Quantenschlüsselaustausch

Als Quantenschlüsselaustausch bezeichnet man mehrere Verfahren der Quanteninformatik und Quantenkryptografie, die Eigenschaften der Quantenmechanik nutzen, um zwei Parteien eine gemeinsame Zufallszahl zur Verfügung zu stellen. Diese Zahl wird in der Kryptographie als geheimer Schlüssel verwendet, um mittels klassischer symmetrischer Verschlüsselungsverfahren Nachrichten abhörsicher zu übertragen. So kann zum Beispiel das beweisbar sichere One-Time-Pad verwendet werden, das ohne Quantenschlüsselaustausch meist aufgrund des hohen Aufwands für den sicheren Schlüsselaustausch nicht zum Einsatz kommt. Da der Quantenschlüsselaustausch das bekannteste Verfahren der Quantenkryptografie ist, wird er manchmal auch als Quantenkryptografie bezeichnet.

Technische Realisierung Für den Quantenschlüsselaustausch wird kein Quantencomputer, aber quantenmechanische Kohärenz der übertragenen Signale benötigt. Die dazu nötigen technischen Voraussetzungen existieren bereits; ein Beispiel: Im April 2004 wurde vom Rathaus in Wien zu einer in der Stadt ansässigen Bank ein mit Quantenkryptographie verschlüsselter Geldtransfer ausgelöst. (PDF; 105 kB). Pressemitteilung, Wien, 21. April 2004.

Bei Verwendung von Glasfasertechnologien ist allerdings die Entfernung zwischen Sender und Empfänger beschränkt, da wegen der erforderlichen Kohärenz die üblichen Signalverstärker nicht einsetzbar sind. 2018 wurde ein sicherer Quantenschlüsselaustausch über 421 km Glasfaser demonstriert. (Die Übertragung fand zwischen zwei 20 m voneinander entfernten Laboratorien, verbunden durch 421 km Glasfaser, statt.) Im Jahr 2017 ist es gelungen, einen Quantenschlüssel von einem Satelliten auf die Erde zu übertragen (ca. 1200 km). Möglich ist dies, da das Vakuum im Weltall die Photonen kaum schwächt und fast keine Dekohärenz verursacht.

Vorteil des Quantenschlüsselaustauschs Der Vorteil des Quantenschlüsselaustauschs gegenüber klassischen Verfahren zur Schlüsselverteilung besteht darin, dass die damit erreichte Sicherheit auf bekannten physikalischen Gesetzmäßigkeiten beruht und nicht auf Annahmen über die Leistungsfähigkeit von Computern und Algorithmen oder über die Verlässlichkeit von Vertrauenspersonen. Die Sicherheit der verschiedenen Verfahren des Quantenschlüsselaustauschs entsteht dadurch, dass ein Angreifer, der die Schlüsselübertragung abhört, bemerkt wird. Stellt man fest, dass die Übertragung belauscht wurde, verwirft man (in der Praxis bei Überschreiten eines Fehler-Toleranzwertes) den übertragenen Schlüssel und beginnt die Schlüsselerzeugung und -übertragung neu.

Klassifizierung Es existieren zwei Klassen von Verfahren zum Quantenschlüsselaustausch. Die einen, wie das BB84-Protokoll, nutzen einzelne Photonen zur Übertragung. Ein Angreifer kann diese auf Grund des No-Cloning-Theorems nicht kopieren und deshalb an Änderungen im Messergebnis erkannt werden. Andere Verfahren, wie das Ekert-Protokoll, verwenden verschränkte Zustände. Hört hier ein Angreifer die Schlüsselübermittlung ab, so verliert das System einen Teil seiner Quantenverschränkung. Dieser Verlust kann anschließend festgestellt und damit der Angriff aufgedeckt werden.

BB84-Protokoll Das BB84-Protokoll ist ein Verfahren in der Quantenkryptografie, das den Austausch eines Schlüssels ermöglicht. Der Name beruht auf der Tatsache, dass das Protokoll im Jahre 1984 von den beiden Wissenschaftlern Charles H. Bennett und Gilles Brassard vorgeschlagen wurde. Es stellt derzeit das wohl bekannteste Verfahren der Quantenkryptografie dar, jedoch existieren mittlerweile andere wichtige Verfahren, die gegenwärtig auch weiter entwickelt werden.

Die Vorgehensweise ist dabei prinzipiell wie folgt: Die Informationen werden mittels Photonen übertragen. Photonen können horizontal oder vertikal polarisiert sein (– oder |) : Ein horizontal polarisiertes Photon wird durch einen vertikalen Filter nicht durchgelassen, durch einen horizontalen Filter mit Sicherheit hingegen schon. Außerdem können Photonen verschiedenartig diagonal polarisiert sein (/, „rechtsdiagonal“, oder \, „linksdiagonal“). Dies ist messbar, indem der Filter einfach um 45° gedreht wird. Dabei ist zu beachten, dass der Empfänger (Bob), wenn er einen anders polarisierten Filter (- oder -Basis) verwendet als der Sender (Alice), nur mit 50-prozentiger Wahrscheinlichkeit ein richtiges Messergebnis bekommt.

Zunächst erzeugt Alice ein Photon mit einer von ihr gewählten Polarisation (– bzw. |, oder / bzw. \) und sendet es Bob. Dieser misst es in einem von ihm zufällig gewählten Filter (die gleichen vier Möglichkeiten, aber unabhängig gewählt). Diese Prozedur wird so oft wiederholt, bis Alice und Bob eine ausreichende Anzahl von Werten erhalten haben, die sie in eine Bitfolge umsetzen können (siehe das folgende Beispiel). Alice muss dabei während des Ablaufs darauf achten, dass sie alle vier Polarisationsmöglichkeiten mit gleicher Wahrscheinlichkeit erzeugt, und Bob sollte seinen Filter ebenfalls mit gleicher Wahrscheinlichkeit auswählen (siehe Lauschangriff).

Um nun aus den erhaltenen Werten einen Schlüssel zu erzeugen, verständigen sich Alice und Bob nach der Photonenübertragung über eine authentifizierte Leitung darüber, in welchen Fällen sie die gleiche „Basis“ (Horizontal/Vertikalbasis, +, bzw. Diagonalbasis, ) verwendet haben. Für diese sog. „relevanten Bits“ können sie sicher sein, dass sie die gleichen Polarisationsrichtungen gemessen haben, und nur sie allein wissen auch, welche das sind (es gibt zu jeder Basis zwei Möglichkeiten). Ein „Spion“ (Eve, die bei klassischer Kryptographie einen Lauschangriff durchführen würde, siehe unten), kennt nur die Tatsache der Gleichheit der Polarisationsrichtungen für die relevanten Bits, d. h. die zugehörige „Basis“, aber welches diese Polarisationsrichtungen sind, das kann Eve nicht ausspionieren, ohne sich selbst zu verraten.

Alice und Bob weisen jetzt den möglichen Polarisationen unterschiedliche Bitwerte zu: zum Beispiel 0 für horizontale (–) oder linksdiagonale (\) Polarisation, 1 für vertikale (|) oder rechtsdiagonale (/) Polarisation. Diesen Schritt könnten sie sich sogar sparen: Die gewählte Zuordnung darf nämlich auch vorher festgelegt und öffentlich bekannt sein, weil der Spion die tatsächliche Polarisationsrichtung nicht ermitteln kann, ohne sich zu verraten, sondern nur weiß, dass sie bei Alice und Bob für die relevanten Bits gleich ist.

Die Polarisationen, für die sie den gleichen Filter verwendet haben, liefern Alice und Bob das gleiche Bit, können also für einen Schlüssel bzw. für ein One-Time-Pad verwendet werden. Die restlichen Bits sind nur mit 50-prozentiger Wahrscheinlichkeit richtig und werden deshalb verworfen. Im Mittel können Alice und Bob also die Hälfte aller Bits für die Schlüsselerstellung weiterverwenden.

Ein Beispiel

von Alice gesendete Polarisation / / / \ \ \ – – – von Bob verwendete Basis von Bob gemessene Polarisation / – \ – \ / – \ / Basis gleich? ja nein nein ja nein nein nein nein ja nein nein javerwendeter Schlüssel 1 · · 0 · · · · 0 · · 1 Bemerkung: Die o. a. Tabelle soll das Prinzip des Protokolls verdeutlichen. In der Praxis wird die verwendete Basis in ca. 50 % der Messungen gleich sein.

Physikalische und technische Aspekte

Allgemeiner kann man sagen, Alice und Bob verwenden Qubits zur Erzeugung eines Schlüssels. Dies ist das quantenmechanische Äquivalent zum Bit, also die kleinstmögliche Informationseinheit. Weiterhin verständigen sie sich auf zwei komplementäre Basen ihres Qubit-Systems, die - und -Basis genannt werden können (diese Benennung bezieht sich auf die Koordinatenachsen bei der Bloch-Kugel). Jede dieser beiden Basen besteht aus zwei Basiszuständen: die -Basis aus und , die -Basis aus und (in Bra-Ket-Notation).

Beim Quantenschlüsselaustausch werden fast ausschließlich Photonen als Qubits verwendet. Die Polarisation der Photonen kann mit den Basiszuständen identifiziert werden: Man wählt zum Beispiel für die -Basis die lineare Polarisation in vertikaler und horizontaler Richtung und für die -Basis die diagonale Polarisation, wie im obigen Abschnitt verwendet.

Die technische Realisierung des Protokolls stellt jedoch eine Herausforderung dar. So muss unter anderem mit Fehlern durch die Messgeräte sowie durch Rauschen (Doppelbrechung im Glasfaserkanal, Wechselwirkung mit anderen Teilchen) gerechnet werden. Trotzdem gelang Charles H. Bennett 1989 selbst eine quantenmechanische Schlüsselübertragung.

Ein Lauschangriff Zum Entdecken von Lauschangriffen werden quantenmechanische Effekte genutzt: Nach den Gesetzen der Quantenmechanik würde Eve, eine Angreiferin, durch ihre Messung mit hoher Wahrscheinlichkeit den von Alice gesendeten Basiszustand ändern.

Im Idealfall sollten Alice und Bob durch das geschilderte Verfahren einen sicheren Schlüssel erhalten. Es ist jedoch nicht garantiert, dass keine Lauscherin mitgehört hat. Ein einfacher Weg zum Mithören wäre der folgende: Eve fängt jedes Qubit ab, misst es in einer der zwei möglichen Basen und schickt das gemessene Ergebnis anschließend weiter zu Bob. Da Alice und Bob nur die Bits weiterverwenden, bei denen sie die gleiche Basis verwendet haben, gibt es hier zwei mögliche Fälle: Eve misst in der gleichen Basis, in der Alice sendete: In diesem Fall bemerken Alice und Bob nichts, und Eve kennt das Bit. Eve misst in der anderen Basis: In diesem Fall stört Eve Bobs Messung, da sie den Zustand des Qubits verändert, so dass er mit 50 % Wahrscheinlichkeit ein falsches Bit empfängt.

Eve kennt zum Zeitpunkt ihrer Messungen weder Alices noch Bobs Basis, und daher kommen beide Fälle gleich häufig vor. Man kann also davon ausgehen, dass im Mittel 25 Prozent aller Bits fehlerhaft sind. Um dies festzustellen, wählen Alice und Bob einige ihrer Bits aus und vergleichen sie über den unsicheren Kanal. Sie können somit eine Abschätzung der Fehlerrate gewinnen (mittels statistischer Tests). Ist diese zu hoch (also zum Beispiel 25 %), so müssen sie befürchten, dass gelauscht wurde und sollten erneut mit der Schlüsselübertragung beginnen.

Eve kann aber statt des zuvor genannten auch andere Verfahren wählen: zum Beispiel kann sie nur jedes zweite Qubit messen, was (analog wie zuvor) auf 12,5 Prozent Fehlerrate führt, oder sie kann eine Kopie des Qubits herstellen, was wegen des No-Cloning-Theorems nur mit einem Fehler möglich ist. Es kann aber auch sein, dass niemand gelauscht hat und nur die Übertragung gestört oder die Messapparatur verstellt ist. Um auch bei vorhandenen, aber nicht zu hohen Fehlerraten einen Schlüssel zu erzeugen, können Alice und Bob Fehlerkorrekturverfahren und Hashfunktionen verwenden.

Auch Man-in-the-Middle-Angriffe können beim Quantenschlüsselaustausch ausgeschlossen werden, wenn der verwendete Kanal authentifiziert ist. Ansonsten könnte ein aktiver Angreifer beim Schlüsselaustausch Messungen vornehmen und beim späteren Austauschen der tatsächlich verwendeten Basen die Nachrichten modifizieren. Er führt mit Alice das Protokoll aus, als wäre er Bob. Gegenüber Bob gibt er sich als Alice aus und leitet die Basen weiter, in denen er gemessen hat. Dann teilt er sich jeweils mit Alice und Bob einen Schlüssel.

Es gibt jedoch den theoretischen Ansatz, mittels eines aktiven Mediums (Lasermedium als optischer Verstärker) quantenmechanische Kopien (inkl. Phase und Polarisation) mit Hilfe der stimulierten Emission zu erstellen und dadurch (statistisch) unbemerkt zu lauschen.

Im August 2010 veröffentlichten Wissenschaftler der Norwegian University of Science and Technology, dass es ihnen gelungen sei, bei zwei kommerziellen Systemen durch „Blendung“ des Detektors die Übertragung des Schlüssels zu belauschen, ohne Störungen oder Unterbrechungen zu verursachen und ohne Hinweise zu hinterlassen.Hacking commercial quantum cryptography systems by tailored bright illuminationHackers blind quantum cryptographers (in Nature News vom 29. August 2010)

Quantenschlüsselaustausch mittels Verschränkung