量子加密惊现破绽？潘建伟告诉你破绽在哪里

编者按

3月12日，有媒体报道称，攻破量子加密技术可能并不需要什么神兵利器，因为量子加密技术本身就存在物理缺陷。报道援引了上海交通大学金贤敏研究组的一篇尚未正式发表的工作。

3月14日，清华大学王向斌、中国科学技术大学潘建伟等量子研究者撰文解释了量子加密技术的破绽到底在哪里。他们指出，虽然现实中量子通信器件并不严格满足理想条件的要求，但是在理论和实验科学家的共同努力之下，量子保密通信的现实安全性正在逼近理想系统。

关于更多量子通信安全的讨论，欢迎阅读Physics World在2018年12月发表的“量子时代的千年虫危机”。

关于量子保密通信现实安全性的讨论

撰文 | 王向斌 马雄峰 （清华大学）

          徐飞虎  张    强  潘建伟 （中国科学院量子信息与量子科技创新研究院，中国科学技术大学）

● ● ●

近来，某微信公众号发表了一篇题为“量子加密惊现破绽”的文章，宣称“现有量子加密技术可能隐藏着极为重大的缺陷”。其实该文章最初来源于美国《麻省理工科技评论》的一篇题为“有一种打破量子加密的新方法” 的报道，该报道援引了上海交通大学金贤敏研究组的一篇尚未正式发表的工作。

此文在微信号发布后，国内很多关心量子保密通信发展的领导和同事都纷纷转来此文询问我们的看法。事实上，我们以往也多次收到量子保密通信安全性的类似询问，但一直未做出答复。这是因为学术界有一个通行的原则：只对经过同行评审并公开发表的学术论文进行评价。但鉴于这篇文章流传较广，引起了公众的关注，为了澄清其中的科学问题，特别是为了让公众能进一步了解量子通信，我们特撰写此文，介绍目前量子信息领域关于量子保密通信现实安全性的学界结论和共识。

现有实际量子密码（量子密钥分发）系统主要采用 BB84 协议，由 Bennett 和 Brassard 于1984年提出 [1] 。与经典密码体制不同，量子密钥分发的安全性基于量子力学的基本原理。即便窃听者控制了通道线路，量子密钥分发技术也能让空间分离的用户共享安全的密钥。学界将这种安全性称之为 “无条件安全” 或者 “绝对安全”，它指的是有严格数学证明的安全性。20世纪90年代后期至2000年，安全性证明获得突破，BB84协议的严格安全性证明被 Mayers, Lo, Shor-Preskill 等人完成 [2-4]。

后来，量子密钥分发逐步走向实用化研究，出现了一些威胁安全的攻击 [5, 6]，这并不表示上述安全性证明有问题，而是因为实际量子密钥分发系统中的器件并不完全符合上述（理想）BB84 协议的数学模型。归纳起来，针对器件不完美的攻击一共有两大类，即针对发射端——光源的攻击和针对接收端——探测器的攻击。

“量子机密惊现破绽”一文援引的实验工作就属于对光源的木马攻击。这类攻击早在二十年前就已经被提出 [5]，而且其解决方案就正如文章作者宣称的一样 [7]，加入光隔离器这一标准的光通信器件就可以了。该工作的新颖之处在于，找到了此前其他攻击没有提到的控制光源频率的一种新方案，但其对量子密码的安全性威胁与之前的同类攻击没有区别。尽管该工作可以为量子保密通信的现实安全性研究提供一种新的思路，但不会对现有的量子保密通信系统构成任何威胁。其实，自 2000 年初开始，科研类和商用类量子加密系统都会引入光隔离器这一标准器件。举例来说，现有的商用诱骗态 BB84 商用系统中总的隔离度一般为 100dB，按照文章中的攻击方案，需要使用约 1000 瓦的激光反向注入。如此高能量的激光，无论是经典光通信还是量子通信器件都将被破坏，这就相当于直接用激光武器来摧毁通信系统，已经完全不属于通信安全的范畴了。

而对光源最具威胁而难以克服的攻击是“光子数分离攻击” [6]。严格执行 BB84 协议需要理想的单光子源。然而，适用于量子密钥分发的理想单光子源至今仍不存在，实际应用中是用弱相干态光源来替代。虽然弱相干光源大多数情况下发射的是单光子，但仍然存在一定的概率，每次会发射两个甚至多个相同量子态的光子。这时窃听者原理上就可以拿走其中一个光子来获取密钥信息而不被察觉。光子数分离攻击的威胁性在于，不同于木马攻击，这种攻击方法无需窃听者攻入实验室内部，原则上可以在实验室外部通道链路的任何地方实施。若不采用新的理论方法，用户将不得不监控整个通道链路以防止攻击，这将使量子密钥分发失去其“保障通信链路安全”这一最大的优势。事实上，在这个问题被解决之前，国际上许多知名量子通信实验小组甚至不开展量子密钥分发实验。2002年，韩国学者黄元瑛在理论上提出了以诱骗脉冲克服光子数分离攻击的方法 [8]；2004年，多伦多大学的罗开广、马雄峰等对实用诱骗态协议开展了有益的研究，但未解决实用条件下成码率紧致的下界 [9]；2004年，华人学者王向斌在《物理评论快报》上提出了可以有效工作于实际系统的诱骗态量子密钥分发协议，解决了现实条件下光子数分离攻击的问题 [10]；在同期的《物理评论快报》上，罗开广、马雄峰、陈凯等分析了诱骗态方法并给出严格的安全性证明 [11]。在这些学者的共同努力下，光子数分离攻击问题在原理上得以解决，即使利用非理想单光子源，同样可以获得与理想单光子源相当的安全性。2006年，中国科技大学潘建伟等组成的联合团队以及美国 Los-Alamos 国家实验室-NIST 联合实验组同时利用诱骗态方案，在实验上将光纤量子通信的安全距离首次突破 100 km，解决了光源不完美带来的安全隐患 [12-14]。后来，中国科技大学等单位的科研团队甚至把距离拓展到 200 km 以上。

第二类可能存在的安全隐患集中在终端上。终端攻击，本质上并非量子保密通信特有的安全性问题。如同所有经典密码体制一样，用户需要对终端设备进行有效管理和监控。量子密钥分发中对终端的攻击，主要是指探测器攻击，假定窃听者能控制实验室内部探测器效率。代表性的具体攻击办法是，如同 Lydersen等 [15] 的实验那样，输入强光将探测器“致盲”，即改变探测器的工作状态，使得探测器只对他想要探测到的状态有响应，或者完全控制每台探测器的瞬时效率，从而完全掌握密钥而不被察觉。当然，针对这个攻击，可以采用监控方法防止。因为窃听者需要改变实验室内部探测器属性，用户在这里的监控范围只限于实验室内部的探测器，而无需监控整个通道链路。

尽管如此，人们还是会担心由于探测器缺陷而引发更深层的安全性问题，例如如何完全确保监控成功，如何确保使用进口探测器的安全性等。2012年，罗开广等 [16] 提出了“测量器件无关的（MDI）”量子密钥分发方案，可以抵御任何针对探测器的攻击，彻底解决了探测器攻击问题。另外，该方法本身也建议结合诱骗态方法，使得量子密钥分发在既不使用理想单光子源又不使用理想探测器的情况下，其安全性与使用了理想器件相当。2013年，潘建伟团队首次实现了结合诱骗态方法的 MDI 量子密钥分发，后又实现了 200 km量子 MDI 量子密钥分发 [17, 18]。至此，主要任务就变成了如何获得有实际意义的成码率。为此，清华大学王向斌小组提出了4强度优化理论方法，大幅提高了MDI 方法的实际工作效率 [19]。采用此方法，中国科学家联合团队将 MDI 量子密钥分发的距离突破至 404 km [20]，并将成码率提高两个数量级，大大推动了 MDI 量子密钥分发的实用化。

总之，虽然现实中量子通信器件并不严格满足理想条件的要求，但是在理论和实验科学家的共同努力之下，量子保密通信的现实安全性正在逼近理想系统。目前学术界普遍认为测量器件无关的量子密钥分发技术，加上自主设计和充分标定的光源可以抵御所有的现实攻击 [21, 22]。此外，还有一类协议无需标定光源和探测器，只要能够无漏洞地破坏Bell 不等式，即可保证其安全性，这类协议称作“器件无关量子密钥分发协议” [23]。由于该协议对实验系统的要求极为苛刻，目前还没有完整的实验验证，近些年的主要进展集中在理论工作上。由于器件无关量子密钥分发协议并不能带来比 BB84 协议在原理上更优的安全性，加之实现难度更大，在学术界普遍认为这类协议的实用价值不高。

综上所述，正如我们目前应邀为国际物理学权威综述期刊《现代物理评论》所撰写的关于量子通信现实安全性的论文中所指出的那样 [24]，过去二十年间，国际学术界在现实条件下量子保密通信的安全性上做了大量的研究工作，信息论可证的安全性已经建立起来。中国科学家在这一领域取得了巨大成就，在实用化量子保密通信的研究和应用上创造了多个世界记录，无可争议地处于国际领先地位 [25]。令人遗憾的是，某些自媒体在并不具备相关专业知识的情况下，炒作出一个吸引眼球的题目对公众带来误解，对我国的科学研究和自主创新实在是有百害而无一利。

鉴于量子保密通信信息论可证的安全性已经成为国际量子信息领域的学界共识，此后，除非出现颠覆性的科学理论，我们将不再对此类问题专门回复和评论。当然，对量子通信感兴趣的读者，可参阅我们撰写的《量子通信问与答》了解更多的情况 [26]。 

本文首发于微信公众号《墨子沙龙》，《知识分子》获授权转载。

 参考文献：

[1].  C. H. Bennett and G. Brassard, Quantum cryptography: Public key distribution and coin tossing, in Proceedings of IEEE International Conference on Computers, Systems and Signal Processing, Bangalore, India (IEEE, New York, 1984), pp. 175–179.

[2]. H.-K. Lo, H.-F. Chau, Unconditional security of quantum key distribution over arbitrarily long distances, Science 283, 2050(1999).

[3]. P. W. Shor, J. Preskill, Simple proof of security of the BB84 quantum key distribution protocol, Physical review letters 85, 441 (2000).

[4]. D. Mayers, Unconditional security in quantum cryptography, Journal of the ACM (JACM) 48, 351 (2001).

[5]. A. Vakhitov, V. Makarov, D. R. Hjelme, Large pulse attack as a method of conventional optical eavesdropping in quantum cryptography, J. Mod. Opt. 48, 2023 (2001).

[6]. G. Brassard et al., Limitations on practical quantum cryptography, Physical Review Letters 85, 1330 (2000).

[8]. W.-Y. Hwang, Quantum key distribution with high loss: toward global secure communication, Physical Review Letters 91, 057901 (2003).

[9]. X. Ma, Security of Quantum Key Distribution with Realistic Devices, Master Report, University of Toronto, June (2004).

[10]. X.-B. Wang, Beating the photon-number-splitting attack in practical quantum cryptography, Physical Review Letters 94, 230503 (2005).

[11]. H.-K. Lo, X. Ma, K. Chen, Decoy state quantum key distribution, Physical Review Letters 94, 230504 (2005).

[12]. C.-Z. Peng et al., Experimental long-distance decoy-state quantum key distribution based on polarization encoding, Physical Review Letters 98, 010505 (2007).

[13]. D. Rosenberg, et al., Long-distance decoy-state quantum key distribution in optical fiber, Physical Review Letters 98, 010503 (2007).

[14]. T. Schmitt-Manderbach et al., Experimental demonstration of free-space decoy-state quantum key distribution over 144 km, Physical Review Letters 98, 010504 (2007).

[15]. L. Lydersen et al., Hacking commercial quantum cryptography systems by tailored bright illumination, Nature Photonics 4, 686 (2010).

[16]. H.-K. Lo, M. Curty, B. Qi, Measurement-device-independent quantum key distribution, Physical Review Letters 108, 130503 (2012).

[17]. Y. Liu et al., Experimental measurement-device-independent quantum key distribution, Physical Review Letters 111, 130502 (2013).

[18]. Y.-L. Tang et al., Measurement-device-independent quantum key distribution over 200 km. Physical Review Letters 113, 190501 (2014).

[19]. Y.-H. Zhou, Z.-W. Yu, X.-B. Wang, Making the decoy-state measurement-device-independent quantum key distribution practically useful, Physical Review A 93, 042324 (2016).

[20]. H.-L. Yin, et al., Measurement-device-independent quantum key distribution over a 404 km optical fiber, Physical Review Letters 117, 190501 (2016).

[21]. H.-K. Lo, M. Curty, and K. Tamaki, Secure quantum key distribution, Nature Photonics 8, 595 (2014).

[22]. Q. Zhang, F. Xu, Y.-A. Chen, C.-Z. Peng, J.-W. Pan, Large scale quantum key distribution: challenges and solutions, Opt.Express 26, 24260 (2018).

[23]. D. Mayers, A. C.-C. Yao, Quantum Cryptography with Imperfect Apparatus, in Proceedings of the 39th Annual Symposium on Foundations of Computer Science (FOCS’98), p. 503(1998); A. Acín et al., Device-Independent Security of Quantum Cryptography against Collective Attacks, Physical Review Letters 98,230501 (2007).

[24]. F. Xu, X. Ma, Q. Zhang, H.-K. Lo, J.-W. Pan, Quantum cryptography with realistic devices, in preparation for Review of Modern Physics (invited in 2018).

[25]. 王向斌，量子通信的前沿、理论与实践，《中国工程科学》，第20卷第6期，087-092页 (2018).

制版编辑 | 皮皮鱼

更多精彩文章：

▼▼▼点击“阅读原文”，与知识分子一起悦读2019。