Criptografia quàntica (i II)

Ve de “Criptografia quàntica (I)”.

Aquesta segona part de l’article explica el BB84, el primer protocol de criptografia quàntica i també el més senzill. Aquest protocol el van proposar el 1984 Charles H. Bennet, d’IBM New York, i Gilles Brassard, de la Universitat de Montréal.

Estats i bases

En aquest protocol s’utilitza un sistem quàntic de dos nivells, és a dir, que qualsevol estat posible d’aquest sistema es pot representar mitjançant una combinació lineal de dos estats que formen una base. D’aquest sistema s’utilitzen dues bases, cada una formada per dos estats, de manera que en total estarem utilitzant quatre estats diferents.

Normalment s’utilitza la polartització de la llum: els fotons, que es poden entendre com paquets indivisibles de llum. Cada fotó pot estar polaritzat verticalment , horitzontalment , +45 graus  o -45 graus . Els dos primers formen la base horitzontal-vertical , i els dos últims la base diagonal .

Així, si mesurem l’estat  amb la base obtenim el mateix estat amb probabilitat 1, ja que estem mesurant un estat que és “propi” de la base utilitzada. Si en canvi mesurem l’estat  amb la base , podem obtenir o bé  amb probabilitat 0.5 o bé  amb probabilitat 0.5, ja que l’estat no és propi de la base utilitzada. Per conveni, s’assigna el valor binari 0 als estats  i  i el valor 1 als altres dos. A aquests estats se’ls anomena qubits, de quantum bits.

El protocol

Vist això, el protocol segueix uns passos molt senzills. Suposem que l’Alice i en Bob volen crear una clau, i que l’Eve els espia per intentar conèixer quina clau faran servir.

Primer, l’Alice genera aleatòriament una cadena de fotons, cada un amb una polarització a l’atzar, i els envia a en Bob. La cadena pot ser realment aleatòria, i no simplement pseudoaleatòria, perquè pot utilitzar la mecànica quàntica.

En Bob mesura els estats que li van arribant de l’Alice, cada vegada amb una de les dues bases o a l’atzar. D’aquesta manera, si l’estat que li arriba és propi de la base amb què mesura, obté el mateix estat que li ha arribat, mentre que si li arriba un estat que no és propi, obté la meitat de resultats bons i la meitat de dolents. Com que aproximadament en la meitat dels casos haurà utilitzat la base bona i en l’altra meitat la dolenta, en resum en Bob obté l’anomenada raw key o clau en brut, que té aproximadament un 25% d’errors.

Evidentment, no pot fer servir aquesta clau perquè hi ha massa errors. El que fa en Bob ara és anunciar públicament quina base ha utilitzat cada vegada, i l’Alice respon públicament si la base que en Bob ha utilitzat cada vegada és bona o no, és a dir, si l’estat que enviava era propi d’aquesta base o no. Això no revela cap mena d’informació, perquè l’únic que s’ha fet públic és la base utilitzada, i no el bit transmès cada vegada.

Així doncs, tant l’Alice com en Bob es queden amb els estats mesurats amb bases bones i descarten els dolents, de manera que es queden amb la shifted key, aproximadament la meitat de llarga que la raw key però sense cap error.

Posant un exemple, l’Alice podria enviar, a l’atzar, els estats

En Bob els mesuraria utilitzant les bases, també escollides a l’atzar,

Quan en Bob mesura l’estat mesura amb la base compatible, obté el mateix qubit que li havia enviat l’Alice. Quan mesura amb la base incompatible, pot obtenir amb igual probabilitat un resultat o un altre. Per exemple, quan mesuri | \nearrow \, \rangle amb la base pot obtenir o bé o bé , que són els dos estats propis de la base amb què ha mesurat.

Després d’haver mesurat, en Bob anunciaria les bases que ha utilitzat i l’Alice li diria que només s’ha de quedar amb els resultats 2, 4, 5 i 8. Resumint, i fent servir el conveni de 0 i 1 d’abans,

El canal que utilitzen l’Alice i en Bob no cal que sigui confidencial. Això és així perquè Eve no pot interceptar qubits i reenviar-los en el seu estat original mantenint-ne una còpia. És l’anomenat teorema de no clonació (No cloning theorem), demostrat per Wootters i Zurek el 1982. L’Eve simplement es podria quedar el qubit, i no reenviar-ne cap a en Bob, però llavors en Bob podria avisar l’Alice que descartés el qubit que no ha rebut.

Estratègia d’interceptar-reenviar

Tanmateix, l’Eve pot dur a terme un senzill atac consistent en mesurar a l’atzar amb una de les dues bases possibles cada qubit que l’Alice envia a en Bob, i una vegada mesurat enviar a en Bob el qubit corresponent al resultat obtingut. Així, en un 50% dels casos l’Eve mesurarà amb la base correcta, sense modificar l’estat, obtenint la informació i sense que l’Alice o en Bob ho puguin detectar. En l’altre 50% dels casos, utilitzarà la base incorrecta. Llavors, el qubit enviat tindrà un 50% de probabilitat de ser mesurat per en Bob com si fos el correcte, i un 50% com si fos l’incorrecte.

Resumint, mesurant tots els estats enviats l’Eve obté un 50% de la informació, mentre que l’Alice i en Bob acaben amb una shifted key que té un 25% d’errors. Aquest nivell d’errors és detectable, però si Eve només interceptés el 10% dels qubits enviats, obtindria un 5% de la informació mentre que l’error final de la shifted key seria tan sols d’un 2.5%, que és comparable a l’error obtingut per causes tècniques.

Utilitzant el mateix exemple, l’Alice envia els mateixos estats i en Bob utilitza les mateixes bases, abans que els qubits arribin a en Bob l’Eve els mesura amb les seves bases, també escollides a l’atzar. Així,

Com es veu, les claus de l’Alice i en Bob tenen errors (en aquest cas, en l’últim bit). Per la seva banda, l’Eve ha aconseguit informació parcial sobre la clau. Sap que el primer i el tercer bit de la shifted key són un 1, i s’ha adonat que els qubits mesurats en segon i quart lloc són probablement incorrectes perquè la seva base no coincideix amb la d’en Bob (que s’ha fet pública).

Per saber si l’Eve ha espiat la seva comunicació, l’Alice i en Bob poden comparar una part aleatòria de la shifted key i estimar-ne l’error. Si el nivell d’errors és acceptable dins els marges tècnics, accepten la clau, descartant evidentment la part comparada; sinó, tornen a començar el protocol.

Correcció d’errors i ampliació de privacitat

Els dos últims passos en un protocol de criptografia quàntica utilitzen algoritmes clàssics: d’una banda, per corregir els errors de la clau, i de l’altra, per reduir la informació que té l’Eve de la clau final. Aquests algortimes van ser proposats inicialment per Bennett, Brassard i Robert (1988).

En primer lloc, cal corregir els errors en la clau, que poden ser deguts tant a causes tècniques com a l’Eve. En el cas més simple d’algoritme de correcció d’errors, l’Alice escull una parella aleatòria de bits i els suma XOR, és a dir, , ,  i . Si la suma corresponent d’en Bob coincideix, l’Alice i en Bob mantenen el primer bit i rebutgen el segon. Si la suma no coincideix, rebutgen els dos. A la pràctica, s’utilitzen algoritmes més sofisticats i eficients.

Després de la correcció d’errors, l’Alice i en Bob tenen claus idèntiques, però l’Eve encara pot tenir informació. Per reduir-la, l’Alice suma XOR altra vegada dos bits aleatoris, i en Bob fa el mateix amb els seus corresponents. Llavors, l’Alice i en Bob es queden només amb el resultat de la suma. Així, si l’Eve no té informació d’algun dels dos bits, no té cap mena d’informació de la seva suma XOR.

En resum, la criptografia quàntica només s’aplica en la creació i distribució d’una clau simètrica. A més, el canal necessita autentificació: l’Alice i en Bob poden utilitzar un canal no confidencial però han de saber que efectivament l’altra persona és qui diu ser. Per a fer-ho, poden utilitzar una clau més curta, i llavors amb la criptografia quàntica n’obtenen una de més llarga, de la qual en poden guardar una part per a la següent sessió.

Criptografia quàntica (I)

L’altre dia vaig trobar aquest article doble, escrit fa 6 anys a la carrera de física, i m’ha fet gràcia. Així que el reprodueixo aquí. És una petita introducció a la criptografia quàntica.

La criptografia clàssica asimètrica és dèbil perquè basa la seva seguretat en suposicions no demostrades, mentre que la criptografia clàssica simètrica no pot solucionar el problema de l’intercanvi de clau. La criptografia quàntica obre una possible via per solucionar aquests problemes.

Aquesta primera part de l’article introdueix la criptografia clàssica i explica els conceptes necessaris de mecànica quàntica per tal de poder explicar els protocols de la criptografia quàntica.

Criptografia clàssica

La criptografia és l’art d’inventar codis i xifres, i la criptoanàlisi el de trencar-los. La criptologia és la branca de les matemàtiques que inclou la criptografia i la criptoanàlisi.

L’objectiu de la criptografia és transmetre informació de tal manera que només el receptor desitjat hi pugui accedir. Per a fer-ho, s’utilitza un algoritme (anomenat també criptosistema o xifra) que combina el missatge sense encriptar (text pla) amb altra informació (clau) per a obtenir el missatge encriptat (criptograma). Per a que un sistema sigui segur, ha de ser impossible recuperar el missatge original a partir del missatge encriptat sense tenir la clau. A la pràctica, s’accepta que sigui només extremadament difícil de recuperar.

Una vegada emissor i receptor s’han posat d’acord amb el sistema i la clau a utilitzar, es poden intercanviar missatges encriptats a través d’un canal insegur (és a dir, que pot ser espiat) sense que la informació que s’enviin estigui compromesa.

Hi ha dues classes en la criptografia moderna: els criptosistemes asimètrics (o de clau pública) i els simètrics. En els criptosistemes simètrics s’utilitza la mateixa clau per encriptar que per desencriptar. En els asimètrics, en canvi, existeixen dues claus: la pública, utilitzada per encriptar, i la privada, utilitzada per desencriptar. Aquests sistemes confien en què hi ha alguns problemes matemàtics que són extremadament difícils de solucionar, com ara la factorització del producte de dos nombres primers molt grans.

El problema dels criptosistemes asimètrics és que descobriments nous poden convertir els problemes matemàtics extremadament difícils en no tan difícils i, per tant, comprometre la seguretat. Per exemple, Peter Shor va descobrir el 1994 un algoritme polinòmic que permet la ràpida factorització d’enters en un ordiandor quàntic.

El problema dels criptosistemes simètrics és que emissor i receptor han de compartir un canal completament segur en algun moment de la comunicació per tal d’intercanviar la clau.

Criptografia quàntica

La criptografia quàntica es va descobrir independentment als Estats Units i a Europa. El primer a proposar-la va ser Stephen Wiesner a principis dels anys 70 amb la introducció del concepte de codificació quàntica conjugada, Conjugate Coding, publicat el 1983. Explicava com emmagatzemar o transmetre informació utilitzant “observables conjugats” com ara la polarització lineal i circular de la llum, de manera que un dels dos, però no els dos, es pogués rebre i interpretar. Una dècada després, el 1984, Charles H. Bennett i Gilles Brassard van proposar el primer protocol de criptografia quàntica, anomenat BB84. El 1991 es va aconseguir el primer prototip experimental, treballant amb una distància de 32 centímetres. El 1990, Artur Ekert va desenvolupar de manera independent un protocol de criptografia quàntica basada en les correlacions quàntiques anomenades entrellaçaments (entanglenment). Actualment la criptografia quàntica s’ha convertit en un camp experimental i ja han sortit les primeres aplicacions comercials.

Mecànica quàntica

Evidentment els protocols de criptografia quàntica utilitzen els conceptes desenvolupats en la mecànica quàntica.

En la visió clàssica, una magnitud (per exemple, la posició d’una partícula o la seva velocitat) ens pot ser desconeguda, però tanmateix aquesta partícula la té. És a dir, potser no sabem on està situada la partícula, però aquesta està sens dubte situada en algun lloc. Quan nosaltres mesurem aquesta magnitud que desconeixem, el que estem fent és “llegir” el valor que ja tenia el sistema.

En la visió quàntica, hi ha magnituds que ens són desconegudes i que a més no tenen un valor concret assignat, sinó una certa distribució de probabilitat. Tornant al mateix exemple, una partícula pot estar a dos o més llocs simultàniament, d’alguna manera difuminada per l’espai. És un concepte totalment contraintuïtiu però que s’ha demostrat experimentalment. Quan mesurem aquesta magnitud, el que estem fent és que el sistema “es decideixi”, aleatòriament, per un dels seus valors possibles. D’aquesta manera, obtenim un resultat i modifiquem el sistema, que passa ara a estar en l’estat que ha resultat de la mesura. És a dir, si hem observat en quina posició està una partícula difuminada per l’espai, hem obtingut que està en un determinat lloc i a partir d’ara la partícula està efectivament en aquest lloc. Obtenim un valor i modifiquem el sistema. Evidentment, de vegades el sistema quàntic ja té un determinat valor compatible amb la mesura, i en mesurar simplement el llegim, igual que fèiem en la visió clàssica.

Aquest, com veurem més endavant, és un dels principis claus que s’utilitzen en els protocols de criptografia quàntica: Qualsevol mesura pertorba el sistema, excepte si l’estat quàntic és compatible amb la mesura.

També és clarament molt important la capacitat d’un sistema quàntic de generar valors completament aleatoris. Com sabem, els ordinadors són sistemes deterministes i fins ara només podíem obtenir números pseudoaleatoris.

Segueix a “Criptografia quàntica (i II)”.

Trencant un xifratge de substitució

Aquest estiu, la segona sessió de les vermutacions va ser sobre criptografia, i en Ramon ens va posar com a exercici desencriptar un text encriptat mitjançant un xifratge de substitució. Aquest xifrat es pot trencar amb un full i un llapis, i una mica de paciència. Per anar una mica més ràpid, jo vaig utilitzar un petit script en perl que havia fet fa un temps i que està només acabat a mitges, però és més o menys operatiu (però per exemple només agafa textos amb A-Z, sense Ç o lletres per l’estil). Al resoldre’l, em van demanar que pengés l’arxiu, i així ho he fet aquí (és el subsolve).

Subsolve llegeix un text encriptat de stdin o d’un arxiu de text, i llavors permet anar trencant interactivament el text (i la clau). Evidentment, va bé saber (o tenir-ne una suposició raonable) la llengua en què està escrit el text. En aquest cas, subsolve permet comparar les freqüències del text amb una taula de freqüències de l’idioma, si es té aquesta taula. Les taules han d’estar guardades en arxius amb el nom llengua.ngr, on llengua és el codi de la llengua (per exemple, jo utilitzo en per anglès, ca per català, etc.) i n és la longitud de la cadena de la que es recompta la freqüencia (1 per lletres, 2 per dígrams, etc.). L’arxiu ha de contenir a cada línia una lletra, un o més espais i un número (la seva freqüència). Per exemple, l’arxiu amb la llista de freqüències de lletres en català (ca.1gr) seria:

a 12.55
b 1.32
c 3.60
ç 1.06
d 3.94
e 13.89
f 1.00
g 1.28
h 0.72
i 6.99
j 0.30
k 0.00
l 7.74
m 3.16
n 6.40
o 5.71
p 2.72
q 1.35
r 6.76
s 8.43
t 6.11
u 4.18
v 1.40
w 0.00
x 0.52
y 0.00
z 0.01

Per analitzar un text català encriptat, guardat a l’arxiu exemple.txt, es crida l’script amb

./subsolve.pl -f exemple.txt --lang ca --spaces

L’opció --spaces separa les lletres en grups de cinc. Es poden posar menys caràcters per línia amb l’opció -w o --width (per exemple, -w 30).

Una vegada dins, l’opció help o ? ens llista les accions possibles, i help <acció> mostra ajuda específica per una acció (per exemple, help count). count n (o simplement n) compta les freqüències de grups de n lletres. add Ab afegeix la correspondència A->b, on A és una lletra del text encriptat i b la corresponent en el text original. remove Ab ho elimina. show text mostra el text (majúscules la part encriptada, minúscules la part ja resolta). show key mostra la clau. search <cadena> n busca cadena al text, i mostra els resultats envoltats de text a dreta i esquerra de llargada n. La cadena pot contenir majúscules i minúscules (i el programa entén què signifiquen), i també expressions regulars senzilles. Per exemple search A.d 2 busca cadenes que continguin la lletra encriptada A, seguida de qualsevol lletra, seguida de la lletra del text original d, i retorna els resultats amb dues lletres a l’esquerra i a la dreta; o search [AB]C busca la cadena AC o BC; o search [AB]{2} busca les cadenes AA, AB, BA o BB. Per a més informació, feu servir help, llegiu-vos el codi o pregunteu-ho aquí! Comentaris o extensions a l’script són més que benvinguts.

En Ramon també ens va posar un altre exercici: trencar el xifrat Vigenère. Però això ja és una mica més difícil…

WikiLeaks i the Guardian: publicar una contrasenya sempre és una mala idea

Article publicat a Enfocant el 5 de setembre de 2011.

Fa 9 mesos WikiLeaks estava en boca de tots. El 28 de novembre del 2010 cinc diaris (El País, Le Monde, Der Spiegel, The Guardian i The New York Times) començaven a publicar els cables enviats entre el Departament d’Estat dels Estats Units i les seves ambaixades arreu del món: el que poc després s’anomenaria cablegate. WikiLeaks els publicava a través d’aquests diaris per aconseguir un major impacte de la informació i també perquè la quantitat de material a tractar era tal que se li feia impossible la tasca per si sola: calia editar les referències i noms d’informadors.

Ara resulta que la totalitat dels cables diplomàtics americans està disponible a la xarxa en un arxiu encriptat, i que la clau per desencriptar-lo ha estat publicada en un llibre (notícia a The Guardian i a WikiLeaks). Tot plegat, per un cúmul d’errors i mala pràctica de diversa gent. Una bona explicació de tota la història surt publicada a Der Spiegel, i la clau per desencriptar l’arxiu al blog de Bruce Schneier (a més d’al llibre “Inside Julian Assange’s War on Secrecy”, del periodista de The Guardian David Leigh). Resumint, la història és la següent:

1. David Leigh (de The Guardian) i Julian Assange (WikiLeaks) es reuneixen, i acorden que Assange donarà a Leigh una còpia encriptada d’un arxiu amb tots els cables.
2. L’arxiu es penja temporalment a una URL amagada, i Assange dóna la contrasenya per desencriptar-lo a Leigh.
3. Leigh descarrega l’arxiu, que després és esborrat de l’adreça.
4. Daniel Domscheit-Berg i Julian Assange es piquen, i el primer abandona WikiLeaks amb una còpia de gran part de la seva informació (que inclou, aparentment sense el coneixement de Domscheit-Berg, l’arxiu encriptat amb els cables). Domscheit-Berg funda OpenLeaks.
5. Després dels atacs DDoS i de perdre el suport de companyies com Amazon, PayPal i Mastercard, es creen mirrors i també es posa la informació a BitTorrent. Aparentment, tant els primers mirrors com la informació a BitTorrent inclouen l’arxiu encriptat amb els cables.
6. El Caos Computer Club expulsa Daniel Domscheit-Berg.
7. Algú revela a Der Freitag que la contrasenya està a un llibre de Leigh. El diari no ho publica directament, però quasi, i a la gent li costa poc sumar 2 i 2 s’acaba descobrint.

Ara WikiLeaks acusa The Guardian i David Leigh de què els cables siguin ara totalment accessibles, i ells ho neguen i s’hi tornen. En fi, us recomano que us llegiu la història completa a Der Spiegel (en anglès). També us recomano que a partir d’ara tracteu la informació de The Guardian sobre el tema amb desconfiança: estan a la defensiva i no paren de dir barbaritats.

Tot plegat fa pensar unes quantes coses. Primer, que els periodistes haurien de tenir una mica de formació en criptografia. Com pot ser algú capaç de publicar en un llibre la clau d’un arxiu encriptat? Segons The Guardian,

No té sentit suggerir que el llibre sobre WikiLeaks de The Guardian ha compromès la seguretat en cap manera.

El nostre llibre sobre WikiLeaks es va publicar el febrer passat. Contenia una contrasenya, però no detalls de la localització dels arxius, i ens havien dit que era una contrasenya temporal que expiraria i seria esborrada en qüestió d’hores.

Evidentment, les contrasenyes no són temporals. En tot cas ho són els arxius, i sempre és una mala idea publicar una contrasenya (no saps mai qui pot haver fet una còpia de l’arxiu). Com diu un dels comentaris a l’article de Bruce Schneier:

Això em fa recordar una cita de Dilbert:

L’estupidesa és com el combustible nuclear: es pot fer servir pel bé o pel mal. Però en qualsevol cas, no vols estar-hi gaire a prop.

En aquest cas, l’estupidesa a The Guardian ha arribat a la massa crítica.

I encara un altre comentari:

Una suggerència per als autors de nous llibres:

“Aquesta història està basada en fets reals. Només els noms I LES CONTRASENYES s’han alterat per a protegir els innocents”

Veïns de confiança

Tots haureu sentit parlar alguna vegada dels “mons petits” i els sis graus de separació. Últimament he estat mirant com evolucionen els clústers d’una xarxa quan en limitem el número màxim de passos que podem fer per anar d’un punt a un altre. Per jugar una mica, he mirat què passava en la xarxa de confiança (web of trust) del sistema criptogràfic OpenPGP.

No entraré en detalls, però a grans trets OpenPGP és un protocol de criptografia asimètrica en què cada persona té una parella de claus: la pública i la privada. La gràcia d’aquest sistema és que per enviar un missatge encriptat a una persona no ens cal haver compartit abans cap clau: n’hi ha prou amb descarregar-nos la seva clau pública de qualsevol servidor de claus i fer-la servir per encriptar un missatge que només el destinatari podrà rebre. El missatge és segur (en principi), però el que no queda tan clar és si la clau pública realment pertany a la persona amb qui ens volem communicar. Per a assegurar-nos-en tenim bàsicament dues opcions. Una és trobar-nos almenys una vegada, comprovar que la persona és qui diu ser i signar la clau pública que ens mostra. Com que la nostra firma només la podem fer nosaltres, la propera vegada que volguem utilitzar la seva clau pública només hem de comprovar que la tenim signada. Però això ens torna al problema de què en algun moment ens hem de trobar cara a cara. La segona opció utilitza la xarxa de confiança: si jo signo la clau d’un conegut, i aquest conegut firma la clau d’un desconegut, puc confiar en què el desconegut és qui diu ser. D’aquesta manera, si existeix un camí entre dues persones, aquestes dues persones poden confiar entre elles.

Aquí teniu algunes gràfiques d’exemple. Partint de la meva antiga clau 0x4C899530 (que ja no faig servir, però per desgràcia la nova clau encara no té cap firma), he mirat com creixia la seva xarxa de confiança a mesura que permetia una distància entre claus més gran. El creixement no és espectacular perquè la clau no pertany a la component gegant de la xarxa de confiança (que correspon aproximadament al 86% de la xarxa), sinó a una petita component de 1.500 claus (un 3,9% de la xarxa), però tot i així ja fa el seu efecte.

Per cert, si m’heu d’enviar missatges encriptats, no feu servir la 0x4C899530 que vaig perdre sense certificat de revocació…), sinó la 0×49116823.