Cryptografie is een bloeiende bedrijfstak. Van beveiligde lijnen tussen banken tot de geheime informatie die legers en geheime diensten rondsturen, allerlei boodschappen worden versleuteld verzonden. Een Amerikaans en een Zwitsers bedrijf brengen nu beveiliging op de markt die letterlijk een kwantumsprong verder is dan de bestaande techniek: kwantumbeveiliging is niet alleen praktisch, maar ook absoluut onkraakbaar. Hoe werkt zulke beveiliging eigenlijk?

De bedrijven Magiq en ID Quantique verkopen sinds kort beveiligde communicatielijnen. Die bestaan uit speciale glasvezel en kunnen voorlopig nog niet veel langer zijn dan 100 km. Over deze lijnen kan een koper zonder enig risico geheime informatie sturen: de berichten worden beschermd door de wetten van de kwantummechanica, die iedere luistervink meteen verraden. Door een versleutelingscode via de beveiligde lijn te versturen kunnen zender en ontvanger hun boodschap onbreekbaar coderen.

Kwantumbeveiliging kan garanderen dat de sleutel alleen bij zender en ontvanger van de boodschap bekend is. Het populairste protocol daarvoor, BB84, werd in 1984 door Gilles Brassard en Charles Bennett gepubliceerd en maakt gebruik van gepolariseerde fotonen.

Polarisatie

“De systemen die nu op de markt zijn, maken gebruik van single photon sources, een stroom losse fotonen dus,” zegt dr. Martin van Exter, onderzoeker in de kwantumoptica aan de Universiteit Leiden. Fotonen zijn lichtdeeltjes en hebben een eigenschap die polarisatie heet: dat is de richting waarin het elektrisch veld van zo’n foton heen en weer trilt. Een polarisatiefilter laat voornamelijk fotonen door, die in de juiste richting trillen. Een vertikaal trillend foton komt gegarandeerd door een vertikaal filter heen, gegarandeerd níet door een horizontale, en heeft 50% kans om door een diagonaal filter heen te komen. “Als een foton door een filter heenkomt, heeft het ook de polarisatie van dat filter overgenomen,” legt van Exter uit. Na een verticaal filter is er óf helemaal geen foton, of een vertikaal trillend. De informatie van vóór het filter gaat dus verloren.

Als Alice en Bob (de klassieke zender en ontvanger in de cryptografie) een code-sleutel uit willen wisselen, gaan ze als volgt te werk. Alice laat fotonen uit een laser op haar eigen filter vallen. Dat draait ze dan eens verticaal of horizontaal (om op die manier een 0 of 1 te versturen), dan weer diagonaal (+45 graden of -45 graden om op een andere manier een 0, respectievelijk een 1 te versturen). Ze noteert voor elke bit op welke manier deze verzonden is. Bob krijgt de reeks fotonen van Alice en draait zijn eigen filter óók willekeurig heen en weer. Van Exter: “Als de twee hun filters toevallig in dezelfde stand hadden staan, krijgen ze hetzelfde resultaat. De grap van kwantumcommunicatie is, dat je helemaal géén nuttige informatie krijgt als je in een andere stand meet dan je partner: dan krijgt het foton een willekeurige polarisatierichting.”

Het resultaat van de hele actie: Alice en Bob hebben allebei een lijstje met standen van hun eigen polarisatiefilter, met daarbij de gemeten polarisatie. Nu geven ze via een onbeveiligde lijn aan elkaar door, in welke standen ze gemeten hebben. Elk apart kijken ze, in welke gevallen ze hun filters toevallig in dezelfde stand hadden gezet: alleen in die gevallen hebben ze gegarandeerd hetzelfde gemeten. Een reeks van die metingen vormt de sleutel voor de code. Omdat ze alleen hun meetinstellingen en niet hun resultaten publiekelijk bekend maken, weet een derde partij niet, welke getallen ze precies als sleutel gebruiken. Identieke standen leveren hetzelfde getal op, dus Alice en Bob weten dat de ander in zo’n geval dezelfde resultaten heeft.

Alice gebruikt een laser als fotonenbron. De fotonen uit een laser zijn allemaal in dezelfde richting gepolariseerd, maar Alice wil juist een reeks van willekeurig gekozen getallen versturen. Met een speciale modulator stelt ze telkens de polarisatierichting van opeenvolgende fotonen in: de opties zijn vertikaal, horizontaal en de twee diagonale standen. Haar instellingen schrijft ze op als nullen en enen, gekoppeld aan de letters V en D (vertikale en diagonale stand van het filter), bijvoorbeeld: V1,V0,D0,D1,D0,V0 (Alice) V0 is vertikaal, V1 horizontaal, D0 is 45^o graden met de klok mee vanaf V0, D1 is juist 45^o de andere kant op vanaf V0. (Zie de afbeelding hierboven.)

Bob krijgt de fotonen na Alice. Als hij zijn filter in dezelfde stand heeft staan als waarin zij een foton prepareerde (V of D), krijgt hij hetzelfde antwoord als zij instelde (0 of 1). Anders is er een 50-50 kans op 0 of 1:

V1,D1,D0,V0,V1,V0. Na de meting van Bob wisselen de twee hun filterstanden uit: VVDDDV (Alice) en VDDVVV (Bob).

De rode letters stellen identieke standen voor. Alice en Bob weten nu van elkaar dat hun eerste, derde en zesde meting identiek waren en gebruiken die getallen als sleutel. Buitenstaanders kunnen de informatie over de filterstanden wel onderscheppen, maar hebben daar niets aan zonder de meetgegevens.

Afluisteren is zinloos

Het lijkt een hoop moeite om een sleutel door te geven. Kan Eve (van eavesdropper, oftewel luistervink, de klassieke vijand van Alice en Bob) de fotonen niet onderscheppen en aflezen? “Het mooie van BB84 is, dat Eve’s metingen de fotonen verstoren,” legt van Exter uit. Als zij haar filter diagonaal zet, dwingt ze een foton daarmee om diagonaal te trillen, ook al was het eerst vertikaal gepolariseerd. In de helft van de gevallen zet Eve haar filter anders dan Alice en verandert ze het gemeten foton. Bob’s metingen kloppen dan niet meer met die van Alice, ook niet als die twee hun filter wél in dezelfde stand hadden staan. Alice en Bob kunnen makkelijk testen of Eve heeft afgeluisterd, door een klein deel van hun metingen te vergelijken. Als het aantal fouten boven een bepaalde waarde uitkomt, weten ze zeker dat ze zijn afgeluisterd: de sleutel is dan onbruikbaar, maar de boodschap zelf is nog niet verzonden en dus veilig. Een kwantum-verbinding afluisteren heeft echt geen zin.

In de praktijk

Er zitten nog wel wat haken en ogen aan de kwantumbeveiliging. De huidige apparatuur werkt via glasvezels en die zijn niet perfect: na zo’n 100 kilometer kabel is al 99% van de fotonen verdwenen door absorptie. Maar één op de honderd fotonen redt het dus tot aan het einde van de kabel. Momenteel is de verbinding door die verliezen niet veel sneller dan een gewone telefoonlijn: het duurt dan een stuk langer om genoeg metingen te doen voor een complete sleutel.

Door lucht gaat het allemaal een stuk beter: de atmosfeer laat fotonen veel beter door dan de helderste glasvezels. Je kunt de fotonen zelfs via satellieten sturen, maar die moeten dan wel spiegelen, niet ontvangen, verwerken en verzenden. Er is namelijk een theorema in de kwantummechanica, dat zegt dat je kwantumdeeltjes niet kunt klonen: je kunt van één foton geen tien identieke kopieën maken. Het no cloning theorem zorgt, dat versterking van fotonen altijd kleine foutjes oplevert. Die zien er voor de ontvanger net zo uit als het signaal dat een luistervink als Eve achterlaat. Wereldwijde kwantumbeveiliging is wel mogelijk, maar alleen met de originele fotonen. Gelukkig zouden die een groot deel van de route rond de wereld in de ruimte doorbrengen, waar ze ongestoord kunnen reizen. “De paar kilometer door de atmosfeer leveren de grootste problemen op”, aldus van Exter.

Versleutelen

Geheime boodschappen worden gecodeerd door de informatie erin te bewerken met een bepaalde berekening. In die berekening wordt een geheim getal gebruikt, dat alleen bekend is bij zender en ontvanger. De onbreekbaarheid van de code hangt af van het gemak waarmee deze sleutel is te achterhalen. Mét de sleutel kan iedereen de originele boodschap achterhalen. Daarom mag die nooit in verkeerde handen vallen.

Versleuteling in actie

Een voorbeeld van versleuteling: we versturen het woordje “boodschap”. We zetten elke letter van de boodschap om in een cijfer: a=1, b=2, enzovoorts. Vervolgens tellen we bij elk cijfer van de boodschap een getal op (de sleutel). Als het getal voor een letter plus sleutel boven de 26 komt, tellen we verder vanaf 1. Daarna versturen we de code. De ontvanger kent de geheime sleutel en kan de code daarmee ontcijferen.

“Boodschap” wordt de getallenreeks 2,15,15,4,19,3,8,1,16. De sleutel bestaat uit een willekeurig cijfer: bijvoorbeeld 8. Nu tellen we het de cijfers van boodschap en sleutel op en versturen die getallen: 10,23,23,12,1,11,16,9,24. De ontvanger hoeft alleen maar de sleutel van de code af te trekken om de boodschap terug te vinden. Natuurlijk is deze code simpel te breken, maar er zijn ook andere manieren.

Onbreekbare code

Bij een niet af te luisteren verbinding hoort een onbreekbare code. Op dit moment kan alleen de sleutel van de code nog maar via de kwantumlijn worden verstuurt; de eigenlijke boodschap kan in principe worden onderschept. Gelukkig is er een codering die gegarandeerd onbreekbaar is: One-time pad is een code waarbij de sleutel maar één keer wordt gebruikt en daarna vernietigd.

De gebruikte codering is een variatie op de code in Versleuteling in actie: elk teken in de boodschap wordt met een nieuw willekeurig getal versleuteld. De sleutel telt in dit geval evenveel cijfers als de originele boodschap en moet volstrekt willekeurig zijn. Aan de verstuurde code is dan helemaal niets af te lezen over de inhoud van de boodschap zelf. In het voorbeeld hierboven was dat nog wel het geval: de dubbele ‘o’ is bijvoorbeeld nog steeds herkenbaar. Informatici zeggen dat One Time Pad zelfs bestand is tegen oneindig krachtige computers.