BB84 zeigte, dass die Quantenmechanik einen geheimen Schlüssel sicher verteilen kann, indem sie Lauschangriffe erkennbar macht. BB84 ist jedoch nicht das einzige Protokoll zur Quantenschlüsselverteilung.
1991 schlug Artur Ekert einen anderen Ansatz vor, heute Ekert91 oder E91 genannt. Statt zufällig vorbereitete Qubits zwischen Alice und Bob zu senden, beginnt E91 mit Paaren verschränkter Teilchen.
Der Aufbau
Eine zentrale Quelle erzeugt ein verschränktes Paar, sendet ein Teilchen an Alice und das andere an Bob. Einzeln betrachtet ist jedes Messergebnis zufällig. Weil die Teilchen aber verschränkt sind, sind Alices und Bobs Ergebnisse stark korreliert.
Das Ziel ist dasselbe wie bei BB84: Alice und Bob wollen einen geteilten geheimen Schlüssel haben, den ein Lauscher nicht unbemerkt lernen kann. Der Unterschied liegt darin, woher die Sicherheit kommt. Bei E91 stammt sie direkt aus den Korrelationen, die durch Verschränkung entstehen.
Woher der Schlüssel kommt
Wenn Alice und Bob ihre Qubits in der gleichen Basis messen, stimmen ihre Ergebnisse jedes Mal überein. Misst Alice 0, misst Bob 0. Misst Alice 1, misst Bob 1. Keiner kontrolliert das Ergebnis, doch die Ergebnisse sind perfekt korreliert.
Messen sie in unterschiedlichen Basen, passen die Ergebnisse in keiner brauchbaren Weise zusammen. Diese Runden sind für die Schlüsselerzeugung nutzlos und werden verworfen.
Sie sind Bob
Für jede Runde wird ein neues verschränktes Paar erzeugt. Alice erhält ein Teilchen; Ihr Qubi erhält das andere. Sie und Alice wählen unabhängig eine Messbasis – Z-Basis oder X-Basis.
Wählen Sie zufällig dieselbe Basis, stimmen Ihre Ergebnisse perfekt überein. Diese Runden werden zu Bits eines geteilten geheimen Schlüssels. Unterscheiden sich Ihre Basen, wird die Runde verworfen.
Nach vielen Runden gibt Alice öffentlich bekannt, welche Basis sie für jede Runde verwendet hat. Sie vergleichen die Basis-Wahl über einen öffentlichen Kanal und behalten nur die Runden, in denen Ihre Basen übereinstimmten. Übrig bleibt ein geteilter Zufallsschlüssel.
Beachten Sie den Unterschied zu BB84: Alice hat nie selbst ein Qubit vorbereitet. Der Schlüssel entstand aus Messungen an geteilten verschränkten Zuständen. Keiner kontrolliert die Bits des Schlüssels, und doch teilen sie ihn.
Was, wenn jemand zuhört?
Angenommen, Eve fängt die Teilchen ab, die zu Bob unterwegs sind. Sie versucht, sie zu messen, und schickt dann Ersatzteilchen weiter, um den Anschein zu wahren.
Eve steht vor einem Problem. Ein verschränktes Teilchen zu messen stört das verschränkte System selbst. Sie kann nicht heimlich Information abgreifen und gleichzeitig die ursprünglichen Quanten-Korrelationen bewahren.
Was Eve bricht
In einem sauberen verschränkten System erzeugen Messungen in passender Basis äußerst starke Korrelationen.
Eves Eingriff zerstört einen Teil dieser Verschränkung und führt erkennbare Inkonsistenzen ein. Runden, die hätten übereinstimmen sollen, enthalten nun Fehler.
Alice und Bob prüfen das, indem sie öffentlich die Ergebnisse einer kleinen Teilmenge ihrer basis-passenden Runden vergleichen. Sehen die Korrelationen perfekt aus, hat niemand zugehört, und sie verwenden die restlichen Runden als Schlüssel. Sind die Korrelationen schwach, wird der Schlüssel verworfen und sie beginnen neu.
Das ist exakt dieselbe Idee, die hinter dem CHSH-Bell-Test steckt. Starke Verschränkung erzeugt Korrelationen, die kein klassischer Lauscher fälschen kann. Schwache Korrelationen heißen: jemand hat die Qubits berührt.
BB84 vs. E91
BB84 und E91 lösen dasselbe Problem auf unterschiedliche Weise:
BB84
Sicherheit aus Mess-Störung.
Alice bereitet Qubits in zufälligen Basen vor. Eves Messung verändert sie. Bob und Alice vergleichen, und die Störung zeigt sich als Fehler.
E91
Sicherheit aus der Verschränkung selbst.
Eine Quelle verteilt verschränkte Paare. Eves Störung einer Hälfte schwächt die Korrelation zwischen den beiden Hälften, die Alice und Bob durch Prüfen der Bell-Ungleichung erkennen.
Die Quantenmechanik kann keine Nachrichten schneller als das Licht senden und nicht alles, was Kryptografen sich wünschen. Sie kann jedoch Korrelationen schaffen, die kein klassisches System reproduzieren kann, und diese Korrelationen reichen aus, um einen geheimen Schlüssel sicher zu verteilen.