Introduzione alla Crittografia Quantistica

Transcript

1 Insegnamento di Sistemi ed Algoritmi per la Protezione dei Dati (Corso di Laurea Specialistica in Ingegneria Elettronica) Introduzione alla Crittografia Quantistica Rodolfo Zunino Edizione 004

2 . Introduzione La storia della crittologia è caratterizzata dalla continua lotta fra coloro che hanno il compito di proteggere l informazione operando trasformazioni sul messaggio originale (crittografi) e coloro che invece lavorano per scoprire o modificare il messaggio originale (crittoanalisti). Il fondamentale punto debole di ogni comunicazione cifrata, secondo la fisica classica, è che un intercettatore (negli esempi seguenti, Eve ) che abbia accesso al canale (cosa sempre possible, secondo l assunzione di Kherkoffs) può sempre trascrivere il ciphertext che viene inviato sul canale stesso. Siccome l operazione di intercettazione può essere passiva, cioè senza emissione di energia da parte di Eve, l eavesdropping è sempre ammissibile secondo la crittografia classica. Le leggi della fisica quantistica, applicate alla trasmissione sicura, garantiscono invece che anche l operazione di intercettazione può essere rilevata dalle parti attive sul canale. Questo dà a tutti gli schemi di crittografia quantistica la garanzia di perfetta security, e la certezza di non-intercettazione (basata su un principio fisico di base) rappresenta il salto in avanti fondamentale si queste nuove tecnologie rispetto a diversi millenni di crittografia classica. Con l avvento della crittografia quantistica, infatti, la disputa tra algoritmo e crittanalisi si risolverà in favore dei crittografi, grazie alla natura intrinseca della tecnologia basata sulla fisica degli stati quantistici, che la rende teoricamente impossibile da violare e persino da intercettare. La crittografia quantistica si utilizza convenzionalmente per scambiare fra Alice e Bob le chiavi private e non il messaggio. Il messaggio verrà crittato successivamente attraverso l algoritmo One Time Pad. In questo senso si dice che la Quantum Cryptography si utilizza nella distribuzione delle chiavi. La Quantum Key Distribution (QKD) permette a due soggetti (negli esempi Alice e Bob) di ottenere chiavi sicure attraverso l invio di fotoni su un canale quantistico. Nello schema fondamentale di Crittografia Quantistica, l informazione associata al singolo fotone risiede nella sua polarizzazione: il fotone viene inviato con una precisa polarizzazione, che corrisponde in uno schema prestabilito ad una cifra binaria (0 e ). Le leggi della fisica impediscono ad un terzo soggetto di acquisire informazione sullo stato di un fotone senza disturbarlo, ovvero modificarlo irreparabilmente. Come si vedrà in seguito, è praticamente impossibile intercettare con profitto (ovvero, senza essere scoperti) uno scambio di chiavi su un canale quantistico senza essere a conoscenza degli schemi di polarizzazione adottati. Inoltre ogni tentativo di intercettazione può essere rilevato da Alice e Bob, con una semplice verifica che rivelerà un apparente incremento di errori di trasmissione.

3 . Polarizzazione dei fotoni I fotoni, data la natura ondulatoria della luce, hanno un proprio angolo di polarizzazione, che è definito come l angolo formato dal piano in cui essi oscillano con l asse di propagazione degli stessi fotoni. L angolo di propagazione è un numero θ compreso fra 0 0 e 80 0 : non ci sono infatti distinzioni fra un fotone polarizzato a θ ed uno polarizzato a θ I fotoni provengono da una sorgente di luce con una polarizzazione arbitraria (sono possibili tutte le polarizzazioni). Per far assumere una particolare polarizzazione ad un fotone si utilizza un filtro polarizzatore, che ha la seguente proprietà: le particelle a valle del filtro sono necessariamente polarizzate secondo un determinato angolo. Se questo angolo è θ, allora il filtro si caratterizzerà per essere un θ -filter. Se si fa in modo che un filtro polarizzatore, opportunamente ruotato, permetta il passaggio di fotoni polarizzati con un angolo θ voluto, allora tutti gli altri fotoni che hanno polarizzazioni diverse da θ vengono fermati, oppure oltrepassano il filtro con polarizzazione θ (assumono la polarizzazione θ ). Le leggi della meccanica quantistica ci dicono che un fotone a monte del filtro polarizzato con un angolo φ oltrepassa un θ -filter con probabilità: p θ ( φ) = cos (φ -θ ) emergendo ovviamente con polarizzazione θ. La probabilità che lo stesso fotone sia invece respinto dal filtro è naturalmente p θ (φ) = sin (φ -θ ). 3

4 Bisogna ricordare che, secondo l interpretazione quantistica della luce e delle particelle fotoniche, i fotoni si manifestano nella propria identità solo quando interagiscono con la materia: sappiamo quindi che i fotoni sono originati dalla sorgente di luce e li vediamo comparire se frapponiamo davanti al loro percorso un rivelatore, ma nel tragitto sorgente-rivelatore dobbiamo interpretare l onda luminosa dei fotoni come un onda di probabilità. 3. Basi di misura Consideriamo per comodità solo quattro tipi di polarizzazione: 0 0, 45 0, 90 0, 35 0 e suddividiamoli in due basi ortogonali. La prima base, chiamata rettilinea, conterrà le polarizzazioni 0 0 e 90 0 ; la seconda base, chiamata invece diagonale, conterrà le polarizzazioni 45 0 e Rappresentiamo 0 0 con il simbolo, 90 0 con, 45 0 con, 35 0 con. Nella seguente tabella è riportata la probabilità con cui un fotone appartenente ai quattro tipi considerati riesce a superare quattro diversi filtri di polarizzazione filter filter filter filter Nella figura seguente è riportata una simbologia più precisa utilizzata per caratterizzare i quattro tipi di fotoni considerati. In ogni base è stata effettuata una codifica in valori binari in modo che ognuna delle due polarizzazioni sia identificabile senza ambiguità. La scelta risulta arbitraria, ma la sua conoscenza deve essere condivisa da Alice e da Bob. 4

5 4. Il Protocollo BB84 Vediamo ora come sia possibile per Alice e Bob ottenere una chiave comune sfruttando le proprietà della meccanica quantistica: il protocollo descritto è il BB84, dovuto a Charles Bennett e Gilles Brassard. Il sistema comprende un trasmettitore ed un ricevitore. Alice utilizza il trasmettitore per inviare i fotoni in una delle quattro polarizzazioni possibili: 0, 45, 90 o 35 gradi. Dall altra parte del canale quantistico Bob si serve del ricevitore per misurare la polarizzazione dei fotoni. In accordo con le leggi della meccanica quantistica, il ricevitore può distinguere fra polarizzazioni orizzontali e verticali (0 e 90 gradi), oppure può essere riconfigurato per poter distinguere le due polarizzazioni diagonali (45 e 35 gradi). Il ricevitore non può in nessun caso distinguere polarizzazioni appartenenti a classi differenti (ad es. 0 e 45 gradi). La distribuzione delle chiavi quantistiche richiede diversi passi: Alice trasmette singoli fotoni polarizzati secondo le due basi rettilinea e diagonale, scegliendo di volta in volta arbitrariamente quale utilizzare. Bob misura i fotoni utilizzando ogni volta una base scelta fra le due in maniera casuale: per ogni fotone che arriva, sceglie in modo random se utilizzare quella rettilinea oppure quella diagonale. Bob registra i risultati delle misure, ma li tiene segreti. Successivamente Bob annuncia ad Alice sul canale pubblico le basi che ha scelto (i risultati ottenuti rimangono segreti). 5

6 Se la misura viene effettuata con la base corretta, il valore registrato da Bob è in accordo con quanto stabilito da Alice: Se invece la base utilizzata da Bob è quella errata, la lettura effettuata può dare luogo alla registrazione di un valore comunque esatto, come nella figura seguente ( ha una probabilità di oltrepassare la base diagonale e di venire riconosciuto come, cioè in binario): 6

7 Oppure, ad un utilizzo di una base errata si accompagna una classificazione errata (sempre in riferimento al valore binario trasmesso da Alice): Alice comunica a Bob i casi in cui le misure sono state effettuate con le basi corrette. Alice e Bob tengono tutti i casi in cui le misure sono state effettuate con le basi corrette: questi casi vengono convertiti in bit e forniscono la chiave. La figura seguente riassume tutti i passi precedenti: 7

8 Nella tabella seguente sono schematizzati tutti i casi che si possono verificare: Base scelta da Alice rettilinea diagonale Bit inviato Fotone inviato 0 0 Base scelta da Bob Base giusta Fotone rivelato Bit ricevuto Bit giusto rettilinea sì sì diagonale no sì 0 no rettilinea sì 0 sì no diagonale no 0 sì sì rettilinea no 0 no diagonale sì sì no rettilinea no 0 sì diagonale sì 0 sì Un eventuale eavesdropper non può fare a meno di introdurre errori in questa trasmissione perché non è a conoscenza in anticipo sul tipo di polarizzazione che ha ogni fotone. La meccanica quantistica gli impedisce di acquisire valori sicuri perché le due basi non possono essere usate contemporaneamente. La probabilità che Bob riceva correttamente i bit inviati da Alice è ¾ : in assenza di eavesdroppers, è garantita una corretta ricezione fino ad un valore massimo del 75%, mentre la bit error rate risulta quindi essere del 5%. Se chiamiamo con λ la probabilità di intercettazione di Eve (Eve si sostituisce a Bob), abbiamo che la bit error rate osservata da Bob si incrementa: ¼ + λ /8. Nel caso peggiore, in cui Eve legge tutti i bit, λ =: la frequenza degli errori raggiunge il valore 3/8, con un incremento del 50%. Alice e Bob possono eseguire un test sul canale quantistico per rivelare la presenza di Eve: possono scambiarsi sul canale pubblico un sottoinsieme della chiave ed effettuare un controllo sulla frequenza degli errori. Il procedimento continua quindi con altri due passi fondamentali: Alice e Bob scelgono a caso un sottoinsieme della loro chiave e lo confontano comunicando attraverso un canale pubblico: su questo numero limitato di bit effettuano un controllo della bit error rate. Se non sono soddisfatti della sicurezza del canale possono ripetere la distribuzione della chiave oppure cambiare anche il canale. Anche se non sono in grado di contrastare la presenza di Eve, Alice e Bob non verranno mai ingannati perché hanno rivelato questo tentativo di eavesdropping prima di attivare la comunicazione. 8

9 5. Conclusioni Mentre nella crittografia classica si utilizzano tecniche matematiche per impedire agli eavesdroppers di leggere i contenuti dei messaggi crittati, nella crittografia quantistica sono le leggi della fisica a proteggere l informazione. Una delle leggi fondamentali della meccanica quantistica, il principio di indeterminazione di Heisenberg, ci dice che ogni misura effettuata su un sistema quantistico perturba il sistema stesso. L operazione di intercettazione non può essere eseguita senza un emissione di energia, che influisce sul sistema perturbandolo: i legittimi interlocutori che utilizzano il canale quantistico sono quindi sempre in grado di rilevare le intrusioni. La crittografia quantistica sfrutta questa proprietà per garantire una comunicazione sicura e, tipicamente, consentire uno scambio di chiavi fra Alice e Bob. Scopo ultimo del protocollo quantistico non è lo scambio sicuro dei messaggi ma dei bit di chiave, necessari per istanziare algoritmi tipo one-time pad o, più in generale, a crittografia simmetrica. Eve non può neppure fare una copia dei fotoni che Alice invia a Bob, perché violerebbe il teorema di non clonabilità: a livello quantistico non è possibile fare una copia perfetta di uno stato senza perturbare lo stato iniziale. Una problematica che deve affrontare la crittografia quantistica per diventare un applicazione industriale vantaggiosa è la difficoltà di mantenere la polarizzazione dei fotoni per lunghe distanze: un adeguato supporto per il canale quantistico è costituito dalle fibre ottiche purché vengano definite tecnologie opportune di mantenimento degli stati quantistici coerenti. L applicazione delle leggi della fisica quantistica alla crittografia ha permesso per la prima volta la realizzazione di sistemi intrinsecamente sicuri, in quanto basati su leggi fisiche (la correettezza della fisica quantistica) anziché congetture matematiche (ad es., nel caso di RSA, la complessità non polinomiale della fattorizzazione di numeri primi). 6. Bibliografia [] C. H. Bennett, G. Brassard ed A.K.Erkert, Crittografia quantistica, Le Scienze, n. 9, Dicembre 99 [] C. H. Bennett, F. Bassette, G. Brassard, L. Salvail e J. Smolin, Experimental Quantum Cryptography, Journal of Cryptography, vol.5, no., 99, pp.3-8 9