伯炎有話說：六大存疑拷問量子密碼的安全

隨著墨子號上天量子密碼熱遍了大江南北， 許多單位都加入了量子密碼機制的研發， 連一向不甘寂寞、凡事喜歡出頭的電商也沾上了量子密碼的光環。

量子密碼並不是用量子比特直接編碼明文產生密文， 而是收發雙方（Alice和Bob）利用量子的不可複製性實行金鑰分配， 隨後用此金鑰進行數學意義上的密碼演算法。 任何竊聽者（Eve）的被動監聽都能被Alice和Bob發現。 典型的量子金鑰分配協定有BB84、B92和EPR等。

其中EPR要用到量子糾纏， 在工程上怎麼遠距離產生糾纏的量子對尚且不明， 這裡我也不去猜測了。 BB84協議被證明是安全的， 量子們其實也沒有被經典意義上的“編碼”過， 而只是被強制為某種偏振態並定義為代表了經典比特的0或1。 量子力學的簡單粗暴讓攻擊者看著量子乾瞪眼。

但是工程實踐中量子金鑰分配的密碼系統一定是安全的嗎？我想至少在以下六個方面它是存疑的。

第一， 如果利用量子分配了金鑰， 而後用它執行經典（這裡用經典區分量子）密碼學的分組加密演算法， 那麼任何針對此分組加密的破解方法仍然可用於對這個“量子金鑰分配的密碼系統”的破解。

量子金鑰分配的優勢只存在於金鑰分配過程的“絕對安全”，

然而很多密碼學破解並不用獲得金鑰， 經典密碼學利用公開金鑰機制分配金鑰至少目前也是實踐中安全的。 量子金鑰分配的密碼系統只有應用於一次一密才是完美的， 可是量子金鑰成碼率約占量子比特總數的1/4使得金鑰一般被節約著用於分組加密。

第二， 量子金鑰分配的工程真能再現量子資訊理論的完備性嗎？

Alice和Bob發現Eve監聽是因為Eve動了他們之間的“那個”量子， 但是假如Eve沒動呢？假如Alice傳給Bob的並不是一個一個單量子串， 而是兩個一團、甚至三個一團的量子串呢？Eve只監聽兩個量子中的一個、放走另一個給Bob能被發現嗎？怎麼保證Alice發送的是純淨的單量子串？我們可以做到只啟動一個量子飛出去嗎？能證明嗎？理論上要麼量子串是單一的純淨，

要麼每個量子團糾纏在一起。

第三， 假如Eve不是為了破解、而是專注於干擾呢？

Eve只是被動的監聽， 達到讓Alice和Bob一直處於金鑰協商的狀態， 卻無法傳送消息。 這相當於DOS攻擊了。

第四， 假如Eve主動介入通道中呢？

Alice和Bob的設備首先需要解決相互認證的問題， 設備是通過物理安全還是自動化的認證協議來保護？這可能又回歸到經典密碼學領域了。 Eve能充當中間人， 分別和Alice和Bob建立量子通道嗎？Eve有可能替換了量子中繼器嗎?量子再強大， 這些攻擊和量子也無關。

第五， Alice編碼量子偏振態的那串亂數和量子無關， 可以認為是一串控制用的經典比特。 它的隨機性和經典密碼學的亂數產生相當，

越接近真隨機越好。

第六， 假如整個量子通道是理論般完備的， 那麼設備端就是防護的重點了， 其中用到的晶片、軟體可以被植入後門嗎？

Eve不是在量子上煞費苦心， 而是專注於當量子比特轉化為經典比特後的那些經典的攻擊了。