Письма в ЖЭТФ, том 116, вып. 2, с. 128 - 132

Квантовое распределение ключей с недоверенными, открытыми для

подслушивателя детекторами

К.А.Балыгин⁺¹⁾, С.П.Кулик⁺, С.Н.Молотков^∗

⁺Центр квантовых технологий, МГУ им. М. В. Ломоносова, 119899, Москва, Россия

^∗Институт физики твердого тела РАН, 142432 Черноголовка, Россия

Поступила в редакцию 7 июня 2022 г.

После переработки

7 июня 2022 г.

Принята к публикации 9 июня 2022 г.

Предлагается простая, но принципиальная модификация протоколов квантового распределения клю-

чей, сводящаяся к тому, что не требуется защищать от подслушивателя результаты работы лавинных

детекторов; при этом сохраняются все криптографические свойства протоколов.

DOI: 10.31857/S1234567822140105, EDN: izoxyi

1. Введение. При квантовом распределении

основной аппаратуры, и результаты отсчетов до-

ключей (КРК) для гарантии стойкости распределя-

ступны подслушивателю²⁾.

емых ключей принципиально важно, чтобы подслу-

Ответ на данный принципиальный вопрос оказы-

шиватель не имел доступа к передающей и прием-

вается положительным и дается в данной работе.

ной аппаратуре. На приемной стороне биты ключа

Ниже речь пойдет о протоколе BB84 [1] в стан-

получаются из фотоотсчетов однофотонных лавин-

дартной конфигурации точка-точка, использующим

ных детекторов, к которым подслушиватель не дол-

фазовое кодирование, в волоконных системах. В про-

жен иметь доступа, что требует определенных мер по

токоле используются два базиса - прямой базис + и

защите детекторов от утечки информации при реги-

сопряженный ×, и два состояния, отвечающие 0 и 1

страции квантовых состояний.

в каждом базисе.

Подслушиватель может получать информацию о

На передающей стороне (Алиса) случайно выби-

том, какой детектор сработал, даже не имея прямого

рается базис и состояние в нем. Выбор базиса и со-

доступа к детекторам. Существует также обратное

стояния происходит выбором относительной фазы

переизлучение детекторов в канал связи (back-flash

в двух импульсах состояний. Всего используются 4

излучение), измеряя которое подслушиватель может

значения фазы. В базисе + логическому биту 0⁺ от-

получать информацию о битах ключа, оставаясь не

вечает фаза ϕ_A = 0, 1⁺ фаза ϕ_A = π, соответственно,

обнаруженным.

в базисе ×, биту 0^× отвечает фаза ϕ_A = ^π2 , и 1^× фаза

ϕ_A =^3π2 .

Особенно это относится к системам КРК, исполь-

В стандартной версии протокола на приемной

зующих сверхпроводящие детекторы. Из-за исполь-

стороне (Боб) выбирает только два значения фа-

зования “сухих” криостатов, и их отнюдь не миниа-

зы, отвечающих выбору базиса, ϕ_B = 0 - базис +,

тюрных размеров, детекторы находятся за предела-

ϕ_B =^π2 - базис ×.

ми основной приемной аппаратуры, и соединены с

Алиса и Боб оставляют только те посылки, где

ней волокном и электрическими кабелями, поэтому

достаточно сложно обеспечить их полную гаранти-

базисы совпадали. На приемной стороне состояния

из канала связи после прохождения интерферометра

рованную изоляцию от внешнего мира.

Маха-Цандера [2], поступают на детекторы. Вероят-

В этой связи возникает принципиальный во-

ность отсчета на детекторах U и D пропорциональна

прос - можно ли создать такую систему КРК и га-

(_ϕ

)

разности фаз: в детекторе U ∝ cos²

, в детек-

рантировать криптографическую стойкость клю-

(_ϕ

)

A-ϕ^B2

торе D ∝ sin²

(рис. 1). При совпадающих ба-

чей, в которой детекторы, вообще, являются от-

A-ϕ^B2

зисах, если Алиса посылает 0⁺, то из-за конструктив-

крытыми, и более того, даже вынесены за пределы

²⁾Во избежание недоразумений, отметим, что ниже речь бу-

дет идти не о системах квантовой криптографии типа twin-

field (см. ниже), а о стандартной конфигурации системы типа

¹⁾e-mail: kirill.balygin@gmail.com

точка-точка.

128

Письма в ЖЭТФ том 116 вып. 1 - 2

2022

Квантовое распределение ключей с недоверенными, открытыми для подслушивателя детекторами

129







ϕ_B =

→U



бит 0

ϕ_A =^π2





3π



ϕ_B =

→D

базис ×





3π



 ϕ_B=

→U



бит 1

ϕ_A =^3π



ϕ_B =

→D

(2)

В каждом базисе, например, в базисе +, если Алиса

посылает 0 (ϕ_A = 0), то в зависимости от случайно-

го выбора фаз Бобом (ϕ_B = 0 или ϕ_B = π), который

неизвестен Еве даже после раскрытия базисов, Ева,

которая не знает фазы Боба, будет “видеть”, как слу-

чайно срабатывает один из детекторов U или D для

Рис. 1. Схематическое представление схем КРК для

каждого значения бита 0 или 1 (см. формулы (1),

модифицированного протокола с недоверенными де-

(2)). Аналогично для других состояний.

текторами (верхняя часть рисунка) и протокола КРК

Таким образом, введение Бобом в каждом базисе

twin-field (нижняя часть рисунка). На обоих рисунках:

дополнительной случайности, которая неизвестна

вероятность отсчета в детекторе U пропорциональна

(_ϕ

)

Еве, позволяет открыть отсчеты детекторов для

cos²

A-ϕB

, соответственно, вероятность отсчета в

(_ϕ

)

A -ϕB

подслушивателя, при этом Ева не будет знать пе-

детекторе D пропорциональна sin²

редаваемый бит ключа.

ной интерференции на детекторе U и деструктивной

Открытость детекторов для подслушивателя

на детекторе D, срабатывает только детектор U. Ес-

можно пояснить на языке теории информации.

ли Алиса посылает 1⁺, то срабатывает детектор D,

В стандартном протоколе Алиса выбирает базис

отсчет на детекторе U отсутствует.

и бит внутри этого базиса, которые неизвестны Еве.

Аналогично в базисе ×. От состояния 0^× сраба-

Боб выбирает только базис, который Еве также неиз-

тывает детектор D, а от состояния 1^×, детектор U.

вестен. В итоге, до раскрытия базисов Еве неизвест-

Поскольку после передачи состояний значения

но три бита информации. При раскрытии базисов

базиса раскрываются (но не состояния в базисе),

Алиса и Боб раскрывают по одному биту информа-

то, если бы подслушиватель имел доступ к детек-

ции. В итоге, из трех бит остается один бит, который

торам и знал, какой из детекторов сработал, то

неизвестен Еве. Данный бит является общим секре-

подслушиватель знал бы весь передаваемый ключ.

том Алисы и Боба. При известном базисе данный бит

По этой причине для систем КРК в стандарт-

Боб узнает по отсчету детектора.

ном исполнении должна быть обеспечена защита

В модифицированном протоколе, Алиса до рас-

детекторов - подслушиватель не должен иметь ни

крытия базисов имеет два бита информации, неиз-

прямого, ни косвенного доступа к ним.

вестных Еве. Боб также имеет два бита информа-

2. Неформальные причины стойкости мо-

ции до раскрытия базисов. После раскрытия базисов

дифицированного протокола. Приведем моди-

Алиса и Боб раскрывают по одному биту информа-

фицированный протокол с недоверенными детекто-

ции. Остается два бита, неизвестных Еве. Если Еве

рами и обсудим неформальные причины стойкости

разрешить доступ к отсчетам в детекторах, то после

нового протокола.

отсчета детектора Ева получит еще один бит инфор-

Идея состоит в том, чтобы использовать на при-

мации. В итоге остается еще один бит информации,

емной стороне случайный выбор не двух значений

неизвестный Еве, и который будет фигурировать в

фаз, а четырех значений фаз, по две в каждом бази-

ключе. Естественно, Боб также знает, в каком детек-

се. Значения фаз и соответствующие им детекторы,

торе произошел отсчет, но, кроме этого, Боб знает

где возникает отсчет, приведены ниже.

свой выбор фазы, что позволяет ему идентифици-



{

ровать посланный Алисой бит. Ева не знает выбор



ϕ_B = 0 → U



бит 0

ϕ_A = 0

фазы Боба, а видит только отсчет детектора в дан-



ϕ_B = π → D

{

ном базисе. Но при известном базисе и не известной

базис +

(1)



ϕ_B = 0 → D

фазе Боба, Ева не может узнать, видя только отсчет



ит 1

ϕ_A = π

 б

ϕ_B = π → U

детектора, передаваемый бит Алисы.

Письма в ЖЭТФ том 116 вып. 1 - 2

2022

130

К.А.Балыгин, С.П.Кулик, С.Н.Молотков

Интересно сравнить наш протокол с активно раз-

Рассмотрим стандартный протокол BB84. После

виваемым протоколом twin-field [3, 4]³⁾, в котором де-

измерений Боба детекторами, которые недоступны

текторы также являются недоверенными и доступ-

Еве, Боб после получения отсчета - результата 0 или

ными (открытыми) для подслушивателя.

1, правильного или нет, в каждом базисе, сообщает

В схеме twin-field (см. рис. 1) Алиса и Боб в

его Еве, меняя случайно и равновероятно перестав-

каждом из двух базисов независимо и равновероят-

ляя детекторы U или D. Например, если сработал

но выбирают два значения фаз, например, в базисе

детектор U, то Боб случайно и равновероятно выби-

+ 0 → ϕ_A = 0 и 1 → ϕ_A = π, аналогично для Боба

рает детектор D или U и сообщает свой выбор Еве.

0 → ϕ_B = 0 и 1 → ϕ_B = π. Поскольку интерфе-

Данная процедура эквивалентна модифициро-

ренционный сигнал на детекторе U пропорционален

ванному протоколу, когда Боб случайно в каждом

(_ϕ

)

(_ϕ

)

cos²

, на детекторе D sin²

, то при

базисе выбирает одно из двух значений фаз, приво-

A-ϕ^B2

одинаковых фазах срабатывает детектор U, а при

дящее к случайной перестановке (для Евы) отсчетов

разных - детектор D. Детекторы открыты для под-

в детекторах U или D.

слушивателя.

Далее ограничимся однофотонным случаем и

Алиса генерирует два бита информации, неиз-

одинаковой квантовой эффективностью детекторов,

вестных подслушивателю, - один бит для выбора

чтобы излишне не загромождать выкладки техниче-

базиса, второй для логического значения 0 или 1 в

скими деталями. Учет неравной квантовой эффек-

внутри базиса. Аналогично Боб генерирует два би-

тивности детекторов может быть сделан методом,

та информации, неизвестных Еве. После раскрытия

представленным в работах [6, 7].

базисов - Алиса и Боб раскрывают по одному би-

Таким образом, достаточно рассмотреть прото-

ту информации. Остается из 4-х бит два бита, неиз-

кол BB84, дополненный информацией для Евы, свя-

вестных Еве. После отсчета детектора U или D Ева

занной со случайной перестановкой детектора, кото-

получает еще один бит информации. Остается один

рый сработал. Из-за симметрии ситуации по базисам,

неизвестный Еве бит информации, который является

достаточно рассмотреть ситуацию в одном базисе,

общим секретом Алисы и Боба.

например, в базисе +. Результаты в другом базисе

В отличии от Евы, Алиса и Боб, зная отсчет де-

× получаются унитарным преобразованием инфор-

тектора, а также зная, какой бит они посылали, по-

мационных состояний.

лучают общий бит. Например, Алиса посылала 0, и

Воспользуемся ЭПР-версией протокола (см. дета-

Боб 0. Сработал детектор U. Такое событие имеет ме-

ли, например, [6]). Алиса готовит ЭПР состояние,

сто, если они посылали одинаковые биты (каждый из

свою подсистему X, Алиса оставляет ее у себя как

них знает, что было послано), поэтому заранее дого-

эталонную, а подсистему Y направляет Бобу. Подси-

ворившись, Алиса и Боб будут иметь общий бит 0.

стема Y подвергается атаке Евы в квантовом канале

Если Алиса посылала 1, а Боб 1, то также срабо-

связи. Алиса делает измерения в базисе X, при этом

тает детектор U, и они будут считать общим битом

случайно и равновероятно возникает состояние, отве-

1. Ева “видит” только отсчет детектора U, и не бу-

чающее 0 или 1. После измерения подсистема Боба

дет знать общего бита, поскольку отсчет в детекторе

Y из-за структуры ЭПР состояние переходит в со-

U мог иметь место как от A = 0, B = 0, так и от

стояние, отвечающее 0 или 1. ЭПР состояние имеет

A = 1, B = 1.

стандартный вид

В этом состоит неформальная теоретико-

информационная причина получения общего сек-

|Φ⁺〉_XY =

√

(|0〉_X ⊗ |0〉_Y + |1〉_X ⊗ |1〉_Y ) .

(3)

ретного бита Алисой и Бобом.

3. Формальное доказательство стойкости.

Отметим, что структура ЭПР состояния одинакова

Основная идея при формализации недоверенных, до-

как в базисе +, так и в базисе ×, поэтому индекс

ступных для Евы детекторов, состоит к сведению но-

базиса опускаем.

вого протокола к эквивалентному протоколу, исполь-

Любое преобразование входного квантового со-

зующему стандартный протокол BB84 с доставкой

стояния в выходное описывается действием суперо-

Еве дополнительных квантовых состояний, которые

ператора - вполне положительного отображения [8].

говорят ей об отсчете того или иного детектора.

Любой супероператор унитарно представим (см. де-

тали в [9]). Последнее означает, что любой суперопе-

ратор реализуется запутыванием входного состояния

³⁾Идея интерференции состояний из разных источников в

КРК была высказана еще в 1997 г. [5], такая система была на-

с вспомогательным (|E〉_E) при помощи унитарного

звана КРК на базе квантового компаратора.

оператора U_BE , который определяется Евой.

Письма в ЖЭТФ том 116 вып. 1 - 2

2022

Квантовое распределение ключей с недоверенными, открытыми для подслушивателя детекторами

131

После атаки Евы, описываемой унитарным пре-

Таким образом, при регистрации Бобом 0 (верхний

образованием U_BE, получаем

детектор) Еве доставляется состояние (6). Измере-

ние состояния (6) дает Еве равновероятно детектор

(

)

U_BE

|Φ⁺〉_XY ⊗ |E〉_E

(4)

U или D в соответствии с (1), (2).

Аналогичная ситуация будет, если Боб зареги-

{√

√

}

стрировал отсчет 1 в детекторе D (неважно, верный

√

|0〉_X ⊗

1 - Q|0〉_Y ⊗ |Φ₀〉_E +

Q|1〉_Y ⊗ |Θ₀〉_E

или ошибочный), Ева равновероятно будет “видеть”

{√

}

детектор U или D - “видеть” после измерения (6) со-

√

+√

|1〉_X ⊗

1 - Q|1〉_Y ⊗ |Φ₁〉_E +

Q|0〉_Y ⊗ |Θ₁〉_E

стояние U или D.

В итоге матрица плотности ρ_XYE заменяется на

Состояния Евы нормированы, поэтому коэффициен-

ρ_XYED:

ты выбраны в виде 1 - Q и Q для сохранения нор-

ρ_XYED =

(7)

мировки. Как будет видно ниже, величина Q имеет

смысл вероятности ошибки на приемной стороне.

|0〉_XX 〈0|⊗{(1 - Q)|0〉_YY 〈0| ⊗ |Φ₀〉_EE 〈Φ₀| ⊗ ρ_D +

Алиса и Боб делают измерения в одинаковом ба-

+ Q|1〉Y Y 〈1| ⊗ |Θ₀〉_EE〈Θ₀| ⊗ ρ_D} +

зисе. Алиса в базисе {|0〉_X , |1〉_X }, Боб соответствен-

но в базисе {|0〉_Y , |1〉_Y }. В итоге возникает состоя-

|1〉_XX 〈1|⊗{(1 - Q)|1〉_YY 〈1| ⊗ |Φ₁〉_EE 〈Φ₁| ⊗ ρ_D +

ние Алиса-Боб-Ева, которое описывается матрицей

плотности, с учетом (3), (4) получаем

+ Q|0〉Y Y 〈0| ⊗ |Θ₁〉_EE〈Θ₁| ⊗ ρ_D} .

5. Длина ключа, недоверенные детекторы.

ρ_XYE =

(5)

Согласно [10] длина секретного ключа в асимптоти-

ческом пределе длинных последовательностей имеет

|0〉_XX 〈0| ⊗ {(1 - Q)|0〉_YY 〈0| ⊗ |Φ₀〉_EE 〈Φ₀| +

вид (учет конечной длины передаваемых последова-

тельностей может быть сделан методом, предложен-

+ Q|1〉Y Y 〈1| ⊗ |Θ₀〉_EE〈Θ₀|}+

ным в работе [7], чтобы не загромождать изложением

техническими деталями, рассматриваем асимптоти-

|1〉_XX 〈1| ⊗ {(1 - Q)|1〉_YY 〈1| ⊗ |Φ₁〉_EE 〈Φ₁| +

ческий случай)

+ Q|0〉Y Y 〈0| ⊗ |Θ₁〉_EE〈Θ₁|}.

ℓ ≥ H(ρ_XED|ρ_ED) - H(ρXY |ρY ).

(8)

Как было показано ранее (например, [6]), для опти-

Формула

(8)

имеет простую интерпретацию:

мальной атаки Евы, состояния {|Φ₀〉_E , |Φ₁〉_E } и со-

H (ρ_XED|ρ_ED), нехватка информации Евы в би-

стояния {|Θ₀〉_E, |Θ₁〉_E} лежат в ортогональных под-

тах о эталонной битовой строке X Алисы, при

пространствах, и_E 〈Θ₀|Θ₁〉_E =_E 〈Φ₀|Φ₁〉_E = 1 - 2Q.

условии, что Ева имеет в своем распоряжении

Оптимальность понимается в смысле - максимум ин-

квантовые системы ED; H(ρ_XY |ρ_Y )

- нехватка

формации Евы о передаваемом ключе, при наблюда-

информации Боба о строке Алисы, при условии, что

емой ошибке Q на приемной стороне.

Боб имеет в своем распоряжении битовую строку Y

Интерпретация (5) достаточно простая. С веро-

- строку с ошибками. Разность нехваток информа-

ятностью¹² Алиса посылает 0 или 1. Боб с вероят-

ций Евы и Боба о битовой строке Алисы составляет

ностью 1 - Q получает правильный отсчет, у Евы

общий секрет Алисы и Боба.

оказывается состояние |Φ₀〉_E . С вероятностью Q Боб

Соответствующие частичные матрицы плотно-

получает ошибочный результат, у Евы оказывается

сти, фигурирующие в (8), имеют вид

состояние |Θ₀〉_E. Аналогично для случая, когда Али-

ρ_XED = Tr_Y {ρ_XYED} =

(9)

са посылала 1.

4. Модификация протокола. Пусть Боб по-

|0〉_XX 〈0| ⊗ {(1 - Q)|Φ₀〉_EE 〈Φ₀| ⊗ ρ_D +

лучил отсчет 0 (неважно, правильный или ошибоч-

ный), т.е. сработал детектор U. Боб сообщает Еве

+ Q|Θ₀〉_EE〈Θ₀| ⊗ ρ_D} +

случайно и равновероятно одно из ортогональных со-

стояний |U〉_D и |D〉_D. Сказанное означает, что Еве

|1〉_XX 〈1| ⊗ {(1 - Q)|Φ₁〉_EE 〈Φ₁| ⊗ ρ_D +

доставляется матрица плотности

+ Q|Θ₁〉_EE〈Θ₁| ⊗ ρ_D} .

ρ_D =

(|U〉_DD〈U| + |D〉_DD〈D|) .

(6)

ρ_ED = Tr_XY {ρ_XYED} =

(10)

Письма в ЖЭТФ том 116 вып. 1 - 2

2022

9^∗

132

К.А.Балыгин, С.П.Кулик, С.Н.Молотков

мая модификация не требует каких-либо радикаль-

{(1 - Q)|Φ₀〉_EE 〈Φ₀| ⊗ ρ_D + Q|Θ₀〉_EE 〈Θ₀| ⊗ ρ_D} +

ных изменений протокола и самой системы кванто-

вого распределения ключей. Приведенная аналогия

{(1 - Q)|Φ₁〉_EE 〈Φ₁| ⊗ ρ_D + Q|Θ₁〉_EE 〈Θ₁| ⊗ ρ_D} .

с протоколом twin-field позволяет на качественном

теоретико-информационном уровне объяснить при-

ρ_XY = Tr_ED{ρ_XYED} =

(11)

чины секретности ключей при открытых для под-

слушивателя детекторах.

|0〉_XX 〈0| {(1 - Q)|0〉_YY 〈0| + Q|1〉_YY 〈1|} +

Кроме того, открытость детекторов позволяет

обеспечить естественную защиту от атаки detector

|1〉_XX 〈1| {(1 - Q)|1〉_YY 〈1| + Q|0〉_YY 〈0|} .

mismatch, открытость детекторов делает данную

атаку полностью неэффективной.

ρ_Y = Tr_XED{ρ_XYED} =

{|0〉_YY 〈0| + |1〉_YY 〈1|} .

Отметим в заключение, что данная модификация

достигается без существенных изменений аппарату-

(12)

ры системы КРК и не приводит к снижению скоро-

Вычисляя собственные числа (9)-(12), находим для

сти распределяемых ключей.

условных энтропий фон Неймана

Один из авторов (С. П. Кулик) выполнял исследо-

H (ρ_XED|ρ_ED) = H(ρ_XED) - H(ρ_ED) =

(13)

вание при поддержке Междисциплинарной научно-

образовательной школы Московского университета

= H(ρ_XE ⊗ ρ_D) - H(ρ_E ⊗ ρ_D) = H(ρ_XE) - H(ρ_E) =

“Фотонные и квантовые технологии. Цифровая ме-

дицина”.

= 1 + h(Q) - 2h(Q) = 1 - h(Q).

H (ρ_XY |ρ_Y ) = H(ρ_XY ) - H(ρ_Y ) = h(Q).

(14)

1. C. H. Bennett and G. Brassard, Quantum cryptography:

Окончательно с учетом (13), (14) для длины ключа

Public key distribution and coin tossing, in Proc.

получаем

IEEE Int. Conf. on Comp., Sys. and Signal Process.,

ℓ = 1 - 2h(Q).

(15)

Bangalore, India (1984), p. 175.

2. S. N. Molotkov, Laser Phys. Lett. 16, 075203 (2019).

Таким образом, длина секретного ключа в модифи-

цированном протоколе оказывается такой же, как и

3. M. Lucamarini, L. M. Yuan, J. F. Dynes, and

A. J. Shields, Nature 557, 400 (2018).

в стандартном протоколе BB84 [1,10]. Критическая

ошибка Q_c, при которой длина ключа обращается в

4. S. N. Molotkov and I. V. Sinilshchikov, Laser Phys. Lett.

нуль равна Q_c ≈ 11 %, 1 = 2h(Q_c), т.е. модификация

16, 105205 (2019).

протокола не “портит” криптографические свойства

5. S. N. Molotkov, Pis’ma v ZhETF 66, 736 (1997).

протокола.

6. S. N. Molotkov, Laser Phys. Lett. 18, 045202 (2021).

6. Заключение. Для систем, где технически

7. С. Н. Молотков, ЖЭТФ 160(3), 327 (2021).

сложно обеспечить криптографическую защиту де-

8. K. Kraus, States, Effects and Operations: Fundamental

текторов, найдено радикальное решение, сводящее

Notions of Quantum Theory, Springer Verlag, Berlin

к модификации протокола таким образом, что поз-

(1983).

воляет сделать детекторы недоверенными, и даже

9. W. F. Stinespring, Proc. Am. Math. Soc. 6, 211 (1955).

полностью доступными для наблюдения результа-

10. R. Renner, Security of Quantum Key Distribution, PhD

тов отсчетов подслушивателем. Причем предлагае-

Thesis, ETH Zürich (2005); arXiv:0512258.

Письма в ЖЭТФ том 116 вып. 1 - 2

2022