Kvantinė kriptografija

**Kvantinė kriptografija** – tai mokslas apie kvantinės mechanikos savybių panaudojimą kriptografinėms užduotims atlikti. Geriausiai žinomas kvantinės kriptografijos pavyzdys yra kvantinis raktų paskirstymas, kuris siūlo informacijos teorijos požiūriu saugų raktų keitimosi problemos sprendimą. Kvantinės kriptografijos pranašumas yra tas, kad ji leidžia atlikti įvairias kriptografines užduotis, kurių, kaip įrodyta arba spėjama, neįmanoma atlikti naudojant tik klasikinį (t. y. nekvantinį) ryšį. Pavyzdžiui, neįmanoma nukopijuoti kvantinėje būsenoje užkoduotų duomenų. Jei bandoma perskaityti užkoduotus duomenis, kvantinė būsena pasikeičia dėl banginės funkcijos kolapso (neklonavimo teorema). Tai galėtų būti panaudota siekiant aptikti pasiklausymą kvantinio raktų paskirstymo metu.

## Istorija
Kvantinė kriptografija savo pradžią sieja su Stepheno Wiesnerio ir Gilles’io Brassard’o darbais. Septintojo dešimtmečio pradžioje Wiesneris, tuo metu dirbęs Niujorko Kolumbijos universitete, pristatė kvantinio konjuguoto kodavimo koncepciją. Jo pagrindinį straipsnį, pavadintą „Konjuguotas kodavimas”, atmetė IEEE Informacijos teorijos draugija, bet galiausiai jis buvo paskelbtas 1983 m. žurnale „SIGACT News”. Šiame straipsnyje jis parodė, kaip saugoti arba perduoti du pranešimus užkodavus juos dviem „konjuguotais stebimaisiais”, pavyzdžiui, fotonų tiesine ir apskritimine poliarizacija, taip, kad būtų galima priimti ir iššifruoti bet kurį iš jų, bet ne abu. Tik 1979 m. Čarlzas H. Benetas (Charles H. Bennett) iš IBM Thomo J. Vatsono tyrimų centro ir Žilis Brasaras (Gilles Brassard) susitiko Puerto Rike vykusiame 20-ajame IEEE informatikos pagrindų simpoziume ir sužinojo, kaip pritaikyti Wiesnerio išvadas. „Pagrindinis proveržis įvyko, kai supratome, kad fotonai niekada nebuvo skirti informacijai saugoti, o veikiau jai perduoti.” 1984 m., remdamiesi šiuo darbu, Bennetas ir Brassard’as pasiūlė saugaus ryšio metodą, kuris dabar vadinamas BB84. 1984 m. Davidui Deutschui pasiūlius kvantinį nelokalumą ir Bell’o nelygybes panaudoti saugiam raktų paskirstymui, Arturas Ekertas savo 1991 m. straipsnyje išsamiau išanalizavo susietumu pagrįstą kvantinį raktų paskirstymą.

Atsitiktinis abiejų šalių poliarizacijos pasukimas buvo pasiūlytas Kak’o trijų pakopų protokole. Iš principo šis metodas gali būti naudojamas nepertraukiamam, neįveikiamam duomenų šifravimui, jei naudojami pavieniai fotonai. Buvo įgyvendinta pagrindinė poliarizacijos pasukimo schema. Tai yra visiškai kvantinės kriptografijos metodas, skirtingai nuo kvantinio raktų paskirstymo, kai tikrasis šifravimas yra klasikinis.

BB84 metodas yra kvantinių raktų paskirstymo metodų pagrindas. Kvantinės kriptografijos sistemas gaminančios įmonės: MagiQ Technologies, Inc. (Bostonas, Masačusetsas, Jungtinės Valstijos), ID Quantique (Ženeva, Šveicarija), QuintessenceLabs (Kanbera, Australija), Toshiba (Tokijas, Japonija), QNu Labs ir SeQureNet (Paryžius, Prancūzija).

## Privalumai
Kriptografija yra stipriausia duomenų saugumo grandinės grandis, tačiau suinteresuotosios šalys negali manyti, kad kriptografiniai raktai išliks saugūs neribotą laiką. Kvantinė kriptografija gali šifruoti duomenis ilgesnį laiką nei klasikinė kriptografija. Naudodami klasikinę kriptografiją mokslininkai negali užtikrinti šifravimo ilgesniam nei maždaug 30 metų laikotarpiui, tačiau kai kurios suinteresuotosios šalys norėtų naudotis ilgesniu apsaugos laikotarpiu. Kvantinis raktų paskirstymas gali apsaugoti elektroninius įrašus iki 100 metų. Be to, kvantinė kriptografija gali būti naudinga vyriausybėms ir kariuomenei, nes istoriškai vyriausybės karinius duomenis laikė paslaptyje daugiau nei 60 metų. Taip pat įrodyta, kad kvantinis raktų paskirstymas gali keliauti triukšmingu kanalu dideliu atstumu ir būti saugus. Jį galima redukuoti iš triukšmingos kvantinės schemos į klasikinę netriukšmingą schemą, o tada išspręsti naudojant klasikinę tikimybių teoriją. Šį procesą, kai nuosekli apsauga užtikrinama per triukšmingą kanalą, galima įgyvendinti įdiegus kvantinius kartotuvus. Kvantiniai kartotuvai turi galimybę efektyviai išspręsti kvantinio ryšio klaidas. Kvantiniai kartotuvai, kurie yra kvantiniai kompiuteriai, gali būti išdėstyti kaip segmentai triukšmingame kanale, kad būtų užtikrintas ryšio saugumas. Kvantiniai kartotuvai tai daro išgrynindami kanalo segmentus prieš juos sujungdami ir taip sukurdami saugią ryšio liniją, tokiu būdu užtikrindami veiksmingą saugumą per triukšmingą kanalą dideliu atstumu.

## Pritaikymas
Kvantinė kriptografija yra bendra tema, apimanti daugybę kriptografijos metodų ir protokolų. Toliau aptariami kai kurie žymiausi taikymo būdai ir protokolai.

### Kvantinis raktų paskirstymas

Geriausiai žinomas ir išvystytas kvantinės kriptografijos taikymas yra kvantinis raktų paskirstymas **(QKD)**, t. y. procesas, kai naudojant kvantinį ryšį nustatomas bendras raktas tarp dviejų šalių (pvz., Alisos ir Bobo), o trečioji šalis (Ieva) nieko nesužino apie šį raktą, net jei Ieva gali pasiklausyti visų Alisos ir Bobo ryšių. Jei Ieva bandys sužinoti informaciją apie nustatomą raktą, atsiras neatitikimų, kuriuos pastebės Alisa ir Bobas. Kai raktas nustatomas, jis paprastai naudojamas užšifruotam bendravimui naudojant klasikinius metodus. Pavyzdžiui, apsikeistas raktas gali būti naudojamas simetrinei kriptografijai (pvz., vienkartiniam raktui).

Kvantinio rakto paskirstymo saugumą galima įrodyti matematiškai, nenustatant jokių apribojimų pasiklausytojo galimybėms, o to neįmanoma padaryti klasikinio rakto paskirstymo atveju. Paprastai tai apibūdinama kaip „besąlygiškas saugumas”, nors reikalingos tam tikros minimalios prielaidos, įskaitant tai, kad galioja kvantinės mechanikos dėsniai ir kad Alisa ir Bobas gali patvirtinti vienas kito autentiškumą, t. y. Ieva neturėtų galėti apsimesti Alisa arba Bobu, nes priešingu atveju būtų įmanoma įvykdyti „žmogaus viduryje” ataką.

Nors QKD iš pažiūros yra saugus, jo taikymas susiduria su praktiškumo problema. Taip yra dėl perdavimo atstumo ir raktų generavimo spartos apribojimų. Atliekami tyrimai ir tobulėjančios technologijos leido toliau tobulinti tokius apribojimus. 2018 m. Lucamarini ir kt. pasiūlė dviejų laukų QKD schemą, kuri galbūt gali įveikti nuostolingo ryšio kanalo greičio nuostolių mastą. Buvo įrodyta, kad dvigubo lauko protokolo sparta įveikia nuostolingo kanalo slaptųjų raktų suderinimo pajėgumą, vadinamą be kartotuvo PLOB riba, esant 340 km ilgio šviesolaidžiui; ideali jo sparta viršija šią ribą jau esant 200 km ir atitinka didesnio kartotuvo palaikomo slaptųjų raktų suderinimo pajėgumo spartos nuostolių mastelio sklaidą. Protokole teigiama, kad optimali raktų perdavimo sparta pasiekiama „550 kilometrų ilgio standartiniu šviesolaidžiu”, kuris šiandien jau plačiai naudojamas komunikacijose. Teorinis rezultatas buvo patvirtintas 2019 m. Minderio ir kt. atliktu pirmuoju eksperimentiniu QKD demonstravimu už spartos nuostolių ribos, kuris buvo apibūdintas kaip pirmasis veiksmingas kvantinis kartotuvas. Vienas iš reikšmingų pasiekimų, susijusių su didelių spartų pasiekimu dideliais atstumais, yra TF-QKD protokolo siuntimo-nesiuntimo (SNS) versija.

### Nepasitikėjimo kvantinė kriptografija
Nepasitikėjimo kriptografijoje dalyvaujančios šalys nepasitiki viena kita. Pavyzdžiui, Alisa ir Bobas bendradarbiauja atlikdami tam tikrus skaičiavimus, kai abi šalys įveda tam tikrus privačius įvesties duomenis. Tačiau Alisa nepasitiki Bobu, o Bobas nepasitiki Alisa. Taigi saugiam kriptografinės užduoties įgyvendinimui reikia, kad baigusi skaičiavimą Alisa galėtų būti garantuota, jog Bobas neapgaudinėjo, o Bobas galėtų būti garantuotas, kad Alisa taip pat neapgaudinėjo. Nepasitikėjimo kriptografijos uždavinių pavyzdžiai yra įsipareigojimų schemos ir saugūs skaičiavimai, o pastarieji apima tolesnius monetos metimo ir užmirštamo perdavimo pavyzdžius. Raktų paskirstymas nepriklauso nepasitikėjimo kriptografijos sričiai. Nepasitikėjimo kvantinė kriptografija tiria nepasitikėjimo kriptografijos, kurioje naudojamos kvantinės sistemos, sritį.

Skirtingai nuo kvantinio raktų paskirstymo, kai besąlygišką saugumą galima pasiekti remiantis tik kvantinės fizikos dėsniais, įvairių nepasitikėjimo kriptografijos uždavinių atveju egzistuoja „no-go” teoremos, rodančios, kad neįmanoma pasiekti besąlygiškai saugių protokolų remiantis tik kvantinės fizikos dėsniais. Tačiau kai kuriuos iš šių uždavinių galima įgyvendinti besąlygiškai saugiai, jei protokoluose bus panaudota ne tik kvantinė mechanika, bet ir specialusis reliatyvumas. Pavyzdžiui, besąlygiškai saugaus kvantinio bitų įsipareigojimo neįmanomumą įrodė Mayersas bei Lo ir Chau. Lo ir Chau įrodė, kad besąlygiškai saugus idealios kvantinės monetos metimas yra neįmanomas. Be to, Lo parodė, kad negali būti besąlygiškai saugių kvantinių protokolų vienam iš dviejų užmirštam perdavimui ir kitiems saugiems dviejų šalių skaičiavimams. Tačiau besąlygiškai saugius reliatyvistinius monetos metimo ir bitų įsipareigojimo protokolus parodė Kentas.

#### Kvantinis monetos metimas

Kitaip nei kvantinis raktų paskirstymas, kvantinis monetos metimas yra protokolas, naudojamas tarp dviejų dalyvių, kurie nepasitiki vienas kitu. Dalyviai bendrauja kvantiniu kanalu ir keičiasi informacija perduodami kubitus. Tačiau kadangi Alisa ir Bobas nepasitiki vienas kitu, kiekvienas tikisi, kad kitas sukčiauja. Todėl reikia įdėti daugiau pastangų, kad nei Alisa, nei Bobas negalėtų įgyti reikšmingo pranašumo vienas prieš kitą ir gauti norimą rezultatą. Galimybė daryti įtaką tam tikram rezultatui vadinama šališkumu, todėl nemažai dėmesio skiriama protokolų, kuriais siekiama sumažinti nesąžiningo žaidėjo šališkumą, kitaip vadinamą sukčiavimu, kūrimui. Įrodyta, kad kvantinės komunikacijos protokolai, įskaitant kvantinį monetos metimą, suteikia reikšmingų saugumo pranašumų, palyginti su klasikine komunikacija, nors jie gali būti laikomi sunkiai įgyvendinamais praktiniame pasaulyje.

Monetos metimo protokolas paprastai vyksta taip:

# Alisa pasirenka pagrindą (tiesiaeigį arba įstrižinį) ir sukuria fotonų eilutę, kurią siunčia Bobui pagal tą pagrindą.
# Bobas atsitiktinai pasirenka išmatuoti kiekvieną fotoną tiesiaeigiu arba įstrižainės pagrindu, pažymėdamas, kurį pagrindą naudojo, ir išmatuotą vertę.
# Bobas viešai atspėja, kokiu pagrindu Alisa siuntė savo kubitus.
# Alisa paskelbia, kokį pagrindą naudojo, ir išsiunčia Bobui savo originalią eilutę.
# Bobas patvirtina palyginęs Alisos eilutę su savo lentele. Ji turėtų būti visiškai susijusi su vertėmis, kurias Bobas išmatavo naudodamas Alisos pagrindą, ir visiškai nesusijusi su priešingomis vertėmis.

Sukčiavimas vyksta tada, kai vienas žaidėjas bando paveikti arba padidinti tam tikro rezultato tikimybę. Protokolas neskatina kai kurių sukčiavimo formų; pavyzdžiui, Alisa galėtų sukčiauti 4 žingsnyje teigdama, kad Bobas neteisingai atspėjo jos pradinį pagrindą, nors jis atspėjo teisingai, tačiau tada Alisa turėtų sugeneruoti naują kubitų eilutę, kuri visiškai atitiktų tai, ką Bobas išmatavo priešingoje lentelėje. Jos tikimybė sugeneruoti sutampančią kubitų eilutę mažės eksponentiškai su siunčiamų kubitų skaičiumi, ir jei Bobas pastebės nesutapimą, jis žinos, kad ji melavo. Alisa taip pat galėtų sukurti fotonų eilutę naudodama būsenų mišinį, tačiau Bobas lengvai pastebės, kad jos eilutė iš dalies (bet ne visiškai) sutaps su abiem lentelės pusėmis, ir žinos, kad ji sukčiavo. Be to, dabartiniams kvantiniams įrenginiams būdingas trūkumas. Klaidos ir prarasti kubitai turės įtakos Bobo matavimams, todėl Bobo matavimų lentelėje atsiras skylių. Dideli matavimo nuostoliai turės įtakos Bobo gebėjimui patikrinti Alisos kubitų seką 5 žingsnyje.

Vienas teoriškai patikimas būdas Alisai sukčiauti – pasinaudoti Einšteino-Podolskio-Roseno (EPR) paradoksu. Du fotonai EPR poroje yra antikoreliuoti, t. y. visada bus nustatyta, kad jų poliarizacijos yra priešingos, jei jie matuojami tuo pačiu pagrindu. Alisa galėtų sukurti EPR porų virtinę, siųsdama po vieną fotoną Bobui, o kitus saugodama pati. Kai Bobas pareikš savo spėjimą, ji galėtų išmatuoti savo EPR poros fotonus priešingu pagrindu ir gauti tobulą koreliaciją su Bobo priešinga lentele. Bobas niekada nesužinotų, kad ji sukčiavo. Tačiau tam reikalingos galimybės, kurių kvantinės technologijos šiuo metu neturi, todėl praktiškai to padaryti neįmanoma. Norėdama tai sėkmingai atlikti, Alisa turėtų sugebėti saugoti visus fotonus ilgą laiką, taip pat beveik tobulai juos išmatuoti. Taip yra todėl, kad bet kuris saugant ar matuojant prarastas fotonas jos eilutėje atsirastų skylė, kurią ji turėtų užpildyti spėliodama. Kuo daugiau ji turi spėlioti, tuo didesnė rizika, kad Bobas aptiks ją sukčiaujančią.

#### Kvantinis įsipareigojimas
Be kvantinio monetų mėtymo, kvantinių įsipareigojimų protokolai įgyvendinami, kai dalyvauja nepasitikinčios šalys. Įsipareigojimo schema leidžia šaliai Alisai nustatyti tam tikrą vertę („įsipareigoti”) taip, kad Alisa negalėtų tos vertės pakeisti, ir kartu užtikrinti, kad gavėjas Bobas negalėtų nieko sužinoti apie tą vertę, kol Alisa jos neatskleis. Tokios įsipareigojimo schemos dažnai naudojamos kriptografiniuose protokoluose (pvz., kvantiniame monetos metime, nulinio žinojimo įrodyme, saugiame dvišaliame skaičiavime ir užmirštajame perdavime).

Kvantinėje aplinkoje jos būtų ypač naudingos: Crépeau ir Kilian parodė, kad iš įsipareigojimo ir kvantinio kanalo galima sukonstruoti besąlygiškai saugų protokolą vadinamajam užmirštajam perdavimui atlikti. Kita vertus, Kilianas parodė, kad užmirštasis perdavimas leidžia saugiai atlikti beveik bet kokį paskirstytąjį skaičiavimą (vadinamąjį saugų daugiašalį skaičiavimą). (Atkreipkite dėmesį, kad čia esame šiek tiek netikslūs: Krépeau ir Kiliano rezultatai kartu tiesiogiai nereiškia, kad, turint įsipareigojimą ir kvantinį kanalą, galima atlikti saugų daugiašalį skaičiavimą. Taip yra todėl, kad rezultatai negarantuoja „sudėtinumo”, t. y. juos sujungus gali būti prarastas saugumas.

Deja, ankstyvieji kvantinių įsipareigojimų protokolai pasirodė esą ydingi. Iš tikrųjų Mayersas parodė, kad (besąlygiškai saugus) kvantinis įsipareigojimas yra neįmanomas: skaičiavimo požiūriu neribotas užpuolikas gali nulaužti bet kurį kvantinio įsipareigojimo protokolą.

Tačiau Mayerso rezultatas neužkerta kelio galimybei sukonstruoti kvantinio įsipareigojimo protokolus (taigi ir saugius daugiašalius skaičiavimo protokolus) pagal prielaidas, kurios yra daug silpnesnės nei prielaidos, reikalingos įsipareigojimų protokolams, kuriuose nenaudojamas kvantinis ryšys. Toliau aprašytas riboto kvantinio saugojimo modelis yra pavyzdys, kaip galima konstruoti įsipareigojimų protokolus naudojant kvantinį ryšį. 2013 m. lapkričio mėn. įvykęs proveržis siūlo „besąlyginį” informacijos saugumą, pasitelkiant kvantinę teoriją ir reliatyvumą, kuris pirmą kartą sėkmingai pademonstruotas pasauliniu mastu. Neseniai Wangas ir kt. pasiūlė dar vieną įsipareigojimų schemą, kurioje „besąlygiškas paslėpimas” yra tobulas.

Fizikinės neklonuojamos funkcijos taip pat gali būti panaudotos kriptografinių įsipareigojimų konstravimui.

### Riboto ir triukšmingo kvantinio saugojimo modelis
Viena iš galimybių sukurti besąlygiškai saugius kvantinio įsipareigojimo ir kvantinio užmirštojo perdavimo (OT) protokolus – naudoti riboto kvantinio saugojimo modelį (BQSM). Šiame modelyje daroma prielaida, kad kvantinių duomenų, kuriuos gali saugoti priešininkas, kiekį riboja tam tikra žinoma konstanta Q. Tačiau klasikinių (t. y. nekvantinių) duomenų, kuriuos gali saugoti priešininkas, kiekis neribojamas.

BQSM galima sudaryti įsipareigojimo ir užmiršto perdavimo protokolus. Pagrindinė idėja yra tokia: Protokolo šalys apsikeičia daugiau nei Q kvantinių bitų (kubitų). Kadangi net nesąžininga šalis negali išsaugoti visos šios informacijos (priešininko kvantinė atmintis yra ribota iki Q kubitų), didelę dalį duomenų teks arba išmatuoti, arba atmesti. Privertus nesąžiningas šalis išmatuoti didelę duomenų dalį, protokole galima apeiti neįmanomumo rezultatą, dabar galima įgyvendinti įsipareigojimo ir užmaršumo perdavimo protokolus.

Damgård, Fehr, Salvail ir Schaffner pateiktuose BQSM protokoluose nedaroma prielaida, kad sąžiningi protokolo dalyviai saugo kokią nors kvantinę informaciją; techniniai reikalavimai yra panašūs į kvantinių raktų paskirstymo protokolų reikalavimus. Taigi šiuos protokolus bent jau iš principo galima įgyvendinti naudojant šiandienines technologijas. Ryšio sudėtingumas yra tik pastoviu koeficientu didesnis už priešininko kvantinės atminties ribą Q.

BQSM privalumas yra tas, kad prielaida, jog priešininko kvantinė atmintis yra ribota, yra gana reali. Naudojant šiuolaikines technologijas, patikimai saugoti net vieną kubitą pakankamai ilgą laiką yra sudėtinga. (Ką reiškia „pakankamai ilgai”, priklauso nuo protokolo detalių. Protokole įvedus dirbtinę pauzę, laiko, per kurį priešininkas turi išsaugoti kvantinius duomenis, trukmę galima padaryti savavališkai didelę.)

BQSM pratęsimas yra triukšmingo saugojimo modelis, kurį pristatė Wehner, Schaffner ir Terhal. Užuot atsižvelgus į priešininko kvantinės atminties fizinio dydžio viršutinę ribą, priešininkui leidžiama naudoti netobulus bet kokio dydžio kvantinės atminties įrenginius. Netobulumo lygis modeliuojamas triukšmingais kvantiniais kanalais. Esant pakankamai dideliam triukšmo lygiui, galima pasiekti tuos pačius primityvus, kaip ir BQSM, o BQSM sudaro specialų triukšmingos saugyklos modelio atvejį.

Klasikinėje aplinkoje panašių rezultatų galima pasiekti, kai priimamas klasikinių (nekvantinių) duomenų, kuriuos gali saugoti priešininkas, kiekio apribojimas. Tačiau buvo įrodyta, kad ir šiame modelyje sąžiningos šalys turi naudoti didelį atminties kiekį (būtent priešininko atminties ribos kvadratinę šaknį). Dėl to šie protokolai tampa nepraktiški realiai atminties ribai. (Atkreipkite dėmesį, kad su šiuolaikinėmis technologijomis, pavyzdžiui, kietaisiais diskais, priešininkas gali pigiai saugoti didelius klasikinių duomenų kiekius).

### Pozicija pagrįsta kvantinė kriptografija
Pozicija pagrįstos kvantinės kriptografijos tikslas – naudoti žaidėjo *geografinę vietą* kaip (vienintelį) patikimumą. Pavyzdžiui, norima nusiųsti žinutę tam tikroje padėtyje esančiam žaidėjui, garantuojant, kad ji gali būti perskaityta tik tuo atveju, jei gaunančioji šalis yra toje konkrečioje padėtyje. Pagrindinėje *padėties tikrinimo* užduotyje žaidėja Alisa nori įtikinti (sąžiningus) tikrintojus, kad ji yra tam tikrame taške. Chandranas ir kt. įrodė, kad padėties patikrinimas naudojant klasikinius protokolus yra neįmanomas prieš slaptai susitarusius priešininkus (kurie kontroliuoja visas pozicijas, išskyrus tikrintojo deklaruojamą poziciją). Esant įvairiems priešininkų apribojimams, schemos yra įmanomos.

Pavadinimu „kvantinis žymėjimas” pirmąsias pozicijomis pagrįstas kvantines schemas 2002 m. ištyrė Kentas. JAV patentas suteiktas 2006 m. Pirmą kartą mokslinėje literatūroje kvantinių efektų panaudojimo vietos patikrinimui sąvoka pasirodė 2010 m. Po to, kai 2010 m. buvo pasiūlyti keli kiti kvantiniai protokolai padėčiai tikrinti, Buhrmanas ir kt. pareiškė bendrą neįmanomumo rezultatą: naudojant milžinišką kvantinio susietumo kiekį (jie naudoja dvigubai eksponentinį EPR porų skaičių, pagal sąžiningo žaidėjo veikiančių kubitų skaičių), sąmokslininkai priešininkai visada gali priversti tikrintojus atrodyti taip, tarsi jie būtų deklaruotoje padėtyje. Tačiau šis rezultatas neatmeta praktinių schemų galimybės riboto arba triukšmingo kvantinio saugojimo modelyje (žr. pirmiau). Vėliau Beigi ir König pagerino EPR porų kiekį, reikalingą bendrai atakai prieš padėties tikrinimo protokolus, iki eksponentinio. Jie taip pat parodė, kad konkretus protokolas išlieka saugus prieš priešininkus, kurie kontroliuoja tik tiesinį EPR porų kiekį. Teigiama, kad dėl laiko ir energijos susiejimo formalaus besąlygiško vietos patikrinimo galimybė naudojant kvantinius efektus išlieka atvira problema. Verta paminėti, kad padėtimi grindžiamos kvantinės kriptografijos tyrimas taip pat turi sąsajų su uostais grindžiamos kvantinės teleportacijos protokolu, kuris yra tobulesnė kvantinės teleportacijos versija, kai vienu metu kaip uostai naudojama daug EPR porų.

### Nuo įrenginio nepriklausoma kvantinė kriptografija
Kvantinis kriptografinis protokolas yra **nepriklausomas nuo įrenginio**, jei jo saugumas nepriklauso nuo pasitikėjimo, kad naudojami kvantiniai įrenginiai yra teisingi. Taigi tokio protokolo saugumo analizė turi apimti netobulų ar net kenkėjiškų įrenginių scenarijus. Mayersas ir Yao pasiūlė idėją kurti kvantinius protokolus naudojant „save tikrinančius” kvantinius aparatus, kurių vidines operacijas galima vienareikšmiškai nustatyti pagal jų įvesties-išvesties statistiką. Vėliau Rodžeris Kolbekas (Roger Colbeck) savo disertacijoje pasiūlė prietaisų sąžiningumui tikrinti naudoti Bello testus. Nuo to laiko buvo įrodyta, kad kelios problemos leidžia taikyti besąlygiškai saugius ir nuo prietaisų nepriklausomus protokolus, net jei tikrieji Bello testą atliekantys prietaisai yra gerokai „triukšmingi”, t. y. toli gražu ne idealūs. Šios problemos apima kvantinį raktų paskirstymą, atsitiktinumo išplėtimą ir atsitiktinumo sustiprinimą.

2018 m. Arnon- Friedman ir kt. atlikti teoriniai tyrimai rodo, kad pasinaudojant entropijos savybe, kuri vėliau pavadinta „Entropijos kaupimo teorema (EAT)”, asimptotinės lygiavertiškumo savybės išplėtimu, galima garantuoti nuo įrenginio nepriklausomo protokolo saugumą.

## Postkvantinė kriptografija
Kvantiniai kompiuteriai gali tapti technologine realybe, todėl svarbu ištirti kriptografines schemas, naudojamas prieš priešininkus, turinčius prieigą prie kvantinio kompiuterio. Tokių schemų tyrimas dažnai vadinamas postkvantine kriptografija. Postkvantinės kriptografijos poreikis kyla dėl to, kad daugelį populiarių šifravimo ir pasirašymo schemų (schemų, pagrįstų ECC ir RSA) galima nulaužti naudojant Šoro algoritmą faktorizavimui ir diskrečiųjų logaritmų skaičiavimui kvantiniame kompiuteryje. Schemų, kurios, dabartinėmis žiniomis, yra saugios nuo kvantinių priešininkų, pavyzdžiai yra McEliece ir tinkleliu grindžiamos schemos, taip pat dauguma simetrinio rakto algoritmų. Yra parengtos postkvantinės kriptografijos apžvalgos.

Taip pat atliekami tyrimai, kaip reikia modifikuoti esamus kriptografijos metodus, kad jie galėtų susidoroti su kvantiniais priešininkais. Pavyzdžiui, bandant sukurti nulinio žinojimo įrodymo sistemas, kurios būtų saugios nuo kvantinių priešininkų, reikia naudoti naujus metodus: Klasikinėje aplinkoje, analizuojant nulinių žinių įrodymo sistemą, paprastai reikia „pervynioti”, t. y. taikyti techniką, dėl kurios būtina nukopijuoti vidinę priešininko būseną. Kvantinėje aplinkoje būsenos nukopijavimas ne visada įmanomas (neklonavimo teorema); reikia naudoti pervyniojimo technikos variantą.

Postkvantiniai algoritmai dar vadinami „atspariais kvantams”, nes – skirtingai nuo kvantinio raktų paskirstymo – nežinoma ir neįrodoma, kad ateityje prieš juos nebus galimų kvantinių atakų. Nors jie nėra pažeidžiami Šoro algoritmui, NSA skelbia planus pereiti prie kvantams atsparių algoritmų. Nacionalinis standartų ir technologijų institutas (NIST) mano, kad atėjo laikas galvoti apie kvantams saugius primityvus.

## Kvantinė kriptografija už raktų paskirstymo ribų
Iki šiol kvantinė kriptografija daugiausia buvo siejama su kvantinių raktų paskirstymo protokolų kūrimu. Deja, simetrinės kriptosistemos su raktais, kurie buvo paskirstyti kvantinio raktų paskirstymo būdu, tampa neefektyvios dideliuose tinkluose (daug naudotojų), nes reikia sukurti daug porinių slaptųjų raktų ir jais manipuliuoti (vadinamoji „raktų valdymo problema”). Be to, vien tik toks paskirstymas nesprendžia daugelio kitų kriptografinių uždavinių ir funkcijų, kurios yra gyvybiškai svarbios kasdieniame gyvenime. Kak’o trijų pakopų protokolas buvo pasiūlytas kaip saugaus ryšio metodas, kuris yra visiškai kvantinis, kitaip nei kvantinis raktų paskirstymas, kuriame kriptografinei transformacijai naudojami klasikiniai algoritmai.

Be kvantinio įsipareigojimo ir užmiršto perdavimo (aptarti anksčiau), kvantinės kriptografijos tyrimai, neapsiribojant raktų paskirstymu, sukasi apie kvantinį pranešimo autentiškumo patvirtinimą, kvantinius skaitmeninius parašus, kvantines vienpuses funkcijas ir viešojo rakto šifravimą, kvantinį pirštų atspaudų nustatymą ir subjekto autentiškumo patvirtinimą (pvz., žr. Kvantinis PUF nuskaitymas) ir kt.

## Praktinis įgyvendinimas
Teoriškai atrodo, kad kvantinė kriptografija yra sėkmingas posūkis informacijos saugumo srityje. Tačiau joks kriptografinis metodas negali būti visiškai saugus. Praktikoje kvantinė kriptografija yra tik sąlygiškai saugi, priklausanti nuo pagrindinių prielaidų rinkinio.

### Vieno fotono šaltinio prielaida
Teorinis kvantinio rakto paskirstymo pagrindas – vieno fotono šaltinis. Tačiau vieno fotono šaltinius sunku sukonstruoti, o daugumoje realių kvantinės kriptografijos sistemų kaip informacijos perdavimo terpė naudojami silpni lazeriniai šaltiniai. Tokie daugiafotoniai šaltiniai atveria kelią pasiklausymo atakoms, ypač fotonų suskaidymo atakai. Pasiklausytoja Ieva gali padalyti daugiafotonį šaltinį ir pasilikti vieną jo kopiją sau. Tada kiti fotonai perduodami Bobui be jokių matavimų ar pėdsakų, kad Ieva užfiksavo duomenų kopiją. Mokslininkai mano, kad jie gali išsaugoti daugiafotonio šaltinio saugumą naudodami apgaulingas būsenas, kuriomis tikrinama, ar nėra pasiklausytojo. Tačiau 2016 m. mokslininkai sukūrė beveik tobulą vieno fotono šaltinį ir mano, kad tokį šaltinį bus galima sukurti netolimoje ateityje.

### Vienodo detektoriaus efektyvumo prielaida
Praktiškai kvantinio rakto paskirstymo įrenginiuose naudojami keli vieno fotono detektoriai: vienas skirtas Alisai, kitas – Bobui. Šie fotodetektoriai sureguliuoti taip, kad aptiktų įeinantį fotoną per trumpą vos kelių nanosekundžių langą. Dėl dviejų detektorių gamybos skirtumų jų aptikimo langai pasislenka tam tikru baigtiniu dydžiu. Pasiklausymo vykdytojas Ieva gali pasinaudoti šiuo detektorių neefektyvumu, matuodamas Alisos kubitą ir siųsdamas „netikrą būseną” Bobui. Pirmiausia Ieva užfiksuoja Alisos siųstą fotoną, o tada sukuria kitą fotoną, kurį siunčia Bobui. Ieva manipuliuoja „suklastoto” fotono faze ir laiku taip, kad Bobas negalėtų aptikti pasiklausytojo. Vienintelis būdas pašalinti šį pažeidžiamumą – pašalinti fotodetektoriaus efektyvumo skirtumus, o tai sunku padaryti atsižvelgiant į baigtinius gamybos nuokrypius, dėl kurių atsiranda optinio kelio ilgio skirtumų, laidų ilgio skirtumų ir kitų defektų.

## Išnašos