量子安全直接通信(Quantum secret direct communication, QSDC)是以量子态为载体, 在量子信道中直接进行秘密消息传递的通信方式。自2002年, Beige等人提出了QSDC的概念以来, 至今已有众多优秀的QSDC协议被提出^[1-6], 实现了信息从一方到另一方安全地直接传输。然而最初的QSDC都是单向的通信, 双向的通信才更接近于实际, 2004年Nguyen提出了双向的QSDC, 即量子对话(Quantum Dialogue, QD)^[7], QD协议引起了研究者的极大兴趣, 大量好的QD协议相继被提出^[8-13]。但高飞在2008年指出已有的大量QD协议中存在信息泄露问题^[14], 信息泄露是指在窃听者不采取任何攻击手段, 仅凭通信者公布的信息就可获得部分秘密消息的情况。自此大量无信息泄露的协议被提出^[15-19]。然而以上协议假设量子信道是理想的。实际上的光纤信道中, 由于光纤的双折射波动性, 光子会受到集体噪声的干扰, 光子传输的时间窗比噪声源变化短, 因此光子将受到相同噪声的影响, 集体噪声主要有集体退相位噪声和集体旋转噪声。抵抗集体噪声最简单可行的方法是构造无消相干子空间(Decoherence Free Subspace, DFS), 在DFS中DF态可消除集体噪声的影响, 因其对集体噪声具有不变性^[20]。DF态已经被用于构建抵抗集体噪声的QSS，QKD，QSDC，QD等协议^[21-25]。在以上抗集体噪声的各类协议中, 能实现第3方可控的却很少, 量子通信的可控性往往更加实用。

根据以上分析, 文中提出集体噪声信道中可控的无信息泄露的量子对话协议, 根据DFS的特性, 发送方构造逻辑量子Bell态作为量子资源, 将其中两个量子比特发送给控制方, 将1个量子比特发送给接收方, 接收方根据控制方公布的内容、自己的测量结果、发送方告知的经典信息来读出发送方的秘密消息, 同理发送方也可获得对方的秘密消息。与已有协议相比，文中所提出的协议无信息泄露问题, 可实现第3方可控, 通信双方仅需单光子测量, 编译码采用异或操作，简单易行。

1 抗集体退相位噪声的QD协议

集体退相位噪声对量子态的影响用幺正算子U_dp表示^[21]，

(1)

对水平极化光子|0〉和垂直极化光子|1〉的影响为

(2)

θ表示集体噪声的参数, 随时间变化。

显然, 构造|0_dp〉=|01〉和|1_dp〉=|10〉逻辑量子比特可免疫该噪声。两个逻辑量子比特的叠加态|+_dp〉=, |-_dp〉=也可抵抗该噪声。因此, {|0_dp〉, |1_dp〉}和{|+_dp〉, |-_dp〉}构成集体退相位噪声的两组基。

由以上逻辑量子比特, 构造4个逻辑Bell态^[22]:

(3)

(4)

(5)

(6)

其中，和(|01〉±|10〉)是4个Bell态。4个逻辑Bell态也可抵抗集体退相位噪声, 通过对第1, 3和第2, 4量子比特进行Bell态测量来对其进行区分。我们发现, 对量子比特2, 4进行Bell态测量, 若测量结果是|ϕ^±〉₂₄, 则量子比特1, 3坍缩为|ϕ^±〉₁₃; 若测量结果是|φ^±〉₂₄, 则量子比特1, 3坍缩为|φ^±〉₁₃。

假设Alice是发送者, Bob是接收着, Charlie是控制者, 该协议由以下8个步骤组成。

1) Alice制备N个随机处于{|Φ_dp⁺〉, |Φ_dp^-〉, |Ψ_dp⁺〉, |Ψ_dp^-〉}这4个态之一的逻辑Bell态A{A₁, A₂, …，A_i，…，A_N}, i=1, 2, …，N, 然后选取A_i中的2, 4量子比特组成新的序列C{C₁, C₂, …，C_i，…，C_N}, 为了发送安全，制备N个逻辑诱骗量子态，随机处于{|0_dp〉, |1_dp〉, |+_dp〉, |-_dp〉}这4个之一, 将它们与序列C随机混合后形成C'发送给Charlie。

2) Charlie告知Alice收到全部量子态后，开始进行安全检测。Alice公布诱骗量子态的位置和对应的测量基, Charlie选用正确的测量基对相应的诱骗量子态进行测量, 并公布测量结果。Alice将初始的逻辑诱骗量子态和Charlie的测量结果进行比对, 来判断Eve的存在。若不存在则继续通信, 否则返回步骤1)。

3) Alice选取A_i中的量子比特3，组成新的序列B{B₁, B₂, …，B_i，…，B_N}, i=1, 2, …，N。同时制备N个随机处于{|0_dp〉, |1_dp〉, |+_dp〉, |-_dp〉}这4个之一的逻辑诱骗量子态, 将它们与B序列随机混合后形成B'发送给Bob, 然后进行安全检测, 方法与步骤2)相同。若Eve不存在则继续通信, 否则返回步骤2)。

4) Charlie丢弃N个诱骗量子态, 若同意Bob获取Alice的秘密信息, 他对量子比特2, 4进行Bell基测量, 并公布测量结果。

5) Alice打乱手中的量子比特1的次序, 然后选择Z测量基{|0_dp〉, |1_dp〉}对其逐一进行测量, 若结果为|0〉则对应0, 若结果为|1〉则对应1, 这样可形成一个数字序列S_A {S_A¹, S_A², …, S_Aⁱ, …, S_A^N}, S_Aⁱ ∈{0, 1}。Alice将重排后的顺序告知Bob, Bob使用相同的测量基测量B序列中的量子比特2, 形成数字序列S_B{S_B¹, S_B², …, S_Bⁱ, …, S_B^N}。如表 1所示，正常情况下, 若Bob测量结果为|ϕ^±〉₂₄, 可知量子比特1, 3处于|ϕ^±〉₁₃态, 则序列S_A和S_B中按顺序对应的数字值是完全相同的, 如S_A中此位置测得的数字是1, S_B中与之对应位置的数字必然也是1;若Bob测量结果为|φ^±〉₂₄, 量子比特1, 3处于|φ^±〉₁₃态, 则序列S_A和S_B中按顺序对应的数字值是完全相反的, 如S_A中此位置测得的数字是1, S_B中与之对应位置的数字必然是0。

6) Alice利用异或操作对秘密消息进行编码。Alice的秘密消息序列S_M{S_M¹, S_M², …, S_Mⁱ, …, S_M^N}, S_Mⁱ∈{0, 1}。将S_M与S_A进行逐比特异或运算, 运算结果构成新的序列S_C{S_C¹, S_C², …, S_Cⁱ, …, S_C^N}。即S_M⊕S_A→S_C，S_Mⁱ⊕S_Aⁱ=S_Cⁱ。S_C是Alice编码后的序列, Alice公布S_C序列。

7) Bob根据量子比特1, 3的量子态来解码Alice的秘密消息。若量子比特1, 3的量子态是|ϕ^±〉₁₃, Bob可通过测量得到的S_Bⁱ与S_Cⁱ进行异或操作，来获得Alice的秘密消息, 即:S_Bⁱ⊕S_Cⁱ=S_Mⁱ; 若量子比特1, 3的量子态是|φ^±〉₁₃, Bob可通过S_Bⁱ与S_Cⁱ进行异或操作来获得Alice的秘密消息, 即S_Bⁱ⊕S_Cⁱ=S_Mⁱ。

8) 若Bob要发送秘密消息给Alice, 其原理与步骤6)和7)相同。将秘密消息序列S_M'{S'_M¹, S'_M², …, S'_Mⁱ, …, S'_M^N}与数字序列中S_B的数字逐比特进行异或运算, 运算结果构成新的序列S_C'。即S_M'⊕S_B→S_C'，S'_Mⁱ⊕S_Bⁱ=S'_Cⁱ。S_C'是Bob编码后的序列, Bob公布S_C'序列。

Alice根据量子比特1, 3所处的态, 自己的测量结果S_A及Bob公布的S_C'序列来获得Bob发送的信息。

以上是在集体退相位噪声中可控的量子对话协议的内容, 通过一个例子来说明: Alice制备的逻辑Bell量子比特序列为{|Φ_dp⁺〉, |Ψ_dp⁺〉, |Ψ_dp^-〉, |Φ_dp^-〉, |Ψ_dp^-〉, |Φ_dp⁺〉, |Ψ_dp^-〉, |Φ_dp^-〉}, 这样Charlie测量量子比特2, 4得到的结果为|ϕ^±〉₂₄, |φ^±〉₂₄, |φ^±〉₂₄, |ϕ^±〉₂₄, |φ^±〉₂₄, |ϕ^±〉₂₄, |φ^±〉₂₄, |ϕ^±〉₂₄, 根据Charlie公布的结果, 可推出量子比特1, 3的量子态为相应的|ϕ^±〉₁₃, |φ^±〉₁₃, |φ^±〉₁₃, |ϕ^±〉₁₃, |φ^±〉₁₃, |ϕ^±〉₁₃, |φ^±〉₁₃, |ϕ^±〉₁₃, Alice重排手中量子比特1的顺序, 并将该顺序告知Bob, Bob按照Alice的顺序排列手中量子比特3, 假设重排后的量子比特1, 3量子态依次为|φ^±〉₁₃, |ϕ^±〉₁₃, |ϕ^±〉₁₃, |φ^±〉₁₃, |φ^±〉₁₃, |ϕ^±〉₁₃, |φ^±〉₁₃, |ϕ^±〉₁₃。假设Alice和Bob发送的秘密消息S_M和S_M'分别为10011101和01011100, Alice的测量结果构成的序列S_A为00110101, 那么Bob测量的结果S_B必然为10101111。Alice通过S_Mⁱ⊕S_Aⁱ=S_Cⁱ, 得到S_C序列为10101000, Bob根据量子比特1, 3所处的量子态对S_B进行变换, 若量子比特1, 3的量子态是|ϕ^±〉₁₃, 则S_Bⁱ保持不变, 若是|φ^±〉₁₃, 则S_Bⁱ取反为S_Bⁱ, 因此变换后的S_B为00110101, 与S_A必然相同。Bob利用变换后的S_B与S_C逐比特相异或得到Alice的消息10011101。Bob利用S_M'⊕S_B→S_C', 得到S_C'并公布, Alice译码过程和Bob完全相同, 根据量子比特1, 3所处的量子态对S_A进行变换, 变换后的S_A为10101111, 必然与S_B相同, Alice利用S_A⊕S_C'→S_M', 得到Bob的秘密消息01011100。

2 抗集体旋转噪声的QD协议

集体旋转噪声对量子态的影响用幺正算子U_r表示^[21]，

(7)

对水平极化光子|0〉和垂直极化光子|1〉的影响为

(8)

θ表示集体噪声的参数, 随时间变化。

显然, 构造|0_r〉=|ϕ⁺〉和|1_r〉=|φ^-〉逻辑量子比特可免疫该噪声, 两个逻辑量子比特的叠加态, |-_r〉=(|0_r〉-|1_r〉)也可抵抗该噪声。我们称Z_r={|0_r〉, |1_r〉}和X_r={|+_r〉, |-_r〉}构成集体旋转噪声的两组基。

由以上逻辑量子比特, 构造4个逻辑Bell态^[22]:

(9)

(10)

(11)

(12)

这4个逻辑Bell态可抵抗集体旋转噪声, 并可通过对第1, 3和2, 4量子比特分别实施Bell基测量来区分。

假设Alice是发送者, Bob是接收着, Charlie是控制者, 该协议可由第2节的QD协议进行以下修改便可用于抵抗集体旋转噪声。

1) 在第1节步骤1中, Alice制备逻辑Bell态序列A{A₁, A₂, …，A_i，…，A_N}(i=1, 2, …，N)。A_i随机处于两个{|Φ_r⁺〉, |Φ_r^-〉}态之一。制备随机处于{|0_r〉, |1_r〉, |+_r〉, |-_r〉}这4个态之一的N个逻辑诱骗量子态, 然后选取A_i中的2, 4量子比特组成新的序列C{C₁, C₂, …，C_i，…，C_N}, 将N个逻辑诱骗量子态与序列C随机混合后发送给Charlie。

2) 在步骤5, Alice打乱手中的量子比特1的次序, 选择Z测量基{|0_r〉, |1_r〉}对其逐一进行测量, 可形成一个数字序列S_A{S_A¹, S_A², …, S_Aⁱ, …, S_A^N}, S_Aⁱ ∈{0, 1}。Alice将重排后的顺序告知Bob, Bob使用相同的测量基，测量B序列中的量子比特2, 形成数字序列S_B{S_B¹, S_B², …, S_Bⁱ, …, S_B^N}。如表 2所示，正常情况下, 若Bob测量结果为|ϕ⁺〉₂₄, |ϕ^-〉₂₄, 量子比特1, 3依次处于|ϕ⁺〉₁₃, |ϕ^-〉₁₃态, 则序列S_A和S_B中按顺序对应的数字值是完全相同的, 若Bob测量结果为|φ⁺〉₂₄，|φ^-〉₂₄, 量子比特1, 3依次处于|φ⁺〉₁₃，|φ^-〉₁₃态, 则序列S_A和S_B中按顺序对应的数字值是完全相反的。

3) 重复步骤6~8。Alice和Bob在Charlie的控制下可实现量子对话。

在两个QD协议中, 分别会用到表 1和表 2, 可以发现表 1和表 2是不相同的。如表 1中量子比特表 2, 4为|ϕ⁺〉₂₄时, 量子比特1, 3的态为|ϕ⁺〉₁₃或|ϕ^-〉_13;表 2中量子比特表 2, 4为|ϕ⁺〉₂₄时, 量子比特1, 3的态为|ϕ⁺〉₁₃。不管量子比特1, 3所处的状态是|ϕ⁺〉₁₃或|ϕ^-〉₁₃, Alice和Bob分别对其进行测量时, Alice测得量子比特1是|0〉(|1〉), Bob也一定测得量子比特3是|0〉(|1〉)。所以抗集体旋转噪声的QD协议与抗集体噪声的QD协议在步骤6~8是可以相同的。

在协议中, Bob解码Alice的消息需要在Charlie的控制下才能完成, 如果Charlie不公布测量的结果, Bob仅从对量子比特3的测量不能判断量子比特1, 3的具体量子态, 就不知道该不该对测量得到的S_Bⁱ进行变换, 从而正确地译码。所以文中提出的协议是可控的。

3 安全性分析

两个QD协议原理相同，以抗集体旋转噪声的QD协议为例来进行安全分析。

3.1 信息泄露问题

控制方Charlie公布测量结果后, Eve根据公布的信息可以推测出量子比特1, 3的量子态是|ϕ^±〉₁₃或|φ^±〉_13, 以Alice向Bob发送信息为例, Alice在编码秘密消息前, 将量子比特1的次序进行了重排, 因此Eve仅从Bob公布的信息无法判断量子比特1, 3的具体量子态。Alice公布了1比特的消息, 然而Eve不知道量子比特1, 3的具体量子态不能获得任何秘密消息。假设Alice公布的消息S_C¹=1, 若Eve猜测量子比特1, 3的量子态是|ϕ^±〉_13, 那么可以继续猜测S_A¹=S_B¹=1或S_A¹=S_B¹=0, 则秘密消息为S_M¹=0或S_M¹=1;若Eve猜测量子比特1, 3的量子态是|φ^±〉_13, 那么可以继续猜测S_A¹=S_B¹=1或S_A¹=S_B¹=0, 则秘密消息为S_M¹=0或S_M¹=1。显然, 秘密消息有2种不确定性, 对于Eve相当于的秘密信息是未知的, 而每次Alice发送给Bob的秘密信息也就1bit, 因此Alice向Bob发送的1bit信息是Eve无法获取的, 是安全的, 同理Bob发送给Alice的信息也是安全的, 即不存在信息泄露问题。

3.2 中间人攻击

Charlie作为控制方, 通过测量量子比特2, 4的量子态, 可以准确地推测量子比特1, 3所处的量子态, 但为防止中间人Charlie获取秘密消息, Alice在编码前, 将量子比特1的次序进行了重排, 重排后的次序只是告知了Bob, Charlie不可能知道, 因此Charlie不能获取秘密消息。

3.3 Eve的主动攻击

Eve的攻击方式包括截获/重发攻击、特洛伊木马攻击、纠缠攻击。下面针对这些攻击方式进行安全性分析。

1) 截获/重发攻击:在第1节的步骤1和3中, Alice分别发送量子比特2, 4给Charlie，发送量子比特3给Bob, 在这些发送的量子比特中，Alice均加入了随机处于{|0_dp〉, |1_dp〉, |+_dp〉, |-_dp〉}这4个态之一的逻辑诱骗量子比特, 假设Eve截获了Alice发送的C'和B', 并对其进行测量后, 重新发送。由于Eve不知道逻辑诱骗量子比特所处的位置和量子态, 测量必然出错。这种攻击行为在窃听检测中会被检测出来, Eve也无法获取任何信息。

2) 特洛伊木马攻击:特洛伊木马攻击有不可见光子攻击和延迟光子攻击两种方式^[24]。对于前者，在接收者的所有装置前添加一个滤波器, 只允许操作粒子波长范围内的光子通过, 可抵抗不可见光子攻击; 对于后者，在系统中加入可将光子信号分成两份的光子数目分割器(PNS:50/50)。

3) 纠缠攻击:在第1节步骤1和3中, Eve截获了所传输的C'和B', Eve制备一个逻辑量子比特序列, 与所拦截光子形成纠缠态, 形成新的序列C"和B"，分别发送给Charlie和Bob。首先，在传输中, Alice加入了诱骗逻辑量子比特, Eve虽然可以产生纠缠态, 但不知道诱骗逻辑量子比特的位置和量子态，进行测量会对系统产生扰动, 在窃听检测中会被检测出来; 其次Bob中编码的量子比特3会根据Alice的量子比特1的次序进行重排, Eve也无法得知，因此不可能获得任何秘密消息。

4 分析与对比 4.1 QD协议的效率分析

Cabello^[26]将量子协议的效率定义为:η=, 其中，b_s是交换的秘密信息比特数, q_t是所需的量子比特数, b_t是交换的辅助经典比特数。在提出的两个QD协议中, Alice和Bob交换的秘密消息比特数b_s=2, 所需的量子比特数q_t=4, Alice和Bob公布的经典比特数b_t=2。因此每个协议的效率为。

4.2 与之前的抗噪声QD协议的对比

文中协议和文献[27-28]都是利用逻辑Bell态实现的QD协议。文献[27]的协议需要两个Bell态的乘积态, 文献[28]需要每两个相邻的Bell态处于相同的量子态。文中协议没有这样的特殊要求, 在初始量子资源上, 文中协议胜过文献[27-28]。

文中协议在编译码方式上采用简单的异或操作和文献[27]相同，优于文献[28]的对量子态的幺正操作编码方式; 在量子比特传输的次数上和文献[28]相同, 不如文献[27], 但文献[27]一次传4N个量子比特，难度较高; 在第3方可控上, 文中协议胜过文献[27-28], 具有第3方可控功能, 但这个是以量子测量多了单光子测量(在不考虑窃听检测的情况下)和信息论效率低为代价换来的。

5 结语

文中提出了两个分别用于抵抗集体消相干和集体旋转噪声的QD协议。通过构造，分别以两种噪声免疫的逻辑Bell态作为量子资源, 实现第3方可控的集体噪声上的量子对话协议。Alice制备逻辑Bell态序列, 将其中的两个量子比特组成序列发送给控制方Charlie, 剩下两个量子比特中的一个组成序列发送给Bob, Charlie测量手中的两个量子比特, 公布测量结果, Alice将手中量子比特次序重排并告知Bob, Bob重排手中量子比特, Alice和Bob分别对手中量子比特进行测量, Alice将测量的结果和秘密消息进行异或操作编码, 并告知Bob编码结果, Bob根据Charlie公布的信息、自己的测量结果及Alice告知的编码结果可解码Alice的秘密消息, 同理, Alice也可获得Bob的秘密消息。所提出协议的亮点在于:①协议分别可在抵抗集体消相干和集体旋转噪声信道中运行; ②控制方需Bell基测量, 通信双方仅需进行单光子测量; ③无信息泄露问题; ④量子对话的实现可由第3方进行控制; ⑤双方利用异或进行编译码, 简单易行。