DE69415815T2 - System und verfahren zur schlüsselverteilung unter verwendung von quanten-kryptographie - Google Patents

Description

• Die vorliegende Erfindung bezieht sich auf ein System zum Austauschen von verschlüsselten Daten unter Verwendung der Quantenkryptographie.
• Bei der Quantenkryptographie werden Daten beim Sender verschlüsselt und beim Empfänger verschlüsselt, wobei einige spezielle Algorithmen verwendet werden, die als für alle Nutzer des Systems frei verfügbar angenommen werden. Die Sicherheit des Systems hängt von dem Schlüssel zu dem Algorithmus ab, der nur authorisierten Nutzern zur Verfügung steht. Hierzu wird der Schlüssel über einen sicheren Quantenkanal ausgetauscht, welches ein Kanal ist, der auf Einphotonensignalen basiert und nicht-klassisches Verhalten zeigt, was weiter unten erläutert wird. Auf dem Quantenkanal kann die Anwesenheit eines Lauschers durch die Änderung der Statistiken der empfangenen Daten ermittelt werden.
• Bisher enthielten Kommunikationsverfahren unter Verwendung der Quantenkryptographie die Schritte:
• (a) zufälliges Auswählen eines von mehreren Codierungsalphabeten, die unterschiedlichen, nicht-kommutierenden quantenmechanischen Operatoren entsprechen, und Codieren eines Signals für die Übertragung auf dem Quantenkanal unter Verwendung des ausgewählten Operators,
• (b) zufälliges Auswählen eines der unterschiedlichen quantenmechanischen Operatoren und Verwendung dieses Operators zum Erfassen des in Schritt (a) übermittelten Signals,
• (c) Wiederholen der Schritte (a) und (b) für jedes einer Vielzahl von nachfolgenden Signalen,
• (d) unabhängiges Kommunizieren zwischen Sender und Empfänger der Verschlüsselungsalphabete, um zu bestimmen, für welches der übertragenen Signale gemeinsame Operatoren für das Übertragen und das Erfassen ausgewählt wurden,
• (e) Vergleichen der in Schritt (a) und (b) übertragenen und erfaßten Signale, um irgendeine Diskrepanz zu erfassen, die aus der Anwesenheit eines Lauschers resultiert, und
• (f) Verwenden wenigstens einiger der in den Schritten (a) und (b) übertragenen Daten als Schlüssel für die Verschlüsselung/Entschlüsselung der nachfolgenden Datenübertragungen zwischen zwei Nutzern des Kanals für den Fall, daß in Schritt (e) kein Lauscher erfaßt worden ist. Dieses Schema ist im einzelnen in C. H. Bennett, G. Brassard, S. Breidbart und S. Wiesner in "Advances in cryptology: Proceedings of Crypto'82, (Plenum, New York, 1983); C. H. Bennett und G. Brassard, IBM Technical Disclosure Bulletin, 28 3153, (1985), beschrieben. Üblicherweise wurde das Verfahren nur bei einem einzelnen Sender und Empfänger angewendet. Unsere ebenfalls anhängige internationale Anmeldung mit dem Titel "Quantum Cryptography on a Multiple Access Network", die heute eingereicht wurde (WO-A-9507582, veröffentlicht am 16.3.1995), beschreibt die Ausweitung solcher Techniken auf Mehrfachzugriffssysteme mit mehreren Empfängern.
• Gemäß einem ersten Aspekt der vorliegenden Erfindung ist ein Verfahren zum Austauschen eines Schlüssels zwischen einem Sender und einem Empfänger mittels Quantenkryptographie dadurch gekennzeichnet, daß das Verfahren die Anfangsschritte umfaßt:
• (a) Ausgeben eines Einphotonensignals,
• (b) Modulieren des Einphotonensignals beim Empfänger und Zurücksenden des modulierten Signals zum Sender und
• (c) Erfassen des zurückgesendeten Signals, das durch den Empfänger in Schritt (b) moduliert worden ist, bei dem Sender.
• Vorzugsweise wird in Schritt (a) das Einphotonensignal von dem Sender ausgegeben, aber alternativ kann eine separate Quelle für das Ausgeben des Signals verwendet werden.
• Das Verfahren gemäß der vorliegenden Erfindung ermöglicht eine dramatische Reduzierung der Kosten und Komplexität des Kommunikationssystems. Selbst bei einem System mit einem einzelnen Sender und Empfänger kommt es zu signifikanten Einsparungen, aber die Einsparungen kommen besonders zum Tragen bei einem Vielfachzugriffssystem. Bisher wurde es bei der Verwendung des konventionellen Quantenkryptographieverfahrens, das oben beschrieben wurde, notwendig, für jeden Empfänger sowohl einen Modulator zum Auswählen der Meßbasis als auch einen Einphotonendetektor zum Registrieren des Ergebnisses der Messung vorzusehen. Aufgrund der vorliegenden Erfindung ist es jedoch nicht mehr nötig, für den Empfänger einen Einphotonendetektor vorzusehen, und die Erzeugung des Einphotonensignals und das Erfassen des Einphotonensignals kann beidesmal in dem Sender durchgeführt werden. Der Empfänger muß anstelle der destruktiven Erfassung des ankommenden Signals wie zuvor nur das Signal modulieren und es zum Sender zurückschicken. Dies kann mit inline-Modulatoren erreicht werden, z. B. Phasen- oder Polarisationsmodulatoren, entweder bei einer Ring-Architektur oder alternativ einer sternförmigen, baumförmigen oder Bus- Architektur mit reflektiven Modulatoren bei jedem Empfänger.
• Ein weiterer Vorteil der vorliegenden Erfindung besteht darin, daß die Verwendung einer Kanaleichfunktion möglich wird, wie sie in der ebenfalls anhängigen internationalen Anmeldung PCT/GB93/02637 (WO94/15422, veröffentlicht am 7.07.1994) des Anmelders beschrieben wird, wobei diese Funktion auf den Sender beschränkt ist, anstatt daß sie über das Netz von dem Sender bei jedem Empfänger ausgeführt werden muß.
• Die Einphotonensignale, die ursprünglich auf dem Quantenkanal ausgegeben werden, können unmoduliert sein, so daß in diesem Fall der Empfänger (zufällig oder auf einer Basis quasi zufälliger Statistiken) eines von mehreren Verschlüsselungsalphabeten auswählen kann, das unterschiedlichen, nicht-kommutierenden quantenmechanischen Operatoren entspricht.
• Wie in unseren obengenannten ebenfalls anhängigen Anmeldungen erläutert, können Einphotonenpulse von einer parametrischen Verstärkerquelle stammen, oder als Alternative können schwache Lichtpulse von einem abgeschwächten Laser stammen, die im allgemeinen nicht mehr als ein und im Durchschnitt wesentlich weniger als ein Photon pro Puls enthalten. Beide Typen von Pulsen haben die erforderlichen quantenmechanischen Eigenschaften, und der Ausdruck "Einphotonenpuls" wird hier verwendet, um alle derartigen Pulse zu bezeichnen, unabhängig davon, wie sie erzeugt worden sind. Die Pulse werden in unterschiedlichen Phasen- oder Polarisationszuständen erzeugt.
• Während das in diesem Aspekt der Erfindung übernommene Protokoll implementiert werden kann, indem der Sender unmodulierte einzelne Photonen ausgibt, ist eine weitere Steigerung der Sicherheit erreichbar, wenn der Sender die Photonen moduliert, bevor sie für den Empfänger ausgegeben werden. Der Sender kann z. B. ein Netz-Server oder eine "Steuerung" mit sowohl einem Sendeabschnitt als auch einem Detektorabschnitt sein. Wie zuvor moduliert der Empfänger dann das empfangene Photon nicht-destruktiv und schickt es an den Sender zurück. Die Modulation beim Empfänger hat die Form einer zusätzlichen Modulation, z. B. einer Phasenverschiebung, zusätzlich zu der ursprünglich durch die Steuerung aufgezwungenen. Der Sendeabschnitt der Steuerung kann z. B. zwei Codierungsbasen mit vier möglichen Phasenzuständen - insgesamt BASIS 1 : 0º = 0, 180º = 1, BASIS 2 : 90º = 0, 270º = 1 - verwenden, und der Detektorabschnitt kann zwei Meßbasen verwenden - BASIS 1 : 0º, BASIS 2 : 90º.
• Im Betrieb codiert der Sendeabschnitt der Steuerung jedes Photon zufällig mit einem der vier Phasenzustände und wählt zufällig eine der zwei Basen für die Messung des Photons in ihrem Empfängerabschnitt nach Fortpflanzung durch das Netz aus. Während des Schlüsselaustauschs moduliert ein gegebener Nutzer Ri zufällig jedes Photon mit Phasenverschiebungen, z. B. phi = 0º oder 90º, d. h. es werden zwei Phasenverschiebungen verwendet, die Symbolen unterschiedlicher Verschlüsselungsalphabete entsprechen (wobei "Verschlüsselung" sich hier wie oben auf das Codieren bezieht, das bei dem Schlüsselaustauschverfahren verwendet wird). Nach dem Absenden analysiert die Steuerung die empfangenen Daten in bezug auf die deterministischen Ereignisse mit den Typen, die unten aufgelistet sind, wodurch die Einstellung des Modulators von Ri unzweideutig offenbart wird:
• (hier bedeutet D (disagree), daß das gesendete Bit nicht dem empfangenen Bit gleicht, und A (agree) bedeutet, daß das gesendete Bit dem empfangenen Bit entspricht).
• Die Steuerung hat Basis 1 zum Senden und Empfangen verwendet: D bedeutet, daß die Phasenverschiebung beim Nutzer = 90º,
• die Steuerung hat Basis 1 zum Senden und Basis 2 zum Empfangen verwendet: D bedeutet, daß die Phasenverschiebung beim Nutzer = 0º,
• die Steuerung hat Basis 2 zum Senden und Empfangen verwendet: D bedeutet, daß die Phasenverschiebung beim Nutzer = 90º,
• die Steuerung hat Basis 2 zum Senden und Basis 1 zum Empfangen verwendet: A bedeutet, daß die Phasenverschiebung beim Nutzer = 0º.
• Die Steuerung behält diese Daten, die im Mittel zu einem von 4 der empfangenen Bits passen, und verwirft den Rest, und sie vervollständigt das Protokoll, indem öffentlich Ri die Zeitfenster mitgeteilt werden, in welchen diese Ereignisse aufgetreten sind. Die Steuerung und Ri können nun die Zuordnung 0º = 0, 90º = 1 z. B. verwenden, um einen gemeinsamen Schlüssel zu erzeugen. Wenn ein Lauscher in das Netz an irgendeinem Punkt eingebrochen ist oder das System verrauscht ist (was in der Praxis immer der Fall ist), so wird der Schlüssel Fehler enthalten. Die Steuerung und Ri überprüfen diese Fehlerrate während der öffentlichen Diskussion und verwerfen entweder die Übertragung, wenn der Pegel durch Lauscher zu hoch ist, oder verwenden Fehlerkorrektur und Geheimhaltungsverbesserung, um einen kürzeren hochgeheimen Schlüssel zu erzeugen. Man beachte, daß bei dem vorliegenden Schema der Schlüsselaustausch sequentiell mit jedem Nutzer im Netz durchgeführt wird. Wenn jedoch irgendein anderer Nutzer Ri synchron Modulationen während des Schlüsselaustauschs mit Ri durchführt, würde dies über eine erhöhte Fehlerrate genau wie in dem Fall eines Lauschangriffs erfaßt werden. Dieses Schema hat den zusätzlichen Vorteil, daß der Empfänger nur zwei mögliche Phasenverschiebungen und nicht vier vorsehen muß, wodurch die Treiberanforderungen für den Modulator vereinfacht werden.
• Bei einem zweiten Aspekt der vorliegenden Erfindung wird wieder ein zurückgeschleifter Pfad von dem Empfänger zum Sender verwendet. Bei diesem Aspekt ähnelt der Betrieb des Systems der konventionellen Quantenkryptographie insofern, als der Sender ursprünglich ein ausgegebenes Einphotonensignal unter Verwendung eines zufällig ausgewählten Verschlüsselungsalphabets moduliert, und daß wenigstens einige der Signale, die auf diese Art moduliert wurden, destruktiv von einem oder mehreren Empfängern erfaßt werden.
• Gemäß dem zweiten Aspekt der vorliegenden Erfindung wird ein Verfahren zum Austauschen eines Schlüssels zwischen einem Sender und einem Empfänger mittels Quantenkryptographie vorgeschlagen, das gekennzeichnet ist durch Zurücksenden wenigstens einiger der codierten Einphotonensignale, die durch den Sender ausgegeben wurden, an den Sender und nachfolgend das Vergleichen der Zustände der Signale, die übermittelt und von dem Sender empfangen wurden, wobei die Anwesenheit eines Lauschers erfaßt wird, der das Signal abfängt.
• Andere Einphotonensignale können destruktiv vom Empfänger erfaßt werden.
• Dieser Aspekt der vorliegenden Erfindung kann bei einem einzelnen Sender/Empfänger-Paar verwendet werden, aber wiederum ist der Vorteil besonders groß, wenn ein Vielfachzugriffsnetz vorliegt, wie es offenbart und beansprucht ist in der momentan ebenfalls anhängigen internationalen Anmeldung WO-A-9507582 von dem Anmelder, die am 16.03.1995 veröffentlicht worden ist.
• Bei der Verwendung der konventionellen Quantenkryptographie, bei der es nur zuverlässig möglich ist, einen Lauscher zu erfassen, der in den Quantenkanal einbricht, kann ein Lauscher die Erfassung umgehen, wenn er sowohl den Quantenkanal als auch den öffentlichen (klassischen) Kanal abfängt und den legitimen Empfänger gegenüber dem Sender und den Sender gegenüber dem Empfänger imitiert. Wenn dieser Aspekt der vorliegenden Erfindung jedoch Anwendung findet, ist der Teil des öffentlichen Kanals für den Vergleich der übermittelten und empfangenen Daten effektiv in dem Sender integriert. Dadurch wird erfolgreiche, unentdeckte Intervention durch einen Lauscher sehr viel schwieriger. Wie im Fall des standardmäßigen point-to-point-Schemas kann das schleifenförmige Netz vollständig gegen diesen Angriff auf beide Kanäle durch Verwendung von sicheren Authentifizierungsprozeduren, die in Bennett/Brassard IBM Technical Disclosure Bulletin beschrieben sind, abgesichert werden.
• Gemäß einem dritten Aspekt der vorliegenden Erfindung wird ein Kommunikationssystem für ein Verfahren der Quantenkryptographie mit einem Sender, einem oder mehreren Empfängern, einem Netz, das den Sender mit jedem der Empfänger verbindet, und einer Quelle zum Erzeugen eines Einphotonensignals vorgeschlagen, das dadurch gekennzeichnet ist, daß der oder die Empfänger einen Modulator umfassen, der so aufgebaut ist, daß er ein Einphotonensignal, das von der Quelle empfangen wurde, mittels eines gewählten Modulationszustandes moduliert, und so aufgebaut ist, daß er das modulierte Einphotonensignal zu dem Sender zurücksendet, und daß der Sender einen Einphotonendetektor umfaßt, der so aufgebaut ist, daß er das zurückgesendete Einphotonensignal erfaßt.
• Gemäß einem vierten Aspekt der vorliegenden Erfindung wird ein Kommunikationssystem für ein Verfahren der Quantenkryptographie mit einem Sender, einem oder mehreren Empfängern und einem Netz, das den Sender mit dem oder jedem Empfänger verbindet, wobei der Sender eine Vorrichtung zum Erzeugen eines Einphotonensignals und zum Modulieren des Einphotonensignals mittels eines ausgewählten Verschlüsselungsalphabets umfaßt, wobei der oder jeder Empfänger einen Einphotonendetektor zum Erfassen eines Einphotonensignals von dem Empfänger umfaßt, vorgeschlagen,
• das dadurch gekennzeichnet ist, daß das Netz einen zurückgeschleiften Pfad zum Zurücksenden zu dem Sender wenigstens einiger der Einphotonensignale, die vom Sender ausgegeben wurden, umfaßt, und daß der Sender einen Einphotonendetektor umfaßt, der so aufgebaut ist, daß er das zurückgesendete Einphotonensignal erfaßt, wobei bei dem Betrieb der Sender die Zustände der Einphotonensignale vergleicht, wie sie gesendet und zurückgesendet wurden.
• Systeme, die die unterschiedlichen Aspekte der vorliegenden Erfindung verkörpern, werden im folgenden im einzelnen als Beispiel mit Bezug auf die beigefügten Zeichnungen beschrieben.
• Fig. 1 ist ein Blockdiagramm eines ringförmigen Netzes als Ausführungsform des ersten Aspektes der vorliegenden Erfindung.
• Fig. 2 ist ein Blockdiagramm eines Einphotonendetektors zur Verwendung in dem Netz nach Fig. 1.
• Fig. 3 ist ein Blockdiagramm eines ringförmigen Netzes als Ausführungsform des zweiten Aspektes der vorliegenden Erfindung.
• Fig. 4a und 4b sind Blockdiagramme, die das Eindringen eines Lauschers in einer point-to-point-Verbindung bzw. einem ringförmigen Netz darstellen.
• Fig. 5a und 5b zeigen eine Ausgangsstufe eines Senders bzw. eines Empfängers.
• Fig. 6 ist ein Blockdiagramm eines Empfängers zur Verwendung in den Netzen gemäß den Fig. 3 und 5.
• Fig. 7 ist ein Blockdiagramm, das ein verzweigtes Netz darstellt, in dem der i-te Empfänger zu dem Sender zurückgeschleift wird, und
• Fig. 8 ist ein Flußdiagramm.
• Wie in Fig. 1 gezeigt umfaßt ein Kommunikationssystem einen Sender oder "Vermittlung/Steuerung" T, der mit drei Empfängern R1-R3 über ein passives optisches Netz N mit Ring-Topologie verbunden ist. Der Sender T umfaßt sowohl eine Quantenkanalquelle 1 zur Verwendung bei der Einrichtung eines Schlüssels mittels Quantenkryptographie, was weiter unten beschrieben wird, als auch eine konventionelle intensitätsmodulierte Quelle für das Ausgeben eines Signals, das den konventionellen Verkehr überträgt. Die Quantenkanalquelle 1 und die Standardquelle 4 arbeiten auf unterschiedlichen Wellenlängen λq bzw. λs. Der Ausgang der Quantenquelle 1 durchläuft einen schaltbaren Abschwächer 9 und einen Polarisator und ein Bandpaßfilter 8, das auf die Quantenkanalwellenlänge λq eingestellt ist.
• Jeder Empfänger umfaßt einen ersten Standarddetektor 5 für den Signalkanal bei λs, einen Detektor 10 für Mehrphotonen- Zeitgebersignale auf der Quantenkanalwellenlänge λq und einen Modulator 2, der bei dem vorliegenden Beispiel ein Polarisationsmodulator ist. Der Taktdetektor 10 ist mit dem Netz N über einen Faserkoppler 11 verbunden, der einen schwachen Abgriff bei λq darstellt. Der Detektor 5 für die Signalwellenlänge wird mit dem Netz über einen WDM- (wavelength divison multiplexer-)Koppler 7 verbunden. Der WDM ist ein Faserkoppler mit einer wellenlängenabhängigen Kopplungscharakteristik. In dem vorliegenden Fall stellt der WDM idealerweise eine durchlaufende Verbindung für den Quantenkanal dar, d. h. der Koppelanteil aus der Schleife heraus ist klein bei λq, während der Koppelanteil bei der Signalwellenlänge λs einen sehr viel größeren Wert fs annimmt. Ungefähre Werte werden unten diskutiert.
• Im Betrieb tauscht der Sender sequentiell Schlüssel mit jedem der Empfänger in dem Netz unter Anwendung der Schritte (a) bis (g) des oben dargestellten modifizierten Protokolls aus. Bei Beginn dieses Prozesses wird das System initialisiert, indem ein Mehrphotonen-Takt- und -Eichsignal auf der Quantenkanalwellenlänge λq ausgegeben wird. Der Takt- und Eichprozeß wird im einzelnen in der obengenannten ebenfalls anhängigen internationalen Anmeldung beschrieben. Jeder Empfänger überwacht diese Takt-/Eich-Pulse über einen schwachen Abgriff und einen Standard- (d. h. Multiphotonen-)Detektor 10 und synchronisiert damit seine lokale Uhr mit dem Sender. Ein Detektorsystem 3 in dem Sender beinhaltet einen Einphotonendetektor, der in dem vorliegenden Beispiel eine Avalanche-Photodiode APD ist. Andere Detektoren, die für Einphotonen empfindlich sind, z. B. Photovervielfacher, können verwendet werden. Die APD ist bei dieser Stufe schwach vorgespannt, um ihre Empfindlichkeit zu reduzieren und dadurch Sättigungseffekte aufgrund von Mehrphotonenpulsen zu vermeiden. Der Ausgang dieses Detektors wird überwacht, um den Polarisationszustand bei dem Ausgang des Rings unter Verwendung der Polarisationssteuerung 21 in Fig. 2 zu linearisieren.
• Der Quantenschlüsselverteilerkanal ist so aufgebaut, daß er unabhängig von anderen Übertragungskanälen arbeitet, die das Netz verwendet, um entweder die verschlüsselten Daten oder Standard- (nicht-verschlüsselte) Signale zu übertragen. Dies ist wichtig, da der Quantenkanal in einem nichtkontinuierlichen burst-Übertragungsmode arbeitet, während im allgemeinen die Datenkanäle für die ununterbrochene kontinuierliche Übertragung ausgelegt sein müssen. Die erforderliche Trennung des Quantenkanals kann erreicht werden durch Verwendung einer reservierten Wellenlänge, die sich von der für die Datenkanäle unterscheidet. In diesem Fall kann der Quantenkanal mittels wellenlängenempfindlicher passiver optischer Komponenten wie WDM-Koppler (z. B. Scifam Fibre Optics P2SWM13/15B) und Filter (z. B. JDS TB1300A) isoliert werden. Der Quantenkanal kann innerhalb des 1300 nm-Telekommunikationsfensters zusammen mit mehreren anderen Kanälen, die für den konventionellen Signalverkehr reserviert sind, liegen. Alternativ ist das 850 nm- Fenster für den Quantenkanal reserviert. Dies hat den Vorteil, daß die Einphotonendetektoren für diese Wellenlänge (Silizium-APD) relativ unempfindlich auf 1300 nm-Licht reagieren und daher die Isolierung der Datenkanäle leichter erreichbar ist. Dieser Ansatz macht es erforderlich, WDM- Koppler wie JDS WD813 zu verbinden und Quanten- und konventionelle Kanäle zu trennen. Alternativ kann das 1500 nm- Band für den konventionellen Signalverkehr verwendet werden, während das 1300 nm-Band für den Quantenkanal reserviert ist. Da die Empfindlichkeit von Germanium-APD bei 1300 nm groß ist und schnell bei Wellenlängen über etwa 1400 nm abfällt, sind diese Detektoren eine attraktive Möglichkeit bei diesem speziellen Aufteilungsschema der Wellenlängen. Die Wellenlängenaufteilung macht es außerdem möglich, aktive Komponenten wie optische Verstärker, z. B. Erbium oder Praseodymium-Seltenerden-dotierte Faserverstärker) auf den Wellenlängen der Datenkanäle zu verwenden, während der Quantenkanal bei einer Wellenlänge außerhalb des spontanen Emissionsspektrums des Verstärkers betrieben wird. Wenn dies nicht der Fall ist, sättigen spontan erzeugte Photonen des Verstärkers die Detektoren des Quantenkanals leicht.
• Alternativ ist es möglich, den Quanten- und die Datenkanäle bei derselben Wellenlänge zu betreiben und die Isolierung mittels Polarisations- oder Zeitmultiplex-Verfahren zu erzielen. Im ersteren Fall wird Phasencodierung für den Quantenkanal wie z. B. in unserer ebenfalls anhängigen International-Anmeldung PCT/GB 93/02637 verwendet. Der Datenkanal wird auf der orthogonalen Polarisationsmode der Faser betrieben, wobei die Isolierung mittels Polarisationsteilern wie dem JDS PB 100 erzielt wird. Beim Zeitmultiplexen werden bestimmte Fenster für Multiphoton-Datenpulse reserviert, die durch Standardempfänger erfaßt werden, die mit dem Netz über Standardfaserkoppler verbunden sind. Sättigung der Einphotonendetektoren während dieser Zeitfenster kann vermieden werden entweder mittels schaltbarer Abschwächer (Intensitätsmodulatoren) oder durch Abschalten der Vorspannung der Geräte in Sperrrichtung. Jede dieser Isolationstechniken kann auch eingesetzt werden, um an das System gleichzeitig mit den Quantenschlüsseldaten Taktinformationen zu übersenden. Dieser Ansatz kann nützlich sein, wenn z. B. der Takt-Jitter des lokalen Empfängeroszillators zu groß ist, um die Systemsynchronisierung über die erforderliche Zeitskala der Quantenübertragung sicherzustellen. Eine weitere alternative Technik sorgt gleichzeitig mit der Quantenübertragung für Taktdaten unter Verwendung der gleichen Wellenlänge wie beim Quantenkanal. Der Empfänger enthält jetzt zusätzlich einen Standarddetektor wie z. B. einen empfindlichen PIN-FET, der mit der Übertragungsfaser über einen schwachen Faserabgriff verbunden ist, der z. B. ~10% der ankommenden Pulsintensität abzweigt. Die Intensi tät jedes n-ten Pulses wird ausreichend groß gemacht, z. B. 10&sup5; Photonen, so daß der Standarddetektor einen Puls registriert, der für Taktzwecke verwendet werden kann. Wenn n ausreichend groß ist, z. B. 1000, wird es bei den APD nicht zu Wärme- oder Sättigungseffekten kommen, und ein x1000- Frequenzvervielfacher kann bei dem Empfänger als lokaler Oszillator auf der Taktfrequenz verwendet werden.
• Nach der Taktgebung/Eichung wird der Abschwächer 9 eingeschaltet, um die Quelle abzuschwächen, so daß sich ein Einphotonenausgang ergibt. Linearpolarisierte einzelne Photonen werden dann in das Netz eingespeist. Bei einem designierten Empfänger wird das Einphotonensignal unter Verwendung einer zufällig ausgewählten Polarisationsbasis, z. B. den rechtwinkligen (0º, 90º) oder diagonalen (-45º, +45º) Polarisationszuständen moduliert. Der Empfänger zeichnet die in jedem Zeitfenster verwendeten Zustände auf. Der Modulator, der in dem Empfänger verwendet wird, kann eine Festkörper- oder eine Flüssigkristall-Pockels-Zelle sein. Der Modulator kann eine Smectisch-C-Flüssigkristallzelle sein oder ein Stapel solcher Zellen, wie es in unserer obengenannten ebenfalls anhängigen internationalen Anmeldung (Ziffer 80/4541/03) beschrieben wird.
• Nach dem Durchlaufen des Modulators pflanzt sich das Einphotonensignal weiter fort und wird wieder bei dem Sender empfangen. Dann wählt der Sender zufällig eine Meßbasis aus, um sie auf das zurückgeschickte Photon anzuwenden, und registriert eine 1 oder 0 in Abhängigkeit von dem erfaßten Polarisationszustand.
• Bei der vorliegenden Ausführungsform hat das mit 3 in Fig. 1 bezeichnete Einphotonendetektorsystem die in Fig. 2 gezeigte Struktur. Ein Polarisations-Teiler/Koppler gibt ein Photon von einem oder einem anderen seiner Anschlüsse in Abhängigkeit von dem Polarisationszustand des Photons aus. Anstelle einer separaten APD für jeden Ausgangsanschluß zu verwenden, wird eine einzige APD verwendet, die mit dem Teiler/Koppler über ein Netz verbunden ist, das Pfade unterschiedlicher Länge für die Ausgänge von unterschiedlichen Anschlüssen hat. Die APD kann eine Silizium- oder Germanium-APD wie SPCM-100-PQ (GE Canada Electro Optics) oder NDL5102P (NEC) sein. Die APD hat eine ausreichende Zeitauflösung, um die Verzögerung zu erkennen, wenn ein Photon über den längeren Pfad ankommt, und daher wird jedes Photon als eine 0 oder eine 1 in Abhängigkeit davon registriert, wann es während der Taktperiode ankommt. Die Rekombination der zwei Pfade kann mit sehr geringem Verlust unter Verwendung eines zweiten Polarisationsteilers/-kopplers erreicht werden, der jetzt als 2-in-1-Polarisationskoppler dient. Ein geeigneter Polarisations-Teiler/-koppler ist JDS PB100. Als Koppler hat er einen Verlust von etwa 0,6 dB. Alternativ kann ein polarisationsunabhängiger 50/50-Standardkoppler wie Sifam P2S13AA50 für das Zusammenführen der zwei Pfade verwendet werden, was aber zu einem Verlust von 3 dB führt.
• Polarisationskoppler wie JDS PB100 sind 1-in-2-Faserkoppler, die die zwei orthogonalen Polarisationsmoden der Eingangsfaser in zwei Ausgangsfasern mit horizontaler Mode in einer Faser und vertikaler in der anderen auftrennen. Dies ist funktionell äquivalent zu einem bulk-optics-Polarisator wie z. B. einem Wollaston-Prisma. Wenn die Richtung des einfallenden Strahls bei einem Polarisationsteiler umgekehrt wird, so kann ein horizontal polarisierter Zustand in einer Faser mit einem vertikalen Zustand in der anderen Faser gekoppelt werden, so daß sich ein 2-in-1-Koppler mit niedrigem Verlust ergibt.
• Nach der Übertragung einer Anzahl solcher Einphotonensignale wird eine "öffentliche" Diskussionsphase durchgeführt, wobei bei dem Sender und Empfänger die Zustände der Signale, die durch den Empfänger moduliert wurden und nachfolgend beim Sender erfaßt wurden, verglichen werden. Dieses entspricht den Schritten (d) bis (f) des Protokolls, das in der obigen Einleitung beschrieben wurde: Dies kann in einem separaten, möglicherweise nicht-optischen Netz oder wie bei dieser Ausführungsform auf demselben Netz wie die anderen Schritte durchgeführt werden. Das beinhaltet, daß der Empfänger und der Sender öffentlich miteinander vergleichen, welche Basis sie bei jeder Taktperiode verwendet haben (aber nicht den Typ des gesendeten oder empfangenen Bits). Sie können sich dann auf eine Liste von Taktperioden einigen, in welchen (1) beide die gleiche Basis verwendet haben und (2) ein Photon tatsächlich bei dem Sender wieder angekommen ist. In dem Fall eines idealen, fehlerfreien Kanals und ohne Lauscher wird erwartet, daß ihre Daten in diesen Taktperioden in perfekter Übereinstimmung vorliegen. Folglich können Sie dann öffentlich die tatsächlichen Ergebnisse, d. h. 0/1 gesendet, 0/1 empfangen, für eine kleine Teilmenge dieser Daten vergleichen. Irgendwelche Fehler, die in diesem statistischen Test dieser Datenteilmenge erfaßt worden sind, würde die Anwesenheit eines Lauschers in dem Netz bedeuten. In Abwesenheit eines solchen Fehlers können Sender und Empfänger in vollem Vertrauen den Rest der Daten als gemeinsamen Geheimschlüssel für die nachfolgenden verschlüsselten Übertragungen zwischen ihnen verwenden. Praktische Quantenkanäle jedoch werden unvermeidlich Hintergrundfehlerraten aufgrund von Dunkelzählereignissen der Detektoren und umgebungsbedingter Fluktuationen bei der Polarisation (oder Phase) in der Faser etc. aufweisen. Für diesen Fall enthält die öffentliche Diskussionsphase eine zusätzliche Stufe der Fehlerkorrektur und eine sogenannte "Geheimhaltungsverbesserung", was im einzelnen in unserer obengenannten, ebenfalls anhängigen internationalen Anmeldung, die heute eingereicht wurde (WO-A-9507582, veröffentlicht am 16.3.1995), diskutiert wird. Beides stellt sicher, daß Sender und Empfänger mit identischen Schlüsseln arbeiten und daß irgendwelche Schlüsselinformation, die an einen Lauscher gelangt ist, einen beliebig kleinen Bruchteil eines Bits darstellen. Dieses Verfahren wird erläutert in C. H. Bennett, F. Bessette, G. Brassard, L. Salvail und J. Smolin: "Experimental Quantum Cryptography", J. Cryptology, 5, 3 (1992).
• Fig. 8 ist ein Flußdiagramm zur Erläuterung des oben genannten Verfahrens, in dem der Informationsfluß zwischen Sender (oder "Steuerung") und Empfänger über den öffentlichen Kanal dargestellt ist.
• In dem Beispiel in Fig. 1 wird Standardsignalverkehr über das Netz unter Verwendung einer zweiten Wellenlänge λs geleitet. Diese Daten werden intensitätsmoduliert und sind für jeden Empfänger über einen WDM-Koppler zugänglich, der idealerweise Kopplungsverhältnisse von 0 bzw. x bei den Wellenlängen λq und λg hat, wobei x so festgelegt ist, daß das Kriterium erfüllt ist, daß alle Empfänger im Netz ein meßbares Signal erhalten. Die Daten, die über den Signalkanal übermittelt werden, können verschlüsselt werden unter Verwendung von Schlüsseln, die über den Quantenkanal ausgetauscht werden. Am Ende der Schritte (e) und (f) des Quantenkryptographieprotokolls hat der Sender eine eigene Sequenz von r-geheimen Bits mit jedem i-ten Terminal Ri des Netzes eingerichtet. Diese geheimen Bits können sowohl für die Echtheitsbestätigung (Authentifizierung) als auch die Erzeugung eines jeweiligen gemeinsamen Schlüssels Ki wie für die standardmäßige point-to-point-Anwendung von C. H. Bennett, F. Bessette, G. Brassard, L. Salvail und J. Smolin: J. Crypt., 5, 3 (1992) und in Bennett/Brassard IBM Tech. Discl. (wie bereits oben genannt) beschrieben verwendet werden. Falls erforderlich kann die Steuerung/der Sender dann das jeweilige Ki als Schlüssel bei one-time-pad- Verschlüsselungen eines Master-Netzschlüssels oder mehrerer Master-Netzschlüssel verwenden. Letztere können dann mit allen Empfängern/Terminals oder Teilmengen von Terminals des Netzes ausgetauscht werden. Folglich sind zwei Typen verschlüsselter Kommunikation möglich. Bei eins-zu-eins- Kommunikationen verwenden die Steuerung und Ri zum Verschlüsseln der Mehrphotonendatensignale, die in beide Richtungen des Netzes ausgesendet werden, Ki. Obgleich diese Signale über das Netz übertragen werden und daher für alle Empfänger zugänglich sind, kann doch nur Ri und die Steuerung dann diese speziellen Datenübertragungen decodieren.
• In diesem Szenario ist sichere Kommunikation zwischen den Terminals auch zum Beispiel zwischen Ri und Rj möglich, jedoch muß die Steuerung als Interpreter mit Kenntnis von Ki und Kj arbeiten, um die ankommenden und auslaufenden Signale zu decodieren bzw. zu codieren. Kommunikation zwischen beliebigen Anschlüssen kann auch bei Teilmengen der Terminals mit einem gemeinsamen Master-Schlüssel stattfinden, und in diesem Fall, falls ein Übertragungspfad über die Steuerung geht, braucht die Steuerung nur die ankommenden verschlüsselten Daten zu routen oder erneut zu senden. Ein neuer Schlüssel kann periodisch übermittelt werden, um die Sicherheit aufrechtzuerhalten.
• Die Verwendung eines Vielfachzugriffsnetzes und die Einrichtung von unterschiedlichen Schlüsseln bei unterschiedlichen Empfängern des Netzes wird im einzelnen in der obengenannten internationalen Anmeldung, die heute eingereicht wurde, beschrieben.
• Bei den oben mit Bezug auf Fig. 1 und unten mit Bezug auf Fig. 3 diskutierten Ausführungsformen werden die einzelnen Photonen in entgegengesetzter Richtung zu den Mehrphotonensignalpulsen übermittelt. Dieses ist nicht wichtig, jedoch hilft die bidirektionale Übertragung, die zwei Kanäle zu isolieren, indem die Vorzugsrichtung der Faserkoppler ausgenutzt wird, um die Zahl von Signalphotonen zu minimieren, die auf den Quantenkanaleinphotonendetektor treffen. Die Notwendigkeit für eine solche Isolierung hängt von der relativen Empfindlichkeit der Einphotonendetektoren für die Quanten- und Signalkanalwellenlänge (λq und λs) ab, und davon, ob die zwei Kanäle zur selben Zeit betrieben werden sollen. Da jedoch die Leistung in dem Signalkanal wahrscheinlich > 10&sup6; mal so groß wie in dem Quantenkanal ist, ist es notwendig, die Möglichkeit, daß die Signale den Einphotonendetektor leicht sättigen können und daher Fehler bei der Quantenübertragung erzeugen können, zu berücksichtigen. Daher wird die Isolierung der zwei Kanäle wahrscheinlich durch Verwendung eines WDM-Kopplers und/oder ei nes inline-Filters vor dem Einphotonendetektor, der λq durchläßt aber λs stark abschwächt, verbessert. (Man beachte, daß die Komponente 8 in Fig. 1 bereits einen Filter enthält, um die Quantenkanalquelle von dem Signalkanal zu isolieren). Der Abschwächungsgrad, der bei λs erforderlich ist, wird erhöht, wenn der Signal- und der Quantenkanal unidirektional betrieben werden, aber dies wird unter Verwendung der obengenannten Verfahren immer noch möglich sein. Geeignete Faserfilter können auf Fasergittern basieren, bei denen Brechungsindextechniken angewendet werden.
• Fig. 3 zeigt eine erste Ausführungsform gemäß dem zweiten Aspekt der vorliegenden Erfindung. Dieses Beispiel basiert wieder auf einer Ringtopologie mit einem Sendereiner Vermittlung 1, die über den Ring mit mehreren Empfängern R1-Rn verbunden ist.
• Der Sender enthält jetzt einen Polarisationsmodulator 2, der verwendet wird, um jedes Photon mit einem der möglichen Quantenzustände wie bei dem Standardprotokoll zu codieren. Anders als bei dem Schema nach Fig. 1 werden die Koppler 11 so ausgewählt, daß ein wesentlicher Anteil der Photonen in dem Quantenkanal bei jedem Empfänger 12 abgezweigt werden und destruktiv wie beim Standardprotokoll beschrieben gemessen werden. Bei dem Beispiel des Netzes mit drei Empfängern kann die Sequenz von Kopplern 11 Kopplungsfaktoren von 25%, 33% bzw. 50% aufweisen. In diesem Fall werden, falls der Verlust in der Übertragungsfaser vernachlässigbar ist, die drei Empfänger und der Sender (über den Rückkehrarm) alle die gleichen Anteile an Photonen empfangen. Jeder Einphotonenempfänger 12 hat die Konfiguration nach Fig. 6.
• Ein Einphotonendetektor mit einem Polarisationsmodulator und einer hoch vorgespannten Avalanche-Photodiode APD (Fig. 2) ist mit jedem Kopplerausgang und dem Rücksendearm der Übertragungsfaser in dem Sender/der Vermittlung verbunden.
• Wie aus Fig. 2 ersichtlich umfaßt der Einphotonendetektor eine Polarisationssteuerung 21, gefolgt von einem Polarisationsmodulator 22. Der Ausgang des Modulators 22 wird zu einem Polarisations-Teiler-/Koppler weitergeleitet, der Ausgänge über zwei Pfade erzeugt, wobei einer der Pfade eine Verzögerungsschleife 24 umfaßt. Die zwei Pfade werden bei einem zweiten Teiler/Koppler 23 überlagert, und das sich ergebende Signal wird an die APD 25 ausgegeben.
• Der Ausgang der APD wird in einen Steuerungsprozessor 62 über einen Schaltkreis eingespeist, der einen Diskriminator/Verstärker 63 und ein elektronisches Filter 64 sowie einen lokalen Oszillator 65 umfaßt. Der Steuerungsprozessor 62 erzeugt Steuerungsausgänge für die Treiberelektronik 61 für den Polarisationsmodulator und für die Vorspannungsversorgung 66 des Einphotonendetektors APD.
• Der Sender hat eine Ausgangsstufe, die eine Einphotonenquelle und einen durch einen Mikroprozessor gesteuerten Polarisationsmodulator umfaßt. Zusätzlich beinhaltet der Sender einen Einphotonendetektor, der wie bei den Empfängern aus einer hochvorgespannten Silizium- oder Germanium-APD zusammen mit einem geeigneten Polarisationsfilter aufgebaut sein kann. Im Betrieb wird dieser Detektor verwendet, um solche Photonen zu empfangen, die von einem der Empfänger nicht-destruktiv erfaßt wurden und zu dem Sender zurückgeschickt wurden.
• Eine alternative Version dieser Ausführungsform codiert und decodiert unterschiedliche Phasenzustände anstelle unterschiedlicher Polarisationszustände [P. D. Townsend, J. G. Rarity und P. R. Tapster, Elect. Lett., 29., 1291 (1993) und P. D. Townsend, Elect. Lett. 30., 809 (1994)]. Bei dieser Ausführungsform ist der Sender nach Fig. 5a anstelle der Ausgangsstufe der Sendevermittlung nach Fig. 3 vorgesehen, und ähnlich ist jeder der Empfänger durch einen Empfänger ersetzt, der wie in Fig. 5b gezeigt konfiguriert ist. Bei der Senderausgangsstufe dieser Ausführungsform ist ein erster gepulster Halbleiterlaser 51, der bei einer ersten Wellenlänge λq arbeitet, wobei z. B. λq = 1300 nm, die optische Quelle für den Quantenkanal. Der Laser und ein Modulatortreiber 53 für einen Phasenmodulator 54 werden durch einen Mikroprozessor 55 gesteuert. Der Phasenmodulator 54 befindet sich in einem Zweig des Senders. Eine Polarisationssteuerung PC (z. B. BT&D/HP MCP1000) befindet sich in dem anderen Zweig des Senders. Ein zweiter Halbleiterlaser 52 ist eine helle Mehrphotonenquelle bei einer Wellenlänge λs, wo z. B. λs = 1560 nm. Dieses Signal wird zum Takten und Eichen wie oben beschrieben verwendet. Das Signal bei λs wird in den Ausgang des Senders über einen WDM-Koppler 56 gekoppelt, der z. B. ein Gerät aus der JDS WD1315-Serie sein kann.
• Als eine Alternative zur Verwendung von separaten Quellen für den Quantenkanal und das Taktsignal kann ein einzelner Halbleiterlaser verwendet werden, dessen Ausgang über geschmolzene Faserkoppler FC in zwei unterschiedliche Zweige eingekoppelt wird, wobei einer einen Abschwächer enthält und der andere Zweig unabgeschwächt bleibt. Ein optischer Schalter kann dann verwendet werden, um entweder den hellen oder den abgeschwächten Ausgang auszuwählen. Abhängig von der Frequenzanforderung, kann entweder ein langsames elektromechanisches Gerät wie das JDS Fitel SW12 oder ein schnelles elektrooptisches Gerät wie das United Technologies Photonics YBBM verwendet werden.
• Bei dem Empfänger dieser Ausführungsform steuert ein jeweiliger Steuerungsmikroprozessor 57 den Phasenmodulator 58 des Empfängers über einen Modulatortreiber 59. Der Steuerungsprozessor des Empfängers steuert außerdem eine Detektorvorspannungsversorgung 600 für den Einphotonendetektor 601 des Empfängers. Sowohl bei dem Sender als auch dem Empfänger werden bei den Signalverzweigungen geschmolzene 50/50-Faserkoppler verwendet. Geeignete Koppler sind kommerziell erhältlich von SIFAM als Modell P22S13AA50. Die Taktsignale bei λs werden durch einen PIN-FET-Empfänger 604 erfaßt.
• Geeignete Phasenmodulatoren 54, 58 für die Datencodierung und -decodierung sind Lithium-Niobat- oder Halbleiter- Phasenmodulatoren, die z. B. bei 1-10MHZ arbeiten. Eine geeignete Lithium-Niobat-Vorrichtung ist kommerziell erhältlich als IOC PM1300. Ein geeigneter Treiber für die Phasenmodulatoren ist Tektronix AWG2020, und dieser kann auch als Taktgenerator für das System verwendet werden. Für die Einphotonendetektoren können APD, die oben mit Bezug auf Fig. 3 erläutert wurden, verwendet werden. Signifikante Verbesserungen können erreicht werden durch Kombinieren der Phasenmodulatoren und Fasereinrichtungen, die in den Fig. 5a und 5b gezeigt wurden, und Integration zu einzelnen Strukturen. Änderungen des momentanen Aufbaus oder des in P. D. Townsend, J. G. Rarity und P. R. Tapster, Elect. Lett. 22, 634 (1993) diskutierten können in einem Lithium-Niobat- Chip mit Faser-Pfaden, die durch Wellenleiter ersetzt sind, und dem Modulatorbereich, der durch Elektroden in einem Standard-Gerät definiert ist, integriert werden. Alternative Herstellungsverfahren beinhalten z. B. Brechungsindexdefinierte planare Silizium-Wellenleiterstrukturen oder Halbleiterwellenleiterstrukturen. Im allgemeinen sollte die Integration zu verbesserter Stabilität und Kompaktheit der Sender- und Empfängerstrukturen führen. Insbesondere wird bei dieser Ausführungsform eine NEC 5103 Ge-APD, die auf 77K gekühlt ist mit z. B. Hughes 7060H-cryo-Kühlgerät oder einem Dewar-Gefäß mit flüssigem Stickstoff oder einem Cryostat verwendet. Bei dem Empfänger dieser Ausführungsform wird nur eine einzige APD bei den Signalen verwendet, die den unterschiedlichen Zweigen des Empfängers entsprechen und zeitlich mit Hilfe einer Verzögerungsschleife in dem oberen Zweig, der mit "1" bezeichnet ist, getrennt werden. Das Schlüsselaustauschprotokoll erfordert es, daß jedes empfangene Photon mit einer gegebenen Taktperiode in Verbindung gebracht wird und außerdem als 0 oder 1 in Abhängigkeit davon identifiziert wird, aus welchem Zweig des Empfängers es stammt. Diese Funktionen werden von einem Zeitintervallanalysator 602 (z. B. Hewlett-Packard 53110A) übernommen. Die Startsignale für dieses Gerät werden durch den APD-Ausgang nach Verarbeitung durch einen Schaltkreis 603 mit einem Verstärker und einem Diskriminator, z. B. Lecroy 612 bzw. Lecroy 821, erzeugt.
• Das obengenannte Taktsignal kann entweder die Form eines einzelnen Triggerpulses, der dann zum Initiieren eines Bursts von Schlüsseldaten auf dem Quantenkanal verwendet wird, oder von mit der Systemtaktfrequenz fortlaufenden Pulsen haben, die verwendet werden, um die Empfängeruhr zwischen Schlüsselübertragungen erneut zeitlich einzustellen. Vor dem Beginn der Schlüsselübertragung variiert der Empfänger den Gleichspannungspegel des Phasenmodulators der Vorspannung, um die Phasenverschiebung in dem Interferometer auf Null zu stellen (d. h. die Photonübertragungswahrscheinlichkeit wird bei einem Ausgangsanschluß maximiert und bei dem anderen minimiert). Die Fig. 5a und 5b zeigen außerdem die relativen räumlichen, zeitlichen und Polarisations-Änderungen, die die zwei Komponenten eines Quantenkanalpulses erfahren, wenn sie sich durch den Sender und Empfänger fortpflanzen. Wenn alle Fasern in dem System polarisationserhaltend sind, dann ist keine aktive Polarisationssteuerung oder statische Polarisationssteuerung in dem System erforderlich. Wenn jedoch Standardfasern für die Übertragungsverbindung verwendet werden, so ist aktive Polarisationssteuerung beim Eingang des Empfängers erforderlich. Dies kann mit einem Standarddetektor, einer Rückkopplungsschaltung und automatischer Polarisationssteuerung erfolgen, was in unserer ebenfalls anhängigen internationalen Anmeldung PCT/GB93/02637 (WO94/15422) beschrieben wird.
• Die Phasencodierung, wie sie in der Version dieser Ausführungsform verwendet wird, die oben erläutert wurde, kann auch durch Polarisationscodierung in irgendeiner anderen der hier beschriebenen Ausführungsformen ersetzt werden.
• Im Betrieb wird das Netz dieser Ausführungsformen unter Verwendung des konventionellen Quantenkryptographieprotokolls betrieben, wobei unterschiedliche Polarisations-(oder Phasen-)Basen zufällig beim Sender ausgewählt werden und zum Verschlüsseln der ausgegebenen Signale verwendet werden. Nachdem eine ausreichende Anzahl von Photonen für jeden Empfänger ausgegeben wurde, so daß er seinen eigenen Schlüssel erhält, tritt man in eine "öffentliche Diskussion" ein, in der der Sender und die Empfänger unter Verwendung von Mehrphotonensignalen miteinander kommunizieren, um die Statistiken der übermittelten und empfangenen Signale zu vergleichen. Bei diesem Punkt wird das konventionelle Protokoll insoweit modifiziert, daß die Vergleiche, die in dem Steuerungsprozessor des Senders/der Vermittlung ausgeführt werden, Vergleiche der Datensignale enthalten, die wieder von den Einphotonendetektor des Senders/der Vermittlung empfangen wurden. Dieser Teil der Diskussionsphase ist daher intern in dem Sender und somit inhärent weniger verletzbar durch Abhören.
• Wie in Fig. 4a ersichtlich kann ein konventionelles Sender/Empfänger-Paar Opfer eines erfolgreichen Lauschangriffs sein, ohne daß dieser Angriff erkannt wird, vorausgesetzt, daß der Lauscher sowohl den öffentlichen als auch den Quantenkanal abfangen kann. Diesem wird bei den Standardprotokollen Rechnung getragen durch die Verwendung von sicheren Echtheitsbestätigungsprozeduren, siehe z. B. das obengenannte IBM Technical Disclosure Bulletin. Bei dem Diagramm ist der Quantenkanal mit einer durchgezogenen Linie dargestellt, und die gestrichelte Linie bezeichnet den öffentlichen (klassischen) Kanal. Jedoch würde der Lauscher nach Fig. 4a immer noch erfolgreich erkannt werden, wenn das Verfahren gemäß dieses Aspektes der Erfindung verwendet wird, da seine Anwesenheit durch den Teil der öffentlichen Diskussionsphase enthüllt wird, die intern innerhalb des Senders durchgeführt wird. Unerkanntes Lauschen in dem System in Übereinstimmung mit diesem Aspekt der Erfindung würde eine erheblich komplexere Struktur als in Fig. 4b gezeigt erfordern.
• Ein weiterer möglicher Angriff auf eine solche Implementierung erfordert es, daß Eve (der Lauscher) den Quantenkanal auf beiden Seiten eines gegebenen Nutzers Bob abfängt. Durch Senden und Erfassen eines Mehrphotonensignals kann Eve dann unzweideutig den Zustand von Bobs Modulator bestimmen. In der Praxis ist es wahrscheinlich sehr schwierig für Eve, Verbindungen an zwei oder mehr Punkten im Netz zu etablieren. Wenn es gewünscht wird, gegen einen Angriff des beschriebenen Typs Schutz zu ergreifen, kann dies nichtsdestotrotz dadurch erfolgen, daß wenigstens einer der Empfänger des Netzes mit einem Photodetektor versehen ist, der mit dem Netz über eine relativ schwache Abzapfung verbunden ist. Dieser Photodetektor braucht nicht die Empfindlichkeit des Einphotonendetektors zu haben, der konventionell bei den Empfängern verwendet wird, noch muß jeder Nutzer einen solchen Detektor haben. Die Anwesenheit eines solchen Detektors in dem Netz vereinfacht die Erfassung irgendeines Mehrphotonentests, der von Eve durchgeführt wird.
• Fig. 7 zeigt eine zweite Ausführungsform zu diesem Aspekt der Erfindung. Bei dieser Ausführungsform wird anstelle eines ringförmigen Netzes eine Baumstruktur verwendet. Ein oder mehrere ausgewählte Empfänger Ri werden mit einem zusätzlichen Zweig Bi verbunden, der zu dem Sender zurückgeschleift wird. Das Netz arbeitet dann in der oben beschriebenen Art für jeden Empfänger Ri, der mit einer Rückschleife zu dem Sender versehen ist. Andere Empfänger im Netz, wie z. B. R1, verwenden das Protokoll ohne die zusätzlichen internen Prüfungen durch den Sender. Solch ein Netz kann daher unterschiedliche Diensteniveaus vermischen, wodurch unterschiedliche Niveaus in bezug auf die Sicherheit für unterschiedliche Nutzer erzeugt werden.
• Das System der ersten Ausführungsform kann derart modifiziert werden, daß es einige der zusätzlichen Merkmale der zweiten Ausführungsform beinhaltet, so daß zusätzliche Sicherheit gewährleistet ist. Insbesondere kann der Sender/die Vermittlungsstruktur nach Fig. 3 für den Sender/die Vemittlung nach Fig. 1 eingesetzt werden. Der Sender wählt dann wie bei einem konventionellen Quantenkryptographiesystem zufällig zwischen zwei Verschlüsselungsbasen und verwendet die ausgewählten Basen, um ein ausgegebenes Einphotonensignal zu modulieren. Danach moduliert wie bei der ersten Ausführungsform der Empfänger das empfangene Einphotonensignal nicht-destruktiv und schickt das Photon zum Sender zurück. Wie in der Einleitung oben beschrieben muß der Empfänger bei dieser Ausführungsform nicht zwischen zwei unterschiedlichen Verschlüsselungsbasen wählen, sondern kann arbeiten, indem eine einzige vorgegebene Verschlüsselungsbasis verwendet wird. Dadurch wird die Modulatorstruktur, die für den Empfänger erforderlich ist, vereinfacht.

Claims (19)

1. Verfahren zum Austauschen eines Schlüssels zwischen einem Sender (T) und einem Empfänger (R1-R3) mittels Quantenkryptographie, dadurch gekennzeichnet, daß das Verfahren die Anfangsschritte umfaßt:

(a) Ausgeben eines Einphotonensignals,

(b) Modulieren des Einphotonensignals beim Empfänger und Zurücksenden des modulierten Signals zum Sender und

(c) Erfassen des zurückgesendeten Signals, das durch den Empfänger in Schritt (b) moduliert worden ist, bei dem Sender.

2. Verfahren nach Anspruch 1, bei dem der Sender das Einphotonensignal in Schritt (a) ausgibt.

3. Verfahren nach Anspruch 2, bei dem der Sender das ausgehende Einphotonensignal mittels einer ausgewählten Modulationsbasis moduliert und die gleiche Basis beim Erfassen des zurückgesendeten Signals in Schritt (c) verwendet.

4. Verfahren nach Anspruch 1, 2 oder 3, bei dem in Schritt (b) der Empfänger eines aus mehreren Verschlüsselungsalphabeten, die unterschiedlichen nichtkommutierenden quantenmechanischen Operatoren entsprechen, auswählt und das Einphotonensignal mit dem ausgewählten Alphabet moduliert.

5. Verfahren nach einem der vorangehenden Ansprüche, bei dem in Schritt (a) das Einphotonenausgangssignal moduliert wird.

6. Verfahren nach Anspruch 5, bei dem in Schritt (b) der Empfänger das Einphotonensignal mit einem aus einem Paar ausgewählten Operator, das Symbolen unterschiedlicher Verschlüsselungsalphabete entspricht, moduliert.

7. Verfahren nach einem der vorangehenden Ansprüche, bei dem in Schritt (a) das Signal von dem Sender auf ein Vielfachzugriffnetz ausgegeben wird und für jedes Ausgangssignal Schritt (b) durch einen von mehreren entsprechenden Empfängern ausgeführt wird, der mit dem Vielfachzugriffnetz verbunden ist.

8. Verfahren nach einem der vorangehenden Ansprüche, das das Ausgeben eines Mehrphotonensignals auf das Netz von dem Sender, das Empfangen des zurückgesendeten Mehrphotonensignals durch den Sender, das Vergleichen des gesendeten und empfangenen Mehrphotonensignals und das Eichen des Senders gemäß den Ergebnissen eines Vergleichs umfaßt.

9. Verfahren nach Anspruch 8, bei dem der Schritt des Eichens des Senders das Setzen eines variablen Modulators in Übereinstimmung mit den Ergebnissen des Vergleichs zum Kompensieren irgendeiner Schwankung eines Signalparameters über das Netz umfaßt.

10. Verfahren zum Austauschen eines Schlüssels zwischen einem Sender (T) und einem Empfänger (R1-R3) mittels Quantenkryptographie, gekennzeichnet durch Zurücksenden wenigstens des kodierten Einphotonensignals, das von dem Sender ausgegeben wurde, zu dem Sender und anschließendes Vergleichen des Zustands der Signale, wie sie von dem Sender gesendet und empfangen wurden, wobei die Anwesenheit eines Lauschers erfaßt wird, der das Signal abfängt.

11. Verfahren nach Anspruch 10, bei dem das Einphotonensignal von dem Sender auf ein Vielfachzugriffnetz ausgegeben wird, das den Sender mit mehreren Empfängern verbindet.

12. Verfahren nach Anspruch 11, bei dem ein zurückgeschleifter Pfad für das Zurücksenden von Einphotonensignalen zu dem Sender nur für einige der mehreren Empfänger, die mit dem Netz verbunden sind, vorgesehen ist.

13. Verfahren nach einem der Ansprüche 10 bis 12, bei dem andere der Einphotonensignale destruktiv bei dem Empfänger erfaßt werden.

14. Kommunikationssystem für ein Verfahren der Quantenkryptographie mit einem Sender (T), einem oder mehreren Empfängern (R1-R3), einem Netz (N), das den Sender mit jedem der Empfänger verbindet, und einer Quelle zum Erzeugen eines Einphotonensignals, dadurch gekennzeichnet, daß der oder die Empfänger (R1-R3) einen Modulator umfassen, der so aufgebaut ist, daß er ein Einphotonensignal, das von der Quelle empfangen wurde, mittels eines gewählten Modulationszustandes moduliert, und so aufgebaut ist, daß er das modulierte Einphotonensignal zu dem Sender zurücksendet, und daß der Sender einen Einphotonendetektor umfaßt, der so aufgebaut ist, daß er das zurückgesendete Einphotonensignal erfaßt.

15. System nach Anspruch 14, bei dem die Quelle zum Erzeugen des Einphotonensignals bei dem Sender angeordnet ist.

16. System nach Anspruch 15, bei dem der Sender einen Modulator zum Modulieren von ausgehenden Einphotonensignalen umfaßt.

17. Kommunikationssystem für ein Verfahren der Quantenkryptographie mit einem Sender (T), einem oder mehreren Empfängern (R1-R3), und einem Netz (N), das den Sender mit dem oder jedem Empfänger verbindet, wobei der Sender eine Vorrichtung zum Erzeugen eines Einphotonensignals und Modulieren des Einphotonensignals mittels eines ausgewählten Verschlüsselungsalphabets umfaßt, wobei der oder jeder Empfänger einen Einphotonendetektor zum Erfassen eines Einphotonensignals von dem Empfänger umfaßt, dadurch gekennzeichnet, daß das Netz einen zurückgeschleiften Pfad für das Zurücksenden zu dem Sender wenigstens einiger der Einphotonensignale, die von dem Sender ausgegeben wurden, umfaßt, und daß der Sender einen Einphotonendetektor umfaßt, der so aufgebaut ist, daß er das zurückgesendete Einphotonensignal erfaßt, wobei bei dem Betrieb der Sender die Zustände der Einphotonensignale vergleicht, wie sie gesendet und zurückgesendet wurden.

18. System nach einem der Ansprüche 14 bis 17, bei dem das Netz ein Vielfachzugriffnetz ist, das mehrere Empfänger mit dem Sender verbindet.

19. Kommunikationsverfahren unter Verwendung von Quantenkryptographie mit einem Anfangsschritt des Auswählens eines von mehreren Verschlüsselungsalphabeten bei dem Empfänger, die unterschiedlichen, nichtkommutierenden quantenmechanischen Operatoren entsprechen, und des Verschlüsselns eines Signals zum Senden an den Empfänger unter Verwendung von dem ausgewählten Operator, dadurch gekennzeichnet, daß der Empfänger außerdem das Einphotonensignal, das von dem Sender empfangen wurde, moduliert und es zu dem Sender zurücksendet, und daß der Sender den quantenmechanischen Operator, der für das ausgehende Signal ausgewählt wurde, bei dem Erfassen des zurückgesendeten Signals, das durch den Empfänger moduliert wurde, verwendet, wobei das Verfahren au ßerdem das nachfolgende Vergleichen der Zustände der Signale, wie sie von dem Sender gesendet und empfangen wurden, umfaßt, wobei die Anwesenheit eines Lauschers erfaßt wird, der das Einphotonensignal abfängt.