Distribution quantique de clé

Le premier protocole d'échange quantique de clé est BB84, proposé en 1984 par Charles Bennett et Gilles Brassard. Il s'agit d'un protocole du type « préparation et mesure » dans lequel un objet quantique, typiquement un photon, est préparé dans un état gardé secret par l'un des participants (typiquement, un état de polarisation). L'autre participant (ou un adversaire éventuel) fait un pari quant à l'état de l'objet quantique, et effectue une mesure. L'effondrement du paquet d'ondes assure qu'après la mesure, il est impossible de retrouver l'état précédent. La présence d'un adversaire crée donc des perturbations qui peuvent être reconnues par les participants au protocole. Ils peuvent alors décider de cesser la communication, ou utiliser des techniques d'amplification pour générer une clé cryptographique sûre en dépit de la connaissance (partielle) de l'adversaire.

Une autre approche est adoptée par le protocole E91 dû à Artur Ekert et proposé en 1991, qui est basé sur la propriété d'intrication quantique. Dans ce protocole, les objets échangés sont toujours dans un état de superposition quantique, les deux états utilisés étant gardés secrets. Il n'est plus possible de déterminer l'état exact de polarisation (lorsque, comme souvent, des photons sont utilisés), mais les corrélations statistiques sont préservées en l'absence d'adversaire. En revanche, la présence d'un adversaire qui tenterait de mesurer les objets quantiques échangés causerait la destruction des corrélations, un phénomène que les participants peuvent détecter comme une violation des inégalités de Bell.

Autres protocoles : MSZ96[1], DPS02[2], SARG04[3], KMB09

La réalisation d'un échange quantique de clé repose sur la capacité à générer assez rapidement des objets quantiques dans un état prescrit, à mesurer ces objets, et à les transmettre sur des distances suffisantes. Le record actuel de distance pour des photons polarisés transmis au moyen d'une fibre optique a été obtenu en 2015, atteignant 307 km à 12,7 kbit/s[4]. En juin 2017, l'expérience QUESS montre la faisabilité de l'échange de clé sur de plus longues distances, au-delà de 1000 km[5], et avec des satellites[6].

Depuis, à des fins expérimentales ou commerciales, plusieurs réseaux de distribution quantique de clé ont été mis en place, souvent autour du protocole BB84. En 2007, le NIST annonçait une réalisation sur une fibre optique de 148,7 km[7]. Le réseau DARPA QKD[8], constitué de dix nœuds, est en place depuis 2004. Le réseau SECOCQ QKD[9] est en place depuis 2008 et utilise 200 km de fibres optiques standard. Tokyo QKD[10] est en place depuis 2010.

La sécurité des protocoles d'échange quantique de clé est appuyée sur l'hypothèse que le théorème de non clonage prive un adversaire d'apprendre l'état d'une particule avant la mesure. Cette sécurité repose donc sur une propriété de la physique quantique, plutôt que sur la difficulté mathématique d'un problème, comme c'est le cas des protocoles d'échange de clé utilisés aujourd'hui. Toutefois, il existe des attaques sur plusieurs protocoles d'échange quantique de clé, liés aux limitations inévitables des appareils réels de génération et de mesure, aux phénomènes de décohérence, ou encore à la présence de canaux auxiliaires exploitables par un attaquant.

Certaines attaques sont structurelles, c'est-à-dire qu'elles s'appliquent, à quelques variations près, à tout protocole d'échange quantique de clé :

• Tous les protocoles d'échange quantique de clé sont vulnérables à une attaque de l'homme du milieu si la communication n'est pas, par ailleurs, authentifiée. Même sur un canal authentifié, il existe une probabilité que l'adversaire ne soit pas détecté, ou en tout cas qu'il soit indistinguable, par ses effets, du bruit. Il est donc en pratique nécessaire de recourir à des techniques d'amplification et de correction d'erreur.
• Tous les protocoles d'échange quantique de clé sont également vulnérables à une attaque par déni de service, dans la mesure où le canal de communication peut être perturbé ou rompu par un adversaire. Les contre-mesures utilisées pour les communications standard ne sont pas nécessairement applicables ici, à cause de la contrainte de conserver l'état quantique, qui empêche la copie et la redondance sur lesquelles les mécanismes habituels reposent.
• Il existe des attaques basées sur la capacité d'un adversaire à détecter l'état de mesure choisi par l'un ou l'autre des participants : s'ils utilisent un filtre polarisant, comme c'est généralement le cas pour le protocole BB84, l'attaquant peut mesurer la rétro-propagation d'un signal lumineux de son choix pour sonder l'axe de polarisation et ainsi prédire correctement l'état quantique qui sera émis[11]. Ce type d'attaque est ultimement lié à la technologie utilisée pour émettre ou mesurer l'objet quantique utilisé pour la communication.
• Les protocoles qui reposent sur le choix d'une suite aléatoire de bits sont vulnérables si la source d'aléa utilisée ne possède pas assez d'entropie, ou si elle est prévisible. Une contre-mesure consiste à s'appuyer ici sur un générateur de nombres aléatoires matériel.

D'autres attaques sont spécifiques à des protocoles donnés, ou à des choix d'implémentation précis. Ainsi, l'attaque PNS (photon number splitting) repose sur l'imperfection des appareils de génération de photons, qui occasionnellement en émettent plusieurs avec la même polarisation. Un adversaire peut alors les prélever du canal sans risquer d'être détecté[12].

Enfin, une catégorie d'attaque s'appuie sur la manipulation du canal lui-même, qui permet la manipulation de phase[13], des décalages temporels[14], ou l'insertion de faux états[15]. Certaines de ces attaques ont été montrées contre des implémentations commerciales[16].