Квантовое распределение ключей: Безопасная связь будущего

Квантовое распределение ключей (QKD): безопасная связь на основе квантовой механики. Обнаружение прослушивания, создание секретных ключей для шифрования.

20 мин чтения

100%

Источник: Quantum key distribution — Wikipedia

Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.

Содержание

Введение

Способ безопасной связи

Квантовое распределение ключей (QKD) — это метод безопасной связи, который реализует криптографический протокол, использующий компоненты квантовой механики. Он позволяет двум сторонам создать общий случайный секретный ключ, известный только им, который затем может быть использован для шифрования и дешифрования сообщений. Процесс квантового распределения ключей не следует путать с квантовой криптографией, поскольку он является наиболее известным примером квантовой криптографической задачи. Важным и уникальным свойством квантового распределения ключей является возможность для двух общающихся пользователей обнаружить присутствие любой третьей стороны, пытающейся получить доступ к ключу. Это обусловлено фундаментальным аспектом квантовой механики: процесс измерения квантовой системы, как правило, возмущает систему. Третья сторона, пытающаяся перехватить ключ, должна каким-либо образом его измерить, тем самым внося обнаружимые аномалии. Используя квантовые суперпозиции или квантовую запутанность и передавая информацию в квантовых состояниях, можно реализовать систему связи, обнаруживающую перехват. Если уровень перехвата ниже определенного порога, можно получить ключ, безопасность которого гарантирована (то есть перехватчик не обладает о нем никакой информацией). В противном случае безопасный ключ невозможен, и связь прерывается. Безопасность шифрования, использующего квантовое распределение ключей, основана на принципах квантовой механики, в отличие от традиционной криптографии с открытым ключом, которая опирается на вычислительную сложность определенных математических функций и не может предоставить никаких математических доказательств фактической сложности обращения односторонних функций. QKD обладает доказуемой безопасностью, основанной на теории информации и прямой секретности. Основным недостатком квантового распределения ключей является то, что оно обычно требует наличия аутентифицированного классического канала связи. В современной криптографии наличие аутентифицированного классического канала означает, что уже был произведен обмен либо симметричным ключом достаточной длины, либо открытыми ключами достаточного уровня безопасности. При наличии такой информации, на практике можно достичь аутентифицированной и достаточно безопасной связи без использования QKD, например, с помощью режима Galois/Counter в стандарте Advanced Encryption Standard. Таким образом, QKD выполняет работу потокового шифра, но во много раз дороже. Квантовое распределение ключей используется исключительно для генерации и распространения ключа, а не для передачи данных сообщений. Этот ключ затем может быть использован с любым выбранным алгоритмом шифрования для шифрования (и дешифрования) сообщения, которое затем может быть передано по стандартному каналу связи. Алгоритм, наиболее часто ассоциируемый с QKD, — это одноразовый блокнот, поскольку он доказательно безопасен при использовании с секретным случайным ключом. В реальных ситуациях он часто используется совместно с шифрованием, использующим алгоритмы симметричного ключа, такие как алгоритм Advanced Encryption Standard.

Quantum key distribution (QKD) is a secure communication method that implements a cryptographic protocol involving components of quantum mechanics. It enables two parties to produce a shared random secret key known only to them, which then can be used to encrypt and decrypt messages. The process of quantum key distribution is not to be confused with quantum cryptography, as it is the best known example of a quantum cryptographic task. An important and unique property of quantum key distribution is the ability of the two communicating users to detect the presence of any third party trying to gain knowledge of the key. This results from a fundamental aspect of quantum mechanics: the process of measuring a quantum system in general disturbs the system. A third party trying to eavesdrop on the key must in some way measure it, thus introducing detectable anomalies. By using quantum superpositions or quantum entanglement and transmitting information in quantum states, a communication system can be implemented that detects eavesdropping. If the level of eavesdropping is below a certain threshold, a key can be produced that is guaranteed to be secure (i. e., the eavesdropper has no information about it). Otherwise no secure key is possible, and communication is aborted. The security of encryption that uses quantum key distribution relies on the foundations of quantum mechanics, in contrast to traditional public key cryptography, which relies on the computational difficulty of certain mathematical functions, and cannot provide any mathematical proof as to the actual complexity of reversing the one way functions used. QKD has provable security based on information theory, and forward secrecy. The main drawback of quantum key distribution is that it usually relies on having an authenticated classical channel of communication. In modern cryptography, having an authenticated classical channel means that one already has exchanged either a symmetric key of sufficient length or public keys of sufficient security level. With such information already available, in practice one can achieve authenticated and sufficiently secure communication without using QKD, such as by using the Galois/Counter Mode of the Advanced Encryption Standard. Thus QKD does the work of a stream cipher at many times the cost. Quantum key distribution is used to produce and distribute only a key, not to transmit any message data. This key can then be used with any chosen encryption algorithm to encrypt (and decrypt) a message, which can then be transmitted over a standard communication channel. The algorithm most commonly associated with QKD is the one time pad, as it is provably secure when used with a secret, random key. In real world situations, it is often also used with encryption using symmetric key algorithms like the Advanced Encryption Standard algorithm.

Обмен квантовым ключом

Квантовая связь подразумевает кодирование информации в квантовых состояниях, или кубитах, в отличие от использования битов в классической связи. Обычно для этих квантовых состояний используются фотоны. Квантовое распределение ключей использует определенные свойства этих квантовых состояний для обеспечения безопасности. Существует несколько различных подходов к квантовому распределению ключей, которые можно разделить на две основные категории в зависимости от используемого свойства. Протоколы "подготовка и измерение" В отличие от классической физики, акт измерения является неотъемлемой частью квантовой механики. Как правило, измерение неизвестного квантового состояния вносит в него изменения. Это следствие квантовой неопределенности, которое можно использовать для обнаружения перехвата связи (который неизбежно включает измерение) и, что более важно, для вычисления объема перехваченной информации. Протоколы, основанные на запутанности. Квантовые состояния двух (или более) отдельных объектов могут быть связаны таким образом, что их необходимо описывать объединенным квантовым состоянием, а не как отдельные объекты. Это явление известно как запутанность и означает, что, например, измерение одного объекта влияет на другой. Если запутанная пара объектов распределена между двумя сторонами, любой перехват одного из объектов изменяет общую систему, раскрывая присутствие третьей стороны (и объем полученной ею информации). Эти два подхода можно далее разделить на три семейства протоколов: дискретная переменная, непрерывная переменная и кодирование с распределенной эталонной фазой. Протоколы с дискретной переменной были изобретены первыми и остаются наиболее широко используемыми. Две другие группы протоколов в основном направлены на преодоление практических ограничений экспериментов. Два протокола, описанные ниже, используют кодирование с дискретной переменной.

Протокол E91: Артур Экерт (1991)

В схеме Артура Экерта используются запутанные пары фотонов. Они могут быть созданы Алисой, Бобом или каким-то источником, отдельным от них обоих, включая подслушивательницу Еву. Фотоны распределяются так, что у Алисы и Боба оказывается по одному фотону из каждой пары. Схема опирается на два свойства запутанности. Во-первых, запутанные состояния идеально коррелируют в том смысле, что если Алиса и Боб оба измеряют, имеют ли их частицы вертикальную или горизонтальную поляризацию, они всегда получают один и тот же результат с вероятностью 100%. То же самое верно, если они оба измеряют любую другую пару комплементарных (ортогональных) поляризаций. Это требует точной синхронизации направлений между двумя удаленными сторонами. Однако сами результаты полностью случайны; Алиса не может предсказать, получит ли она (и, следовательно, Боб) вертикальную или горизонтальную поляризацию. Во-вторых, любая попытка перехвата Евой разрушает эти корреляции таким образом, что Алиса и Боб могут это обнаружить. Подобно BB84, протокол включает в себя конфиденциальный протокол измерений перед обнаружением присутствия Евы. Этап измерения включает в себя измерение Алисой каждого полученного фотона, используя одну из базисов из множества, в то время как Боб выбирает базис из, где – базис, повернутый на. Они сохраняют последовательность выбора базисов в секрете до завершения измерений. Формируются две группы фотонов: первая состоит из фотонов, измеренных Алисой и Бобом в одном и том же базисе, а вторая содержит все остальные фотоны. Для обнаружения перехвата они могут вычислить тестовую статистику, используя коэффициенты корреляции между базисами Алисы и Боба, аналогичные тем, что используются в экспериментах по проверке неравенств Белла. Максимально запутанные фотоны дадут значение. Если это не так, то Алиса и Боб могут заключить, что Ева внедрила локальный реализм в систему, нарушив теорему Белла. Если протокол успешен, первую группу можно использовать для генерации ключей, поскольку эти фотоны полностью антикоррелированы между Алисой и Бобом.

Artur Ekert's scheme uses entangled pairs of photons. These can be created by Alice, by Bob, or by some source separate from both of them, including eavesdropper Eve. The photons are distributed so that Alice and Bob each end up with one photon from each pair. The scheme relies on two properties of entanglement. First, the entangled states are perfectly correlated in the sense that if Alice and Bob both measure whether their particles have vertical or horizontal polarizations, they always get the same answer with 100% probability. The same is true if they both measure any other pair of complementary (orthogonal) polarizations. This necessitates that the two distant parties have exact directionality synchronization. However, the particular results are completely random; it is impossible for Alice to predict if she (and thus Bob) will get vertical polarization or horizontal polarization. Second, any attempt at eavesdropping by Eve destroys these correlations in a way that Alice and Bob can detect. Similarly to BB84, the protocol involves a private measurement protocol before detecting the presence of Eve. The measurement stage involves Alice measuring each photon she receives using some basis from the set while Bob chooses from where is the basis rotated by They keep their series of basis choices private until measurements are completed. Two groups of photons are made: the first consists of photons measured using the same basis by Alice and Bob while the second contains all other photons. To detect eavesdropping, they can compute the test statistic using the correlation coefficients between Alice's bases and Bob's similar to that shown in the Bell test experiments. Maximally entangled photons would result in If this were not the case, then Alice and Bob can conclude Eve has introduced local realism to the system, violating Bell's theorem. If the protocol is successful, the first group can be used to generate keys since those photons are completely anti aligned between Alice and Bob.

Распределение квантовых ключей независимо от устройства

В традиционной квантовой криптографии (QKD) используемые квантовые устройства должны быть идеально откалиброваны, надежны и работать точно так, как ожидается. Отклонения от ожидаемых измерений могут быть крайне сложными для обнаружения, что делает всю систему уязвимой. Новый протокол, называемый QKD, независимым от устройства (DIQKD) или QKD, независимым от измерительного устройства (MDIQKD), позволяет использовать нехарактеризованные или ненадежные устройства и учитывать отклонения от ожидаемых измерений в общей системе. При обнаружении эти отклонения приведут к прерыванию протокола, а не к получению неверных данных, и основаны на протоколе BB84. Исследователи предложили, чтобы в DIQKD квантовое устройство, которое они называют источником фотонов, поставлялось с тестами, которые Алиса и Боб могут использовать для "самопроверки" правильности работы своего устройства. Такой тест должен учитывать только классические входы и выходы, чтобы определить, какая информация может быть перехвачена Евой. Самопроверяемый или "идеальный" источник не требует характеризации и, следовательно, не подвержен ошибкам реализации. Предел зависимости скорости от расстояния, также известный как компромисс между скоростью и расстоянием, описывает, как с увеличением расстояния между Алисой и Бобом скорость генерации ключей экспоненциально уменьшается. В традиционных протоколах QKD этот спад был устранен путем добавления физически защищенных ретрансляторов, которые можно разместить вдоль квантового канала связи для разделения его на несколько секций с малыми потерями. Исследователи также рекомендовали использовать квантовые повторители, которые, будучи добавленными к ретрансляторам, устраняют необходимость в их физической защите.

Сравнение информации и укрепление конфиденциальности

Описанные выше протоколы квантового распределения ключей предоставляют Алисе и Бобу почти идентичные общие ключи, а также оценку расхождения между этими ключами. Эти различия могут быть вызваны перехватом, но также и несовершенствами в линии передачи и детекторах. Поскольку невозможно различить эти два типа ошибок, гарантированная безопасность требует предположения, что все ошибки обусловлены перехватом. Если частота ошибок между ключами ниже определенного порога (27,6% по состоянию на 2002 год), можно выполнить два шага: сначала удалить ошибочные биты, а затем уменьшить объем информации, которой обладает Ева о ключе, до произвольно малого значения. Эти два шага известны как согласование информации и усиление приватности, и были впервые описаны в 1992 году. Согласование информации – это форма коррекции ошибок, выполняемая между ключами Алисы и Боба, чтобы обеспечить их идентичность. Оно проводится по открытому каналу, поэтому важно минимизировать объем информации, передаваемой о каждом ключе, поскольку Ева может ее перехватить. Распространенным протоколом, используемым для согласования информации, является каскадный протокол, предложенный в 1994 году. Он работает в несколько раундов, в каждом из которых оба ключа разделяются на блоки, и сравнивается четность этих блоков. Если обнаружено расхождение в четности, выполняется двоичный поиск для обнаружения и исправления ошибки. Если ошибка обнаружена в блоке из предыдущего раунда, который имел правильную четность, то в этом блоке должна содержаться другая ошибка; она обнаруживается и исправляется аналогичным образом. Этот процесс повторяется рекурсивно, что и является причиной названия «каскад». После сравнения всех блоков Алиса и Боб переупорядочивают свои ключи одинаковым случайным образом, и начинается новый раунд. В конце нескольких раундов Алиса и Боб с высокой вероятностью получают идентичные ключи; однако Ева обладает дополнительной информацией о ключе, полученной из информации о четности, которой был обмен. Тем не менее, с точки зрения теории кодирования, согласование информации по сути является кодированием с источником информации и побочной информацией. Следовательно, любая схема кодирования, работающая для этой задачи, может быть использована для согласования информации. В последнее время для этой цели используются турбокоды, коды LDPC и полярные коды, что повышает эффективность каскадного протокола. Усиление приватности – это метод уменьшения (и эффективного устранения) частичной информации, которой обладает Ева о ключе Алисы и Боба. Эта частичная информация могла быть получена как путем перехвата на квантовом канале во время передачи ключа (что приводит к обнаруживаемым ошибкам), так и на открытом канале во время согласования информации (где предполагается, что Ева получает всю возможную информацию о четности). Усиление приватности использует ключ Алисы и Боба для создания нового, более короткого ключа, таким образом, чтобы Ева обладала лишь незначительной информацией о новом ключе. Это выполняется с использованием экстрактора случайности, например, путем применения универсальной хеш-функции, выбранной случайным образом из общедоступного набора таких функций, которая принимает в качестве входных данных двоичную строку длиной, равной длине ключа, и выдает двоичную строку выбранной меньшей длины. Величина, на которую сокращается этот новый ключ, рассчитывается на основе объема информации, которую Ева могла получить о старом ключе (который известен из-за вводимых им ошибок), чтобы снизить вероятность того, что Ева обладает какими-либо знаниями о новом ключе, до очень низкого значения.

The quantum key distribution protocols described above provide Alice and Bob with nearly identical shared keys, and also with an estimate of the discrepancy between the keys. These differences can be caused by eavesdropping, but also by imperfections in the transmission line and detectors. As it is impossible to distinguish between these two types of errors, guaranteed security requires the assumption that all errors are due to eavesdropping. Provided the error rate between the keys is lower than a certain threshold (27.6% as of 2002), two steps can be performed to first remove the erroneous bits and then reduce Eve's knowledge of the key to an arbitrary small value. These two steps are known as information reconciliation and privacy amplification respectively, and were first described in 1992. Information reconciliation is a form of error correction carried out between Alice and Bob's keys, in order to ensure both keys are identical. It is conducted over the public channel and as such it is vital to minimise the information sent about each key, as this can be read by Eve. A common protocol used for information reconciliation is the cascade protocol, proposed in 1994. This operates in several rounds, with both keys divided into blocks in each round and the parity of those blocks compared. If a difference in parity is found then a binary search is performed to find and correct the error. If an error is found in a block from a previous round that had correct parity then another error must be contained in that block; this error is found and corrected as before. This process is repeated recursively, which is the source of the cascade name. After all blocks have been compared, Alice and Bob both reorder their keys in the same random way, and a new round begins. At the end of multiple rounds Alice and Bob have identical keys with high probability; however, Eve has additional information about the key from the parity information exchanged. However, from a coding theory point of view information reconciliation is essentially source coding with side information. In consequence any coding scheme that works for this problem can be used for information reconciliation. Lately turbocodes, LDPC codes and polar codes have been used for this purpose improving the efficiency of the cascade protocol. Privacy amplification is a method for reducing (and effectively eliminating) Eve's partial information about Alice and Bob's key. This partial information could have been gained both by eavesdropping on the quantum channel during key transmission (thus introducing detectable errors), and on the public channel during information reconciliation (where it is assumed Eve gains all possible parity information). Privacy amplification uses Alice and Bob's key to produce a new, shorter key, in such a way that Eve has only negligible information about the new key. This is performed using a randomness extractor, for example, by applying a universal hash function, chosen at random from a publicly known set of such functions, which takes as its input a binary string of length equal to the key and outputs a binary string of a chosen shorter length. The amount by which this new key is shortened is calculated, based on how much information Eve could have gained about the old key (which is known due to the errors this would introduce), in order to reduce the probability of Eve having any knowledge of the new key to a very low value.

Коммерческий

Многие компании по всему миру предлагают коммерческое квантовое распределение ключей, например: ID Quantique (Женева), MagiQ Technologies, Inc. (Нью-Йорк), QNu Labs (Бенгалуру, Индия), QuintessenceLabs (Австралия), QRate (Россия), SeQureNet (Париж), Quantum Optics Jena (Германия) и KEEQuant (Германия). Несколько других компаний также ведут активные исследовательские программы, включая KETS Quantum Security (Великобритания), Toshiba, HP, IBM, Mitsubishi, NEC и NTT (см. внешние ссылки для прямых ссылок на исследования). В 2004 году в Вене, Австрия, был осуществлен первый в мире банковский перевод с использованием квантового распределения ключей. Технология квантового шифрования, предоставленная швейцарской компанией Id Quantique, была использована в швейцарском кантоне (штате) Женева для передачи результатов голосования в столицу на национальных выборах, состоявшихся 21 октября 2007 года. В 2013 году Battelle Memorial Institute установил систему квантового распределения ключей (QKD), разработанную ID Quantique, между своим главным кампусом в Колумбусе, штат Огайо, и производственным предприятием в расположенном поблизости Дублине. Полевые испытания токийской сети QKD проводятся уже некоторое время.

DARPA

Квантовая сеть DARPA представляла собой сеть распределения квантовых ключей, состоящую из 10 узлов, которая работала непрерывно в течение четырех лет, 24 часа в сутки, с 2004 по 2007 год в штате Массачусетс, США. Она была разработана компаниями BBN Technologies, Гарвардским университетом и Бостонским университетом при участии IBM Research, Национального института стандартов и технологий и QinetiQ. Сеть поддерживала стандартную компьютерную сеть, защищенную с помощью квантового распределения ключей.

SECOQC

Первая в мире компьютерная сеть, защищенная квантовым распределением ключей, была реализована в октябре 2008 года на научной конференции в Вене. Эта сеть называется SECOQC (Secure Communication Based on Quantum Cryptography), и проект был профинансирован Европейским союзом. Сеть использовала 200 км стандартного оптоволоконного кабеля для соединения шести точек в Вене и города Санкт-Пёльтен, расположенного в 69 км к западу.

SwissQuantum

Id Quantique успешно завершила самый длительный проект по тестированию квантового распределения ключей (QKD) в реальных условиях. Основной целью проекта сети SwissQuantum, развернутой в агломерации Женевы в марте 2009 года, было подтверждение надежности и устойчивости QKD при непрерывной работе в течение длительного периода времени в реальной среде. Квантовый уровень функционировал почти 2 года, пока проект не был завершен в январе 2011 года, вскоре после изначально запланированного срока проведения испытаний.

Китайские сети

В мае 2009 года в городе Уху, Китай, была продемонстрирована иерархическая квантовая сеть. Эта иерархическая сеть состояла из магистральной сети из четырех узлов, соединяющих несколько подсетей. Узлы магистральной сети были соединены через оптический коммутатор квантового маршрутизатора. Узлы в каждой подсети также были соединены через оптический коммутатор, который подключался к магистральной сети через доверенный ретранслятор. Космическая миссия QUESS, запущенная в августе 2016 года, создала международный канал квантового распределения ключей (QKD) между Китаем и Институтом квантовой оптики и квантовой информации в Вене, Австрия, на наземном расстоянии 300 км, что позволило осуществить первый межконтинентальный защищенный квантовый видеозвонок. К октябрю 2017 года была введена в эксплуатацию волоконно-оптическая линия протяженностью 2000 км между Пекином, Цзинанем, Хэфэем и Шанхаем. Вместе они образуют первую в мире квантовую сеть, объединяющую космос и землю. Ожидается, что будет запущено до 10 спутников Micius/QUESS, что позволит создать европейско-азиатскую квантово-зашифрованную сеть к 2020 году и глобальную сеть к 2030 году.

Сеть QKD Токио

Сеть квантовой криптографии (QKD) в Токио была запущена в первый день конференции UQCC2010. В создании сети участвуют 7 международных партнеров: NEC, Mitsubishi Electric, NTT и NICT из Японии, а также Toshiba Research Europe Ltd. (Великобритания), Id Quantique (Швейцария) и "All Vienna" (Австрия). "All Vienna" представлена исследователями из Австрийского технологического института (AIT), Института квантовой оптики и квантовой информации (IQOQI) и Венского университета.

Национальная лаборатория Лос-Аламоса

Сеть «хаб и спицы» управляется Национальной лабораторией Лос-Аламоса с 2011 года. Все сообщения маршрутизируются через хаб. Система оснащает каждый узел сети квантовыми передатчиками — то есть лазерами, — но не дорогими и громоздкими фотонными детекторами. Квантовые сообщения принимает только хаб. Для связи каждый узел отправляет хабу одноразовый шифр, который затем используется для безопасной связи по классическому каналу. Хаб может перенаправить это сообщение другому узлу, используя другой одноразовый шифр от второго узла. Безопасность всей сети обеспечивается только безопасностью центрального хаба. Отдельным узлам требуется немного больше, чем лазер: прототипы узлов размером с коробку спичек.

Орёл-1

В 2024 году ESA планирует запустить спутник Eagle 1, экспериментальную систему квантового распределения ключей на основе космических платформ.

Атака "человек-в-середине"

Распределение квантовых ключей уязвимо к атаке «человек посередине», если используется без аутентификации, в той же степени, что и любой классический протокол, поскольку ни один известный принцип квантовой механики не позволяет отличить союзника от злоумышленника. Как и в классическом случае, Алиса и Боб не могут аутентифицировать друг друга и установить защищенное соединение без какого-либо способа проверки их личностей (например, предварительно известного общего секрета). Если у Алисы и Боба есть начальный общий секрет, они могут использовать безусловно безопасную схему аутентификации (например, схему Картера-Вегмана) вместе с квантовым распределением ключей для экспоненциального увеличения этого секрета, используя небольшую часть нового ключа для аутентификации следующей сессии. Было предложено несколько методов создания этого начального общего секрета, например, с использованием третьей стороны или теории хаоса. Однако для безусловно безопасной аутентификации могут использоваться только «почти сильно универсальные» семейства хеш-функций.

Атака на расщепление фотонного числа

В протоколе BB84 Алиса отправляет квантовые состояния Бобу, используя одиночные фотоны. На практике многие реализации используют лазерные импульсы, ослабленные до очень низкого уровня, для передачи квантовых состояний. Эти лазерные импульсы содержат очень небольшое количество фотонов, например, 0,2 фотона на импульс, распределённых согласно распределению Пуассона. Это означает, что большинство импульсов фактически не содержат фотонов (импульс не посылается), некоторые импульсы содержат 1 фотон (что желательно), а небольшое количество импульсов содержит 2 или более фотонов. Если импульс содержит более одного фотона, Ева может отделить лишние фотоны и передать оставшийся одиночный фотон Бобу. Это лежит в основе атаки на основе разделения числа фотонов, при которой Ева сохраняет эти дополнительные фотоны в квантовой памяти до тех пор, пока Боб не обнаружит оставшийся одиночный фотон, а Алиса не раскроет базис кодирования. Затем Ева может измерить свои фотоны в правильном базисе и получить информацию о ключе, не вызывая обнаружимых ошибок. Даже при возможности атаки PNS безопасный ключ всё ещё может быть сгенерирован, как показано в доказательстве безопасности GLLP. Однако, поскольку современные источники работают с низкой эффективностью и частотой, скорости генерации ключа и дальности передачи ограничены. Другим решением является модификация протокола BB84, как, например, в протоколе SARG04, где безопасная скорость генерации ключа масштабируется как. Наиболее перспективным решением является использование ложных состояний, и в ряде последующих QKD-экспериментов это позволило достичь высоких скоростей генерации ключа, обеспечивая защиту от всех известных атак.

Отказ в предоставлении

Поскольку в настоящее время для установления связи между двумя точками, использующими квантовое распределение ключей, требуется выделенная оптоволоконная линия (или прямая видимость в свободном пространстве), атаку типа «отказ в обслуживании» можно осуществить, просто перерезав или заблокировав эту линию. Это одна из причин разработки сетей квантового распределения ключей, которые в случае нарушения связи будут перенаправлять коммуникацию по альтернативным каналам.

Атаки троянского коня

Система квантового распределения ключей может быть взломана Евой путем направления яркого света в квантовый канал и анализа отраженных сигналов в атаке типа "Троянский конь". Недавнее исследование показало, что Ева определяет секретный выбор базиса Бобом с вероятностью более 90%, что ставит под угрозу безопасность системы.

Квантовый взлом

Хакерские атаки нацелены на уязвимости в работе протокола QKD или недостатки в компонентах физических устройств, используемых при построении системы QKD. Если оборудование, используемое в квантовом распределении ключей, может быть скомпрометировано, его можно заставить генерировать незащищенные ключи с помощью атаки на генератор случайных чисел. Другой распространенный класс атак – атака типа «Троянский конь», которая не требует физического доступа к конечным точкам: вместо попытки перехватить одиночные фотоны Алисы и Боба, Ева отправляет большой импульс света обратно к Алисе между передаваемыми фотонами. Оборудование Алисы отражает часть света Евы, раскрывая состояние базиса Алисы (например, поляризацию). Эту атаку можно обнаружить, например, с помощью классического детектора для проверки несанкционированных сигналов (то есть света от Евы), поступающих в систему Алисы. Также предполагается, что большинство хакерских атак можно аналогичным образом нейтрализовать, изменив реализацию, хотя формального доказательства этому нет. Известны и другие атаки, включая атаки с подменой состояния, атаки с переназначением фаз и атаки со сдвигом во времени. Атака со сдвигом во времени была даже продемонстрирована на коммерческой квантовой криптосистеме. Это первая демонстрация квантового взлома несамодельной системы квантового распределения ключей. Позже атака с переназначением фаз также была продемонстрирована на специально сконфигурированной, ориентированной на исследования открытой системе QKD (разработанной и предоставленной швейцарской компанией Id Quantique в рамках их программы Quantum Hacking). Это одна из первых атак типа «перехват и пересылка» на базе широко используемой реализации QKD в коммерческих системах QKD. Эта работа широко освещалась в СМИ. Первая атака, заявившая о возможности прослушивания всего ключа без оставления следов, была продемонстрирована в 2010 году. Экспериментально было показано, что однофотонные детекторы в двух коммерческих устройствах могут быть полностью удаленно контролируемы с использованием специально подобранного яркого освещения. В серии последующих публикаций сотрудничество между Норвежским университетом науки и технологий и Институтом Макса Планка по науке о свете продемонстрировало несколько методов успешного перехвата данных в коммерческих системах QKD, основанных на уязвимостях лавинных фотодиодов (APD), работающих в режиме временного окна. Это стимулировало исследования новых подходов к обеспечению безопасности коммуникационных сетей.

Hacking attacks target vulnerabilities in the operation of a QKD protocol or deficiencies in the components of the physical devices used in construction of the QKD system. If the equipment used in quantum key distribution can be tampered with, it could be made to generate keys that were not secure using a random number generator attack. Another common class of attacks is the Trojan horse attack which does not require physical access to the endpoints: rather than attempt to read Alice and Bob's single photons, Eve sends a large pulse of light back to Alice in between transmitted photons. Alice's equipment reflects some of Eve's light, revealing the state of Alice's basis (e. g., a polarizer). This attack can be detected, e. g. by using a classical detector to check the non legitimate signals (i. e. light from Eve) entering Alice's system. It is also conjectured that most hacking attacks can similarly be defeated by modifying the implementation, though there is no formal proof. Several other attacks including faked state attacks, phase remapping attacks, and time shift attacks are now known. The time shift attack has even been demonstrated on a commercial quantum cryptosystem. This is the first demonstration of quantum hacking against a non homemade quantum key distribution system. Later on, the phase remapping attack was also demonstrated on a specially configured, research oriented open QKD system (made and provided by the Swiss company Id Quantique under their Quantum Hacking program). It is one of the first 'intercept and resend' attacks on top of a widely used QKD implementation in commercial QKD systems. This work has been widely reported in media. The first attack that claimed to be able to eavesdrop the whole key without leaving any trace was demonstrated in 2010. It was experimentally shown that the single photon detectors in two commercial devices could be fully remote controlled using specially tailored bright illumination. In a spree of publications thereafter, the collaboration between the Norwegian University of Science and Technology in Norway and Max Planck Institute for the Science of Light in Germany, has now demonstrated several methods to successfully eavesdrop on commercial QKD systems based on weaknesses of avalanche photodiodes (APDs) operating in gated mode. This has sparked research on new approaches to securing communications networks.

Фальшивое распределение квантовых ключей

Задача распределения секретного ключа может быть решена даже в том случае, когда частица (на которой закодирована секретная информация, например, поляризация) не проходит через квантовый канал, используя протокол, разработанный Тхэ Гон Но. В этом протоколе Алиса генерирует фотон, который, не проводя измерение до определенного момента, существует в суперпозиции, одновременно находясь на путях (a) и (b). Путь (a) остается внутри защищенного устройства Алисы, а путь (b) направляется к Бобу. Отвергая фотоны, которые получает Боб, и принимая только те, которые он не получает, Алиса и Боб могут установить защищенный канал, то есть попытки Евы перехватить информацию о "контрфактических" фотонах все равно будут обнаружены. Этот протокол использует квантовое явление, согласно которому сама возможность отправки фотона оказывает влияние, даже если он фактически не отправлен. Так называемое измерение без взаимодействия также основано на этом квантовом эффекте, как, например, в задаче проверки бомб, где экспериментатор может концептуально определить, какие бомбы не являются бракованными, не приводя их в действие, за исключением "контрфактического" смысла.

История

Квантовая криптография была предложена впервые Стивеном Виснером, тогда работавшим в Колумбийском университете в Нью-Йорке, который в начале 1970-х годов ввёл понятие квантового сопряжённого кодирования. Его основополагающая статья под названием "Conjugate Coding" была отклонена журналом IEEE Information Theory, но в конечном итоге была опубликована в 1983 году в SIGACT News (15:1, стр. 78–88, 1983). В этой статье он показал, как хранить или передавать два сообщения, кодируя их в двух "сопряжённых измеримых величинах", таких как линейная и круговая поляризация света, так что может быть принята и декодирована либо одна, либо другая, но не обе одновременно. Он проиллюстрировал свою идею разработкой не подделываемых банкнот. Десять лет спустя, основываясь на этой работе, Чарльз Беннетт из исследовательского центра IBM Томаса Дж. Уотсона и Жиль Брассард из Монреальского университета предложили метод безопасной связи, основанный на "сопряжённых измеримых величинах" Виснера. В 1990 году Артур Экерт, в то время аспирант колледжа Вольфсона при Оксфордском университете, разработал другой подход к квантовому распределению ключей, основанный на квантовой запутанности.

Будущее

Текущие коммерческие системы ориентированы главным образом на правительства и корпорации с высокими требованиями к безопасности. В таких случаях обычно используется передача ключей курьером, когда традиционные схемы распределения ключей не обеспечивают достаточной гарантии. Это имеет преимущество в отсутствии принципиальных ограничений по расстоянию, и, несмотря на длительное время доставки, скорость передачи может быть высокой благодаря наличию портативных носителей информации большой емкости. Основное отличие квантового распределения ключей (QKD) заключается в возможности обнаружения любой попытки перехвата ключа, в то время как при использовании курьера безопасность ключа невозможно доказать или проверить. Системы QKD также обладают преимуществом автоматизации, большей надежности и более низкими эксплуатационными расходами по сравнению с защищенной сетью курьеров. Трехстадийный протокол Кака был предложен как метод безопасной связи, полностью квантовый по своей природе, в отличие от квантового распределения ключей, в котором криптографическое преобразование использует классические алгоритмы. Факторами, препятствующими широкому распространению квантового распределения ключей за пределами областей с повышенными требованиями к безопасности, являются стоимость оборудования и отсутствие подтвержденной угрозы существующим протоколам обмена ключами. Однако, поскольку оптоволоконные сети уже существуют во многих странах, инфраструктура для более широкого использования уже создана. Группа по отраслевым спецификациям (ISG) Европейского института телекоммуникационных стандартов (ETSI) была создана для решения вопросов стандартизации в квантовой криптографии. Европейские метрологические институты в рамках специализированных проектов разрабатывают измерения, необходимые для характеризации компонентов систем QKD. Компания Toshiba Europe была удостоена престижной премии Института физики за бизнес-инновации, признающей новаторскую QKD-технологию Toshiba, разработанную в течение двух десятилетий исследований, защищающую коммуникационную инфраструктуру от текущих и будущих киберугроз, и коммерциализацию продукции британского производства, прокладывающей путь к квантовому интернету. Компания Toshiba также получила награду Semi Grand Prix в категории "Решения" за QKD и премию министра экономики, торговли и промышленности на CEATEC AWARD 2021 – престижной награде, вручаемой на CEATEC, ведущей выставке электронной промышленности Японии.

The current commercial systems are aimed mainly at governments and corporations with high security requirements. Key distribution by courier is typically used in such cases, where traditional key distribution schemes are not believed to offer enough guarantee. This has the advantage of not being intrinsically distance limited, and despite long travel times the transfer rate can be high due to the availability of large capacity portable storage devices. The major difference of quantum key distribution is the ability to detect any interception of the key, whereas with courier the key security cannot be proven or tested. QKD (quantum key distribution) systems also have the advantage of being automatic, with greater reliability and lower operating costs than a secure human courier network. Kak's three stage protocol has been proposed as a method for secure communication that is entirely quantum unlike quantum key distribution in which the cryptographic transformation uses classical algorithms. Factors preventing wide adoption of quantum key distribution outside high security areas include the cost of equipment, and the lack of a demonstrated threat to existing key exchange protocols. However, with optic fibre networks already present in many countries the infrastructure is in place for a more widespread use. An Industry Specification Group (ISG) of the European Telecommunications Standards Institute (ETSI) has been set up to address standardisation issues in quantum cryptography. European Metrology Institutes, in the context of dedicated projects, are developing measurements required to characterise components of QKD systems. Toshiba Europe has been awarded a prestigious Institute of Physics Award for Business Innovation. This recognises Toshiba's pioneering QKD technology developed over two decades of research, protecting communication infrastructure from present and future cyber threats, and commercialising UK manufactured products which pave the road to the quantum internet. Toshiba also took the Semi Grand Prix award in the Solutions Category for the QKD has won the Minister of Economy, Trade and Industry Award in CEATEC AWARD 2021, the prestigious awards presented at CEATEC, Japan's premier electronics industry trade show.