1
Quanten-Kryptographie
Robert „Bob“ Wulfert
26.07.2011
Universität Stuttgart Hauptseminar in Theoretischer Physik SS2011
2
Inhalt
1. Klassische Kryptographie
2. Quantenkryptographie
3. Quantum-Key-Distribution (QKD) Protokolle
4. Technische Umsetzung
5. Sicherheit
6. Zusammenfassung
3
(Erstellen von Codes)
Kryptologie
Kryptographie Kryptoanalysis
Verschlüsselung (encryption): Ein Algorithmus bzw. Kryptosystem kombiniert die Nachricht mit einem Schlüssel (key) zu einem Kryptogramm,, aus welchem die ursprüngliche Nachricht nur mithilfe des aus welchem die ursprüngliche Nachricht nur mithilfe des Schlüssels wiederhergestellt werden kann. Schlüssels wiederhergestellt werden kann.
1.1 Terminologie
(Brechen von Codes)
1. Klassische Kryptographie
Alice BobEve
4
1. Asymmetrischepublic-key Kryptosysteme
2. Symmetrische secret-key Kryptosysteme
Verschlüsselung Verschlüsselung &
EntschlüsselungEntschlüsselung
Man unterscheidet zwei Klassen von Systemen:
1. Klassische Kryptographie
5
● Verschlüsselung mit public-key
● Entschlüsselung nur mit private-key
● Auf beliebig viele Parteien erweiterbar
1.2 Public-key Kryptosysteme
Alice(sender)
Bob(receiver)
choosesprivate-key
computes public-key
encrypts message with public key
decrypts message with private key
public-key
Eve
1. Klassische Kryptographie
6
● Sicherheit durch Asymmetrie in Komplexität von Berechnungen
● Dazu verwendet man sogenannte one-way-functions:
– Man berechnet leicht f(x) für ein gegebenes x → polynomielle Zeitabhängigkeit von der Anzahl der Eingabebits
– Es ist schwierig x aus einem gegebenen Funktionswert f(x) abzuleiten:→ exponentielle Zeitabhängigkeit von der Anzahl der Eingabebits
– Beispiel:
● RSA (1978)
– Die Existenz eines schnellen Algorithmus zur Faktorisierung kann nicht prinzipiell ausgeschlossen werden.
1.2 Public-key Kryptosysteme
1. Klassische Kryptographie
7
● Absolut sicher, solange Alice und Bob im Besitz eines gemeinsamen geheimen Schlüssels sind.
● Der Schlüssel kann nur für eine einzige Übertragung genutzt werden.
● Hauptschwierigkeit: Verteilung des Schlüssels
1.3 Secret-Key Kryptosysteme
Alice Bob
classical distribution of secret key
encrypts/decrypts message with
secret key
decrypts/encrypts message with
secret key
Eve
1. Klassische Kryptographie
8
1.4 Vernam Protokoll (one-time-pad, 1926)
AliceQuelltext 0 1 1 0 1 1 0 0Schlüssel 1 0 0 0 0 1 1 0Kryptogramm 1 1 1 0 1 0 1 0
BobKryptogramm 1 1 1 0 1 0 1 0Schlüssel 1 0 0 0 0 1 1 0Quelltext 0 1 1 0 1 1 0 0
● Der Quelltext soll bereits digital als (0,1)-Folge der Länge n vorliegen.
● Der Schlüssel besteht aus einer (0,1)-Zufallsfolge ebenfalls mit Länge n
● Verschlüsselung durch gliedweise Addition modulo 2
● Beispiel:
● Bob erhält das Kryptogramm und addiert wiederum den Schlüssel modulo 2
● Wegen x + 0 + 0 = x und x + 1 + 1 = x entsteht dann wieder der Quelltext
● Absolute Sicherheit bei Einhaltung aller Vorgaben (→ QKD)
1. Klassische Kryptographie
publicchannel
9
● Die Quantenmechanik sagt uns was wir nicht tun können:
– Keine Messung an einem Quantenmechanischen System ohne Störung des Systems
– Keine gleichzeitige Messung zweier nicht kommutierender Observablen
→ Die Polarisation eines Photons kann nicht gleichzeitig in der vertikal-horizontalen Basis und der diagonalen Basis gemessen werden
– Man kann einen unbekannten Quantenzustand nicht kopieren (no-cloning-Theorem)● Diese Verbote gelten auch für einen Lauscher Eve
● In der Quantenkryptographie werden diese Verbote ausgenutzt um eine abhörsichere Übertragung zu gewährleisten
2.1 Prinzipien der Quantenmechanik
2. Quantenkryptographie
10
2.2 No-Cloning-Theorem
Es ist nicht möglich, einen unbekannten Quantenzustand perfekt zu klonen.
Eine lineare, unitäre Transformation U, die die Basiszustände |0 > und |1 > perfekt auf einen Anfangszustand | i > kopiert, lautet:
Wollten wir hiermit einen unbekannten Zustand
klonen, so erhielten wir
Dies entspricht nicht dem gewünschten Zustand
Theorem:
Beweis:
2. Quantenkryptographie
11
● Die Quantenkryptographie baut auf dem klassischen Secret-key-Verfahren auf.
● Sie ergänzt dieses durch die Erzeugung und Verteilung des geheimen Schlüssels mittels quantenmechanischer Systeme.
● Die Sicherheit von QKD beruht auf Naturgesetzen.
● Es wird weiterhin ein klassischer Kommunikationskanal benötigt.
● Voraussetzung für absolute Sicherheit: Authentizität des klassischen Kanals
2.3 Quantum-Key-Distribution (QKD)
2. Quantenkryptographie
Quantum-Key-Distribution
Alice Bobencrypts/decrypts
message with secret key
decrypts/ecrypts message with secret key
Eve
12
● Alice sendet Bob 2n Qubits, beispielsweise polarisierte Photonen. Sie präpariert dazu willkürlich Zustände aus einer der beiden Basen H (horizontal-vertikal) und D (diagonal):
● Bob wählt für die Messung der ankommenden Photonen ebenfallseine zufällige Basis aus.
● Die Messwerte entsprechen der Nummerierung der Zustände.
3. QKD-Protokolle
3.1 BB84-Protokoll (1984)
Alice Bobquantum channel
classical channelEve
Fig.: Equator of Poincare-Sphere
13
● Alice und Bob gleichen über den klassischen Kanal ihre für jedes Photon getroffene Wahl der Basis ab. Sie müssen also dazu in der Lage sein, eine eins-zu-eins Korrespondenz zwischen den gesendeten und den empfangenen Qubits herzustellen.
● Sie verwerfen die Qubits bei denen die Präparations- und die Messbasis nicht übereinstimmen. („sifting“)
● Die übrigen Messwerte sind perfekt korreliert und bilden den sogenannten „sifted-key“ mit der durchschnittlichen Länge n.
● Weder Alice noch Bob können den resultierenden Schlüssel vorher festlegen. Es ist vielmehr das Zusammenspiel ihrer zufälligen Entscheidungen welches den Schlüssel entstehen lässt. In diesem Sinn wird über den Quantenkanal allein keinerlei Information übertragen.
3. QKD-Protokolle
Photonennummer 1 2 3 4 5 6 7 8 9Alices Basis H D D H H D H D Dpräparierter ZustandBobs Basis H H D D H D H H DMessergebnis (raw key) 1 Z 0 Z 0 0 1 Z 1sifted key 1 0 0 0 1 1
14
● Fängt Eve die Photonen ab, so bemerkt Bob dies und das Protokoll wird abgebrochen.
● Eve kann sich keine Kopie der Photonen erstellen (no-cloning-Theorem)
● Intercept-resend-Strategie:
● Alice und Bob vergleichen Teile des sifted-keys um einen Lauschangriff mit beliebiger Wahrscheinlichkeit auszuschliessen
● In durchschnittlich der Hälfte aller Fälle hat sie die Basis kompatibel mit dem von Alice präparierten Zustand gewählt. Dann schickt sie Bob ein Qubit im korrekten Zustand und Alice und Bob bemerken keine Intervention.
Wählt sie jedoch die falsche Basis, was zwangsläufig passieren wird da sie keine Information über Alice's Basiswahl haben kann so lange diese absolut zufällig erfolgt, so wird sie einen Zustand präparieren, der einen Überlapp von ½ mit dem korrekten Zustand hat.
Somit verursacht Eve während sie 50% der Information erhält eine Fehlerrate im sifted-key von 25%. Alice und Bob können also einfach einen Teil des sifted-keys vergleichen und so einen Lauschangriff mit beliebiger Wahrscheinlichkeit ausschliessen.
Eve kann diese Strategie natürlich auch nur auf einen Teil der Kommunikation anwenden.Z.B.: Eve misst 10% der ankommenden QuBits, erhält somit ≈ 5% des Keys und verursacht ≈ 2,5% Fehler.
3. QKD-Protokolle
3.2 Angriffsmöglichkeiten für Eve:
Alice Bobquantum channel
classical channel
Eve
Eve measures Photon
compatible basis incompatible basis
sends correct state+ 50% information gain
sends wrong state+ no information gain
sifted key unflawed error in sifted key
½ ½
½ ½ 1
75% QBER: 25%
15
● Interaktion von Eve ohne Störung von Alices System:
daraus erhält man
● Allgemein gilt also: Je mehr Information Eve erhalten will, desto mehr wird der ursprüngliche Zustand gestört.
● Die allgemeinste Transformation, die sie durchführen kann lautet:
● D ist ein Maß für die induzierte Störung (Dmax = 1/2)
3.3 Störung und Transinformation Alice BobU
Eveperturbation information
3. QKD-Protokolle
16
● Definition: Transinformation I(X;Y) ist die Menge an Information die man über X bekommt wenn Y bekannt ist.
● Ziel von Eve ist es, für eine gegebene Störung D (und damit auch I(A;B)) I(A;E) zu maximieren.
● Eve's maximale Transinformation ist gegeben durch:
3. QKD-Protokolle
17
● Alice wählt zufällige Bitpaare (a1,a2) des übertragenen Schlüssels aus und teilt Bob die Position der Bits im Code sowie den Wert a1+a2 (XOR) mit. Erhält Bob dasselbe Resultat, so behalten beide das erste Bit, falls nicht, werden sie verworfen. Alice und Bob erhalten so sukzessive einen fehlerlosen Schlüssel.
● Um Eves Information zu reduzieren wird ein Verfahren namens „privacy-amplification“ durchgeführt:
Alice wählt wieder zufällige Bitpaare (a1,a2) des übertragenen Schlüssels, teilt Bob diesmal jedoch nur die Position der Bits im Code mit. Beide ersetzen nun ihre beiden Bits durch ihr Ergebnis von a1+a2 bzw. b1+b2 . Hat Eve an einer der beiden Positionen einen fehlerhaften Eintrag, so wird ihr Ergebnis e1+e2 falsche sein und sie verliert Information.
● Für D < DC lässt sich durch Hintereinanderausführung der beiden obigen Verfahren immer ein sicherer Schlüssel übertragen werden.
3.4 Fehlerkorrektur und privacy-amplification
3. QKD-Protokolle
Alice ... 1 0 0 1 0 1 ...Bob ... 0 0 1 1 0 0 ...
18
● Einfaches 2-QuBit Protokoll beruhend auf EPR-Korrelationen
● Die Quelle erzeugt maximal verschränkte Photonenpaare im drehsymmetrischen Bell-Zustand
● Jeweils ein QuBit geht and Alice und Bob.
● Alice und Bob messen unabhängig voneinander in völlig zufälliger Weise die Polarisationen in einer der Basen H oder D.
● Über einen öffentlichen Kanal werden zu jedem Photonenpaar die Messbasen verglichen und die Ergebnisse mit unterschiedlichen Basen werden verworfen.
● Die verbleibenden Messergebnisse müssen perfekt korreliert sein, wenn nicht gelauscht wurde.
● Fehlerkorrektur und privacy-amplification wie beim BB84-Protokoll
3. QKD-Protokolle
3.5 BBM92-Protokoll EPR
sourceAlice Bob
19
3.6 Ekert-Protokoll (1991)
3. QKD-Protokolle
BBM92protocol
Test of CHSHinequality
Ekertprotocol
● Überprüfung der CHSH-Ungleichung
● Jeweils 3 Messbasen
● 2/9 der Qubits bilden sifted-key
● 7/9 der Qubits → Korrelationsfunktion
● Lauschangriff und Manipulation der Quelle ausgeschlossen
20
4.1 Experiment: Entanglement-based quantum communication over 144km (2007)
4. Technische Umsetzung
21
4.1 Experiment: Entanglement-based quantum communication over 144km (2007)
4. Technische Umsetzung
● Überprüfung der Polarisationskorrelation mit der CHSH-Ungleichung
● Korrelationsfunktion
● Die Korrelationskoeffizienten ergeben den Bell-Parameter S :
● CHSH-Ungleichung:
● Maximale Verletzung laut QM:
für die Polarisationswinkel:
● Experimenteller Wert:
● Eindrucksvolle Verletzung der CHSH-Ungleichung um 13 Standardabweichungen
22
4.2 off-the-shelf System: MAGIQ QPN 8505
4. Technische Umsetzung
● Features:
– Verwendung des BB84-Protokolls
– Bis zu 140km Distanz
– Bis zu hundert 256 Bit keys pro Sekunde
– Verschlüsselung und QKD in einem Gerät und über denselben optischen Kanal
– Netzwerkkompatibel
23
Theorem (Sicherheitsstatement für QKD):
Wenn
● A1) die Quantenmechanik korrekt ist, und
● A2) die Authentifizierung sicher ist, und
● A3) unsere Geräte zuverlässig und sicher sind,
dann erzeugt die QKD mit einer hohen Wahrscheinlichkeiteinen zufälligen, geheimen Schlüssel.
5. Sicherheit
24
5.1 Authentifizierung
Fig.: Stages of QKD
● Die Authentizität muss während der beinahe der gesamten QKD Prozedur gewährleistet sein
5. Sicherheit
25
● Ein authentischer klassischer Kanal ist essentiell für die Sicherheit von QKD.
● Klassischer Schlüssel benötigt bevor QKD Sequenz
● Wenn die Authentifizierung in der ersten Sequenz von QKD sicher ist, dann sind alle darauffolgenden Sequenzen informationstheoretisch sicher.
5. Sicherheit
5.1 Authentifizierung
authentication QKD quantum-key-expansionquantum-secret-growing
26
● Strenges „peer-review“ nur bei Veröffentlichung des Algorithmus
● Gegenteil: „security through obscurity“
● Quanten-Kryptosysteme:
– Theoretische Beschreibung von QKD öffentlich zugänglich.
– Aber: Quanten-Kryptosysteme sind teuer und nicht vervielfältigbar.
→ kaum öffentliche Überprüfung der technischen Implementierungen möglich.● Abweichungen von Theorie → mögliche Hintertüren
5. Sicherheit
5.2 Kerckhoff's Prinzip
Die Sicherheit eines Kryptosystems darf nur auf der Geheimhaltung des Schlüssels basieren und nicht auf der Geheimhaltung des Algorithmus.
27
● Quantenkryptographie → Quantum-Key-Distribution → Quantum-Key-Expansion
● Sicherheit steht und fällt mit Implementierung
6. Zusammenfassung
28
● Prof. D. Bruß - Skript zur Quanteninformationstheorie (WS2004/05)
● R. Ursin, F. Tiefenbacher, T. Schmitt-Manderbach, H. Weier, T. Scheidl, M. Lindenthal, B. Blauensteiner, T. Jennewein, J. Perdigues, P. Trojek, B. Ömer, M. Fürst, M. Meyenburg, J. Rarity, Z. Sodnik, C. Barbieri, H. Weinfurter, A. Zeilinger - Entanglement-based quantum communication over 144 km, Nature Physics 3, 481 (2007)
● N. Gisin, G. Ribordy, W. Tittel, H. Zbinden - Quantum Cryptography, Rev. Mod. Phys. 74, 145 (2002)
● M. Nielsen, I. Chuang – Quantum Computation and Quantum Information (2000)
● J. Audretsch – Verschränkte Systeme (2005)
Quellen