Brevet FR2933833A1 — publié le 20100115

PROCEDE DE DISTRIBUTION QUANTIQUE DE CLES A VARIABLES CONTINUES. DOMAINE DE L'INVENTION La présente invention concerne un procédé de distribution quantique de clés à variables continues. Les procédés de distribution quantiques de clés permettent à deux parties éloignées, un émetteur et un récepteur usuellement appelés Alice et Bob, de s'échanger une clé secrète. Ces procédés comprennent une phase d'échange quantique entre Alice et Bob, comprenant l'envoi d'informations quantiques par Alice, sur un canal quantique, et leurs mesures par Bob, et à l'issue de laquelle Alice et Bob ont deux chaines de données corrélées. La phase d'échange est suivie d'une phase de traitement des données d'Alice et Bob pour en extraire une clé secrète. Cette phase de traitement comprend de manière habituelle : -une étape dite d'estimation des paramètres de l'échange quantique, qui permet notamment de quantifier le nombre de bits d'information, appelée information mutuelle, qu'Alice et Bob ont en commun, et de borner la quantité d'information connue d'un espion Eve, pour estimer la taille de la clé secrète qu'il sera possible d'extraire; - une étape dite de réconciliation des données corrélées d'Alice et Bob, basée sur un procédé de codage de correction d'erreur binaire pour corriger les erreurs de transmission. Soit c'est Bob qui corrige ses erreurs et on parle de réconciliation directe, soit c'est Alice, et on parle de réconciliation inverse. A l'issue de cette étape de réconciliation, Alice et Bob possèdent une chaine de bits strictement identique; - une étape dite d'amplification de secret, destinée à éliminer l'information connue de l'espion Eve. A l'issue de cette étape Alice et Bob ont une clé secrète en commun. Ils peuvent alors utiliser cette clé secrète dans des opérations de cryptographie. L'intérêt croissant pour ces procédés réside dans la sécurité attachée à la distribution de la clé, dont la preuve repose sur les mécanismes de base de la mécanique quantique et de la théorie de l'information, notamment en ce qu'ils permettent de détecter et de borner la quantité d'information que pourrait détenir un espion Eve. Mais le développement des procédés de distribution quantique de clés dans les systèmes de télécommunication, passe par l'amélioration de leur portée (la longueur du canal entre Alice et Bob), de leur débit (nombre de bits de clé par seconde), et du coût de leur mise en oeuvre. ÉTAT DE LA TECHNIQUE Dans les tout premiers procédés proposés, l'échange quantique était basé sur des variables quantiques discrètes, c'est-à-dire ne pouvant prendre qu'un nombre fini de valeurs, typiquement quatre, portées par un photon unique, telles que sa polarisation ou sa phase, mesurées au moyen d'un détecteur à comptage de photons. Les quatre valeurs différentes correspondent en réalité à 2 valeurs possibles, 0 ou 1, pour deux choix de bases possibles. Comme Bob fait un choix de base au moment de sa mesure, il peut différencier au maximum deux valeurs : Avec ces procédés, on est capable de transmettre au maximum 1 bit d'information binaire par photon transmis. L'efficacité de transmission repose alors essentiellement sur l'efficacité du détecteur à comptage de photons. Les difficultés rencontrées pour améliorer les performances de la détection par comptage de photons ont conduit à l'émergence d'autres procédés. En particulier, de nouveaux procédés utilisent des variables quantiques continues, qui ont donc la propriété de pouvoir prendre une infinité de valeurs. Ces procédés dits QCV (Quantum Continuous Variable) suscitent beaucoup d'intérêt, en particulier parce que les variables quantiques continues peuvent être mesurées par détection interférométrique dite détection homodyne (voire hétérodyne), qui utilise des photodiodes usuelles, rapides et efficaces. Cette détection permet des mises en oeuvre facilitées et à moindre coût. Des procédés à variables quantiques continues sont notamment décrits en détail dans les demandes de brevet EP21825633 et US2004/01095564, dans lesquelles les variables quantiques continues sont les composantes de quadrature d'états quantiques cohérents générés par une diode laser. Les observables (bases de mesure) sont les quadratures Q et P des états quantiques transmis. Dans ces procédés, Alice applique une modulation continue aléatoire sur la phase et l'amplitude d'états cohérents, avant de les émettre vers le récepteur Bob, via un canal quantique C, par exemple, une fibre optique. Généralement, la modulation continue utilisée suit une même distribution gaussienne pour les deux quadratures. La détection mise en oeuvre par Bob est une détection homodyne limitée au bruit de photon. Pour chaque état reçu, Bob choisit aléatoirement d'effectuer la mesure dans l'une ou l'autre des quadratures Q ou P. A la fin de l'échange, Bob annonce à Alice la base qu'il a retenue pour chaque mesure. Alice conserve uniquement la donnée correspondant à la quadrature choisie par Bob. Alice et Bob ont alors deux chaînes de données qui sont corrélées, qui sont utilisées dans les étapes suivantes du procédé de distribution quantique de clé. L'utilisation d'une modulation gaussienne associée à une transmission sur un canal du type à bruit additif blanc gaussien, a pour avantage connu de maximiser l'information mutuelle IAB, c'est-à-dire la quantité de bits d'information :par signal quantique échangé, que partagent Alice et Bob, pour un rapport signal sur bruit SNR donné : l'information mutuelle IAB est égale à la limite maximale donnée par la formule de Shannon, encore appelée information de Shannon, pour un rapport SNR donné : IAB= 2 loge [1 + SNR] . Dans le contexte considéré, le rapport signal sur bruit SNR', est en fait le rapport de la variance du signal émis à l'entrée du canal, égale à la variance VA de la distribution de probabilité gaussienne appliquée par Alice, sur la variance du bruit. La courbe qui donne l'information mutuelle IAB en fonction du rapport signal à bruit SNR, ou courbe dite de Shannon est représentée sur la figure la, (courbe 1). Elle représente la capacité d'un canal (quantique) de transmission du type à bruit blanc additif gaussien (tel qu'une fibre optique par exemple), en fonction du rapport signal sur bruit. La capacité du canal est la quantité maximum de bits d'informations par symbole, c'est-à-dire par impulsion lumineuse, qu'il est théoriquement possible d'extraire pour un rapport signal à bruit donné. Elle montre qu'avec ce procédé, on peut avantageusement extraire plus d'un bit par symbole. Par exemple, pour un SNR de 15, on a IAB=2 bits. La théorie de Shannon ne propose cependant aucune méthode qui permettrait d'extraire ce nombre théorique de bits d'information. On définit un paramètre (3, appelé efficacité de réconciliation, comme le rapport entre la taille de la chaîne de bits commune partagée par Alice et Bob à la fin de la réconciliation et l'information mutuelle égale à 2 loge [1+ SNI?] (limite de Shannon). Les meilleurs protocoles de réconciliation ont une efficacité de réconciliation (3 entre 0,85 et 0,90. Ces résultats sont obtenus en utilisant des codes correcteurs linéaires d'erreur binaire performants, tels que les codes à matrice de parité creuse, appelés codes LDPC ("Low Density Parity Check") ou les turbo-codes, au prix d'une grande complexité de traitement. Dans les implémentations pratiques, ces codes ont notamment été associés à des techniques de traitement des données, tel que le découpage par tranches (décrit par exemple dans la publication Physical Review A76, 042305 (2007), Lodewyck et al, "Quantum key distribution over 25 km with an all-fiber continuous variable system'') ou les octonions (décrit par exemple dans la publication Physical Review A 77, 042325 (2008), Leverrier et al, "Multidimensional reconciliation for a continuous-variable quantum key distribution"). En pratique, le débit de clé obtenu, est à un niveau bien inférieur de ce qui pourrait théoriquement être obtenu en ne considérant que les performances de la détection homodyne. Typiquement, avec les meilleurs codes, on atteint au mieux un débit de clé de l'ordre de 2 kilobits par seconde, pour une longueur de canal de l'ordre de 25 km. Au delà de cette distance, le rapport signal à bruit devient trop faible, et compromet la possibilité d'extraire une clé. On rappellera en effet que le rapport SNR étant fonction de la transmission T du canal quantique, il diminue comme la transmission T, suivant une fonction exponentielle décroissante avec la longueur du canal : A variance VA fixée, le rapport signal sur bruit SNR varie ainsi au premier ordre comme VA.T. Par exemple, dans l'état de l'art des fibres optiques aux longueurs d'onde utilisées dans les systèmes de télécommunications (longueurs d'onde dites télécom, autour de 1550 nm), on a T= 10-o,o2a où d est exprimée en kilomètres. Ainsi la mise en oeuvre de ces protocoles à variables continues, nécessite de réaliser un compromis entre la complexité de réconciliation et le niveau du rapport signal sur bruit SNR, dans le but de maximiser à la fois l'information mutuelle, et le taux d'extraction, pour une longueur de canal donnée la plus grande possible. Notamment, ces protocoles se placent en condition de rapport signal à bruit SNR élevé. Un rapport signal à bruit élevé se traduit en pratique par une variance VA de modulation élevée, par exemple d'une dizaine à quelques dizaines de fois le bruit de photon ; le bruit étant lui connu ou déterminable dans un système de communication donné (en l'absence d'espion). Dans les demandes précitées, la variance VA de modulation est ainsi de l'ordre de 40. Voir notamment le tableau "TABLE 1" en page 9 de la demande US 2004/0109564 précitée. Dans la publication déjà citée supra de Lodewyck et al, c'est une variance VA de 18,5 (en unités de bruit de photon) pour une distance de 25 km (T=0,302) qui donne les meilleurs résultats. Par contre, ces procédés offrent de bonnes preuves de sécurité, basées sur l'exploitation du modèle de canal gaussien. Ce modèle permet en effet de déterminer le nombre de bits d'information connus d'Eve de manière optimale, information utilisée dans la dernière phase d'amplification de secret, pour fournir en sortie la clé secrète, à partir de la séquence binaire obtenue en sortie de réconciliation. Les équations de détermination de la quantité d'information détenue par Eve, établies pour le canal gaussien, sont bien connues et rappelées dans la publication précitée de Lodewyck et al. Ainsi, si la sécurité de ces procédés QCV est bien établie, leurs performances sont en pratique limitées par les performances de la réconciliation. Les possibilités d'amélioration des procédés de réconciliation vont de pair avec une complexité croissante qui va à l'encontre du débit de distillation de clé. D'autres procédés à variables continues ont été développés qui allient une modulation discrète de variables continues à une détection homodyne, dans l'optique de bénéficier de l'efficacité et la simplicité de mise en oeuvre de la détection homodyne, tout en se calquant pour le reste des étapes sur les procédés à variables discrètes. En effet, une différence importante entre les protocoles de distribution à variables discrètes et à variables continues, est le taux d'erreur de transmission qui est très faible dans le premier cas, ce qui autorise d'autres types d'algorithmes, moins complexes, pour la réconciliation, tels que les algorithmes dits "Cascade" ou "Winnow". Ces procédés à variables continues et modulation discrète cherchent ainsi à bénéficier des meilleures performances en détection et en réconciliation. Ils utilisent donc des variables continues avec une modulation discrète, qui permet de ne coder au plus qu'un bit d'information binaire par information quantique émise, et qui permet une détection homodyne. Cette modulation discrète consiste pour Alice à envoyer un état cohérent choisi aléatoirement parmi un nombre fini d'états cohérents possibles. Ces états cohérents possibles sont caractérisés par une même amplitude, mais une phase différente. Pour chaque état cohérent reçu, Bob utilise la détection homodyne, pour mesurer une quadrature P ou Q, choisie aléatoirement. Pour obtenir des taux d'erreur comparables à ceux des procédés à variables discrètes, un filtrage des données est effectué, pour éliminer les données les plus bruitées : c'est l'étape dite de seuillage ou de post-sélection, préalable à la réconciliation des données. Ainsi, les chaines de données corrélées d'Alice et Bob présentées à l'étape de réconciliation sont elles entachées de très peu d'erreurs. Un tel procédé à modulation discrète de variables quantiques continues est décrit en détail dans la demande de brevet US 2006/0083376, avec différents modes de réalisation, avec notamment différentes valeurs du nombre d'états cohérents utilisés à l'émission. La figure 12 et le paragraphe associé [0149] dans la description montre l'opération de post-sélection, utilisant deux seuils X0 et ûX0 de manière à diminuer de manière significative les erreurs de mesure, par discrimination. Mais si ces procédés à modulation discrète offrent des perspectives en termes de portée et de débit de clé, une difficulté importante apparaît lors de la dernière étape d'amplification de secret : l'utilisation qui est faite de la postsélection ne permet pas d'utiliser les formules générales citées plus haut pour évaluer le nombre de bits connus par Eve (article Lodewyck et al, cf.supra), ce qui affecte significativement la sécurité du protocole. Notamment, leur sécurité n'a été démontrée que face à des attaques spécifiques. Pour plus de détails, on pourra par exemple se reporter à la publication Physical Review A 76(2), 022313, August 2007 de MM. Heid and Liitkenhaus, "Security of coherent state quantum cryptography in presence of gaussian noise". Certaines applications ne peuvent se satisfaire d'un degré de sécurité moindre. Dans la publication Physical Review A 74, 032302 (2006), Namiki et al, "Efficient-phase-encoding protocols for continuous-variable quantum key distribution using coherent states and postselection", des voies d'amélioration du procédé vis-à-vis de la sécurité sont proposées qui s'intéressent notamment à la définition du nombre d'états cohérents et de leur phase. EXPOSE DU PROBLEME TECHNIQUE ET DE SA SOLUTION L'invention a pour objet de proposer un procédé de distribution quantique 25 à variables continues, qui garantit la sécurité de la clé secrète dans sa conception la plus large, avec une portée et une vitesse améliorée. On a exposé supra les limites des procédés à variables continues et modulation continue. Les procédés à variables continues et modulation discrète souffrent quant 30 à eux d'un défaut de preuve de sécurité. Ce défaut de preuve est une conséquence directe de l'opération de post-sélection. Mais si on supprime la post-sélection, on perd tous les avantages d'une réconciliation plus simple (Cascade, Winnow). En outre, la quantité d'information mutuelle à Alice et Bob est alors bien moins bonne que dans le cas d'une modulation gaussienne. En effet, la modulation discrète 35 correspond à une modulation de phase binaire (modulation BPSK). Bob peut détecter +A ou ùA (au facteur de transmission près), ce qui signifie que l'on transmet au mieux un bit par symbole. Sur la figure la, on a représenté sous la référence 2, la courbe de Shannon pour une modulation binaire BPSK sur un canal à bruit blanc additif gaussien (canal BPSK), et sous la référence 1, la courbe de Shannon pour une modulation gaussienne sur un canal à bruit blanc additif gaussien (canal gaussien). Cette courbe 2 met en évidence qu'avec une modulation BPSK, la capacité du canal est au maximum de 1 bit, alors qu'elle n'est pas limitée pour une modulation gaussienne : une modulation binaire ne permet au mieux que de transmettre un bit par information quantique. Ainsi, la modulation binaire est elle moins intéressante que la modulation gaussienne. En outre, la détermination de la quantité d'information détenue par Eve, sur des formules correspondant à un modèle binaire (canal BPSK), souffre d'un défaut de preuves de sécurité. On a donc un défaut de preuve de sécurité sur la clé obtenue à la fin de la phase d'amplification de secret. Enfin, pour qu'un procédé permette la distribution d'une clé, il est impératif de conserver une efficacité de réconciliation raisonnable. On a vu que cette efficacité de réconciliation est une fonction de la capacité de canal et du rapport signal sur bruit. Ainsi une modulation discrète ne permet généralement pas de conserver une efficacité de réconciliation raisonnable. RESUME DE L'INVENTION Un objet de l'invention est de chercher à rendre compatibles l'utilisation d'une modulation discrète (sans postsélection) et des formules générales de détermination du taux d'extraction de clé secrète établies pour un canal gaus sien. Dans l'invention, on a cherché à concilier modulation discrète, preuve de sécurité et efficacité de réconciliation. Ce problème est résolu par un procédé selon l'invention, dans lequel un signal quantique émis correspond à une modulation aléatoire de la phase d'un état quantique cohérent, sur un ensemble fini de valeurs de phase, l'amplitude des états cohérents transmis étant constante et choisie telle que la variance du signal émis, égale au carré de l'amplitude, est inférieure ou égale à quelques unités de bruit de photons, et une détection homodyne limitée au bruit de photon, est mise en oeuvre, sans seuillage préalable pour la réconciliation, et la phase d'amplification de secret est basée sur un taux d'extraction de clé secrète tel que calculé d'après les formules établies pour un canal gaussien, et utilisé dans les procédés de distribution quantique de clé à modulation gaussienne variables continues. L'invention concerne donc un procédé de distribution quantique d'une clé, comprenant une phase d'échange quantique entre un émetteur Alice et un récepteur Bob, dans laquelle l'émetteur Alice émet aléatoirement N états cohérents quantiques, chaque état étant formé par une modulation discrète aléatoire de la phase d'un état quantique cohérent d'amplitude donnée, par sélection aléatoire d'une valeur de phase parmi un nombre fini de valeurs possibles, et le récepteur Bob mesure pour chaque état reçu, une quadrature choisie aléatoirement, au moyen d'une détection homodyne, et révèle à l'émetteur la base de mesure correspondante, permettant à l'émetteur d'établir une chaîne de N données de quadrature émises, correspondant à la chaîne des N données de quadrature mesurées par le récepteur, et une phase de réconciliation de données basée sur lesdites chaînes de données émises et mesurées, caractérisé en ce que l'amplitude desdits états quantiques émis dans la phase d'échange quantique est fixée par une valeur de variance choisie pour imposer un domaine de travail dans lequel la capacité de canal est indépendante de ladite modulation appliquée, et égale l'information de Shannon pour un canal gaussien, et en ce que ladite étape de réconciliation est réalisée sans étape préalable de seuillage, ou de post sélection, desdites données de quadrature émises ou reçues, en utilisant un code linéaire de correction d'erreur binaire dont le rendement correspond à un rapport signal sur bruit estimé pour ladite phase d'échange quantique pour fournir en sortie une séquence binaire de longueur n, et en ce qu'une phase d'amplification de secret fournit une clé secrète à partir de ladite séquence binaire, de longueur réduite à un nombre égal à un taux d'extraction de clé secrète calculé à partir d'équations établies pour un canal gaussien. Ce procédé exploite la zone de la courbe 2 illustrée sur la figure 1 a, qui est proche de l'origine, et qui correspond à un rapport signal sur bruit faible. La figure lb en est un agrandissement autour de l'origine : pour des faibles valeurs de rapport signal sur bruit SNR, les deux courbes se confondent. En d'autres termes, à faible rapport signal sur bruit, la capacité de transmission d'un canal quantique est aussi bonne en modulation binaire qu'avec une modulation gaussienne, et l'invention exploite cette caractéristique qui permet d'utiliser les modèles de calcul correspondant à une modulation gaussienne, et en particulier, les preuves de sécurité qui s'y attachent. On montre que l'on sait trouver ou construire des codes linéaires de correction d'erreur binaire dont le rendement correspond au faible rapport signal sur bruit dans cette zone. D'autres avantages et caractéristiques de l'invention sont détaillés dans la description suivante en référence aux dessins illustrés, à titre d'exemple non limitatif. Dans ces dessins : - les figures la et lb illustrent la capacité de canal en fonction du rapport signal sur bruit, pour un canal gaussien (à bruit blanc additif gaussien), dans le cas d'une modulation gaussienne (limite de Shannon) et d'une modulation binaire; -les figures 2a et 2b sont des représentations symboliques dans l'espace des phases des états cohérents respectivement émis et reçus; - la figure 3 est un schéma bloc illustrant la phase d'échange quantique d'un procédé selon l'invention; -la figure 4 illustre la courbe donnant le taux d'extraction de clé secrète en fonction de la variance du signal émis; -la figure 5 est un schéma bloc représentatif des différentes phases d'un procédé de réconciliation inverse selon l'invention; -la figure 6 est un schéma illustrant une phase de réconciliation inverse selon une 20 première mise en oeuvre de l'invention; -la figure 7 est un schéma illustrant une phase de réconciliation inverse selon une deuxième mise en oeuvre de l'invention, utilisant un code à répétition; -la figure 8 montre une courbe expérimentale de l'efficacité de réconciliation en fonction du rapport signal sur bruit, pour une modulation gaussienne et une 25 modulation binaire; Le procédé de distribution quantique selon l'invention est un procédé utilisant une modulation discrète de variables continues, qui sont des états quantiques cohérents, et une détection interférométrique homodyne limitée au bruit de photon. 30 Il est mis en oeuvre dans un système de télécommunication comportant au moins un émetteur, ci après dénommé Alice et au moins un récepteur, ci après dénommé Bob, un canal quantique du type à bruit additif gaussien (fibre optique, espace libre), et un canal de communication dit public, généralement une liaison internet. Dans l'invention on s'intéresse plus particulièrement à un système de télécommunication dans lequel le canal quantique est une fibre optique à la longueur d'onde dite télécom, autour de 1550 nm. Ce système peut par exemple comprendre les moyens matériels du système de télécommunication décrit dans la demande EP 21825633 précitée. L'exécution par Alice et Bob d'un procédé selon l'invention leur permet de partager à la fin une clé secrète connue d'eux seuls, qu'ils vont pouvoir utiliser pour une opération de cryptographie classique. Le procédé de distribution quantique selon l'invention comprend comme illustré sur la figure 5, les quatre phases habituelles des procédés de distribution quantique de clé à variables continues. Ce sont les phases habituelles d'échange quantique d'estimation de paramètres de l'échange 100.2, de réconciliation de données 100.3 et d'amplification de secret 100.4, dont les fonctions générales sont rappelées ci après : -la phase 100.1 d'échange quantique: Alice envoie N états quantiques cohérents à Bob qui les mesure à l'aide d'une détection homodyne. A la fin de cette étape, Alice et Bob possèdent deux vecteurs réels corrélés xe et yr de longueur N. -la phase 100.2 d'estimation des paramètres de l'échange : Alice et Bob comparent publiquement un échantillon aléatoire de leurs données. et estiment la taille AI de clé secrète qu'ils peuvent distiller. Si cette taille est négative ou nulle, ils abandonnent le protocole, sinon, ils poursuivent. -la phase 100.3 de réconciliation de leurs données, de préférence, de réconciliation inverse : Bob forme une séquence binaire Y à partir de son vecteur réel yr données, moins les données de l'échantillon révélées à l'étape précédente. Bob calcule un syndrome de cette séquence binaire au moyen d'un code de correction d'erreur et il envoie de l'information supplémentaire à Alice afin qu'elle puisse déterminer la séquence binaire Y de Bob, par décodage. A la fin de cette étape, Alice et Bob possèdent la même chaîne binaire Y, qui est en partie connue de l'espion. -la phase 100.4 d'amplification de secret permet de supprimer toute l'information dont dispose Eve, bornée par un taux d'extraction de clé noté AIsECRET Elle utilise à cet effet, des fonctions de hachage choisies aléatoirement. A la fin de cette étape, Alice et Bob disposent d'une clé secrète de longueur OISEC~tET Le procédé de distribution quantique de clé selon l'invention se distingue notamment en ce qu'il utilise dans la phase d'échange quantique une modulation discrète de la phase des états quantiques cohérents, avec une amplitude fixée par une variance prédéterminée, choisie pour imposer un domaine de travail dans lequel la capacité de canal est indépendante de la modulation, et égale l'information (ou limite) de Shannon, une phase de réconciliation sans étape préalable de seuillage, ou de post sélection, des données, et utilisant un code linéaire de correction d'erreur binaire ayant un rendement correspondant à une estimation du rapport signal sur bruit pour l'échange quantique considéré et un taux d'extraction de clé secrète AISECRET calculé suivant les équations correspondant au modèle gaussien, telles qu'établies dans les procédés à variables continues et modulation continue. Ce procédé est décrit plus en détail ci après dans un exemple de mise en 10 oeuvre préféré utilisant une étape de réconciliation inverse. La phase d'échange quantique 100.1 comprend une première phase 100.1 a pendant laquelle Alice émet un signal quantique, c'est-à-dire une suite de N symboles vers Bob, qui les reçoit, et les mesure à l'aide d'une détection homodyne. Dans l'invention, Alice forme le signal quantique émis au moyen d'une 15 modulation discrète aléatoire sur un nombre fini d'états quantiques cohérents, ayant une même amplitude choisie telle que la variance du signal émis est inférieure ou égale à quelques unités de bruit de photon. En pratique, les meilleurs résultats sont obtenus avec la définition de quatre états cohérents notés El, E2, E3 et E4, de phase respective 7r/4, 37t/4, 5n/4; 77r/4 (radians) : en d'autres termes, c'est une modulation 20 aléatoire de la phase d'un état cohérent d'amplitude A, où la phase peut prendre aléatoirement les valeurs indiquées plus haut. Les quatre états quantiques cohérents El, E2, E3 et E4 s'écrivent dans l'espace des phases comme suit : El : IA(1+i) /\/2> ; E2 : IA(1-i) /\12> ; E3: IA(-1-i) / 12> ; E4 : IA(-1-1-i) /\/2>. 25 Comme représenté sur la figure 2a, dans l'espace des phases où l'axe des abscisses correspond à la quadrature Q et celui des ordonnées à la quadrature P, chacun de ces états cohérents peut être représenté par un cercle : l'angle entre l'axe de quadrature Q et l'axe passant par l'origine et le centre du cercle est égal à la phase; la distance entre l'origine et le centre du cercle est égal à l'amplitude A et le rayon du cercle est égal à 30 la racine carré de la variance VA du bruit quantique associé, égal à une unité de bruit de photon. Dans l'espace des phases, les coordonnées des états cohérents émis par Alice sont ainsi pour El, (pi, qi)=(a,a), pour E2, (p2, q2)=(a,-a), pour E3, (p3,q3)=(-a,-a) et pour E4, (p4, q4)= (a,-a), en prenant par convention a=A/V2=VVA/ti2. Les états cohérents à la réception, sont modifiés, par la transmission T du canal, inférieure à 1 et par l'excès de bruit e : Comme représenté sur la figure 2b, leur amplitude est ainsi égale à -VT.A ; et leur rayon, égal à la racine carrée de 1a variance du bruit qui est égale à (1+TE) en unités de bruit de photon. On montre, comme vérifié expérimentalement, que la modulation utilisée est ainsi équivalente à une modulation BPSK sur un canal à bruit blanc additif gaussien. Les coordonnées de quadrature mesurées par Bob s'expriment ainsi sous la forme � JT.a + z, où z est une composante représentant le bruit additionnel qui est sensiblement un bruit blanc gaussien : z N(0, 62), de variance o.2>1, où (52=1+T.E. Dans l'invention, VA est une valeur fixée, choisie égale à quelques unités de bruit de photon, en sorte que la distance à l'origine est faible et les états cohérents se superposent, correspondant à un faible rapport signal sur bruit. Le choix de la variance fixe ainsi le domaine de travail, qui doit correspondre à un faible rapport signal sur bruit. On entend par faible rapport signal sur bruit un rapport au moins inférieur à 2. Dans ce domaine de travail, et comme expliqué précédemment en relation avec les figures la et lb, la capacité de canal est indépendante de la modulation, et égale à l'information (ou limite) de Shannon, soit IAB=-log2[l+SNR]. En pratique, et comme détaillé sur la figure 3, Alice comprend des 20 moyens 10 de contrôle de la phase 100.1a d'émission d'une suite de N symboles. Ces moyens 10 : -activent des moyens 11 de tirage aléatoire d'une valeur de phase parmi les 4 valeurs de phase possibles nt/4, 3it/4, 5it/4; 7it/4 qui correspondent aux états E1(pi,gi), E2(p2,q2), E3(p3,q3) et E4(p4,g4) de la figure 2b. Alice effectue ainsi N 25 tirages; -transmettent les N couples de valeurs amplitude A - phase à des moyens d'émission 12, qui transmettent en sortie, sur le canal quantique, les N symboles quantiques correspondants; -transmettent vers des moyens de mémorisation 13, les N couples de 30 coordonnées (p;, q;) dans l'espace de phases, correspondant aux N états cohérents transmis (A , ^:I)i). Bob reçoit les N symboles sous une forme bruitée. Il les mesure au moyen d'un détecteur homodyne 20. Il effectue ainsi N mesures. Pour chaque mesure, des moyens 21 effectuent un tirage aléatoire de la base de mesure B; parmi 35 les deux quadratures possibles Q ou P. Le détecteur 20 fournit en sortie la mesure y; de la quadrature ainsi déterminée. Des moyens 22, mémorisent pour chacune des N mesures, la valeur mesurée y, avec sa base Bi de mesure. A l'issue de l'échange, N couples (y;, B;) sont ainsi mémorisés. La deuxième phase 100.lb permet de constituer les deux chaines de données corrélées d'Alice et Bob, en révélant pour chaque symbole la quadrature P ou Q mesurée. Plus précisément, Bob annonce à Alice, publiquement, c'est-à-dire par un moyen de communication public, généralement un réseau dédié, la base de mesure Bi, pour chacune des N mesures. Pour chaque mesure, Alice ne garde que la coordonnée de la quadrature correspondante : par exemple, si Bi = P, Alice conserve la coordonnée p;. Alice constitue et mémorise (en 13, Figure 2), une chaine de données xe=(xi, x2,...xi, ...xN), dans laquelle chaque composante x;, i =1 à N, est égale à la valeur réelle émise, p; ou bien q; selon que B, égal P ou Q, pour la quadrature mesurée par Bob, y,. Bob ne conserve en 22 que la chaîne de données yr (yi, ...,yN) des valeurs réelles mesurées. Ces chaines de données xe et yr sont corrélées. La phase d'échange quantique 100.1 est terminée. Aucun seuillage des données reçues et mesurées par Bob n'est effectué. On vérifie ainsi expérimentalement, et on peut justifier théoriquement, que les données xe et yr d'Alice et Bob sont les mêmes que celles que l'on rencontre dans le cas où Alice utilise une modulation BPSK sur un canal de type à bruit blanc additif gaussien. On est ainsi ramené à un problème de codage de canal pour une modulation BPSK avec un bruit additif blanc gaussien, dans un domaine de travail où la capacité de canal, en fonction du rapport signal sur bruit SNR, représentée par la courbe 2 des figures la et lb, est égale à l'information de Shannon. En effet, selon l'invention, l'amplitude A des états cohérents émis par Alice est choisie telle que la variance VA du signal émis, égale au carré de l'amplitude A, est inférieure à quelques unités de bruit de photon. Cette condition permet de s'assurer de toujours travailler à un rapport signal sur bruit SNR faible. Dans l'invention, on entend par faible rapport signal sur bruit, un rapport signal sur bruit pour lequel la capacité de canal BPSK est égale à l'information de Shannon pour un canal gaussien. En pratique, ce domaine de travail correspond à un rapport signal sur bruit inférieur ou égal, à une valeur limite L, indiquée par un trait vertical pointillé sur la figure l a, et qui est de l'ordre de 2. Dans une mise en oeuvre de l'invention, on choisit une variance VA 5 inférieure ou égale à environ 3 unités de bruit de photon. On est alors assuré de travailler dans le domaine souhaité. Le domaine de travail selon l'invention permet d'exploiter la limite de Shannon, qui rappelons-le, est associée à une modulation gaussienne sur un canal à bruit additif gaussien. C'est ainsi que dans l'invention, on utilise les équations établies 10 pour un canal gaussien, pour calculer le taux d'extraction de clé secrète, que l'on note AIsECRET Ce taux AISECRET donne le nombre de bits par symbole qui pourra être extrait des chaines de données corrélées d'Alice et Bob. Les équations qui permettent son calcul sont détaillées dans la publication précitée de Lodewyck et al. On a ainsi notamment : 15 AISECRET =AISHANVON=3 IAB - IBE, qui est le taux d'extraction de clé dit de Shannon, ou AISECRET =AIHOLEVO=p IAB - xBE, qui est le taux d'extraction de clé dit de Holevo. Dans ces expressions, IAB est une caractéristique du procédé de distribution quantique, égale à l'information de Shannon (courbe 1, figure la). (3 est une caractéristique de la phase de réconciliation et IBE et xBE , qui sont des expressions 20 de la limite supérieure bornant la quantité d'information que l'on suppose connue d'Eve, et qu'il faudra supprimer dans la phase dite d'augmentation de la confidentialité, sont le reflet des preuves de sécurité attachées au procédé de l'invention, basé sur l'optimalité des attaques gaussiennes. On rappellera que le taux dit de Holevo correspond au cas où l'on considère que l'espion Eve dispose d'un 25 ordinateur quantique, ce qui lui permet d'extraire plus d'information, xBE que l'information classique IBE. En d'autres termes, on a XBE > IBE, soit AIHOLEVO Dans une mise en oeuvre avantageuse de l'invention, on choisit la variance VA de manière à optimiser le taux de clé secrète. En effet, on montre que pour un système de télécommunication donné, pour une longueur d donnée du canal quantique utilisé par Alice et Bob, il existe une valeur de variance optimale VAoPT qui permet d'optimiser le taux d'extraction de clé, en fonction des paramètres connus de ce système, T et E. La courbe correspondante est illustrée sur la figure 4. Cette valeur optimale VAoPT est la valeur qui minimise la quantité d'information que peut détenir Eve. Elle est typiquement comprise dans une plage autour de 2 à 3 unités de bruit de photon. Dans l'invention, c'est de préférence cette valeur optimale VAopt qui est 20 utilisée par Alice pour définir l'amplitude A des états cohérents El, E2, E3, et E4 de la modulation discrète. Les taux de clé secrète calculés pour Holevo et pour Shannon conduisent à des optimisations qui peuvent différer légèrement. Comme on s'intéresse en général à la sécurité la plus forte possible, on considérera de préférence l'information 25 de Holevo AI``oLEVO, pour optimiser la variance VA. La deuxième phase du procédé est la phase d'estimation 100.2 des paramètres de l'échange quantique (Figure 5). De manière habituelle, cette phase nécessite la divulgation publique d'un 30 nombre déterminé d'échantillons de valeurs des chaînes de données émises xe et reçues yr. Ces chaînes sont de longueur N. Dans une première étape de calcul 100.2a, (N-n) données choisies aléatoirement, sont prélevées dans les deux chaînes x et y. Il faut comprendre que c'est le rang j de la donnée prélevée dans les chaines xe et yr qui est aléatoire, Alice et 35 Bob prélevant chacun la donnée de rang correspondant, et la révélant à l'autre. Alice et Bob calculent alors chacun le taux de corrélation (ou les moments d'ordre 2) de ces N-n échantillons de données corrélées. En pratique, N-n est choisi suffisamment grand pour que l'estimation de paramètres ait la précision requise. Alice et Bob suppriment de leurs chaînes de données xe et yr les (N-n) données révélées à l'étape 100.2a. On écrit ces chaînes de données de longueur n : x=(xl,...xä) pour Alice et y=(yi,...yä) pour Bob. Elles sont de longueur n. Ce sont les chaînes qui seront utilisées dans la phase de réconciliation. Dans une deuxième étape de calcul 100.2b, Alice et/ou Bob estiment à partir des (N-n) échantillons de données des chaînes Xe et yr révélés, les paramètres qui vont leur permettre de quantifier le taux d'extraction de clé secrète pour les chaines x et y obtenues. Notamment, ils en déduisent une estimation de la transmission T, et de l'excès de bruit s pour cet échange quantique. Ils en déduisent la valeur courante du rapport signal sur bruit SNR estimé pour cette phase d'échange quantique, l'information mutuelle IAB, égale à la limite de Shannon, c'est-à-dire égale à 2 loge [1+ SNR], et la quantité d'information maximale dont dispose Eve sur les valeurs de Bob, en fonction de SNR, VA, T et c. Pour la quantité d'information de Eve, on peut considérer l'information de Shannon, IBE, ou de Holevo, xBE. En outre plusieurs équations bien connues de l'homme de l'art peuvent être utilisées, comme celles indiquées dans la publication Lodewyck et al, selon que l'on considère une hypothèse réaliste dans laquelle on n'impute pas à un espion EVE les bruits associés à la détection homodyne, Vei et ri, ou une hypothèse sévère dans laquelle on impute la totalité des bruits à l'espion Eve. On sait choisir de manière connue un code linéaire de correction d'erreur binaire de faible rendement r, pour la valeur estimée du rapport signal sur bruit. On rappelle qu'un code linéaire de longueur n et de rendement r, est un code qui contient 2'n mots de code de n bits. Si le rendement r est typiquement supérieur à 0,1 environ, les codes linéaires de correction d'erreur binaire pourront être typiquement choisis parmi les turbo-codes, les codes LDPC. Dans la présente description, le terme code LDPC englobe une version généralisée appelée code LDPC de type "multi-edge". Les codes multi-edge sont par exemple décrits dans la publication de T.Richardson, et R.Urbanke : "multi-edge type LDPC codes ", Workshop honoring Prof. Bob McEliece on his 60th birthday, California Institute of Technology, Pasadena, May 2002, pages 24-25. Dans le cas où le rapport signal sur bruit estimé impose de travailler à rendement plus faible, on construit des codes linéaires spécifiques à partir des codes précités selon un procédé qui est décrit dans la suite de la description. On montre que dans l'invention, le choix de VA, associé à une modulation discrète, sans post-sélection des données, permet de choisir un code à faible rendement r pour le rapport signal sur bruit estimé, tel que la valeur correspondante d'efficacité de réconciliation, que l'on note E3e, reliée au rendement du code r par la relation : r = (3e.IAB = f3e. loge [l + SNR] , permet de maximiser le taux d'extraction \2 de clé AISf1ANN°N, si on a utilisé IBE, ou de préférence, AIH°LEVO si on a utilisé xBE. On sait tracer une courbe expérimentale 3 illustrée sur la figure 8, qui donne la valeur de l'efficacité de réconciliation 13e7 en fonction de la valeur estimée du rapport signal sur bruit SNR. Elle montre que quand le rapport signal sur bruit tend vers zéro, on sait trouver un code correcteur d'erreur tel que l'efficacité de réconciliation reste au moins supérieure à 80%. En pratique, cette courbe expérimentale est obtenue en utilisant les codes LDPC connus (dont on trouve des descriptions dans la littérature spécialisée), pour différents rapports signal-à-bruit. En observant le comportement de ces codes, en particulier, en regardant le rapport SNR minimal auquel ils sont capables de décoder (pour un rendement r donné), on obtient un point expérimental. Ensuite, la courbe est tracée en interpolant ces divers points. Pour une itération donnée, une phase d'échange quantique et une phase d'estimation correspondante, conduisant à un rapport signal sur bruit estimé de valeur snr1, cette courbe fait ainsi correspondre la valeur [3e=4 1. Pour une autre itération pour laquelle le rapport signal sur bruit serait estimé à la valeur snr2, cette courbe fait ainsi correspondre la valeur J3 =J32. Selon l'invention, et comme illustré par cette courbe de la figure 8, ce 25 mode de détermination permet que le taux d'efficacité de réconciliation (3e reste aux alentours de 0,8 (80%), quand le rapport signal sur bruit tend vers O. On remarquera que pour un même système de communication, deux instanciations successives d'un procédé de distribution quantique de clé, devraient conduire dans des conditions normales, sans espion, à des valeurs estimées proches. 30 Ainsi, si on observe une variation significative, c'est qu'il y a eu espionnage. On remarquera sur la figure 8, que la courbe 3 correspondant à la modulation BPSK sur un canal à bruit blanc additif gaussien utilisée dans l'invention permet de déterminer une efficacité de réconciliation pour des rapports signal à bruit très faibles proches de 0, ce qui ne serait pas le cas avec une modulation gaussienne, comme illustré sur cette même figure par la courbe 4. La comparaison de ces deux courbes 3 et 4 montre que dans le domaine de travail de l'invention, délimité au moyen de la variance choisie VA, un procédé de distribution quantique à modulation gaussienne à variables discrètes, sans seuillage, selon l'invention, permet d'extraire efficacement une clé, ce que ne permet pas un procédé à variables continues dans ce même domaine. A partir de ces différents paramètres estimés, Alice et Bob peuvent alors calculer le taux d'extraction de clé secrète. Si ce taux est négatif ou nul, le procédé s'interrompt. Sinon, Alice et Bob se mettent d'accord sur un code correcteur linéaire d'erreur binaire à utiliser dans la phase suivante de réconciliation. Cette réconciliation doit opérer sur des séquences binaires longues. En effet, pour que les codes correcteurs d'erreurs approchent suffisamment la limite de Shannon, n doit en pratique être au moins de l'ordre de 105. Des valeurs courantes de n se situent dans la plage 105 à 10'. Les codes correcteurs linéaires d'erreur binaire utilisés, et leur codage et décodage associés sont bien connus de l'homme de l'art et ne seront donc pas détaillés. Soit donc Cn,r, le code correcteur linéaire choisi de paramètres n, sa longueur, égale à la longueur des séquences binaires Y à traiter et r son rendement. Sa matrice de parité H est de dimensions n.(1-r)n. La longueur des syndromes sc= Y.H est ainsi égale à (1-r)n : c'est le nombre de bits de contrôle supplémentaires fournis à Alice pour corriger les erreurs et retrouver la séquence Y de Bob. On calcule le taux d'efficacité correspondant Re = r/IAB = r/ 2 loge {1 + SNRIJ Une fois le code Cn,r sélectionné, la phase de réconciliation 100.3 commence. Dans la mise en oeuvre décrite, il s'agit d'une phase de réconciliation inverse par laquelle Alice doit retrouver la séquence binaire Y que Bob détient, et qui correspond à la binarisation de la chaine y des données réelles yi. Dans l'invention, lorsque le rendement r calculé à partir des conditions expérimentales comme indiqué plus haut est supérieur ou égal à environ 0,1, alors la phase de réconciliation 100.3 suit un schéma classique bien connu, qui est illustré de manière schématique sur la figure 6. Selon ce schéma classique de réconciliation inverse, Bob fournit à Alice le syndrome sc = H.Y. Il doit aussi fournir à Alice une information sur le bruit ajouté par le canal. Ceci est réalisé par Bob, par la fourniture des valeurs absolues des valeurs réelles y; de la chaîne y. Ces valeurs absolues étant indépendantes du signe de la mesure, révéler ces informations n'apporte aucune information à un éventuel espion. Muni de ces informations, et de sa chaîne de données x, Alice procède alors à un décodage, de préférence suivant un algorithme itératif à décision souple, pour obtenir en sortie la séquence binaire Y de Bob. De manière plus détaillée : Bob effectue une binarisation 100.3a : il transforme sa chaîne y de données de n mesures réelles y;, en une séquence binaire Y de n bits Y=(YI, ...Yn). Comme détaillé en relation avec la figure 2b, une valeur réelle yi peut être positive ou négative. La binarisation effectuée par Bob peut par exemple utiliser la convention suivante : si y; Alice applique sa chaîne de données x;, les valeurs absolues et le syndrome sc en entrée de son module de décodage 100.3d, qui fournit en sortie une séquence binaire réconciliée que l'on note Yoä i, qui doit correspondre à la séquence binaire Y. Le module de décodage implémente de manière connue un algorithme itératif à décision souple, pour retrouver la séquence Y à partir de x et sr. Cet algorithme utilise des calculs de vraisemblance, et plus particulièrement de log-vraisemblances, pour déterminer pour chaque x;, quel est la valeur la plus vraisemblable du bit Y; : 0 ou 1. Rappelons que Y;=O, respectivement Y;=1 signifie par convention que la donnée mesurée y; est négative, respectivement positive ou nulle. Pour chaque donnée physique x;, le module 100.3d' d'Alice calcule la vraisemblance de chacune des deux éventualités, Y;=O, et Y;=1, en utilisant comme information sur le bruit ajouté par le canal, les valeurs absolues Iy;l transmises par Bob. Pour chaque xi, Alice calcule ainsi la log-vraisemblance L(x;, lyil), qui x;)2\ 2a 2 /exp û 26-2 � 62 r s'écrit : L(x;, ly;l)=log2.exp (û,y;I+x;)2\_ 2ay;l (avec A=N12.a ; x +a). On ne détaillera pas plus le décodage par algorithme itératif et décision 5 souple, et les calculs de vraisemblance utilisés, qui sont bien connus de l'homme de l'art. En pratique, il peut rester quelques erreurs entre Y0,t et Y. Aussi prévoit-on généralement l'utilisation d'un code cyclique de correction d'erreur binaire, appelé code BCH, pour réconcilier Yoät et Y. Typiquement, Bob effectue le calcul 100.3f du syndrome correspondant sBCH=HBCH.Y, qu'il transmet à Alice, HBCH étant la matrice de parité du code BCH utilisé. Alice effectue le décodage du code BCH 100.3f, à partir de la sortie Yout du premier décodage 100.3d et du syndrome SBCH. En sortie, Alice obtient la séquence binaire Y de Bob. Ce mécanisme de correction supplémentaire est habituel. Nous venons de décrire un schéma de réconciliation inverse. Dans une variante, le procédé met en oeuvre un schéma de réconciliation directe, dans lequel c'est Bob qui met en oeuvre le décodage du code correcteur d'erreur linéaire, pour retrouver la séquence binaire correspondant à la séquence de valeurs réelles xe émise par Alice. Ce schéma de réconciliation est plus simple à mettre en oeuvre. Notamment, comme la chaine y mesurée contient l'information du bruit ajouté par le canal, Alice doit seulement transmettre à Bob le syndrome correspondant à la séquence binaire correspondant à sa chaine xe, et au code choisi. Bob peut alors pour chaque yi calculer la log vraisemblance de chaque éventualité x;=a ou xi=-a, ce qui 7 2\ s' (y' û x; )2 écrit : L(y;,)= log. exp û 26-2 25 Un schéma de réconciliation correspondant se déduit du schéma de la figure 6 en inversant les rôles d'Alice et Bob eu égard au codage et au décodage, et en supprimant la partie transmission de valeurs absolues. Ce schéma est cependant moins performant en termes de sécurité. Le schéma de réconciliation (inverse ou directe) qui vient d'être décrit en 30 référence à la figure 6 correspond à une situation où il existe un code correcteur linéaire C,,,r qui offre un rendement r correspondant aux conditions expérimentales de rapport signal sur bruit SNR. Dans ce cas, l'efficacité de réconciliation obtenue, 13e, 10 15 20 ((y,+x;)" 26-2 ) =gay; 6-2 exp donnée par l'équation : f3e r/IAB, où IAB est l'information de Shannon : IAB= 2 loge [1+ SNR], est au moins égal à 0,8 (80%), selon l'invention. En pratique, pour des conditions expérimentales données, deux situations sont rencontrées selon que le rapport signal sur bruit estimé impose un rendement r du code à utiliser, supérieur ou inférieure à un seuil donné, de l'ordre de 0,1. - le rendement r est supérieur ou égal à ce seuil : On connait des codes linéaires pouvant offrir un tel rendement. En particulier, on sait paramétrer de manière performante des codes linéaires de type LDPC ou turbo-code pour obtenir un tel rendement, et on sait garantir une efficacité de réconciliation minimale, c'est-à- dire au moins égale à 0,8. Par exemple, supposons que les conditions expérimentales sont telles que le rapport signal sur bruit est estimé égal à 0,2. La formule reliant r et f3, r=[3.IAB, donne r égal à 0,1 pour (3 sensiblement égal à 0,8. - le rendement r est inférieur ou égal à ce seuil. Supposons par exemple que les conditions expérimentales sont telles que le rapport signal sur bruit est estimé égal à 0,02. En prenant pour obtenir une efficacité de réconciliation d'au moins 0,8, la formule précédente r=13.IAB, donne r sensiblement égal à 0,01. Il est alors difficile de construire des codes LDPC ou turbo-codes performants à de tels rendements. Selon l'invention, lorsque cette situation est rencontrée, on construit un code linéaire de correction d'erreur binaire en combinant un code linéaire de correction d'erreur binaire de rendement r' k fois plus élevé que le rendement r attendu pour le rapport signal sur bruit estimé s, par exemple 10 fois plus élevé, à un code spécifique d'ordre k, qui divise les données à réconcilier par bloc de k données, de manière à maximiser les distances de Hamming. On appelle dans la suite ce code spécifique, code diviseur. Plus précisément, et comme illustré sur la figure 7 dans le cadre d'une réconciliation inverse, ce code diviseur, les distances de Hamming sont maximisées par une division de la séquence Y de longueur n, en m mots de longueur k, et par une fonction de codage qui fait correspondre à chacun des mots, un bit unique, en sorte qu'une nouvelle séquence binaire Y' est formée, de longueur réduite m. C'est cette séquence réduite que doit maintenant trouver Alice. La combinaison d'un code linéaire de correction d'erreur binaire à ce code diviseur d'ordre k a pour effet technique d'augmenter artificiellement le rapport signal sur bruit, d'un facteur k. Le rendement r'= r.k du code linéaire utilisé correspond ainsi à un rapport signal sur bruit artificiellement augmenté, égal à s.k. Ainsi, et comme illustré sur la figure 8, on obtient au final un code correcteur d'erreur binaire capable de continuer à assurer un taux d'efficacité de réconciliation de 0,8 (80%) au moins, quand le rapport signal sur bruit estimé s tend vers zéro. Ainsi, le procédé de l'invention permet d'assurer un taux d'efficacité minimal, au moins de l'ordre de 80%, sur tout le domaine de travail de l'invention. Il en résulte que le procédé de l'invention autorise une plus grande longueur de canal entre Alice et Bob. En outre, si pour obtenir une même taille de clé (n bits) que dans les procédés de l'état de l'art, comme détaillé ci-après, il est nécessaire d'augmenter le flux de données à échanger (N), cette augmentation du nombre de données à traiter est compensée par une vitesse de décodage améliorée d'un facteur k, en sorte que le débit de clé n'est pas ou peu affecté. Avant de décrire un mode de réalisation détaillé d'un schéma de réconciliation correspondant à la combinaison d'un code linéaire de correction d'erreur binaire de longueur m=n/k et de rendement r', et d'un code diviseur d'ordre k, en relation avec la figure 7, détaillons le principe général du code diviseur selon l'invention, pour augmenter artificiellement le rapport signal-à-bruit estimé s et maintenir l'efficacité de réconciliation. Ce code s'apparente au principe d'un code à répétition. Aussi, pour l'expliquer, se place t-on dans un premier temps dans le cas d'une réconciliation directe, qui permet d'appréhender simplement le principe d'un code à répétition appliqué à l'invention. On prend pour simplifier a=A 'J2=1. Les coordonnées des données physiques envoyées par Alice sont alors égales à �1. Alice envoie x; E 11;4} . Bob reçoit yiûxi + z où z N(0,62). Ce couple de variables (xi, yi) correspond à une modulation BF'SK avec un canal blanc à bruit additif gaussien avec un rapport signal sur bruit SNR=s=l/62 Pour s En répétant chaque variable x; k fois, on obtient au final deux vecteurs corrélés X=(XIk,....X,nk) et Y=(YIk,....Ymk), (m=nk) : par rapport au schéma de réconciliation de la figure 6, sa longueur a été divisée par k, mais le rapport signal-àbruit a été augmenté du même facteur k. On peut ainsi travailler avec un code correcteur linéaire de rendement k fois plus élevé, sans que l'efficacité de réconciliation soit affectée, du moins si le rapport signal à bruit reste petit, typiquement ks inférieur ou égal à 0.1. En effet, supposons donc que l'on dispose d'un code correcteur linéaire C correspondant à une efficacité de réconciliation (3a pour un certain rapport signal-10 à-bruit SNR égal à s. En répétant chaque signal k fois, on se ramène à un problème de codage de canal à modulation binaire et bruit gaussien avec un SNRb égal à s/k. On obtient une efficacité de réconciliation /3b = fia log2 (1 + s) k loge 1 + k . Pour s petit devant 1, par exemple pour s de l'ordre de 0.1, ou plus petit, 15 cette expression peut être approximée : Rb: Na1ù 2 kk 1~\ Na 1ù s , ce qui est proche de (3a : la répétition ( l utilisée n'affecte pas ou peu l'efficacité de réconciliation. Si on considère le premier bloc de k données x;, formant la nouvelle variable Xlk, la réconciliation avec code à répétition consistera alors pour Bob à 20 calculer les vraisemblances par rapport aux variables XI' et Yi". Pour le bloc correspondant de k données mesurées, Bob calcule leur somme pour former sa variable Yak comme explicité plus haut. Le calcul de log-vraisemblance effectué par Bob devient alors : L(Y, k) = log. 25 L(Y,k) = 2aY,k/6-2 Ainsi, pour le décodage, on n'a pas besoin de connaître le détail de chaque y;; Yi' suffit. Supposons donc que dans une instanciation du procédé, Bob mesure n 30 données y;, on regroupe ces n données en m blocs de k données, et on calcule pour chaque bloc j, j=l à m, la variable Yak. On dispose alors de m variables Yak, j=1 à m. Le décodage travaille donc sur m=nlk variables 'Vil, soit sur k fois moins de données que le nombre n de données physiques. Ceci représente un gain de temps de calcul non négligeable. Ce qui vient d'être exposé est le principe théorique de l'utilisation d'un code à répétition dans le cas d'un rapport signal à bruit très faible, et ses effets bénéfiques sur le maintien de l'efficacité de réconciliation et le temps de calcul. Cependant, il n'est pas utilisable ainsi en pratique : on ne sait pas complètement établir la sécurité d'un procédé dans lequel Alice enverrait k fois la même donnée. En outre, on préfère généralement mettre en oeuvre une réconciliation inverse. Le principe du code à répétition qui vient d'être exposé ne peut être utilisé directement, car Bob ne peut pas choisir d'obtenir k fois de suite le même résultat. Dans l'invention, on propose un procédé par lequel un code à répétition est construit à posteriori, à partir des n données aléatoires émises par Alice, ou mesurées par Bob : c'est le code diviseur d'ordre k selon l'invention. L'idée générale est de découper les n données en m séquences de k données, de coder chaque séquence par le bit de code égal au bit de signe d'une des k données de la séquence, et de donner à Alice la description des bits de signe de la séquence, à l'exception du bit de signe codant, et les valeurs absolues des k données. Alice peut alors calculer la log-vraisemblance attachée au bit de code non révélé. De manière plus détaillée, en prenant l'exemple préféré d'une réconciliation inverse : Bob découpe sa séquence de n données de mesures en m blocs de k données yl,....yk. Pour chaque bloc, il envoie à Alice les k valeurs absolues correspondantes, ainsi que la description de leur signe, sauf 1. Ceci est obtenu en prenant la séquence binaire correspondante Y1, ...Yk, et en lui appliquant une addition modulo 2 avec le bit de code : dans l'exemple Yi. Il envoie la séquence résultante, soit dans l'exemple : (Y1�Y1, ...YkOY1). Ceci indique à Alice que les deux éventualités pour la séquence 30 considérée sont : la séquence reçue, ou sa séquence complémentaire, et elle peut calculer la log-vraisemblance associée au signe du bit de code non révélé. On peut montrer que l'on obtient bien Ylk en calculant la somme suivante : Y,k = Eik1 x• • Iy;l (Yi+0Y1). Et la log-vraisemblance calculée par Alice, attachée au bit de signe non révélé de 35 Bob s'écrit : L((xl, x2, ...Xk), (I3'1I, IY21, ...Iy3I), (Y1�Y1, ...Yk�Y1))=2a.Y1k/6-2. Un exemple d'une mise en oeuvre de ce procédé de réconciliation avec code diviseur d'ordre k est illustrée sur la figure 7, pour une réconciliation inverse. Dans un souci de simplification, les éléments et/ou fonctions communs dans les figures 6 et 7 portent les mêmes références. Dans ce schéma, un code diviseur d'ordre k est utilisé, où k est un nombre entier positif, supérieur ou égal à deux, qui divise la longueur n de la séquence binaire Y : n=m.k. Le code correcteur linéaire utilisé est de longueur m et de rendement r' tel que : - =r=(3e. IAB (où IAB= 21og2 [1+ s)), s étant le rapport signal sur bruit estimé. La matrice de parité H' du code Cmr' est de dimensions m.(1-r')m. Le syndrome résultant sr. est de longueur m(l-r') bits. L'utilisation d'un code diviseur selon l'invention modifie les étapes de 15 codage et de décodage par rapport au schéma précédent de la figure 6. Le codage 100.3b' par Bob comprend les étapes suivantes : A l'étape 100.3b'1, Bob réalise les opérations suivantes : -il découpe sa séquence binaire Y de longueur n en m sous-séquences Y(j) de longueur k, j=l à m. 20 La première sous-séquence Y(l)=(Y1,....Yk) est formée des k premiers bits de la séquence Y, la deuxième sous-séquence Y(2)=(Yk+1, • • • •Y2k), des k bits suivants de la séquence Y,...la m-ième sous-séquence Y(m)=(Y(rm,_pk+1, • • • •Ymk), des k derniers bits de la séquence Y. Chacun des bits de ces séquences représente le signe de la donnée correspondante mesurée par Bob. 25 -pour chacune de ces sous-séquences Y(j): a)-il fait correspondre un bit de code égal au bit de signe de l'une des k données correspondantes. Il obtient ainsi une séquence binaire réduite Î' comprenant m bits : Î'=@1, ... Xm. Dans l'exemple, le bit de code est le bit de signe de la première donnée de chaque séquence : Î~j= Yü_ok+.1, j=l à m. 30 b)-il forme une séquence binaire d'information supplémentaire G(j), en faisant une addition modulo 2 de chacun des bits de la sous-séquence Y(j), avec le bit @( associé, (ou par son complémentaire) : G(j)=(Y(j_1)k+10 c)-il calcule le syndrome sr de la séquence binaire réduite Î' : sr =H'. @. Ce syndrome a une longueur m(l-r')bits. 35 Le décodage 100.3d' par Alice comprend les étapes suivantes : -A l'étape 100.3d'l, Alice découpe sa chaine x de longueur n en m sous-séquences x(j) de longueur k, j=1 à m : x(j)=(xj_1)k...xjk). -A l'étape 100.3d'2, Alice reçoit de Bob : -les n valeurs absolues Iy;L i=1 à n. -les m séquence binaires d'information G(j), j=1 à m. -le syndrôme sr'. La séquence binaire d'information G(j) informe Alice que la sous-séquence Y(j) est égale à la séquence G(j) ou à la séquence complémentaire G (j). Alice calcule la log-vraisemblance Li correspondante. Pour cela, elle calcule la distance euclidienne entre le mot x(j) envoyé par Alice, et chacune des séquences G(j) et G (j). Notons d~1 et d;2, ces deux distances. La vraisemblance est égale à exp(di1)/exp(di2), et la log-vraisemblance au logarithme de cette vraisemblance. Pour chaque mot x(j), j=1 à m, Alice calcule ainsi ces deux distances d,1 et dd2, puis la log-vraisemblance correspondante Li. Le décodage itératif du code Cm,i, est alors réalisé, utilisant les log-vraisemblances Li , les valeurs absolues 1y;1 j=1 à n., et le syndrome s',-. On obtient en sortie une séquence Y'oä c, de m bits, qui doit correspondre à la séquence Î'. De préférence, et comme précédemment, un code binaire cyclique BCH est utilisé, pour corriger les quelques erreurs éventuelles restantes dans Y'ont. Le codage 100.3e' prend en entrée la séquence réduite @, et fournit le syndrome correspondant : s'BCH H'BcH.Y à Alice. Alice réalise le décodage 100.3f en utilisant Y'aät. et s'BCH. On obtient en sortie @. Illustrons ce schéma de codage/décodage par un exemple numérique. Supposons que dans une instance du procédé, on ait besoin d'un. code de rendement 0.02. Suppose que l'on connaisse un bon code LPDC C de rendement 0.1. Selon l'invention, on concatène un code C de rendement 0,1 avec un code diviseur de longueur k=5. On suppose ici que n est un multiple de 5 : a n=5m. On utilise le code C de longueur m et de rendement r'=0,1, noté Cm,,-,. 30 Chaque bit de ce code correspond en fait à k=5 bits physiques, c'est-à-dire les données d'Alice. Alice regroupe alors ses données en m paquets de longueur k=5. Pour chaque paquet, elle calcule la vraisemblance du bit du code Cm correspondant. Prenons un exemple pratique. Par commodité, on prend A=42, en sorte que les 35 coordonnées x; sont égales à -1 ou +1. Les cinq premières données de la séquence x d'Alice sont : x1=1; x2=1 x3=-1 ; x4=-1, . x5=-1. Les cinq premières données mesurées correspondantes, dans la séquence y de Bob, sont : y1=1,7 ; y2=-0.9 ; y3=-0.5 ; y4=-1.3 ; y5=-0.1. Les valeurs binaires correspondantes sont (étape 100.3a ù figure 7) 5 Y1=l ; Y2=0 ;Y3=0 ; Y4=0 ; Y5=0, qui correspondent aux signes des données mesurées. Ces valeurs forment le premier vecteur Y(1)= Y1Y2Y3Y4 Y5=10000 de longueur k=5, formé dans la séquence Y de n bits. Bob code ce mot Y(1)=(10000) parle bit de code Î'1=Y1=1. 10 Pour faire deviner à Alice la valeur de Bob lui transmet les valeurs absolues des valeurs de mesure Iyij=1,7 ; ly21=0,9 ; 1y31=0,5 ; ly41=1,3 ; Iy5l=0,1, correspondant au mot Y(1) et le mot d'information G(1)= Y(1)+O où e correspond à l'addition modulo 2. Dans l'exemple, G(1)=(011111), c'est-à-dire les signes des données mesurées, sauf le signe de la première donnée. 15 Ce mot G(1) informe Alice que soit Y(1)=Y1Y2Y3Y4 Y5= 01111 ce qui correspond à Î'1=1 soit Y(1)=10000 ce qui correspond à @1=0. Pour calculer la vraisemblance de chaque éventualité, à savoir Î'1=1 ou 1=0, Alice calcule la distance euclidienne entre le mot x(1)= et chacun des deux mots possibles de Bob correspondant à G(1) ou G (1). 20 Rappelons que Y(1)=01111 signifie que le signe de : y1 y2 y3 y4y5 est respectivement - + + + +, alors que Y(1)=10000 signifie que le signe de : y1 y2 y3 y4y5 est respectivement + - - - -. Ainsi : a). La distance euclidienne entre x(1) et G(1) est égale à : 25 Dist(x(1), G(l))2=Dist(xix2x3x4x5, 01111) 2 = Dist({l; 1; -1; -1; -1}, {-1,7; 0,9;0,5; 1,3; 0,1 })2 = (1+1,7) 2 + (1-0,9)2 + (-1-0,5) 2 + (-1-1,3) 2 + (-1-0,1) 2=2,72 + 0,12 + 1,52 + 2,32+ 1,12=16,05 b). La distance euclidienne entre x(1) et G (1) est égale à : Dist(x(1), G (1))2=Dist(xix2x3)(4x5i 10000) 2 = Dist({l, 1, -1, -1, -1}, 30 {1,7,-0,9,-0,54,3,-0,11)2 = (1-1,7) 2 + (1+0,9)2 + (-1+0,5) 2 + (-1+1,3) 2 + (-1+0,1) 2=0.72 + 1,92 + 0,52 + 0,32+ 0,92= 5,25. On voit que la distance euclidienne est plus petite pour le mot G(1)=10000 donc le bit @1=1 est le plus probable. Ainsi, pour chaque j=1 à m, et pour chaque bloc x(j) de k bits, l'étape de 35 décodage 100.3d' consiste pour Alice les deux distances euclidiennes en prenant les valeurs absolues correspondantes et le mot d'information G(j), puis la log-vraisemblance Li. Ensuite des moyens de décodage du code Cm,r. déroulent un algorithme à partir duquel la séquence réduite doit être retrouvée, par utilisation des log-vraisemblances et du syndrome s'r. On obtient en sortie une séquence Y'oät de m bits qui doit correspondre à @. Le schéma de réconciliation qui vient d'être décrit, à code correcteur d'erreur linéaire de longueur m et de rendement k, combiné à un code diviseur d'ordre k où k=n/m, permet d'atteindre un rendement total égal à r=r'/k correspondant aux conditions expérimentales. Ce schéma a été expliqué pour une réconciliation inverse. Il pourrait aussi être mis en oeuvre dans un schéma de réconciliation directe, selon le même principe précédemment expliqué, en construisant le code diviseur de manière similaire, pour former une séquence binaire réduite, et en calculant :tes mots d'informations supplémentaires pour calculer la log-vraisemblance attachée à chacun des bits de la séquence binaire réduite ainsi formée. La seule différence est que Bob connait les valeurs absolues des données mesurées. REVENDICATIONS1.Procédé de distribution quantique d'une clé, comprenant une phase d'échange quantique (100.1) entre un émetteur Alice et un récepteur Bob, dans laquelle l'émetteur Alice émet aléatoirement N états cohérents quantiques, chaque état étant formé par une modulation discrète aléatoire de la phase (c);) d'un état quantique cohérent d'amplitude donnée (A), par sélection aléatoire d'une valeur de phase parmi un nombre fini de valeurs possibles (4)i, 4)2, 4)3, (p4), et le récepteur Bob mesure pour chaque état reçu, une quadrature choisie aléatoirement, au moyen d'une détection homodyne, et révèle à l'émetteur la base de mesure (Bi) correspondante, permettant à l'émetteur d'établir une chaîne (xe) de N données de quadrature émises, correspondant à la chaîne (yr) des N données de quadrature mesurées par le récepteur, et une phase de réconciliation de données (100.3) basée sur lesdites chaînes de données émises et mesurées, caractérisé en ce que l'amplitude desdits états quantiques émis dans la phase d'échange quantique est fixée par une valeur de variance (VA) choisie pour imposer un domaine de travail dans lequel la capacité de canal est indépendante de ladite modulation appliquée, et égale l'information de Shannon pour un canal gaussien, et en ce que ladite étape de réconciliation est réalisée sans étape préalable de seuillage, ou de post sélection, desdites données de quadrature émises ou reçues, en utilisant un code linéaire de correction d'erreur binaire dont le rendement correspond à un rapport signal sur bruit estimé pour ladite phase d'échange quantique pour fournir en sortie une séquence binaire de longueur n, et en ce qu'une phase d'amplification de secret (100.4) fournit une clé secrète à partir de ladite séquence binaire, de longueur réduite à un nombre égal à un taux d'extraction de clé secrète (Al') calculé à partir d'équations établies pour un canal gaussien. 2. Procédé selon la revendication 1, caractérisé en ce que lesdites valeurs de phase possibles(c)i, 4)2, (1)3,1:1)4) sont : nt/4, 3rn/4, 5n/4, 77t/4. 3. Procédé selon la revendication 1, caractérisé en ce que ladite variance 30 (VA) est de l'ordre de 1 à quelques unités de bruit de photon. 4. Procédé selon la revendication 1, caractérisé en ce que ladite variance a une valeur choisie telle qu'elle optimise un taux d'extraction de clé secrète pour un taux de transmission (T) et un excès de bruit (E) associés aux données émises par Alice et reçues par Bob dans ladite phase d'échange quantique. 5. Procédé selon la revendication 3, caractérisé en ce que ledit taux d'extraction de clé secrète est le taux de Holevo. 6. Procédé selon la revendication 1, caractérisé en ce que le taux 10 d'efficacité de réconciliation est au moins égal à environ 80%, dans le dit domaine de travail. 7. Procédé selon l'une quelconque des revendications 1 à 6, dans lequel une phase d'estimation des paramètres dudit échange quantique, révèle publiquement 15 N-n données desdites chaînes émise (xe) et mesurée (yr), choisies aléatoirement, pour calculer un rapport signal sur bruit estimé correspondant (s), et choisir un code linéaire correcteur d'erreur binaire, de rendement déterminé r, correspondant au dit rapport signal sur bruit estimé. 20 8. Procédé selon la revendication 7, dans lequel la longueur dudit code linéaire est égale à n, et son rendement r est supérieur ou égal à une valeur autour de 0,1. 9. Procédé selon la revendication 7, caractérisé en ce que le rendement r 25 est inférieur ou égal à une valeur autour de 0,1, ledit code linéaire correcteur d'erreur binaire de rendement r est construit au moyen d'un code linéaire de correction d'erreur binaire de rendement r' égal à r.k, k entier supérieur ou égal à 2, diviseur de n, et de longueur m égal à n/k, combiné à un code diviseur d'ordre k, basé sur une division des séquences binaires de longueur n à réconcilier, en m groupes de 30 longueur k, de manière à maximiser les distances de Hamming. 10. Procédé selon la revendication 9, comprenant une phase de codage par une première partie (Bob), respectivement Alice, ou Bob, d'une première chaîne (y) formée par les n données non révélées restantes de ladite première partie, ladite 35 phase de codage comprenant le calcul d'un syndrome (s',) correspondant au dit code de correction d'erreur binaire (C,,,,r.) appliqué à une séquence binaire issue de ladite première chaîne et une phase de décodage dudit syndrome par une deuxième partie,5respectivement Bob ou Alice, pour retrouver ladite séquence binaire, caractérisé en ce que ladite séquence binaire est une séquence binaire réduite (@) de longueur m, construite par utilisation dudit code à répétition d'ordre k, en divisant ladite première chaîne de longueur n (y), en m blocs de k données, tel que ladite séquence binaire réduite (Î') est formée de m bits de code (@i), chacun des m bits de code correspondant à un bloc différent de k données de ladite première chaine (y), et correspondant à un bit de signe d'une donnée parmi lesdites k données. 11. Procédé selon la revendication 10, caractérisé en ce que ladite première partie fournit à la seconde partie, respectivement Bob, ou Alice, ledit syndrome (s'r) du code correcteur d'erreur binaire (Cm,r,) pour ladite séquence binaire réduite (@), et pour chacun des m blocs de longueur k, une séquence binaire d'information (G(j)) correspondant à l'addition modulo deux d'une séquence binaire (Y(j)) formée par les k bits de signe des données du bloc considéré, avec le bit de code (@~) dudit bloc. 12. Procédé selon la revendication 11, caractérisé en ce que la seconde partie : - divise sa chaine de données de longueur n, en m blocs (x(j)) de longueur k, en correspondance avec la division réalisée par la première partie (Bob), - pour chaque bloc de données obtenu (x(j)), calcule une log-vraisemblance associée à la séquence binaire d'information correspondante (Ga)) transmise par la première partie, en sorte que l'on obtient m log-vraisemblances (Li), une par bloc ((x(j)), -décode ladite séquence binaire réduite sur la base desdites log-vraisemblances et dudit syndrome. 15. Procédé selon l'une quelconque des revendications 1 à 12, caractérisé en ce que ladite phase de réconciliation est inverse, où la première partie est Bob, et la seconde Alice. 16. Procédé selon l'une quelconque des revendications précédentes, dans lequel la phase de réconciliation comprend l'utilisation d'un code supplémentaire de correction d'erreur de type BCH.