Vedoucí: Ing. Vladimír Beneš Praha Duben 2013 Prohlášení

C.3Využití kvantové teorie v kryptografii

Je tedy zřejmé, že při takových pokrocích na poli kvantových počítačů je víceméně otázka času, kdy mnoho kryptografických postupů v jednu chvíli zkrátka přestane být dost bezpečná. Proto se hledají nové cesty k chráněnému přenosu informací. V současné chvíli je jednou z cest využití jednoho z kvantově kryptografických protokolů k přenosu klíče a jeho následné využití k zašifrování komunikace například přes otevřený kanál, za použití Vernamovy šifry Tomuto postupu se říká kvantová distribuce klíče⁸.

C.3.1Polarizace světla

Jelikož protokoly pro výměnu klíčů, které budou popsány o něco později, jsou aplikovány při optické komunikaci za využití tzv. polarizace světla, vysvětlíme si zde stručně princip polarizace.

Vezměme v úvahu světlo jako vlnu, která se šíří prostorem (to při makroskopickém měřítku můžeme). Takové světelné vlnění, které vydává například slunce, či domácí zdroje světla, kmitá všemi směry. Pokud takové kmitání usměrníme tzv. polarizačním filtrem, dostaneme polarizované světlo, které kmitá pouze v jedné rovině (Obrázek ). Ostatní směry kmitání ve světle jsou potlačeny.

Obrázek : Průchod světla polarizačním filtrem

(zdroj: vlastní tvorba)

Takto lineárně polarizovaný paprsek poté může dalším filtrem analyzovat. Pokud filtr bude v ose kmitání, světlo bez problému filtrem znovu projde. Pokud ovšem filtr nastavíme této ose kolmo, bude pro paprsek zcela neprůchozí. Při úhlu natočení filtru k ose kmitání 45, bude propustný jen částečně z důvodů, které si vysvětlíme.

Co se ale stane v případě, že na filtr budeme posílat jednotlivá kvanta záření (fotony)? Řekněme, že úhel polarizace měřeného fotonu bude . Dále úhel natočení filtru označme . Za tímto filtrem máme detektor. Pravděpodobnost, že náš detektor zachytí foton je vyjádřena jako . Naopak, pravděpodobnost, že foton bude pohlcen filtrem je vyjádřena pravděpodobností o velkosti . O pravděpodobnostech mluvíme proto, že na kvantové úrovni je vlnění vyjádřením pravděpodobnosti, k čemuž jsme došli na závěr kapitoly C.1.6. Více o této částici zjistit dle kvantových zákonů nemůžeme. Pokud takový foton, který má úhel rozdílný od úhlu filtru, projde na základě pravděpodobnosti tímto filtrem, oba úhly se srovnají. Foton získá polarizační úhel shodný s polarizačním úhlem filtru. To souvisí s faktem, že stav fotonu v kvantovém světě definitivně ovlivníme jeho přečtením. Pokud se takto pokusí číst stav fotonu, který je vyslán od odesílatele k příjemci třetí osoba, nutně se nevyhne ovlivnění samotného fotonu. To je základ kvantové komunikace.

C.3.2Kvantová propletenost (provázanost)

Při vysvětlení kvantové propletenosti lze postupovat od většího k menšímu. Fyzikální procesy v našem makroskopickém světě probíhají tak, že dva fyzikální procesy se mohou ovlivňovat pouze na nekonečně malé vzdálenosti. Znamená to, že působení dvou objektů může probíhat pouze v těsné blízkosti a jen tímto šířením od objektu k objektu lze „dopravit“ působení mezi dvěma fyzikálními procesy na delší vzdálenosti. Něco jako předávání vědra s vodou mezi řadou spoluobčanů, společně hasících požár. Ovšem, jak jsme si již u kvantové fyziky mohli zvyknout, má na věci jiný názor.

Definuje takzvané provázané superponované subatomární částice. Vlnová funkce totiž nemusí být aplikována jen na jednu superponovanou částici, ale může popisovat více vzájemně provázaných částic. Toto vzájemné provázání může vzniknout například při společném vyzáření dvou elektronů nestabilním atomem, ale i několika jinými způsoby. U takto kvantově provázaných částic postrádá smysl hovořit jednotlivě, ale pouze v páru.

Řekněme, že u jednoho z elektronů je spin záporný. Potom u druhého bude spin přesně opačný. Zákon o zachování úhlové hybnosti nám říká, že celkový spin této soustavy musí být vždy nulový. Jak jsme si také již řekli, při pokusu změřit vlastnosti superponovaného kvanta, se vlnová funkce zhroutí do jednoho z možných stavů. Co se ale stane v takovou chvíli s druhou provázanou částicí? Vlnová funkce totiž popisuje provázané částice jako celek, tudíž musí spadnout také do jednoho stavu a například v případě superponovaných spinů to bude přesně opačný spin, než který obdrží námi měřená částice. Může to znít troch zamotaně, ale opravdové důsledky tohoto chování si uvědomíme ve chvíli, kdy obě kvantově provázané částice v superponovaných stavech oddělíme (což jde), jednu si ponecháme (nadneseně řečeno) a druhou pošleme na druhý konec vesmíru. Jejich kvantové provázání zůstane zachováno s velmi zajímavým průvodním jevem. Pokud při takto vzdálených částicích zrušíme vlnovou funkci měřením u jedné z nich, pro druhou se zhroutí superpozice okamžitě. To je něco, s čím se nesmířil ani Einstein, když označil rychlost světla za maximální možnou. Podle této teorie by se měl superponovaný stav zhroutit až po mnoha letech, kdy k druhé částici dorazí vlna světla, ale děj se odehrává okamžitě.

Poslední pokusy, které se v této oblasti odehrály v roce 2012 v Číně a Evropě ukázaly, že rozpad vlnové funkce se šíří rychlostí minimálně 10 000 krát rychleji, než světlo (jsme omezeni přesností měření). Zde stav věcí odporuje speciální teorii relativity. Největší vzdálenosti, na které jsme tento fenomén zatím pozorovali, byla v případě Číny 97 km a Evropy dokonce 143 km. Říkáme tomu kvantová teleportace. Tento jev bohužel nelze využít k přenosu informace, jelikož ovlivnit, do jakého stavu přivede obě částice zhroucení vlnové funkce, neumíme. Stále tedy můžeme komunikovat maximálně rychlostí světla.

C.3.3Protokol BB84⁹

Tento protokol využívá dvou polarizačních bází, které jsou vzájemně otočeny o . První nazýváme rektilineární, a značíme symbolem . Druhá je diagonální a je značena symbolem . Zvolené symboly vystihují vzájemnou orientaci těchto bází.

Tabulka ukazuje samotné kódování těchto hodnot. Obrázek pak vzájemnou orientaci bází, kdy diagonální je přerušovanými šipkami a rektilineární je plnými šipkami.

Obrázek : Vzájemná orientace jednotlivých bází u protokolu BB84.

(zdroj: vlastní úprava)

Tabulka : Reprezentace binárních hodnot v jednotlivých bázích

(zdroj: vlastní úprava)

Pro zjednodušení pojďme prozatím uvažovat jednu bázi. Natočení báze označme úhlem . Má-li bit hodnotu 1, pak posíláme foton s polarizačním úhlem , pokud 0, pak posílíme foton o úhlu . Příjemce takového fotonu musí znát právě úhel , aby mohl být při detekování jeho hodnoty (0, nebo 1) úspěšný se stoprocentní jistotou. Pokud by tento úhel neznal (např. útočník), musel by úhel zvolit. Nazvěme tento zvolený úhel . To ovšem způsobí, že bude fotony dešifrovat s chybou. Velikost chyby závisí na úhlu, který vyjadřuje odchylku v natočení, tedy .

Pokud vysílající odešle hodnotu 0 (zatím stále uvažujeme jen jednu bázi ), bude mít foton polarizační úhel . U oprávněného příjemce, který má správně nastavenou bázi svého přijímače na odpovídající úhel , dojde k jistému zachycení fotonu filtrem. Správně tedy odečte hodnotu 0. Ovšem útočník, který si úhel zvolil, jelikož ho nezná, pracuje s jinou pravděpodobností zachycení jednotlivých hodnot:



p₀₀ – pravděpodobnost, že bude zachycena správná hodnota 0, p₀₁ – pravděpodobnost, že bude zachycena chybně hodnota 1

V tomto případě byla přenášena hodnota 0, ovšem můžeme jej analogicky odvodit i pro případ, kdy je přenášena hodnota 1. Pravděpodobnostní složka kvantové teorie způsobuje, že hodnota, zachycená příjemcem je deterministická pouze v případě, kdy , kde . Jinak je příjem zatížen chybou. Tato chyba v případě, že , kde , kanál zcela zaruší. Nelze pak nijak určit, co bylo přijato, pravděpodobnost správného i špatného čtení je stejná.

Nyní přejděme k použití dvou bázi a pojďme si ukázat samotnou funkci protokolu BB84. Použijeme při tom analogii se známým pojmenováním Alice, Bob a Eva.

V první fázi Alice posílá Bobovi zprávu v podobě jedniček a nul. To dělá tak, že emituje fotony v náhodně volených bázích a .

Ani Bob v tuto chvíli neví, jaké báze Alice používá, takže pouze hádá. Pokud zvolí pro daný bit správnou bázi, výsledkem bude správné měření. Pokud vybere špatnou bázi, pootočenou o , bude jeho zachycená hodnota náhodná. Počet správných měření by měl statisticky odpovídat zhruba 50 % případů)

V druhé fázi si Alice s Bobem domluví přes nechráněný kanál, jaké fáze použili při komunikaci. Nikoliv ovšem samotné bitové hodnoty, pouze zda použili bázi , nebo . Kde se neshodli, komunikaci jednoduše zahodí a použijí jen bity, u kterých shoda nastala. Bob má u těchto bitů jistotu, že má správně odečtené bity.

Třetí fáze komunikace slouží k odhalení Evy. Vybere se část bitů z množiny, které byly přeneseny v souhlasné bázi, tudíž by měly být shodné jak u Alice, tak u Boba. Pokud do komunikace zasáhla Eva, přijímala bity od Alice a po zachycení bity odesílala dále Bobovi. Volila náhodné báze, protože v okamžiku příjmu neměla šanci vědět, jakou bázi Alice použila (je ve stejné situaci, v jaké byl Bob). Zachycené bity dále posílala Bobovi s pravděpodobností, že se trefila (pokud se trefila, měl správnou hodnotu následně i Bob). Pokud se netrefila, výsledná hodnota, kterou obdržel Bob, byla náhodná. Dáme-li obě pravděpodobnosti dohromady, je celková pravděpodobnost, že Bob má stejnou hodnotu, jako Alice, v takovém případě . Pravděpodobnost, že se při odposlechu bude shodovat zachycená zpráva Boba s tou, kterou skutečně odeslala Alice je:



p_os – pravděpodobnost shody Alice a Boba při odposlechu Evou, p_od – pravděpodobnost odhalení Evy,
n – počet náhodně vybraných bitů k testu odposlechu určuje spolehlivost odhalení

Při zjišťování, zda nás někdo neposlouchá, volíme dostatečný počet obětovaných bitů tak, abychom dosáhli požadované spolehlivosti zjištění odposlechu. Pokud dojde k odhalení odposlechu, nedošlo k žádnému vyzrazení zprávy, protože ta měla být odeslána jako zašifrovaná např. Vernamovou šifrou až po úspěšné výměně klíče.

Základní fáze protokolu BB84
fáze I	vyslaný bit	1	0	1	1	0	1	0	0	1	0	0	0	1	...
	báze Alice	×	+	+	+	×	+	×	×	×	×	×	+	+	...
	polarizace														...
	báze Boba	+	+	×	×	×	×	×	×	×	+	×	+	+	...
	přijatý bit	0	0	1	0	0	0	0	0	1	–	0	0	1	...
fáze II	shoda báze	–	0	–	–	0	–	0	0	1	–	0	0	1	...
fáze III	výsledek		0			OK		0	OK	1		OK	0	1	...

Tabulka : Průběh tří fází protokolu BB84

(zdroj: Příloha K, Příloha L)

Tento protokol nese označení BB84. Počáteční písmena označení jsou prvními písmeny jmen tvůrců, kterými jsou Charles Bennett a Gilles Brassard. Číslovka označuje rok vzniku tohoto protokolu, 1984. Jedná se o první a nejstarší protokol kvantové kryptografie. První fyzickou realizaci provedl Ch. Bennett až v roce 1989 se svým studentem Johnem Smolinem, jako reakci na rostoucí všeobecnou skepsi. Po roce shánění potřebných součástek uskutečnili první výměnu klíče mezi Alicí a Bobem na vzdálenost 30 cm.

Byly prováděny také pokusy s různými modifikacemi tohoto protokolu, od šestistavových provedení (viz modifikace SSP99) až po více kvantové (více elektronové) implementace s propletenými elektrony. Ty ovšem v důsledku mnohdy snižovaly bezpečnost protokolu.

C.3.4Protokol E91

Tento protokol je rozvinutím BB84 za využití propletených částic. Jeho tvůrcem byl v roce 1991 Artur Ekert (odtud také název).

Předpokládá centrální zdroj (v budoucnu např. satelit) propletených částic, který tyto částice distribuuje Alici a Bobovi. Všechny parametry těchto částic jsou korelované a navíc v superponovaném stavu.

Podobně, jako BB84 Eckert definuje tři báze. Může být tedy měřeno šest stavů. Nazvěme je bází , bází , a také bází . Pokud Alice změří hodnotu polarizace v bázi a Bob se svým měření trefí do stejné báze, dostanou přesně opačné hodnoty. Po odměření hodnoty Alicí se změní superponovaný stav částice na lokalizovaný a Alice odečte konkrétní hodnotu báze. U Boba bude v tu samou chvíli částice také lokalizována s opačnou hodnotou v téže bázi. Na jednotlivých bázích jsou tyto hodnoty korelované. Pokud bude Alice měřit na stejné bázi a Bob například na bázi , budou Bobovy výsledky oproti výsledkům Alice náhodné. Hodnoty rozličných bází po rozpadu vlnové funkce nekorelují. Pravděpodobnost, že Bob u dané kvantové částice bude měřit stejnou bázi je . Průběh komunikace je stejný jako u BB84 s tím, že se využívá více bází. Chybovost takového protokolu je dána .

Detekce odposlechu u tohoto způsobu komunikace probíhá díky Bellovým nerovnostem. Pokud dojde k narušení Evou, dojde k dodržení Bellových nerovností. Ty totiž kvantově propletené částice porušují.

C.3.5B92

Tento protokol vytvořil jeden z tvůrců BB84 Charles Bennett v roce 1992. Alice využívá pouze dvou stavů z dvou bází, které jsou vzájemně pootočeny o . Báze jsou neortogonální a pro každou je určeno, jaký bit bude reprezentovat. Žádné měření nemůže z fyzikálního hlediska rozlišit mezi neortogonální kvantovými stavy (polarizacemi). Tedy je nemožné identifikovat bity s jistotou. Implementace pouze dvou kvantových stavů může být někdy jednodušší. Bohužel zabezpečení, které tento protokol poskytuje, je často velmi těžké dosáhnout. Nezřídka se zvrátí v naprosto nezabezpečenou implementaci.



Obrázek : Alice vysílá pouze v neortogonálních červených bázích, Bob poslouchá v modrých

(zdroj: vlastní tvorba)

Komunikace probíhá následovně. Alice náhodně volí 0, nebo 1, které posílá Bobovi. To má přímý důsledek na to, jakou bázi použije. Bob náhodně volí bázi měření , nebo . S pravděpodobnosti zachytí 0, nebo s pravděpodobností zachytí 1. Když dává měření výsledek 0, není Bob schopen určit, o jakou hodnotu šlo. Pokud zachytí 1, tak zapisuje v případě báze 1 a v případě báze to bude 0. Na konci výměny Bob Alici sdělí, které měření mělo hodnotu 1, což jí umožní vybrat hodnoty pro klíč. Část klíče opět poslouží pro ověření odposlechu.

Vzhledem k pravděpodobnosti, se kterou Bob zachytí znak, který si při komunikaci dále ponechává, vyžaduje tento protokol cca 2x větší objem dat pro výměnu stejně dlouhého klíče, jako BB84.

C.3.6SSP99

Six-State Potocol, neboli šestistavový protokol, jak jej formuloval H. Pasquinucci a N. Gissin v roce 1999, je obdobou BB84. Jediným rozdílem je užití tří rozličných bází, na rozdíl od dvou. To způsobí, že pokud Eva odposlouchává, její přítomnost způsobuje vyšší četnost chyb a je tudíž snáze odhalitelná.

C.3.7SARG04

Tento protokol představili jeho tvůrci Valerio Scarani, Antonio Acín, Grégoire Ribordy a Nicolas Gisin. Ve fázi výměny náhodně generovaných bitů mezi Alicí a Bobem se shoduje s protokolem BB84 s jediným rozdílem – jedna celá ortogonální je přiřazena bitu 1 a druhá nule. Zásadní změna přichází při veřejné komunikaci druhé fáze, kdy Alice neposílá Bobovi pozici jednotlivých ortogonálních bází, ale pouze dvě neortogonální báze (vzájemně otočené o ), z nichž v jedné byl foton orientován. Bob toto porovnává se svým měřením a ponechává si pouze hodnoty, u kterých Alice zaslala dvě možné báze, u kterých platí, že při užití jedné z nich by nebylo možné obdržet získanou hodnotu (je přesně kolmá na tu, kterou užil Bob). Druhá pak nevylučuje výsledek, obdržený Bobem. Bob potom přejímá tuto bázi.

Základní fáze protokolu SARG04

I

vyslaný bit

0

0

1

0

1

0

1

0

0

0

1

0

0

1

1

1

1

0

...

polarizace

...

báze Boba

×

×

+

+

×

+

×

+

+

×

+

×

+

+

+

×

×

+

...

přijatý foton

...

II

Alicina skupina

...

Bob určil

–

–

–

–

–

–

–

–

–

–

–

–

...

Bobovy bity

–

–

–

–

1

–

1

–

–

–

–

–

0

–

–

1

1

0

...

III

výsledek

1

OK

0

OK

1

OK

...

Tabulka : Průběh tří fází protokolu SARG04

(zdroj: Příloha K, Příloha L)

Díky tomu, že Alice při veřejné komunikaci nesděluje užitou bázi, ale pár neortogonálních bází, je tento protokol schopen odolávat tzv. PNS¹⁰ útoku. Eva v takovém případě může bázi pouze hádat, což jí neumožní s úspěchem získat klíč. Ani informace, které naměřil bob, není schopna nijak odvodit. Na zjištění, zda Eva poslouchá, je zde opět třetí fáze. U tohoto protokolu se pravděpodobnosti odhalení Evy shodují s protokolem BB84.