Атака безошибочным различением состояний

Ата́ка безоши́бочным различе́нием состоя́ний, вид атак на протоколы квантовой криптографии, в которых используется измерение с неопределённым исходом квантовых состояний (Chefles. Unambiguous ... 1998; Chefles. Optimum ... 1998). Эффективность данной атаки обусловливается неидеальностью канала связи между легитимными пользователями. При передаче часть сигнала теряется, а значит, на приёмной стороне ожидается сигнал меньшей интенсивности. Это позволяет перехватчику (Ева, злоумышленник) осуществить измерение с определённым исходом и, в зависимости от результата, либо переправить это состояние на приёмную сторону по идеальному каналу связи, либо ничего не отправлять. Таким образом, в случае достаточной вероятности определённого исхода злоумышленник может получить полную информацию о генерируемом ключе, при этом оставаясь незамеченным легитимными пользователями.

Атака безошибочным различением состояний успешна против протокола B92, однако при увеличении числа используемых состояний (как в протоколе 4+2) снижает свою эффективность вследствие уменьшения вероятности успешного безошибочного различения состояний.

Результат измерения с определённым исходом набора из ${\displaystyle n}$ неортогональных квантовых состояний ${\displaystyle \left\{\left|\psi _{0}\right\rangle ,...,\,\left|\psi _{n-1}\right\rangle \right\}}$ представляет собой один из ${\displaystyle n+1}$ исходов, ${\displaystyle n}$ из которых дают информацию об измеренном состоянии ${\displaystyle \left|\psi _{k}\right\rangle }$, а один является неопределённым, т. е. измеренное состояние так и остаётся неизвестным. При ${\displaystyle n=2}$ квантовая наблюдаемая имеет вид

${\displaystyle M_{0}={\frac {I-\left|\psi _{1}\right\rangle \left\langle \psi _{1}\right|}{1+\varepsilon }},\quad M_{1}={\frac {I-\left|\psi _{0}\right\rangle \left\langle \psi _{0}\right|}{1+\varepsilon }},\quad M_{?}=I-M_{0}-M_{1}}$,

где ${\displaystyle \varepsilon =\left|\left\langle \psi _{0}\right|\left|\psi _{1}\right\rangle \right|}$. В общем случае схема атаки имеет следующий вид.

Ева перехватывает некоторое состояние ${\displaystyle \left|\psi _{k}\right\rangle }$, которое, как ей известно, принадлежит набору ${\displaystyle \left\{\left|\psi _{0}\right\rangle ,...,\,\left|\psi _{n-1}\right\rangle \right\}}$.

Ева проводит измерение с определённым исходом. В зависимости от результатов она осуществляет следующие действия:

• Ева получила неопределённый исход. В этом случае она ничего не делает;

• Ева получила исход ${\displaystyle k}$. Тогда она знает, что перехватила состояние ${\displaystyle \left|\psi _{k}\right\rangle }$, и отправляет его на приёмную сторону по своему каналу без потерь.

Единственным способом для легитимных пользователей задетектировать присутствие Евы – определить уменьшение ожидаемой интенсивности сигнала на приёмной стороне. Однако если потери в канале связи между легитимными пользователями достаточно большие, то действия Евы не приведут к уменьшению интенсивности, а значит, она останется незамеченной.