量子之盾—打造防窃听和安全的量子通信系统

量子计算作为攻击的矛，RSA等公钥密码的安全性变得十分脆弱，PKI（公钥基础设施）这座大厦岌岌可危。为了应对这种挑战与威胁，一些研究机构开始致力研究和设计更安全的盾——抗量子密码体制算法（传输门：量子之矛——后量子计算时代你的系统还安全吗？）除此以外，还有其他措施吗？答案是肯定的。十分有意思的是，量子计算可以攻击传统密码（特别是公钥密码）；而量子通信却能抵抗量子计算。概括来讲“量子之矛可攻传统之密码，而量子之盾却可抵量子之矛”。

公钥密码等的安全性依赖的是复杂性理论，通常称为计算上安全性；而量子保密通信呢？它不再依赖于复杂性理论，而是量子理论（不可克隆和量子纠缠等）。本文接下来将介绍两个安全的量子通信系统：量子密钥分配系统和量子隐形传态系统。建议阅读用时6-9分钟。

一、量子密钥分配如何做到防窃听

1传统密钥分配

密钥分配是密码学重要的任务，密钥分配的安全性决定了通信的安全性。我们回顾一下传统密码的密钥分配场景和相关技术。

以密码学的情侣Alice和Bob为例，假设他们一个在北京，一个在上海，要进行安全的视频通话。视频通话软件采用AES算法（对称密码）加密，Alice的客户端将通话内容使用密钥key进行AES加密，发给Bob；Bob的客户端使用key对加密内容进行AES解密。那么问题来了，他们之间的密钥key是如何共享呢？直接的办法，是将Alice生成的key发给Bob。然而，这是万万不能的，在开放的网络环境中，有无数双耳朵在窃听。一旦密钥key被不法分子（Eve）窃取，加密的内容将毫无安全性可言。

为了解决这个问题，通常需要结合公钥密码技术，如图1所示。Alice使用Bob的公钥将key进行RSA加密，然后将加密的密钥发给Bob，Bob使用自己的私钥即可解密获得key，这样完成了密钥分配。在此过程中，Eve由于没有Bob私钥，无法解密和窃取key。

图1 传统密码的密钥分配方式

然而，这种分配方式由于使用了RSA等公钥加密算法，它的安全性正受到量子计算（Shor算法）的挑战和威胁。比如攻击者可能会采取“先存储后攻击”的思路，收集与备份一些加密数据，等到量子计算机一旦使用化，进行密钥破解和数据解密。

2量子密钥分配

除以上的方式外，量子密钥(Quantum Key Distribution, QKD) 提供了另一种更加安全的密钥分配方式。如图2所示。在此过程中，需要两条信道：量子信道和经典信道。前者用来传输量子比特，即量子形式的密钥；后者用来传输有助于接收端检测量子比特的辅助信息，以经典比特的形式传输。综合两条信道的信息，Bob和Alice将得到相同的密钥。

图2 量子密钥分配方式

比较经典的量子密钥分配方案是BB84协议，它是第一个实用型量子密钥分配协议，由Brassard与Bennett在1984 年联合提出，故取其名，其示意图如图3所示。

图3 BB84协议示意图[1]

假设Alice和Bob使用的是光量子系统，光的偏振态编码为量子信息，不同的偏振态代表量子比特∣0〉或∣1〉（传送门：转变思维，打开量子的大门）。如图3，Alice有四种偏振片，水平和垂直方向（组成一组正交基）、－45°和+45°方向（组成一组正交基），因此可以制备四种不同偏振方向的光量子，分别代表∣0〉、∣1〉、∣0〉和∣1〉。如图3，Bob有两种测量基，第一种可以接收和测量水平或垂直方向的光量子，判断是∣0〉还是∣1〉；同理第二种能接收和测量－45°或+45°的光量子，是∣0〉还是∣1〉。

有趣的现象：接收端必须使用正确的测量基，才能正确地测出量子比特（光量子的偏振态）；使用错误的测量基，测量结果将发生错误，同时光量子的偏振态发生改变，如图4所示。

图4 测量基对测量结果的影响[1]

有了以上基础后，理解BB84协议将变得相对容易，其主要步骤如下：

量子信道部分

(1) Alice发送随机的量子比特串给Bob。Alice随机选择四种偏振片，制备不同偏振状态的光量子，得到足够多的随机量子比特并将其发送给Bob。

(2) Bob随机选择测量基测量量子比特。由于Bob并不知道光量子是由发送端那一种测量基编码的，所以他也只能随机选择测量基来进行测量。当选择正确的测量基时，测量的结果正确。当使用错误的测量结果时，测量结果错误。

经典信道部分

(3) Bob将使用的测量基发送给Alice。

(4) Alice将接收的测量基与使用的测量基进行比较，并通过信息告诉Bob哪些位置的测量基是正确的。

(5) Bob根据Alice的消息剔除错误的量子比特，并将选择少部分正确的测量结果告诉Alice。

(6) Alice确认Bob测量结果的正确性。若错误，则说明存在量子信道可能存在窃听，停止通信或者返回第 (1) 步。若正确，剔除部分的量子比特，剩下的二进制串作为最终的密钥。并发送确认信息给Bob。

(7) Bob收到确认信息。同样剔除部分的量子比特，剩下的二进制串作为最终的密钥。

写到这里，也许你有疑问。这样真的能做到防窃听吗？

是的。如图2，如果Eve在量子信道中旁路窃听，由于量子不可克隆，因此Eve无法复制出一份相同的量子比特副本；如果他在量子信道中直接测量光量子，由于Eve不知正确的测量基，他也会随机选择，有50%的概率选择正确，50%的概率选择错误。若选择的测量基错误，有上述的有趣的现象可知，测量结果错误，同时光量子的偏振态发生改变。当协议的步骤由 (2) 执行到 (6) 时，Alice将发现到量子信道的窃听，那么她将终止这一过程。

如果在经典信道进行窃听呢？实际上也是无效的。即使Eve知道了测量基信息（步骤 (3)），然而由于量子不可克隆，无法得到正确的量子比特串副本。由以上分析可知，BB84协议基于量子不可克隆等原理，实现安全的密钥分配过程。

二、量子隐形传态如何瞬间转移

除了量子密钥分配外，还有另一种量子通信技术——量子隐形传态 (Quantum Teleportation) 。它具有“超时空的”特异功能——粒子的瞬间转移。

具体来说，它利用量子纠缠特性将某个未知的量子态瞬间从A地传送到B地（A和B可能距离很远），而未知的量子仍在A处。

其处理流程相比BB84协议十分简单，同样假设情侣Alice和Bob要进行通信，如图所示5所示，其主要步骤如下：

(1) 制备两个有纠缠的EPR量子（粒子）对，然后将其分开，Alice和Bob各持一个，分别是粒子1和粒子2。

(2) Alice粒子1和某一个未知量子态的粒子3进行联合测量，然后将测量结果通过经典信道传送给接Bob。

此时，神奇的事情发生了：Bob持有的粒子2将随着Alice测量同时发生改变，由一量子态变成新的量子态。

(3) Bob根据接收的息和拥有粒子2做相应幺正变换（一种量子计算变换），根据这些信息，可以重构出粒子3的全貌。

图5 量子隐形传态原理图

粒子3瞬间从A地转移到了B地，似乎存在一个“隐藏的量子信道”，这个传输过程理论上超时空的，超光速的传输。这看似与爱因斯坦的《相对论》矛盾。但由于仍然需要使用经典信道，整个量子隐形传态过程是不可能超光速的，因此并不矛盾。

这个系统的安全性证明十分简单：假如攻击者Eve在经典信道进行了窃听，获得了经典信息，由于Eve并没有粒子2，它无法正确恢复出粒子3的量子态。因此攻击无法成功。

三、总结

在量子信息领域（包括量子计算）中，量子密钥分配（QKD）技术是目前研究最为成熟的量子技术，它已经逐步实现了商用化，主要面向的是政务、国防、金融等安全性要求很高的特定应用场景。理论上QKD可以实现“绝对安全”，然而在实践中由于设备和技术的缺陷，比如单光子光源难以实现，因此现实中难以达到“绝对安全”，仍然存在一些漏洞的攻击。与传统密码一样，“如何攻？”和“如何防？”也是量子密码研究的两个重要课题。量子隐形传态是一种非常有潜力的量子通信技术，在理论和试验上近年来均取得重要的进展。如2017年，我国发射的“墨子号”量子卫星实现了“地星量子隐形传态”试验，标志我国在量子通信领域跻身于世界前沿行列。

如果您想对量子信息技术有进一步的了解，欢迎查看原文，阅读我们的报告《漫谈量子信息技术：量子通信与量子计算》。

后话：微观世界，大有不同。微观的粒子（量子）有着宏观物体不具备“特异功能”：测不准、不可克隆、量子态纠缠和量子态叠加等。这些“反常的规律”给这个世界增加了更多的可能性，为信息技术的发展与突破提供了新的方向——量子通信和量子计算的快速发展。

关于量子信息技术的三篇科普文章到此结束，限于本人知识有限，避免不了疏忽与错误，如果您认为存在内容或观点的错误，非常欢迎您及时指出与交流。

参考文献：

[1] Makarov V. Quantum cryptography and quantum cryptanalysis [D]. 2007.

[2] Bennett C H, Brassard G. Quantum cryptography: Public key distribution and coin tossing [J]. Theor. Comput. Sci., 2014, 560(P1): 7-11.

[3] 徐兵杰，刘文林，毛钧庆，等. 量子通信技术发展现状及面临的问题研究[J]. 通信技术， 2014(5):463-468.[J]. Theoretical Computer Science, 2014, 560:7-11.

内容编辑：物联网安全实验室 陈磊 责任编辑：肖晴