B92, протокол квантовой криптографии, предложенный Ч. Беннеттом в 1992 г. (Bennett. 1992), основанный на использовании двух неортогональных квантовых состояний. Секретность протокола обеспечивается невозможностью достоверного различения неортогональных квантовых состояний. Протокол уязвим для атак безошибочным различением квантовых состояний.

Используемые в протоколе квантовые состояния $\ket{\psi_k}$ задаются одним параметром $k\in\{0,\ 1\},$ причём $\left|\bra{\psi_0}\ket{\psi_1}\right|=\varepsilon\neq 0.$

Работа протокола делится на этап передачи сигналов между легитимными пользователями, называемыми Алисой и Бобом, и на этап согласования результатов.

На этапе передачи сигналов Алиса отсылает случайным образом выбранные состояния $\ket{\psi_{k}}$ Бобу. Боб же на своей стороне производит измерение приходящих сигналов для осуществления безошибочного различения состояний $\ket{\psi_0}$ и $\ket{\psi_1}$. Данное измерение имеет три исхода $0,$ $1$ и $?.$ Соответствующая квантовая наблюдаемая имеет вид

$$M_0 = \frac{I-\ket{\psi_1}\bra{\psi_1}}{1+\varepsilon},\quad M_1 = \frac{I-\ket{\psi_0}\bra{\psi_0}}{1+\varepsilon},\quad M_? = I - M_0 - M_1,$$где $I$ – единичный оператор. Первые два исхода соответствуют случаю, когда Бобу удалось различить состояния $\ket{\psi_0}$ и $\ket{\psi}$ и определить соответствующий параметр $k.$ Получение исхода $?,$ называемого неопределённым, означает, что Боб не смог определить значение $k.$

На этапе согласования Боб по открытому каналу сообщает все случаи, когда он получил определённый исход. Для всех таких посылок и Алисе, и Бобу известны значения случайно выбранного параметра $k,$ которые и составляют ключ.

Существенной проблемой при реализации протоколов квантовой криптографии являются потери в каналах связи между легитимными пользователями. В случае протокола B92 это приводит к уязвимости протокола. Для того чтобы получить информацию о генерируемом легитимными пользователями ключе, перехватчик, называемый Евой, может использовать атаку, основанную на осуществлении безошибочного различения квантовых состояний. Иными словами, Ева производит такое же измерение, что и Боб. В случае получения неопределённого исхода она блокирует сигнал. В случае же удачного различения состояний, Ева узнаёт значение параметра $k$ и может отправить этот же сигнал Бобу по своему каналу связи. При этом предполагается, что Ева не ограничена в ресурсах и её канал связи является идеальным, и сигналы передаются без потерь. В таком случае Боб получит ожидаемое число посылок, и Ева окажется незадетектируемой, получив при этом всю информацию о ключе.