Quantenkryptographie

Transkript

1 Quantenkryptographie Ausarbeitung zu einem Vortrag in der Veranstaltung,,Sicherheitsaspekte in der Softwaretechnik im Wintersemester 2004/2005 Jan Loewe Peter Sander Technische Universität Berlin, Institut für Softwaretechnik und Theoretische Informatik 1

2 Quantenkryptographie 2 Inhaltsverzeichnis 1 Einleitung 3 2 Theorie Polarisation Polarisationsfilter Messfilter Das BB84-Protokoll Geschichte One-Time-Pad BB84-Funktionsweise Sicherheit Theorie II EPR-Photonenpaare Annahme lokal verborgener Variablen Bell sche Ungleichungen Widerspruch zw. Quantenmechanik und lokal verborgenen Variablen Experimentelle Befunde Das EPR-Protokoll 10 6 Probleme der Quantenkryptographie 10 7 Aktueller Stand 11 Literatur 12

3 Quantenkryptographie 3 1 Einleitung Die moderne Kryptographie hat viele gute Verfahren hervorgebracht um Geheimnisse zu verschlüsseln, die Sicherheit der meisten beruht jedoch auf irgendeinem, schwerzulösendem Problem. Häufig besitzen diese Probleme exponentielle Komplexität und scheinen Jahrmillionen für ihre Lösung zu brauchen. Doch mit steigender Rechenleistung der Computer kann man die Sicherheit der herkömmlichen Verfahren nicht mehr garantieren. Denn wenn man dem Moore-Gesetz glaubt, nach dem die Leistung der Rechner sich alle 18 Monate verdoppelt, und es keine,,obergrenze für die Leistungsfähigkeit der Silizium- Chips gibt, werden wir schon innerhalb weniger Jahrzehnte in der Lage sein Faktorisierungsprobleme zu lösen. Als Beispiel könnte man an der Stelle,,DES erwähnen. Das Verfahren war ein Vierteljahrhundert im Einsatz und galt als sicher wurde jedoch in den letzten Jahren mit Brute-Force gebrochen. An der Stelle muss auch der Quantencomputer erwähnt werden. Die Technologie wird aktuell sehr stark erforscht und man hofft in relativ kurzer Zeit (innerhalb einiger Jahrzehnte) einen praktisch einsetzbaren Rechner bauen zu können. Der Quantenrechner ist für die heutigen Kryptoverfahren deswegen so gefährlich, weil er eine massiv-parallele Maschine darstellt, mit deren Hilfe man der alten Frage der Informatik ob P=NP viel näher kommt. Der Faktorisierungsalgorithmus für die Quantencomputer, den Shor 1994 vorgestellt hat, besitzt eine Komplexität, die in P liegt. Angesichts dessen dürfen sich die Kryptographen nicht mehr auf mathematischbasierte Verfahren, die auf irgendwelchen Annahmen beruhen, verlassen, sondern sollen neue Alternativen finden. Eine davon wäre Physik, speziell Quantenphysik. Sie ist nicht nur für die Kryptologen von Vorteil, sondern auch für die Kryptographen. 2 Theorie Polarisation Die Quantenkryptographie basiert auf Photonen, das sind kleinste, nicht mehr teilbare Lichtteilchen. Sie können auch als elektromagnetische Wellen verstanden werden. Bei ihrer Ausbreitung im Raum schwingen sie. Die Ebene, in der die Photonen schwingen heißt Polarisation. Es gibt lineare und zirkularer Polarisation. Bei der ersten ist die Polarisation der Photonen während ihrer Ausbreitung konstant, bei der zirkularer hingegen rotiert sie mit einer bestimmten Frequenz. Beide Polarisationsarten können bei der Quantenkryptographie verwendet werden, im weiteren wird jedoch nur die lineare Polarisation betrachtet. 2.2 Polarisationsfilter Bei den Kryptographieprotokollen wird die Information über die Polarisation kodiert. Das normale Licht ist nicht polarisiert. Um es zu polarisieren, werden die Photonen mit unerwünschter Polarisation herausgefiltert. Dazu verwendet man Polarisationsfilter. Sie lassen nur Photonen mit einer bestimmten Polarisation durch. Doch wie auch bei allem in der Quantenphysik kann man sich nie sicher

4 Quantenkryptographie 4 sein was als nächstes wirklich passiert. An der Stelle wird Wahrscheinlichkeitsrechnung benutzt. Sei α der Unterschied zwischen den Polarisationen von dem Photon und dem Filter. Dann beträgt die Wahrscheinlichkeit, dass das Photon durchgelassen wird P(,,durchgelassen )=cos 2 α. Besitzt das Photon die gleiche Polarisation wie der Filter kommt er mit Wahrscheinlichkeit 1 durch. Ist seine Polarisation jedoch orthogonal zu der des Filters ist die Wahrscheinlichkeit gleich 0. Bei α = 45 können wir keine Voraussage treffen, denn das Photon wird mit Wahrscheinlichkeit 1 2 absorbiert und mit der gleichen Wahrscheinlichkeit durchgelassen. Darauf basieren eigentlich die Quantenzufallszahlengeneratoren. Mit einer ausgeklügelten Anordnung von Filtern kann man jede beliebige Polarisation erreichen. Diese Anordnung wird Pockels Zelle genannt. Bei den Protokollen interessieren uns nur Photonen deren Polarisation 0 und 90 beträgt, sie werden linearpolarisiert genannt, und 45, 135 polarisierte Photonen, sie nennt man diagonalpolarisiert. 2.3 Messfilter Polarisierte Photonen muss man auch auslesen. Dazu werden Kalziumkarbonatkristalle verwendet, oder kurz Kalzitkristalle. Dieses Kristall hat eine unregelmäßige Elektronenstruktur, das bedeutet, dass die Elektronen im Kristall in unterschiedlichen Richtungen unterschiedlich stark gebunden sind. Deswegen werden die Photonen mit verschiedener Polarisation beim passieren des Kristalls unterschiedlich stark abgelenkt. Von der Austrittsstelle kann man auf die Polarisation schließen. Dabei gibt es jedoch einen Haken. Ein Messfilter kann nur entweder linear- oder diagonalausgerichtete Photonen eindeutig zuordnen. Im anderen Fall kann keine Aussage getroffen werden. Die Polarisation des Photons kann sich beim Passieren des Kristalls ändern. Das führt dazu, dass man die Photonen weder klonen noch die Polarisierung der Photonen messen und dessen Zustand unverändert lassen kann. Auf der Tatsache basiert die Sicherheit der Quantenkryptographie. 3 Das BB84-Protokoll 3.1 Geschichte 1984 Stellen C. Bennet von IBM und G. Bassard von der Universität Montreal das erste praktikable quantenbasierte Protokoll. Bei dem Protokoll werden Photonen zur Übertragung von Information eingesetzt. Sie haben bereits zwei Jahre davor ihren ersten Vorschlag auf der Krypto82 vorgestellt, der jedoch technisch nicht möglich war, da die Speicherung der Teilchen nötig war. Später gab es Erweiterungen des Protokolls, die sich jedoch nicht durchgesetzt haben. Bei den Quantenprotokollen wird die Information meistens,,one-time-pad - verschlüsselt ausgetauscht. Mit Hilfe der polarisierten Photonen werden die Schlüssel sicher ausgetauscht. 3.2 One-Time-Pad One-Time-Pad ist ein informationstheoretisch sicheres, symmetrisches Verschlüsselungsverfahren. Bei dem Verfahren besitzen beide Parteien den gleichen Schlüs-

5 Quantenkryptographie 5 sel, er wird sowohl wie zum Schifrieren so auch zum Dechiffrieren benutzt. Die Sicherheit des One-Time-Pads beruht auf den Eigenschaften des Schlüssels: 1. Schlüssel ist nicht kürzer als die zu übertragende Nachricht 2. Der Schlüssel wird zufällig erzeugt 3. Einmalige Benutzung des Schlüssels Bis heute ist es das einzige informationstheoretisch sichere Verfahren, es hat aber auch ein Problem: die Übertragung des Schlüssels. Damit das Protokoll sicher läuft müssen beide, Alice und Bob, für jede Nachricht einen neuen Schlüssel erzeugen und dem anderen zusenden. Diese,,Achilles Ferse des One-Time-Pad wird mit Quantenprotokollen geschlossen. 3.3 BB84-Funktionsweise Für ihre sichere Kommunikation brauchen Alice und Bob 2 Arten von Verbindungen. Der erste Kanal soll öffentlich sein, z.b. ein Telefonkabel, der zweite ist ein Quantenkanal, wie z.b. ein Glasfaserkabel. Außerdem benötigt Bob 2 verschiedene Messfilter, einen linearen und einen diagonalen Filter. Alice ist in der Lage die Photonen einzeln zu erzeugen und beliebig zu polarisieren. Die Protagonisten sollen sich darauf einigen wie sie die Photonen kodieren wollen. Photonen mit Polarisation 0 und 45 repräsentieren binäre,,0, die mit 90 und 135 ausgerichtete Teilchen ihrerseits die,,1. 1. Zuerst erzeugt Alice eine zufällige Bitfolge. 2. Für jedes Bit entscheidet sich Alice zufällig ob sie ein diagonal oder linearpolarisiertes Photon erzeugen will. Alice merkt sich die resultierende Ausrichtung und Position der Teilchen. Der so erzeugte Teilchenstrom wird von Alice an Bob geschickt. 3. Da der Bob nicht weiß wie die Lichtquanten polarisiert wurden kommt noch einmal Zufall ins Spiel, er wählt wahllos zwischen den Messfiltern. Sollte er den richtigen Filter nehmen, dann kann er ziemlich sicher sein, dass er den richtigen Bitwert rausbekommt. Im anderen Fall ist die Wahrscheinlichkeit, dass er das richtige misst, gleich. Auf diese Weise erhält Bob eine Folge aus Einsen und Nullen, die an den Stellen, wo er der passenden Filter benutz hat, mit der der Alice hundertprozentig übereinstimmt. 4. Jetzt will Bob wissen an welchen Stellen er mit seiner Filterwahl richtig gelegen hat. Dazu sendet er an Alice über den öffentlichen Kanal in welcher Reihenfolge er die Filter benutzt hat. Die Ergebnisse behält er jedoch für sich. 5. Alice vergleicht die Information von Bob mit dem wie sie ihrerseits Photonen polarisiert hat und sendet die Positionen der übereinstimmungen zurück. Die Werte an den Positionen, die jetzt sowohl Alice wie auch Bob haben, ist der erzeugte Schlssel. Da Bob mit Wahrscheinlichkeit 1 2 den richtigen Messfilter gewählt hat, ist die Länge des Schlüssels ungefähr gleich der Hälfte der Länge der ursprünglichen Bitsequenz der Alice, weil er in der Hälfte der Fälle richtig liegen wird.

6 Quantenkryptographie 6 Zu beachten ist auch, dass kein fertiger Schlüssel gesendet wird, sondern der Schlüssel entsteht im Laufe des Protokolls. 3.4 Sicherheit Um sicher zu stellen, dass keiner an der Leitung gelauscht hat vergleichen sie ein Teil des Schlüssels. Mit der Länge der geprüften Sequenz wächst auch die Sicherheit über die Abwesenheit des Spions und Fehlerfreiheit der Übertragung. Denn wenn Eve den Quantenkanal anzapfen und die gesendeten Photonen messen wollen würde, muss sie genau wie Bob sich für einen Filter entscheiden. Sie wird in der Hälfte der Fälle falsch liegen. Da Alice nur Einzelphotonen sendet, kann Eve den Signal nicht splittern, erzeugt sie nun ein Photon mit der Polarisation, die sie für richtig hält. Somit ergibt sich für jedes Bit, das geprüft wird, die Wahrscheinlichkeit den Lauscher zu entdecken gleich. Vergleichen sie jedoch N Bit beträgt diese Wahrscheinlichkeit 1 ( 3 4 )N, die Wahrscheinlichkeit geht mit wachsendem N schnell gegen 1. Übersteigt die Fehlerrate nicht eine bestimmte Schwelle, können Alice und Bob mit der Kommunikation beginnen. 4 Theorie II In dem folgenden Abschnitt werden wir zusätzlich zu den bereits bekannten quantentheoretischen Grundlagen einige zusätzliche Theoreme und Fakten, die zum Verständnis des zweiten quantenkryptographischen Protokolls, des EPR- Protokolls, nötig sind, erläutern. 4.1 EPR-Photonenpaare Wir erinnern uns, daß beim Auftreffen eines Photons auf einen Polarisationsfilter trifft, wobei der Winkel zwischen der Polarisierung des Photons und der Ausrichtung des Filters α sei, dieses mit der Wahrscheinlichkeit p(α) = cos 2 (α) (1) den Filter passiert. Man kann dieses Resultat im Rahmen der Quantenmechanik folgendermaßen interpretieren: Erst wenn das Photon auf den Filter trifft, wird seine genaue Polarisation bestimmt. Vorher ist sie unbekannt. Diese Verhaltensweise ist für viele Physiker schwer zu akzeptieren gewesen, da sie der Laplace schen Vorstellung eines absolut deterministischen Modells des Universums zuwider läuft. Um die Ergebnisse der Quantenmechanik zu widerlegen, schlugen Einstein, Podolsky und Rosenberg 1935 ein Gedankenexperiment vor. Ursprünglich ging es dabei um Ort und Geschwindigkeit von Teilchen, wir werden hier aber zum besseren Verständnis eine modifizierte Variante mit Polarisation von Lichtquanten vorstellen. Stellen wir uns zwei Polarisationsfilter vor, zwischen denen sich eine Photonenquelle befindet, die paarweise Photonen in Richtung der Filter emittiert (Abb.).

7 Quantenkryptographie 7 Abbildung 1: EPR-Photonenpaare Nehmen wir an, beide Photonen kommen genau gleichzeitig bei ihren jeweiligen Filtern an. Außerdem hat jedes Paar eine ganz bestimmte Eigenschaft (die bei der Erzeugung in der Quelle sichergestellt wird): Wenn beide Filter die gleiche Polarisationsrichtung aufweisen, dann passieren entweder beide Photonen oder keines. Anders ausgedrückt haben beide Photonen die gleiche Polarisationsrichtung. Wir wissen, daß ein Photon beim auftreffen auf einen Filter diesen mit der Wahrscheinlichkeit cos 2 (α) passiert, wenn α der Winkel zwischen der Polarisation des Filters und des Photons ist. Man sollte also annehmen, daß (außer in den Spezialfällen 0 und 90 ) die Möglichkeit besteht, daß nur eines der beiden Photonen seinen Filter passiert, falls diese auf die gleiche Richtung eingestellt sind. Genau das passiert aber nicht. Der Satz,,Beide Photonen haben die gleiche Polarisationsrichtung ist also nicht ganz richtig. Besser wäre zu sagen, daß die Polarisation der Photonen im (quantenmechanisch) gleichen Zustand ist. D.h. sobald eines der Photonen seinen Filter passiert (oder nicht passiert), wird die Polarisation des anderen dadurch bestimmt. Man spricht hier von verschränkten Photonen bzw. von Photonen mit verschränkter Polarisation. Paradoxerweise sind die Photonen aber durch ihre räumliche Trennung nicht in der Lage, sich gegenseitig zu beeinflussen. Noch interessanter wird die Situation, wenn man den Filtern erlaubt, unterschiedliche Orientierungen (hier bezeichnet mit α und β) einzunehmen. Betrachten wir die Wahrscheinlichkeiten, die sich dadurch ergeben: Beide Photonen passieren ihren Polarisator: Angenommen eines der beiden Photonen erreicht den Polarisator. Dann sei p 0 die Wahrscheinlichkeit, daß es durchgelassen wird. Diese Größe brauchen wir für die weiteren Berechnungen, müssen sie aber nicht bestimmen, da sie später weggekürzt wird. (Es ist aber leicht zu erkennen, daß p 0 = 1 2, da sich das Photon so verhält, als ob α = β wäre.) Da wir den Fall betrachten, daß beide Photonen,,durchkommen, nehmen wir an, es passiert den Filter. Die Polarisation des anderen Photons ist jetzt festgelegt (nämlich α). Für das zweite Photon ist also die Wahrscheinlichkeit, daß es seinen Filter ebenfalls passiert cos 2 (α β), da der Winkel zwischen der (nun fixierten Polarisation) gerade α β ist. Die Wahrscheinlichkeit, daß beide Photonen durchgelas-

8 Quantenkryptographie 8 sen werden ist also: p(α, β) = p 0 cos 2 (α β) (2) Ein Photon passiert, das andere nicht: Da eines der beiden Photonen durch den Filter kommt, haben beide Photonen die Polarisierung α. Das andere kommt mit der Wahrscheinlichkeit cos 2 (α β) durch (s.o.). Dann ist die Wahrscheinlichkeit, daß es absorbiert wird die Umkehrwahrscheinlichkeit: 1 cos 2 (α β) = sin 2 (α β) (3) Also ist die Gesamtwahrscheinlichkeit für diesen Fall: p(α, β) = p 0 sin 2 (α β) (4) (Der Einfachheit halber bezeichnen wir mit β den Fall, daß das Photon am Polarisator mit der Orientierung β absorbiert wird.) Nehmen wir nun an, wir würden das Experiment tatsächlich durchführen und dazu eine Anzahl n von Photonen aussenden, wobei wir für die Polarisatoren nur einige wenige Stellungen erlauben (z.b. 0, 30 und 60 ). Wenn wir diese Orientierung zufällig bestimmen, sollten alle Kombinationen etwa gleich oft vorkommen. Anschließend bezeichnen wir die Anzahl der Versuche, in denen die Stellung beider Filter gleich war mit n 0. Die Anzahl der Versuche, bei denen beide Photonen die Polarisatoren passieren (α β) sollte dann (bis auf statistische Abweichungen) n(α, β) = n 0 cos 2 (α β) (5) sein. Für die Fälle in denen ein Photon durchkommt und das andere nicht ergibt sich: n(α, β) = n 0 sin 2 (α β) (6) 4.2 Annahme lokal verborgener Variablen Kommen wir zu Eingangs angesprochenem Problem zurück: Ist ein deterministisches Modell vorstellbar? Es könnte ja sein, daß die Photonen beim Aussenden gewisse Verhaltensregeln zugewiesen bekommen. In etwa:,,wenn Du auf einen Polarisator mit der Orientierung x triffst, dann darfst Du passieren. Da diese Eigenschaft nur das einzelne Photon betrifft, nennt man sie lokale Variable. Falls sie tatsächlich existieren, wäre es vorstellbar, eines Tages doch eine (sogenannte lokal-realistische) Theorie zu finden, die das Verhalten der Quanten deterministisch erklärt. Angenommen diese Variablen existieren. Betrachten wir wieder unser Experiment mit festgelegten Winkeln: Dann hat jedes Photon für jeden Winkel γ eine der folgenden Eigenschaften: R γ : Wenn das Photon auf einen Filter mit dem Winkel γ trifft, passiert es. R γ : Wenn das Photon auf einen Filter mit dem Winkel γ trifft, wird es absorbiert. In obenstehenden Gkeichungen wäre dann n(α, β) die halbe Anzahl der Photonen, in denen das linke die Eigenschaft R α und das rechte R β hat. n(α, β) wären ebenjene mit den Eigenschaften R α und R β.

9 Quantenkryptographie Bell sche Ungleichungen Die Bell schen Ungleichungen wurden 1964 von John Bell bewiesen und gelten allgemein für eine Anzahl von Objekten, die mindestens drei wohldefinierte Eigenschaften haben. Stellen wir uns eine Firma vor, in dem jeder Mitarbeiter folgende Eigenschaften hat: w oder w - der Mitarbeiter ist entweder weiblich oder nicht, a oder a - fährt mit dem Auto zur Arbeit oder nicht, und f oder f - spricht französisch oder nicht. Dann bezeichnen wir beispielsweise mit n(a, w) die Anzahl der Mitabeiterinnen, die weiblich sind und mit dem Auto zur Arbeit fahren, während n(f, a) diejenigen sind, die französisch können und nicht mit dem Auto fahren. In diesem System gilt dann (z.b.) diese Ungleichung: n(a, w) n(w, f) + n(a, f) (7) (Die Anzahl der Mitarbeiterinnen, die mit dem Auto zur Arbeit fahren ist kleiner oder gleich Summe der Anzahlen der Mitarbeiterinnen, die französisch können und der Mitarbeiterinnen oder Mitarbeiter, die mit dem Auto fahren und nicht französisch können.) 4.4 Widerspruch zw. Quantenmechanik und lokal verborgenen Variablen Wenden wir diese Erkenntnis auf unser Problem an: Dann sind unsere Eigenschaften eben jene lokalen Variablen R γ bzw. R γ für unsere drei Winkel (α, β und γ). Es ergibt sich folgende Bell sche Ungleichung: n(α, β) n(α, γ) + n(β, γ) (8) Die Wahrscheinlichkeiten für diese Anzahlen haben wir oben schon berechnet: n 0 cos 2 (α β) n 0 cos 2 (α γ) + n 0 sin 2 (β γ) (9) Wir setzen für α, β und γ 0, 30 und 60 ein und kürzen n 0 heraus: cos 2 ( 30 ) cos 2 ( 60 ) + sin 2 ( 30 ) (10) Das ergibt: (11) 4, was sicher falsch ist. Wir stellen also fest, daß sich die Vorraussagen der Quantenmechanik und die Annahme lokal verborgener Variablen widersprechen. 4.5 Experimentelle Befunde Wenn sich zwei Theorien widersprechen, bleibt nicht viel mehr, als sie experimentell zu prüfen. Bisher hat sich bei allen uns bekannten Experimenten die Quantenmechanik behauptet, was wir später zum Überprüfen der verschlüsselten Nachricht auf Abhören verwenden werden.

10 Quantenkryptographie 10 5 Das EPR-Protokoll Das EPR-Verfahren basiert auf dem eben betrachteten Experiment von Einstein, Podolsky und Rosenberg. Wie beim BB84-PRotokoll werden auch hier polarisierte Photonen verwendet, um einen Schlüssel zu übertragen. Allerdings werden diesmal Photonenpaare mit einer von drei zufällig bestimmten (verschränkten) Polarisationen von einer unabhängigen Quelle erzeugt. Alice und Bob (Sender und Empfänger) bestimmen zufällig einen von drei Polarisationsfiltern, mit denen sie ihr jeweiliges Photon messen. Wie beim BB84-Protokoll merken sich beide die verwendeten Polarisatorstellungen und die Messungen. Nachdem genügend Photonen versendet wurden, vergleichen Alice und Bob über einen öffentlichen Kanal die Wahl der Filterstellungen. Dabei können zwei Fälle auftreten: Beide haben dieselbe Basis gewählt - Die Meßwerte sind identisch (da die Photonen ja verschränkt sind), sie können also als Schlüssel verwendet werden. (Solange Alice und Bob nicht festellen, daß die Übertragung belauscht wurde.) Sie haben unterschiedliche Stellungen gewählt - Hier tauschen sie die Meßergebnisse aus und testen damit die Bell sche Ungleichung. Nehmen wir an, daß die Photonen auf einer Seite von einem Angreifer abgefangen werden. Durch das No-Cloning Theorem kann dieser Angreifer das Photon nicht mit der gleichen Polarisierung neu versenden. Er muß also ein Photon mit einer Polarisierung abschicken, von der er denkt, daß sie richtig sind. Durch das Messen des einen Photons ist nun aber die Verschränkung aufgebrochen, so daß mit hoher Wahrscheinlichkeit beide Photonen mit unterschiedlicher Polarisierung Alice bzw. Bob erreichen. In diesem Fall erfüllen diese Paare die Bell schen Ungleichungen. Wir wissen aber, daß die verschränkt polarisierten Photonen die Bell-Ungleichung verletzen müssen, also kann man durch Überprüfung genügend vieler Photonenpaare die statistische Wahrscheinlichkeit, daß ein Angriff unbemerkt bleibt beliebig minimieren. Da dieses Erfahren genau genommen keinen Schlüssel überträgt, sondern zufällig einen erzeugt, wird es häufig nicht als,,schlüsseltransferprotokoll, sondern als,,geheimschlüsselerzeugungsverfahren bezeichnet. 6 Probleme der Quantenkryptographie Wir haben bisher das Verhalten unserer Photonen nur in theoretischen Umgebungen betrachtet. Bei der praktischen Umsetzung gibt es wie immer Diskrepanzen. So können z.b. bei der Übertragung der Photonen durch mechanische oder thermische Einflüsse auf den optischen Leiter die Polarisationen der Photonen verändert werden. Diese Veränderungen sind zwar theoretisch berechenbar, dies würde jedoch eine ständige Überwachung des Übertragungskanals erfordern. Andere Fehlerquellen sind,,ungenau polarisierte Photonen (z.b. 44 statt 45 ), was eine leichte Veränderung der Meßwerte verursacht, oder das sogenannte Detektorrauschen (vgl. [4]). Um diese Probleme zu beseitigen, muß also ein Verfahren zur Fehlerkontrolle bzw. -korrektur angewandt werden. Dafür werden im sog.,,privacy amplificati-

11 Quantenkryptographie 11 on bekannten Vorgehen mehrere Bits zusammengefaßt, um ein Schlüsselbit zu erhalten. Dies führt dann zu einem weiteren Problem: Die Übertragung größerer Nachrichten erfordert sehr viel Zeit. Dadurch, daß bei beiden hier vorgestellten Verfahren nur ein Teil der übertragenen Quanten zur Schlüsselübertragung verwendet werden können und zusätzlich noch eine Fehlerkorrektur erforderlich ist, mit der aus diesen wiederum nur wenig Information extrahiert wird, kann man sich vorstellen, daß sehr viel mehr Photonen übertragen werden müssen, als letztendlich Daten verschlüsselt werden können. Das letzte Problem, das wir ansprechen wollen beruht auf dem No-Cloning Theorem. Dieses ist zwar eine der wichtigsten Theorien, um die Verfahren sicher zu machen, führt aber dazu, daß keinerlei Verstärkung des Signals möglich ist. In einem elektrischen System würde man einfach einen Repeater einschalten und somit die Reichweite nahezu beliebig erhöhen können. Aus diesem Grund gibt es bisher nur eingeschränkte Übertragungsreichweiten (ca. 100km mit Glasfaserkabeln) bei der Anwendung der Quantenkryptographie. 7 Aktueller Stand Das BB84-Protokoll ist inzwischen als kommerzielles Produkt realisiert und bei der Schweizer Firma id Quantique erhältlich. Der Hersteller gibt hierbei maximale Übertragungsentfernungen von 100km und Übertragungsraten von bis zu einem MBit/s an. Für EPR existieren derartige Lösungen noch nicht. Im Frühjahr 2004 gab es an der Universität Wien eine erste Realisierung[2].

12 Quantenkryptographie 12 Literatur [1] C. H. Bennet, G. Brassat, A. K. Ekert, Quanten-Kryptographie in Spektrum der Wissenschaften, 12/96ff, 1992 [2] A. Poppe, A. Fredrizzi, R. Ursin et. al., Practical quantum key distribution with polarization entangled photons in Optics Express, 12ff., 2004 [3] J. Toran, Skript zur Vorlesung Quantencomputer im SS2003 an der Universität Ulm, im Internet: [4] W. Tittel, J. Brendel, N. Gisin, G. Ribordy, H. Zbinden, Quantenkryptographie in Physikalische Blätter, 6/25ff, 1999 [5] knabner/qc/quantumcryptography.html