De la Manipulation d Objets Quantiques Individuels à la Cryptographie Quantique. "

Transcription

1 LA CRYPTOGRAPHIE QUANTIQUE De la Manipulation d Objets Quantiques Individuels à la Cryptographie Quantique. " Philippe Grangier Laboratoire Charles Fabry de l'institut d'optique, UMR 8501 du CNRS, Palaiseau, France 1. Un peu de physique : Description quantique de la polarisation du photon Superpositions linéaires et interférences 2. La cryptographie : un peu d'histoire Les codes à clef publique Les codes à clef secrète 3. La cryptographie quantique Le photon comme vecteur d'information Le théorème de non-clonage quantique

2 Le photon, onde ou particule? Sources à un seul photon clic clic clic clic «"Pistolet à photon"»? Une source lumineuse ordinaire émet 1020 photons par seconde Comment en avoir un seul à la fois? Centre NV : Atome d'azote dans un cristal de diamant Laser Photon unique Un seul atome émetteur

3 Centres «NV» dans le diamant a.u. N = Nitrogen (azote) V = Vacancy (lacune) n = 2.4 Emission Absorption " 637nm 750nm Diamant «massif» ou nanocristaux Ø = 50 nm << /n" 100 µm 1.5 mm Avantages : Plus efficace Plus facile à manipuler Source de Photons Uniques, centres NV dans des naocristaux de diamant, excitation impulsionnelle Expérience réalisée à l'ens Cachan : V. Jacques, E Wu, T. Toury, F. Treussart, J.-F. Roch.

4 POLARISATION DE LA LUMIERE Maxwell : la lumière est une onde électromagnétique transverse * polarisation : direction de vibration transverse à la propagation * on peut imposer la direction de polarisation avec un polariseur POLARISATION DE LA LUMIERE Maxwell : la lumière est une onde électromagnétique transverse * polarisation : direction de vibration transverse à la propagation * on peut imposer la direction de polarisation avec un polariseur * 2e polariseur (analyseur) faisant un angle # avec l'analyseur : $transmis = $incident cos 2 ( # ) (Loi de Malus) (transmission nulle si le polariseur et l'analyseur sont orthogonaux) Polariseur à une voie ("polaroïd") : une polarisation est absorbée Polariseur à 2 voies : pas d'absorption, toute la lumière ressort Polariseur à une voie ("polaroïd") : une polarisation est absorbée Polariseur à 2 voies : pas d'absorption, toute la lumière ressort #" cos 2 # sin 2 # #" cos 2 # Toujours 2 sorties dont les intensités varient en cos 2 (#) et sin 2 (#) POLARISATION D'UN PHOTON Photon : "grain" d'énergie lumineuse, E = h % # J Flux lumineux émis par une lampe 200 W : photons/seconde Comment définir l'état de polarisation d'un seul photon? POLARISATION D'UN PHOTON Photon : "grain" d'énergie lumineuse, E = h % # J Flux lumineux émis par une lampe 200 W : photons/seconde Comment définir l'état de polarisation d'un seul photon? #" sin 2 # #" sin 2 # cos 2 # cos 2 # Si on détecte un photon unique après le polariseur, on ne peut obtenir qu'un des deux résultats (mutuellement exclusifs) "transmis" ou "dévié" On dira alors que la polarisation du photon est "horizontale" ou "verticale" Si la polarisation initiale du photon est orientée suivant un angle #, les probabilités pour que le photon soit transmis ou dévié seront cos 2 # et sin 2 # Pour un grand nombre de photons, on retrouve bien la loi de Malus Différence cruciale entre les comportements classiques et quantiques : Un champ classique incident E est projeté sur les deux axes du polariseur, et se partage en deux composantes : transmise E cos#, et déviée E sin# Le «"champ électrique"» d un photon unique ne se partage pas, mais le photon est transmis ou dévié, avec des probabilités cos 2 # et sin 2 # Pour un grand nombre de photons, le flux obéit bien à la loi de Malus

5 POLARISATION D'UN PHOTON Photon : "grain" d'énergie lumineuse, E = h % # J Flux lumineux émis par une lampe 200 W : photons/seconde Comment définir l'état de polarisation d'un seul photon? RAISONNEMENT CLASSIQUE : «"MELANGE STATISTIQUE"» * homme : h ou femme:v * blond : d ou brun : g p = 0 Expérience de "tri" par la polarisation : * orientations 0 ou 90 : 2 sortes de photons (mutuellement exclusifs) "vertical" : v et "horizontal" : h * mais on a aussi 45 et 135 : 2 sortes de photons (mutuellement exclusifs) "oblique droit" : d et "oblique gauche" : g v : femme les femmes ne sont pas des hommes Raisonnement "classique" : 2 propriétés différentes, par exemple : * homme : h ou femme : v * blond : d ou brun : g Test expérimental? RAISONNEMENT CLASSIQUE : «"MELANGE STATISTIQUE"» * homme : h ou femme:v * blond : d ou brun : g RAISONNEMENT CLASSIQUE : «"MELANGE STATISTIQUE"» * homme : h ou femme:v * blond : d ou brun : g p = 0.5 p = 0 p = 0.5 p = 0.5 v : femme d : blond femme blonde? les femmes blondes ne sont pas brunes v : femme d : blond femme blonde? Raisonnement classique ("mélange statistique") : On trie en 4 catégories v&d, v&g, h&d, h&g 50% des femmes blondes sont en fait des hommes Test : on prépare v, puis d -> tri des photons v&d? Mesure de h : la moitié des photons v&d sont devenus h La préparation de d a fait "oublier" celle de v Le "mélange statistique" est en conflit avec l'expérience

6 UN PEU DE MECANIQUE QUANTIQUE MELANGE STATISTIQUE ET SUPERPOSITION LINEAIRE Raisonnement quantique ("superposition linéaire") : 1. L état d un système quantique est décrit par un vecteur h & appartenant à un espace de Hilbert (espace vectoriel sur C, muni d un produit scalaire). 2. Si le système est dans un état h &, la probabilité de le trouver dans un autre état v & est égale au module carré du produit scalaire entre les vecteurs h & et v & d & = ( v & + h &) / #2, g & = ( v & - h &) / #2, Test : on prépare * La polarisation du photon se décrit dans un espace des états de dimension 2 '&" = ( ( 2 + ) 2 = h &" v &" + ) ( ) réels : polarisations linéaires ( ) complexes : polarisations circulaires ou elliptiques * Si la polarisation est bien définie dans la base { v & ", h & "} ( base +), elle est totalement aléatoire dans la base { d &", g &"} ( base * " ). On dit souvent que ces deux bases sont «"incompatibles"» * Nous allons voir que ceci a des conséquences très importantes si on veut utiliser la polarisation du photon pour transmettre une information v & = ( d & + g &)/ #2, puis Pour l'état d : P(d) = projection sur l état propre d & = ( v & + h &) / #2 P(g) = 0 d & et g & orthogonaux Mesure : P(h) = 1/2 P(v) = 1/2 QUE PEUT-ON EN CONCLURE? v & = ( d & + g &) / #2 h & = ( d & - g &) / #2 ça marche Il FAUT UNE SUPERPOSITION LINEAIRE D" ETATS Au tournant du XXIe siècle : l Information Quantique

7 Les personnages Eve Cryptographie à clé publique $ Rivest, Shamir et Adelman (RSA, 1978) " " " Alice Bob encoding " # " " P = a * b? Que contient la «"clé publique"»? le produit P de deux grands nombres : très difficile à factoriser LES CODES A CLE PUBLIQUE - Codes à clé publique (1970's) : La protection est dans la difficulté du calcul requis pour "casser" le code Exemple le plus utilisé : code "RSA" (Rivest, Shamir et Adleman, 1978) a et b deux grands calcul p = a.b, q = (a-1).(b-1), r et s tels que nombres premiers facile pgcd(q, s) = 1 et r. s ="1 modulo q - Bob diffuse publiquement p et r (la clé), et conserve q et s - Alice calcule y r = x modulo p et renvoie publiquement le résultat y - Résultat étonnant de la théorie des nombres : s x = y modulo p Parcontrel'espion(Eve)neconnaitpasaetb,niqnis,etnepeutrienfaire, car calculer a et b à partir de p requiert un temps exponentiel avec les meilleurs algorithmes connus. (irréalisable si p est assez grand) Factorisation de RSA 155 (512 bits - été 1999) "Enigme" proposée par la compagnie RSA ( Record précédent : RSA140 (465 bits), février 1999 RSA155 = \ \ ; Factorisation? Préparation :9 semaines sur 10 stations de travail. Criblage : 3.5 mois sur 300 PCs, 6 pays Résultat : 3.7 Go, stockés à Amsterdam Filtrage : 9.5 jours sur Cray C916, Amsterdam Factorisation: 39.4 heures sur 4 stations de travail f1 = \ ; f2 = \ ; f1 et f2 sont premiers, et f1 * f2 = RSA155 (calcul immédiat sur PC)

8 «"Enigmes"» proposées par la compagnie RSA CRYPTOGRAPHIE A CLE$F PUBLIQUE - Problèmes : * Il existe de nombreux cas particuliers où il est possible de factoriser p la factorisation peut être effectué facilement si a et b sont mal choisis --> "recommendations" pour le choix des nombres premiers a et b * Pas de preuve absolue de sécurité : la méthode reste potentiellement vulnérable si de meilleurs algorithmes sont découverts - Article de Peter Shor (1994) : Un «"ordinateur quantique"» est capable de factoriser le produit de deux Nombres premiers en un temps polynomial Grand retentissement Durée de calcul avec meilleur algorithme classique connu : Tcl[n] = Exp[1.9 Log[n] 1/3 Log[Log[n]] 2/3 ] Tcl[ ] / Tcl[2 512 ] = May Pentium 3GHz CPU years snfs Amélioration d un facteur supérieur à 100 de 1999 à Durée de calcul avec l algorithme de Shor : Tshor[n] = Log[n] 3 Tshor[ ] / Tshor[2 512 ] = 8 Alice = Cryptographie à clé secrète : $ one-time pad (G. Vernam, 1917) Canal secret # " # Eve Canal public # Sécurité démontrable si la clé est : aléatoire aussi longue que le message utilisée une seule fois (Shannon) " # Bob = = Cryptographie Quantique à clé secrète : $ Bennett-Brassard (1984) " # $ % & Canal quantique $ Canal public # " # Sécurité démontrable si la clé est : aléatoire aussi longue que le message utilisée une seule fois (Shannon) inconnue d Eve : Lois Quantiques = 10110

9 0 Codage de bits (0 ou 1) sur la polarisation d un photon 50 % 50 % Base de codage Valeur du bit 0 45 Résultat déterminé Résultat aléatoire On extrait une information si et seulement si la base de l'émetteur (codage) et du récepteur (détection) sont identiques Changement de base Résultat déterminé Base lecture Bit lu Discussion Clé retenue LA CRYPTOGRAPHIE QUANTIQUE : PRINCIPE (Charles Bennett et Gilles Brassard, 1984) Base de codage Valeur du bit Point fondamental («"avantage quantique"») : plus Eve acquiert d" information, plus elle crée d erreurs dans la transmission On peut montrer qu en mesurant le taux d" erreurs (ce qui se fait en comparant publiquement une fraction de la clé) Alice et Bob peuvent borner supérieurement la quantité d information connue d" Eve. 0 0 Base lecture Bit lu - Alice et Bob peuvent alors utiliser des algorithmes classiques pour corriger les erreurs, et pour produire une clé (plus petite) totalement inconnue d'eve. La longueur de la clé produite est d'autant plus petite que le taux d'erreur initial est plus grand (maximum tolérable : 11% ). 0 Discussion -> Alice et Bob disposent d'une clé sans erreurs et totalement sûre 0 Clé retenue

10 LA CRYPTOGRAPHIE QUANTIQUE : PRINCIPE (Charles Bennett et Gilles Brassard, 1984) Eve doit faire une mesure sans connaitre la base utilisée par Alice ( cette information arrive trop tard pour elle ) - interception / renvoi avec les bases + or x - interception / renvoi avec des bases optimisées (22.5 ) - utiliser des mesures «"non-destructives"» - dupliquer (cloner) les photons et en garder un Toutes ces méthodes créent des erreurs dans la transmission (plus Eve acquiert d information, plus il y a d erreurs ) bit / Information mutuelle : I AB = 1- h[e] h[e] = - e log 2 [e] - (1-e) log 2 [1-e] clic entropie binaire % I AE 1- I 0.6 AB Clé secrète : "I = I AB - I AE taille (maximum ) Même si Eve dispose de tout clé 0.4 système physiquement possible 0.2 Bob -Alice d après la mécanique Taux quantique, elle aura moins d erreur e d information que Bob dès que (%) le taux d erreur est < 11% LA CRYPTOGRAPHIE QUANTIQUE : PRINCIPE (Charles Bennett et Gilles Brassard, 1984) 5 - Post-traitement classique (essentiel pour la sécurité ) * Evaluation des erreurs : Après l échange quantique initial, Alice et Bob mesurent le taux d erreur en comparant publiquement une partie de la clé -> évaluation de l information (peut-être) connue d Eve. * Correction des erreurs et amplification de secret ( possible si I AB > I AE ) Puis Alice et Bob extraient la clé en corrigeant les erreurs et en éliminant l inforamtion residuelle d Eve (ceci réduit la taille de la clé) I AB IAE Correction d erreurs (tests de parité) Amplification de secret (fonctions de hachage) I AB I AE 6 - Alice et Bob ont une clé parfaitement sûre et sans erreur (taille non nulle si QBER < 11%) CRYPTOGRAPHIE QUANTIQUE : QUESTIONS... (C. Bennett et G. Brassard, 1984) 1. Si Bob révèle la base qu il a utilisée, pourquoi Eve a-t-elle moins d information que Bob? Parce qu elle doit faire une mesure «"au moment où le photon passe"», et qu à ce moment là elle ne connaît pas la base commune utilisée par Alice et Bob (cette information arrive trop tard pour elle ). Dans ces conditions, plus Eve acquiert d information, plus elle crée d erreurs dans la ligne 2. Comment Alice et Bob évaluent-ils les erreurs? Après l échange initial, Alice and Bob mesurent le taux d erreur en comparant publiquement une partie (choisie aléatoirement) des bits échangés -> Borne supérieure de l information connue d Eve (essentiel ) 3. Quel est le rôle des erreurs? (il y a toujours des erreurs ) Alice et Bob «"traitent"» leur données avant utilisation, et la clé finale est toujours sans erreur et parfaitement sûre. Les erreurs réduisent la taille de clé, mais n affectent pas sa confidentialité : plus il y a d erreurs, plus la clé finale est petite, mais sa sécurité n est jamais compromise. QUESTIONS... Qu'y a-t-il de quantique dans la cryptographie quantique? Comment mettre en oeuvre un système en pratique? Est-ce vendable?

11 IMPULSIONS LUMINEUSES ET PHOTONS INDIVIDUELS PHOTON UNIQUE ET IMPULSION Impulsion lumineuse - la polarisation d une impulsion peut être mesurée facilement (avec une lame séparatrice R = T = 50%) p(bon résultat) = 0 Question : Peut-on dupliquer ou "cloner" l'état de polarisation du photon? etc... Photon unique - un seul photon est détecté une seule fois, et la polarisation initiale n est pas mesurable avec certitude p(bon résultat) = 0.5 p = 0.5 p = 0 p = 0.25 p = 0.25 Réponse : Non Deux arguments : - démonstration formelle... - conséquences physiquement inacceptables THEOREME DE NON-CLONAGE Imaginons une "machine cloneuse", capable de dupliquer un état entrant : QU" EST-CE QUI EST QUANTIQUE DANS LA CRYPTOGRAPHIE QUAN$TIQUE? ' 1 & ' 1 & ' 1 & ' 2 & ' 2 & ' 2 & - Il est impossible de copier un état quantique arbitraire choisi parmi un ensemble d" états non-orthogonaux : «"théorème de non-clonage"» (démonstration générale : reliée à la linéarité de la MQ) L'évolution sous la l'action du Hamiltonien de la "machine" doit conserver les produits scalaires, donc + ' 1 ' 2 & = + ' 1 ' 2 & # + ' 1 ' 2 & (attention, la multiplication à droite n'est pas évidente : admise ) Il en résulte que : - soit + ' 1 ' 2 & = 0 : les états sont orthogonaux, clonage possible - soit + ' 1 ' 2 & = 1, donc ' 1 & - ' 2 & 2 = 0 et ' 1 & = ' 2 & :" les états sont identiques, la copie ne dépend pas de l'entrée. On ne peut pas "cloner" un ensemble d'états non orthogonaux entre eux. - Au delà de conséquences pour la securité de la cryptographie quantique, le clonage aurait d" autres conséquences inacceptables : - violation des inégalité de Heisenberg... - conflit entre la Mécanique Quantique et la Relativité restreinte... La sécurité de la cryptographie quantique est garantie par les principes de base de la Mécanique Quantique

12 Potentiel industriel à moyen et long terme? *Actuellement 3 startups commercialisent des systèmes (fibres optiques, 50 km) The key to future-proof confidentiality IdQuantique (Genève) 144 km entre LaPalma et Tenerife MagiQ Technologies (New York) Cryptographie quantique par satellite En guise de conclusion...