Vlákno názorů k článku Kvantová kryptografie pro bezpečnou distribuci klíčů od honzan - Anžto tu nevidím jasnou odpověď na bod 1,...

Anžto tu nevidím jasnou odpověď na bod 1, tak si dovolím to ujasnit, přes to, že jde pro většinu čtenářů o samozřejmost:

Vlákno nemůžete přestřihnout a vložit tam nějaké zařízení. Ochrana před tímto je totiž úplně ta nejzákladnější ochrana, toto si každý systém ohlídá, v tom si můžete být jistý.

Ad 1:
Kazda zprava je autentizovana, bude tudiz obsahovat cast predchoziho prijateho klice. Kvantova kryptografie neresi problem pocatecni autentizace, takze pocatecni klic musi byt vymenen nejakou jinou cestou. Napr. na druhy konec nekdo zajede s disketou. Protoze kvantova kryptografie je navrzena zejmena pro komunikaci typu pobocka banky s centralou, tak toto omezeni prilis nevadi. Takova autentizace nebude delat prilis casto, predpoklada se trvale spojeni.

Ad 2: Ano, neprerusene vlakno muze byt resenim. Kvantova kryptografie neni navrzena pro pripojeni "Pepy Novaka na stranky jeho oblibene banky", ale pro specialni aplikace, kde je takova ochrana opravdu potreba. Vyvoj kvantove kryptografie ubiha milovymy kroky. Mozna byste si nakonec mel precist ten clanek, jsou tam opravdu popsany dosazene vzdalenosti.

Ad 2. lze to řešit i opticky vzduchem, jenže i tam máte celkem jasný limit na použitelnou vzdálenost.

Ad 1: Prominte, proad nechapu. Proc by musel nekdo do druheho useku dratu poslat to, co dostal na vstupu? Tohle porad jeste neni man in the middle. Clovek uprostred si muze na druhem useku vymyslet vlastni klic, tj. vymyslet vlastni polarizace.

Ad 2: Jenze - hm - bez jakychkoliv aktivnich prvku, uz z definice. Takze prvni krok je natahnout neprerusene vlakno (v jedinem kuse) na nekokik kilometru. Prijemnou zabavu ;-)

No (kdyz uz se drze se svymi nulovymi znalostmi teto problematiky ucastnim diskuse) ja nekde cetl, ze dokonc euz neni problem faktorizovat i daleko vetsi cisla. Hacek (pry) ale spociva ve cteni vysledku (ktere se musi povest "naporve", protoze ctenim vysledku se stav kvantoveho stroje znici). Takze kdyz k zadanemu cislo jeho faktorizaci znate, neni pry problem overit, ze to kvantovy pocitac spocital spravne. Pokud ho ovsem neznate ...

Ad1: Ano, v podstatě když máte "veřejný kanál se zaručenou integritou" tak kvantová kryptografie umožní získat privátní kanál se zaručeným soukromím. Vtip je v tom, že veřejný kanál se zaručenou integritou je prakticky mnohem jednodušší: například se postavíte na střechu ministerstva obrany, budete mávat praporkem, a na hradě bude někdo z věže katedrály koukat dalekohledem. Za 200Kč (dalekohled postačí od Vietnamců) máte systém, kde M-I-M útok bude nesmírně nákladný a pracný.

Ad 1: Ve clanku neni zduraznene, ze existuji dva kanaly: verejny a kvantovy. V praxi to znamena, ze kvantove se prenasi po vlakne a verejne treba vzduchem - tento verejny kanal nelze (dle predpokledu metody) se 100% ucinnosti falsovat, tedy musi byt na tomto kanalu odstranen problem MIM. Treba prenos pres druzici by mohl byt dostatecne efektivni, dokud MIM nevymeni vlastni druzici :-) Pak se verejnym kanalem overi jak nastaveni polarizace, tak nekolik nahodne zmerenych hodnot klice (ktere se pak z klice vylouci). Pokud tedy ty overovane hodnoty nesedi, nekdo prestrihnul kvantovy kanal a klic nelze prenest.

Body 1 a 2: Prave odposlech tato metoda spolehlive odhali, metoda je zalozena na neurcitosti stavu (jak je v clanku spravne uvedeno), ale take na projekci stavu pri mereni. To znamena nasledujici: stav fotonu (polarizace) se da zjistit minimalne ctyrmi merenimi, pokud vime, ze je linearni, tak staci mereni dve. Pokud byl tedy foton ve stavu X+Y a my zmerime X, bude stav fotonu po mereni X a jiz ne X+Y. Pokud tedy Alice posle prave jeden foton, Eva (ktera je zarlivka a snazi se o utok) nema sanci tento foton detekovat a zaroven zmerit jeho stav! Pokud by Alice poslala dva fotony, jeden muze zmerit Bob a jeden Eva, cimz by mohl byt utok efektivni.

Princip je tedy zalozen na tom, ze se jednotlive fotony nedaji namnozit se 100% ucinnosti, problemem je ovsem to, ze se nedaji take detekovat se 100% ucinnosti a zaroven ne vzdy je vyslan presne jednofotonovy stav (obcas "uniknou" dva a vice fotonu). Takze vse funguje jenom na principu statistiky, takze utok Evy se da v soucasnosti odhalit s pravdepodobnosti neco pres 90%, nikdy ovsem ne 100%.

Ad 3: Asymetricke algoritmy se daji prolomit faktorizaci verejneho klice, kdezto kvantova distribuce klice slouzi k distribuci libovolne posloupnosti bitu, tzn. je odolna proti kvantovemu pocitaci.

Kvantovy pocitac zvladne ulohu v polynomialnim case, pokud by mel stejny pocet qubitu jako klic, pak to zmakne v linearnim case. Pocet qubitu je ale v soucasnosti velky problem. Dalsim problemem jsou sumy, diky cemuz je treba zavest opravne kody a ty celou ulohu vyznamne zeslozituji (aby byl vysledek na 100% spravny, bude slozitost faktorizace opet exponencialni).

Ad 1: Prave proti rozstrihnuti dratu je to navrzeno. Vychazi to z kvantove fyziky a z toho ze prijimate pouze jeden foton, takze mate pouze jeden pokus na prijmuti. Protoze vysilac voli polarizaci nahodne, tak "typek uprostred" nevi, v jake polarizaci ma merit a take ji nahodne zvoli. Vysledek pak muze poslat dal, ale ten jiz bude zatizen chybou. Podle zvysene chybovosti se pak detekuje ze nekdo posloucha a takovy klic se zahodi. (nejsem fyzik, omluvte pripadne nepresnosti)

Ad 2: V clanku je jasne napsano jaky je soucasny pokrok a ze je mozne jiz prenaset tyto fotony na vzdalenosti nekolika kilometru.

Ad 3: Kvantova kryptofrafie je obvykle pouzivana v kombinaci s XOR sifrovanim. Tudiz kazdy bit zpravy ma v podstate jeden unikatni jednobitovy klic. Tzn. vysledek neni rozlustitelny bez klice ani kdyz mate k dispozici neomezenou hrubou vypocetni silu (na rozdil od asymetrickych ci symetrickych sifer). Je to uplne stejne, jako kdyby jste se snazili rozlustit bily sum.
Je to i odolne proti zvysovani vykonu pocitacu, protoze asymetricka ci symetricka komunikace ulozena pred 15 lety je jiz dnes rozloustitelna v rozumnem case. A je mnohdy dulezite mit komunikaci nerozlustitelnou i v budoucnosti (samozrejme to neplati pro bezne uzivatele).

Ad1.: Vzdy, kdyz jsem se bavil s lidmi, co do toho delaji, tak me zajimala odpoved presne na tuto otazku. Pokud si dobre vzpominam na jejich argumentaci, tak je skutecne NUTNE to resit nejakym ze zpusobu, ktere popisujete.

Ad clanek: Proboha proc se z Boba a Alice stal Adam a Barbara?

1. M-I-M ale neni odposlech. M-I-M je, ze misto komunikace A<->B se odehrava komunikace A<->C a C<->B. Pokud A a B o sobe neco nevedi (napr. neco predem dohodnuteho, dalsi kanal nezavisly na C, pripadne nektera z metod zalozena na handshake "po castech"), tak nic nepoznaji. Jak linka A<->C tak linka C<->B mohou byt "neodposlouchavane", takze kvantove stavy zustanou "ciste".

2. Vim, co poslednim odstavcem chcete rict, ale (kontrovezne) s tim nesouhlasim. Bezpecnost je tak slaba jako nejslabsi clanek. Schneier vami uvadeny pristup prirovnava k tomu, ze pred dum zatlucete do zeme kul a diskutujete, zda je lepsi ho mit vysoky jeden nebo dva kilometry, aby ho utocnik nemohl prelezt. Vite, co se stane? Utocnik ho nebude prelezat; on by ho neprelezal, ani kdyby byl jen stometrovy. On ho proste obejde. - DH vymena klicu neni nejslabsi clanek bezpecnosti (pri ni je matematika na vasi strane); posilovat ji proto nema efekt, a koupit $100k ultra-hyper-gadget, ktery ji posili "nejmoderneji - kvantove", je blbost.

Zkusenost prokazuje, ze s vyjimkou malych organizaci je tato "samozrejma" premisa nespravna. Pouze prevadi jeden obtizny problem - jak zjistit, ze protejsek je duveryhodny - na jiny obtizny problem - jak zjistit, ze CA je duveryhodna. Mimochodem, revokaci klice nema v podstate zadny PKI system uspokojive vyresen.

Podrobneji (a ctiveji) rozebreano to najdete treba v Bruce Schneier: Secrets & Lies.

Jak to ze nema? Pomoci DH si navazete bezpecny kanal, ale vubec netusite s kym. V SSL proti "man in the middle" ma fungovat to, ze se vam druha strana prokaze certifikatem, kteremu duverujete - s tim nema DH nic spolecneho.

Ad 1: A to jako jak? Co ctu, tak to je postaveno proti *odposlechu*, ne proti tomu, ze si Jarda sedne doprostred, rozstrihne drat napul, se mnou si domluvi jeden klic a s Janickou druhej.

Ad 2: No, par singlefotonovych systemu jsem v zivote v ruce mel. Ze bych pres neco takoveho chtel prenaset rekneme 256-bitovy klic pro symetrickou sifru - takovy odstup od sumu na singlefotonovem detektoru proste nedostanu. (Takze redundance, opravna data, kdesi cosi - a sance pro utocnika. Neco prehlizim?)

Ad 3: Nikoliv Diffie-Hellman je vymena jednorazovych klicu pres verejny kanal. Po uspesne DH vymene sice nevim, s kym mluvim, ale nikdo treti nasemu rozhovoru nemuze rozumet. Mam za to, ze mi jednofotonova ("kvantova") vymena klicu da presne totez.

Že se dá na kvantovém počítači realizovat faktorizace v čase úměrném O(ln^k n) (tedy polynomiálním vzhledem k délce v bitech), to je jisté. Neví se pouze to, zda je vůbec možné kvantový počítač dostatečného rozsahu prakticky sestavit a udržet v chodu aspoň po dobu nutnou pro provedení výpočtu. Funkční kvantové počítače už sestaveny byly (myslím že u IBM), ale jejich rozsah stačil zatím pouze na faktorizaci čísel 15 a 21.

uvedomme si ale, ze v clanke se mluvi o vyuziti kv.krypt. pro prenos KLICU, ne samotne korespondence, tudiz pokud vymena DH klicu probehla jinym spusobem, tak co se tyce odposlechu komunikace je na tom uplne stejne

no prave, pokud se bavime o kvantove kryptografii, tak jsme ne jine urovni, nez utajeni pred manzelkou korespondence s milenkou - a na teto urovni se vymena a verifikace klicu nerealizuje pomoci Thawte a spol. ;-) - tudiz MIM ostrouha i pri prenosu pres verejnou sit

Jasne, ale chteji mit jistotu, ze ty verejne klice patri tem, kterym maji patrit. Pokud neveri certifikacni autorite nebo nechteji CA pouzivat, neexistuje (vyjma kvantove kryptografie nebo fyzickeho predani) zpusob, jak vyloucit M-I-D pri jejich prenosu napr. skrz verejnou sit.

No podle tohohle http://www.root.cz/clanek/987 více než dva roky starého článku už umí, i když zatím je to stále ještě spíše laboratorní záležitost. Doporučuju rovněž debatu pod článkem.

no, shorova faktorizace je presneji receno polynomialni; na rozdil od exponencialnich uloh se ty polynomialni pokladaji obecne za zvladnutelne (cemuz tedy po pravde receno uplne nerozumim, protoze pri polynomialni-nelinearni variante stejne muzete slozitost zvysovat mnohem rychleji, nez nekdo jiny stihne zrychlovat reseni - zvlast pokud je ten polynom relativne "vysoky")

verejne klice muze znat kazdy, vo tom to asym. sifrovani prave je

Nikoli. Ma se ale zato, ze kvantove pocitace zvladnou faktorizaci v linearnim case (tedy, pokud me me chabe laicke povedomosti o problematice neklamou). Zatim ale nikdo funkcni kvantovy pocitac sestrojit neumi (nebo to velmi dobre taji).

Kdepak, jde prave o to, ze kdyz se A a B rozhodnou, ze se spolu zacnou bavit sifrovane a _neznaji_ verejne klice druhe strany, je problem, jak si je sdelit. Tam je ta sance pro C...

Ani ja nejsem krytograf odbornik (ale jen nekdo, kdo nekoho takoveho zna ;-) ). Rekl bych, ze M-I-M utokem se zabyva tato cast clanku:

To by se ovšem kvůli principu nejistoty odrazilo na samotném systému. Došlo by k naměření jiné hodnoty než nastavené odesílatelem, takže komunikující strany by se o zlomyslném odposlechu dozvěděly prostým porovnáním příslušných hodnot.

Bohuzel, zrovna tady se mi zda, ze doslo k nejakemu zkresleni (mimochodem, "principu nejistoty" se obvykle rika "princip neurcitosti"). Nevidim duvod, proc by utocnik mel namerit jine hodnoty nez by nameril "opravneny" prijemce (kdyby k naruseni nedoslo). To, co prenos chrani je pravidlo, ze merit cokoliv v nejakem systemu nelze bez jeho ovlivneni. Onen "muz uprostred" tedy nemuze analyzovat system, aniz ho tim zmeni. Opravneny prijemce pak nameri jine hodnoty nez byly vyslany, jine, nez by nameril, kdyby k naruseni nedoslo - a k "dohode o klici" pak nedojde. Vzhledem k tomu, ze merenim nelze zjistit kompletni stav systemu (to je prave ten princip neurcitosti) nemuze onen utocnik system "prijmout" vyrobit presnou kopii a tu poslat dal. Prijemce ma moznost si vybrat, jakou metodu mereni zvoli, takze utocnik (ktery nevi, jaka to bude) nevi, v kterem parametru se mu musi podarit zachovat vlastnosti presne a ktere muze "osalamovat" ...

Co se tyce DH - neni na nem v zasade nic spatneho. Jen to, ze kompletni komunikaci lze bez problemu odposlouchavat. I kdyz to nema (teoreticky a za soucasnych znalosti, alespon tech, o kterych se vi, a za soucasne technologie vcetne jejiho predpokladaneho vyvoje) utocnikovi umoznit zjisteni "dohodnuteho" tajemstvi, preci jen je asi nepochybne, ze (i uplne) totez - ale bez moznosti komunikaci nepozorovane odposlechnout - je o dost lepsi ...

Mate pravdu, nechal jsem se chytit za slovo: ale protoze v soucasne dobe je efektivni rozklad prvocisel u jejich velikosti, kterou pouzivame, povazovan za nerealny, da se to myslim oznacit za normalne neprolomitelne.
Mimochodem, pisete, ze vime jak na to: mate na mysli nejake nove postupy v oblasti faktorizace? To by mne zajimalo...
Nebo myslite fakt, ze stroje jsou rychlejsi a rychlejsi?

Ma, pokud bude schopny rychle rozkladat na prvocisla. Coz sice zatim neumime, ale uz vime jak na to. V pripade kvantove kryptografie ale nema sanci z principu prirody.

Jedna drobnost:
Diffie-Hellman je asymetricky algoritmus, ktery jako prvni nabidl prave bezpecnou distribuci klicu. K teto cinnosti je hojne vyuzivan, napr. v ramci protokolu SSL, kde na pocatku komunikace zajistuje tuto funkci.
Takze zadny "man in the middle" zde sanci nema....

1. Je to navrzeno prave proti 'man in the middle'.
2. V podstate ano, potencialni man in the middle narusi puvodni signal a zbytek je na komunikacnim protokolu mezi A a B, aby to poznali anebo jim to nevadilo. V clanku to ale neni rozebrano dostatecne detailne.
3. Pokud mne pamet neklame, Diffie-Hellman je asymetricke sifrovani, ktere ale neresi problem distribuce klicu, takze pri te distribuci by man in the middle prave mel sanci...

Taky nejsem kryptolog a o moc vic uz o tom nevim...

Z clanku nerozumim par vecem:
1. Je to nejak zabezpecitelne proti "man in the middle" utoku? Z popisu se zda, ze jedina obrana proti tomuto utoku je "pre-shared secret"...
2. Rozumim tomu dobre, ze jadro metody je zalozeno na tom, ze se bit posila na jedinem fotonu (takze ho nelze "pulku odposlechnout a pulku poslat dal")?
3. Co presne je na Diffie-Hellmanove algoritmu nebezpecneho, ze je potreba tu komunikaci jeste schovavat do jednofotonoveho prenosu?