Kvanttiavaimen jakamiseen perustuvan salausmenetelmän () sovellukset Teemu Manninen Aalto-yliopisto Mikro- ja nanotekniikan laitos: Prof. Ilkka Tittonen, Teemu Manninen, Iikka Elonsalo Comnet: Prof. Olav Tirkkonen, Ülo Parts, Jari Lietzén, Roope Vehkalahti VTT Mikko Kiviranta MATINE-rahoitus 84 840 e 17.11.2016
Kryptografia Kvanttiavainjakelu Implementaatio BB84-protokolla Salakuuntelu Vaiheet Käytännön toteutus Tuloksia
Kryptografia Alice ja Bob yrittävät viestiä salassa salakuuntelijalta (Eve) Symmetrinen vs. epäsymmetrinen salaus Tällä hetkellä käytössä olevat epäsymmetriset salausmenetelmät voidaan murtaa Shorin algoritmilla Vaatii kvanttitietokoneen, jossa tarpeeksi qubitteja NSA tutkii aktiivisesti Elokuu 2016: ensimmäinen ohjelmoitava kvanttitietokone Ei voida käyttää, jos halutaan pitää data salassa yli 20 vuotta Symmetrinen salaus Groverin algoritmi nopeuttaa brute force -purkamista One-time-pad (OTP) aina turvallinen Ongelmana avaimien siirtäminen
Kvanttiavainjakelu Quantum key distribution () Käytetään kvanttimekaniikan ominaisuuksia salausavaimien todistettavasti turvalliseen jakamiseen Ei ota kantaa jaettujen avainten käyttöön Bittiarvojen koodaamiseen käytetään yksittäisiä fotoneja Vrt. optisessa tietoliikenteessä nanosekunnissa emittoituu miljoonia fotoneja No-cloning Kvanttitilan täydellinen kopioiminen on mahdotonta Mittaaminen Fotonin ominaisuuksia ei voi mitata häiritsemättä sen tilaa
Implementaatio PC Klassinen kanava PC USB USB Alice Optinen kuitu Bob
BB84-protokolla 1. Alice mittaa n:n fotonin polarisaation satunnaisesti valituissa kannoissa ({, } tai {, }) ja lähettää fotonit Bobille ja vastaavat bittiä 0, ja bittiä 1 2. Bob mittaa vastaanottamiensa fotonien polarisaation satunnaisissa kannoissa Sama kanta sama tulos, eri kanta satunnainen tulos 3. Alice ja Bob vertailevat valitsemiaan kantoja ja hylkäävät eri kannoissa suoritetut mittaukset (sifting) Keskimäärin puolet vastaanotetuista biteistä hylätään Ideaalitilanteessa lopputuloksena on jaettu salausavain
Salakuuntelu Eve aiheuttaa virheen yksittäiseen bittiin todennäköisyydellä 1/4 Havaitakseen salakuuntelun Alice ja Bob vertailevat pientä osaa jaetusta avaimesta Julkinen kanava verratut bitit täytyy hylätä Quantum bit error rate (QBER): virheellisten bittien suhteellinen osuus Jos QBER 11 %, Alice ja Bob voivat jatkaa protokollaa
Vaiheet Raaka-avaimen jako ja kantojen vertailu [1] Virheenkorjaus (Cascade-protokolla) [2] Epäideaaliset detektorit ja sironta aiheuttavat virheitä Yksityisyyden vahvistus (privacy amplification) [3] Avain lyhennetään hash-funktiolla turvallisuuden takaamiseksi Todennus (authentication) [4] Estetään man-in-the-middle-hyökkäys
Käytännön toteutus Polarisaatio ei säily tavallisissa tietoliikennekuiduissa vaihekoodaus Ei käytännöllistä yksifotonilähdettä vaimennettu laser Detektorit havaitsevat myös virheellisesti fotoneja (dark count) Vaimennus Optisten vahvistimien käyttö ei mahdollista Kvanttitoistimien tutkimus pitkällä Hyökkäykset Käyttävät hyödyksi epäideaalisia komponentteja
maailmalla Kaupalliset laitteet ID Quantique, (MagiQ) Tutkimusta Toshiba, HP, IBM, Mitsubishi, NEC, NTT, Quintessence Labs -verkot DARPA, SECOQC, SwissQuantum, Tokyo Network, Los Alamos National Laboratory, Peking Shanghai Elokuu 2016: Kiina laukaisi -satelliittin
Tutkimus Aallossa Clavis 2 ID Quantiquen valmis -alusta Käytännön testaus eri konfiguraatioilla Klassisen kanavan rajoittaminen Avaimien käyttösovellus Viestien ja tiedostojen lähetys (AES-256 ja OTP) Dynaaminen avainvarannon hallinta Virheenkorjaus Kerätty dataa avaimenjakoprosessista 373 Gt Dataa käytetty oman adaptiivisen virheenkorjauksen testaamiseen Klassisen ja kvanttikanavan yhdistäminen (WDM)
Clavis2 Manninen 17.11.2016
Key rate etäisyyden funktiona 10 4 SARG04 BB84 10 3 Rs [bits/s] 10 2 10 1 10 0 0 10 20 30 40 50 60 l [km] Dark countit rajoittavat toimintaetäisyyden 54 kilometriin
Q QBER etäisyyden funktiona 0.09 0.08 0.07 SARG04 BB84 0.06 0.05 0.04 0.03 0.02 0 10 20 30 40 50 60 l [km]
Virheenkorjauksessa vuodetut bitit 0.6 0.5 Fiber, SARG04 Fiber, BB84 Attenuator, SARG04 Shannon Limit 0.4 Nd=Ns 0.3 0.2 0.1 0 0 0.01 0.02 0.03 0.04 0.05 0.06 0.07 0.08 0.09 Q Virheenkorjaus vuotaa huomattavan määrän bittejä
Virheenkorjauksen kommunikaatioiden määrä 8000 7000 Fiber, SARG04 Fiber, BB84 Attenuator, SARG04 6000 5000 Ncom 4000 3000 2000 1000 0 0 0.01 0.02 0.03 0.04 0.05 0.06 0.07 0.08 0.09 Q Suuri määrä kommunikaatioita ongelma, jos klassisessa kanavassa viivettä
Privacy amplification 0.5 0.45 0.4 Fiber, SARG04 Fiber, BB84 Attenuator, SARG04 0.35 Nf =(Ns! Nd) 0.3 0.25 0.2 0.15 0.1 0.05 0 0 0.01 0.02 0.03 0.04 0.05 0.06 0.07 0.08 0.09 Q Vain murto-osa virheenkorjauksen jälkeisestä avaimesta jää käyttöön
t [min] Viive avaimien välillä 35 30 Fiber, SARG04 Fiber, BB84 Attenuator, SARG04 25 20 15 10 5 0 0 0.01 0.02 0.03 0.04 0.05 0.06 0.07 0.08 0.09 Q Huomattava viive avainerien välillä Ero vaimentimen ja kuidun välillä duty cycle
Esimerkki avaimenluonnista, 25 km, QBER 3.5 % Alicen avain 5.14 10 8 100 % Bobin avain 4.00 10 6 0.778 % Siftattu avain 9.95 10 5 0.194 % Vuodetut bitit 2.74 10 5 0.0534 % Lopullinen avain 2.39 10 5 0.0466 % Yksi bitti avainta jokaista 2100 lähetettyä pulssia kohden
Klassisen kanavan rajoittaminen Ei tarpeeksi kaistaa siftaus hidastuu RAM täyttyy raaka-avaimista Myös kaikki avainmateriaali menetetään tc [h] 5 4.5 4 3.5 3 2.5 2 1.5 0 200 400 600 800 1000 1200 B [kbits/s]
P [mw] Multipleksaus (1310 nm, 1550 nm) 10 0 10-1 Media Converter A Media Converter B 10-2 10-3 10-4 10-5 10-6 1280 1290 1300 1310 1320 1330 1340 6 [nm] Testattu kuluttajatason komponenteilla suuri määrä fotoneja kvanttikanavan aallonpituudella Testaus jatkuu paremmalla fotonilähteellä
Virheenkorjauksen tutkimus Kuitu [km] Hyötysuhde [%] 2 10 3 31 33 23.8 37 23.0 50 6.4 52 0 Hyötysuhde: kuinka suuri osa siftatusta avaimesta saadaan salaiseen avaimeen Pitkillä etäisyyksillä virheenkorjauksen tarve kasvaa ja suuri määrä bittejä menetetään Tutkittu yksinkertaisia adaptiivisia menetelmiä erityisesti pitkille matkoille Tutkimuksessa on käytetty kvanttikanavasta tallennettua dataa adaptiivisten menetelmien testaamiseen
Secret Key Rate [bits/s] Adaptiivinen virheenkorjaus Siirtokanavan virheet esiintyvät satunnaisesti Menetelmä adaptoituu käyttämään lohkoja, joissa on yksi virhe Lohkokoko adaptoidaan virhesuhteen perusteella Virheelliset lohkot hylätään Klassinen kanava suojattu 10 4 10 3 10 2 10 1 Clavis 2 Adaptive 10 0 0 10 20 30 40 50 60 Distance [km] Saavutetaan korkeampi key rate erityisesti pitkillä etäisyyksillä Myös klassisen kanavan käyttö pienenee Ei vaadi suurta määrää raaka-avainta aloittamiseen
Tutkimuksen tulevaisuus Eri virheenkorjausmenetelmät (LDPC, turbo, polar) intensiivisen tutkimuksen kohteena Virheenkorjauksessa tulee vääjäämättä Shannon-raja vastaan, joten itse -protokollien kehittämisessä enemmän potentiaalia 2D-kvanttijärjestelmiin perustuvia protokollia voidaan yleistää useampaan ulottuvuuteen Mahdollistavat korkeamman key raten Pyrimme rakentamaan 4D-järjestelmään perustuvan protokollan Vastaavia järjestelmiä on jo tutkittu käyttämättä kaikkia vapausasteita
Yhteenveto valmis käytännön sovelluksiin Testattu alusta stabiili pitkiäkin aikoja Käyttöönotto helppoa Yksi lievä haavoittuvuus löydettiin, joka on helppo korjata eikä vuoda informaatiota Kansainvälistä kiinnostusta Nopeudet jättävät kuitenkin toivomisen varaa, jos käytössä OTP Fotonidetektorit eniten rajoittava komponentti Cascade vuotaa bittejä, mutta adaptiivisella virheenkorjauksella saavutetaan merkittävä parannus Uudet protokollat lupaavia Klassisen signaalin yhdistäminen samaan kuituun haastavaa
Lähteet [1] C. H. Bennett ja G. Brassard, Quantum cryptography: public key distribution and coin tossing, teoksessa International Conference on Computer System and Signal Processing, IEEE, 1984, s. 175 179. [2] G. Brassard ja L. Salvail, Secret-key reconciliation by public discussion, teoksessa Workshop on the Theory and Application of of Cryptographic Techniques, Springer, 1993, s. 410 423. [3] C. H. Bennett, G. Brassard, C. Crépeau ja U. M. Maurer, Generalized privacy amplification, IEEE Transactions on Information Theory, vol. 41, nro 6, s. 1915 1923, 1995. [4] M. N. Wegman ja J. L. Carter, New hash functions and their use in authentication and set equality, Journal of computer and system sciences, vol. 22, nro 3, s. 265 279, 1981.
BB84-protokolla Kaksi komplementääristä kantaa 2D Hilbertin avaruudessa: Z ja X Kantavektorit ±z = 1 2 ( +x ± x ) ±x = 1 2 ( +z ± z ) Esimerkiksi fotonin polarisaatio Vertikaalinen tai horisontaalinen Mittauslaitteen kääntö 45 : ja
BB84-esimerkki Alicen tila Alicen bitti 1 0 1 0 1 1 0 0 Bobin tila Bobin bitti 1 1 0 0 1 1 0 0 Kanta Siftattu avain 1 0 1 0
Salakuuntelu 2 Alice Eve Bob 1/2 0 0 0 1/2 X 1/2 1/4 Z 0 1/8 1/8 0 1 1/4 1 1/8 1/8 0 1