BB84 (протокол квантовой криптографии)

BB84, исторически первый протокол квантовой криптографии, предложен в 1984 г. Ч. Беннеттом и Ж. Брассаром [Bennett. 1984]. Кодирование передаваемой информации осуществляется при помощи четырёх состояний кубитной системы, разделённых на два ортогональных и сопряжённых друг другу базиса. Для данного протокола известно несколько доказательств секретности [A Proof of the Security of Quantum Key Distribution. 2006 ; Mayers. 2001 ; Bennett. 1984]. Предельная величина ошибки при передаче сигналов, при которой возможно получение секретного ключа, равна 11 % [Bennett. 1984].

Передаваемые состояния ${\displaystyle \left|\psi _{bk}\right\rangle }$ задаются двумя параметрами – ${\displaystyle b}$ и ${\displaystyle k}$, где ${\displaystyle b}$ обозначает номер базиса, а ${\displaystyle k}$ – номер базисного элемента в базисе. При этом

${\displaystyle \left|\psi _{00}\right\rangle =\left|0\right\rangle ,\qquad \left|\psi _{01}\right\rangle =\left|1\right\rangle }$,

${\displaystyle \left|\psi _{10}\right\rangle =\left|+\right\rangle ={\frac {1}{\sqrt {2}}}\left(\left|0\right\rangle +\left|1\right\rangle \right),\qquad \left|\psi _{11}\right\rangle =\left|-\right\rangle ={\frac {1}{\sqrt {2}}}\left(\left|0\right\rangle -\left|1\right\rangle \right)}$.

Работа протокола делится на этап передачи сигналов между легитимными пользователями, называемыми Алисой и Бобом, и этап согласования результатов.

На этапе передачи сигналов Алиса отсылает случайным образом выбранные состояния ${\displaystyle \left|\psi _{bk}\right\rangle }$ Бобу. Боб же на своей стороне производит измерение приходящих сигналов в случайно выбранном базисе. Таким образом, при посылке каждого сигнала осуществляются следующие действия:

Алиса случайным образом генерирует 2 числа ${\displaystyle b,\ k\ \in \{0,\ 1\}}$ и отсылает Бобу состояние ${\displaystyle \left|\psi _{bk}\right\rangle }$.

Боб случайным образом генерирует число ${\displaystyle b'\in \{0,\ 1\}}$. Затем производит измерение полученного состояния ${\displaystyle \left|\psi _{bk}\right\rangle :}$

• в базисе ${\displaystyle \left\{\left|0\right\rangle ,\,\left|1\right\rangle \right\}}$, если ${\displaystyle b'=0}$,

• в базисе ${\displaystyle \left\{\left|+\right\rangle ,\,\left|-\right\rangle \right\}}$, если ${\displaystyle b'=1}$.

На этапе согласования Алиса по открытому каналу объявляет весь набор базисов ${\displaystyle b}$, используемых ею при посылке. Боб сравнивает полученные значения ${\displaystyle b}$ со значениями ${\displaystyle b'}$ и также по открытому каналу сообщает Алисе все посылки, для которых ${\displaystyle b'=b}$. Соответствующие значения ${\displaystyle k}$ формируют ключ.

Шум в канале связи между Алисой и Бобом, а также действия Евы (перехватчика), вообще говоря, приводят к ошибкам в генерации ключа, т. е. полученные в результате работы протокола строки Алисы и Боба будут отличаться в некотором количестве позиций.

Для того чтобы Алиса и Боб получили идентичные битовые строки, они должны воспользоваться классическими кодами и процедурой исправления ошибок. Пусть в результате измерений Алиса получила строку ${\displaystyle x}$, а Боб – строку ${\displaystyle x+\varepsilon }$. При этом они используют код ${\displaystyle C}$. Алиса случайным образом выбирает из него строку ${\displaystyle w}$ и сообщает Бобу значение ${\displaystyle x+w}$ (здесь подразумевается побитовая сумма). Боб складывает эту строку со своей ${\displaystyle x+\varepsilon }$ и получает – ${\displaystyle w-\varepsilon }$. Процедура коррекции в случае, если ${\displaystyle |\varepsilon |}$ меньше определённого порога, даст ему строку ${\displaystyle w}$. В итоге протокол обеспечивает генерацию у Алисы и Боба идентичных случайных строк.

Для того чтобы оценить величину ошибки, Алиса и Боб могут использовать часть посылок в качестве контрольных. При этом легитимные пользователи полагают, что вся ошибка вызвана деятельностью перехватчика. Это позволяет оценить верхнюю границу величины доступной Еве информации о ключе. Если эта величина оказывается меньшей, чем величина взаимной информации между Алисой и Бобом, то возможно успешно провести процедуру усиления секретности, при которой путём уменьшения длины финального ключа (с помощью хеш-функций из универсального семейства), достигается абсолютная неопределённость Евы относительно финального ключа.

Таким образом, работа протокола, кроме этапов передачи и согласования, будет в себя также включать этапы исправления ошибок и усиления секретности. Пороговая величина ошибки ${\displaystyle q}$, при которой возможна работа протокола, определяется неравенством

${\displaystyle 1-2h(q)\geq 0}$,

где ${\displaystyle h(q)=-q\log _{2}(q)-(1-q)\log _{2}(1-q)}$. Решение этого неравенства есть ${\displaystyle q=11\,\%}$. При этом, ${\displaystyle 1-h(q)}$ есть величина взаимной информации Алисы и Боба, а ${\displaystyle h(q)}$ – взаимная информация Алисы и Евы.