Способ квантового кодирования и передачи криптографических ключей
Владельцы патента RU 2427926:
Учреждение Российской академии наук ИНСТИТУТ ФИЗИКИ ТВЕРДОГО ТЕЛА РАН (ИФТТ РАН) (RU)
Изобретение относится к вычислительной технике. Технический результат заключается в расширении диапазона возможных ошибок в передаваемых ключах на принимающей станции. Способ квантового кодирования и передачи криптографических ключей, в котором однофотонные состояния подвергают комбинированным фазово-временным преобразованиям на передающей и принимающей станциях. На принимающей станции дополнительно к информационным формируют контрольные временные окна, серию однофотонных состояний детектируют как в информационных, так и в контрольных временных окнах. По полученной статистике фотоотсчетов вычисляют допустимую ошибку в информационных временных окнах, а затем сравнивают с пороговым значением ошибки в информационных временных окнах для получения известного только на передающей и принимающей станциях криптографического ключа. 3 ил., 4 табл.
Изобретение относится к области квантовой криптографии - системам квантового распределения криптографических ключей, а более конкретно - к способам квантового кодирования и передачи криптографических ключей. Системы квантовой криптографии позволяют не только обнаруживать любые попытки несанкционированного вторжения в канал связи, но и гарантировать безусловную секретность передаваемых криптографических ключей при условии, что ошибка на принимающей станции в первичных ключах не превышает некоторой критической величины.
Из уровня техники в данной области известен способ кодирования и передачи криптографических ключей, включающий привязку по времени квантовых состояний на передающей и принимающей станциях путем посылки в канал связи классических синхронизирующих лазерных импульсов, формирование на передающей станции серии однофотонных состояний при помощи фазовых преобразований, передачу однофотонных состояний по квантовому каналу связи на принимающую станцию, согласование базисов по открытому классическому каналу связи путем сообщения с передающей станции на приемную станцию базисов для каждой посылки квантового состояния и детектирование на принимающей станции однофотонных состояний посредством фазовых преобразований (см. патент США №6529601 В1, кл. МПК H04L 9/00, G02B 26/08, опубликованный 04.03.2003 г.)
К принципиальным недостатком известного способа, основанного только на фазовых преобразованиях однофотонных состояний, которые требуют прецизионного контроля и управления, является то, что диапазон допустимых ошибок в передаваемых ключах на принимающей станции, в котором гарантируется секретность передаваемых криптографических ключей, достаточно мал (около 11%). В силу указанных недостатков известный способ не позволяет обеспечить долговременную стабильность и передавать криптографические ключи при потоке ошибок больше 11%. Известный способ не позволяет разделить ошибки, связанные с собственными неидеальностями аппаратуры (например, нестабильностью интерферометра) и действием подслушивателя.
Технический результат, на достижение которого направлено изобретение, заключается в расширении диапазона возможных ошибок в передаваемых ключах на принимающей станции, в котором гарантируется секретность криптографических ключей, до теоретического предельного значения в 50%, в результате не требуется прецизионный контроль и управление.
Указанный технический результат достигается тем, что в способе квантового кодирования и передачи криптографических ключей, включающем привязку по времени квантовых состояний на передающей и принимающей станциях путем посылки в канал связи классических синхронизирующих лазерных импульсов, формирование на передающей станции серии однофотонных состояний при помощи фазово-временных преобразований, передачу однофотонных состояний по квантовому каналу связи на принимающую станцию, согласование базисов по открытому классическому каналу связи путем сообщения с передающей станции на приемную станцию базисов для каждой посылки квантового состояния и детектирование на принимающей станции однофотонных состояний посредством фазово-временных преобразований, для серии однофотонных состояний на принимающей станции формируют дополнительно к информационным временным окнам контрольные временные окна, серию однофотонных состояний детектируют как в информационных, так и в контрольных временных окнах и по полученной статистике фотоотсчетов в информационных и контрольных временных окнах вычисляют допустимую ошибку, которую затем сравнивают с определенным пороговым значением ошибки для получения известного только на передающей и принимающей станциях криптографического ключа.
Сущность изобретения поясняется чертежами.
На фиг.1 показаны временные диаграммы однофотонных состоянии для кодирования криптографических ключей.
На фиг.2 - пример осуществления способа.
На фиг.3 - диаграмма секретности способа кодирования.
Классические информационные биты 0 и 1 кодируются в 8 квантовых состояний, принадлежащих 4 базисам, по 2 состояния в каждом базисе. Имеются 4 базиса, которые обозначаются как L(+), L(x), R(+) и R(x). В каждом базисе имеются по два состояния, которые нумеруются как |0{L(+)}>, |1{L(+)}>, |0{L(x)}>, |1{L(x)}>, |0{R(+)}>, |1{R(+)}>, |0{R(x)}>, |1{R(x)}>. Классические биты 0 и 1 кодируются в однофотонные квантовые состояния по правилам, представленным в Таблице 1.
| Таблица 1 | |
| Значение бита | Однофотонные состояния |
| 0 | |0{L(+)}> |
| 1 | |1{L(+)}> |
| 0 | |0{L(x)}> |
| 1 | |1{L(x)}> |
| 0 | |0{R(+)}> |
| 1 | |1{R(+)}> |
| 0 | |0{R(x)}> |
| 1 | |1{R(x)}> |
Длительность всех однофотонных состояний равна □ □. Исходные однофотонные состояния на передающей станции в базисах L(+), L(x) сдвинуты по времени по отношению к однофотонным состояниям в базисах R(+), R(x) на время Т (см. фиг.1а)).
Состояния после интерференционных преобразований на передающей станции приведены на фиг.1б), и представляют собой суперпозицию однофотонных состояний с длительностью □ □, разделенных временем Т (см. фиг.1б)). Затем состояния подвергаются фазовым преобразованиям при помощи фазового модулятора. Такое преобразование приводит к появлению дополнительной разности фаз между передним и задним фронтом состояний. Для разных состояний применяются разные фазовые преобразования в зависимости от значения классического бита 0 или 1. Временные диаграммы состояний после фазовых преобразований представлены на фиг.1в). Соответствие разности фаз для различных состояний приведено в Таблице 2.
| Таблица 2 | |||
| Значение бита | Значение фазы на передающей Станции □А | Состояния в базисе L | Состояния в базисе R |
| 0 | 0 | |0{L(+)}> | |0{R(+)}> |
| 1 | □ | |1{L(+)}> | |1{R(+)}> |
| 0 |
|
|0{L(x)}> | |0{R(x)}> |
| 1 |
|
|1{L(x)}> | |1{R(x)}> |
В таком виде состояния посылают в канал связи. В каждой посылке перед квантовым состоянием в канал связи посылают классический синхронизирующий лазерный импульс, который необходим для привязки по времени квантовых состояний (см. фиг.1, данный импульс обозначен как "С").
На принимающей станции используют сначала фазовые преобразования, затем интерференционные и временные преобразования. На фазовом модуляторе происходят фазовые преобразования в зависимости от квантового состояния. Диаграмма состояний после фазовых преобразований на принимающей станции приведена на фиг.1г). Соответствия фазовых сдвигов на принимающей станции для различных квантовых состояний указаны в Таблице 3.
| Таблица 3 | |||
| Значение бита | Значение фазы на принимающей станции □ □ | Состояния в базисе L | Состояния в базисе R |
| 0 | 0 | |0{L(+)}> | |0{R(+)}> |
| 1 | ~ | |1{L(+)}> | |1{R(+)}> |
| 0 |
|
|0{L(x)}> | |0{R(x)}> |
| 1 |
|
|1{L(x)}> | |1{R(x)}> |
После фазовых преобразований осуществляют временные преобразования с помощью интерферометра Маха-Цандера. Диаграммы состояний по двум выходам интерферометра приведены на фиг.1д) и фиг.1е) для состояний в базисах L(+), L(x), R(+), R(x) по верхнему и нижнему выходам. Затем производят детектирование преобразованных однофотонных квантовых состояний в различных временных окнах, выбор которых зависит от базиса.
Функционально временные окна на принимающей станции, в которых происходит регистрация состояний, делятся на два типа. Первый тип - «информационные» временные окна. Это окна «И2» и «И3» (фиг.1д), е)). Второй тип - «контрольные» временные окна. Это окна «К1» и «К4» (фиг.1д), е)).
Принципиальное отличие этих окон состоит в том, что в отсутствие подслушивателя фазовая нестабильность используемой аппаратуры не приводит к перераспределению отсчетов в контрольных временных окнах и приводит только к изменению числа отсчетов в информационных временных окнах. Это связано с тем, что отсчеты в информационных временных окнах формируются в результате интерференции квантовых состояний, прошедших по верхнему и нижнему плечу интерферометра Маха-Цандера на принимающей станции (фиг.2). В отсутствие подслушивателя, отсчетов в контрольных временных окнах, К4 для состояний из базиса L и в окне К1 для состояний из базиса R, не возникает, поскольку имеется временная привязка состояний к классическому импульсу синхронизации (фиг.1).
В то же время, поскольку заранее базис (L или R), в котором посылаются информационные состояния, подслушивателю не известны, то попытка подслушивателя извлечь информацию из передаваемых квантовых состояний неизбежно приведет к их сдвигу во времени на величину Т и, тем самым, к перераспреденеию отсчетов в контрольных временных окнах. Данное обстоятельство гарантируется тем, что неортогональные квантовые состояния принципиально не могут быть достоверно различимы, что является следствием фундаментального квантового соотношения неопределенностей Гайзенберга. Состояния из левого (L) и правого (R) базисов попарно неортогональны, перекрываются по времени (фиг.1б)), поэтому подслушиватель неизбежно будет ошибаться, пытаясь отличить состояния из левого и правого базисов. Ошибка приведет к появлению отсчетов в тех контрольных временных окнах, где их не должно было бы быть в отсутствие подслушивателя.
Например, для невозмущенных подслушивателем состояний в базисе L(+) и L(х), никогда не будет отсчетов во временном окне К4. В то же время, в отсутствие подслушивателя, разбалансировка интерферометра приводит к ошибочным отсчетам только во временном окне И2, но никогда не приводит к отсчетам во временном окне К4. Аналогично поступают для состояний в базисе R(+) и R(x). Разбалансировка интерферометра не приводит к сдвигу квантовых состояний по времени - меняется только фаза. Это приводит только к ошибочным отсчетам в информационном окне И3, но никогда не приводит к отсчетам в контрольном временном окне К1.
На принимающей станции случайно, равновероятно и независимо от передающей станции прикладывают напряжения на фазовый модулятор, которые приводят к дополнительной относительной разности фаз □ □=0 или 
. Способ подачи напряжения на модулятор такой же, как на передающей станции. Перед входом в интерферометр Маха-Цандера на принимающей станции состояния после фазового модулятора имеют вид 
для состояний в базисе L(+) и L(х), и 
для состояний в базисе R(+) и R(x),
Далее проводят согласование базисов по открытому классическому каналу связи. С передающей станции сообщают базисы для каждой посылки, которые использовались, но не сообщают значения информационного бита. В каждом базисе имеются два значения бита, которые не раскрывают публично. На принимающей станции оставляют измерения только в тех посылках, где базисы совпадали. Посылки, в которых базисы не совпадали, отбрасываются.
Для не отброшенных посылок, в которых базисы совпадают, на детекторы (D1 и D2 см. фиг.1е)) поступают состояния, приведенные в Таблице 4.
| Таблица 4 | |||
| Значение бита | Информационное квантовое состояние | Квантовое состояние на принимающей станции | Стробируемый детектор на принимающей станции |
| 0 | |0{L(+)}> | (|1>+2|2>+|3>)/8 | D1 |
| 1 | |1{L(+)}> | (|1>+|3>)/8 | D2 |
| 0 | |0{L(x)}> | (|1>+|3>)/8 | D1 |
| 1 | |1{L(x)}> | (|1>+2|2>+|3>)/8 | D2 |
| 0 | |0{R(+)}> | (|2>+|4>)/8 | D1 |
| 1 | |0{R(+)}> | (|2>+|4>)/8 | D2 |
| 0 | |0{R(x)}> | (|2>+2|3>+|4>)/8 | D1 |
| 1 | |0{R(x)}> | (|2>+2|3>+|4>)/8 | D2 |
Измеряют квантовые состояния путем стробирования детекторов D1 и D2 в информационных временных окнах И2 и И3, которые выбирают случайно. После стадии согласования базисов по открытому каналу связи между принимающей и передающей станциями, на принимающей станции однозначно идентифицируют передаваемые значения информационных битов. Например, в отсутствие подслушивателя, если передано состояние |0{L(+)}>, то отсчеты для состояний в базисе L(+) имеют место только во временном окне И2 в детекторе D1 и никогда в окне И2 в детекторе D2.
Далее, на принимающей станции измеряют состояния в контрольных временных окнах. Состояния в базисе L(+) и L(х) измеряют во временном окне К1, для состояний в базисе R(+) и R(x) измеряют во временном окне К4. Далее подсчитывают процент ошибок Q и число отсчетов в контрольных временных окнах q. Определяют положение на плоскости секретности протокола (Q, q) (см. фиг.3).
Область секретности протокола зависит от двух параметров - неправильных отсчетов (ошибок) в информационных временных окнах Q и количества отсчетов в контрольных временных окнах q. Критическая величина ошибки зависит от наблюдаемой доли отсчетов в контрольных временных окнах Q(q).
Если процент ошибок превосходит критическое значение Q(q), то сеанс связи прерывают и производят проверку квантового канала связи. В противном случае на принимающей станции формируют битовую последовательность - первичный ключ, которая еще содержит ошибки на принимающей станции. Затем производят коррекцию ошибок посредством обмена информацией через открытый канал связи между передающей и принимающей станциями. После исправления ошибок возникают одинаковые битовые строки на передающей и принимающей станциях. Далее через открытый канал связи производят сжатие битовых строк при помощи универсальных функции хэширования. В результате возникает секретный криптографический ключ, известный только на передающей и принимающей станциях.
Способ позволяет частично "разнести" ошибки, связанные с собственными неидеальностями аппаратуры (нестабильностью интерферометра) и действиями подслушивателя. "Разнести" в том смысле, что для протоколов, в которых детектирование подслушивателя происходят только по одному параметру - ошибке в информационных окнах Q, разбалансировка интерферометра также дает вклад в Q. В данном протоколе разбалансировка интерферометра приводит только к ошибке Q и не приводит к появлению отсчетов в контрольных временных окнах.
Величина ошибки Q связана с видностью (V) интерференционной картины на выходе интерферометра (V=(ID1-ID2)/(ID1+ID2), где ID1, ID2 - доля отсчетов в детекторе D1 и D2 соответственно) следующим соотношением Q=(1-V)/2. Даже при Q→1/2, что отвечает почти полной потере видности интерференционной картины, протокол все еще обеспечивает секретность криптографических ключей, если нет отсчетов в контрольных временных окнах К1 или К4. Отсчеты в контрольных временных окнах не связаны с потерей видности, а возникают либо за счет темновых отсчетов, либо за счет действий подслушивателя.
Поэтому, если обнаружены ошибки в информационных временных окнах, но нет отсчетов в контрольных временных окнах, то можно не прерывать протокол вплоть до ошибки Q=50% и передавать криптографические ключи, и гарантировать их секретность.
На Фиг.2, на которой показан пример осуществления способа, приняты следующие обозначения:
А - передающая станция.
Б - принимающая станция.
1 - лазер с несущей длиной волны ~ 1.5 мкм с оптоволоконным выходом.
2 - ослабитель (аттенюатор) лазерного излучения до однофотонного уровня.
3, 4 - оптоволоконные светоделители 50/50.
5 - оптоволоконный разбалансированный интерферометр Маха-Цандера на передающей станции.
6 - оптоволоконный фазовый модулятор на передающей станции.
7 - лазер синхроимпульсов с несущей длиной волны ~1.3 мкм с оптоволоконным выходом, соединенным с входом на 1.3 мкм оптоволоконного разделителя (мультиплексора) по длинам 1.3 мкм/1.5 мкм.
8 - оптоволоконный разделитель (мультиплексор) по длинам волн 1.3 мкм/1.5 мкм.
9 - оптоволоконный канал связи.
10 - оптоволоконный разделитель (мультиплексор) по длинам волн 1.3 мкм/1.5 мкм.
11 - детектор синхроимпульсов с несущей длиной волны ~1.3 мкм, соединенный с выходом на 1.3 мкм оптоволоконного разделителя (мультиплексора) по длинам волн на 1.3 мкм/1.5 мкм.
12 - оптоволоконный фазовый модулятор на принимающей станции.
13 - устройство поляризационного контроля в длинном плече интерферометра.
14, 15 - оптоволоконные светоделители 50/50.
16 - пьезоэлемент для тонкой подстройки длины короткого плеча интерферометра Маха-Цандера.
17 - оптоволоконный разбалансированный интерферометр Маха-Цандера на принимающей станции.
18 - детектор (D1) однофотонных импульсов на 1.5 мкм, вход которого соединен с выходом светоделителя.
19 - детектор (D2) однофотонных импульсов на 1.5 мкм, вход которого соединен с выходом светоделителя.
Способ осуществляют следующим образом. На выходе лазера 1 с несущей длиной волны 1.55 мкм многофотонный сигнал ослабляется до однофотонного состояния. Поскольку статистика излучения лазера является пуассоновской, то реально требуется ослабление излучения до уровня 0.1 фотона в среднем на каждый импульс. Ослабления достигают с помощью ослабителя (аттенюатора) 2. В каждой посылке в канал связи 9 случайно и равновероятно посылают одно из восьми однофотонных состояний. Длительность однофотонных состояний □ □ достигают при помощи модуляции излучения лазера 1. Возможна как прямая (токовая) модуляция излучения, так и модуляция с применением внешнего модулятора. В каждой посылке однофотонные состояния сдвинуты относительно друг друга в зависимости от выбранного базиса (фиг.1а)). После ослабления исходные состояния направляют на один из входов 3 оптоволоконного светоделителя (50/50), и затем - в разбалансированный интерферометр Маха-Цандера 5. Второй вход светоделителя 3 является холостым (на этом входе вакуумное состояние). После пропускания по длинному и короткому плечам интерферометра получают суперпозицию исходного однофотонного состояния в базисе L и сдвинутого на интервал времени, равный разности оптических путей интерферометра Т в базисе R (фиг.1б)). Преобразование однофотонных состояний в последовательность однофотонных состояний (фиг.1б)) является одним из центральных моментов осуществления способа.
На выходе интерферометра Маха-Цандера 5 после светоделителя 4 возникает суперпозиция из двух фронтов состояний L(+) либо R(+) в зависимости от исходного состояния на входе интерферометра.
При помощи фазового модулятора 6 состояние в базисе L(+) или R(+) преобразуются в состояния L(+), или L(x), или R(+), или R(x) в зависимости от случайного числа в соответствии с Таблицей 1. Соответствующие сдвиги фаз указаны в Таблице 2.
С помощью лазера 7 с несущей длиной волны ~1.3 мкм создают в каждой посылке интенсивные (классические) короткие импульсы (синхроимпульсы), относительно которых производят привязку во времени состояний с несущей длиной волны 1.55 мкм. Затем однофотонные состояния и синхронизирующие импульсы посылают, соответственно, на входы оптоволоконного разделителя 8 (мультиплексора) по длинам волн (1.3 мкм/1.55 мкм). С разделителя 8 состояния направляют по каналу связи 9 на принимающую станцию Б.
С выхода канала связи 9 состояния поступают на вход оптоволоконного разделителя по длинам волн (1.3 мкм/1.55 мкм) 10. Излучение с длиной волны 1.3 мкм направляют на вход детектора синхроимпульсов 11, а излучение с длиной волны 1.55 мкм - на вход оптоволоконного фазового модулятора 12. После прохождения фазового модулятора, состояния в зависимости от случайного числа, выбранного на принимающей станции, преобразуются в состояния, приведенные на фиг.1г). Соответствие между случайными числами и фазовыми сдвигами приведено в Таблице 3. С выхода фазового модулятора состояния направляют на оптоволоконный светоделитель (50/50) 14, а затем на интерферометр Маха-Цандера 17 с устройством поляризационного контроля 13 и пьезоэлементом 16 для точной подстройки длины короткого плеча. Однофотонные состояния после пропускания их по длинному и короткому плечам интерферометра Маха-Цандера совмещают на светоделителе (50/50) 15, в результате чего они интерферируют сами с собой, после чего их направляют на однофотонные детекторы 18, 19.
На фотодетекторах 18, 19 получают конструктивную (сложение квантовых амплитуд) или деструктивную (вычитание квантовых амплитуд) интерференцию однофотонных состояний (см. фиг.1д)) в зависимости от поступившего состояния. Декодирование осуществляют с помощью измерения статистики фотоотсчетов в различных временных окнах в каждом фотодетекторе. В базисе L информационными являются временные окна И2 в детекторах 18 и 19. Соответственно, в базисе R информационными являются временные окна И3 в фотодетекторах 18 и 19. Контрольными временными окнами в базисе L являются временные окна К4 в фотодетекторах 18 и 19. Аналогично контрольными временными окнами в базисе R являются временные окна К1 в 18 и 19 в фотодетекторах.
По статистике фотоотсчетов в информационных и контрольных временных окнах вычисляют величину ошибки Q и вероятность отсчетов в контрольных окнах - q. Затем сравнивают с определенными пороговыми значениями (фиг.3). Если значения Q и q попадают в область секретности (фиг.3), получают общий, известный только на передающей и принимающей станциях, криптографический ключ. Способ позволяет детектировать любые попытки подслушивания и обеспечить секретность передаваемых криптографических ключей.
Осуществление способа не ограничивается приведенным в примере описанием.
Способ может быть осуществлен с помощью другого аналогичного устройства.
Способ квантового кодирования и передачи криптографических ключей, включающий привязку по времени квантовых состояний на передающей и принимающей станциях путем посылки в канал связи классических синхронизирующих лазерных импульсов, формирование на передающей станции серии однофотонных состояний при помощи фазово-временных преобразований, передачу однофотонных состояний по квантовому каналу связи на принимающую станцию, согласование базисов по открытому классическому каналу связи путем сообщения с передающей станции на приемную станцию базисов для каждой посылки квантового состояния и детектирование на принимающей станции однофотонных состояний посредством фазово-временных преобразований, отличающийся тем, что для серии однофотонных состояний на принимающей станции формируют дополнительно к информационным временным окнам контрольные временные окна, серию однофотонных состояний детектируют как в информационных, так и в контрольных временных окнах и по полученной статистике фотоотсчетов в информационных и контрольных временных окнах вычисляют допустимую ошибку, которую затем сравнивают с определенным пороговым значением ошибки для получения известного только на передающей и принимающей станциях криптографического ключа.
