L'autenticazione quantistica è il sottocampo della crittografia quantistica che mira ad applicare la teoria dell'informazione quantistica ai fini dell'autenticazione di messaggi quantistici, utenti o dispositivi. Si tratta di un problema distinto dall'autenticazione richiesta nei protocolli QKD, la quale è necessaria sul canale classico e pertanto non richiede nativamente risorse quantistiche.
Dall'avvento della crittografia quantistica sono stati proposti numerosi protocolli di autenticazione, spesso ispirati alle loro controparti nella distribuzione a chiave quantistica. La ricerca in corso mira sia a progettare nuovi schemi sia a implementare sperimentalmente quelli già proposti, superando i vincoli tecnici esistenti, legati per lo più alle tecnologie quantistiche necessarie che sono ancora in fase di sviluppo.
Storia Il primo protocollo di autenticazione quantistica fu proposto nel 1995, basandosi sulloblivious transfer. Successivi risultati nella crittografia quantistica dimostrarono che il trasferimento ignaro a due parti incondizionatamente sicuro in ambito quantistico è impossibile, limitando la fattibilità di tali costruzioni.
I primi lavori affrontarono anche il problema più ampio dell'autenticazione dei messaggi quantistici. Si propose che gli stati quantistici potessero essere autenticati utilizzando tecniche a chiave simmetrica, ma l'autenticazione generale a chiave pubblica quantistica risultò realizzabile senza ulteriori assunzioni o modelli avversari ristretti. Questi risultati influenzarono anche i lavori successivi sulle firme digitali quantistiche, che utilizzavano stati quantistici pre-distribuiti e assunzioni di sicurezza ristrette
La ricerca sull'autenticazione dell'identità quantistica proseguì limitatamente alla fine degli anni '90, seguita poi da un marcato aumento delle proposte a partire dai primi anni 2000. Molti di questi primi protocolli di QIA erano motivati dagli sviluppi nella distribuzione a chiave quantistica e tipicamente assumevano l'esistenza di un entanglement pre-condiviso o di tecniche di codifica coniugata; anche la ricerca sull'autenticazione dei messaggi quantistici e sulle firme digitali proseguì, concentrandosi sulla riduzione dei costi e sulla formalizzazione della sicurezza. Si iniziarono ad esplorare ulteriori tecnologie, come lo swapping di entanglement, l'entanglement multipartito e schemi basati su terze parti fidate. Le analisi di sicurezza migliorarono i risultati chiarendo le limitazioni relative al riutilizzo delle chiavi, alla componibilità e alle assunzioni avversarie.
Tipi di autenticazione quantistica L'autenticazione quantistica comprende diverse aree di ricerca correlate che possono essere distinte in base a ciò che viene autenticato: mentre alcuni protocolli autenticano l'identità di un utente o di una parte comunicante, altri autenticano l'integrità delle informazioni quantistiche trasmesse o forniscono una sicurezza di tipo firma. Sebbene queste aree condividano tecniche crittografiche comuni, affrontano obiettivi di sicurezza diversi e sono spesso studiate in modo indipendente.
Autenticazione dell'identità quantistica L'autenticazione dell'identità quantistica (QIA, dall'inglese Quantum Identity Authentication) mira ad autenticare un utente, un dispositivo o un'altra parte comunicante sfruttando le proprietà della meccanica quantistica. A differenza dell'autenticazione classica, questi protocolli utilizzano stati quantistici durante il processo di autenticazione, consentendo di rilevare tentativi di intercettazione o di impersonificazione attraverso il disturbo introdotto dalle misurazioni quantistiche.
I protocolli QIA possono fornire un'autenticazione a una via, in cui una parte autentica l'altra, oppure un'autenticazione mutua, in cui entrambe le parti verificano l'identità reciproca. Molti schemi sono ispirati all'autenticazione classica di tipo challenge-response (sfida-risposta), adattandoli ai canali di comunicazione quantistica. Possono anche essere classificati come interattivi o non interattivi a seconda che entrambe le parti debbano scambiarsi attivamente informazioni durante la fase di autenticazione.
Autenticazione dei messaggi quantistici Nell'autenticazione dei messaggi quantistici (QMA, dall'inglese Quantum Message Authentication), l'obiettivo è autenticare l'integrità e l'origine delle informazioni quantistiche inviate su un canale quantistico. A differenza dell'autenticazione dei messaggi classica, il messaggio stesso è uno stato quantistico, che in generale non può essere copiato a causa del teorema di no-cloning. Gli schemi di autenticazione dei messaggi quantistici combinano quindi la codifica quantistica con una chiave segreta condivisa, consentendo al ricevente di rilevare qualsiasi modifica o manomissione dello stato trasmesso. Se l'autenticazione fallisce, il ricevente rifiuta il messaggio anziché tentare di recuperarlo.
Un risultato fondamentale di Barnum et al. ha dimostrato che l'autenticazione di stati quantistici arbitrari implica necessariamente la loro crittografia, il che significa che un protocollo in grado di rilevare le manomissioni deve anche nascondere l'informazione quantistica a un avversario; lo stesso lavoro ha inoltre sostenuto che le firme digitali non sottomesse a restrizioni per stati quantistici sconosciuti sono impossibili senza ulteriori assunzioni.
Firme digitali quantistiche Le firme digitali quantistiche (QDS, dall'inglese Quantum Digital Signatures) sono la controparte quantistica delle classiche firme digitali; esse sono destinate a fornire autenticità, integrità e non ripudio, offrendo al contempo una sicurezza basata sulla teoria quantistica anziché su assunzioni computazionali. La maggior parte dei protocolli QDS autentica messaggi classici utilizzando stati quantistici distribuiti durante una fase di configurazione, anziché tentare di firmare direttamente stati quantistici arbitrari: questo le distingue dalla QMA.
Un sistema QDS è composto da tre macchine di Turing quantistiche probabilistiche in tempo polinomiale (, , ), dove è un algoritmo di generazione delle chiavi che, dato in input , restituisce una coppia (s, v) composta da una chiave di firma segreta e una chiave di verifica pubblica, è un algoritmo di firma, e è un algoritmo di verifica tale che per tutti i messaggi e per tutti gli sufficientemente grandi,,dove la probabilità è calcolata sulla casualità interna (classica e quantistica) di (, , ).
Classificazione dei protocolli I protocolli di autenticazione quantistica possono essere classificati lungo molteplici dimensioni indipendenti, comprese le risorse quantistiche che impiegano o la primitiva crittografica sottostante; tali schemi di classificazione non si escludono a vicenda, ma evidenziano diversi aspetti della progettazione del protocollo, che spaziano dai fondamenti teorici ai vincoli pratici di implementazione.
Per primitiva crittografica sottostante I protocolli di autenticazione quantistica possono essere categorizzati in base alla primitiva crittografica classica o quantistica su cui sono costruiti. Molti schemi derivano dalla QKD, riutilizzando la codifica coniugata o stati di tipo BB84: in queste costruzioni, l'autenticazione viene spesso ottenuta come uno strato aggiuntivo sopra l'insediamento della chiave, oppure incorporando le informazioni di autenticazione direttamente negli stati quantistici scambiati durante il protocollo.
Altri approcci si basano su primitive alternative, tra cui la comunicazione quantistica diretta sicura (QSDC), schemi basati sul teletrasporto quantistico, la condivisione segreta quantistica, il confronto privato quantistico e loblivious transfer quantistico. Ciascuna di queste primitive introduce diverse assunzioni strutturali e modelli di comunicazione. Ad esempio, i protocolli di autenticazione basati su QSDC mirano spesso a trasmettere messaggi autenticati direttamente tramite stati quantistici senza prima stabilire una chiave segreta condivisa, mentre le costruzioni basate sulla condivisione segreta distribuiscono le informazioni di autenticazione tra più parti per impedire la falsificazione o l'impersonificazione unilaterale.
Queste diverse categorie portano a compromessi distinti in termini di complessità di comunicazione, utilizzo del canale quantistico e assunzioni di fiducia: ad esempio, i protocolli basati sul teletrasporto o sulla distribuzione dell'entanglement possono offrire garanzie teoriche più forti o funzionalità più ricche, ma richiedono tipicamente infrastrutture più esigenti, come una distribuzione dell'entanglement affidabile e la sincronizzazione tra i partecipanti.
Per risorse quantistiche
Un'altra classificazione considera le risorse quantistiche fisiche richieste per l'esecuzione del protocollo. Le prime proposte di autenticazione quantistica si basavano frequentemente sull'entanglement pre-condiviso, in particolare sulle coppie di Bell, come risorsa fondamentale per stabilire correlazioni che non possono essere replicate classicamente: questi schemi basati su coppie entangled spesso assumono che l'entanglement sia distribuito in anticipo tra le parti legittime e successivamente consumato durante l'autenticazione.
Ricerche successive hanno esteso queste idee a strutture di entanglement multipartito, come gli stati di Greenberger-Horne-Zeilinger (GHZ), che consentono schemi di autenticazione che coinvolgono più partecipanti o processi di verifica distribuiti. Costruzioni più sofisticate incorporano anche lo swapping di entanglement, consentendo di agganciare dinamicamente parti che non hanno mai interagito direttamente direttamente.
Al contrario, un'ampia famiglia di protocolli più pratici evita l'entanglement, affidandosi invece a implementazioni a singolo fotone o a impulsi coerenti deboli, che sono significativamente più facili da realizzare sperimentalmente utilizzando le tecnologie ottiche esistenti. Questi schemi sono spesso più vicini alle implementazioni QKD e risultano maggiormente compatibili con l'attuale infrastruttura in fibra ottica.
Sviluppi più recenti includono modelli di autenticazione semi-quantistica, in cui solo una parte (tipicamente il mittente o l'autorità fidata) richiede piene capacità quantistiche, mentre gli altri partecipanti sono limitati a operazioni classiche come la riflessione, la misurazione in una base fissa o la comunicazione classica. Questo approccio riduce i requisiti hardware e amplia i potenziali scenari di implementazione.
Inoltre, nuove direzioni di ricerca esplorano una controparte quantistica delle funzioni fisiche non clonabili (PUF), in cui sistemi quantistici intrinsecamente rumorosi o complessi fungono da impronte digitali specifiche del dispositivo. Questi approcci basati su PUF quantistiche mirano a fornire meccanismi di autenticazione leggeri radicati nell'unicità fisica piuttosto che nel calcolo crittografico.
Ulteriormente, anche la verifica della posizione quantistica viene esplorata come strumento per l'autenticazione dell'identità.
Sicurezza La sicurezza dei protocolli di autenticazione quantistica deriva dalle proprietà fondamentali della meccanica quantistica anziché da assunzioni computazionali. Il teorema di no-cloning impedisce a un attaccante di creare copie di stati quantistici sconosciuti, e qualsiasi misurazione disturba il sistema misurato: qualsiasi tentativo di intercettazione o manomissione viene così rilevato. Ciò impedisce agli avversari di replicare perfettamente i token di autenticazione codificati nell'informazione quantistica.