Inhalt. 1. Kryptographie. 1. Etymologische Aspekte 2. Historische Aspekte 3. Probleme 4. (A-)Symmetrische Verschlüsselung

Transkript

1 Quantenkryptographie Quantenkryptographie 1 1 Inhalt 1. Kryptographie Quantenschlüsselaustausch 1. Etymologische Aspekte. Historische Aspekte 3. Probleme 4. (A-)Symmetrische Verschlüsselung. Quantenschlüsselaustausch (Quantum key distribution - QKD) 1. Quanten-Geld. Ein-Photonen-Systeme (BB84) 3. Ein-Photonen-Systeme (B9) 4. Zwei-Photonen-Systeme (E91) 3. Heutiger Stand der Technik 3

2 Etymologische Aspekte Kryptographie Kryptographie κρυπτός (kryptós) ( = geheim γράφειν (gráphein) = schreiben Kryptoanalyse κρυπτός (kryptós) ( = geheim ἀνάλυσις (analysis)( = Auflösung» «Der Drang, Geheimnisse aufzudecken, ist im Wesen des Menschen tief eingewurzelt; schon die einfachste Neugier beruht ja auf der Aussicht, ein Wissen zu teilen, das andere uns vorenthalten. - JOHN CHADWICK Kryptologie κρυπτός (kryptós) ( = geheim λόγος (lógos)( ( = Lehre 4 5 Etymologische Aspekte Etymologische Aspekte m = Klartext Alice Hallo Bob, wie geht es dir? Bob M c k = Menge aller Klartexte = Verschlüsselter Text = Schlüssel fk = Verschlüsselungsfunktion mit Schlüssel k Eve Definition Perfekte Sicherheit : abcde fghij k lmnop qrstu? p(m) =p(m c) 6 7

3 Historische Aspekte Historische Aspekte Vigenère-Chiffre Skytale 1500 n.chr.; Polyalphabetische Substitution Erweiterung der Caesar-Chiffre 500 v.chr.; Transpositions-Chiffre Über Holzstamm gewickeltes Lederband; die Reihenfolge der Buchstaben wird vertauscht HALLO HEIDE LBERG Caesar-Chiffre ESSEN ESSEN ESSEN 50 v.chr.; monoalphabetische Substitution Buchstaben werden um bestimmte Zahl nach rechts/links verschoben. Knacken durch Häufigkeitsanalyse LSDPB ZWMQI DFRVY Knacken durch Bestimmung der Schlüssellänge & Häufigkeitsanalyse Kamasutra 00 n.chr. Verschlüsselung 1 der 64 Künste, die jede Frau beherrschen sollte Skytale [Quelle: wikipedia.org] 8 Historische Aspekte Je länger der Schlüssel, desto sicherer! Blaise de Vigenère ( ) [Quelle: wikipedia.org] 9 Historische Aspekte One Time Pad One Time Pad Gilbert Vernam 1918; Polyalphabetische Substitution Erweiterung der Vigenère-Chiffre Textlänge = Schlüssellänge suggestiver Beweis perfekte Sicherheit Eve fängt XY ab, XY kann sein MO, DI, MI, DO, FR, SA, SO PDXYK TCKVL JEFMD RZVVH X Buchstabenweise Betrachtung (m = M; c = X; M = {M, D, M, D, F, S, S}) PQRHC OXCJZ VNZIQ LIVBD K ANGRI FFIMM ORGEN GRAUE N Kryptosystem perfekt sicher, wenn OMPLE PBZBZ FRASZ ANBCO P BRING EBLUM ENFUE RMUTT I p(m) = p(m c) =P Perfektes Kryptosystem, nicht knackbar! 10 p(m) P k m=fk 1 (c) k c{fk 1 (m) mm } p(k) p(k) p fk 1 (c) 11

4 Historische Aspekte Historische Aspekte p(m) =p(m c) = P m = M; c = X; M = {M, D, M, D, F, S, S} p(m) Pk m=f 1 (c) p(k) k c{f 1 k 7 = 1 7 = k 1 (m) mm} p(k) p fk (c) Enigma. Weltkrieg; deutsche Verschlüsselungsmaschine; Entschlüsselung durch Aliierte kriegsentscheidend DES 1976; Data Encryption Standard AES 000; Advanced Encryption Standard; Nachfolger von DES, auch heute noch im Einsatz Symmetrische Verschlüsselung: Benutzung desselben Schlüssels zum Ver-/Entschlüsseln! Enigma [Quelle: securityninja.co.uk] 1 13 Probleme (A-)Symmetrische Verschlüsselung Wie einigen sich Alice und Bob auf einen gemeinsamen Schlüssel, ohne dass Eve diesen mitbekommt? Wie stellt Alice sicher, dass nur Bob die Nachricht lesen darf? Schutzziel: Geheimhaltung/Vertraulichkeit Wie kann Alice beweisen, dass sie wirklich sie ist? Schutzziel: Authentizität/Authentisierung (aktiv) Wie kann Bob feststellen, ob die Nachricht tatsächlich von Alice ist? Schutzziel: Authentizität/Authentifizierung (passiv) RSA 1977; Ronald Rivest, Adi Shamir & Leonard Adleman Asymmetrisches Verfahren: Verschiedene Schlüssel zum Ver-/Entschlüsseln Schlüssel zum Verschlüsseln ist öffentlich bekannt ( public key ) Schlüssel zum Entschlüsseln ist privat ( private key ) public key und private key korrelieren miteinander Signaturen möglich Schlüssel werden durch externe Firmen zertifiziert Wie kann Bob feststellen, dass die Nachricht unverändert vorliegt? Schutzziel: Integrität 14 15

5 (A-)Symmetrische Verschlüsselung (A-)Symmetrische Verschlüsselung Symmetrische Verschlüsselung + sehr schnell und effizient + + sehr viele Algorithmen + Asymmetrische Verschlüsselung + One Time Pad unknackbar - sehr langsam - - direkter Schlüsseltausch nötig, nicht sofort verfügbar Nur Geheimhaltung wird gewährleistet kein direkter Schlüsseltausch, sofort verfügbar Geheimhaltung und Authentizität (passiv/aktiv) wird gewährleistet - aufwendige Infrastruktur - Schlüsselzertifikate sehr teuer Hybride Verschlüsselung symmetrische Verschlüsselung mit session key ; session key wird asymmetrisch ausgetauscht PGP (Pretty Good Privacy) 1991; Phil Zimmerman; Programm zum sicheren Verschlüsseln von Daten SSL-Protokoll (Secure Sockets Layer) hybride Verschlüsselung im Internet; Protokoll ist (theoretisch) 100% sicher; die verwendeten Chiffren nicht (A-)Symmetrische Verschlüsselung Quantenschlüsselaustausch (Quantum key distribution - QKD)» «Es ist ein Ergebnis der Quanten-Theorie, daß Ereignisse, obwohl sie räumlich getrennt und ohne Möglichkeit der Verbindung sind, durch Interaktion miteinander in Beziehung stehen. - DAVID BOHM 18 19

6 Quanten-Geld Quanten-Geld 1960er; Stephen Wiesner Vision: absolut fälschungssicheres Geld Auf Geldschein werden 0 polarisierte Photonen gespeichert; jede Seriennummer erhält bestimmtes Polarisierungspattern (,,! oder ") Fälscher müsste dieses Pattern kopieren ( oder ) 50/50% Wahrscheinlichkeit, die richtige/falsche Basis zu wählen Bank kann Echtheit einfach überprüfen "! "! " " "!! Einziges Problem: Photonenfallen 0 Ein-Photonen-Systeme (BB84) 1 Ein-Photonen-Systeme (BB84) Quantenkanal (Glasfaserkabel, Teleskopleitung,...) 1984; Charles H. Bennett, Gilles Brassard Alice: zufällige Photonenpolarisation (,,! oder "), je 1 Polarisation pro Basis entspricht 1 und 0 Bob: zufällige Basis-Auswahl zur Messung ( oder ) 50/50% Wahrscheinlichkeit, die richtige/falsche Basis zu wählen 1. Schritt:. Schritt: 3. Schritt: 4. Schritt: Alice schickt Bob zufällig polarisierte Photonen, Bob misst diese mit zufällig ausgewählten Basen. Bob teilt Alice mit, welche Basis er jeweils gewählt hat, Alice teilt ihm mit, welche Positionen korrekt gemessen wurden. Alice und Bob streichen alle anderen Positionen und überprüfen, ob Eve gelauscht hat, der Rest ist ihr Schlüssel. Verschlüsselung mit One Time Pad und Schlüssel. [Quelle: swissquantum.idquantique.com] 3

7 Ein-Photonen-Systeme (BB84) Ein-Photonen-Systeme (BB84) Intercept and resend-attacke: Messung und Präparation eines anderen Photons für Bob Eve: zufällige Auswahl ihrer Messbasis Eve wählt zu 50% die falsche Basis In weiteren 50% misst Bob trotz korrekter Basis die falsche Polarisation Falls Eve lauscht, stimmen 5% des Schlüssels nicht überein! Sicherheit durch Erkennen, nicht durch Verhindern von Lauschangriffen [Quelle: physik.uni-muenchen.de] 4 5 Ein-Photonen-Systeme (BB84) Ein-Photonen-Systeme (BB84) Intercept and resend-attacke: Messung und Präparation eines anderen Photons für Bob Eve: zufällige Auswahl ihrer Messbasis Eve wählt zu 50% die falsche Basis In weiteren 50% misst Bob trotz korrekter Basis die falsche Polarisation Falls Eve lauscht, stimmen 5% des Schlüssels nicht überein! Sicherheit durch Erkennen, nicht durch Verhindern von Lauschangriffen Beamsplitting-Methode: Es ist sehr schwer, Lichtimpulse mit exakt 1 Photon zu erzeugen. Falls >1 Photon: Eve nutzt Strahlteiler und misst das Photon. Kohärenter Angriff: Falls Speicherung der Photonen möglich, könnte Eve Photonen durch Beamsplitting einfangen und speichern. Durch Basen-Vergleich von Alice und Bob wüsste Eve, mit welcher Basis sie messen muss. Photonen-Speicherung (heute) unmöglich. 5 6

8 Ein-Photonen-Systeme (BB84) Ein-Photonen-Systeme (B9) Überprüfung durch partielle Schlüsselüberprüfung oder Paritätsvergleich n 3 Schlüsselüberprüfung: p(n unverfälschte Bits) = 4 Vergleich von 5 Bit: < 0.1% Vergleich von 60 Bit: unwahrscheinlicher als 6 Richtige im Lotto Paritätsvergleich: Vergleich verschiedener Schlüsselteilmengen auf (un-)gerade Anzahl von 0/1 n 1 p(n übereinstimmende Bereiche) = Vergleich von 10 Teilmengen: < 0.1 % Vergleich von 5 Teilmengen: unwahrscheinlicher als 6 Richtige im Lotto 199; Charles H. Bennett Alice: zufällige Photonenpolarisation ( oder! ) Bob: zufällige Basis-Auswahl zur Messung ( oder ) 1. Schritt: Alice schickt Bob zufällig polarisierte Photonen, Bob misst diese mit zufällig ausgewählten Basen.. Schritt: Bob streicht alle Positionen, bei welchen er oder! gemessen hat und teilt diese Positionen Alice mit. Sie überprüfen, ob Eve gelauscht hat, der Rest ist ihr Schlüssel. 3. Schritt: Verschlüsselung mit One Time Pad und Schlüssel. 7 8 Ein-Photonen-Systeme (B9) Zwei-Photonen-Systeme (E91) 0 0 i 1i 1 0 i 0i Misst Bob 1 0 i oder 0i, weiß er nicht, ob Alice tatsächlich diese Polarisation verwendet hat und verwirft diese Positionen. Misst Bob 1i oder 0 0 i, weiß er mit Sicherheit, dass Alice das Photon mit 1 0 i bzw. 0i polarisiert hat. 1 0 i entspricht 1, 0i entspricht 0. = ' p(passiert) = cos ( ) p(wird absorbiert) = sin ( ) [Quelle: physik.uni-muenchen.de] 9 30

9 Zwei-Photonen-Systeme (E91) Zwei-Photonen-Systeme (E91) 1991; Artur Ekert (unsichere) Photonenquelle erzeugt verschränkte Photonen verschränkte Photonen sind als 1 System zu betrachten verschiedene Wellenfunktionen: Bell-Zustände: ± = 1 p H A H B i ± 1 p V A V B i ± = 1 p H A V B i ± 1 p V A H B i (symmetrisch) (antisymmetrisch) x 45, 135 Quantenkanal mittels Satellit im Weltraum möglich, große Entfernungen möglich! 31 3 Zwei-Photonen-Systeme (E91) Zwei-Photonen-Systeme (E91) Alice und Bob: je 3 aus 4 verfügbaren Basen Alice Alice und Bob: zufällige Basis-Auswahl zur Messung 1. Schritt: Alice und Bob messen verschränkte Photonen mit zufälliger Basis.. Schritt: Alice und Bob vergleichen ihre Basen und streichen alle Einträge mit δ = Schritt: Die Einträge mit δ = 0 können nach evtl. Anpassung als Schlüssel für den One Time Pad genutzt werden. 4. Schritt: Überprüfung der Sicherheit mit CHSH-Ungleichung mit allen Einträgen mit δ {-.5,.5, 67.5 }. Bob a1 0 b1 0 a 45 b -.5 a3.5 b3.5 Erwartungswert Korrelationskoeffizient Quantenmechanik: E(a i,b j )=P (a + i,b+ j )+P (a i,b j ) P (a+ i,b j ) P (a i,b+ j ) = ± cos(a i b j ) S = ± p CHSH-Ungleichung (Überprüfung, ob Eve lauscht): CHSH (1969; Clauser, Horne, Shimony, Holt): Verallgemeinerung der Bellschen Ungleichung Sicherheit von E91 nicht zu 100% geklärt S = E(a 1,b 3 )+E(a 1,b )+E(a,b 3 ) E(a,b ) apple S apple 33 34

10 Heutiger Stand der Technik Was ist ein guter Quantenkanal?» «Heutiger Stand der Technik Natürlich ist Quantenkryptographie kein Rezept gegen menschliche Dummheit. [...] Wenn ich gute Lichtquellen habe und gute Detektoren, ist mein Schlüssel so lange sicher, bis ich dumme Fehler mache. - ARTUR EKERT Effizienz der Leitung? Rauschen? Luftverwirbelungen? Effizienz der Detektoren? Präzision der Einstellungen? Fehlerhafte Implementierung? Heutiger Stand der Technik Heutiger Stand der Technik Glasfaserkabel Teleskopverbindung 1989 (Charles H. Bennett): Schlüsselaustausch nach BB84 über 30 cm 1995 (Universität Genf): 3 km Glasfaserverbinung zw. Nyon und Genf + keine Luftverwirbelungen + große Entfernungen möglich, auch über Satellit 00: Schlüsselaustausch über 3.4 km mit 1500 bit/s - Extrem hohe Kosten für breites Glasfasernetz (Wartung!) + mobil einsetzbar - optimale Verlustrate bei ca bis 1550 nm + Luft wirkt im Bereich von nm besonders transparent [Quelle: xqp.physik.uni-muenchen.de] 37 38

11 Heutiger Stand der Technik Heutiger Stand der Technik : Erste Geldtransaktion über 1.5 km Glasfaserkabel 009 (Qin Liu, Sebastien Sauge): Quanten-Hack, 100% des Schlüssels kann ausgelesen werden Control generator (blinding)! CW! Faked state generator 007: QKD nach BB84 über 144 km (La Palma - Teneriffa) 01: QKD nach BB84 Boden - Flugzeug (90 km/h) [Quelle: quantenkryptographie.at] [Quelle: events.ccc.de] 1-Photonen-Detektor: Bob wird geblendet - Detektoren verhalten sich klassisch, d.h. sie sprechen auf die Intensität an Eve präpariert neuen Photonpuls an Bob und zwingt ihn, dieselbe Basis zu wählen 39 40» Vom kommerziellen Standpunkt aus gesehen macht Quantenkryptographie also nur dann Sinn, wenn die Verschlüsselung absolut lebenswichtige Bereiche betrifft. [...] Heute leben wir in einer Welt, wo es zwar nicht mehr so viele Feinde gibt, aber man seinen Freunden auch nicht mehr trauen kann. Dafür braucht «man eine andere Art der Kryptographie, die nicht so sehr auf die ultimative Sicherheit setzt. Vielmehr geht es darum, ein vernünftiges, angemessenes Level an Sicherheit zu garantieren. - ARTUR EKERT Vielen Dank für Eure Aufmerksamkeit! Gibt es noch Fragen? 41 4

12 Quellen/Literatur Simon Singh, Geheime Botschaften, DTV Christian Kollmitzer, Applied Quantum Cryptography, Springer Ilja Gerhardt et al., Full-field implementation of a perfect eavesdropper on a quantum cryptography system Quantenkryptographie.pdf