Criptografía cuántica

Situación de partida

La información cuántica permite que un emisor (Alice) envíe un mensaje a un receptor (Bob). Para ello disponen de lo siguiente

• Objetos cuánticos, es decir, objetos físicos que se comportan siguiendo las leyes de la física cuántica. En la práctica, estos objetos son fotones que pueden encontrarse en diferentes estados de polarización: pueden estar polarizados verticalmente (0), horizontalmente (1) o en cualquiera de los estados resultantes de superponer ambos. Dicha polarización puede ser detectada mediante el uso de filtros, que dejan pasar los fotones polarizados en un estado y absorben los polarizados en el otro.
• Un canal cuántico, que no es más que un canal físico de comunicación que puede transmitir información cuántica, así como clásica. Un ejemplo de canal cuántico es la conocida fibra óptica.

• Un canal clásico de comunicación que debe estar autentificado, es decir, Alice tiene que estar segura de que es a Bob a quien está enviando la información.

Ahora bien, la criptografía cuántica es lo que permite que Alice y Bob se comuniquen en secreto. En otras palabras, la criptografía cuántica hace posible detectar si el mensaje ha sido interceptado por un espía (Eva). Para llevar a cabo el protocolo de encriptamiento son necesarios dos elementos:

• Un algoritmo, que se encarga de manipular el mensaje para ocultarlo y hacerlo ilegible a terceros. Es decir, su función es la de encriptar el mensaje y desencriptarlo posteriormente para que pueda ser leído por el receptor. El algoritmo es conocido por las dos partes que se intercambian el mensaje, pudiendo llegar a ser incluso público. Es por ello que se necesita un elemento más para poder encriptar un mensaje.

• Una clave (secuencia de ceros y unos) conocida previamente por ambas partes, que es la que asegura que el proceso se mantenga privado, ya que como se ha dicho, el algoritmo puede ser de conocimiento público.

En función de la clave se pueden dividir los protocolos de encriptación en dos categorías: protocolos simétricos y antisimétricos. Los protocolos simétricos son aquellos en los que la clave es la misma para ambas partes, y los antisimétricos son aquellos en los que emisor y receptor poseen claves diferentes.

El establecimiento de la clave es el principal problema de la criptografía cuántica, ya que no hay forma de que Alice y Bob compartan una clave incondicionalmente segura mediante la información clásica.

No obstante, existen algunos algoritmos cuya seguridad está demostrada matemáticamente (como el cifrado de Vernam), o se basan en la complejidad de descifrarlo sin la clave secreta (sistema RSA, cuya seguridad no está rigurosamente probada). Algoritmos tales como el de Vernam y RSA son los más empleados hoy en día.

Detección de espionaje

La información clásica puede ser copiada sin que la información original se vea modificada. Por ello, trabajando con sistemas de comunicación clásicos no se puede saber con certeza si un mensaje ha sido manipulado por una tercera parte. Dicho de otro modo, en física clásica, Eva puede espiar y manipular el mensaje que Alice envía a Bob sin que ellos puedan descubrirlo.

Sin embargo, en mecánica cuántica el hecho de medir hace que el estado cuántico inicial se perturbe, se modifique. Esto se traduce en que si Eva intercepta el mesaje, Alice y Bob pueden descubrirlo fácilmente. Este hecho viene garantizado por:

• El teorema de no clonado. Este teorema nos asegura que “no pueden existir máquinas o dispositivos de clonación cuánticas”. En otras palabras, no es posible hacer copias exactas de la información cuántica.

• El tercer postulado de la mecánica cuántica o de la reducción del paquete de ondas, que asegura que al realizar una medida sobre un estado cuántico, este se está modificando.

Así, cuando Eva intercepta el mensaje entre Alice y Bob introduce anomalías (ruidos o errores), que pueden ser detectados por Alice y Bob.

Se puede demostrar que existe una relación entre la cantidad de anomalías introducidas en el mensaje y la cantidad de información que Eva ha interceptado, de esta manera es posible saber, no solo que Eva ha interceptado información, sino también la cantidad. Esta inspección es posible llevarla a cabo con las llamadas pruebas de seguridad, que combinan las leyes de la física cuántica y de la teoría de la información.

Información secreta

Primero, Alice y Bob evalúan el nivel de error y ruido que separan los dos conjuntos de datos. Las diferencias entre estos pueden provenir de:

• La intervención de Eva, que añade errores y ruido.

• Los errores y ruido de fondo, que no pueden ser evitados completamente.

Sin embargo, como los errores en la comunicación y los efectos de la observación de Eva no pueden ser distinguidos, por seguridad Alice y Bob deben suponer que todas las incoherencias son debidas a un espía.

Luego, gracias a las pruebas de seguridad y a ese nivel de ruido, Alice y Bob pueden evaluar la cantidad de información que ha interceptado Eva, llamada ${\displaystyle I_{E}}$. A la misma vez, la teoría de la información les permite evaluar la cantidad de información que comparten después de la transmisión ${\displaystyle I_{AB}}$.

Finalmente, si la cantidad de información ${\displaystyle \Delta I=I_{AB}-I_{E}}$ es superior a cero, es decir, la cantidad de espionaje permanece por debajo de cierto umbral, entonces se puede extraer una clave secreta de tamaño máximo ${\displaystyle \Delta I}$ de la trasmisión.

En el caso contrario, ninguna extracción es posible y la transmisión debe ser interrumpida.

Extracción de la clave

En el caso en el que la información secreta, ${\displaystyle \Delta I}$, sea superior a cero, Alice y Bob pueden empezar la extracción de la clave. Alice y Bob no comparten todavía una clave, sino datos correlacionados.

La extracción se compone por dos etapas: la reconciliación y la amplificación de la confidencialidad.

Reconciliación de información

La reconciliación de información es una forma de corrección de errores realizada entre las claves de Alice y Bob, para garantizar que ambas claves sean idénticas. Se lleva a cabo a través del canal público y, como tal, es vital minimizar la información enviada sobre cada clave, ya que Eva puede leerla.

Un protocolo común utilizado para la reconciliación de la información es el protocolo en cascada, propuesto en 1994.[4] Este opera en varias rondas, con ambas claves divididas en bloques en cada ronda y comparando la paridad de esos bloques. Si se encuentra una diferencia en la paridad, entonces se realiza una búsqueda binaria para encontrar y corregir el error. Si se encuentra un error en un bloque de una ronda anterior que tenía la paridad correcta, entonces debe contenerse otro error en ese bloque; este error se encuentra y se corrige como antes. Este proceso se repite recursivamente.

Después de que se hayan comparado todos los bloques, Alice y Bob reordenan sus claves de la misma manera aleatoria, y comienza una nueva ronda. Al final de múltiples rondas, Alice y Bob tienen claves idénticas con alta probabilidad; sin embargo, Eva tiene información adicional sobre la clave debido a la información sobre la paridad intercambiada.

Últimamente, los turbocódigos,[5] códigos LDPC[6] y códigos polares[7] se han utilizado para este propósito mejorando la eficiencia del protocolo en cascada.

Amplificación de la privacidad

La amplificación de la privacidad es un método para reducir y eliminar de manera efectiva la información parcial de Eva sobre la clave de Alice y Bob. Esta información parcial podría haberse obtenido tanto escuchando el canal cuántico durante la transmisión de la clave (introduciendo así errores detectables), como en el canal público durante la reconciliación de la información (donde se supone que Eva gana toda la información de paridad posible). La amplificación de privacidad utiliza la clave de Alice y Bob para producir una nueva clave más corta, de forma que Eva tenga una información insignificante sobre la nueva clave. Los bits de la clave pasan por un algoritmo que distribuye la ignorancia del espía sobre la clave final. De esta manera, la información del espía sobre la clave final puede hacerse arbitrariamente pequeña.

En primera aproximación, el tamaño de la clave final es igual al tamaño de la información compartida antes de la reconciliación, disminuido por el número de bits conocidos por el espía y disminuido por el número de bits que han pasado por el canal público durante la corrección de errores.

Este protocolo fue publicado en 1984 por Charles Bennett y Gilles Brassard, y con él se produce el nacimiento de la criptografía cuántica.[8]

En este protocolo, la transmisión se logra utilizando fotones polarizados enviados entre el emisor (tradicionalmente de nombre Alice (en el lado A)) y el receptor (de nombre Bob (en el lado B)) mediante un canal cuántico, por ejemplo, una fibra óptica. Por otro lado, también se necesita la existencia de un canal público (no necesariamente cuántico) entre Alice y Bob, como por ejemplo Internet u ondas de radio, el cual se usa para mandar información requerida para la construcción la clave secreta compartida. Ninguno de los canales necesita ser seguro, es decir, se asume que un intruso (de nombre Eve) puede intervenirlos con el fin de obtener información.

Cada fotón representa un bit de información, cero o uno y la información se logra mediante la codificación de estados no-ortogonales, por ejemplo rectilíneamente (horizontal y vertical) o bien diagonalmente (en ángulos de 45° y 135°), como se muestra en la tabla de abajo. También se puede ocupar una polarización circular (horario o antihoraria). Tanto Alice como Bob, pueden emitir fotones polarizados.

Bases	0	1
X

Primer paso: El protocolo comienza cuando Alice decide enviar una secuencia de fotones polarizados a Bob. Para ello, Alice genera una secuencia aleatoria de bases, por ejemplo, entre rectilíneas (+) y diagonales (x), la cual es almacenada momentáneamente. Una vez hecho esto, Alice usa el canal cuántico para emitir a Bob un fotón polarizado al azar usando las bases que ella generó (un fotón por cada base), registrando la polarización con la que fue emitido.

Alice tiene entonces la secuencia de bases utilizadas y la polarización de los fotones emitidos.

La mecánica cuántica dice que no es posible realizar una medición que distinga entre 4 estados de polarización distintos si es que estos no son ortogonales entre sí, en otras palabras, la única medición posible es entre dos estados ortogonales (base). Es así que por ejemplo, si se mide en una base rectilínea, los únicos resultados posibles son horizontal o vertical. Si el fotón fue creado con una polarización horizontal o vertical (con un generador de estados rectilíneo), entonces esta medición arrojará el resultado correcto. Pero si el fotón fue creado con una polarización de 45° o 135° (generador diagonal), entonces la medición rectilínea arrojara un resultado de horizontal o vertical al azar. Es más, después de esta medición, el fotón quedará polarizado en el estado en el cual fue medido (horizontal o vertical), perdiéndose toda la información inicial de la polarización.

Segundo paso: Como Bob no sabe las bases que ocupó Alice para generar los fotones, no le queda otra opción que medir la polarización de los fotones usando una base aleatoria generada por él (rectilínea o diagonal).

Bob registra las bases que utilizó para medir los fotones y también los resultados de cada medición.

Tercer paso: Alice y Bob se contactan por medio del canal público para comunicarse las bases que utilizaron para generar y leer respectivamente: Bob envía las bases que él usó y Alice envía las bases que ella usó.

Ambos descartan las mediciones (bits) en donde no coincidieron en las bases (en promedio se descarta la mitad de los bits). Los bits que quedaron fueron generados y medidos con la misma base, por lo que la polarización registrada es la misma para Alice y para Bob.

Hasta este paso, en una comunicación ideal, Alice y Bob ya tienen una clave secreta compartida determinada por los bits que quedaron.

Bits aleatorios de Alice	0	1	1	0	1	0	0	1
Bases de Alice			X		X	X	X
Fotones enviados por Alice
Bases aleatorias con las que mide Bob		X	X	X		X
Mediciones de Bob
Intercambio público de bases
Clave secreta compartida	0		1			0		1

Cuarto paso: Dado que puede existir alguna impureza en el canal cuántico o, peor aún, un intruso pudo haber interceptado la transmisión de fotones, la polarización de los fotones pudo haber sido alterada por lo que Alice y Bob deben comprobar que efectivamente los bits que no fueron descartados coinciden en su valor.

Si un intruso intenta medir los fotones que mandó Alice, al igual que Bob no sabe con qué base se generaron, por lo que tiene que realizar sus mediciones usando bases al azar lo que inevitablemente introduciría una perturbación en los fotones enviados por Alice si es que no coinciden en la base. Tampoco podría generar los fotones originales de Alice ya que el teorema de no-clonación garantiza que es imposible reproducir (clonar) la información transmitida sin conocer de antemano el estado cuántico que describe la luz.

Si un intruso intentó obtener información de los fotones entonces, con una alta probabilidad, la secuencias de bits de Alice y Bob no coinciden. Con el fin de detectar la presencia del intruso, Alice y Bob revelan segmentos de la clave generada. Si difieren en una cantidad superior a un mínimo determinado, entonces se asume la existencia de un intruso y se aborta la comunicación.

Existen técnicas para que la información revelada de la clave sea lo menor posible (por ejemplo usando funciones de Hash). También existen técnicas para poder reparar la secuencia de bits en caso de que no haya habido un calce total (por ejemplo, en el caso de una interferencia).

Quinto paso: Para codificar un mensaje se puede utilizar el mismo canal cuántico con fotones polarizados, o utilizar el canal público cifrando el mensaje con un algoritmo de cifrado, ya que la clave para el cifrado se ha transmitido de manera absolutamente segura.

El protocolo B92[2] es un protocolo parecido al BB84. En este protocolo, se supone que Alice prepara un bit clásico aleatoriamente, a, y dependiendo del resultado envía a Bob el qubit:

Bob, genera otro bit clásico aleatoriamente, a', y en función del resultado utiliza las bases:

De sus medidas, Bob obtiene el bit b, que puede tomar el valor 0 o 1, que corresponden a los estados -1 y +1 de las bases X y Z. Bob comunica el resultado b, pero manteniendo a' secreto. A continuación Alice y Bob seleccionan los bits en los que b=1, ya que b=0 solo si a=a' y b=1 ocurre si a'=1-a, y esto ocurre con una probabilidad del 50%. La clave final es a para Alice y 1-a' para Bob.

En este protocolo, como es imposible para un espía medir los estados de Alice sin romper la relación entre Alice y Bob, estos pueden crear una clave de bits y a la vez establecer un límite para el ruido y espionaje durante la comunicación.

El protocolo E91 o protocolo EPR,[9] propuesto por Artur Ekert en 1991 toma este nombre de la paradoja de Einstein-Podolsky-Rosen. Este protocolo está basado en el entrelazamiento de pares de fotones.

El esquema de comunicación es similar al del protocolo BB84. La diferencia es que se necesita además una fuente que produzca una serie de pares de fotones entrelazados. Dicha fuente puede estar en manos de Alice, Bob o algún tercero, lo importante es que de cada par de fotones entrelazados producido, un fotón llegue a Alice y el otro a Bob.

Los posibles estados a los que puede colapsar un qubit:

Por lo que cuando dos qubits estén entrelazados, una vez realicemos una medida, ambos qubits colapsan al mismo valor

Se supone que Alice quiere enviar información a Bob; para ello se genera una secuencia de qubits entrelazados y cada uno de nuestros comunicadores puede enviar uno de los pares. Una vez ambos estén en comunicación, no importa quién haga primero la medida porque al estar entrelazados ambos obtendrán el mismo valor aleatorio.

Al igual que en otros protocolos, la medida de un qubit se puede expresar en distintas bases. En este caso se renombremos "x" y "+" para distinguirlas.

El procedimiento consta de 3 pasos:

Primer paso: Se origina una secuencia de qubits entrelazadas para Alice y Bob.

Segundo paso: Alice y Bob eligen de manera independiente una secuencia de bases para medir la serie.

Número del bit	1	2	3	4	5	6	7	8	9	10	11	12
Bases de Alice	X	X			X		X			X		X
Mediciones de Alice
Bases de Bob	X			X	X					X	X
Mediciones de Bob

Tercer paso: Alice y Bob comparan sus secuencias y mantienen únicamente los bits coincidentes en la misma base.

Número del bit	1	2	3	4	5	6	7	8	9	10	11	12
Bases de Alice	X	X			X		X			X		X
Canal público
Bases de Bob	X			X	X					X	X
¿Coinciden?	Sí	No	Sí	No	Sí	Sí	No	Sí	Sí	Sí	No	No

Sin embargo este proceso es demasiado simple por lo que será fácil de desenredar por un espía, Eva. Para solucionar este problema, Alice y Bob vuelven a analizar los resultados obtenidos usando esta vez la mitad de los valores no coincidentes que habían obtenido.

El protocolo original de Eckert era más sofisticado, estando constituido por tres bases en lugar de dos. La ventaja de este protocolo, es que la clave se genera "naturalmente al azar" ya que es imposible saber de antemano qué polarización tendrá cada fotón.

Este test propuesto está basado en la desigualdad de Bell que nos sirve para describir los resultados de medir tres bases en dos qubits.

En el 2008 se consiguió el sistema de intercambio de bits más alto hasta el momento, con claves seguras a 1 Mbit/s, en más de 20 km de fibra óptica, y 10 kbit/s, en más de 100 km de fibra. Fue logrado mediante una colaboración entre la Universidad de Cambridge y Toshiba, utilizando el protocolo BB84.[11]

En agosto de 2015, la Universidad de Ginebra y Corning Inc. lograron la distancia de QKD más larga para fibra óptica (307 km).[12] En el mismo experimento, se generó una tasa de intercambio de clave secreta de 12,7 kbit/s, convirtiéndola en la tasa de bits más alta para sistemas trabajando a distancias mayores de 100 km.

En junio de 2017, los físicos dirigidos por Thomas Jennewein en el Instituto de Computación Cuántica y la Universidad de Waterloo en Waterloo, Canadá, lograron la primera demostración de la distribución de claves cuánticas desde un transmisor terrestre a un avión en movimiento. Reportaron enlaces ópticos con distancias entre 3-10 km y generaron claves seguras de hasta 868 kilobytes de longitud.[13]

También en junio de 2017, físicos chinos dirigidos por Pan Jianwei de la Universidad de Ciencia y Tecnología de China midieron fotones entrelazados a una distancia de 1203 km entre dos estaciones terrestres, sentando las bases para futuros experimentos intercontinentales de QKD.[14] Más adelante en ese mismo año, el protocolo BB84 se implementó con éxito a través de enlaces de satélite desde Micius (que forma parte del proyecto chino de experimentos cuánticos a escala espacial, y que fue apodado así en honor al filósofo Mozi) a estaciones terrestres en China y Austria. Las claves se combinaron y el resultado se usó para transmitir imágenes y videos entre Pekín y Viena.[15]

Algunas compañías que ofrecen sistemas comerciales de distribución de claves cuánticas son: ID Quantique[16] (Ginebra) o MagiQ Technologies, Inc.[17] (Nueva York).

En 2004, se llevó a cabo la primera transferencia bancaria del mundo utilizando QKD en Viena, Austria.[18] La tecnología de cifrado cuántico proporcionada por la empresa suiza Id Quantique se utilizó en el cantón suizo de Ginebra para transmitir los resultados de la votación a la capital en las elecciones nacionales que tuvieron lugar el 21 de octubre de 2007.[19]

El tipo más simple de ataque consiste en que Eva mide los estados cuánticos (fotones) enviados por Alicie y luego envía estados de reemplazo a Bob, preparados en el estado que ella mide. En el protocolo BB84, esto produce errores en la clave que comparten Alice y Bob. Como Eva no tiene conocimiento de la base en la que están codificados los estados enviados por Alice, solo puede adivinar en qué base medir, de la misma manera que Bob. Si elige correctamente, mide el estado correcto de polarización de fotones enviado por Alice y vuelve a enviar el estado correcto a Bob. Sin embargo, si elige incorrectamente, el estado que mide es aleatorio, y el estado enviado a Bob no puede ser el mismo que el enviado por Alicia. Si Bob luego mide este estado de la misma manera que Alice envió, él también obtiene un resultado aleatorio, ya que Eva le ha enviado un estado en la forma opuesta, con un 50% de posibilidades de un resultado erróneo (en lugar del resultado correcto que obtendría) sin la presencia de Eva. La tabla a continuación muestra un ejemplo de este tipo de ataque.

Bits of Alice	0	1	1	0	1	0	0	1
Bases de Alice
Fotones que envía Alice
Bases con la que mide Eva
Polarizaciones que mide y envía Eva
Bases con la que mide Bob
Polarizaciones que mide Bob
Discusión pública de bases
Clave secreta compartida	0		0			0		1
Errores en la clave	✓		✘			✓		✓

La probabilidad de que Eva elija la base incorrecta es del 50%, y si Bob mide este fotón interceptado en la base enviada por Alice obtiene un resultado aleatorio, es decir, tiene un 50% de probabilidad de obtener un resultado correcto y un 50% de uno incorrecto. La probabilidad de que un fotón interceptado genere un error en la cadena clave es entonces 50% × 50% = 25%. Si Alice y Bob comparan públicamente ${\displaystyle n}$ de bits de sus claves (descartándolos así como bits de la clave, ya que ya no son secretos) la probabilidad de que encuentren desacuerdo e identifiquen la presencia de Eva es:

Así que para detectar a un espía con una probabilidad de ${\displaystyle P_{d}=0.999999999}$, Alice y Bob deben comparar ${\displaystyle n=72}$ bits de la clave.

Como ningún principio de la mecánica cuántica puede distinguir de amigo o enemigo, la QKD sigue siendo susceptible a ataques de intermediario.

En el protocolo BB84, Alice envía estados cuánticos a Bob utilizando fotones individuales. En la práctica, muchas implementaciones utilizan pulsos de láser atenuados a un nivel muy bajo para enviar los estados cuánticos. Estos pulsos de láser contienen una cantidad muy pequeña de fotones, por ejemplo 0.2 fotones por pulso, que se distribuyen según una distribución de Poisson. Esto significa que la mayoría de los pulsos en realidad no contienen fotones (no se envía pulso), algunos pulsos contienen 1 fotón (que se desea) y algunos pulsos contienen 2 o más fotones. Si el pulso contiene más de un fotón, Eva puede dividir los fotones adicionales y transmitir el fotón individual restante a Bob. Esta es la base del ataque de división del número de fotones,[20] donde Eva almacena estos fotones adicionales en una memoria cuántica hasta que Bob detecta el fotón único restante y Alicia revela la base de codificación. Eva puede medir sus fotones en la base correcta y obtener información sobre la clave sin introducir errores detectables.

Incluso con la posibilidad de un ataque se puede generar una clave segura, como se muestra en la prueba de seguridad GLLP,[21] sin embargo, se necesita una cantidad mucho mayor de amplificación de privacidad.

Hay varias soluciones a este problema. El más obvio es utilizar una verdadera fuente de fotones individuales en lugar de un láser atenuado. Si bien esas fuentes aún se encuentran en una etapa de desarrollo, la QKD se ha llevado a cabo con éxito con ellas.[22] Sin embargo, como las fuentes de corriente funcionan con una baja eficiencia y frecuencia, las tasas clave y las distancias de transmisión son limitadas. Otra solución es modificar el protocolo BB84, como se hace, por ejemplo, en el protocolo SARG04.[23] La solución más prometedora es el protocolo de estado de señuelo, en el que Alice envía aleatoriamente algunos de sus pulsos de láser con un número de fotones promedio más bajo. Estos estados de señuelo se pueden usar para detectar un ataque,[24][25] ya que Eva no tiene manera de saber qué pulsos son señal y cuáles señuelo.