BB84 e E91 permitem que Alice e Bob distribuam uma chave secreta de forma segura usando mecânica quântica. Pergunta natural: a mecânica quântica consegue fazer mais criptografia? Consegue resolver outros problemas com os quais a criptografia clássica tem dificuldade?
A resposta acaba sendo: às vezes sim, às vezes não. A falha mais famosa é o compromisso de bits, e o jeito como ela falha é um dos teoremas de impossibilidade mais bonitos da informação quântica.
O que é compromisso de bits?
Compromisso de bits é um protocolo entre duas partes que não confiam uma na outra. A Alice quer se comprometer com um bit secreto 0 ou 1 sem revelá-lo ainda. O Bob quer ter certeza de que ela não vai conseguir mudá-lo depois.
Qualquer esquema de compromisso de bits tem que satisfazer duas propriedades:
Ocultamento
O Bob não pode descobrir o bit ao qual a Alice se comprometeu até que ela decida revelá-lo.
Vinculação
A Alice não pode mudar o bit depois de ter se comprometido com ele.
Mecanicamente é fácil de imaginar. A Alice escreve o bit num papel, tranca numa caixa e entrega a caixa ao Bob. O Bob fica com a caixa, mas não tem a chave, então não consegue abrir (ocultamento). A Alice não tem mais a caixa, então não consegue trocar o conteúdo (vinculação). Quando chega a hora, ela manda a chave e o Bob abre.
Mas essa versão do protocolo depende de hipóteses físicas: uma fechadura perfeita, uma caixa perfeita, nenhum jeito de adulterar. O objetivo é construir a mesma coisa a partir de informação, sem caixa física.
A tentativa quântica
Aqui vai um protocolo quântico de aparência natural. A Alice quer se comprometer com um bit b. Ela pega um elemento aleatório de um de dois conjuntos:
- guidePages.quantum-bit-commitment.quantumAttempt.bullet0
- guidePages.quantum-bit-commitment.quantumAttempt.bullet1
Ela prepara o qubit correspondente e manda para o Bob. O Bob guarda e, por enquanto, não faz nada.
| Código | Estado |
|---|---|
| 00 | |0⟩ |
| 01 | |+⟩ |
| 10 | |1⟩ |
| 11 | |−⟩ |
Na hora da revelação, a Alice diz para o Bob exatamente qual estado ela enviou. O Bob mede na base correspondente e confere o resultado. Se não bater, a Alice é pega.
Checamos o ocultamento
Se a Alice se comprometeu com 0, ela mandou ou |0⟩ ou |1⟩ com igual probabilidade. O Bob não sabe qual. Do ponto de vista dele, o qubit é uma mistura completamente aleatória.
Se a Alice se comprometeu com 1, ela mandou ou |+⟩ ou |−⟩ com igual probabilidade. Mesma história: do ponto de vista do Bob, totalmente aleatório.
E o detalhe é esse: essas duas misturas aleatórias são idênticas. A visão do Bob é literalmente a mesma matriz de densidade, quer a Alice tenha se comprometido com 0 ou com 1. O ocultamento vale perfeitamente.
Checamos a vinculação
A Alice já mandou o qubit para o Bob. Ela não consegue mais tocar nele. Então não consegue mudar o bit com o qual se comprometeu, certo?
Parece que a vinculação vale. Mas uma das duas propriedades está errada.
A trapaça
A Alice não precisa preparar um único qubit honesto. Em vez disso, ela prepara dois qubits, W e X, em um estado emaranhado. Manda X para o Bob e fica com W.
Do ponto de vista do Bob, X parece exatamente igual a antes. Ele não consegue distinguir entre a Alice ser honesta e a Alice usar emaranhamento. O ocultamento continua valendo.
Mas, na verdade, a Alice ainda não se comprometeu com nada. Ela manteve um cabo quântico sobre o qubit do Bob através da sua metade do par emaranhado.
A troca na hora da revelação
Chega a fase de revelação. A Alice decide depois do fato com o que ela quer ter se comprometido.
Se ela quer afirmar que se comprometeu com 1, mede o seu qubit W na base X. Qualquer que seja o resultado aleatório, o qubit X do Bob colapsa para o |+⟩ ou |−⟩ correspondente. Ela anuncia esse resultado, o Bob mede, e sempre bate.
Se ela quer afirmar que se comprometeu com 0, mede o W na base Z. O qubit do Bob colapsa para |0⟩ ou |1⟩. Mesma história.
A Alice nunca toca no qubit do Bob depois de entregá-lo. Ela só escolhe em qual direção medir o próprio qubit. O emaranhamento faz o resto.
A vinculação falhou completamente. A Alice nunca ficou presa a nenhum dos bits. O protocolo parecia seguro porque o Bob não conseguia ver qual estado tinha sido enviado. A trapaça é que o estado nunca foi decidido.
Por que isso é fundamental
Isso não é uma falha em um protocolo específico engenhoso. É uma consequência do funcionamento da mecânica quântica, demonstrada independentemente por Dominic Mayers e por Hoi-Kwong Lo e Hoi-Fung Chau em 1996/1997. O argumento é curto.
Para um protocolo quântico ser perfeitamente ocultante, a visão do Bob precisa ser idêntica quer a Alice tenha se comprometido com 0 ou 1. Na linguagem das matrizes de densidade: ρ_B(0) = ρ_B(1) do lado do Bob.
Existe um teorema em informação quântica (Hughston-Jozsa-Wootters) que diz: se existem duas purificações da mesma matriz de densidade, sempre há uma transformação que a Alice pode aplicar só nos próprios qubits dela que troca uma pela outra.
Essa transformação é a trapaça da Alice. Ela sempre consegue mudar o compromisso de 0 para 1 (ou vice-versa) sem o Bob saber. A condição que torna o protocolo ocultante é a mesma condição que garante que a Alice pode trapacear.
Perfeitamente ocultante significa não perfeitamente vinculante. Sempre. Sem exceção, sem solução engenhosa.
O que a quântica consegue e não consegue
O BB84 funcionou porque a mecânica quântica torna a escuta detectável. Essa é uma vantagem quântica real.
O compromisso de bits falha porque a mecânica quântica torna o compromisso inexigível. Essa é uma limitação quântica real.
A quântica consegue
Distribuir uma chave secreta.
BB84, E91 e os protocolos no estilo BB84 já implantados em redes reais de fibra hoje.
A quântica não consegue
Garantir um compromisso secreto.
Mayers-Lo-Chau, 1996. Nenhum protocolo quântico pode ser ao mesmo tempo perfeitamente ocultante e perfeitamente vinculante.
O interessante: os dois lados vêm da mesma física. O emaranhamento é o que permite ao BB84 e ao E91 detectarem espiões. Também é o que permite à Alice trapacear no compromisso de bits. A mecânica quântica não é mágica. Tem coisas específicas que consegue fazer e coisas específicas que comprovadamente não consegue.