基于超纠缠态的高效多方量子秘密共享方案

Efficient Multi-party Quantum Secret Sharing Scheme Based on the Hyperentanglement

摘要

针对星型量子秘密共享协议的量子态利用率较低的问题，基于双光子偏振—空间模超纠缠态提出一个高效多方量子秘密共享方案。该方案将秘密拆分后再分组加密，基于安全直接通信方法实现了多个代理成员间通过一个量子比特共享一比特秘密信息的目的。相比现有的星型量子秘密共享协议，新方案大幅提升了量子态利用率，且不需要量子存储，在现有条件下容易实现。另外，新方案采用可验证算法能够有效地抵抗不诚实成员的欺骗攻击。

Abstract

To address the issue of low quantum state utilization in star-type quantum secret sharing protocols, a high-efficient multi-party quantum secret sharing scheme is proposed based on two-photon polarization-spatial mode hyperentangled states. In the new scheme, secrets are split and subsequently grouped for encryption, enabling one bit of secret information to be shared among multiple agents through one qubit based on the method of secure direct communication. When compared with existing star-type quantum secret sharing protocols, the new scheme significantly enhances the utilization rate of quantum states and can be easily implemented under current conditions, as it does not require quantum storage. Moreover, cheating attacks launched by dishonest agents can be effectively resisted through the verifiable algorithm incorporated in the new scheme.

Graphical abstract

关键词

量子密码学 / 量子秘密共享 / 超纠缠态 / 高效性 / 可验证

Key words

quantum cryptography / quantum secret sharing / hyperentanglement / efficiency / verifiability

0 引言

量子秘密共享（Quantum Secret Sharing, QSS）是经典秘密共享在量子密码学领域的扩展，其允许秘密分发者将秘密信息在多个代理成员之间共享，且只有被授权的代理成信息员组合才能重构秘密信息^[1]。自从1999年Hillery等提出首个基于GHZ态的QSS方案^[2]以来，各种各样的QSS方案^[3-15]被提出，无论在理论方面还是实验方面都取得了许多重要成果。目前，QSS协议正在逐步走向实用化，相关成果也将会在未来量子互联网的多节点数据安全保护方面提供更多的应用价值。

到目前为止，QSS协议的设计方法基本上分为两类：一类是星型协议^[2,4,6-11]，另一类是环型协议^[12-15]。前者需要秘密拥有者（如Alice）与每个代理成员进行一对一通信，其特点是易于实现但不得不消耗过多的量子资源，当代理成员过多时其量子比特需求会平方倍扩大；后者则要求秘密分发者将量子态发给某个代理成员，由所有代理成员按照一定的顺序对该量子态先后进行处理（测量或酉操作），其特点是量子资源消耗量很小但需要长时间的量子存储，使其在现有条件的实验实现变得非常困难。总体而言，这两类设计方法都有其鲜明的优缺点。如果能够找到一种更为有效的设计方法，能够同时兼顾安全性、量子态利用效率和可实现性，将极大地推进QSS协议的实用化研究。

近年来，研究者发现超纠缠态具有在多自由度间同时发生纠缠的特点，能够有效地提升量子通信的信道容量和协议安全性，因此一系列基于超纠缠态的量子密码协议^[16-17]被相继提出。例如，Sheng等基于双光子偏振—空间模超纠缠态提出了一步量子安全直接通信（Quantum Secure Direct Communication, QSDC）协议^[17]，可通过一次传输安全发送2比特秘密信息。

基于双光子偏振—空间模超纠缠态提出了一个高效多方QSS方案，可实现秘密分发者将秘密信息共享给n个代理成员的目的：将秘密拆分加密编码和利用超纠缠态分组发送，使得每个代理成员收到的秘密信息仅占1/n且被其他成员的密钥所加密，当且仅当全部代理成员合作才能解密出秘密信息。利用超纠缠态传输的密集编码特点并结合秘密拆分方式，所提新方案可在多个代理成员间通过1个量子比特共享1比特秘密信息，量子资源利用率理论上可达到100%，具备比肩环型QSS协议的高效性；根据文献[17]，新方案中各节点间仅需一次量子通信，无需长时间量子存储，具备现有条件下的可行性；该方案还采用了文献[18]提出的可验证算法，能够有效抵抗不诚实成员的欺骗攻击等典型攻击策略。

1 偏振—空间模超纠缠态

本文所需使用的双光子偏振—空间模超纠缠态不妨设为\left|{\Phi }^{+}\right.〉，如下式所示^[17]：

\left|{\Phi }^{+}\right.〉={\left|{\varphi }^{+}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}（1）

式中，{\left|{\varphi }^{+}\right.〉}_{\mathrm{p}}属于以下的4种偏振Bell态中的一个，如下式所示：

\left\{\begin{array}{c}{\left|{\varphi }^{\pm }\right.〉}_{\mathrm{p}}=\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}\left(\left|H\right.〉\left|H\right.〉\pm \left|V\right.〉\left|V\right.〉\right);\\ {\left|{\psi }^{\pm }\right.〉}_{\mathrm{p}}=\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}\left(\left|H\right.〉\left|V\right.〉\pm \left|V\right.〉\left|H\right.〉\right).\end{array}\right.（2）

式中，\left|H\right.〉和\left|V\right.〉分别指代水平偏振态和垂直偏振态。而{\left|{\varphi }^{+}\right.〉}_{\mathrm{p}}与{\left|{\varphi }^{-}\right.〉}_{\mathrm{p}}、{\left|{\psi }^{+}\right.〉}_{\mathrm{p}}、{\left|{\psi }^{-}\right.〉}_{\mathrm{p}}之间分别相差Pauli变换{\sigma }_z、{\sigma }_x、i{\sigma }_y。另外，{\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}属于以下的4种空间自由度上的Bell态中的一个，如下式所示：

\left\{\begin{array}{c}{\left|{\varphi }^{\pm }\right.〉}_{\mathrm{s}}=\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}\left(\left|a_{\mathrm{1}}\right.〉\left|b_{\mathrm{1}}\right.〉\pm \left|a_{\mathrm{2}}\right.〉\left|b_{\mathrm{2}}\right.〉\right);\\ {\left|{\psi }^{\pm }\right.〉}_{\mathrm{s}}=\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}\left(\left|a_{\mathrm{1}}\right.〉\left|b_{\mathrm{2}}\right.〉\pm \left|a_{\mathrm{2}}\right.〉\left|b_{\mathrm{1}}\right.〉\right).\end{array}\right.（3）

式中，a_{\mathrm{1}}、b_{\mathrm{2}}、a_{\mathrm{2}}和b_{\mathrm{1}}分别指代4种不同的空间模态，而{\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}与{\left|{\varphi }^{-}\right.〉}_{\mathrm{s}}、{\left|{\psi }^{+}\right.〉}_{\mathrm{s}}、{\left|{\psi }^{-}\right.〉}_{\mathrm{s}}之间也分别相差Pauli变换{\sigma }_z、{\sigma }_x、i{\sigma }_y。

2 方案描述

假设秘密分发者为Alice，其拥有的秘密信息为二进制比特串M，而代理成员共有n个人（不妨设为B_{\mathrm{1}}、B_{\mathrm{2}}、…、B_n），方案具体描述如下。

2.1 预处理阶段

1）Alice与n个代理成员（B_{\mathrm{1}}、B_{\mathrm{2}}、…、B_n）事先通过现有的QKD技术分别共享n个m长的密钥比特串（k_{\mathrm{1}}\mathrm{、}{k}_{\mathrm{2}}\mathrm{、}\cdots \mathrm{、}{k}_n），并存储该信息。

2）假设秘密信息M的比特数为mn，Alice将秘密M平均分为n组，每组的比特数为m（约定为偶数），此时Alice将M的第j分组（j=1,2, …,n）的每一个比特分别与k_{\mathrm{1}}\mathrm{、}{k}_{\mathrm{2}}\mathrm{、}\cdots \mathrm{、}{k}_n中（除k_j外）的对应比特作模2加，从而得到密文C=（C₁, C₂, …,C_n ），这里每个密文分组的比特数也均为m。

2.2 秘密分发阶段

1）Alice根据密文C制备对应的超纠缠光子对，共mn/2对（m为偶数）。具体对应关系为：密文的相邻比特为00、01、10和11时，分别对应4种Pauli变换I（即恒等变换）、{\sigma }_z、{\sigma }_x、i{\sigma }_y，同时也对应4种双光子偏振—空间模超纠缠态{\left|{\varphi }^{+}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}、{\left|{\varphi }^{-}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}、{\left|{\psi }^{+}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}和{\left|{\psi }^{-}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}，其中：

\left\{\begin{array}{c}{\left|{\varphi }^{-}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}=\left({\sigma }_z\otimes I\right)\left({\left|{\varphi }^{+}\right.〉}_p\otimes {\left|{\varphi }^{+}\right.〉}_s\right);\\ {\left|{\psi }^{+}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}=\left({\sigma }_x\otimes I\right)\left({\left|{\varphi }^{+}\right.〉}_p\otimes {\left|{\varphi }^{+}\right.〉}_s\right);\\ {\left|{\psi }^{-}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}=\left(i{\sigma }_y\otimes I\right)\left({\left|{\varphi }^{+}\right.〉}_p\otimes {\left|{\varphi }^{+}\right.〉}_s\right)\mathrm{。}\end{array}\right.

之后，Alice将每个超纠缠光子对的式中一个粒子组成T序列准备发送给代理成员，另一个粒子组成S序列保留（粒子的顺序保持一致）。

另外，为了检测传输过程的量子信道安全性，Alice同时制备了少量的用于检测的超纠缠光子对，它们随机选自集合\left\{(H\otimes I){\left|{\varphi }^{+}\right.〉}_{\mathrm{p}}\right.\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}、(H\otimes I){\left|{\varphi }^{-}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}、(H\otimes I){\left|{\psi }^{+}\right.〉}_{\mathrm{p}}\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}和(H\otimes I){\left|{\psi }^{-}\right.〉}_{\mathrm{p}}\left.\otimes {\left|{\varphi }^{+}\right.〉}_{\mathrm{s}}\right\}，其中：H变换是指Hadamard变换；I仍是恒等变换。Alice将用于检测的超纠缠光子对随机插入到编有密文的超纠缠光子对中，并依照同样的方式分开每对双光子纠缠态，分别插入到T序列和S序列中。

2）Alice将T序列粒子均分成n组，分别发送给B_{\mathrm{1}}、 B_{\mathrm{2}}、 …、 B_n。每个代理成员收到后，均分别向Alice回执。

3）Alice分别与每个代理成员进行窃听检测。以Alice和B_i(i=\mathrm{1,2},\cdots ,n)为例，Alice首先从测量基集合{Z_{\mathrm{P}}\otimes Z_{\mathrm{S}},Z_{\mathrm{P}}\otimes X_{\mathrm{S}}, X_{\mathrm{P}}\otimes Z_{\mathrm{S}},X_{\mathrm{P}}\otimes X_{\mathrm{S}}}中随机选择测量基对事先随机插入的检测光子进行投影测量，其中：Z_{\mathrm{P}}=\left\{\left|H\right.〉,\left|V\right.〉\right\},X_{\mathrm{P}}=\left\{{\left|\pm \right.〉}_P=\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}\left(\left|H\right.〉\pm \left|V\right.〉\right)\right\};

Z_{\mathrm{S}}=\left\{\left|a_{\mathrm{1}}\right.〉,\left|a_{\mathrm{2}}\right.〉\right\},X_{\mathrm{S}}=\left\{{\left|\pm \right.〉}_S=\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}(\left|a_{\mathrm{1}}\right.〉\pm \left|a_{\mathrm{2}}\right.〉)\right\}\mathrm{。}

而B_i类似地从集合{Z_{\mathrm{P}}^{\text{'}}\otimes Z_{\mathrm{S}}^{\text{'}},Z_{\mathrm{P}}^{\text{'}}\otimes X_{\mathrm{S}}^{\text{'}},X_{\mathrm{P}}^{\text{'}}\otimesZ_{\mathrm{S}}^{\text{'}}, X_{\mathrm{P}}^{\text{'}}\otimes X_{\mathrm{S}}^{\text{'}}}中随机选择测量基对与Alice所选相同位置的对应光子进行投影测量，其中:Z_{\mathrm{P}}^{\text{'}}=Z_{\mathrm{P}},X_{\mathrm{P}}^{\text{'}}=X_{\mathrm{P}},Z_{\mathrm{S}}^{\text{'}}=\left\{\left|b_{\mathrm{1}}\right.〉,\left|b_{\mathrm{2}}\right.〉\right\},X_{\mathrm{S}}^{\text{'}}=\left\{\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}\right.(\left|a_{\mathrm{1}}\right.〉+\left|a_{\mathrm{2}}\right.〉),

\frac{\mathrm{1}}{\sqrt[]{\mathrm{2}}}(\left|b_{\mathrm{1}}\right.〉-\left.\left|b_{\mathrm{2}}\right.〉)\right\}\mathrm{。}

双方测量完毕后，Alice要求B_i公布其测量光子的位置、测量基和测量结果。如果不存在外部窃听或噪声影响的情况，双方在不同自由度的测量结果会具有相关性。如果任何一个自由度的错误率过高甚至超过约定的阈值，则Alice宣布协议中止。否则，Alice可以认为其与B_i的量子信道是安全的。如果Alice与所有代理成员的窃听检测都通过，则协议进入下一个步骤。

4）通过窃听检测后，Alice和每个代理成员分别测量手中的光子序列，并且Alice会公布所有光子的位置信息和测量结果。测量方式可参照盛宇光等提出的QSDC协议^[17]，如图1所示。需要说明的是，图1中的HWP是半波片，可实现4个单量子比特酉运算来编码信息。

编码后，Alice和Bob在空间模式纠缠的辅助下可进行了非局域完全偏振Bell态分析。PBS是偏振分束器，可以透射水平偏振光子并反射垂直偏振光子。QM代表量子存储器。D_i （i=1,2,3, …,8）表示不同的光子探测器。

5）完成所有测量后，每个代理成员（B_{\mathrm{1}}、B_{\mathrm{2}}、…、B_n）可根据Alice的测量结果，并结合各自的测量结果分别解码出各自手中的密文（C₁, C₂, …,C_n ）。此时，每个代理成员手中的部分密文和提前分配的密钥共同作为其子秘密信息。本方案的秘密分发流程如图2所示。

2.3 秘密恢复阶段

1）代理成员若要恢复秘密信息，需要将各自子秘密（包括各自的密钥与密文）发送给某个共同推举的秘密恢复者（不妨设为B_i）。

2）秘密恢复者B_i收到全部子秘密后，利用密钥比特串k_{\mathrm{1}}\mathrm{、}{k}_{\mathrm{2}}\mathrm{、}\cdots \mathrm{、}{k}_n可将密文C=（C₁, C₂, …,C_n ）全部解密，得到M^{\text{'}}。这里协议中已约定双方知道密文的顺序和对密文分组的加密方式。

3）解密得到全部的秘密信息后，B_i选择暂不公布，而是向Alice发出共同验证秘密信息的申请，执行可验证算法^[18]。

Alice选用共同约定的Hash函数H(x)计算Hash值R_{\mathrm{A}}=H(M‖A_{ID}‖B_{ID}‖T)，其中：A_{\mathrm{I}\mathrm{D}}和B_{\mathrm{I}\mathrm{D}}表示Alice和B_i的公开身份数据；T表示Alice收到H序列的时间信息。之后，Alice采用某种成熟的量子保密通信方式将R_{\mathrm{A}}值发送给B_i。收到R_A后，B_i用相同的Hash函数H(x)计算下式是否成立：

R_{\mathrm{A}}=H_k\left(M^{\text{'}}‖A_{ID}‖B_{ID}‖T\right)（4）

如果式（4）不成立，说明有内部成员在恢复秘密的环节说谎，此时B_i向其他代理成员宣布在秘密恢复阶段存在欺骗攻击，并将M^{\text{'}}作废，算法中止；反之则B_i确认M^{\text{'}}有效，则进入下一步骤。

4）通过可验证算法确认没有内部成员的欺骗攻击后，B_i向其他代理成员公布该结果。所有代理成员可以确认解密得到Alice的秘密信息M。

3 正确性分析

该方案主要为预处理、秘密分发和秘密恢复3个阶段，具体分析如下。

3.1 预处理阶段

Alice利用与各代理成员分配好的密钥比特k_{\mathrm{1}}\mathrm{、}{k}_{\mathrm{2}}\mathrm{、}\cdots \mathrm{、}{k}_n对秘密信息M进行加密，得到密文C=（C₁, C₂, …,C_n ）。假设对M分组后的结果为M=（M₁, M₂, …,M_n ），此时将第j分组的M_j （j=1,2, …,n）的第i比特M_j^i（i=1, 2, …, m）与密钥k_{\mathrm{1}}\mathrm{、}{k}_{\mathrm{2}}\mathrm{、}\cdots \mathrm{、}{k}_n（除k_j外）的对应比特作模2加，得到C_j^i，如（5）式所示：

C_j^i=M_j^i\oplus k_{\mathrm{1}}^i\oplus \cdots \oplus k_{j-\mathrm{1}}^i\oplus k_{j+\mathrm{1}}^i\oplus \cdots \oplus k_n^i（5）

此时，秘密M的第j分组M_j 已经被除B_j之外的其他代理成员的密钥所加密。

3.2 秘密分发阶段

Alice将已经分组加密过的密文C=（C₁, C₂, …,C_n ）编码到超纠缠光子对的一个粒子（属于T序列）上，此时通过QSDC的方式可将C₁、C₂、…、C_n 分别发送给B_{\mathrm{1}}、B_{\mathrm{2}}、…、B_n。当光子序列分别发送完毕后，Alice与各代理成员会马上如图1所示分别测量对应的量子比特。之后，Alice会分别告诉每个代理成员其响应结果，后者则对照自己的探测器响应结果而查询表1，从而判断出Alice的偏振Bell态信息，由此推断出Alice所要发送的两比特密文信息。具体原理在文献[17]中有详细分析，这里不再赘述。Alice与各代理成员间的探测器响应结果的对应关系如表1所示。

3.3 秘密恢复阶段

每个代理成员需要将各自子秘密（包括密钥与密文）发送给某个共同推举的秘密恢复者（不妨设为B_i）。此时，B_i收到全部子秘密后，利用密钥k_{\mathrm{1}}\mathrm{、}{k}_{\mathrm{2}}\mathrm{、}\cdots \mathrm{、}{k}_n可将密文C=（C₁, C₂, …,C_n ）全部解密。假设密文的第j分组的C_j （j=1,2, …,n）的第i比特为C_j^i（i=1, 2, …, m），此时B_i将C_j^i与密钥k_{\mathrm{1}}\mathrm{、}{k}_{\mathrm{2}}\mathrm{、}\cdots \mathrm{、}{k}_n（除k_j外）的第i比特作模2加而得到M_j^i，如（6）式所示：

M_j^i=C_j^i\oplus k_{\mathrm{1}}^i\oplus \cdots \oplus k_{j-\mathrm{1}}^i\oplus k_{j+\mathrm{1}}^i\oplus \cdots \oplus k_n^i（6）

如果通过可验证算法证实所有代理成员在恢复秘密时均未实施欺骗攻击（即提供了真实的子秘密），则可确定恢复得到的信息就是Alice的秘密M。

4 安全性分析

本方案已利用光子分束器等设备排除了针对现实设施存在漏洞而提出的各种攻击手段，因此下面将从理论角度入手分析几类典型攻击策略下的协议安全性。

4.1 抗截取重发攻击

在本方案中，截取重发攻击^[19]是指：假设存在攻击者Eve，他可能会试图通过在协议执行过程中截取Alice所发送的T序列并伪造若干个单光子重发给代理成员，事后尝试通过测量窃取Alice的秘密信息。

然而，由于本方案中选取的是双光子超纠缠态，当Alice将T序列发送给某个代理成员后，会立即联系后者分别测量样本粒子进行窃听检测。此时，Eve如果进行截取重发，将导致窃听检测的误码率低于安全阈值，本次秘密共享中止。

另外，即使Eve是内部攻击者且联合其他某些代理成员对诚实的参与者B_i发起此类攻击，由于秘密信息在发送前已加密，且每个成员手中的密文分组都被其他成员的密钥所加密，因此只要有一个成员的密钥信息没有泄漏，其他（n-1）个成员就算联手也无法解密手中的密文，要想得到其信息必须与其他代理成员合作进行解密，因此这种攻击也是无法成功的。

综上，该方案能够抵抗单个或合谋条件下的截取重发攻击。

4.2 抗纠缠测量攻击

纠缠测量攻击^[20]是指：假设存在不诚实的参与者Eve，它想窃取成员B_i的子秘密信息，可以制备一些辅助粒子，并使其与Alice发给B_i的超纠缠光子相互作用，当B_i完成测量之后，Eve再测量他的辅助粒子以得到对应密文信息。

然而，根据本方案中的约定，所有代理成员的探测器响应结果都是不公布的，因此Eve无法明确区分B_i选取的测量基，其攻击无法得到B_i的任何操作信息^[20]，且该攻击行为会引入错误而导致Alice与B_i的窃听检测无法通过，从而中止协议。

因此，所提方案能够抵抗纠缠测量攻击。

4.3 抗成员欺骗攻击

成员欺骗攻击^[18]是指：在秘密恢复阶段，不诚实的代理成员（如Eve）提供假的子秘密使得秘密信息无法正确恢复，而Eve可以利用真正的子秘密纠正错误结果，从而独自得到秘密。

本方案通过设计添加辅助的可验证算法^[17]来抵抗可能的欺骗攻击：如果有不诚实的代理成员在恢复秘密时不提供正确的子秘密信息，则秘密恢复者B_i所得到的信息M^{\text{'}}与秘密M并不相等。然而，B_i根据协议约定暂不公布M^{\text{'}}而是先执行可验证算法。根据Hash函数具有“雪崩效应”的特点，可知当消息有一个比特发生改变时，其对应的Hash值将会有大约一半的比特发生改变^[18]。因此，当Eve仅改动其子秘密信息的一小部分时，B_i由M^{\text{'}}所计算出的H_k(M^{\text{'}}‖A_{ID}‖B_{ID}‖T)也必将与由秘密M所计算出R_{\mathrm{A}}产生较大的不同，此时B_i通过对比这两个值会轻易察觉到攻击行为的存在，从而宣布存在欺骗攻击行为并将M^{\text{'}}作废。此时，M^{\text{'}}不会向任何代理成员分布，欺骗者Eve也无法从攻击行为中得到任何秘密信息。因此，Eve实施欺骗攻击无法成功。

因此，所提方案能够抵抗内部成员的欺骗攻击。

5 性能分析

本方案具有现有实验条件下的可行性和比肩环型QSS协议的量子态利用率（即高效性），具体讨论如下。

首先，本方案在现有实验条件下是可行的。一方面，本方案不需要长时间的量子存储。从具体步骤中可以看出，只有在秘密分发阶段要求传输量子态，而基于文献[17]的QSDC协议，Alice与每个代理成员间只需要进行一次量子通信，通信双方可以做到即收即测量，整个过程中均不需要长时间的量子存储；另外，Alice与每个代理成员间的量子通信彼此独立，不需要关联等待的时间。另一方面，本方案是基于双光子偏振—空间模超纠缠态而设计的，而目前超纠缠态的产生方法已有很多。例如，可以使用β-硼酸钡（Beta Barium Borate, BBO）晶体来产生偏振—空间模超纠缠光子对^[20]，这是较常用也较易实现的方案之一。因此，在现有实验条件下本方案完全具备可行性。

其次，该方案采用秘密拆分的方式，并利用超纠缠态传输的密集编码特点，可在不考虑少量用于窃听检测的量子态及前期产生会话密钥时的量子比特的情况下，实现通过nm个量子比特共享nm比特的秘密信息的效果，等同于将量子态利用率几乎提升至环型QSS协议^[14]理论效率的100%。而在常见的星型QSS协议中，共享nm密钥需要约2n²m量子比特^[8]（即2nm量子比特共享个m密钥）。相比之下，新协议的量子态利用率远高于已有的星型QSS协议，代理成员的个数越多，二者的效率差距越大。因此，本方案具备高效性。在表2中，将新方案与两类典型QSS协议的量子态利用率进行了对比，表中未统计预处理阶段（非秘密分发过程）产生会话密钥时所使用的量子比特。

6 结束语

提出一个基于双光子偏振—空间模超纠缠态的高效多方量子秘密共享方案，该方案将秘密拆分后再分组加密，基于安全直接通信方法实现了多个代理成员间通过一个量子比特共享一比特秘密信息的目的。在保证安全性和可实现性的同时，相比现有的星型量子秘密共享协议，该方案大幅提升了星型QSS协议的量子态利用率，且不需要量子存储，在现有条件下容易实现。另外，新方案采用可验证算法能够有效地抵抗不诚实成员的欺骗攻击，具有良好的应用前景，值得进一步探索。

参考文献

[1] SHAMIR A. How to share a secret ［J］. Communications of the ACM， 1979，22（11）：612-613.

[2] HILLERY M， BUŽEK V， BERTHIAUME A. Quantum secret sharing［J］. Physical Review A， 1999，59（3）：1829-1834.

[3] CLEVE R， GOTTESMAN D， LO H K. How to share a quantum secret［J］. Physical Review Letters， 1999，83（3）：648-651.

[4] KARLSSON A， KOASHI M， IMOTO N. Quantum entanglement for secret sharing and secret splitting［J］. Physical Review A， 1999，59（1）：162-168.

[5] GOTTESMAN D. Theory of quantum secret sharing［J］. Physical Review A， 2000，61（4）：No.042311.

[6] GUO G P， GUO G C. Quantum secret sharing without entanglement［J］. Physics Letters A， 2003，310（4）：247-251.

[7] LANCE A M， SYMUL T， BOWEN W P， et al. Tripartite quantum state sharing［J］. Physical Review Letters， 2004，92（17）：No.177903.

[8] WILLIAMS B P， LUKENS J M， PETERS N A， et al. Quantum secret sharing with polarization-entangled photon pairs［J］. Physical Review A， 2019，99（6）：No.062311.

[9] RICHTER S， THORNTON M， KHAN I， et al. Agile and versatile quantum communication： signatures and secrets［J］. Physical Review X， 2021，11：No.011038.

[10] LI C L， FU Y， LIU W B， et al. Breaking the rate-distance limitation of measurement-device-independent quantum secret sharing［J］. Physical Review Research， 2023，5（3）：No.033077.

[11] SHEN A， CAO X Y， WANG Y， et al. Experimental quantum secret sharing based on phase encoding of coherent states［J］. Science China Physics， Mechanics & Astronomy， 2023，66（6）：No.260311.

[12] DU Y T， BAO W S. Multiparty quantum secret sharing scheme based on the phase shift operations［J］. Optics Communications， 2013，308：159-163.

[13] 杜宇韬，宋福刚，管文强，一类动态的量子态秘密共享方案［J］.信息工程大学学报，2014，15（4）：411-416.

[14] DU Y T， BAO W S. Dynamic quantum secret sharing protocol based on two-particle transform of Bell states［J］. Chinese Physics B， 2018，27（8）：No.080304.

[15] GRICE W P， QI B. Quantum secret sharing using weak coherent states［J］. Physical Review A， 2019，100（2）：No.022339.

[16] GU B， HUANG Y G， FANG X， et al. A two-step quantum secure direct communication protocol with hyperentanglement［J］. Chinese Physics B， 2011，20（10）：No.100309.

[17] SHENG Y B， ZHOU L， LONG G L. One-step quantum secure direct communication［J］. Science Bulletin， 2022，67（4）：367-374.

[18] 杜宇韬，鲍皖苏，李坦.基于秘密认证的可验证量子秘密共享协议［J］. 电子与信息学报，2021，43（1）：212-217.

[19] 秦素娟.量子秘密共享协议的设计与分析［D］. 北京： 北京邮电大学，2008：1-102.

[20] 刘锋，杨宇光.基于两光子偏振—空间模超纠缠态的高容量的量子秘密共享协议［J］.中国科学：物理学力学天文学，2023，53（2）：94-100.