BB84 y E91 permiten que Alice y Bob distribuyan una clave secreta de forma segura usando la mecánica cuántica. Pregunta natural: ¿puede la mecánica cuántica hacer más criptografía? ¿Puede resolver otros problemas con los que la criptografía clásica tiene dificultades?
La respuesta resulta ser: a veces sí, a veces no. El fallo más famoso es el del compromiso de bits, y la forma en la que falla es uno de los teoremas de imposibilidad más bonitos de la información cuántica.
¿Qué es el compromiso de bits?
El compromiso de bits es un protocolo entre dos partes que no confían la una en la otra. Alice quiere comprometerse con un bit secreto 0 o 1 sin revelarlo aún. Bob quiere asegurarse de que ella no pueda cambiarlo después.
Cualquier esquema de compromiso de bits tiene que cumplir dos propiedades:
Ocultación
Bob no puede saber el bit al que se ha comprometido Alice hasta que ella decida revelarlo.
Vinculación
Alice no puede cambiar el bit después de haberse comprometido con él.
Mecánicamente es fácil de imaginar. Alice escribe su bit en un papel, lo encierra en una caja y le entrega la caja a Bob. Bob tiene la caja pero no tiene la llave, así que no puede abrirla (ocultación). Alice ya no tiene la caja, así que no puede cambiar el contenido (vinculación). Cuando llega el momento, ella envía la llave y Bob abre la caja.
Pero esta versión del protocolo depende de supuestos físicos: una cerradura perfecta, una caja perfecta, ninguna forma de manipulación. El objetivo es construir lo mismo a partir de información, sin caja física.
El intento cuántico
Aquí va un protocolo cuántico con pinta natural. Alice quiere comprometerse con un bit b. Toma un elemento al azar de uno de dos conjuntos:
- guidePages.quantum-bit-commitment.quantumAttempt.bullet0
- guidePages.quantum-bit-commitment.quantumAttempt.bullet1
Prepara el qubit correspondiente y lo envía a Bob. Bob lo guarda y no hace nada más, de momento.
| Código | Estado |
|---|---|
| 00 | |0⟩ |
| 01 | |+⟩ |
| 10 | |1⟩ |
| 11 | |−⟩ |
En el momento de la revelación, Alice le dice a Bob exactamente qué estado envió. Bob mide en la base correspondiente y comprueba el resultado. Si no coincide, Alice queda al descubierto.
Comprobamos la ocultación
Si Alice se comprometió con 0, envió |0⟩ o |1⟩ con igual probabilidad. Bob no sabe cuál. Desde su perspectiva, el qubit es una mezcla completamente aleatoria.
Si Alice se comprometió con 1, envió |+⟩ o |−⟩ con igual probabilidad. Misma historia: desde la perspectiva de Bob, totalmente aleatorio.
Y aquí está el detalle clave: esas dos mezclas aleatorias son idénticas. La vista de Bob es literalmente la misma matriz de densidad tanto si Alice se comprometió con 0 como con 1. La ocultación se cumple perfectamente.
Comprobamos la vinculación
Alice ya envió el qubit a Bob. Ya no puede tocarlo. Así que no puede cambiar el bit al que se ha comprometido, ¿verdad?
Parece que la vinculación se cumple. Pero una de las dos propiedades está mal.
La trampa
Alice no tiene por qué preparar un único qubit honesto. En su lugar, prepara dos qubits, W y X, en un estado entrelazado. Envía X a Bob y se queda con W.
Desde la perspectiva de Bob, X tiene exactamente el mismo aspecto que antes. No puede distinguir entre que Alice sea honesta o que use entrelazamiento. La ocultación sigue cumpliéndose.
Pero Alice en realidad aún no se ha comprometido con nada. Ha conservado un asidero cuántico sobre el qubit de Bob a través de su mitad del par entrelazado.
El cambio en el momento de revelar
Llega la fase de revelación. Alice decide a posteriori a qué quiere haberse comprometido.
Si quiere afirmar que se comprometió con 1, mide su qubit W en la base X. Sea cual sea el resultado aleatorio que obtenga, el qubit X de Bob colapsa al |+⟩ o al |−⟩ correspondiente. Anuncia ese resultado, Bob mide y siempre coincide.
Si quiere afirmar que se comprometió con 0, mide W en la base Z. El qubit de Bob colapsa a |0⟩ o |1⟩. Misma historia.
Alice nunca toca el qubit de Bob después de haberlo entregado. Solo elige en qué dirección medir su propio qubit. El entrelazamiento hace el resto.
La vinculación ha fallado por completo. Alice nunca estuvo atada a ningún bit. El protocolo parecía seguro porque Bob no podía ver qué estado se había enviado. La trampa es que el estado nunca llegó a decidirse.
Por qué esto es fundamental
No es un fallo de un protocolo ingenioso concreto. Es una consecuencia de cómo funciona la mecánica cuántica, demostrada de forma independiente por Dominic Mayers y por Hoi-Kwong Lo y Hoi-Fung Chau en 1996/1997. El argumento es corto.
Para que un protocolo cuántico sea perfectamente ocultante, la vista de Bob debe ser idéntica tanto si Alice se comprometió con 0 como con 1. En el lenguaje de matrices de densidad: ρ_B(0) = ρ_B(1) en el lado de Bob.
Hay un teorema en información cuántica (Hughston-Jozsa-Wootters) que dice: si existen dos purificaciones de la misma matriz de densidad, siempre hay una transformación que Alice puede hacer solo sobre sus propios qubits que cambia una por la otra.
Esa transformación es la trampa de Alice. Siempre puede cambiar su compromiso de 0 a 1 (o al revés) sin que Bob lo sepa. La condición que hace ocultante al protocolo es la misma que garantiza que Alice puede hacer trampas.
Perfectamente ocultante implica no perfectamente vinculante. Siempre. Sin excepciones, sin parches ingeniosos.
Lo que la cuántica puede y no puede hacer
BB84 funcionó porque la mecánica cuántica hace detectable el espionaje. Esa es una ventaja cuántica real.
El compromiso de bits falla porque la mecánica cuántica hace no exigible el compromiso. Esa es una limitación cuántica real.
La cuántica puede
Distribuir una clave secreta.
BB84, E91 y los protocolos al estilo de BB84 que ya se usan hoy en redes de fibra reales.
La cuántica no puede
Exigir un compromiso secreto.
Mayers-Lo-Chau, 1996. Ningún protocolo cuántico puede ser a la vez perfectamente ocultante y perfectamente vinculante.
Lo interesante: ambos lados vienen de la misma física. El entrelazamiento es lo que permite a BB84 y E91 detectar espías. También es lo que permite a Alice hacer trampas en el compromiso de bits. La mecánica cuántica no es magia. Hay cosas concretas que puede hacer y cosas concretas que demostrablemente no puede hacer.