_i和MB_i的值，这里i＝1，2，...，L。

如果R_i≠0，那么TP可以推断出X≠Y，并结束通信；否则的话，令i＝i+1，重新开始执行本步骤。如果对于所有的i，R_i＝0都成立，那么TP可以得出X＝Y。最后，TP告诉Alice和Bob比较的结果。

2方法正确性分析

Alice和Bob各自拥有秘密X和Y。X和Y的二进制分别表示为(x_L，x_L-1，...，x₁)和(y_L，y_L-1，...，y₁)。这里，x₁，y_i∈{0，1}并且i＝1，2，...，L。他们想要在一个半忠诚的量子TP的帮助下比较X和Y是否相等。在所提出的SPQC方法中，基本参数之间的关系如表2所示。

和

分别表示Alice和Bob加密过后的信息。RA_i和RB_i分别表示Alice和Bob的生密钥。在计算

之后，TP可以得到x_i和y_i的比较结果，因为

如果R_i＝0，可以得到x_i＝y_i，否则，可以得到x_i≠y_i。

表2本发明方法中基本参数之间的关系

3方法安全性分析

3.1外部攻击

针对本方法的每一个步骤，对外部窃听者Eve窃取参与者秘密的可能性进行分析。

在步骤S1中，量子信道中没有任何信息传递。粒子通过量子信道传输发生在步骤S2和S3中。Eve可能会尝试对传输的粒子发起一些常见的攻击，例如拦截-重发攻击，测量-重发攻击和纠缠-测量攻击，以获得一些有关参与者秘密的有用信息。

拦截-重发攻击意味着Eve拦截从TP到Alice(Bob)的粒子，然后将准备好的假粒子发送给Alice(Bob)。通过这种攻击，Eve将不可避免地被发现，因为她不知道Alice和Bob所选择的操作模式。例如，TP制备Bell态|φ⁺>并将第一个粒子发送给Alice，第二个粒子发送给Bob。这两个粒子被Eve截获，然后，Eve用经典基{|0>，|1>}制备假的粒子，并将这些粒子分别发送给Alice和Bob。如果表1中的情形(1)，(2)和(3)发生，Eve的这种攻击不会引入错误。然而，如果情形(4)发生，这种攻击将会引入错误。因为，当TP对粒子进行Bell态测量时，会以相同的概率得到|φ⁺>，|φ^->，

和

因此，在情形(4)下，Eve将会以

的概率被TP发现。可以得出结论，Eve通过拦截-重发攻击不能再不被发现的情况下获得Alice和Bob的秘密。

测量-重发攻击意味着Eve将截获从TP到Alice(Bob)的粒子，在经典基础上测量它们，并将测量后态发送给Alice(Bob)。通过这种攻击，Eve将不可避免地被发现，因为她的测量将破坏纠缠状态，并且她不知道Alice和Bob所选择的操作模式。例如，TP制备Bell态|φ⁺>并将第一个粒子发送给Alice，第二个粒子发送给Bob。Eve截获这两个粒子并用经典基{|0>，|1>}去测量它们。在这之后，|φ⁺>将会以相同的概率塌缩成|00>或者|11>。Eve将测量后的粒子分别发送给Alice和Bob。如果情形(1)，(2)和(3)发生，Eve的这种攻击不会引入错误。然而，如果情形(4)发生，这种攻击将会引入错误。因为，当TP对粒子进行Bell态测量时，会以相同的概率得到|φ⁺>和|φ^->。因此，可以得出结论，Eve通过测量-重发攻击不能再不被发现的情况下获得Alice和Bob的秘密。

纠缠-测量攻击意味着Eve截获传输的粒子并将辅助粒子与其进行纠缠，然后她对辅助粒子进行测量以提取秘密信息。不失一般性，Eve的酉操作

可以表示为：

这里，|e₀₀>，|e₀₁>，|e₁₀>和|e₁₁>表示由

所决定的纯态；|a|²+|b|²＝1，|c|²+|d|²＝1。

(a)首先，考虑到Eve想要窃取一个参与者秘密的情况。在本方法中，Alice的角色与Bob的角色是相同的。不失一般性，我们假设Eve想要窃取Alice的秘密信息。假设，TP制备Bell态|φ⁺>并将第一个粒子发送给Alice，第二个粒子发送给Bob。之后，Eve将自己的辅助粒子|e>与Alice发送TP的粒子进行纠缠。

如果，表1中的情形(1)，(2)和(3)发生，|s>_A和|t>_B将不再是纠缠态，Alice-Bob-Eve的状态将会变为：

这里，|s>_A表示Alice发送给TP的粒子，而|t>_B表示Bob发送给TP的粒子，并且s，t∈{0，1}。

如果，情形(4)发生，Alice-Bob-Eve的状态将会变为：

Eve为了不被TP在步骤S6中检测到，那么TP对于Alice和Bob反射回来的粒子的测量结果为|φ⁺>的概率应该为1。因此，可以得出

b＝c＝0，a＝d＝1。 (7)

|e₀₀>＝|e₁₁>。 (8)

将式(7)和(8)应用到(5)，可以得出

将式(7)和(8)应用到(6)，可以得出

根据式(9)和(10)，可以得出结论，Eve为了不被TP在步骤S6中检测到，那么她的辅助粒子和Alice的粒子不是互相纠缠的。因此，她不能通过测量自己的辅助粒子来获得Alice的秘密信息。

(b)其次，考虑到Eve想要窃取两个参与者秘密的情况。假设，TP制备Bell态，并将第一个粒子发送给Alice，第二个粒子发送给Bob。然后Eve将自己的辅助粒子|e>₁和|e>₂分别与Alice发送给TP的粒子，Bob发送给TP的粒子进行纠缠。

如果，情形(1)，(2)和(3)发生，|s>_A和|t>_B将不再是纠缠态，Alice-Bob-Eve的状态将会变为：

如果，情形(4)发生并且TP制备的Bell态是|φ⁺>，那么Alice-Bob-Eve的状态将会变为：

如果，TP制备的Bell态是|φ^->，那么Alice-Bob-Eve的状态将会变为：

如果，TP制备的Bell态是

那么Alice-Bob-Eve的状态将会变为：

如果，TP制备的Bell态是

那么Alice-Bob-Eve的状态将会变为：

Eve为了不被TP在步骤S6中检测到，那么TP对于Alice和Bob反射回来的粒子的测量结果应该和初始制备的Bell态相同。因此，可以得出

这里，O表示零列向量。

根据式(16-19)可以得出

根据式(16-23)，|a|²+|b|²＝1，|c|²+|d|²＝1可以得出

或者

假设Eve的操作

满足式(24)，将式(24)应用到式(11)可以得出

将式(24)应用到式(12-15)可以得到

根据式(26-30)可以得出结论，Eve为了不被TP在步骤S6中检测到，那么她的辅助粒子和目标粒子不是互相纠缠的。因此，她不能通过测量自己的辅助粒子来获得Alice和Bob的秘密信息。另外，当Eve的操作

满足式(25)时，可以用同样的方法分析这种情形，并且可以得出相同的结论。

在步骤S4中，Alice和Bob将其操作给TP。然而，这对于Eve获得Alice和Bob的秘密仍然没有帮助。

在步骤S5和S6中，量子信道中没有任何信息传递。

在步骤S7中，Alice和Bob将RA和RB公布给TP，然后TP告诉Alice和Bob最终的比较结果。然而，由于Eve不知道K的信息，Eve无法获得Alice和Bob的秘密。

3.2参与者攻击

对本方法中三个参与者获取秘密信息的可能性进行了分析。首先，分析了不忠诚的Alice(Bob)想要获取Bob(Alice)的秘密信息的情况。其次，分析了半忠诚TP想要获取Alice和Bob的秘密信息的情况。

情形(1)Alice(Bob)想要获取Bob(Alice)的秘密信息。

在本方法中，Alice的角色与Bob的角色相同。不失一般性，我们假设Alice是不忠诚的一方。在步骤S2中粒子从TP发送到Alice(Bob)并且在步骤S3中粒子从Alice(Bob)发送到TP。然而，在Alice和Bob之间没有传输粒子。因此，Alice完全独立于Bob。为了获得Bob的秘密，当Alice试图在步骤S2中TP发送给Bob的粒子或者在步骤S3中Bob发送给TP的粒子进行攻击时，她本质上是一个外部窃听者。如上述3.1外部攻击所分析的，如果她发动攻击，她将不可避免地被检测到，因为她不知道Bob选择的操作模式。

另外，在步骤S7中，Alice可以从Bob公布的信息中获得RB，以及TP公布的比较结果。但是，这些信息对于她获取Bob的秘密没有任何帮助。

现在可以得出结论，不忠诚的Alice(Bob)在不被检测到情形下无法获得有关Bob(Alice)秘密的任何信息。

情形(2)半忠诚TP想要获取Alice和Bob的秘密信息。

在本方法中，TP被允许按照自己的意愿行为不端，但不能与任何人合谋。在步骤S5中，TP可以通过对SIFT粒子进行单粒子测量来获得MA和MB。在步骤S7中，Alice和Bob分别公布生密钥RA和RB。由于TP是唯一拥有MA，MB，RA和RB信息的一方，因此，她可以得到两个参与者秘密信息的比较结果。然而，由于无法获得K，TP不能得到Alice和Bob的秘密信息。

实施例

1基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法应用举例

这里通过一个例子进一步说明本发明方法实现半量子隐私比较的过程。假设Alice拥有秘密X，而Bob的秘密Y。他们的二进制表示分别为(x_L，x_L-1，...，x₁)和(y_L，y_L-1，...，y₁)。Alice和Bob所共享的密钥K为(K_L，K_L-1，...，K₁)。步骤S2，他们根据自己制备的生密钥RA_i和RB_i以及K_i对自己的秘密信息进行加密，得到

和

并根据加密后的值制备相应的粒子态，将粒子发送给TP。在步骤S5中，TP可以通过测量得到MA_i和MB_i的值。在窃听检测过后，Alice和Bob分别公布生密钥RA_i和RB_i。步骤S7，TP计算

如果对所有R_i＝0都成立，那么可以得到Alice和Bob的秘密信息相等，否则他们的秘密信息不等。

2讨论

在不考虑安全检测的情况下，这里将本发明方法与之前的SQPC方法[70-72，80]进行比较。详细的比较结果如表3所示。方法[4]中引入的量子比特效率是用来表示安全量子通信效率的。在方法[74，75]中将量子比特效率定义为

c表示被比较的经典比特，q表示被消耗的粒子数量。在本方法中，为了比较一个比特秘密，TP应该制备2个Bell态(4比特)并分别将它们发送给Alice和Bob。然后Alice和Bob制备一个新的粒子并分别将粒子发送给TP。此外，本方法使用SQKD方法[57]来生成预共享密钥，该方法需要16个粒子来生成一个密钥。因此，本方法的量子比特效率都是

同样的，我们可以计算方法[70-72，80]中的粒子效率。在方法[70]中，为了比较一比特秘密信息，TP需要准备64个Bell态(128比特)并向Alice和Bob发送64个粒子。然后Alice和Bob需要制备16个新粒子并分别将这些粒子发送给TP。因此，量子比特效率是

在方法[71]和方法[72]中，为了比较一比特秘密信息，TP应该制备16个粒子并分别发送给Alice和Bob。然后Alice和Bob制备4个粒子并分别将这些粒子发送给TP。此外，它们需要使用SQKD方法消耗16个粒子来生成一个密钥。因此，方法[71]和方法[72]的量子比特效率是

至于方法[80]，为了比较一比特秘密信息，TP需要制备32个粒子并分别发送给Alice和Bob。然后，Alice和Bob分别制备8个粒子并将这些粒子发送给TP。因此，方法[80]的量子比特效率是

表3本发明方法和之前SQPC方法的比较

此外，在本发明方法中，粒子传输是往返的。因此，应该考虑来自外部窃听者的特洛伊木马攻击。为了抵抗不可见光子的特洛伊木马攻击[76]，接收器应该在她的设备前面插入一个滤波器来滤除非法波长的光子信号[77，78]。为了抵抗延迟光子特洛伊木马攻击[77，79]，接收器应采用光子数分光器(PNS：50/50)将每个采样量子信号分成两部分并在PNS之后使用合适的测量基对信号进行测量[77，78]。如果多光子率超过合理阈值，这种攻击将会被检测到。

3总结

综上所述，本发明文提出了一种基于Bell态的不要求经典通信者具备测量能力的高效SQPC方法。在一个半忠诚的量子TP的帮助下，经典参与者Alice和Bob可以在不泄露他们秘密信息的情况下比较他们秘密的相等性。与之前的SQPC方法相比，在本方法中，经典参与者不需要具有测量能力，而在之前的SQPC方法中经典参与者需要具备测量能力。此外，根据表3，显然本方法比先前的SQPC方法更高效。并且本方法能够抵御外部攻击和参与者攻击。经典参与者Alice和Bob无法获得对方的秘密，而且TP也不能获取Alice和Bob的秘密。

Claims

1.一种基于Bell态的不要求经典通信者具备测量能力的半量子隐私比较方法，在一个半忠诚的量子TP的帮助下，经典通信者可以在不泄露他们秘密信息的情况下比较他们秘密的相等性；TP是半忠诚的，意味着他被允许按照自己意愿错误行事但不能与其他方合谋；经典参与者Alice和Bob不需要具备测量能力；共包括以下七个过程：

S1)首先，Alice和Bob通过SQKD方法共享一个长度为L的密钥串K；这里，K_i表示K的第i个比特，K_i∈{0,1}并且i＝1,2,...,L；与此同时，Alice和Bob通过随机数生成器分别制备长度为L的生密钥RA和RB；这里，RA_i表示RA的第i个比特，RB_i表示RB的第i个比特，RA_i,RB_i∈{0,1}；经典参与者Alice和Bob各自拥有秘密信息用X和Y表示；X和Y的二进制分别表示为(x_L,x_L-1,...,x₁)和(y_L,y_L-1,...,y₁)；

S2)TP随机地从式(1)所示的四种Bell态|φ⁺>，|φ^->,

和

中选出2L个Bell态；TP将这些粒子分成两个粒子序列S_A和S_B；S_A是由所有Bell态中的第一个粒子构成的，而S_B是由所有Bell态中S_A的第二个粒子构成的；在这之后，TP将序列S_A发送给Alice，S_B发送给Bob；

S3)在接收到所有的粒子之后，Alice和Bob分别随机地选择反射模式或者编码模式；反射模式用CTRL表示，编码模式用SIFT表示；在反射模式下，Alice或Bob将粒子直接返回给TP；在编码模式下，Alice丢弃TP发送过来的粒子，然后计算

Bob同样丢弃TP发送过来的粒子并计算

这里，

表示模2加法；再根据MA_i和MB_i的值，Alice和Bob分别利用经典基{|0>,|1>}制备相应状态的量子态；如果，MA_i＝0那么Alice制备|0>；如果，MB_i＝1那么Bob制备|1>；最后Alice和Bob分别将粒子发送给TP；

S4)TP告知Alice和Bob她已经收到所有的粒子；在这之后，Alice和Bob分别公布对哪些粒子进行了CTRL操作，哪些粒子进行了SIFT操作；

S5)TP根据Alice和Bob公布的操作信息，对接收到的粒子进行不同的操作，如表1所示；

表1三个参与者对粒子的操作

(a)如果Alice和Bob都选择了反射模式，即CTRL，TP将对收到的粒子进行Bell态测量；在这种情形下，TP可以进行窃听检测，来判断是否有窃听者存在；如果没有窃听者存在，那么TP测量的结果将会和她自己制备的Bell态相同；

(b)如果表1中的情形(1)，(2)和(3)发生，TP对被执行了SIFT操作的粒子进行单粒子测量；这样TP就可以知道MA_i和MB_i的值，这里i＝1,2,...,L；

S6)TP检查情形(4)中的错误率，如果错误率超过阈值，那么终止通信并重新开始；否则，进行下一步；

S7)在窃听检测之后，Alice和Bob分别公布RA和RB给TP；这里，RA＝[RA₁,RA₂,...,RA_L]，RB＝[RB₁,RB₂,...,RB_L]；在这之后，TP计算

如果R_i≠0，那么TP可以推断出X≠Y，并结束通信；否则的话，令i＝i+1，重新开始执行本步骤；如果对于所有的i，R_i＝0都成立，那么TP可以得出X＝Y；最后，TP告诉Alice和Bob比较的结果。