복제 불가·BB84의 정보와 교란

1. 표지 복사와 미지의 상태 복사는 다르다

고전 bit는 controlled NOT으로 복사할 수 있다. $|0\rangle|0\rangle\mapsto|00\rangle$, $|1\rangle|0\rangle\mapsto|11\rangle$이다. 하지만 같은 장치가 모든 중첩 상태를 복사하지는 않는다. 복제 불가 정리는 미지의 상태 집합 각각을 복사하는 하나의 고정된 물리 연산이 가능한지를 묻는다. 고전적 설명을 아는 상태를 여러 번 새로 준비하는 것은 막지 않는다.

통신에서는 도청자가 비직교 미지 신호의 완벽한 복사본을 갖고, 또 다른 완벽한 복사본을 수신자에게 보낼 수 없다는 점이 중요하다. 이 제약이 양자 키 분배의 동기를 제공하지만 그 자체가 완전한 보안 증명은 아니다.

측정과 상태 변화, 회로 순서와 간섭을 복습하자.

2. 내적 보존에서 불가능성을 유도하자

고정된 빈 상태 $|b\rangle$와 유니터리 $U$가 $|\psi\rangle$, $|\phi\rangle$를 모두 복사한다고 가정하자. 추가 기계 레지스터가 없으면 내적 보존에 의해

여야 한다. 입력별 전역 위상을 허용해도 크기에 대해 $|s|=|s|^2$이므로 $|s|=0$ 또는 1이다. 서로 다른 비직교 ray는 동시에 복제할 수 없다. 직교 상태에는 이 장애가 없으며, 같은 ray는 물리적으로 다른 두 대안이 아니다.

나중에 버리는 기계 레지스터를 넣어도 해결되지 않는다. 완벽한 두 순수 복사본이 나오면 전체 출력은 $|\psi\psi\rangle|e_\psi\rangle$로 분리되어야 한다. 등거리 확장에서는 $|s|=|s|^2|\langle e_\psi|e_\phi\rangle|\le|s|^2$가 되어 $0<|s|<1$과 모순된다. 이 논증은 결정론적 정확 복제를 다루며, 명시된 오차를 허용하는 근사 복제를 배제하는 말은 아니다.

3. CNOT에 중첩 상태를 넣어 보자

$|\psi\rangle=\alpha|0\rangle+\beta|1\rangle$와 빈 상태 $|0\rangle$에 대해

다. 원하는 곱 복사본은

로 다르다. $|+\rangle$를 넣으면 두 $|+\rangle$가 아니라 Bell 쌍이 나온다. 실제 각 주변 상태는 $I_2/2$지만 원하는 주변 상태는 $|+\rangle\langle+|$다. 계산 기저에서 두 출력 표지가 같게 나오는 그림만 보면 이 차이를 놓치므로 밀도행렬도 비교해야 한다.

정규화된 복소 진폭에서 실제 주변 상태는 $\operatorname{diag}(|\alpha|^2,|\beta|^2)$다. 의도한 순수 복사본과의 제곱 충실도는 $|\alpha|^4+|\beta|^4$이며, 두 크기가 같으면 $1/2$다. 상대 위상 정보가 각 부분계에서는 사라졌다.

4. BB84의 네 신호 상태

Alice는 균등한 무작위 bit와 독립적인 균등 무작위 기저 $Z/X$를 선택한다.

같은 기저의 상태는 직교하고, 다른 기저 사이에서는 겹침의 제곱이 모두 $1/2$다. Bob도 독립적으로 균등한 $Z/X$ 측정을 선택한다. 이상적인 잡음 없는 전송에서 기저가 같으면 올바른 bit를 얻고, 다르면 결과가 균등해 Alice의 bit를 알려 주지 않는다.

기저는 나중에 공개하지만 유지한 모든 위치의 bit까지 공개하지는 않는다. 공개 시점도 프로토콜의 일부다.

5. 기저 선별은 분모를 바꾼다

Alice와 Bob은 인증된 공개 고전 채널에서 기저를 비교하고 같은 기저를 쓴 위치만 유지한다. 독립 균등 선택이면

다. 선별 후 양자 bit 오류율은

다. 버릴 위치까지 포함한 전체 전송 오류 비율과 다르다. 시각화에서는 전송 흐름 → 기저 선별 → 남은 오류 수의 순서를 보여 주고 분모를 명시해야 한다.

인증은 공격자가 고전 토론에서 상대를 사칭하지 못하게 한다. 누구나 내용을 변조할 수 있고 이를 감지하지 못하는 채널은 부족하다. 토론 내용의 비밀성과 인증은 별개의 요구다.

6. 가로채기·재전송 공격을 열거하자

이상적 공격에서 Eve는 신호를 가로채고 기저를 골라 사영 측정한 뒤, 결과 고유상태를 Bob에게 보낸다. 먼저 모든 신호를 공격하고 기저를 균등하게 고른다고 하자.

기저 선별 조건 아래 Eve가 Alice와 같은 기저를 쓸 확률은 $1/2$다. 이때 bit를 알고 오류는 없다. 다른 기저를 쓸 확률도 $1/2$인데, Eve의 결과는 Alice와 독립이고 Bob의 올바른 기저 측정이 틀릴 확률은 $1/2$다. 따라서

다. 수치 모형은 Alice의 기저/bit, Bob의 기저/bit, Eve의 기저/결과를 직접 열거한다. 공격하지 않은 가지까지 합치면 80행이며 일부 가중치는 0이다. 정확한 가지 확률의 합은 선별 전 1, 선별 후 $1/2$다.

7. 공격 비율·기저 편향·도청자의 정보

각 신호를 독립적으로 확률 $f$로 공격하면 이상적인 선별 후 QBER는 $f/4$다. 기저 공개 후 Eve는 자신이 공격한 위치 중 어떤 곳에서 올바른 기저를 썼는지 안다. 공격한 선별 bit의 절반은 정확히 알고 나머지에서는 이 모형상 정보를 얻지 못한다.

따라서 선별 bit당 조건부 정보는 $f/2$ bit, 최적 추측 성공률은 $1/2+f/4$다. $f=2/5$이면 오류율 $1/10$, 정보량 $1/5$ bit, 추측 성공률 $3/5$다. 어느 값도 최종 비밀 키 생성률 자체는 아니다.

Eve가 확률 $e$로 $Z$를 고르면

다. $Z$만 선택하면 유지한 $Z$ 위치의 교란은 없지만 $X$ 위치의 오류율은 $f/2$다. 전체 평균만 보면 놓칠 구조를 기저별 점검으로 드러낼 수 있다.

8. 표본은 오류를 놓칠 수 있다

이 독립 동일 분포 공격 모형에서 선별 위치 $m$개를 독립 표본으로 검사하면

다. 전면 공격과 $m=20$이면 $1-(3/4)^{20}\approx0.996829$다. 그래도 오류 없는 표본이 나올 수 있다. $m=0$이면 탐지 확률은 0이다.

이 값은 공격을 가정했을 때의 가능도이며, Eve 존재의 사후확률이나 비밀성의 일반 신뢰 보증이 아니다. 유한 모집단 비복원 추출, 배경 잡음, 상관된 공격, 적대적 양자 메모리에는 다른 분석이 필요하다. 검사 때문에 공개한 bit도 최종 키 재료에서 제외해야 한다.

9. 해설과 함께 푸는 문제

1. 비직교 쌍. 같은 결정론적 장치가 $|0\rangle$, $|+\rangle$를 모두 정확히 복제할 수 있을까? 해설: 겹침 크기 $1/\sqrt2$가 그 제곱과 달라 불가능하다.
2. CNOT 출력. $|+\rangle|0\rangle$를 넣으면 각 주변 상태는? 해설: $I_2/2$다. 완벽한 복사본의 주변 상태 $|+\rangle\langle+|$와 다르다.
3. 기저 선별. 독립 균등 기저에서는 얼마나 남는가? 해설: 다른 공개·후처리 전에는 기대 비율 $1/2$다.
4. 부분 공격. $f=2/5$일 때 선별 후 오류율은? 해설: $1/10$이다. 선별된 오류의 무조건부 확률은 $1/20$이다.
5. 편향된 Eve. $e=f=1$이면? 해설: $q_Z=0$, $q_X=1/2$, 평균 $q=1/4$다. $Z$만 검사하면 교란을 놓친다.
6. 오류 없는 검사. 이것만으로 키가 안전할까? 해설: 표본이 오류를 놓칠 수 있고, 모형에는 매개변수 추정 상계나 완전한 보안 증명이 없다.

10. 보안 프로토콜이 되기까지 남은 것

완전한 키 분배 분석에는 장치 가정, 인증된 토론, 매개변수 추정, 오류 정정 누출, 프라이버시 증폭, 유한 키 보안 정의가 필요하다. 가로채기·재전송 계산만으로 이를 증명할 수 없다. 여기서 보편적인 QBER 임계값이나 최종 키 길이를 추론하지 않는다.

AI 연구와 연결되는 습관은 정보량·정확도를 비교하기 전에 관측 모형과 조건 사건을 명시하는 것이다. 수치 모형은 정확한 교육용 열거이며 Worker·조작 화면·실제 reader 등록은 남아 있다.

역사적 일차 자료는 2020년에 아카이브된 Bennett·Brassard의 1984년 논문이다. 아카이브 날짜를 프로토콜의 발명 시점으로 읽으면 안 된다. 위 계산과 예제는 이 교육과정에 맞추어 작성했다.