三問量子密碼術：安全嗎？貴嗎？會取代經典嗎？_風聞

來源 | 墨子沙龍

量子密碼術（Quantum Cryptography，簡稱QC）最早由Stephen Wiesner於二十世紀七十年代提出。1984年，來自IBM的Charles H.Bennett和來自蒙特利爾大學的Gilles Brassard基於Stephen Wiesner的工作提出了一套量子密碼學方案，即BB84方案。BB84這個名字的由來就是Bennett和Brassard的首字母，再加上方案提出的年份。

量子密碼術經過三十多年的發展，目前主要研究如何安全地建立密鑰，即量子密鑰分發（Quantum Key Distribution，簡稱QKD），BB84方案也是應用最廣的量子信息方案之一。量子密鑰分發的無條件安全性是由物理學定律所保障的。將QKD與“一次一密”（one-time pad，簡稱OPT）加密技術結合，可以實現信息理論上絕對安全的保密通信。

説起量子密鑰分發的優越之處，我們就要請出Alice、Bob和Eve。他們在密碼學研究中的出鏡率，堪比小學英語課本上的李雷和韓梅梅。

在密碼學中，通常用Alice（‘A’）來代表發送方，Bob（‘B’）來代表目標接收方，Eve（‘eavesdropper’）來代表adversary（對手），或者説竊聽者。

在經典通信中，Alice和Bob無法估計有多少信息被 Eve獲知，因為他們無法發現Eve是否在竊聽。但如果使用量子密鑰分發系統進行通信，Alice和Bob則可以發現Eve的竊聽行為，因為Eve的任意獲取信息的行為都會改變系統。

另外，在經典通信中，Eve可能會直接複製信息；然而在量子密鑰分發系統中，Eve無法將量子態完全複製出來，這是由 “不可克隆定理”決定的。

拋開那些高（聽）大（不）上（懂）的專業術語和解讀，小賽更關心實際些的問題：我們能用得起“量子密碼”嗎？我的小秘密會被更加安全地保護起來嗎？是不是經典密碼馬上要被淘汰了？

在2018年墨子沙龍 “量子·密碼” 活動上，小記者們對三位量子通信領域的先驅進行了靈魂發問。

Q=小記者（潘杜若, 蔡雨軒, Fenya）

Bennett=Charles Bennett，IBM研發中心物理學家、信息理論家，現代量子信息理論的創始人之一

Brassard=Gilles Brassard，蒙特利爾大學教授，加拿大研究學會主席

Ekert=Artur Ekert，新加坡國立大學量子技術中心主任、英國牛津大學數學研究所量子物理學教授

人為因素是最大的危險

**Q：****中國的一些媒體會這樣批評量子密碼術：****量子密碼術只在理論上（完全）安全，但在現實實現中並不（完全）安全。****我們應該等到量子密碼術在（現實）實現中也（完全）安全了才使用它。**您對此有什麼看法？

**Brassard：**很遺憾，我得説這確實是真的，（量子密碼術）目前的（現實）實現並不如理論上那般安全。儘管如此，它仍然比互聯網目前使用的（密碼系統）要安全，因為目前用來保障互聯網安全性的（密碼系統）都是基於可以被量子計算機破解的計算問題。

你可能會説“這並不是什麼問題啊，因為量子計算機還沒有出現”，然而目前所有用當前的密碼系統來加密的信息都可以在今後被破解，這意味着你可以先將所有的加密信息保存下來，等到量子計算機出現的時候，再去破解過去的所有加密信息。換言之，所有我們今天認為安全的信息，都將會在量子計算機出現的時候被破解。

儘管目前量子密碼術在（現實）實現中並不完全安全，也就是説並不具有無條件安全性，但是你如果不在通信時攻擊它，就不會再有機會了，因為你不能在通信完成後去攻擊它。

**Bennett：**這是一個很重要的區別，而且現今幾乎所有的量子密碼術在（現實）實現中都藉助了傳統的密碼術，所以需要同時破解兩種密碼術才能獲得保密信息。

但是從另一方面説，這種批評是對的，但這是所有密碼術的問題。（現實）實現，尤其是人為因素是最大的危險，比如有人故意泄露密鑰。這個問題貫穿於密碼術的整個發展歷史，實現和人為部分是最脆弱的地方。

不過就像Gilles指出的那樣，特別是對於那些希望在幾年、幾十年後依然保護他們的秘密的人來説，明智的做法是採用一種在將來也可以保護他們秘密的方法。

**Brassard：**我們將這個稱為永恆的安全。

**Bennett：**不過這種説法其實是誇張了，因為我們知道大約20億年後，太陽將變得特別熱，海洋都會煮沸。

Brassard：（哈哈）到那時所有的秘密都將會消失。

**Ekert：**這裏還有一個心理障礙，即使量子密碼術的概念已經誕生很久了，對於需要實現它的工程師來説它依然是一個新東西。而且並不是所有人都能夠接受量子力學。量子力學對很多工程師來説依然是很詭秘的東西。

我覺得（量子密碼術的大規模應用）還需要一段時間，畢竟這是個新生事物。不過我十分確定量子密碼術可以提供的，遠比人們如今使用的許多加密技術要多。

雖然昂貴，但值得做

**Q：****有人説因為量子密碼系統比經典密碼系統貴太多了，難以被大規模應用。**您怎麼看？

**Brassard：**這跟基礎設施有關。如果使用現有的基礎設施，也就是説現在的通信搭建的方式，那麼使用只傳輸經典信號的經典密碼術確實要方便許多。

建設合適的基礎設施總是十分昂貴的，不管目的是什麼，對量子密碼術來説同樣如此。這就像修路一樣，雖然十分昂貴，卻是一件值得做的事。

不過一旦基礎設施已經建設起來了，量子密碼術就不會比現在的密碼術更加昂貴了。

**Bennett：**現有的基礎設施已經能夠讓我們利用更昂貴的通道和更昂貴的設備在互聯網上進行少量的量子通信，從而保護信息流量大得多的經典通信，主要是通過比傳統密碼系統更頻繁地更新密鑰。

**Ekert：**而且因為技術進步地特別快，很多東西在變得越來越便宜，比方説光電探測器、光纖、衞星通信。雖然這些東西現在仍然昂貴，但是我認為他們以後會便宜很多。

**Brassard：**既然我們在討論通信，那就舉個更有説服力的例子吧。大約30年或40年前，如果你告訴大家有一天將會有人造衞星圍繞着地球轉，並且我們會通過這些衞星來進行通信，而不是通過昂貴得多的跨洋海底光纜，大家會覺得你瘋了。

你在説什麼？人造衞星？可能會有一個或兩個，但是你無法擁有足夠的人造通信衞星來為整個地球的所有通信服務。

對量子密碼術來説也是如此。以後會有一些量子通信衞星圍繞着地球轉，並且第一顆是中國發射的。

**Bennett：**我記得大眾汽車在1960年代有個廣告，裏面比較了打電話的費用和駕車200公里的費用，然後告訴人們，如果你真的想要談話一個小時以上，你應該開車過去當面交談。

**Brassard：**他們非常自豪大眾汽車只需要很少的燃料，十分節能高效。

未來，經典和量子密碼術將和諧共存

**Q：**您對量子密碼術在未來的發展的看法如何？

**Ekert：**做預測是很難的事情，尤其是對未來做預測。

我覺得要建設量子通信基礎設施需要在兩個方面發展。一是點對點的長距離通信，二是將量子器件集成在芯片上，從而讓量子器件變得很小。

（未來）很可能會採用混合模式。我不覺得經典密碼術會被量子密碼術取代；未來這兩種密碼術將會和諧共存。

**Brassard：**其實經典密碼術和量子密碼術十分互補。

**Bennett：**量子密碼術可以作為經典密碼術的補充，但互聯網通信的主體永遠都不會是量子的。在未來互聯網通信的主體仍然會是經典的，但是會同時被量子通信支持。

記者：潘杜若，蔡雨軒，Fenya

翻譯&專業支持：夏秀秀