Distribución de claves cuánticas

Este protocolo, conocido como BB84 por sus inventores y año de publicación, se describió originalmente utilizando estados de polarización de fotones para transmitir la información. ^{[ 6 ]} Sin embargo, se pueden usar dos pares cualesquiera de estados conjugados para el protocolo, y muchas implementaciones basadas en fibra óptica descritas como BB84 usan estados codificados en fase. El emisor (tradicionalmente llamado Alice ) y el receptor (Bob) están conectados por un canal de comunicación cuántica que permite la transmisión de estados cuánticos . En el caso de los fotones, este canal suele ser una fibra óptica o simplemente el espacio libre . Además, se comunican a través de un canal clásico público, por ejemplo, mediante radiodifusión o internet. El protocolo está diseñado bajo el supuesto de que un espía (llamado Eve) puede interferir de cualquier manera con el canal cuántico, mientras que el canal clásico necesita ser autenticado . ^{[ 7 ] [ 8 ]}

La seguridad del protocolo proviene de la codificación de la información en estados no ortogonales . La indeterminación cuántica implica que estos estados no pueden medirse en general sin perturbar el estado original (véase el teorema de no clonación ). BB84 utiliza dos pares de estados, cada par conjugado al otro, y los dos estados dentro de un par son ortogonales entre sí. Los pares de estados ortogonales se denominan base . Los pares de estados de polarización habituales son la base rectilínea de vertical (0°) y horizontal (90°), la base diagonal de 45° y 135° o la base circular de quiralidad izquierda y derecha. Cualquier par de estas bases son conjugadas entre sí, por lo que se pueden utilizar cualesquiera dos en el protocolo. A continuación se utilizan las bases rectilínea y diagonal.

El primer paso en BB84 es la transmisión cuántica. Alice crea un bit aleatorio (0 o 1) y luego selecciona aleatoriamente una de sus dos bases (rectilínea o diagonal en este caso) para transmitirlo. A continuación, prepara un estado de polarización del fotón que depende tanto del valor del bit como de la base, como se muestra en la tabla adjunta. Por ejemplo, un 0 se codifica en la base rectilínea (+) como un estado de polarización vertical, y un 1 se codifica en la base diagonal (x) como un estado de 135°. Alice transmite entonces un solo fotón en el estado especificado a Bob, utilizando el canal cuántico. Este proceso se repite desde la etapa del bit aleatorio, y Alice registra el estado, la base y el tiempo de cada fotón enviado.

Según la mecánica cuántica (en particular, la indeterminación cuántica), ninguna medición posible distingue entre los cuatro estados de polarización diferentes, ya que no todos son ortogonales. La única medición posible es entre dos estados ortogonales cualesquiera (una base ortonormal). Así, por ejemplo, medir en la base rectilínea da como resultado un estado horizontal o vertical. Si el fotón se creó como horizontal o vertical (como un autoestado rectilíneo ), entonces esta medición corresponde al estado correcto; pero si se creó a 45° o 135° (autoestados diagonales), entonces la medición rectilínea devuelve aleatoriamente un estado horizontal o vertical. Además, después de esta medición, el fotón se polariza en el estado en el que se midió (horizontal o vertical), perdiéndose toda la información sobre su polarización inicial.

Como Bob desconoce la base en la que se codificaron los fotones, lo único que puede hacer es seleccionar una base al azar para realizar la medición, ya sea rectilínea o diagonal. Repite este proceso para cada fotón que recibe, registrando la hora, la base de medición utilizada y el resultado. Una vez que Bob ha medido todos los fotones, se comunica con Alice a través del canal clásico público. Alice transmite la base en la que se envió cada fotón, y Bob la base en la que se midió cada uno. Ambos descartan las mediciones de fotones (bits) en las que Bob utilizó una base diferente, que en promedio representan la mitad, dejando la otra mitad de los bits como clave compartida.

Para comprobar la presencia de un espía, Alice y Bob comparan un subconjunto predeterminado de sus cadenas de bits restantes. Si un tercero (generalmente llamado Eve, por "espía") ha obtenido información sobre la polarización de los fotones, esto introduce errores en las mediciones de Bob. Otras condiciones ambientales pueden causar errores de manera similar. Si más de${\displaystyle p}$Si los bits difieren, se aborta la clave y se vuelve a intentar, posiblemente con un canal cuántico diferente, ya que no se puede garantizar la seguridad de la clave.${\displaystyle p}$Se elige de manera que, si el número de bits conocidos por Eve es menor que este, se pueda utilizar la amplificación de la privacidad para reducir el conocimiento que Eve tiene de la clave a una cantidad arbitrariamente pequeña, a costa de reducir la longitud de la clave.

Los análisis de clave finita tienen en cuenta las fluctuaciones estadísticas cuando solo se intercambia un número finito de señales cuánticas. Hayashi propuso un marco de evaluación de seguridad de longitud finita para la distribución de claves cuánticas, ^{[ 9 ]} y posteriormente Hayashi y Tsurumaru derivaron un análisis de seguridad de clave finita riguroso para el protocolo BB84. ^{[ 10 ]}

Koashi y Preskill también proporcionaron una prueba de seguridad BB84 con una fuente no caracterizada, asumiendo en particular que los estados emitidos no revelan la elección de la base. ^{[ 11 ]}

El esquema de Artur Ekert ^{[ 12 ]} utiliza pares de fotones entrelazados. Estos pueden ser creados por Alice, por Bob o por alguna fuente independiente de ambos, incluyendo a la espía Eve. Los fotones se distribuyen de manera que Alice y Bob terminan cada uno con un fotón de cada par.

El esquema se basa en dos propiedades del entrelazamiento. Primero, los estados entrelazados están perfectamente correlacionados, de modo que si Alice y Bob miden si sus partículas tienen polarización vertical u horizontal, siempre obtienen resultados opuestos con una probabilidad del 100 %. Lo mismo ocurre si miden cualquier otro par de polarizaciones complementarias (ortogonales). Esto requiere que las dos partes distantes tengan una sincronización direccional exacta. Sin embargo, los resultados particulares son completamente aleatorios; es imposible que Alice prediga si ella (y por lo tanto Bob) obtendrá polarización vertical u horizontal. Segundo, cualquier intento de espionaje por parte de Eve destruye estas correlaciones de una manera que Alice y Bob pueden detectar.

De forma similar a BB84 , el protocolo implica un protocolo de medición privado antes de detectar la presencia de Eve. La etapa de medición implica que Alice mida cada fotón que recibe utilizando alguna base del conjunto.${\displaystyle Z_{0},Z_{\frac {\pi }{8}},Z_{\frac {\pi }{4}}}$mientras Bob elige de ${\displaystyle Z_{0},Z_{\frac {\pi }{8}},Z_{-{\frac {\pi }{8}}}}$dónde${\displaystyle Z_{\theta }}$es el${\displaystyle \{|{\uparrow }\rangle ,\;|{\rightarrow }\rangle \}}$base rotada por${\displaystyle \theta }$Mantienen en privado su serie de elecciones de base hasta que se completan las mediciones. Se crean dos grupos de fotones: el primero consta de fotones medidos usando la misma base por Alice y Bob, mientras que el segundo contiene todos los demás fotones. Para detectar la interceptación, pueden calcular el estadístico de prueba.${\displaystyle S}$utilizando los coeficientes de correlación entre las bases de Alice y las de Bob, similares a los mostrados en los experimentos de prueba de Bell . Los fotones máximamente entrelazados darían como resultado${\displaystyle |S|=2{\sqrt {2}}}$Si esto no fuera así, Alice y Bob podrían concluir que Eve ha introducido realismo local en el sistema, violando el teorema de Bell . Si el protocolo tiene éxito, el primer grupo puede utilizarse para generar claves, ya que esos fotones están completamente desalineados entre Alice y Bob.

Una de las vulnerabilidades más significativas en un criptosistema, ya sea cuántico o clásico, surge de una discrepancia entre su diseño teórico y su implementación real. ^{[ 13 ]} Si un criptosistema se implementa correctamente y el hardware funciona como se espera, todo funciona sin problemas. Sin embargo, los sistemas reales son imprecisos. En la QKD tradicional, los dispositivos cuánticos utilizados deben estar perfectamente calibrados, ser confiables y funcionar exactamente como se espera. ^{[ 14 ]} Las desviaciones de las mediciones esperadas pueden ser extremadamente difíciles de detectar, lo que deja a todo el sistema vulnerable. Un nuevo protocolo llamado QKD independiente del dispositivo (DIQKD) o QKD independiente del dispositivo de medición (MDIQKD) permite el uso de dispositivos no caracterizados o no confiables, y que las desviaciones de las mediciones esperadas se incluyan en el sistema general. ^{[ 14 ] [ 15 ]} Estas desviaciones harán que el protocolo se aborte cuando se detecten, en lugar de resultar en datos incorrectos. ^{[ 14 ]} Específicamente, la seguridad de un protocolo no depende de un modelo o implementación correctos. Debido a sus sólidas garantías de seguridad, los protocolos DI como DI-QKD se consideran el estándar de oro en criptografía, ya que ningún ataque puede explotar las discrepancias entre los modelos teóricos y la implementación del hardware cuántico. ^{[ 16 ]}

El aspecto más significativo de los protocolos DI-QKD radica en su capacidad para verificar la imprevisibilidad de los resultados generados por diversos dispositivos, como los empleados para la generación de claves criptográficas, los cálculos cuánticos o la caracterización de propiedades cuánticas, incluido el entrelazamiento. ^{[ 17 ]} Por lo tanto, los protocolos DI-QKD extienden su utilidad más allá del ámbito de la criptografía, sirviendo como una técnica formidable para la caracterización de hardware. Esto es particularmente pertinente en la evaluación de componentes y funcionalidades en sistemas de comunicación cuántica, especialmente en lo que respecta a las métricas de fidelidad. A pesar de los avances notables en el campo, los protocolos DI-QKD siguen dependiendo de un conjunto limitado de supuestos mínimos. Estos incluyen la capacidad de sincronización de reloj y la expectativa de que el hardware clásico funcione según lo especificado. ^{[ 18 ]} Actualmente, si bien el potencial de DI-QKD es sustancial, persisten desafíos relacionados con la distribución confiable del entrelazamiento y la necesidad de un rendimiento mejorado en todos los sistemas. Por lo tanto, todavía se requiere un esfuerzo de investigación considerable para llevar los esquemas DI-QKD a su máximo potencial.

La DIQKD fue propuesta inicialmente por Mayers y Yao, ^{[ 19 ]} basándose en el protocolo BB84. Presentaron que en la DIQKD, el dispositivo cuántico, al que denominan fuente de fotones, se fabricaría con pruebas que Alice y Bob podrían ejecutar para "autoverificar" si su dispositivo funciona correctamente. Dicha prueba solo necesitaría considerar las entradas y salidas clásicas para determinar cuánta información corre el riesgo de ser interceptada por Eve. Una fuente autoverificada, o "ideal", no tendría que ser caracterizada, ^{[ 15 ] [ 20 ]} y, por lo tanto, no sería susceptible a fallos de implementación. ^{[ 15 ]}

Investigaciones recientes han propuesto utilizar una prueba de Bell para verificar que un dispositivo funcione correctamente. ^{[ 14 ]} El teorema de Bell garantiza que un dispositivo puede generar dos resultados exclusivamente correlacionados, lo que significa que Eve no podría interceptar los resultados, sin hacer suposiciones sobre dicho dispositivo. Esto requiere estados altamente entrelazados y una baja tasa de error de bits cuánticos. ^{[ 15 ]} La DIQKD presenta dificultades para crear cúbits que se encuentren en estados entrelazados de tan alta calidad, lo que dificulta su realización experimental. ^{[ 14 ]}

En 2026, investigadores informaron sobre una demostración experimental de comunicación cuántica basada en entrelazamiento a larga distancia a través de fibra óptica , que superaba los 100 km, utilizando átomos individuales, según informaron los medios de comunicación. ^{[ 21 ]} Si bien estos experimentos aún no cumplen con todos los requisitos para la DIQKD completa, ilustran el progreso continuo hacia implementaciones prácticas de comunicación cuántica independiente del dispositivo. ^{[ 22 ]}

La distribución de clave cuántica de campo doble (TF-QKD) se introdujo en 2018 y es una versión de DIQKD diseñada para mejorar la seguridad y superar el límite fundamental de velocidad-distancia de los protocolos QKD tradicionales. ^{[ 23 ]} El límite de velocidad-distancia, también conocido como compensación de velocidad-pérdida, describe cómo a medida que aumenta la distancia entre Alice y Bob, la velocidad de generación de claves disminuye exponencialmente. ^{[ 24 ]} En los protocolos QKD tradicionales, esta disminución se ha eliminado mediante la adición de nodos de retransmisión físicamente seguros, que pueden colocarse a lo largo del enlace cuántico con la intención de dividirlo en varias secciones de baja pérdida. Los investigadores también han recomendado el uso de repetidores cuánticos, que cuando se agregan a los nodos de retransmisión hacen que ya no necesiten estar físicamente seguros. ^{[ 24 ]} Sin embargo, los repetidores cuánticos son difíciles de crear y aún no se han implementado a una escala útil. ^{[ 23 ]} El TF-QKD busca sortear el límite de velocidad-distancia sin utilizar repetidores cuánticos ni nodos de retransmisión, generando niveles de ruido manejables y un proceso que puede repetirse con mucha más facilidad con la tecnología actual. ^{[ 23 ]} Lo más importante es que el protocolo TF-QKD utiliza eficazmente señales sincronizadas en fase provenientes de fuentes de luz cuántica distantes. Esto permite la medición de bits clave sin necesidad de un canal cuántico directo entre las dos partes.

El protocolo original para TF-QKD es el siguiente: Alice y Bob tienen cada uno una fuente de luz y un brazo en un interferómetro en sus laboratorios. Las fuentes de luz crean dos pulsos ópticos débiles con una fase aleatoria p _a o p _b en el intervalo [0, 2π) y una fase de codificación γ _a o γ _b . Los pulsos se envían a través de un cuanto a Charlie, un tercero que puede ser malicioso o no. Charlie usa un divisor de haz para superponer los dos pulsos y realizar una medición. Tiene dos detectores en su laboratorio, uno de los cuales se iluminará si los bits son iguales (00) o (11), y el otro cuando son diferentes (10, 01). Charlie les anunciará a Alice y Bob cuál de los detectores se iluminó, momento en el que revelarán públicamente las fases p y γ . ^{[ 23 ]} Esto es diferente de la QKD tradicional, en la que las fases utilizadas nunca se revelan. ^{[ 25 ]}

En 1991, John Rarity , Paul Tapster y Artur Ekert , investigadores de la Agencia de Investigación de Defensa del Reino Unido en Malvern y de la Universidad de Oxford, demostraron la distribución de claves cuánticas protegida por la violación de las desigualdades de Bell.

En 2008, se logró el intercambio de claves seguras a 1  Mbit/s (a través de 20  km de fibra óptica) y 10  kbit/s (a través de 100 km de fibra) mediante una colaboración entre la Universidad de Cambridge y Toshiba utilizando el protocolo BB84 con pulsos de estado señuelo . ^{[ 32 ]} 

En 2007, el Laboratorio Nacional de Los Alamos / NIST logró la distribución de claves cuánticas a través de 148,7  km de fibra óptica utilizando el protocolo BB84. ^{[ 33 ]} Es significativo que esta distancia sea lo suficientemente larga para casi todos los tramos que se encuentran en las redes de fibra actuales. Una colaboración europea logró la QKD en espacio libre a través de 144  km entre dos de las Islas Canarias utilizando fotones entrelazados (el esquema de Ekert) en 2006, ^{[ 34 ]} y utilizando BB84 mejorado con estados señuelo ^{[ 35 ] [ 36 ] [ 37 ] [ 38 ] [ 39 ]} en 2007. ^{[ 40 ]}

A fecha de agosto de 2015 La mayor distancia alcanzada por fibra óptica (307  km) ^{[ 41 ]} fue lograda por la Universidad de Ginebra y Corning Inc. En el mismo experimento,  se generó una tasa de clave secreta de 12,7 kbit/s, lo que la convirtió en el sistema con la mayor velocidad de bits en distancias de 100  km. En 2016, un equipo de Corning y varias instituciones en China alcanzó una distancia de 404  km, pero con una velocidad de bits demasiado baja para ser práctica. ^{[ 42 ]}

En junio de 2017, físicos liderados por Thomas Jennewein en el Instituto de Computación Cuántica y la Universidad de Waterloo en Waterloo, Canadá, lograron la primera demostración de distribución de claves cuánticas desde un transmisor terrestre a una aeronave en movimiento. Informaron de enlaces ópticos con distancias de entre 3 y 10  km y generaron claves seguras de hasta 868 kilobytes de longitud. ^{[ 43 ]}

También en junio de 2017, como parte del proyecto Experimentos Cuánticos a Escala Espacial , físicos chinos liderados por Pan Jianwei en la Universidad de Ciencia y Tecnología de China midieron fotones entrelazados a una distancia de 1203  km entre dos estaciones terrestres, sentando las bases para futuros experimentos intercontinentales de distribución de claves cuánticas. ^{[ 44 ]} Los fotones se enviaron desde una estación terrestre al satélite que habían denominado Micius y de vuelta a otra estación terrestre, donde "observaron una supervivencia del entrelazamiento de dos fotones y una violación de la desigualdad de Bell de 2,37 ± 0,09 bajo condiciones estrictas de localidad de Einstein" a lo largo de una "longitud total que varía de 1600 a 2400 kilómetros". ^{[ 45 ]} Más tarde ese año, BB84 se implementó con éxito a través de enlaces satelitales desde Micius a estaciones terrestres en China y Austria. Las claves se combinaron y el resultado se utilizó para transmitir imágenes y video entre Beijing, China, y Viena, Austria. ^{[ 46 ]}

En agosto de 2017, un grupo de la Universidad Jiaotong de Shanghái demostró experimentalmente que los estados cuánticos de polarización, incluidos los cúbits generales de un solo fotón y los estados entrelazados, pueden sobrevivir bien después de viajar a través del agua de mar, ^{[ 47 ]} lo que representa el primer paso hacia la comunicación cuántica subacuática.

En mayo de 2019, un grupo liderado por Hong Guo en la Universidad de Pekín y la Universidad de Correos y Telecomunicaciones de Pekín informó sobre pruebas de campo de un sistema QKD de variable continua a través de redes de fibra comerciales en Xi'an y Guangzhou a distancias de 30,02  km (12,48  dB) y 49,85  km (11,62  dB) respectivamente. ^{[ 48 ]}

En diciembre de 2020, la Organización de Investigación y Desarrollo de la Defensa de la India probó un sistema QKD entre dos de sus laboratorios en las instalaciones de Hyderabad. El sistema también demostró la validación de la detección de un tercero que intentaba obtener información sobre la comunicación. La seguridad cuántica contra la interceptación se validó para el sistema desplegado a un alcance de más de 12 km (7,5 millas) y con una atenuación de 10 dB a través de un canal de fibra óptica. Se utilizó una fuente láser de onda continua para generar fotones sin efecto de despolarización, y la precisión temporal empleada en el sistema fue del orden de picosegundos. El detector de avalancha de fotones individuales (SPAD) registró la llegada de los fotones y se logró una tasa de clave en el rango de kbps con una baja tasa de error de bits cuánticos. ^{[ 49 ]}   

En marzo de 2021, la Organización India de Investigación Espacial (ISRO) también demostró una comunicación cuántica en espacio libre a una distancia de 300 metros. Se demostró una distribución de clave cuántica (QKD) en espacio libre en el Centro de Aplicaciones Espaciales (SAC) de Ahmedabad, entre dos edificios con línea de visión dentro del campus, para videoconferencias mediante señales encriptadas con clave cuántica. El experimento utilizó un receptor NAVIC para la sincronización horaria entre los módulos transmisor y receptor. Posteriormente, en enero de 2022, científicos indios lograron crear con éxito un canal atmosférico para el intercambio de mensajes e imágenes encriptados. Tras demostrar la comunicación cuántica entre dos estaciones terrestres, India planea desarrollar la comunicación cuántica basada en satélites (SBQC). ^{[ 50 ] [ 51 ]}

En julio de 2022, investigadores publicaron su trabajo implementando experimentalmente un protocolo de distribución de clave cuántica independiente del dispositivo (DIQKD) que utiliza entrelazamiento cuántico (como sugirió Ekert) ^{[ 12 ]} para garantizar la resistencia a los ataques de pirateo cuántico. ^{[ 14 ]} Lograron crear dos iones, separados por aproximadamente dos metros, que se encontraban en un estado entrelazado de alta calidad mediante el siguiente proceso: Alice y Bob tienen cada uno nodos de trampa de iones con un cúbit ^{88Sr +} en su interior. Inicialmente, excitan los iones a un estado electrónico, lo que crea un estado entrelazado. Este proceso también crea dos fotones, que luego son capturados y transportados mediante una fibra óptica, momento en el que se realiza una medición de base de Bell y los iones se proyectan a un estado altamente entrelazado. Finalmente, los cúbits se devuelven a nuevas ubicaciones en las trampas de iones desconectadas del enlace óptico para evitar cualquier fuga de información. Esto se repite muchas veces antes de que se proceda con la distribución de la clave. ^{[ 14 ]}

Un experimento independiente publicado en julio de 2022 demostró la implementación de DIQKD que también utiliza una prueba de desigualdad de Bell para asegurar el funcionamiento del dispositivo cuántico, esta vez a una distancia mucho mayor de aproximadamente 400 m, utilizando una fibra óptica de 700 m de longitud. ^{[ 15 ]} La configuración del experimento fue similar a la del párrafo anterior, con algunas diferencias clave. El entrelazamiento se generó en un enlace de red cuántica (QNL) entre dos átomos de ^87Rb en ​​laboratorios separados ubicados a 400 m de distancia, conectados por el canal de 700 m. Los átomos se entrelazan mediante excitación electrónica, momento en el que se generan y recogen dos fotones, que se envían al sistema de medición del estado de Bell (BSM). Los fotones se proyectan sobre un estado |ψ ⁺ , lo que indica el entrelazamiento máximo. El resto del protocolo de intercambio de claves utilizado es similar al protocolo QKD original, con la única diferencia de que las claves se generan con dos configuraciones de medición en lugar de una. ^{[ 15 ]}

Desde la propuesta de Distribución Cuántica de Claves de Campo Gemelo en 2018, se han realizado multitud de experimentos con el objetivo de aumentar la distancia en un sistema QKD. El más exitoso de ellos logró distribuir información clave a una distancia de 833,8  km. ^{[ 25 ]}

En 2023, científicos del Instituto Indio de Tecnología (IIT) de Delhi lograron una distribución de clave cuántica (QKD) sin nodos de confianza hasta 380 km en fibra de telecomunicaciones estándar con una tasa de error de bits cuánticos (QBER) muy baja. ^{[ 52 ]}

En 2024, científicos de Sudáfrica y China lograron la distribución de claves cuánticas en la atmósfera a una distancia récord de 12 900  km, utilizando láseres y un microsatélite en órbita terrestre baja . Transferieron más de un millón de bits cuánticamente seguros entre Sudáfrica y China durante una órbita del satélite. ^{[ 53 ]}

Muchas empresas de todo el mundo ofrecen distribución comercial de claves cuánticas, por ejemplo: ID Quantique (Ginebra), Toshiba , ^{[ 54 ]} MagiQ Technologies, Inc. (Nueva York), QNu Labs ( Bengaluru , India ), QuintessenceLabs (Australia), QRate (Rusia), Merqury ( Malta ), SeQureNet (París), Quantum Optics Jena (Alemania) y KEEQuant (Alemania). Varias otras empresas también tienen programas de investigación activos, entre ellas KETS Quantum Security (Reino Unido), HP , IBM , Mitsubishi , NEC y NTT (véanse los enlaces externos para acceder a enlaces directos de investigación).

En 2004, se realizó en Viena , Austria , la primera transferencia bancaria del mundo mediante distribución de clave cuántica. ^{[ 55 ]} La tecnología de cifrado cuántico proporcionada por la empresa suiza Id Quantique se utilizó en el cantón (estado) suizo de Ginebra para transmitir los resultados de las votaciones a la capital en las elecciones nacionales celebradas el 21 de octubre de 2007. ^{[ 56 ]} En 2013, el Battelle Memorial Institute instaló un sistema QKD construido por ID Quantique entre su campus principal en Columbus, Ohio, y su planta de fabricación en la cercana Dublín. ^{[ 57 ]} Las pruebas de campo de la red QKD de Tokio llevan tiempo en marcha. ^{[ 58 ]}

El tipo de ataque más sencillo posible es el de interceptación y reenvío, en el que Eve mide los estados cuánticos (fotones) enviados por Alice y luego envía estados de reemplazo a Bob, preparados en el estado que ella mide. En el protocolo BB84, esto produce errores en la clave que comparten Alice y Bob. Como Eve desconoce la base en la que está codificado un estado enviado por Alice, solo puede adivinar en qué base medir, al igual que Bob. Si elige correctamente, mide el estado de polarización de fotones correcto, tal como lo envió Alice, y reenvía el estado correcto a Bob. Sin embargo, si elige incorrectamente, el estado que mide es aleatorio y el estado enviado a Bob no puede ser el mismo que el enviado por Alice. Si Bob luego mide este estado en la misma base que envió Alice, también obtiene un resultado aleatorio —ya que Eve le ha enviado un estado en la base opuesta— con un 50 % de probabilidad de un resultado erróneo (en lugar del resultado correcto que obtendría sin la presencia de Eve). La tabla a continuación muestra un ejemplo de este tipo de ataque.

La probabilidad de que Eve elija la base incorrecta es del 50% (suponiendo que Alice elige al azar), y si Bob mide este fotón interceptado en la base que Alice envió, obtiene un resultado aleatorio, es decir, un resultado incorrecto con una probabilidad del 50%. La probabilidad de que un fotón interceptado genere un error en la cadena de clave es entonces del 50% × 50% = 25%. Si Alice y Bob comparan públicamente${\displaystyle n}$de sus bits clave (descartándolos así como bits clave, ya que ya no son secretos) la probabilidad de que encuentren desacuerdo e identifiquen la presencia de Eva es

${\displaystyle P_{d}=1-\left({\frac {3}{4}}\right)^{n}}$

Entonces, para detectar a un espía con probabilidad${\displaystyle P_{d}=0,999999999}$Alice y Bob necesitan comparar${\displaystyle n=72}$partes clave.

La distribución de claves cuánticas es vulnerable a un ataque de intermediario cuando se usa sin autenticación en la misma medida que cualquier protocolo clásico, ya que ningún principio conocido de la mecánica cuántica puede distinguir entre amigo y enemigo. Como en el caso clásico, Alice y Bob no pueden autenticarse mutuamente y establecer una conexión segura sin algún medio para verificar sus identidades (como un secreto compartido inicial). Si Alice y Bob tienen un secreto compartido inicial, pueden usar un esquema de autenticación incondicionalmente seguro (como Carter-Wegman , ^{[ 74 ]} ) junto con la distribución de claves cuánticas para expandir exponencialmente esta clave, usando una pequeña cantidad de la nueva clave para autenticar la siguiente sesión. ^{[ 75 ]} Se han propuesto varios métodos para crear este secreto compartido inicial, por ejemplo, usando un tercero ^{[ 76 ]} , la teoría del caos ^{[ 77 ]} , protocolos post-cuánticos ^{[ 78 ]} y funciones físicas inclonables ^{[ 79 ] [ 80 ]} . Sin embargo, solo la familia de funciones hash "casi fuertemente universal" puede utilizarse para una autenticación incondicionalmente segura. ^{[ 81 ]}

En el protocolo BB84, Alice envía estados cuánticos a Bob mediante fotones individuales. En la práctica, muchas implementaciones utilizan pulsos láser atenuados a un nivel muy bajo para enviar los estados cuánticos. Estos pulsos láser contienen un número muy pequeño de fotones, por ejemplo, 0,2 fotones por pulso, que se distribuyen según una distribución de Poisson . Esto significa que la mayoría de los pulsos no contienen fotones (no se envía ningún pulso), algunos contienen 1 fotón (que es lo deseado) y unos pocos contienen 2 o más fotones. Si el pulso contiene más de un fotón, Eve puede separar los fotones adicionales y transmitir el fotón restante a Bob. Esta es la base del ataque de división del número de fotones, ^{[ 82 ] [ 83 ]} donde Eve almacena estos fotones adicionales en una memoria cuántica hasta que Bob detecta el fotón restante y Alice revela la base de codificación. Eve puede entonces medir sus fotones en la base correcta y obtener información sobre la clave sin introducir errores detectables.

Incluso con la posibilidad de un ataque PNS, aún se puede generar una clave segura, como se muestra en la prueba de seguridad GLLP; ^{[ 84 ]} sin embargo, se necesita una cantidad mucho mayor de amplificación de la privacidad que reduce significativamente la tasa de clave segura (con PNS la tasa se escala como${\displaystyle t^{2}}$en comparación con${\displaystyle t}$para fuentes de fotones individuales, donde${\displaystyle t}$es la transmitancia del canal cuántico).

Existen varias soluciones a este problema. La más obvia es utilizar una fuente de fotón único real en lugar de un láser atenuado. Si bien dichas fuentes aún se encuentran en una etapa de desarrollo, la distribución de claves cuánticas (QKD) se ha llevado a cabo con éxito con ellas. ^{[ 85 ]} Sin embargo, como las fuentes actuales operan con baja eficiencia y frecuencia, las tasas de clave y las distancias de transmisión son limitadas. Otra solución es modificar el protocolo BB84, como se hace, por ejemplo, en el protocolo SARG04 , ^{[ 86 ]} en el que la tasa de clave segura se escala como${\displaystyle t^{3/2}}$En SARG04, la información clásica de bits se codifica en la base en lugar de en la polarización. Este proceso, denominado "filtrado", hace que SARG04 sea más robusto frente a ataques PNS. También se ha comprobado que SARG04 permite distancias de comunicación seguras mayores que BB84, al tiempo que utiliza una fuente láser atenuada. ^{[ 87 ]}

La solución más prometedora son los estados señuelo ^{[ 35 ] [ 36 ] [ 37 ] [ 38 ] [ 39 ]} en los que Alice envía aleatoriamente algunos de sus pulsos láser con un número promedio de fotones menor. Estos estados señuelo se pueden usar para detectar un ataque PNS, ya que Eve no tiene forma de saber qué pulsos son señal y cuáles señuelo. Usando esta idea, la tasa de clave segura escala como${\displaystyle t}$, igual que para una fuente de un solo fotón. Esta idea se ha implementado con éxito primero en la Universidad de Toronto, ^{[ 88 ] [ 89 ]} y en varios experimentos posteriores de QKD, ^{[ 90 ]} permitiendo altas tasas de clave seguras contra todos los ataques conocidos.

Dado que actualmente se requiere una línea de fibra óptica dedicada (o línea de visión directa en el espacio libre) entre los dos puntos conectados mediante la distribución de claves cuánticas, un ataque de denegación de servicio puede llevarse a cabo simplemente cortando o bloqueando la línea. Esta es una de las motivaciones para el desarrollo de redes de distribución de claves cuánticas, que enrutarían la comunicación a través de enlaces alternativos en caso de interrupción.

Eve puede sondear un sistema de distribución de claves cuánticas enviando luz brillante al canal cuántico y analizando las reflexiones en un ataque de caballo de Troya. En un estudio reciente se ha demostrado que Eve deduce la elección de base secreta de Bob con una probabilidad superior al 90 %, lo que compromete la seguridad del sistema. ^{[ 91 ]}

Si se supone que Eve tiene recursos ilimitados, por ejemplo, potencia de computación tanto clásica como cuántica, existen muchos más ataques posibles. Se ha demostrado que BB84 es seguro contra cualquier ataque permitido por la mecánica cuántica, tanto para el envío de información utilizando una fuente de fotones ideal que solo emite un fotón a la vez, ^{[ 92 ]} como también utilizando fuentes de fotones prácticas que a veces emiten pulsos multifotónicos. ^{[ 84 ]} Estas pruebas son incondicionalmente seguras en el sentido de que no se imponen condiciones sobre los recursos disponibles para el espía; sin embargo, se requieren otras condiciones:

1. Eve no puede acceder físicamente a los dispositivos de codificación y decodificación de Alice y Bob.
2. Los generadores de números aleatorios que utilizan Alice y Bob deben ser fiables y verdaderamente aleatorios (por ejemplo, un generador de números aleatorios cuántico ).
3. El canal de comunicación clásico debe autenticarse mediante un esquema de autenticación incondicionalmente seguro.
4. El mensaje debe estar cifrado utilizando un esquema de cifrado de clave única.

Dados los desafíos prácticos que se plantean a continuación, varias organizaciones recomiendan utilizar la " criptografía postcuántica (o criptografía resistente a la computación cuántica)" en lugar de la distribución de claves cuánticas.

1. Agencia de Seguridad Nacional de EE. UU. , ^{[ 119 ]}
2. Agencia de la Unión Europea para la Ciberseguridad de la UE (ENISA), ^{[ 120 ]}
3. Centro Nacional de Ciberseguridad del Reino Unido , ^{[ 121 ]}
4. Secretaría de Defensa y Seguridad de Francia (ANSSI), ^{[ 122 ]}
5. Oficina Federal Alemana de Seguridad de la Información (BSI) ^{[ 123 ]}
6. Australia TEA ^{[ 124 ]}
7. Agencia Nacional de Seguridad de las Comunicaciones de los Países Bajos (NLNCSA)
8. y la Autoridad Nacional de Seguridad de las Comunicaciones de Suecia, Fuerzas Armadas de Suecia ^{[ 125 ]}

Por ejemplo, la Agencia de Seguridad Nacional de EE. UU. aborda cinco cuestiones: ^{[ 119 ]}

• La distribución de claves cuánticas (QKD) es solo una solución parcial. La QKD genera material de clave para un algoritmo de cifrado que proporciona confidencialidad. Este material de clave también podría utilizarse en algoritmos criptográficos de clave simétrica para garantizar la integridad y la autenticación, siempre que se tenga la seguridad criptográfica de que la transmisión QKD original proviene de la entidad deseada (es decir, autenticación de la fuente de la entidad). La QKD no proporciona un medio para autenticar la fuente de la transmisión QKD. Por lo tanto, la autenticación de la fuente requiere el uso de criptografía asimétrica o claves predefinidas. Además, los servicios de confidencialidad que ofrece la QKD pueden proporcionarse mediante criptografía resistente a la computación cuántica, que suele ser menos costosa y presenta un perfil de riesgo mejor definido.
• La distribución de claves cuánticas requiere equipos especializados. Se basa en propiedades físicas y su seguridad reside en comunicaciones únicas en la capa física. Esto exige que los usuarios alquilen conexiones de fibra dedicadas o gestionen físicamente transmisores en el espacio libre. No puede implementarse mediante software ni como servicio en una red, y su integración con los equipos de red existentes es compleja. Dado que se basa en hardware, carece de flexibilidad para actualizaciones o parches de seguridad.
• La distribución de claves cuánticas incrementa los costos de infraestructura y los riesgos de amenazas internas. Las redes QKD suelen requerir el uso de repetidores de confianza, lo que implica costos adicionales para instalaciones seguras y un mayor riesgo de seguridad por amenazas internas. Esto descarta muchos casos de uso.
• Garantizar la seguridad y la validación de la distribución de claves cuánticas (QKD) representa un desafío considerable. La seguridad real que proporciona un sistema QKD no es la seguridad teórica incondicional derivada de las leyes de la física (como se modela y se suele sugerir), sino más bien la seguridad limitada que se puede lograr mediante el hardware y el diseño de ingeniería. Sin embargo, la tolerancia al error en la seguridad criptográfica es mucho menor que la disponible en la mayoría de los escenarios de ingeniería física, lo que dificulta enormemente su validación. El hardware específico utilizado para implementar QKD puede introducir vulnerabilidades, lo que ha dado lugar a varios ataques ampliamente conocidos contra sistemas QKD comerciales. ^{[ 126 ]}
• La distribución de claves cuánticas aumenta el riesgo de denegación de servicio. La vulnerabilidad a la interceptación de comunicaciones, como base teórica de las afirmaciones de seguridad de la distribución de claves cuánticas, también demuestra que la denegación de servicio representa un riesgo significativo para este tipo de distribución.

In response to problem 1 above, attempts to deliver authentication keys using post-quantum cryptography (or quantum-resistant cryptography) have been proposed worldwide. On the other hand, quantum-resistant cryptography is cryptography belonging to the class of computational security. In 2015, a research result was already published that "sufficient care must be taken in implementation to achieve information-theoretic security for the system as a whole when authentication keys that are not information-theoretic secure are used" (if the authentication key is not information-theoretically secure, an attacker can break it to bring all classical and quantum communications under control and relay them to launch a man-in-the-middle attack).^[127] Ericsson, a private company, also cites and points out the above problems and then presents a report that it may not be able to support the zero trust security model, which is a recent trend in network security technology.^[128]