E91: Секретний Ключ, Захищений Нерівністю Белла

Різні ідеї для квантово-безпечних ключів

Більшість людей знайомляться з квантовою криптографією через BB84 (1984): Аліса надсилає Бобу окремі фотони, кожен випадково підготовлений в одній із двох кон’югованих основ, і їхня безпека ґрунтується на тому факті, що вимірювання фотона неправильною основою порушує його. Протокол E91 1991 року Артура Екерта має структурно інший підхід. Замість того, щоб одна сторона надсилала підготовлені стани іншій, джерело генерує пари заплутаних фотонів і відправляє один фотон із кожної пари Алісі, а інший – Бобу. Жоден фотон не має визначеного поляризації на власний розсуд — лише пара разом має добре визначений квантовий стан, стан «зірка»,.

Випадкові бази, потім публідне розділення

Для кожної пари отриманих даних Аліса та Боб незалежно та випадково обирають один з кількох кутів вимірювання та записують результат. Після того, як буде виміряно багато пар, вони публічно оголошують - через звичайний, незашифрований канал - які кути вони використовували для кожного вимірювання, але ніколи не повідомляють результати самі по собі. Пари, де вони випадково обрали однакові (або комплементарні) кути, стануть сирим ключовим матеріалом, оскільки стан «сінгулярності» гарантує, що ці результати будуть ідеально корельовані або антикорельовані. Пари, де вони обрали різні, невідповідні кути, відкладаються для абсолютно іншого призначення: перевірки нерівності Белла.

Неоднорідність E(a,b) як сигналізація злодія

Теорія Белла стверджує, що будь-яка теорія, в якій кожен фотон таємно несе визначену відповідь для кожного можливого кута вимірювання – "локальна прихована змінна" теорія, класичне пояснення корельованих результатів без «магії» – обмежена нерівністю. Форма CHSH (Клаuser, Horne, Shimony, Holt) об'єднує кореляції E(a,b), виміряні в чотирьох комбінаціях кутів, в одне число S:

S = E(a1,b1) - E(a1,b2) + E(a2,b1) + E(a2,b2) локальні приховані змінні (класичні): |S| ≤ 2 (межа Белла) квантова механіка, стан синглет: |S| ≤ 2√2 ≈ 2.828 (обмеження Цірельсона) Вимірювання парами Alice та Bob при невідповідних кутах дозволяло їм обчислити S з реальних даних. Якщо джерело справді доставляло заплутані пари синглетів і ніхто не втручався у канал, квантова механіка передбачала, що S має вийти близько 2√2, значно порушуючи класичний ліміт 2. Це порушення не є приміткою – це основний аргумент безпеки. Значення S, близьке до 2√2, може бути досягнуто лише справді заплутаним станом на момент вимірювання; його не можна відтворити за допомогою попередньо запрограмованих частинок з таблицею прихованих відповідей, незалежно від того, наскільки хитромудро намагається їх підробити шпигун.

S = E(a1,b1) - E(a1,b2) + E(a2,b1) + E(a2,b2)

local hidden variables (classical) :  |S| ≤ 2        (Bell's bound)
quantum mechanics, singlet state   :  |S| ≤ 2√2 ≈ 2.828   (Tsirelson's bound)

Чому прослуховування та заплутаність не можуть існувати одночасно

Припустімо, що злодій (Ейві) перехоплює фотон у процесі передачі, вимірює його, щоб дізнатися щось і надсилає новий фотон далі. Теорема про відсутність клонування гарантує, що вона не може зробити ідеальну, непомітну копію невідомої квантової стани – вимірювання неминуче втручається. Її перехоплення порушує ніжне заплутування між початковою парою; фотон, який вона надсилає, більше не є компонентом тенту, і вимірювання Аліси та Боба не корелюють так сильно, як передбачує чиста квантова механіка. Це зниження безпосередньо проявляється у падінні виміряного значення CHSH: будь-яка стратегія прослуховування доведеться тягнути S вниз до класичного обмеження 2. Аліса та Боб просто перевіряють, після того як це зроблено, чи їхнє виміряне значення S близьке до 2√2. Якщо так, то генерується ключ із зіставлених пар є доведеним секретним; якщо S помітно впало, вони відкидають цей запуск і спробують знову через чистіший канал.

Від корельованих бітів до корисного ключа

Проходження тесту Белла само по собі не надає Алісі та Бобу готовий ключ – реальні канали мають шум, тому корельовані біти все ще потребують узгодження помилок (публічний протокол, що мінімізує інформацію, який виправляє незначну кількість невідповідностей), за яким слідує підвищення конфіденційності, яке стискає узгоджений рядок за допомогою хеш-функції так, щоб навіть невелика кількість інформації, яку Еві вдалося зібрати до виявлення, стала незначною. В результаті залишається ланцюжок бітів, який утримують обидві сторони, і ніхто інший не може передбачити його, а його секретність ґрунтується на тесті CHSH, а не на довірі до обладнання, яке підготувало фотоони в першому місці – властивість, що називається захистом від пристроїв незалежності, яку протоколи типу BB84 не пропонують так безпосередньо.

Часті запитання

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте E91 Quantum Key Distribution і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.