André Chailloux Inria de Paris, EPI SECRET. 20/05/17 André Chailloux Cryptographie quantique en théorie 1

Transcription

1 Cryptographie quantique en théorie André Chailloux Inria de Paris, EPI SECRET 20/05/17 André Chailloux Cryptographie quantique en théorie 1

2 ! Mon parcours en bref Parcours académique! Prépa MP! ÉNSL! MPRI! Stage M2! Thèse!! Postdocs (2 ans)! poste à l Inria.! Très peu de connaissances en informatique quantique et aucune en physique quantique lors de mon stage de M2.! N ayez pas peur!! 20/05/17 André Chailloux Cryptographie quan;que en théorie 2

3 Introduction La cryptographie est une des disciplines de la cryptologie s'attachant à protéger des messages (assurant confidentialité, authenticité et intégrité) en s'aidant souvent de secrets ou clés. (Wiki) Puissance des ordinateurs quantiques Casse potentiellement de nombreux protocoles cryptographiques. Objectif de cette présentation: utiliser l informatique quantique pour lutter contre les attaques quantiques. Protocole quantique de distribution de clé [BB84]. 20/05/17 André Chailloux Cryptographie quan;que en théorie 3

4 Scénario: envoi sécurisé d un message Alice Bob Retrouvons nous au restaurant ce soir à 20h. message Alice veut envoyer un message à Bob par internet. 20/05/17 André Chailloux Cryptographie quan;que en théorie 4

5 Scénario: envoi sécurisé d un message Ève Alice Bob Retrouvons nous au restaurant ce soir à 20h. message Alice veut envoyer un message à Bob par internet. Si elle envoie son message sans précautions, n importe qui pourra le lire. 20/05/17 André Chailloux Cryptographie quan;que en théorie 5

6 Envoi sécurisé d un message: avec une clé secrète Alice clé k Bob clé k Retrouvons nous au restaurant ce soir à 20h. message m Alice et Bob possèdent un clé secrète k 2 {0,1} n. On décompose m en binaire, m 2 {0,1} n. 20/05/17 André Chailloux Cryptographie quan;que en théorie 6

7 Envoi sécurisé d un message: avec une clé secrète Ève Alice clé k Bob clé k message m message m Alice et Bob possèdent un clé secrète k 2 {0,1} n. On décompose m en binaire, m 2 {0,1} n. Alice envoie le message chiffré m 2 {0,1} n tq: 8i 2 [1,...,n], m i = m i k i Ève n a aucune information sur m. Bob peut récupérer 8i 2 [1,...,n], m i = m i k i 20/05/17 André Chailloux Cryptographie quan;que en théorie 7

8 Création d une clé secrète Possibilité de chiffrer des messages avec des tailles de clé réduites. On sait faire de la distribution de clé Protocole de Diffie Hellman [DH76] Autres protocoles Tous reposent sur des hypothèses calculatoire DH: sur la difficulté de calculer un logarithme dans un groupe cyclique. Shor (et donc l ordinateur quantique) > DH 20/05/17 André Chailloux Cryptographie quan;que en théorie 8

9 Distribution de clé quantique Protocole BB84 de distribution de clé. Alice va créer un clé k et va envoyer les bits de la clé k en utilisant des bits quantiques. Au final, Alice et Bob partageront une sous clé secrète k s, que l espion ne connaitra pas. Ceci est possible quelle que soit la puissance de calcul (même quantique) de l espion. 20/05/17 André Chailloux Cryptographie quan;que en théorie 9

10 Retour sur les états quantiques On s intéresse uniquement aux états de la forme Ái = 0i + 1i avec, 2 R et = 1. Si on mesure Ái, on obtient 0 avec probabilité 2 et 1 avec probabilité 2. On a le droit de faire des rotations quelconques sur ces états. C est tout ce dont on a besoin! 20/05/17 André Chailloux Cryptographie quan;que en théorie 10

11 Encoder des bits dans des bits quantiques On a un bit b 2 {0,1} et on veut le transmettre avec un bit quantique. Encodage 1 Si b = 0, on envoie 0i Si b = 1, on envoie 1i Pour récupérer b, il suffit de mesurer l état. On n a pas accompli grand chose. 20/05/17 André Chailloux Cryptographie quan;que en théorie 11

12 Encoder des bits dans des bits quantiques Encodage 2 Si b = 0, on envoie Si b = 1, on envoie Si on mesure, on obtient un résultat aléatoire. Inutile? Non. Si on fait d abord une rotation de -¼/4 puis on mesure, on peut retrouver parfaitement la valeur de b. En effet: Rot -¼/4 ( -i) = 0i Rot -¼/4 ( +i) = 1i ¼/4 ¼/4 ¼/4 20/05/17 André Chailloux Cryptographie quan;que en théorie 12

13 Encoder des bits dans des bits quantiques Encodage 1 Si b = 0, on envoie 0i := Si b = 1, on envoie 1i := Encodage 2 Si b = 0, on envoie -i := Si b = 0, on envoie +i := b On sait récupérer b à partir de si on connait l encodage, i.e. si on sait si = ou =. Si on ne connait pas l encodage, on ne peut pas récupérer la valeur de b parfaitement à partir de b. Si on essaie de récupérer b avec la mauvaise méthode, l état est détruit! 20/05/17 André Chailloux Cryptographie quan;que en théorie 13

14 Protocole de distribution de clé quantique BB84 Étape 1 1 Envoi d encodages quantiques de bits de clé. Alice génère une clé aléatoire k = k 1,...,k n ; avec chaque k i 2 {0,1} Alice génère des bases (ou manières d encoder) aléatoires b = b 1,...,b n ; avec chaque b i 2 {, }. Alice envoie à Bob tous les bits k i avec les encodages b i correspondants. 20/05/17 André Chailloux Cryptographie quan;que en théorie 14

15 L étape 1 en images Ève Alice Bob clé k bases b 20/05/17 André Chailloux Cryptographie quan;que en théorie 15

16 Que peut faire l espion? Ève Alice Bob clé k bases b Pour chaque qubit qui passe, l espion peut: essayer récupérer le bit de clé pour un encodage donné si l encodage choisi est le même que celui utilisé par Alice: OK. sinon: le qubit est détruit et Eve obtient une valeur aléatoire. On va faire en sorte que cela soit détecté. laisser passer le qubit. L espion ne peut pas copier le qubit, garder une copie et laisser passer une autre (Théorème de non-clonage). 20/05/17 André Chailloux Cryptographie quan;que en théorie 16

17 Protocole de distribution de clé quantique BB84 Étape Envoi d encodages quantiques de bits de clé. Alice génère une clé aléatoire k = k 1,...,k n ; avec chaque k i 2 {0,1} Alice génère des bases (ou manières d encoder) aléatoires) b = b 1,...,b n ; avec chaque b i 2 {, }. Alice envoie à Bob tous les bits k i avec les encodages b i correspondants. Bob choisit des encodages b aléatoires et va essayer de les récupérer malgré tout. Il indique à Alice qu il a reçu tous les qubits. 20/05/17 André Chailloux Cryptographie quan;que en théorie 17

18 L étape 2 en images Comme Ève, Bob ne sait pas comment récupérer la clé. Il va choisir des encodages b aléatoires et va essayer de les récupérer k malgré tout. Soit k le résultat obtenu. Bob b = k = Si b i = b i alors k i = k i. Sinon k i est aléatoire. 20/05/17 André Chailloux Cryptographie quan;que en théorie 18

19 Protocole de distribution de clé quantique BB84 Étape Envoi d encodages quantiques de bits de clé. Alice génère une clé aléatoire k = k 1,...,k n ; avec chaque k i 2 {0,1} Alice génère des bases (ou manières d encoder) aléatoires) b = b 1,...,b n ; avec chaque b i 2 {, }. Alice envoie à Bob tous les bits k i avec les encodages b i correspondants. Bob choisit des encodages b aléatoires et va essayer de les récupérer malgré tout. Il indique à Alice qu il a reçu tous les qubits. Alice envoie toutes les bases b i à Bob. Bob jette les k i sur les positions où b i b i. 20/05/17 André Chailloux Cryptographie quan;que en théorie 19

20 L étape 3 en images Après avoir reçu les bases b, Bob jette les positions où les bases sont différentes Bob b = k = /05/17 André Chailloux Cryptographie quan;que en théorie 20

21 L étape 3 en images Après avoir reçu les bases b, Bob jette les positions où les bases sont différentes Bob b = k = /05/17 André Chailloux Cryptographie quan;que en théorie 21

22 Protocole de distribution de clé quantique BB84 Étape Envoi d encodages quantiques de bits de clé. Bob choisit des encodages b aléatoires et va essayer de les récupérer malgré tout. Il indique à Alice qu il a reçu tous les qubits. Alice envoie toutes les bases b i à Bob. Bob jette les k i sur les positions où b i b i. Bob utilise la moitié des positions restantes pour vérifier que personne n a essayé d espionner. Bob déclare les positions qu il a choisi pour le test à Alice, qui lui renvoie les valeurs k i sur ces positions. Il vérifie que k i = k i sur ces positions. 20/05/17 André Chailloux Cryptographie quan;que en théorie 22

23 L étape 4 en images Parmi les positions restantes, Bob prends une moitié aléatoire des positions et demande à Alice la bonne valeur de k i sur ces positions. Bob b = k = positions aléatoires utilisées pour vérifier que les qubits n ont pas été espionnés. 20/05/17 André Chailloux Cryptographie quan;que en théorie 23

24 L étape 4 en images Parmi les positions restantes, Bob prends une moitié aléatoire des positions et demande à Alice la bonne valeur de k i sur ces positions. Bob b = k = k = /05/17 André Chailloux Cryptographie quan;que en théorie 24

25 L étape 4 en images Parmi les positions restantes, Bob prends une moitié aléatoire des positions et demande à Alice la bonne valeur de k i sur ces positions. Bob b = k = k = s il y a une erreur, on a détecté un espion, on annule tout! 20/05/17 André Chailloux Cryptographie quan;que en théorie 25

26 Protocole de distribution de clé quantique BB84 Étape Envoi d encodages quantiques de bits de clé. Bob choisit des encodages b aléatoires et va essayer de les récupérer malgré tout. Il indique à Alice qu il a reçu tous les qubits. Alice envoie toutes les bases b i à Bob. Bob jette les k i tels que b i b i. Bob utilise la moitié des positions restantes pour vérifier que personne n a essayé d espionner. Bob déclare les positions qu il a choisi à Alice et lui demande de révéler k i sur ces positions. Il vérifie que k i = k i sur ces positions. Les position restantes sont utilisées pour créer la clé commune k s. Il reste environ ¼ de la clé initiale. 20/05/17 André Chailloux Cryptographie quan;que en théorie 26

27 L étape 5 en images Les positions restantes sont utilisées comme clé commune k s. Bob b = k = positions utilisées comme clé secrète. 20/05/17 André Chailloux Cryptographie quan;que en théorie 27

28 Protocole de distribution de clé quantique BB Envoi d encodages quantiques de bits de clé. Bob choisit des encodages b aléatoires et va essayer de les récupérer malgré tout. Il indique à Alice qu il a reçu tous les qubits. Alice envoie toutes les bases b i à Bob. Bob jette les k i tels que b i b i. Bob utilise la moitié des positions restantes pour vérifier que personne n a essayé d espionner. Bob déclare les positions qu il a choisi à Alice et lui demande de révéler k i sur ces positions. Il vérifie que k i = k i sur ces positions. Les position restantes sont utilisées pour créer la clé commune k s. Il reste environ ¼ de la clé initiale. 20/05/17 André Chailloux Cryptographie quan;que en théorie 28

29 Analyse de la triche possible Pourquoi Ève ne peut pas intercepter les qubits après l étape 1? Si elle mesure et se trompe, Bob recevra un état potentiellement différent. Avec probabilité ¼, il s agira d une position utilisée pour la vérification. Si l état quantique est différent, on a potentiellement k i k i et l espion est détecté. Attaques plus avancées mais il y a une preuve complète qui montre qu Ève ne peut pas tricher. 20/05/17 André Chailloux Cryptographie quan;que en théorie 29

30 Analyse de la triche possible (2) Eve est obligée de laisser passer les qubits à l étape 1. Ensuite, elle reçoit toutes les encodages b i mais sans les états, ça ne sert à rien. Elle reçoit aussi des valeurs k i utilisées pour la vérification mais qui ne seront pas utilisées dans la clé finale. 20/05/17 André Chailloux Cryptographie quan;que en théorie 30

31 Analyse Quel avantage à Bob vis-à-vis d Eve? Bob à le droit de mesurer les états envoyés par Alice, même sans connaître l encodage utilisé. De plus, Bob peut vérifier que personne d autre n a mesuré les états envoyés par Alice. Alice et Bob peuvent ensuite se mettre d accord pour extraire une sous clé commune. 20/05/17 André Chailloux Cryptographie quan;que en théorie 31

32 Discussion A la fin du protocole, Alice et Bob partagent une clé secrète k s qui est une sous clé de k. Ils peuvent utiliser cette sous clé pour envoyer de manière sécurisée un message m. L espion ne peut pas tricher, quelque soit sa puissance de calcul La sécurité du protocole est garantie par les lois de la physique quantique! Le protocole n utilise pas d intrication pas besoin de puissance de calcul quantique utilise la manière dont l information peut-être encodée dans des bits quantiques, avec notamment le non-clonage. 20/05/17 André Chailloux Cryptographie quan;que en théorie 32

33 Discussion Autres applications: protocoles d authentification calcul distribué sécurisé certaines choses restent impossibles même en utilisant un ordinateur quantique sans hypothèses calculatoires. Place de la cryptographie quantique N a pas vocation à remplacer enièrement les systèmes de cryptographie mais à les compléter/améliorer dans certaines circonstances. 20/05/17 André Chailloux Cryptographie quan;que en théorie 33

34 Conclusion Les ordinateurs quantiques souvent présentés uniquement comme des super calculateurs. L ordinateur quantique permet de manipuler et d envoyer l information de manière nouvelle Nous oblige à repenser la théorie de l information Nous permet de faire des choses en cryptographie qui nous paraissaient impossibles: protocole BB84. Utilise peu de ressources quantiques qubit 1 16 qubits intriqués. Ça existe déjà et ça marche! (cf. exposé suivant) 20/05/17 André Chailloux Cryptographie quan;que en théorie 34

35 Merci 20/05/17 Cryptographie quan;que en théorie 35