Autor: Zen y el arte de la programación informática
1. Introducción
La distribución de claves cuánticas (QKD) es un protocolo de comunicación cifrado que permite a dos partes establecer un proceso de emparejamiento de claves seguro. Utiliza tecnología cuántica y principios de criptografía para una transmisión de datos segura y confiable al tiempo que reduce el costo de los enlaces de comunicación. Los protocolos tradicionales de intercambio de claves RSA, ECC o Diffie-Hellman se basan en funciones de generación de claves, mientras que QKD utiliza tecnología de computación cuántica para generar claves compartidas. Sus ventajas radican principalmente en baja latencia, alta eficiencia, seguridad, etc. Actualmente, los principales proveedores de servicios en la nube, como AWS, Azure y Google Cloud Platform, ofrecen soluciones de administración de claves basadas en QKD, como AWS Key Management Service (KMS), Google Cloud HSM y Microsoft Azure Key Vault.
Este artículo presentará en detalle la tecnología QKD y su implementación. Primero, se presentan los conceptos básicos de las redes de comunicación cuánticas y la tecnología QKD, incluidos conceptos y términos como codificación de corrección de errores, estados de Bell, qubits, puertas cuánticas, entrelazamiento cuántico, circuitos cuánticos y recursos cuánticos. Luego, presenta el soporte de AWS KMS para QKD y se centra en su mecanismo y principios de trabajo. Finalmente, se presenta Open Quantum Safe, una solución de cifrado de extremo a extremo proporcionada por la comunidad de código abierto, para discutir la aplicación de QKD en entornos de nube.
2. Explicación de conceptos y términos básicos
2.1 Red de comunicación cuántica
La red de comunicación cuántica se refiere a un sistema de comunicación construido con tecnología cuántica. Los sistemas de comunicación tradicionales se basan en ondas electromagnéticas para transmitir información, mientras que la comunicación cuántica se basa en canales cuánticos. Las redes de comunicación cuántica suelen consistir en nodos cuánticos, o nodos cuánticos, cada uno de los cuales puede enviar o recibir información de uno o más qubits.
Los dos elementos más importantes de una red de comunicación cuántica son los nodos cuánticos y los canales cuánticos. Los nodos cuánticos son generalmente equipos experimentales físicos con posiciones y direcciones fijas que pueden usarse para almacenar y procesar información cuántica. Pueden ser tubos cuánticos superconductores, acopladores de fotones o núcleos atómicos.
Un canal cuántico es un medio no estructurado construido utilizando tecnología de radio o radiofrecuencia, y su longitud puede alcanzar miles de kilómetros o incluso decenas de miles de kilómetros. Puede albergar un número extremadamente grande de qubits y, por tanto, puede utilizarse para transmitir grandes cantidades de información cuántica. Los canales cuánticos se pueden construir utilizando fibra óptica, nanotubos, lidar y otros métodos. Las redes de comunicación cuántica también deben considerar medidas de protección para evitar que los nodos cuánticos sean manipulados, dañados o perdidos.
2.2 Estados de Bell y qubits
El estado de Bell es un estado cuántico especial que consta de dos estados superpuestos, llamados Psi+ y Psi-, cuya superposición produce un nuevo estado cuántico. En las redes de comunicación cuánticas, el estado de Bell también se denomina estado EPR (par de fotones enredados). Los estados EPR se pueden utilizar en protocolos de emparejamiento de claves cuánticas, donde Alice y Bob interactúan para generar estados EPR y luego envían sus respectivas claves a través de la red de comunicación cuántica. El estado EPR es la superposición de dos estados Bell independientes.
Los qubits son unidades de comunicación importantes en las redes de comunicación cuánticas y pueden utilizarse para almacenar y transmitir información. Cada qubit es un estado de superposición y tiene dos estados cuánticos, a saber, |0〉 y |1〉. Estos dos estados se obtienen mediante superposición. A este estado lo llamamos qubit.
Un qubit puede verse como una combinación lógica de dos registros, donde el primer registro es el estado |0> o |1>, y el segundo registro es el resultado de la operación bajo la acción de la puerta cuántica controlada. Juntos, estos dos registros determinan el estado del qubit. Los mensajes en una red de comunicación cuántica son las interacciones entre estos qubits.
2.3 Puerta cuántica
Las puertas cuánticas son los componentes más básicos de las redes de comunicación cuánticas. Cualquier puerta cuántica puede verse como una operación matricial de dos partes. La primera parte es una caja de control que activa o desactiva selectivamente los qubits. La segunda parte es un cuadro aritmético que se utiliza para transformar el estado del qubit.
Se han propuesto una variedad de puertas cuánticas, como las puertas CX, CZ, Hadamard, Pauli, etc. Estas puertas están diseñadas para cumplir un propósito específico. Por ejemplo, la puerta CX puede implementar la función de la puerta lógica CNOT y la puerta CZ puede implementar la función de la puerta lógica CZ. Por supuesto, existen muchos otros tipos de puertas cuánticas y tienen diferentes propósitos.
2.4 Entrelazamiento cuántico
El entrelazamiento cuántico se refiere a una cierta correlación entre dos qubits en una red de comunicación cuántica, de modo que la información transmitida entre ellos se afecta entre sí. Cuando hay un entrelazamiento entre dos qubits, la comunicación entre ellos ya no es unidireccional y cerrada, sino que pueden transferirse información entre sí.
El entrelazamiento cuántico se logra actuando sobre puertas cuánticas específicas. Actualmente, los protocolos de entrelazamiento cuántico existentes incluyen el protocolo Z-guessing, el protocolo BBPSSW, el protocolo CPHG, etc. Estos protocolos se basan en modelos específicos de entrelazamiento cuántico: de acuerdo con las reglas del protocolo, se selecciona la puerta cuántica correspondiente como medio para la conexión del entrelazamiento.
2.5 Circuitos cuánticos
Un circuito cuántico es el camino entre bits y qubits clásicos en una red de comunicación cuántica. Un circuito cuántico puede estar compuesto por una serie de puertas cuánticas y qubits correspondientes a la entrada y la salida. Un circuito cuántico puede verse como un vínculo en la transmisión, recopilación y procesamiento de información cuántica.
2.6 Recursos cuánticos
Los recursos cuánticos se refieren a recursos físicos y informáticos que se pueden utilizar en la producción o simulación real. Para las redes de comunicación cuánticas, los recursos cuánticos incluyen principalmente los siguientes aspectos:
Número de qubits disponibles: el número de qubits que se pueden integrar en un nodo cuántico es limitado. Actualmente, las principales redes de comunicación cuántica utilizan núcleos atómicos o circuitos integrados como nodos cuánticos. Cada circuito cuántico puede acumular cientos o miles de qubits, por lo que los recursos cuánticos son valiosos.
Número de canales cuánticos disponibles: el número de canales cuánticos a los que se puede vincular un nodo cuántico también es limitado. Actualmente, las redes de comunicación cuántica basadas en fotones pueden acomodar decenas de miles de canales cuánticos, pero aún requieren una inversión significativa para obtenerlas.
Computadoras cuánticas programables: Se estima que en los próximos tres a cinco años, el número de computadoras cuánticas en el campo de las comunicaciones cuánticas puede exceder al de las computadoras informáticas generales. Un número cada vez mayor de investigadores está trabajando en el desarrollo de chips con capacidades de computación cuántica.
3. El proveedor de servicios en la nube KMS admite QKD
El servicio KMS proporcionado por Amazon Web Services (AWS) implementa la solución de administración de claves basada en QKD de la plataforma en la nube de AWS. KMS puede ayudar a los usuarios a crear y administrar claves en la nube y proporciona una API completa y un conjunto de herramientas para la comodidad del usuario.
3.1 Arquitectura del servicio KMS
El diagrama de arquitectura del servicio KMS es el siguiente:
El servicio KMS consta de cuatro partes principales:
Interfaz de usuario: proporciona una interfaz de usuario para los servicios KMS, incluida la función de administrar claves.
Procesador de solicitudes: recibe las solicitudes de los clientes y las convierte en procesamiento de back-end.
Generador de claves: se utiliza para generar pares de claves ECDSA, RSA o Diffie-Hellman.
Almacenamiento de claves: donde se almacenan las claves. Las claves se pueden guardar en un módulo de seguridad de hardware (HSM), un repositorio de claves de software o en la nube.
3.2 Proceso de generación de claves KMS
El proceso de generación de claves de KMS es el siguiente:
Crear material de claves: los clientes pueden usar el SDK, la CLI o la consola de KMS para crear material de claves, como un par de claves pública/privada ECC o RSA, o una clave pública de curva elíptica X25519. Estos materiales contienen datos sin procesar, así como hashes firmados y cifrados.
Enviar material de claves a KMS: el cliente envía una solicitud HTTP que contiene el material de claves, solicitando la creación de una nueva clave.
Generar par de claves: KMS generará un número aleatorio y utilizará los datos originales y el número aleatorio proporcionados por el cliente para generar la clave.
Clave de retorno: KMS devolverá una clave que contiene la clave pública, la clave privada, el ID de CMK, el tiempo de vencimiento y el ARN (nombre del recurso de Amazon) de la clave.
3.3 Almacenamiento de claves KMS
KMS admite tres tipos de almacenamiento de claves:
Claves administradas de AWS KMS: este es el tipo de almacenamiento de claves predeterminado. Se almacena en un HSM dentro de AWS para lograr el más alto nivel de seguridad.
Claves maestras del cliente (CMK): este es otro tipo de almacenamiento de claves opcional. Una CMK es solo un conjunto de claves de cifrado, independientemente de los permisos de acceso a los datos. Los clientes son libres de colocar CMK en diferentes regiones y cuentas.
Claves externas almacenadas en depósitos de Amazon S3: este tipo de almacenamiento de claves permite a los clientes alojar sus propias claves. Los clientes pueden almacenar sus propias claves en un depósito de Amazon S3 y KMS las leerá y las administrará.
3.4 Estrategia de servicio KMS
El servicio KMS admite dos estrategias:
Políticas de IAM: las políticas de IAM controlan el acceso a los servicios KMS. Estas políticas se pueden especificar para un usuario o rol de IAM específico o para toda la cuenta de AWS.
Política de claves: la política de claves especifica los permisos de acceso y las restricciones de uso de la clave. Cuando un consumidor intenta realizar una operación en una clave, KMS verifica si su política le permite realizar la operación.
3.5 Rotación de claves
KMS admite la rotación automática de claves y notifica a los usuarios con anticipación antes de que caduquen. El proceso de rotación de claves es el siguiente:
KMS ha detectado que la clave está a punto de caducar.
KMS marca la siguiente clave como activa y desactiva la clave actual.
Si un usuario intenta utilizar una clave caducada, KMS rechazará su solicitud.
Las claves caducadas se eliminan automáticamente después de un período específico.
4. Abra la solución de cifrado de extremo a extremo Quantum Safe
Open Quantum Safe es un proyecto de código abierto destinado a desarrollar soluciones de comunicación cuántica seguras, de código abierto y disponibles comercialmente. Proporciona SDK gratuito e implementación de referencia, y admite varios protocolos de comunicación cuántica, incluidos BB84, E91, MWPM, etc.
4.1 Protocolo de emparejamiento de claves cuánticas BB84
El protocolo de emparejamiento de claves cuánticas BB84 (Bell – Bennett – Booker, BB84) es el primer protocolo de emparejamiento de claves cuánticas. Utiliza dos partes para intercambiar claves de cifrado con la ayuda de Bell Gates. BB84 se caracteriza por ser fácil de entender e implementar y tiene fuertes capacidades antiinterferentes.
4.2 Seguridad de BB84
El protocolo de emparejamiento de claves cuánticas BB84 es el primer protocolo de emparejamiento de claves cuánticas probado con buena seguridad. El protocolo utiliza una red de comunicación cuántica para completar el emparejamiento de claves sin la participación de partes físicas. Además, el protocolo también tiene una alta capacidad y confiabilidad antiinterferencias. Sin embargo, BB84 no puede garantizar que se pueda confiar en terceros. Por lo tanto, este protocolo generalmente sólo es adecuado para escenarios de comunicación encubierta.
4.3 Implementación de BB84 por parte de OQS
El proyecto OQS proporciona una implementación de referencia del protocolo de emparejamiento de claves cuánticas BB84. Su implementación utiliza bibliotecas de algoritmos OpenSSL, LibSodium y SWIFFT. LibSodium se utiliza para generar números aleatorios de alta entropía y la biblioteca de algoritmos SWIFFT se utiliza para la computación cuántica rápida.
La capa de aplicación puede llamar a la API proporcionada por LibSodium para generar claves de cifrado, cifrar y descifrar datos. Además, proporciona API de firma y verificación para autenticar datos.
4.4 Planes futuros para OQS
Los planes futuros para OQS incluyen lo siguiente:
Agregue más protocolos de comunicación cuántica, incluidos ADIAKON, protocolo Möttönen-Wilson, código Steane, etc.
Mejorar el rendimiento de la implementación, la corrección de errores y la ocultación.
Mejore la calidad del código y la cobertura de las pruebas para garantizar la confiabilidad y seguridad del protocolo.
Resumir
Este artículo presenta la tecnología QKD, términos clave, proveedores de servicios en la nube relacionados y soluciones de código abierto. El protocolo KMS proporciona funciones como generación, almacenamiento, gestión y rotación de claves cuánticas en la nube. El proyecto OQS proporciona soluciones de cifrado de extremo a extremo para comunicaciones cuánticas y encubiertas.