Prepararsi alla Quantum Era - Parte 2 - La Crittografia Quantistica

Comunemente ci si riferisce agli argomenti qui trattati con l’espressione “Crittografia Quantistica” ma in realtà, volendo essere precisi, ad essere quantistico non è l’algoritmo crittografico ma soltanto la distribuzione della chiave.

In questa seconda parte mostreremo che la distribuzione quantistica della chiave consente a due soggetti, desiderosi di scambiarsi informazioni in riservatezza, di concordare una chiave segreta con la certezza che nessun altro l’abbia intercettata.

Possiamo poi immaginare che tale chiave sarà successivamente utilizzata per cifrare i messaggi da scambiare attraverso il cifrario di Vernam [14]: un metodo matematicamente inviolabile (§1) caratterizzato da una cifratura a sostituzione polialfabetica con chiave lunga quanto l’intero messaggio, generata casualmente ed utilizzata una sola volta (da qui anche noto come blocco monouso).

Tale metodo fa sì che, innanzitutto, ogni lettera componente il testo in chiaro venga cifrata con un alfabeto cifrante differente, il che rende inutile il metodo di crittoanalisi basato sull’analisi delle frequenze (§2). In secondo luogo, il fatto che la chiave sia casuale non permette a un crittoanalista di applicare il metodo di ricerca della parola probabile, metodo che si basa sull’individuazione, nel crittogramma, di parole dotate di senso compiuto.

Infine, il divieto di usare la chiave più di una volta implica che un crittoanalista non abbia modo di sfruttare le correlazioni che, inevitabilmente, si creano fra due messaggi diversi cifrati con la medesima chiave.

Il blocco monouso, però, sebbene goda di una dimostrazione matematica di inviolabilità che lo rende il prototipo del cifrario perfetto, comporta una lunga serie di problemi pratici che lo rendono inapplicabile nelle comunicazioni ordinarie.

Attualmente il metodo più diffuso per cifrare messaggi, ad esempio contenenti il numero di carta di credito in una transazione online, si basa sull’algoritmo RSA [16] inventato da Ronald Rivest, Adi Shamir e Leonard Adleman sulla base delle scoperte fatte pochi anni prima da Whitfield Diffie e Martin Hellman nel campo della cosiddetta crittografia a chiave pubblica [17].

Tale metodo a tutt'oggi risulta in pratica inviolabile a causa della limitata potenza di calcolo dei computer: esso si basa infatti sull’utilizzo di numeri primi in operazioni matematiche le quali sono molto facili da compiere in una direzione, ma estremamente difficili da eseguire nella direzione opposta.

Dato che il concetto di “estremamente difficile” cambia con la potenza di calcolo e con il metodo usato per eseguire le operazioni, non si può escludere che qualcuno, prima o poi, scopra una tecnica per eseguire queste operazioni in modo rapido, riuscendo a violare algoritmo RSA e di conseguenza ad avere accesso, ad esempio, ai contenuti delle transazioni commerciali.

Un protocollo di distribuzione quantistica della chiave, al contrario, mette al riparo da possibili futuri perfezionamenti sia teorici che tecnologici: da un lato perché il protocollo si basa sulla validità di leggi fisiche universalmente accettate, dall'altro perché può combinarsi a una tecnica crittografica la cui inviolabilità è assicurata da una dimostrazione matematica.

Per ultima cosa, ma certamente non meno importante, la crittografia quantistica gode, lei sola fra tutti gli altri sistemi crittografici in uso oggi e in passato, di una proprietà estremamente rilevante:

permette infatti ai soggetti coinvolti nella comunicazione di svelare, con una probabilità significativamente elevata, la presenza di un eventuale intercettatore.

L’algoritmo di Bennett & Brassard

Nel 1984 Charles Bennett e Gilles Brassard pubblicarono la descrizione del primo protocollo di distribuzione quantistica della chiave [18], in cui i fotoni vengono usati per trasmettere informazione.

Nei due paragrafi che seguono verrà descritto il funzionamento di tale protocollo. I ragionamenti verranno sviluppati dapprima nel caso in cui due utenti Alice e Bob, desiderosi di comunicare in segretezza, non vengano disturbati dalla presenza di un intercettatore (ben noto in letteratura come Eva). Continueremo poi l’analisi del protocollo nel caso in cui una terza persona cerchi di impossessarsi della chiave, o quanto meno del maggior numero possibile di informazioni ad essa relative.

Assenza di intercettazione

Alice e Bob, come anticipato, vogliono costruire una chiave, composta da una serie di bit 0 e 1, con la quale cifrare un messaggio con il metodo del blocco monouso. Sia Alice che Bob devono a tal fine disporre di una coppia di polarizzatori, uno lineare e uno diagonale. Alice ha inoltre a disposizione un gran numero di fotoni non polarizzati da inviare a Bob lungo un canale, detto canale quantistico; prima di mandare i fotoni, Alice deve polarizzarne ciascuno con un filtro a propria scelta.

Bob, dal canto suo, ogniqualvolta riceve un fotone inviato da Alice, sceglie liberamente di misurarne la polarizzazione lineare o diagonale. Sottolineiamo che la scelta di Bob è casuale e indipendente da quella di Alice, che, d'altronde, Bob non conosce.

Un buon metodo casalingo per garantire la casualità potrebbe essere quello di lanciare in aria una moneta ogniqualvolta si deve effettuare una misura: se esce testa verrà utilizzato il filtro lineare, viceversa, se esce croce, quello diagonale.

Per illustrare in maniera completa le informazioni relative ai fotoni oggetto dei nostri ragionamenti, adotteremo le seguenti notazioni:

Supponiamo, per iniziare, che Alice abbia compiuto sul primo fotone f una misura di polarizzazione lineare. Trovandosi il fotone, prima della misura, in uno stato generico, esistono per la misura di Alice due risultati possibili fotone polarizzato verticalmente oppure fotone polarizzato orizzontalmente:

Nel primo caso, il fotone che arriva a Bob attraverso il canale quantistico è un fotone polarizzato verticalmente. Se Bob misura la polarizzazione lineare di questo primo fotone, il risultato della sua misura non può che essere ancora un fotone polarizzato verticalmente:

Se, al contrario, Bob sceglie di misurarne la polarizzazione diagonale, può ottenere due risultati, del tutto equiprobabili:

In tale figura sono schematizzate le due possibili scelte di Bob nel caso in cui Alice gli abbia inviato un fotone polarizzato verticalmente. Lo stesso identico ragionamento si può ripetere nel caso in cui Alice invii a Bob un fotone polarizzato orizzontalmente, giungendo ovviamente alle stesse considerazioni.

Notiamo subito che se il filtro scelto da Bob e il filtro scelto da Alice corrispondono, il risultato possibile è uno solo: la misura di Bob non cambia lo stato di partenza, poiché esso è, per dirla in termini matematicamente corretti, un autostato dell’osservabile misurata (la polarizzazione lineare). Nel caso, invece, in cui Bob scelga un filtro diverso da quello utilizzato da Alice, esistono due casi possibili e assolutamente equiprobabili. Ogni risultato si verifica infatti con il 50% di probabilità.

Analizziamo ora il caso in cui Alice abbia inviato a Bob un fotone polarizzato diagonalmente. Questo può succedere in tutti i casi in cui Alice, libera com'è di scegliere tra il filtro lineare e quello diagonale, abbia scelto il secondo, e abbia ottenuto come risultato proprio un fotone polarizzato a 45 gradi.

Si tratta di una situazione speculare rispetto alla precedente. Se Bob, infatti, sceglie di utilizzare per la misura un filtro lineare, questa volta può ottenere due risultati equiprobabili: fotone polarizzato verticalmente oppure fotone polarizzato orizzontalmente; se, viceversa, opta per il filtro diagonale, il risultato coinciderà, con certezza, con quanto inviato da Alice (fig. 2.b).

Confrontando i possibili risultati possiamo subito giungere ad una conclusione: quando Bob utilizza lo stesso filtro utilizzato da Alice i risultati ottenuti dalle due operazioni coincidono, se invece Bob utilizza un filtro diverso il risultato ottenuto è sempre scorrelato da quello di Alice. Dunque:

Se πα = πβ i risultati coincidono

Se πα ≠ πβ i risultati sono scorrelati tra loro

Si noti che il numero di fotoni polarizzati che Alice manda a Bob va stabilito a priori e sarà direttamente proporzionale alla lunghezza che si vuol conferire alla chiave.

Passiamo ora alla fase successiva.

Dopo che Alice ha inviato a Bob il numero prestabilito di fotoni, e Bob li ha misurati secondo il procedimento appena descritto, si giunge al momento della comunicazione pubblica.

Ciò va inteso proprio alla lettera: gli utenti possono scambiarsi le informazioni successive senza avere alcun riguardo sulla loro confidenzialità. La presenza di eventuali intercettazioni, infatti, non può in alcun modo influenzare la buona riuscita del protocollo.

Lo scopo della comunicazione che avviene in questa fase è far sì che gli utenti confrontino i tipi di polarizzazione che hanno scelto per le loro misurazioni, fotone per fotone. Dunque, per ogni fotone, Alice dichiara qual è il filtro che utilizzato per la misurazione e Bob, per il medesimo fotone, dichiara se ha usato lo stesso filtro oppure un filtro diverso. Se immaginiamo che il numero totale di fotoni inviati sia 8, Alice e Bob, al termine di questa fase, potrebbero giungere a riempire una tabella simile a quella riportata in figura 2.c.

Da questa tabella si evince che per il primo fotone Alice e Bob hanno utilizzato entrambi un filtro polarizzato linearmente per la loro misura; per il secondo entrambi hanno utilizzato invece un filtro polarizzato diagonalmente; per il terzo invece Alice e Bob hanno scelto filtri con polarizzazione diversa, e così via.

Nei casi in cui la scelta è stata diversa (nella tabella di esempio si tratta dei casi 3, 7 e 8) i risultati delle rispettive misurazioni vengono scartati, in quanto certamente scorrelati. Ma in tutti gli altri casi Alice e Bob hanno la certezza di aver ottenuto, ognuno per conto proprio, risultati correlati.

Approfondiamo bene questo aspetto ed esaminiamo in dettaglio ciò che avviene per il primo fotone: Alice sceglie un filtro con polarizzazione lineare e dunque trasmette un fotone polarizzato linearmente. Bob, dal canto suo, sceglie per la propria misura proprio un filtro polarizzato linearmente. Ciò significa che Bob ha compiuto una misura di un’Osservabile (la polarizzazione lineare) su uno stato che è un autostato dell’osservabile stessa. Il risultato della misura di un autostato è, ovviamente, il suo autovalore associato.

In parole più semplici, poiché Bob usa per la propria misura un filtro identico a quello utilizzato da Alice, egli non può che ottenere lo stesso risultato ottenuto da Alice. Di conseguenza non è necessario che Bob comunichi ad Alice il risultato ottenuto nei casi in cui entrambi hanno utilizzato filtri analoghi: Alice li conosce già! Sono infatti gli stessi autovalori che lei stessa ha ottenuto, avendo compiuto la medesima misura di polarizzazione sul medesimo stato fisico.

L’ultimo passo da compiere è associare a tutti i possibili risultati ottenuti la classica formalizzazione binaria, ad esempio:

Il tutto può essere rappresentato efficacemente estendendo la tabella precedente, in figura 2.c, e giungendo ad una nuova tabella illustrata in figura 2.d.

L’ultima colonna contiene una stringa di bit, generata in modo completamente casuale, che può essere utilizzata come chiave di cifratura per l’algoritmo del blocco monouso.

Casualità che non verrebbe persa neanche se Alice decidesse di utilizzare sempre e solo un certo tipo di filtro per le proprie misure ed il solo a decidere di volta in volta quale filtro usare fosse il solo Bob: la caratteristica intrinsecamente non deterministica della meccanica quantistica rende impossibile prevedere a priori quando le misurazioni di Alice e Bob producono risultati coincidenti.

Riepiloghiamo i passaggi chiave:

• I due utenti non si scambiano mai i risultati delle loro misurazioni in quanto non necessario: se hanno utilizzato lo stesso tipo di filtro i rispettivi risultati non possono che coincidere
• L’unica informazione che si scambiano è l’elenco dei filtri polarizzatori utilizzati per le loro misurazioni, fotone per fotone.
• Le misurazioni ottenute utilizzando filtri polarizzatori diversi sono scartate
• La chiave viene condivisa tra i due utenti contestualmente alla sua creazione
• Chiunque non conosca i risultati delle misurazioni non ricava alcun beneficio nel conoscere l’elenco dei filtri utilizzati dagli utenti, che però, paradossalmente, sono le informazioni con cui questi ultimi costruiscono la chiave.

Dunque, possiamo concludere che il protocollo di distribuzione quantistica della chiave è sicuro da due punti di vista:

• Da un punto di vista fisico, in quanto la segretezza di una chiave così costruita è garantito dalla meccanica quantistica
• Da un punto di vista matematico, in quanto l’indecifrabilità del blocco monouso è garantita matematicamente

Presenza di intercettazione

Prendiamo ora in esame il caso in cui un soggetto terzo, Eva, voglia intercettare informazioni utili a carpire la chiave che Alice e Bob andranno ad utilizzare per scambiarsi messaggi.

Poiché, come abbiamo detto poco prima, la chiave prende forma nel momento stesso in cui i due utenti condividono l’elenco dei filtri utilizzati, e cioè a misurazioni già avvenute, l’unica possibilità che ha Eva è quella di intervenire prima, agendo cioè da Man-In-the-Middle. Ponendosi infatti nel mezzo tra i due ed intercettando i fotoni che viaggiano da Alice verso Bob, Eva potrebbe misurare la polarizzazione del fotone inviato originariamente da Alice e successivamente rispedirlo all’ignaro Bob.

Ogniqualvolta un fotone transita nel canale quantistico Eva potrà decidere di effettuare una misurazione utilizzando un filtro polarizzato linearmente o diagonalmente; alcune volte la sua scelta coinciderà con quella di Alice, altre volte con quella di Bob, altre volta ancora coinciderà con quella di entrambi e potrebbe anche non coincidere con nessuno dei due.

Nella figura 2.e, partendo dall’ipotesi che Alice scelga per la sua misurazione un filtro polarizzato linearmente, vengono descritte le possibili casistiche conseguenti la scelta fatte da Eva. Dal confronto con la figura 2.b, realizzata a partire dalla medesima ipotesi, si evince come la presenza di Eva impatti le misurazioni di Bob; come vedremo, infatti, i risultati a cui giunge Bob sono diversi rispetto al caso in cui vi è assenza di intercettazione.

Premettiamo che i ragionamenti che seguono possono essere proposti, sebbene riadattati, anche nel caso Alice scelga un filtro polarizzato diagonalmente, mantenendo la loro assoluta e completa validità.

Nel caso 1 tutti e tre, Alice, Eva e Bob, optano per un filtro polarizzato linearmente, e quindi ottengono tutti e tre lo stesso risultato.

I risultati ottenuti nei casi 2 e 3 non sono rilevanti perché sono destinati ad essere scartati in quanto le scelte di Alice e Bob, in merito ai filtri da utilizzare per le rispettive misure, sono diverse (Alice lineare, Bob diagonale). Per gli stessi motivi anche le misurazioni relative ai casi 6 e 9 non contribuiranno alla definizione della chiave.

Sono invece da considerare “utili” i risultati frutto delle misurazioni ottenute nei casi 4, 5, 7 e 8 dove, di nuovo, sia Alice che Bob utilizzano un filtro polarizzato linearmente.

In tali casi, coerentemente con la convezione concordata in precedenza, verranno ottenuti come risultati, rispettivamente

Una volta che Alice ha terminato l’invio del numero di fotoni previsti si passa alla fase successiva, cioè la comunicazione pubblica nella quale Alice e Bob si scambiano la lista dei filtri utilizzati per le misurazioni, lista che non essendo riservata Eva può intercettare senza alcuna difficoltà.

Alice e Bob, ancora ignari della presenza di Eva, procedono come da protocollo e scartano tutti i risultati ottenuti da misurazioni che ricadano nei casi 2, 3, 6 e 9, cioè quando le loro scelte differiscono.

Utilizzano invece i risultati ottenuti dalle misurazioni che ricadono nel caso 1, e qui Eva è particolarmente fortunata poiché, avendo scelto un filtro con la medesima polarizzazione scelta dalle sue vittime, conosce perfettamente il risultato che hanno ottenuto in casi come questo.

Alice e Bob utilizzano anche i risultati ottenuti da misurazioni che ricadono nei casi 4 e 7, ma qui Eva non trae alcun beneficio dall’intercettazione perché lei ha utilizzato un filtro con una polarizzazione diversa e non conosce quindi il risultato ottenuto dalle sue vittime.

Ma sono i casi come il 5 e l’8 a risultare determinanti nel rivelare la presenza di un intercettatore. In tali casi, infatti, pur avendo utilizzato filtri con analoga polarizzazione Alice e Bob ottengono risultati discordanti: la prima ottiene un fotone polarizzato verticalmente (bit associato 1), il secondo ottiene un fotone polarizzato orizzontalmente (bit associato 0).

Alice e Bob, essendo coscienti che un intercettatore potrebbe agire da Man-In-The-Middle, decidono di verificarne l’eventuale presenza ampliando il protocollo con una fase ulteriore: la riconciliazione. In tale fase Alice e Bob sacrificano una parte dei risultati ottenuti a scopo di verifica.

Supponiamo che Alice abbia concordato con Bob l’invio di 1000 fotoni e che quindi la chiave definita al termine della fase di invio sia composta da alcune centinaia di bit. Alice e Bob decidono allora di scambiarsi pubblicamente i valori dei primi 100 bit.

Se vi è assenza di intercettazione tali bit devono inevitabilmente coincidere, ma se così non fosse entrambi possono immediatamente concludere che tale discrepanza è imputabile ad una sola causa: la presenza di un intercettatore (§3).

Se effettivamente i bit coincidono, Alice e Bob scartano questi bit scambiati pubblicamente ed utilizzano tutti gli altri per formare la chiave, di cui a questo punto hanno la certezza che sia sicura.

Diversamente, se il confronto ha rivelato la presenza di un intercettatore, Alice e Bob scarteranno tutti i bit e ritenteranno la comunicazione utilizzando un canale quantistico diverso.

Eva, una volta appreso che Alice e Bob hanno un modo per scoprire la sua presenza, potrebbe pensare di cambiare modus operandi, ad esempio facendo una copia dei fotoni in transito e rimandando la misurazione al momento successivo alla condivisone pubblica della lista dei filtri utilizzati da parte delle vittime.

Tuttavia, anche questa tecnica è destinata a fallire in quanto, per il teorema del no-cloning, è impossibile effettuare una copia dello stato di un fotone senza alterarne lo stato stesso e finendo quindi per ricadere nel caso appena esaminato proprio perché

a livello quantistico, tra clonazione e misurazione non vi è alcuna differenza

Garanzia di confidenzialità

è lecito chiedersi quale debba essere il rapporto, tra fotoni trasmessi e risultati sacrificati, necessario a garantire con certezza che vi sia assenza di intercettazione.

Ad esempio, Eva potrebbe essere fortunata ed aver indovinato, per tutti i bit sacrificati per controllo, quale fosse la polarizzazione dei filtri scelti da Alice e Bob per le misurazioni utili alla definizione della chiave.

Ma quanto fortunata deve essere Eva per non essere mai scoperta?

Supponiamo che Alice scelga casualmente, per ogni fotone, il verso di polarizzazione e lo stesso faccia Eva: la probabilità che le scelte coincidano è, ovviamente, pari al 50%.

Se Alice invia un fotone polarizzato verticalmente (prendiamo in esame sempre l’esempio in figura 2.e) ed Eva ne “indovina” la polarizzazione, sicuramente non corre il rischio di essere scoperta. Ma anche se la sua scelta non dovesse coincidere con quella fatta da Alice, Eva ha comunque delle possibilità che la sua presenza non venga rivelata (casi 4 e 7); in tali casi infatti la misurazione effettuata da Bob porta ad un risultato coerente con quanto inviato da Alice.

Più precisamente la probabilità che, ogni qualvolta Alice e Bob decidano di sacrificare un bit a fini di controllo, la presenza di Eva non sia rilevata è pari a

Dove il primo fattore (1/2) si riferisce alla probabilità che Eva compia la stessa scelta di Alice (e di Bob, caso 1), il secondo fattore (1/8) si riferisce al prodotto delle probabilità che Eva compia una scelta diversa (50%) ma che Bob faccia una scelta coincidente a quella di Alice (ancora 50%) e che l’esito porti ad un risultato compatibile con tale scelta (un altro 50%, caso 4), il terzo fattore, analogamente 1/8, è speculare con il caso 7.

Per complemento possiamo quindi concludere che la probabilità che la presenza di Eva sia scoperta è pari a

Dove n è il numero di bit sacrificati a fini di controllo.

Dunque, se limitatamente ad un solo bit Eva ha tutto sommato buone probabilità di farla franca (75%!) al crescere del numero di bit utilizzati per verifica le sue speranze si riducono drasticamente, infatti con appena 30 bit di controllo si ottiene

Sembrerebbe però che non appena Alice e Bob riscontrino dei valori discordanti di bit debbano abortire il protocollo. Invero la discordanza dei valori di alcuni bit della chiave potrebbe anche nascere da errori casuali che intervengono nella trasmissione e non necessariamente originate dall’intervento malizioso di un avversario. Il problema principale del modello fin qui discusso è che non tiene in nessun conto che eventuali errori potrebbero derivare dalla trasmissione dei fotoni attraverso il canale quantistico, ossia errori imputabili a rumore presente sul canale.

Per ovviare a ciò si potrebbe far uso delle tecniche di teoria dei codici correttori di errori [19] ma non è possibile tuttavia, se c'è rumore, escludere del tutto errori dovuti a quest'ultimo. La loro presenza mette a serio rischio il protocollo, nel senso che potrebbe portare Alice e Bob a credere nell'intervento di Eva, anche se non c'è stato, e causare un blocco della comunicazione tra i due. Tali considerazioni inducono a ritenere di fondamentale importanza l’identificazione di una soglia non nulla di errore tollerabile.

è possibile giungere ad una sicurezza incondizionata del protocollo BB84 e ricavare la soglia massima di errore tollerabile nelle chiavi grazie ad alcuni strumenti matematici.

Innanzitutto introduciamo il Quantum Bit Error Rate (QBER) definito come il rapporto tra il numero dei bit risultati errati dopo il controllo e il numero totale dei bit che compongono la chiave messa a punto attraverso il protocollo:

Per stabilire una soglia di rumore Q al di sotto della quale Alice e Bob possano arrivare a condividere una chiave perfettamente segreta, mentre al di sopra della quale debbano abortire il protocollo, si ricorre al teorema di Csiszar-Korner [20].

Tale teorema, interessante ma che non intendo approfondire qui, consente di fissare tale soglia al valore Q = 11% [B. M. Terhal - Quantum error correction for quantum memories (Rev. Mod. Phys. 87, 307, 2015)].

In definitiva, il processo di distribuzione quantistica della chiave consente a due soggetti di definire una chiave utile nell'impiego del cifrario, inviolabile, di Vernam. Prima dell'effettivo utilizzo, i soggetti hanno modo di verificare un "indice di segretezza" della chiave in quanto il processo si conclude con il calcolo del QBER: se risulta QBER > 11% allora la presenza di un intercettatore è da ritenersi probabile, diversamente la comunicazione può avvenire con una elevata garanzia di confidenzialità.

(§1) La dimostrazione sull'inviolabilità del cifrario di Vernam si deve a Claude Shannon [C. Shannon – Communication Theory of Secret System (Bell System Technical Journal, 28, 1949)]

(§2) L'analisi delle frequenze è lo studio della frequenza di utilizzo delle lettere o gruppi di lettere in un testo cifrato al fine di carpirne il contenuto. Il metodo si basa sul fatto che in ogni lingua la frequenza d'uso di ogni lettera è piuttosto determinata: ad esempio un testo in italiano di media lunghezza, statisticamente, è formato per circa il 12% da lettere 'e'.

(§3) In realtà discrepanze tra le misurazioni potrebbero nascere anche da imperfezioni imputabili agli strumenti o da altre perturbazioni ambientali ma non essendo in grado di distinguere quali alterazioni sono di origine malevola e quali di origine casuale vengono tutte attribuite alla presenza di un intercettatore.