Autenticazione quantistica

L'autenticazione dell'identità quantistica (QIA, dall'inglese Quantum Identity Authentication) mira ad autenticare un utente, un dispositivo o un'altra parte comunicante sfruttando le proprietà della meccanica quantistica^[1]. A differenza dell'autenticazione classica, questi protocolli utilizzano stati quantistici durante il processo di autenticazione, consentendo di rilevare tentativi di intercettazione o di impersonificazione attraverso il disturbo introdotto dalle misurazioni quantistiche^[13].

I protocolli QIA possono fornire un'autenticazione a una via, in cui una parte autentica l'altra, oppure un'autenticazione mutua, in cui entrambe le parti verificano l'identità reciproca. Molti schemi sono ispirati all'autenticazione classica di tipo challenge-response (sfida-risposta), adattandoli ai canali di comunicazione quantistica. Possono anche essere classificati come interattivi o non interattivi a seconda che entrambe le parti debbano scambiarsi attivamente informazioni durante la fase di autenticazione^[4].

Nell'autenticazione dei messaggi quantistici (QMA, dall'inglese Quantum Message Authentication), l'obiettivo è autenticare l'integrità e l'origine delle informazioni quantistiche inviate su un canale quantistico. A differenza dell'autenticazione dei messaggi classica, il messaggio stesso è uno stato quantistico, che in generale non può essere copiato a causa del teorema di no-cloning^[14]. Gli schemi di autenticazione dei messaggi quantistici combinano quindi la codifica quantistica con una chiave segreta condivisa, consentendo al ricevente di rilevare qualsiasi modifica o manomissione dello stato trasmesso^[3]. Se l'autenticazione fallisce, il ricevente rifiuta il messaggio anziché tentare di recuperarlo^[15].

Un risultato fondamentale di Barnum et al. ha dimostrato che l'autenticazione di stati quantistici arbitrari implica necessariamente la loro crittografia, il che significa che un protocollo in grado di rilevare le manomissioni deve anche nascondere l'informazione quantistica a un avversario; lo stesso lavoro ha inoltre sostenuto che le firme digitali non sottomesse a restrizioni per stati quantistici sconosciuti sono impossibili senza ulteriori assunzioni.^[7]

Le firme digitali quantistiche (QDS, dall'inglese Quantum Digital Signatures) sono la controparte quantistica delle classiche firme digitali; esse sono destinate a fornire autenticità, integrità e non ripudio, offrendo al contempo una sicurezza basata sulla teoria quantistica anziché su assunzioni computazionali^[16]. La maggior parte dei protocolli QDS autentica messaggi classici utilizzando stati quantistici distribuiti durante una fase di configurazione, anziché tentare di firmare direttamente stati quantistici arbitrari: questo le distingue dalla QMA^[7].

Un sistema QDS è composto da tre macchine di Turing quantistiche probabilistiche in tempo polinomiale (${\displaystyle G}$, ${\displaystyle S}$, ${\displaystyle V}$), dove ${\displaystyle G}$ è un algoritmo di generazione delle chiavi che, dato in input ${\displaystyle 1^{n}}$, restituisce una coppia (s, v) composta da una chiave di firma segreta e una chiave di verifica pubblica, ${\displaystyle S}$ è un algoritmo di firma, e ${\displaystyle V}$ è un algoritmo di verifica tale che per tutti i messaggi ${\displaystyle m\in {0,1}^{n}}$ e per tutti gli ${\displaystyle n}$ sufficientemente grandi,

${\displaystyle \Pr \left[V(m,S(m,s),v)=1\right]\geq 1-{\frac {1}{\mathrm {poly} (n)}}}$,

dove la probabilità è calcolata sulla casualità interna (classica e quantistica) di (${\displaystyle G}$, ${\displaystyle S}$, ${\displaystyle V}$)^[8].

I protocolli di autenticazione quantistica possono essere categorizzati in base alla primitiva crittografica classica o quantistica su cui sono costruiti^[17]. Molti schemi derivano dalla QKD, riutilizzando la codifica coniugata o stati di tipo BB84: in queste costruzioni, l'autenticazione viene spesso ottenuta come uno strato aggiuntivo sopra l'insediamento della chiave, oppure incorporando le informazioni di autenticazione direttamente negli stati quantistici scambiati durante il protocollo^[18].

Altri approcci si basano su primitive alternative, tra cui la comunicazione quantistica diretta sicura (QSDC), schemi basati sul teletrasporto quantistico, la condivisione segreta quantistica, il confronto privato quantistico e l'oblivious transfer quantistico^[19]. Ciascuna di queste primitive introduce diverse assunzioni strutturali e modelli di comunicazione. Ad esempio, i protocolli di autenticazione basati su QSDC mirano spesso a trasmettere messaggi autenticati direttamente tramite stati quantistici senza prima stabilire una chiave segreta condivisa, mentre le costruzioni basate sulla condivisione segreta distribuiscono le informazioni di autenticazione tra più parti per impedire la falsificazione o l'impersonificazione unilaterale^[20].

Queste diverse categorie portano a compromessi distinti in termini di complessità di comunicazione, utilizzo del canale quantistico e assunzioni di fiducia: ad esempio, i protocolli basati sul teletrasporto o sulla distribuzione dell'entanglement possono offrire garanzie teoriche più forti o funzionalità più ricche, ma richiedono tipicamente infrastrutture più esigenti, come una distribuzione dell'entanglement affidabile e la sincronizzazione tra i partecipanti^[21].

Un'altra classificazione considera le risorse quantistiche fisiche richieste per l'esecuzione del protocollo^[17]. Le prime proposte di autenticazione quantistica si basavano frequentemente sull'entanglement pre-condiviso, in particolare sulle coppie di Bell, come risorsa fondamentale per stabilire correlazioni che non possono essere replicate classicamente: questi schemi basati su coppie entangled spesso assumono che l'entanglement sia distribuito in anticipo tra le parti legittime e successivamente consumato durante l'autenticazione^[22].

Ricerche successive hanno esteso queste idee a strutture di entanglement multipartito, come gli stati di Greenberger-Horne-Zeilinger (GHZ), che consentono schemi di autenticazione che coinvolgono più partecipanti o processi di verifica distribuiti^[21]. Costruzioni più sofisticate incorporano anche lo swapping di entanglement, consentendo di agganciare dinamicamente parti che non hanno mai interagito direttamente direttamente^[23].

Al contrario, un'ampia famiglia di protocolli più pratici evita l'entanglement, affidandosi invece a implementazioni a singolo fotone o a impulsi coerenti deboli, che sono significativamente più facili da realizzare sperimentalmente utilizzando le tecnologie ottiche esistenti. Questi schemi sono spesso più vicini alle implementazioni QKD e risultano maggiormente compatibili con l'attuale infrastruttura in fibra ottica^[24].

Sviluppi più recenti includono modelli di autenticazione semi-quantistica, in cui solo una parte (tipicamente il mittente o l'autorità fidata) richiede piene capacità quantistiche, mentre gli altri partecipanti sono limitati a operazioni classiche come la riflessione, la misurazione in una base fissa o la comunicazione classica. Questo approccio riduce i requisiti hardware e amplia i potenziali scenari di implementazione^[25].

Inoltre, nuove direzioni di ricerca esplorano una controparte quantistica delle funzioni fisiche non clonabili (PUF), in cui sistemi quantistici intrinsecamente rumorosi o complessi fungono da impronte digitali specifiche del dispositivo^[26]. Questi approcci basati su PUF quantistiche mirano a fornire meccanismi di autenticazione leggeri radicati nell'unicità fisica piuttosto che nel calcolo crittografico^[27].

Ulteriormente, anche la verifica della posizione quantistica viene esplorata come strumento per l'autenticazione dell'identità^[28].

I protocolli di autenticazione quantistica sono progettati per resistere a una serie di attacchi, tra cui l'impersonificazione, la falsificazione dei messaggi, gli attacchi di replay (o di riproduzione) e gli attacchi man-in-the-middle. Gli attacchi di "replay" comportano la ritrasmissione di trascrizioni di autenticazione quantistiche o classiche precedentemente valide per ottenere l'accesso, mentre gli attacchi man-in-the-middle tentano di intercettare e modificare le trasmissioni quantistiche impersonando al contempo entrambe le parti legittime l'una con l'altra. A seconda del protocollo specifico, gli attaccanti possono anche tentare attacchi di sostituzione dello stato, in cui gli stati quantistici trasmessi vengono sostituiti con altri preparati disonestamente, progettati per non essere rilevati^[31].

Le analisi di sicurezza distinguono tipicamente tra avversari esterni e insider disonesti. Nel secondo caso, persino i partecipanti legittimi potrebbero deviare dal protocollo nel tentativo di imbrogliare, il che complica significativamente le prove di sicurezza. Le garanzie formali dipendono quindi fortemente dal modello avversario scelto e dalle assunzioni sul comportamento dei partecipanti^[11].

Nonostante si basino su principi meccanico-quantistici, la maggior parte dei protocolli di autenticazione quantistica richiede assunzioni aggiuntive oltre alle sole leggi della fisica. Un requisito comune è l'esistenza di un canale classico autenticato, che garantisce che i messaggi classici scambiati durante il protocollo non possano essere manomessi senza essere rilevati. Questa assunzione è standard anche nella distribuzione a chiave quantistica e viene tipicamente applicata utilizzando codici di autenticazione classici o chiavi pre-condivise^[2].

Altre assunzioni includono la disponibilità di chiavi segrete o stati quantistici pre-condivisi, fasi di inizializzazione fidate o la presenza di una terza parte fidata responsabile della distribuzione o della verifica del materiale di autenticazione. Alcuni protocolli assumono anche capacità quantistiche limitate per gli avversari o un accesso ristretto alla memoria quantistica, sebbene tali assunzioni siano generalmente considerate più forti. Queste assunzioni variano ampiamente da un protocollo all'altro e la loro riduzione, pur mantenendo forti garanzie di sicurezza, rimane un'area di ricerca attiva, in particolare nel contesto della sicurezza componibile^[11].