Idealnie losowe liczby: kwantowy przełom z ETH Zürich

Dlaczego losowość trudno udowodnić

Komputer działa deterministycznie: z tych samych danych zawsze wylicza ten sam wynik. Generatory pseudolosowe (PRNG) tworzą więc liczby według wzoru. Kto zna wzór i wartość początkową, czyli ziarno, odtworzy cały ciąg. Do gier i symulacji to wystarcza, ale żadnej gwarancji nieprzewidywalności nie daje.

Generatory prawdziwie losowe (TRNG) mierzą zjawiska fizyczne, na przykład szum termiczny albo to, czy foton odbije się od płytki światłodzielącej. Nawet takie źródło może mieć drobne, systematyczne odchylenia, przez które jedne wyniki wypadają odrobinę częściej niż inne. W kryptografii każde takie odchylenie osłabia klucze.

Różnice między rodzajami generatorów opisujemy w artykule o generatorach pseudolosowych, prawdziwie losowych i kryptograficznych, a to, jak losują programy, w tekście o algorytmach losowania w komputerach.

Wzmacnianie losowości

Zespół nie budował od razu doskonałego generatora. Użył metody nazywanej wzmacnianiem losowości (ang. randomness amplification). Zaczyna się w niej od źródła niedoskonałego, które może mieć ukryty przechył, i usuwa ten przechył przy pomocy splątania kwantowego.

Niedoskonały generator nie decyduje o wyniku. Wybiera tylko, jaki pomiar zostanie wykonany na każdym z dwóch splątanych kubitów. Wyniki pomiarów trafiają potem do algorytmu, który zamienia je w ciąg bitów praktycznie wolny od przechyłu. Autorzy podkreślają w Nature, że samymi metodami klasycznymi takiego wzmocnienia zrobić się nie da. To jedno z zadań, w których fizyka kwantowa daje przewagę wprost.

Powstały ciąg zer i jedynek jest teraz naprawdę idealnie losowy i potrafimy to nawet certyfikować.

Najważniejsze jest tu słowo „certyfikować”. Wynik uznaje się za losowy, bo pomiary spełniły warunek fizyczny, którego nie da się podrobić. Zapewnienie producenta urządzenia nie ma tu znaczenia.

Jak wyglądał eksperyment

Układ składał się z dwóch chipów z kubitami nadprzewodzącymi, każdy z jednym kubitem. Oba schłodzono do temperatury bliskiej zera absolutnego i połączono 30-metrową rurą, również chłodzoną. Przez rurę przelatywały fotony mikrofalowe, które splątały kubity ze sobą.

Odległość 30 metrów ma znaczenie. Światło pokonuje ją w czasie dłuższym niż trwa jeden pomiar, więc żadna informacja nie zdąży przejść z jednego chipa do drugiego. To wyklucza sytuację, w której jeden kubit „podpowiada” wynik drugiemu. Test Bella bez takich furtek nazywa się w fizyce testem bez luk (ang. loophole-free). Ten sam zespół wykonał taki test na obwodach nadprzewodzących już wcześniej, w 2023 roku.

Nowe było połączenie dwóch cech. Protokół wzmacniania losowości wymaga testu, który jednocześnie mocno narusza nierówność Bella i wykonuje bardzo dużo powtórzeń. Wcześniej udawało się osiągnąć jedno albo drugie: dokładne eksperymenty były wolne, a szybkie zbyt niedokładne, żeby posłużyć za dowód.

Test Bella jako dowód

Test Bella porównuje wyniki pomiarów dwóch splątanych cząstek. Jeśli wyniki byłyby ustalone z góry, w jakikolwiek sposób i przez jakikolwiek ukryty mechanizm, ich korelacje nie mogłyby przekroczyć pewnej granicy. Tę granicę opisuje nierówność Bella, sformułowana przez Johna Bella w 1964 roku.

Splątane cząstki ją przekraczają, co potwierdziły eksperymenty nagrodzone Noblem z fizyki w 2022 roku. Skoro korelacje wykraczają poza granicę klasyczną, wyniki nie mogły zostać zaplanowane wcześniej. Ta sama cecha, która wyklucza oszustwo, dowodzi więc, że wynik jest losowy.

Taką losowość nazywa się niezależną od urządzenia. Nie trzeba ufać, że aparatura działa idealnie i nie ma ukrytych wad. Wystarczy zaobserwować naruszenie nierówności Bella w odpowiednio szczelnym teście.

Znaczenie dla kryptografii

Klucze szyfrujące, tokeny sesji i podpisy cyfrowe są bezpieczne tylko wtedy, gdy atakujący nie odgadnie użytych liczb. Każdy przechył generatora zmniejsza liczbę możliwości, które trzeba sprawdzić, i ułatwia atak.

Komunikat ETH Zürich wymienia kilka możliwych zastosowań certyfikowanej losowości: szyfrowanie poufnej komunikacji i tożsamości cyfrowej, publiczne źródła losowości dla loterii i aplikacji opartych na blockchainie oraz systemy komunikacji kwantowej. Badacze porównują swoją pracę do zegarów atomowych. Zegar atomowy stał się wzorcem, na którym opiera się pomiar czasu, a certyfikowana losowość mogłaby pełnić podobną rolę w bezpieczeństwie cyfrowym.

Co to zmienia na co dzień

Na razie niewiele. To eksperyment laboratoryjny, a nie produkt. Kubity muszą pracować w temperaturze bliskiej zera absolutnego, a cały układ zajmuje laboratorium z 30-metrową chłodzoną linią. Komunikat uczelni nie podaje, ile bitów na sekundę taki system wytwarza.

Do losowania nagród, gier, planowania doświadczeń, nauki i testowania programów wystarczą szybkie generatory pseudolosowe. Tam, gdzie chodzi o bezpieczeństwo, sprawdzają się dojrzałe generatory kryptograficzne i sprzętowe, z których korzysta na przykład nasz generator haseł. Wynik z ETH Zürich daje wzorzec, z którym można te rozwiązania porównywać.

Jeśli potrzebujesz liczb do konkursu, gry albo eksperymentu, wylosuj je w generatorze liczb losowych. O tym, jak dawniej radzono sobie z losowaniem, piszemy w artykule o historii generatorów liczb losowych, a o losowości w nowych technologiach w tekście o liczbach losowych w uczeniu maszynowym.

Często zadawane pytania