Confirmation of quantum key distribution protocol BB84 with smartphone app (supplement)

[Abstract] BB84 (quantum key distribution protocol) is excellent among the limited applications when using a single qubit (that is, not using quantum entanglement). I've written an article about this in the past, but I'll add it here to make it even clearer. This BB84 is also a good example for learning "measurement of quantum states by orthonormal basis".

●What is BB84 (reconfirmation)
BB84 is a method in which 1/4 of Alice's classical bit string of length 4n is used as a secure key between them without sending it directly to Bob. Alice randomly selects an orthonormal basis for each bit of the classical bit string of length 4n, and sends the basis vector (quantum state vector) corresponding to that bit to Bob. Importantly, a method is included to determine if this transmission has been intercepted by a third party, Eve.

●Blog articles written in the past
I wrote the BB84 method in detail in the blog post below. (The figure is also reproduced.)
https://sparse-dense.blogspot.com/2022/11/bb84.html

Now, when I read it again, I didn't find any particular mistakes, but I felt that the explanation was a little lacking, so I added the following section "How to actually configure the BB84".

----------（Supplementary explanation added）----------------------------
●How to actually configure the BB84
The theory is now explained. From the above explanation, the number of times Alice and Bob's chosen bases match is 2n. The resulting bit string measured by Bob on that matched base matches the bitstring Alice has. So, assuming no eavesdropping, Alice does not send the 2n long bit string to Bob and they can both share the bit string as a key.

However, in reality, Alice is sending the basis quantum state vector to Bob, so we have to check whether it is wiretapped. Therefore, both parties send each other n-length bit strings, which is half of this 2n-length bit string, by "unencrypted normal communication" and confirm the degree of matching. If they match perfectly, it can be said that there is no eavesdropping. On the other hand, if 1/4 of them do not match, it can be said that there was wiretapping. (It takes advantage of the fact that eavesdropping requires measuring its qubit (quantum state vector), which changes the quantum state to be sent to Bob.)

If we find no eavesdropping, we can safely use the other half of the matched 2n long bit string as the key. (Actually, 2n lengths match, but half of them may be known to others due to the above-mentioned normal communication.)

---------------------------------------------------------------------

量子鍵配送プロトコルBB84をスマホアプリで確認

abstract: 理論上（計算上）は明確になっている事項でも、実際に一歩づつトレースして理解することは意味があると考えました。AliceからBobへ、長い古典ビット列を送信することを想定します。問題は、それをEveに盗聴される可能性です。しかし、量子コンピューティングの世界では、Eveが盗聴すれば必ず露呈するという、量子鍵配送プロトコルBB84があります。そのエッセンスを、自作したスマホアプリを使って説明を試みました。

【改訂】2023-05-28、後半に「実際にBB84を構成するには」を追加し補足した。

Check the quantum key distribution protocol BB84 with a smartphone app

Even if the conclusion is known in theory, it is useful to deepen understanding by actually proceeding step by step. Now imagine sending a long string of classical bits from Alice to Bob. The problem is that it can be eavesdropped on by Eve. However, in the world of quantum computing, there is a quantum key distribution protocol (BB84) that if Eve eavesdrops, it will always be revealed. This time, I will explain the essence using a self-made smartphone app.

●量子鍵配送プロトコルBB84の概要

　このプロトコルは1984年に発表されたもので、量子ビットの重ね合わせ（Quantum Superposition）を利用している。ここでは、単一量子ビットをひとつづゝ連続して送信するので、量子もつれ（Quantum Entanglement）は無い。（量子もつれ状態の量子ビット対の送信用には、Ekertプロトコルがあるが、それは別記事とする。）

　図１は、BB84の原理を確認するためのアプリである。量子シミュレータではない。Aliceは、例えば古典ビット2048個（これを暗号鍵にするつもり）の４倍の8192個を用意するが、これをそのままBobへ送信はしない。代わりに、２種類の２次元正規直交基底（以後、単に基底と呼ぶ）HかVを各ビット毎にランダムに選択して、ビット値に対応する、基底のケットベクトル（縦ベクトル）を送信する。古典ビット0と1は、それぞれ、基底の１番目と２番目のケットベクトルに対応させている。つまり、量子ビット（の状態ベクトル）を送信するのである。具体例は後で示す。

　Bobは、受信した量子ビット毎に、ランダムに（Aliceとは無関係に）同様にHかVを選択して、それによって量子ビットを「測定」する。その結果として、全部の受信が完了後には、Aliceと同じ長さの古典ビット列（8192個で構成）を得る。AliceとBobの持つこの古典ビット列の合致度によって、盗聴の有無を判定できるのである。

 　Eveが盗聴する場合、受信量子ビットをそのままBobへ転送して自分はそのコピーを盗聴する、ということは量子原理から不可能である。盗聴するには、受信した量子ビットを必ず「測定」し、その結果としての量子ビットをBobへ転送するしかない。測定前の量子ビットは、（日常思考からは不思議なことだが）量子基本原理として、0に対応するか１に対応するかは決まらない。また、測定するには、どの基底を用いるかを決める必要がある。基底の選択によって0か1かに決まる確率は変化するが、Eveにとっては、ランダムに基底を選択する以外に方策がない。

●正規直交基底と量子ビットの重ね合わせと測定

　上で述べた基底とその測定について、具体例で説明する。ここで選択できる基底VとHは以下のようなものである。

　一般に量子ビットは、基底(|u>, |v>)を用いる場合、以下のような状態にある。これは量子重ね合わせ状態（Quantum Superposition）と呼ばれる。そして測定を行うと|u>か|v>のどちらかに確定する。つまり、0か１かになる。その確率は、それぞれの係数の２乗で決まる。

　ある量子ビットに対して同一基底を適用するのならば、何度測定しても必ず同一の結果になる。しかし、異なる基底で計測した場合は、0と１のどちらに倒れるかの確率は、基底のケットベクトルの係数（振幅確率）の平方となる。振幅確率の求め方は、参考文献[1]にあるので、それを使って、基底H, Vの場合を計算すると以下のようになる。

　このことから、HとVを使う限り、元の計測と今回の計測で異なる基底が使われる場合は、ちょうど確率0.5（= (±1/√2）の平方）で元の計測結果と同一となることが分かる。そこがポイントである。

●盗聴があったとすれば何が変化するのか

　以上の準備をした上で、盗聴の有無で何が異なるのかを図２で見てみよう。すでに述べた通り、Eveが盗聴するとすれば、Eveは盗聴した量子ビット毎に、ランダムに基底HかVをに選択し、測定しなければならない。その結果として②に示された量子ビット列をBobへ送る。すなわち、Bobは本来の①の量子ビットとは異なる②を受信することになる。

　それにより、Bobの測定結果は本来のものと異なるであろう。Bobの測定結果として得られる古典ビット列は、Aliceが元々設定した古典ビット列と比較される。盗聴されていない場合は、上に述べた手順から、AliceとBobがそれぞれ選択した基底（H, V）は0.5の確率で一致するので、古典ビット列の少なくとも1/2が一致する。さらに、すでに述べた通り、異なる基底で測定したケースでは（量子ビットの重ね合わせにより）、確率0.5で両者の古典ビットが合致する。結局、(1/2)+(1/2)*(1/2) = 3/4 = 0.75の確率で両者の古典ビットは合致する。

　一方、盗聴があった場合は、Eveによる基底選択が加わるので、AliceとBobの基底の一致確率は(1/2)*(1/2)に低下する。そして、基底が一致しない場合のAliceとBobの古典ビットの一致確率は3/8となる。結局、確率(1/4)+(3/8)=5/8 = 0.625でAliceとBobの古典ビットが一致する。従って、最終的にAliceとBobの古典ビットの一致確率が0.75であれば盗聴は無く、0.625であれば盗聴されたと結論付けられる。

●実際にBB84を構成するには

　これで理論は説明された。上の説明から、AliceとBobの選択した基底が一致する回数は2nとなる。その合致した基底でBobが測定した結果のビット列は、Aliceが持っているビット列と一致する。従って、盗聴がないと仮定すれば、Aliceはその2n長のビット列をBobに送らずに、両者がキーとしてそのビット列を共有できる。
　だが、実際には、Aliceは基底の量子状態ベクトルをBobに送信しているのでその盗聴の有無を確認しなければならない。そこで、両者はこの2n長のビット列の半分のn長のビット列を「暗号化しない通常通信」で送り合って、その一致度を確認する。もしも完全に一致すれば盗聴はないと言える。一方、その1/4が一致しなければ盗聴があったと言える。（そこでは、盗聴するにはその量子ビット（量子状態ベクトル）を測定する必要があり、そうすれば、Bobに送られるべき量子の状態は変化することを巧みに利用している。）
　盗聴がないと分かった場合には、合致した2n長のビット列の残りの半分であるn長のビット列をキーとして安全に使える。（実際には2n長が合致しているのだが、上記通常通信により、そのうちの半分は他人に知られている可能性があるためである。）

●AliceとBobの持つ情報の一致度をスマホで計算

　ここでようやく前述のスマホアプリが登場する。今回は、両者の選択基底が異なる場合の振幅確率の平方はいずれの場合も0.5であった。このため、重ね合わせ状態にある量子ビットの測定結果は単にコイントス乱数で決めることができる。ただし、本当は、その乱数が「真の乱数」であることが求められる。スマホの数学ライブラリの乱数でも、非常に多く発生させれば問題は生じないだろう。図３には、Aliceが8192個の古典ビットを乱数で一つづゝ発生させた場合の結果を示している。

　盗聴なしとありの場合の両方とも、AliceとBobの最終的な古典ビットの一致度は、上に述べた数値とほぼ同一（小数点以下３桁まで一致）となった。このことから、BB84の理論通りの結果が得られたと言える。

参考文献

[1] Chris Bernhardt: Quantum Computing for Everyone, The MIT Press, 2020.

https://www.chrisbernhardt.info/