58、量子密码学与量子计算：从理论到实践的发展

量子密码学与量子计算：从理论到实践的发展

1. 量子密码学基础与密钥检测

在量子通信中，为确保通信不被窃听，Alice 和 Bob 会对部分位置进行抽查。例如，Alice 可能询问：“位置 7、13 和 16 你得到的是 0、1 和 0 吗？”若 Bob 给出肯定答复，他们就有信心认为没有窃听者，随后丢弃这些已透露的比特，将其余部分用作密钥。

在实际应用中，若要建立 128 比特的密钥，仅发送 256 个光子是不够的。因为 Bob 可能只猜对一半光子的过滤方案，且没有空间来检查是否存在窃听者。所以，Alice 明智的做法是发送 300 比特，这样既考虑到 Bob 可能运气不佳，也能有足够的随机检查值来高度确定无人窃听。

窃听者 Eve 有可能正确猜出 Alice 和 Bob 用于检查的所有比特的滤波器方向，但她猜对 n 比特的概率仅为 $(1/2)^n$。不过，她不被发现地窃听的概率略高，因为她有一半时间能猜对方向，即使猜错，也有一半的概率偶然得到正确值，所以她有 3/4 的时间能得出正确结论。因此，通过使用 n 个检查比特，Alice 和 Bob 能将 Eve 不被发现的概率降低到 $(3/4)^n$，并且可以根据需要将该概率降得足够小。

2. 量子密码学的历史背景

量子密码学的概念由 Charles H. Bennett 和 Gilles Brassard 提出，他们受到 Stephen Wiesner 的启发。Wiesner 曾利用测量偏振会改变状态这一特性，描述了一种不可伪造的货币形式。他的论文虽写于 1970 年左右，但直到 1983 年才发表。

Bennett 和 Brassard 最初的方案是让量子信号编码发送者的机密信息，若没有窃听者，接收者可解码；若窃听者试图拦截，信息会被破坏且不透露任何内容，合法接收者能检测到窃听行为。该方案是单向的，需要合法双方共享密钥，其创新之处在于，如果未检测到窃听，同一一次性密码本可安全重复使用。他们将相关论文“Quantum Cryptography II: How to reuse a one - time pad safely even if P = NP”提交给主要的理论计算机科学会议，但未被接受，且该论文至今未正式发表。

后来，他们提出了新方案，并在 1983 年的 IEEE 信息理论研讨会上进行了长篇展示。Brassard 认为此次发表的一页摘要为量子密钥分发提供了官方诞生证明。

尽管 Wiesner、Bennett 和 Brassard 的想法开始发表，但起初很少有人关注。1984 年，Brassard 受好友邀请在印度班加罗尔的 IEEE 会议上作关于量子密码学的演讲，相关的五页论文“Quantum Cryptography: Public key Distribution and Coin Tossing”截至 2020 年 10 月 13 日已获得 8417 次引用。

在 20 世纪 80 年代，很少有人认真对待量子密码学。1987 年，Doug Wiedemann 发表了与 1984 年 Bennett 和 Brassard 论文相同的方案，甚至也称之为量子密码学。

为了引起关注，Bennett 和 Brassard 在 1989 年 10 月成功实现了一个 32.5 厘米的秘密量子传输系统。尽管该原型存在噪音问题，但这次演示成为了转折点。此后，物理学家 Artur K. Ekert 利用量子纠缠实现了量子密钥分发，相关成果发表在物理期刊上，推动了量子密码学的广泛传播，相关结果还登上了《科学美国人》杂志。

量子密码学发展历程表格

时间	事件
1970 年左右	Wiesner 撰写关于不可伪造货币形式的论文
1983 年	Wiesner 论文发表；Bennett 和 Brassard 在 IEEE 信息理论研讨会展示新方案
1984 年	Brassard 在印度会议演讲，相关论文发表
1987 年	Doug Wiedemann 发表类似方案
1989 年	Bennett 和 Brassard 实现 32.5 厘米量子传输系统
1991 年	Artur K. Ekert 利用量子纠缠实现量子密钥分发
1992 年	量子密码学成果登上《科学美国人》杂志

量子密码学发展流程 mermaid 图

graph LR
    A[Wiesner 提出概念] --> B[Bennett 和 Brassard 初始方案]
    B --> C[方案被拒]
    C --> D[提出新方案并展示]
    D --> E[早期成果未受关注]
    E --> F[Brassard 演讲及论文受引用]
    F --> G[演示系统转折点]
    G --> H[Ekert 新方法推动传播]

3. 量子密码学的实践进展

随着时间的推移，量子密码学在实践应用方面取得了显著的进展。

在传输距离上，不断刷新纪录。起初，Bennett 和 Brassard 在 1989 年只能实现 32.5 厘米的量子传输。后来发展到 100 公里左右，许多专家认为这是没有“量子中继器”情况下的极限。因为读取信号会改变信号，所以实现不测量的中继器在 20 世纪 80 年代初被认为是不可能的，但后来科学家证明原则上是可行的，只是目前技术还达不到。2010 年 10 月下旬，佐治亚理工学院的研究人员取得突破，构建了能让量子比特传输 1000 公里以上的量子中继器。与此同时，光子在开放空间的传输记录达到了 144 公里，并且在 2007 年实现了单光子传输，这一转变意义重大，因为此前很多实验用相同偏振的光子组代表单个比特，虽提高了系统可靠性，但破坏了理论模型的安全性。

在实际应用方面，2009 年 10 月 21 日，量子密钥分发被用于瑞士选举中选票的安全传输。2011 年，一篇有 46 位作者的论文描述了东京量子密钥分发网络（Tokyo QKD Network）的实地测试情况。该网络实现了长达 135 公里的量子一次性密码本（One - Time Pad）加密，速率足以支持视频会议和移动电话通信。在 2010 年 10 月的演示中，系统成功检测到窃听者并进行了重新路由，参与者几乎没有察觉到中断。作者认为量子密钥分发在城域网中的实际应用可能即将实现，但也指出了此类网络可能存在的安全漏洞。

2016 年，中国建成了连接北京和上海的 2000 公里长的量子信道，途中设有 32 个“可信节点”来刷新信号，这些节点是潜在的薄弱环节。同年，中国还发射了用于量子密钥分发的卫星，到 2020 年，卫星已成功与地面上仅重 80 公斤的便携式站交换密钥。中国工商银行和中国人民银行也在使用该系统，不过采用的是更重但速度更快的地面站。

量子密码学实践进展表格

时间	事件
1989 年	Bennett 和 Brassard 实现 32.5 厘米量子传输
2002 年	科学家证明量子中继器原则上可行
2007 年	光子开放空间单光子传输成功
2009 年	量子密钥分发用于瑞士选举选票传输
2010 年	佐治亚理工学院构建量子中继器
2011 年	东京 QKD 网络实地测试
2016 年	中国建成 2000 公里量子信道并发射卫星
2020 年	卫星与便携式站成功交换密钥

量子密码学实践进展流程 mermaid 图

graph LR
    A[厘米级传输] --> B[百公里级传输]
    B --> C[量子中继器理论可行]
    C --> D[单光子开放空间传输]
    D --> E[实际应用于选举]
    E --> F[量子中继器构建成功]
    F --> G[城域网测试]
    G --> H[长距离信道与卫星应用]

4. 量子计算机与密码系统风险

传统计算机使用只能为 0 或 1 的比特进行运算，过去用真空管的 OFF 或 ON 来表示。而量子计算机使用量子粒子表示比特，量子比特（qubit）可以是 0、1 或者同时为 0 和 1。量子计算机能解决一些传统计算机无法解决的问题，并且能更快地解决其他问题。

例如，在传统计算机上，目前没有已知的多项式时间算法用于因数分解，但在量子计算机上有 Peter Shor 在 1994 年发现的算法，即 Shor 算法。Shor 还找到了在量子计算机上解决离散对数问题的多项式时间算法。这使得 RSA、Diffie - Hellman 和椭圆曲线密码学等公钥系统都面临风险。

不仅公钥系统受到威胁，对称块密码也不安全。1996 年，印度裔美国计算机科学家 Lov Grover 发现的 Grover 算法，能在量子计算机上将暴力破解 n 比特密钥的对称块密码所需的试验次数从 $2^n$ 减少到 $2^{n/2}$。这是因为量子比特能同时为 0 和 1 的特性，使得可以同时测试多个密钥。

2019 年 10 月 23 日《自然》杂志上一篇由 77 位作者（代表谷歌）撰写的论文中，摘要对拥有 53 个量子比特的量子计算机的强大能力进行了戏剧性的总结：他们的 Sycamore 处理器大约需要 200 秒对一个量子电路的实例进行一百万次采样，而目前的基准测试表明，最先进的经典超级计算机完成等效任务大约需要 10000 年。

量子计算机对密码系统影响表格

密码系统类型	受影响原因	相关算法
公钥系统（RSA、Diffie - Hellman、椭圆曲线密码学）	Shor 算法可解决因数分解和离散对数问题	Shor 算法
对称块密码	Grover 算法可减少暴力破解试验次数	Grover 算法

量子计算机与密码系统关系 mermaid 图

graph LR
    A[量子计算机] --> B[Shor 算法]
    A --> C[Grover 算法]
    B --> D[威胁公钥系统]
    C --> E[威胁对称块密码]

综上所述，量子密码学在保障通信安全方面取得了长足的进步，从理论概念到实际应用都有了显著的发展。然而，量子计算机的出现又对现有的密码系统构成了新的威胁。未来，需要在量子密码学的进一步发展和应对量子计算机攻击的策略上不断探索，以确保信息安全。