определенной полярцзации, а в промежуток времени от одного такого импульса до другого (поскольку в конструкции этих приборов нет никаких движущихся частей) можно очень быстро переключаться на нужную поляризацию.

Проблема с световыми импульсами (которые заменяют одиночные фотоны) заключается в том, что каждый раз, когда за время одного и того же импульса выпускается более одного фотона, Ева получает возможность (по крайней мере в принципе) измерить один из этих фотонов в случайно выбранном базисе. Такое нарушение может быть необнаруживаемо при условии, что Ева будет очень осторожной и позволит другим фотонам того же самого импульса дойти до Боба неискаженными. Основная идея значительного уменьшения этой угрозы заключается в том, чтобы использовать действительно очень слабые импульсы. Если, например, ожидаемое число фотонов в каждом импульсе равно одной тысячной (10~), то можно считать, что мульти-фотонный. импульс будет вырабатываться приблизительно только один раз на каждые два миллиона импульсов. Следовательно, 99,95% непустых импульсов должны содержать одиночный фотон. Только обладая очень большими ресурсами, Ева могла бы выявить те редкие случаи, когда передается более одного фотона и проверить соответствуюпщй бит с вероятностью 1/2, измеряя один из фотонов в случайно выбранном базисе, но это привело бы лишь к тому, что Ева смогла бы узнать примерно 0,025% той битовой строки, которой Алиса обменивается с Бобом. (Обладая еще большими ресурсами, Ева могла бы хранить этот дополнительный фотон, не измеряя его, до тех пор, пока открытое обсуждение между Алисой и Бобом не покажет, в каком базисе этот фотон должен читаться, увеличивая, таким образом, процент своего успеха до 0,05%.) Для дальнейшего сокращения любой доли однозначной информации об их окончательной совместной битовой строке, которая может быть известна Еве, Алиса и Боб могут впоследствии использовать упомянутые ранее методы повышения секретности [36].

Вторая проблема, которая связана с наивной реализацией квантовой криптологии и описана в § 3, состоит в том, что некоторые биты могут быть получены неправильно даже при отсутствии перехвата, из-за недостатков в аппаратуре. Алиса и Боб никогда бы не смогли обменяться случайной битовой стро-

кой, если бы не начинали делать это заново каждый раз, когда обнаруживают даже одиночную ошибку в квантовой передаче. Следовательно, для того чтобы обнаружить и исправить приемлемое число различий между исходной случайной строкой Алисы и строкой, полученной Бобом, необходим протокол в открытом канале. Подходящий для Алисы способ исправления таких ошибок заключается в том, чтобы генерировать проверяющие последовательности, используя при этом согласованный код, исправляющей ошибки, наподобие несистематического сверточ-ного кода [184]. Такая последовательность может затем быть послана Бобом по открытому каналу. Если код имеет достаточную избыточность, то Боб может однозначно декодировать доступную ему информацию, с высокой вероятностью восстановив, таким образом, исходную строку Алисы. Из этого следует, что при использовании протоколов, повышающих секретность [36], информация, которая попадает к Еве, может быть доведена, в конце концов, почти до нуля. Далее см. [309, 25, 311].

Когда никакого перехвата не происходит, то размер требуемой избыточности зависит от ожидаемой вероятности неправильно полученных битов. До тех пор, пока Алиса и Боб находятся в двусторонней связи, они могут достичь правильной избыточности, даже если не знают заранее этой вероятности: Алиса вычисляет достаточно много контрольных разрядов, но посылает Бобу столько, сколько тот считает необходимым для эффективного декодирования. Когда Боб будет удовлетворен тем, как исправлены все ошибки, и убедится в том, что с большой вероятностью строка Алисы ему (почти) доподлинно известна, он сообщит ей действительный процент ошибок, полученных с помощью своих измерений. Из этой доли ошибок, начальной интенсивности импульса и квантовой эффективности детекторов Боба можно будет оценивать степень перехвата. Если окажется, что перехват, по всей видимости, произошел, но Ева, похоже, получила только небольшое количество информации, то следует решить, можно ли продолжить безопасное распределение ключей, чтобы потом, используя протоколы повышения секретности, лишить Еву почти всей информации, которую она получила. С другой стороны, если будет обнаружен существенный перехват, то Алиса и Боб не должны больше исключать возможности того, что Ева может обладать почти полной информацией. В этом случае они

ДОЛЖНЫ, не принимая во внимание полученные ранее результаты, начать всё сначала, используя при этом новую квантовую передачу.

Практическая реализация протокола должна принимать во внимание и некоторые дополнительные ограничения. Объяснение более технического характера, как можно достичь всего, что обсуждалось в этой главе, приведено подробно в [28].

Далее по поводу квантовой криптографии см. [36, 165, 81, 33], а относительно квантовых вычислений - [152, 153, 155, 225, 42].