Gilles Brassard, BB84 e il Turing Award 2025 per l'informazione quantistica

Il 18 marzo 2026 l'Association for Computing Machinery ha assegnato a Gilles Brassard, informatico della Université de Montréal, e a Charles H. Bennett, fisico di IBM Research, l'A.M. Turing Award 2025. Il premio vale 1 milione di dollari, con il sostegno finanziario di Google. La motivazione riconosce loro di aver posto le basi della scienza dell'informazione quantistica e di aver trasformato la comunicazione e il calcolo sicuri. È il primo Turing Award incentrato sulla scienza dell'informazione quantistica. Il cuore del lavoro è un protocollo del 1984, il BB84, che permette a due parti di concordare una chiave segreta la cui segretezza poggia sulla fisica e non sulla difficoltà di un problema matematico.

01Da una nuotata in conferenza a un protocollo

Il percorso di Brassard nel settore è iniziato nei primi anni della crittografia accademica. Secondo la Université de Montréal (UdeM), vi ha iniziato gli studi nel 1968, a 13 anni, e in seguito ha conseguito un Ph.D. in informatica teorica alla Cornell. L'UdeM afferma che la sua tesi dimostrò l'esistenza teorica di un «oracolo» che avrebbe reso dimostrabilmente sicura la crittografia a chiave pubblica. Ottenne il dottorato a 24 anni e divenne professore assistente a Montréal.

L'incontro decisivo avvenne nel 1979, all'IEEE Symposium on Foundations of Computer Science a Porto Rico. Brassard era andato a fare una nuotata e Bennett, allora al Watson Research Center di IBM, lo raggiunse a nuoto per parlargli di un amico, Stephen Wiesner, che aveva mostrato come gli effetti quantistici potessero produrre banconote non falsificabili. Il manoscritto di Wiesner risale al 1969 circa, ma fu pubblicato solo nel 1983. Nel 1982 i tre firmarono insieme il primo articolo di crittografia quantistica nel suo genere.

Il problema affrontato da Bennett e Brassard era la distribuzione delle chiavi. I cifrari simmetrici sono veloci, ma entrambe le parti devono condividere un segreto. Gli schemi a chiave pubblica evitano la condivisione preventiva, ma la loro sicurezza poggia su ipotesi relative a calcoli difficili. Brassard ha dichiarato che non lo fecero perché si aspettassero il fallimento della crittografia esistente. Ha detto che non inventarono lo stabilimento quantistico delle chiavi nella convinzione che l'infrastruttura crittografica sarebbe crollata. L'algoritmo di Peter Shor del 1994 rese poi concreto quel timore: permetterebbe a un computer quantistico di violare rapidamente gli schemi classici di stabilimento delle chiavi su cui si regge l'infrastruttura a chiave pubblica.

02Come funziona il BB84

L'articolo del 1984, «Quantum Cryptography: Public Key Distribution and Coin Tossing», mostrò che due parti possono stabilire una chiave segreta con una sicurezza garantita dalla fisica, anche contro avversari dotati di potenza di calcolo illimitata, come un computer quantistico. Nella versione standard basata sulla polarizzazione dei fotoni, i passaggi sono i seguenti:

• Preparazione. Il mittente, convenzionalmente Alice, sceglie per ogni fotone un bit casuale e una base casuale. I quattro stati sono le polarizzazioni verticale, orizzontale, a 45 gradi e a 135 gradi.
• Misura. Il ricevente, Bob, sceglie una tra due basi, rettilinea o diagonale, per misurare ogni fotone.
• Sifting. Confrontano le basi scelte su un canale classico autenticato. Scartano i risultati in cui le basi differiscono e conservano gli altri. Sopravvive circa metà dei dati.
• Stima dell'errore. Confrontano un campione casuale dei bit filtrati per ricavare un tasso di errore quantistico sui bit. Se è troppo alto, interrompono la procedura. Altrimenti eseguono la correzione degli errori e l'amplificazione della privacy per distillare la chiave segreta.

La sicurezza discende dalla meccanica quantistica. Le due basi di Alice sono coniugate, quindi una misura nella base sbagliata dà un risultato casuale e disturba lo stato. Chi intercetta non sa quale base sia stata usata per ciascun fotone. Misurare e rinviare introduce perciò errori rilevabili; nel caso da manuale dell'intercept-and-resend la chiave filtrata mostra circa un quarto dei bit errati. Una sintesi universitaria lo riassume così: qualsiasi tentativo di intercettazione lascia tracce rilevabili. L'amplificazione della privacy riduce poi la chiave per eliminare qualunque informazione parziale che un attaccante possa aver raccolto al di sotto della soglia di interruzione.

Un punto è facile da trascurare. Il BB84 non elimina la necessità dell'autenticazione. Il canale classico deve essere autenticato e, se ciò avviene con firme a chiave pubblica, la garanzia informazionale vale solo per le chiavi stabilite prima che quelle firme vengano violate. In pratica si usa un piccolo segreto condiviso in anticipo, che il protocollo poi espande.

03Dal banco di laboratorio alla fibra e al satellite

La teoria venne per prima e l'esperimento richiese anni. La prima dimostrazione arrivò nel 1989, cinque anni dopo la proposta. Una rassegna del settore descrive quell'apparato come basato su impulsi laser fortemente attenuati anziché su veri fotoni singoli, inviati attraverso 30 cm di aria libera a 10 Hz. Un profilo di Communications of the ACM indica invece un canale di 32 cm e risultati pubblicati nel 1992. Secondo IBM, Bennett costruì il dispositivo nel suo ufficio, con specchi, polarizzatori e rivelatori di fotoni, mentre il software fu opera di Brassard e dei suoi studenti.

La distanza fu l'ostacolo iniziale. La stessa rassegna osserva che l'allineamento ottico in spazio libero limitava la portata e che nel 1993 alcuni gruppi avevano dimostrato QKD in fibra su 10 km di fibra per telecomunicazioni. Un'indagine dei primi anni Duemila rilevò che queste realizzazioni soffrivano ancora di bit rate bassi e di una tratta massima intorno ai 100 km, e citava un tasso di chiave segreta di 210 Hz su 23 km. Si tratta di cifre datate e non ho verificato quelle attuali per questo articolo. Il resoconto di IBM afferma che il metodo è stato da allora usato sperimentalmente fino a 1.200 km tra un satellite e la Terra.

I vincoli sono strutturali. I fotoni non possono essere amplificati come i segnali classici, perché un ripetitore quantistico deve preservare stati fragili. I dispositivi reali si discostano inoltre dal modello idealizzato, ed è per questo che la letteratura include lavori sulla QKD sicura con dispositivi realistici. Impulsi laser deboli, difetti dei rivelatori e canali laterali sono i punti deboli abituali. La definizione dell'UdeM del BB84 come inviolabile «in teoria» va letta con questa cautela: le dimostrazioni riguardano il protocollo, mentre all'ingegneria spetta colmare il divario con l'hardware.

04Teletrasporto e un campo più ampio

Il contributo di Brassard va oltre la distribuzione delle chiavi. L'UdeM afferma che contribuì a inventare il teletrasporto quantistico, ponendone le basi nel 1992 con Claude Crépeau, oggi alla École de technologie supérieure. L'ACM colloca l'introduzione nel 1993, con altri collaboratori. Le due date riflettono probabilmente i tempi della ricerca rispetto a quelli della pubblicazione, anche se non l'ho potuto confermare. La tecnica combina comunicazione classica ed entanglement, che da solo non ha alcuna capacità di comunicazione. La glossa di Bennett è che si tratta di un modo per spostare dati all'interno di un computer quantistico, non per spostare oggetti.

Per gli ingegneri, il punto pratico è che l'entanglement è diventato una risorsa misurabile. L'ACM afferma che il lavoro della coppia sta alla base anche delle reti quantistiche e dei sistemi di calcolo quantistico su larga scala, insieme alla distillazione dell'entanglement. CIFAR, che annovera Brassard tra i suoi membri dal 2002, attribuisce alla coppia il merito di aver gettato un ponte tra fisica e informatica.

05Che cosa significa il premio e che cosa resta aperto

Brassard ha presentato il premio come un argomento a sostegno della sua tesi. Nel comunicato dell'UdeM ha detto che lo aiuterà a sostenere che dobbiamo smettere di affidarci solo a un'infrastruttura crittografica obsoleta che cadrà non appena esisterà un computer quantistico a piena potenza. I tempi sono incerti. Nessuno può dire quando arriverà una macchina simile, quindi i piani di migrazione sono gestione del rischio, non previsioni.

Il BB84 non è nemmeno l'unica risposta. Nell'agosto 2024 il NIST ha finalizzato i suoi primi standard post-quantistici; FIPS 203 si basa su CRYSTALS-Kyber, ribattezzato ML-KEM. La crittografia post-quantistica funziona sull'hardware e sulle reti di oggi. Continua tuttavia a basarsi su ipotesi computazionali, ossia il compromesso che il BB84 era stato progettato per evitare. La QKD richiede collegamenti ottici dedicati, nodi fidati o satelliti, e canali autenticati. Nella maggior parte delle implementazioni si tratta di strumenti complementari, non sostitutivi.

I riconoscimenti che circondano il Turing Award segnalano quanta strada abbia fatto l'idea. Brassard e Bennett hanno condiviso il Breakthrough Prize in Fundamental Physics 2022; Brassard detiene inoltre il Wolf Prize in Physics ed è Fellow della Royal Society. L'UdeM afferma che è soltanto l'ottavo canadese a ricevere il Turing Award. Yoshua Bengio è l'altro vincitore dell'UdeM, nel 2018. Lo stesso Brassard ha detto che, quando lui e Bennett iniziarono, non immaginavano certo una tecnologia da miliardi di dollari. Per un protocollo dimostrato per la prima volta attraverso circa 30 centimetri di aria di laboratorio, è una distanza considerevole.