на универсальном хешировании [355] (см., также, § 5.1). С другой стороны, если обнарзится, что передача была нарушена, то пользователи могут не принимать во внимание только что полученную двоичную последовательность и должны попытаться произвести квантовую передачу еще раз. Поэтому для обеспечения намеченной цели они вынуждены будут задерживать некую важную связь до тех пор, пока не осуществят успешную передачу достаточного количества случайных битов через квантовый канал. Поэтому, несмотря на то, что нарушитель, перекрывая квантовый канал передачи информации, может препятствовать связи между пользователями, он окажется неспособным ввести их в заблуждение до такой степени, чтобы они были уверены, что передача прошла успешно, когда на самом деле это было не так.

Давайте теперь рассмотрим более подробно, каким образом Алиса и Боб могут осуществить открытое распределение ключей с использованием квантового канала. Мы предполагаем наличие нарушителя, которого, точнее которую назовем Евой. В качестве первого шага Алиса выбирает произвольную битовую строку и произвольную последовательность поляризационных базисов (прямоугольных и диагональных). Затем она посылает Бобу ряд фотонов, каждый из которых является носителем одного бита информации этой выбранной двоичной строки, причем значение каждого бита определяется поляризацией соответствующего ему фотона в базисе, номер позиции которого в выбранной последовательности (поляризационных базисов) совпадает с порядковым номером бита в строке. Так, например, горизонтально или под углом в 45° поляризованные фотоны могут использоваться в качестве носителя двоичного О, в то время как вертикально или под углом в 135° поляризованные фотоны будут определять двоичную 1.

С одной стороны, хорошо, что, если Ева захочет измерить поляризацию (некоторых из) тех фотонов, которые Алиса посылгьет Бобу, то она не будет знать, в каких базисах это необходимо делать. С другой стороны, плохо то, что Боб также не знает, какие базисы нужно использовать. Несмотря на это. Боб, как только получс1ет фотоны, решает абсолютно случайным для каждого фотона образом и совершенно незгшисимо от Алисы измерить, какую поляризацию имеют все фотоны, прямоугольную или диа-

гональную. После этого он интерпретирует то, что получилось, либо как двоичный О, либо как двоичную 1, в зависимости от исхода соответствующего измерения. Как уже объяснялось в § 2, получсйощийся в результате ответ должен быть случайным, и при попытке измерить, например, прямоугольна ли поляризация диагонгшьно поляризовгшного фотона (или наоборот), вся заключенная в нем информация будет потеряна. Таким образом, в итоге Боб получсют содержаыще информацию данные только от приблизительно половины фотонов, которые он проверяет (от тех, для которых он угадал базис поляризации), хотя сам пока даже не знает, от каких. Кроме того, на практике количество этой информации, полученной Бобом может быть еще меньше в связи с тем, что некоторые из фотонов могут быть потеряны при передаче, или невосприняты обнаружцваюпщми фотоны детекторами Боба из-за их несовершенства.

Последуюыще шаги протокола выполняются в обычном открытом канале связи. Сначала предположим, что этот канал восприимчив только к прослушиванию, но не к введению новых, или изменению порядка поступающих, сообщений. Сначала Алиса и Боб определяют посредством открытого обмена сообщениями, какие из фотонов были получены в действительности и какие из них измерялись Бобом в том базисе, в котором их и нужно было измерять. Если квантовая передача не была искажена, то Алиса и Боб смогут в результате договориться о битах, закодированных этими фотонами, даже несмотря на то, что эти данные никогда не обсуждались ими по открытому каналу связи. Другими словами, кеждый из этих фотонов в соответствии со сдел«йными предположениями переносит один бит случайной информации (типа того, вертикально или горизонтально поляризован прямоугольно поляризованный фотон), которая становится известной только Алисе и Бобу и больше никому.

Из-за того, что прямоугольно и диагонально поляризованные фотоны чередуются в квантовой передаче случайным образом, любой нарушитель рискует при перехвате изменить передачу таким способом, что это породит расхождение между Алисой и Бобом в некоторых из тех битов, о правильности которых, как они думают, между ними должно быть достигнуто согласие. Характерно, и это можно доказать [25], что при пересылке любого фотона никакое измерение его состояния нарушителем, которо-

му исходный базис этого фотона становится известен только после того, как он выполнит такое измерение, не может предоставить более 1/2 ожидаемых битов информации о ключе, значение соответствующего разряда которого кодируется данным фотоном. Кроме того, любые такие измерения, дающее 6-тую часть битов ожидс1емой информации (6 1/2), должны приводить к расхождению с вероятностью по крайней мере 6/2, если уже измеренный фотон (или любая предпринятая его подделка) будет впоследствии переизмеряться [Бобом) в исходном базисе. (Этот оптимальный компромисс для Евы возникгьет, например, тогда, когда она перехватывает, измеряет и сама передгьет дальше все фотоны в прямоугольном базисе. В этом случае она узнает правильные поляризации у половины фотонов и породит расхождения в 1/4 тех фотонов, которые будут позже повторно измеряться Бобом в исходном базисе.)

Теперь остается только выяснить, как Алиса и Боб смогут определить, являются ли их получившиеся в результате битовые строки идентичными (показывая с высокой вероятностью, что в квантовом канале никакого нарушения не произошло, или, также, что это нарушение было на очень малом числе фотонов) или они различны (показывая, таким образом, что квантовый канал был подвергнут серьезному прослушиванию). Простое решение заключается в том, чтобы Алиса и Боб открыто сравнили некоторые из битов, относительно которых, как они думают, они должны прийти к соглашению. Позиции таких «особо проверяемых» битов должны быть выбраны случайно уже после того, как квантовая передача будет завершена, чтобы лишить Еву информации о том, какие фотоны она может измерятЬз опаски. Конечно, подобный процесс приносит в жертву секретность этих битов. Если совокупность позиций битов, используемых при этом сравнении, является произвольным подмножеством (скажем, одной трети) всех правильно полученных битов, то перехват, допустим, более десятка фотонов, позволяющий избежать обнаружения, маловероятен. Если все сравнения подтверждаются, то Алиса и Боб могут заключить, что квантовая передача прошла без существенного перехвата. Следовательно, большинство оставшихся битов, которые были посланы и получены в одном и том же базисе, могут спокойно использоваться в качестве одноразового ключа для последующей связи по открытому кана-