【改訂】2023-05-28、後半に「実際にBB84を構成するには」を追加し補足した。
Check the quantum key distribution protocol BB84 with a smartphone app
Even if the conclusion is known in theory, it is useful to deepen understanding by actually proceeding step by step. Now imagine sending a long string of classical bits from Alice to Bob. The problem is that it can be eavesdropped on by Eve. However, in the world of quantum computing, there is a quantum key distribution protocol (BB84) that if Eve eavesdrops, it will always be revealed. This time, I will explain the essence using a self-made smartphone app.
●量子鍵配送プロトコルBB84の概要
このプロトコルは1984年に発表されたもので、量子ビットの重ね合わせ（Quantum Superposition）を利用している。ここでは、単一量子ビットをひとつづゝ連続して送信するので、量子もつれ（Quantum Entanglement）は無い。（量子もつれ状態の量子ビット対の送信用には、Ekertプロトコルがあるが、それは別記事とする。）
図１は、BB84の原理を確認するためのアプリである。量子シミュレータではない。Aliceは、例えば古典ビット2048個（これを暗号鍵にするつもり）の４倍の8192個を用意するが、これをそのままBobへ送信はしない。代わりに、２種類の２次元正規直交基底（以後、単に基底と呼ぶ）HかVを各ビット毎にランダムに選択して、ビット値に対応する、基底のケットベクトル（縦ベクトル）を送信する。古典ビット0と1は、それぞれ、基底の１番目と２番目のケットベクトルに対応させている。つまり、量子ビット（の状態ベクトル）を送信するのである。具体例は後で示す。
Bobは、受信した量子ビット毎に、ランダムに（Aliceとは無関係に）同様にHかVを選択して、それによって量子ビットを「測定」する。その結果として、全部の受信が完了後には、Aliceと同じ長さの古典ビット列（8192個で構成）を得る。AliceとBobの持つこの古典ビット列の合致度によって、盗聴の有無を判定できるのである。
Eveが盗聴する場合、受信量子ビットをそのままBobへ転送して自分はそのコピーを盗聴する、ということは量子原理から不可能である。盗聴するには、受信した量子ビットを必ず「測定」し、その結果としての量子ビットをBobへ転送するしかない。測定前の量子ビットは、（日常思考からは不思議なことだが）量子基本原理として、0に対応するか１に対応するかは決まらない。また、測定するには、どの基底を用いるかを決める必要がある。基底の選択によって0か1かに決まる確率は変化するが、Eveにとっては、ランダムに基底を選択する以外に方策がない。
●正規直交基底と量子ビットの重ね合わせと測定
上で述べた基底とその測定について、具体例で説明する。ここで選択できる基底VとHは以下のようなものである。
一般に量子ビットは、基底(|u>, |v>)を用いる場合、以下のような状態にある。これは量子重ね合わせ状態（Quantum Superposition）と呼ばれる。そして測定を行うと|u>か|v>のどちらかに確定する。つまり、0か１かになる。その確率は、それぞれの係数の２乗で決まる。
ある量子ビットに対して同一基底を適用するのならば、何度測定しても必ず同一の結果になる。しかし、異なる基底で計測した場合は、0と１のどちらに倒れるかの確率は、基底のケットベクトルの係数（振幅確率）の平方となる。振幅確率の求め方は、参考文献[1]にあるので、それを使って、基底H, Vの場合を計算すると以下のようになる。
このことから、HとVを使う限り、元の計測と今回の計測で異なる基底が使われる場合は、ちょうど確率0.5（= (±1/√2）の平方）で元の計測結果と同一となることが分かる。そこがポイントである。
●盗聴があったとすれば何が変化するのか
以上の準備をした上で、盗聴の有無で何が異なるのかを図２で見てみよう。すでに述べた通り、Eveが盗聴するとすれば、Eveは盗聴した量子ビット毎に、ランダムに基底HかVをに選択し、測定しなければならない。その結果として②に示された量子ビット列をBobへ送る。すなわち、Bobは本来の①の量子ビットとは異なる②を受信することになる。
一方、盗聴があった場合は、Eveによる基底選択が加わるので、AliceとBobの基底の一致確率は(1/2)*(1/2)に低下する。そして、基底が一致しない場合のAliceとBobの古典ビットの一致確率は3/8となる。結局、確率(1/4)+(3/8)=5/8 = 0.625でAliceとBobの古典ビットが一致する。従って、最終的にAliceとBobの古典ビットの一致確率が0.75であれば盗聴は無く、0.625であれば盗聴されたと結論付けられる。
●実際にBB84を構成するには
これで理論は説明された。上の説明から、AliceとBobの選択した基底が一致する回数は2nとなる。その合致した基底でBobが測定した結果のビット列は、Aliceが持っているビット列と一致する。従って、盗聴がないと仮定すれば、Aliceはその2n長のビット列をBobに送らずに、両者がキーとしてそのビット列を共有できる。
だが、実際には、Aliceは基底の量子状態ベクトルをBobに送信しているのでその盗聴の有無を確認しなければならない。そこで、両者はこの2n長のビット列の半分のn長のビット列を「暗号化しない通常通信」で送り合って、その一致度を確認する。もしも完全に一致すれば盗聴はないと言える。一方、その1/4が一致しなければ盗聴があったと言える。（そこでは、盗聴するにはその量子ビット（量子状態ベクトル）を測定する必要があり、そうすれば、Bobに送られるべき量子の状態は変化することを巧みに利用している。）
盗聴がないと分かった場合には、合致した2n長のビット列の残りの半分であるn長のビット列をキーとして安全に使える。（実際には2n長が合致しているのだが、上記通常通信により、そのうちの半分は他人に知られている可能性があるためである。）
だが、実際には、Aliceは基底の量子状態ベクトルをBobに送信しているのでその盗聴の有無を確認しなければならない。そこで、両者はこの2n長のビット列の半分のn長のビット列を「暗号化しない通常通信」で送り合って、その一致度を確認する。もしも完全に一致すれば盗聴はないと言える。一方、その1/4が一致しなければ盗聴があったと言える。（そこでは、盗聴するにはその量子ビット（量子状態ベクトル）を測定する必要があり、そうすれば、Bobに送られるべき量子の状態は変化することを巧みに利用している。）
盗聴がないと分かった場合には、合致した2n長のビット列の残りの半分であるn長のビット列をキーとして安全に使える。（実際には2n長が合致しているのだが、上記通常通信により、そのうちの半分は他人に知られている可能性があるためである。）
●AliceとBobの持つ情報の一致度をスマホで計算
ここでようやく前述のスマホアプリが登場する。今回は、両者の選択基底が異なる場合の振幅確率の平方はいずれの場合も0.5であった。このため、重ね合わせ状態にある量子ビットの測定結果は単にコイントス乱数で決めることができる。ただし、本当は、その乱数が「真の乱数」であることが求められる。スマホの数学ライブラリの乱数でも、非常に多く発生させれば問題は生じないだろう。図３には、Aliceが8192個の古典ビットを乱数で一つづゝ発生させた場合の結果を示している。
盗聴なしとありの場合の両方とも、AliceとBobの最終的な古典ビットの一致度は、上に述べた数値とほぼ同一（小数点以下３桁まで一致）となった。このことから、BB84の理論通りの結果が得られたと言える。
参考文献
[1] Chris Bernhardt: Quantum Computing for Everyone, The MIT Press, 2020.
0 件のコメント:
コメントを投稿