量子通信的问与答（上） 什么是量子通信_风闻

【墨子沙龙】

（编者按）

2018年是全球加快在量子信息领域行动部署的关键一年。在这一年度里，美国加快推进“国家量子计划”法案立法进程，目标是建立一个全面的、协调一致的国家政策，更好地支持量子研究和量子技术的发展；欧盟加快实施量子技术旗舰计划，并发布了报告《Supporting Quantum Technologies beyond H2020》，提出“要统一部署建立服务于量子技术的基础设施，包括量子通信地面网络和量子卫星”，目标是建设覆盖全球的量子互联网。

同时，促进量子通信研究和应用发展的有关国际会议也在2018年密集召开，其中，几个重量级的会议都是在中国举办的，包括中国科学技术大学承办的量子密码界影响力最大的年度国际量子密码学会议（Qcrypt 2018）和第一届星地一体量子网络国际研讨会（The 1st Satellite-Ground Integrated Quantum Network Workshop）。

国内外量子通信领域多名重要人士参加了会议，包括美国物理学家本内特（Charles H. Bennett）、加拿大密码学家布拉萨德（Gilles Brassard）、牛津大学教授埃克特（Artur K. Ekert）、图灵奖获得者姚期智等人。众多著名科学家在出席相关会议时，均对我国在量子通信领域取得的成就和做出的贡献给予了充分肯定。另外，11月上旬，第六届国际量子安全研讨会（ETSI/IQC Quantum Safe Workshop 2018）也将在北京召开，进一步讨论推进量子安全密码基础设施的发展和相关技术的标准化。

量子通信为什么会得到全世界的高度关注，在国际上发展情况又如何呢？墨子沙龙记者特地采访了中国科学院量子信息与量子科技创新研究院的科学家们，并将采访内容整理形成了《量子通信的问与答》，分三期分享给大家。

本期提问一览

1、问：什么是量子通信呢？如何解读2018年的沃尔夫物理学奖？

2、问：本内特和布拉萨德获得的2018年沃尔夫物理学奖是国际物理界颁给量子信息领域的首个大奖吗？

3、问：量子密钥分发和量子通信的关系是什么？

4、问：怎样理解量子密钥分发的“无条件安全性”，它怎么保障信息安全？

5、问：有人说现在公钥加密方式已经很安全了，不需要急着发展量子密码，还有种说法是就算量子计算机出现了，RSA也还可以保证安全，是这样吗？

第一期 什么是量子通信

1、问：2018年有着诺贝尔奖风向标之称的“沃尔夫物理学奖”颁给了在量子通信领域做出突出贡献的两位科学家本内特和布拉萨德，而且在获奖者的介绍中还提到了我国的贡献。那么什么是量子通信呢？能否向我们解读一下2018年的沃尔夫奖？

答：今年有着诺贝尔奖风向标之称的沃尔夫物理学奖可谓众望所归，颁给了在量子通信领域做出突出贡献的两位科学家本内特和布拉萨德，二人获奖原因是“建立和发展了量子密码学和量子隐形传态”（“for founding and advancing the fields of Quantum Cryptography and Quantum Teleportation”），这代表了国际上对量子通信的肯定[1]。

本内特（左）和布拉萨德（右）

量子通信是量子信息学的一个重要分支，它利用量子力学原理对量子态进行操控，在两个地点之间进行信息交互，可以完成经典通信所不能完成的任务。

今年在介绍沃尔夫物理学奖获得者的网页上专门提到“… quantum key distribution systems have become commercially available, and have been extended to ranges of hundreds of kilometers through optical fibers, and thousands of km in satellite-based systems…”[2]，意思是量子密钥分发已经成功实现商业化，在光纤中已经能做到几百公里，用卫星可以做到上千公里。需要指出的是，这两个记录都是我国科学家创造的，一个是光纤最远安全距离做到404公里[3]，另一个就是“墨子号”做到的星地1200公里[4]，这是中国科学家的贡献，也是中国量子通信领先世界的标志。

2、问：本内特和布拉萨德获得的2018年沃尔夫物理学奖是国际物理界颁给量子信息领域的首个大奖吗？

答：不是。以量子通信和量子计算为代表的量子信息学蓬勃发展，相关领域自21世纪以来已经囊括了多项国际物理学最高奖项，包括两次诺贝尔奖和三次沃尔夫奖：

早在2005年，诺贝尔物理学奖授予了Roy J. Glauber，为了表彰他的相干态理论，以及它在安全量子通信、量子计算、和精密测量领域的应用。（“……and this can be applied in secure quantum communications, the topical field of quantum computing and the recording of ultra-weak signals inhigh-precision experiments……”）[5]。

2005年诺贝尔物理学奖得主Roy Glauber

2010年沃尔夫物理学奖授予了Alain Aspect, John Clauser和Anton Zeilinger，表彰他们在量子纠缠领域的成就，为量子通信和量子计算等量子信息技术建立了基础（“The work of John Clauser, Alain Aspect and Anton Zeilinger in quantum entanglement represents the foundations for numerous modern quantum information technologies, such as quantum communication and encryption, quantum teleportation and quantum calculation.”）[6]。 

2010年沃尔夫物理学奖获得者：Alain Aspect（左）、John Clauser（中）和Anton Zeilinger（右）

2012年诺贝尔物理学奖授予了SergeHaroche和David Wineland，表彰他们的量子操控技术在量子计算和量子精密测量等量子信息科学上的应用（“……have advanced the field of quantum computing, as well as led to anew generation of high-precision optical clocks……”）[7]。

2012年诺贝尔物理学奖获得者：Serge Haroche（左）和David Wineland （右）

2013年沃尔夫物理学奖授予了PeterZoller和Ignacio Cirac，表彰他们在量子信息、量子光学和量子气体领域的开创性理论贡献（“For groundbreaking theoretical contributions to quantum information processing, quantum optics and the physics of quantum gases”）[8]。

2013年沃尔夫物理学奖获得者：Peter Zoller（左）和Ignacio Cirac（右）

2018年沃尔夫物理学奖授予了Charles H.Bennett和Gilles Brassard，表彰他们建立和发展了量子密码学以及量子隐形传态（“for founding and advancing the fields of Quantum Cryptography and Quantum Teleportation”）[9]。

可以看出，量子通信和量子计算的重要科学意义已经得到了国际学术界的广泛认可。

3、问：2018年获得沃尔夫物理奖的二人最重要的成果之一是提出了量子密钥分发的BB84协议，那么量子密钥分发和量子通信的关系是什么呢？

答：量子通信有两个基本的研究方向，一个是量子密钥分发（即量子密码），另一个是量子隐形传态[10]。值得一提的是，本内特（Charles H. Bennett）和布拉萨德（Gilles Brassard）不仅是已经实用化的量子密钥分发方案（即BB84协议）的提出者，同时也是量子隐形传态的最早提出者。

量子密钥分发可以让空间分开的用户共享无法破解的密钥，因此量子密钥分发始终是量子通信的一个重要方向，这个早已在国际上达成共识。2013年沃尔夫物理学奖得主彼得·左勒，在1998年发表于《科学》杂志上的文章中指出，量子密钥分发是量子通信的应用[11]。今年沃尔夫物理学奖得主布拉萨德，在自己的回顾文章中，也把执行量子密钥分发的卫星直接称为量子通信卫星[12]。2010年沃尔夫物理学奖获得者安东·蔡林格教授在他的一篇重要论文中就将量子密钥分发定义为量子通信[13]。美国物理学会使用的学科分类系统PhySH就将量子密钥分发（量子密码）作为量子通信条目下面的一个子条目[14]。欧盟最新发布的量子技术旗舰计划《量子宣言》，更是将以量子密钥分发为核心的量子保密通信作为了量子通信领域未来的主要发展方向[15]。

量子宣言

4、问：怎样理解量子密钥分发的“无条件安全性”呢，它怎么保障信息安全？

答：先说一下什么是信息安全。信息安全有四种重要特性：机密性、真实性、完整性、不可否认性。通信过程中的信息安全也不外乎这四性。举个例子来说，你和朋友打电话。机密性是说，如果你们谈了一些秘密的事情，那么你肯定不希望第三个人知道，那么就要保证别人不能再搭根线偷听电话的内容，或者就算他偷听了也听不懂。真实性是说，我们得保证电话对面那个人真的是你的朋友，也就是对方的身份真实可靠。完整性是说，保证我们说的话原原本本送达对方，没有被人篡改，不会无中生有也不会颠倒是非。不可否认性就是，要保证对方说过的话他没法否认他说过，没法赖掉。

保障信息安全广泛使用的手段是现代密码，通常可以分成三个部分：算法、协议、密钥。现代密码技术的理念是，一切秘密包含于密钥之中，这就是说，密码里面除了密钥以外，算法和协议都应该是可以公开的。因此，保障密钥分发的安全就是用密码技术保障通信安全的关键。

量子密钥分发可以实现无条件安全的密钥分发，这个无条件安全的意思是指，就算窃听者有全宇宙最强的计算机，哪怕是量子计算机，也不能破解量子密钥分发，窃取密钥。这样，使用量子密钥分发技术可以帮助实现通信安全中机密性、真实性和完整性的无条件安全，也就是保证通信加密无法破译，保证对方身份真实可靠，保证信息无法被篡改。

当然，信息安全不仅要保证通信的安全，也要保证终端的安全。如果终端泄露了信息，那么通信过程再安全也不起作用。保证终端的安全同时也需要其他技术手段。如果终端安全也可以做得很好，加上量子密钥分发之后，就能够非常全面、非常可靠地保证信息安全。

5、问：有媒体说现在广泛使用的公钥加密方式，例如RSA，已经很安全了，能破解它的量子计算机还要10-15年呢，因此不需要急着发展量子密码，还有种说法说是就算量子计算机出现了，RSA也还可以保证安全，是这样吗？

量子计算示意图

答：实际上，经典计算机的高速发展、还有密码分析技术的提高对于RSA冲击也很大。2009年768位密钥的RSA-768就被破解了。2011年，美国国家安全局NSA建议停用RSA-1024，改用RSA-2048。NIST还要求对于在最高机密的保护要使用RSA-3072。增加密钥长度可以暂时缓解经典计算和密码分析能力提升带来的破解压力，但是密钥越长，RSA算法的效率就越差，加密解密、分发密钥的速度就越低，而面对Shor算法量子计算攻击，增加RSA算法的密钥长度也解决不了问题。

目前，量子计算机的确还处于比较初级阶段，但是它的研制在快速发展中，Google、IBM和中科院量子信息与量子科技创新研究院处于第一阵营，Google略微领先，有望在两年内实现所谓“量子霸权”。 而至于破解RSA的量子计算机，10-15年是过于乐观的估计，我们认为至少20年左右，量子计算机才有望破解RSA。而现在加密保护的信息可以被存储下来，等待未来破解，对于需要长期安全的信息而言，比如说个人的指纹、虹膜、甚至基因数据等生物信息，量子计算的威胁并不那么与己无关、遥不可及。

然而，建设一个保密体系也需要很长时间，因此，目前国际上开始普遍很重视量子计算的威胁了；NSA提出要更换抗量子计算的密码体系，国际标准化组织ISO、ITU、ETSI已经开始了量子密钥分发和后量子计算密码（PQC）的标准化。不同于量子密钥分发，PQC是沿着公钥体系的思路，寻找新的数学难题构造新的密码算法去抵御Shor算法等已知的量子计算攻击。PQC被认为相比量子密钥分发更容易部署，但是否能抵御任何量子计算攻击还是未知数；而量子密钥分发是明确能抵御任何量子计算攻击的，被公认为具有长期安全性。因而国际上普遍认为，同步发展PQC和量子密钥分发能有效抵抗量子计算，是未来密码技术发展的方向。

说RSA等算法对于量子计算安全是概念上的混淆。现有RSA是不能抵御量子计算的。只是有人提出，如果对RSA进行改造，可以有一些抵抗Shor算法量子计算攻击的能力。这种改造的RSA可以认为属于PQC范畴。但是这种改造的RSA需要非常长的密钥，几十G比特乃至T比特的密钥，才有抗Shor算法量子计算的效果，相比其他PQC算法实际上是不可行的。目前国际上正在标准化的PQC，都不考虑这种改造的RSA。

谷歌Bristlecone量子处理器