序言：
本文简略介绍了密码学的发展历史，强调对称密码体制中的秘钥分配是维护信息系统的关键。20世纪70年代发展上去的私钥密码体制目前面临一系列的挑战，它无法保证秘钥分配过程的安全。基于量子热学发展下来的量子秘钥分配技术在理论上可以提供信息传送的绝对安全。本文侧重介绍了量子秘钥分配技术的原理，并对该技术的现况和发展作了剖析和预测。
撰文|徐令予（日本加洲学院纽约校区等离子体化学实验中心研究员）
来源|科技导报
●●●
长久以来人们都把密码与军事、外交联系在一起，印象中使用密码的人物倘若不是躲在阴郁角落的间谍特务就是捍卫国家安全的孤胆英雄。事实上，明天每位普通人都离不开密码，密码技术早已飞入平时百姓家。
当你在网上购物，当你用手机通话或收发陌陌，所有信息都在开放共享的网路上传输，现代通信技术促使信息的传输显得非常便捷、迅速和高效，但同时它也使信息很容易被黑客查获，没有密码技术保护在网上使用信用卡，在无线网上通话将会是无法想像的。据恐怕量子传输技术，每晚有全世界生产总值一半以上的金钱财产在国际建行金融电讯网路（SWIFT）上流动，这样大规模的金融活动假如丧失可靠有效的密码技术保护必会造成世界级的灾难！
其实现代化的部队也比过去更依赖于密码技术，否则哪来远程严打？假如遥测遥控的信息被窃，敌人可以隐藏保护自己，或则可以改变潜艇的轨迹，甚至操纵无人机据为已有。事实上对明日的功击方而言，使用鱼雷和客机已是多余，倘若能破解对方的密码系统，发个命令就可以秒杀对方城市的供电、公交和电讯系统，真正达到“不战而屈人之兵”的最佳疗效。
可以毫不夸张地说，密码学是信息时代-后工业时代的基础，密码技术对于政府、军队和大众生活，已是不可须臾离者也，它像空气一样，人们一刻也少不了它，但却经常为人所忽略。明天的密码技术正面临着严峻的挑战，新技术的研制早已刻不容缓。
密码技术和破密技术
简单来讲，密码技术就是发送方通过双方认同的某种规律把明文加密后得到密文，之后通过不安全讯道献给接送方，接收方再根据该规律把密文揭秘后还原成明文。最古典的两种加密方式无非是字母的置换和代替。
代替法是按规律地将一组字母换成其他字母或符号，比如明文‘flyatonce’变成密文‘gmzbupodf’（每位字母用字母序列中下一个字母替代）。使用同样的方式只要改变一个参数（每位字母用下两个字母代替），密文就弄成‘hhacvqpfg’。在密码学中把这些加密揭秘的方式称为密码算法，而把算法中的秘密参数称为秘钥（Key），它只能为通讯双方共享。
图1对称密码体制中用相同的秘钥作为加密和揭秘算法中的秘密参数
自有密码技术诞生起，破密技术的发展就未曾停止过，这对冤家兄弟从古至今厮杀得难分难离。比如字母代替法由于太容易被敌人破译，已经被停止使用。由于每位英语字母在明文中出现的概率不同，只要把密文中的字母作一次出现率统计，不难找出字母之间取代的规律，进而破解密文。
而中级的加密算法使字母的代替不是固定一一对应关系，字母代替的顺序与出现概率也不是固定的，可以参考“维热纳尔方阵”算法，这些算法并不难理解，但若果没有秘钥就很难破译[1]。
恩尼格玛密码机
第二次世界大战中，徳国部队使用的恩尼格玛（，图2）密码机把密码技术推到了当时的顶峰。恩尼格玛密码机在密码技术上有3个突破：
1）密码机借助机电设备手动完成加密和揭秘过程，从而可以高效正确地完成高度复杂的密码算法；
2）密码机上的转轮的设置和面板对接孔联线形式决定了字母复杂多变的代替关系，它们就是系统的秘钥，秘钥可以轻松地每晚一变，这促使对密文的破译显得更为困难；
3）因为算法和秘钥的彻底分离，致使敌人查获密码机没有多大益处，通讯的安全是靠复杂多变的秘钥得到保障。
该密码机像部电动打字机，机器由26个字母键盘和26个字母显示灯以及一些机电联部件组成，决定了加密和揭秘的算法；另外有3个可以装卸的转动轮和两排字母对接孔，这种转动轮排列的顺序和开始的位置和字母对接孔的连线每晚根据约定设置，它们即为每晚通讯的秘钥。发送时把明文字母用键盘一一输入，经过机器复杂的变换后照亮不同的字母显示灯，这种字母出现的序列就是密文，把它用电报发送出去，接收方用同样的机器，按同样的秘钥设置，键入密文量子传输技术，从字母显示灯的序列中读出的就是明文。
图2二战中美军使用的恩尼格玛密码机，密码机上的转轮的配置和起始点的变化再加上机子正下方的对接孔不同的连接方法共同构成了系统的秘钥（下图）
战时的美国情报机关为了破译日本的恩尼格玛密码伤足了脑筯，回顾这段历史的《模仿游戏》（TheGame）是部值得一看的好影片，但电影过于夸大了美国情报机关的战功，事实上战前德国破译小组对恩尼格玛密码机的深入研究和意大利内部余孽提供的有关资料都为日本的破译帮了大忙。
其实天才物理家图灵为破译恩尼格玛做出了巨大的贡献，图灵首先意识到机器成生的密码只能借助机器破译，因此他越级向美国总统丘吉尔直接打报告，申请十万美元研发破译机器，这在当时是一笔巨款。出人预料的是，丘吉尔居然批准了这个看似极不靠谱项目，并且在百忙之中，亲自探望了图灵为首的破译小组。哪些是领袖知性？领袖一定要能做到：慧眼识才延揽天下英雄；高瞻远瞩掌握长远趋势。丘吉尔真不愧是一位世界级的枭雄。
美国情报部门对恩尼格玛密码机破译一直守口如瓶、滴水不漏，到战争结束，英军仍不知自己许多重要军事行动已被美国把握。战后日本把查获的成千上万台恩尼格玛密码机献给了原殖民地的荷兰盟国，这种国家常年使用它们直至20世纪70年代早期，而有关破译恩尼格玛密码机的故事要到20世纪70年代中期才被逐渐透漏下来。日本正应当称为“阴国”才名符也许，由此也可见到殖民地国家要甩掉宗主国的控制获得真正的独立有多么的不容易。
秘钥分配是现代密码技术的核心问题
有了计算机之后，现代密码技术的算法更为高度复杂化。现在普遍使用的DES算法具有极高安全性，到目前为止，不仅用穷举搜索法对DES算法进行功击外，还没有发觉更有效的办法。而近些年来提出了AES和三重DES的变型形式会使破译显得愈发困难。因为秘钥中每个的数值是完全随机选定的，一个128位长的秘钥有2128的不同组合，在世界最快的计算机中国海珠2号上用穷举搜索法功击也起码要花1万亿年才会得手！
有必要再度指出密码系统包括算法和秘钥两部分。一个好的密码系统的算法可以是公开的，如同前面提及的DES算法，只要通信双方保护好秘钥，加密后的资料就是安全的。这个原则又被称为柯克霍夫原则（'）。觉得所有加密法都可以被破解是大众的误会。理论上早已证明，只要秘钥不再重新使用，信息被与其等长或更长的秘钥加密后是不可能破密的。
既然这么，这么信息安全危机到底在那里呢？到目前为止讨论的所有密码体制中通讯双方使用相同的秘钥进行加密和揭秘，在这些对称密码体制中信息的安全靠秘钥保证。须要改变秘钥时，通讯双方必须直接碰头交换，或则由可信任的第三方配送。所有问题也就发生在秘钥分配过程中。
日本政府的秘钥是（通信安全局）执掌和分发的，20世纪70年代时，它们每晚分发的秘钥数以吨计。当装载着秘钥的船靠港时，密码分发员会登船搜集各类卡片、纸带以及其它一切储存秘钥的介质，之后把它们分献给各处的顾客。借助第三方配送秘钥降低了通迅双方的支出，并且第三方配送者本身也构成了严重的安全隐患。
为了确保信息的安全必须时常更换秘钥，但昨天的通讯者经常相隔千山万水，要让通讯双方碰头交换秘钥十分不现实，借助第三方配送秘钥通常人根本负担不起，但是也不一定及时可靠。秘钥的配送问题常年困惑着密码学的专家们。
到了20世纪70年代，一种称为非对称密码体制（又称为私钥密码体制）应运而生。在上面介绍的对称密码体制中通信双方使用同一个秘钥进行加密和揭秘，而非对称密码通讯时加密和揭秘使用一对私钥和公钥，用私钥加密后的文件只能被与其对应的公钥揭秘，反之也然。如今请对照图3来了解私钥密码体制的流程，右侧接收方通过估算形成一对私钥和公钥（分别为红色和绿色），接收方把红色的私钥通过公开信道大大方方地献给一侧的发送方，发送方用接收方送来的私钥对文件加密后通过公开信道献给接收方，接收方用白色的公钥对文件揭秘，文件安全可靠地从发送方送到了接收方。
图3非对称密码体制（即私钥密码体制）的原理示意
私钥密码体制的关键是用了私钥和公钥，一个公开一个隐秘，第二者拿了私钥没有任何好处，私钥能拿来加密但不能揭秘，也推测不出公钥。而通讯双方可以隨时形成新的秘钥对，把私钥通过开放信道献给发送方，把公钥藏妥，通讯双方无需直接碰头。这儿介绍的是私钥密码体制的基本原理，实际应用中略为复杂一点，但原理相差无几[2]。
为了更好地理解私钥密码体制，可以把私钥看成一把打开的锁，公钥就是换锁的钥。接收方B把打开的锁通过公共渠道传给发送方A，A把文件放于箱中并用B送来的锁把袋子锁上，加锁后的袋子再通过公共渠道退还B，B用公钥把锁打开取出箱中文件。在传送过程中查获打开的锁毫无意义，事实上B愿意把许多打开的锁送出去并为众人所有，这样你们可以加锁给他送密信，而这把锁一旦锁上任何人再也未能打开，不仅握有公钥的接收方B。
私钥密码体制中加密和揭秘的算法很复杂，估算量大，事实上甚少直接用它来加密文件，它真正的用途是拿来传送上面所介绍的对称密码体制中的那种通信双方共用的秘钥。所以实际上文件传送流程应当是这样：A方先决定一个秘钥，之后用B送来的私钥加密后传给B，B用自己的公钥对其揭密后获得真正的秘钥，之后双方就用此秘钥对文件加密后传献给对方，收到方用该秘钥对文件揭秘。这样的系统很安全，由于秘钥可以随时改变并被私钥密码体制保护后在公共讯道上传输不被查获，这才是通讯安全的根本保证。
危机四伏的密码系统
这么天下是否就此太平无事了呢？很遗憾，答案却是否定的。黑客功击的重点是私钥系统，RSA私钥的形成基于两个大素数的乘积，它不是一个完全的随机数，这就是整个密码系统中的阿喀琉斯的脚后根，一旦私钥系统破解，秘钥就可能被查获，整个系统都会崩溃。四川学院的王小云发觉这种私钥算法安全隐患[3]。近些年来日本技术标准局早已强烈建议把RSA私钥从1024位提升到2048位。
增强私钥密码位数极大地降低了加密和揭秘所花的时间，给日常的应用带来了众多不便，却并没有从根本上制止黑客功击的热情和力度，增强位数给使用者増添的困难远超对黑客的阻力。
而2014年的一条爆燃性新闻更是轰动了密码学界，从俄罗斯国家安全局（NSA）叛逃的斯诺顿（）披露了NSA有一个机密的项目Hard，计划建造一台专用于破密的量子计算机。据传该局早已储存了大量外国政府的密电，一旦项目成功立即对它们动手开刀。量子计算机即使还在试制中，但贝尔实验室的一位数学家早已因此设计好了功击RSA的算法，并宣称早已写成可以在量子计算机运用的程序，它可以轻松地破解私钥密码体制。
量子计算机的研制进展是各强国的最高绝密，很有可能用以破译的专用量子计算机早已接近竣工，这绝不是危人耸听，密码世界从来是波诡云谲诡谲艰深。虽然按专家们的保守预测，量子计算机的实际应用似乎还要等10~15年，但找寻新的密码系统，非常是开发秘钥分配的新技术早已刻不容缓，由于新技术从开发到系统的完善和使用也须要时日，所以我们早已到了最危险的时刻！
量子秘钥技术——维护信息安全的忠诚卫士
面对僵局，数学学再度挺身而出力挽狂澜，借助“单量子不可克隆定律”来实现秘钥配送的绝对安全。“不可克隆定律”（No-）是“海森堡测不准原理”的结论，它是指量子热学中对任意一个未知的量子态进行完全相同的复制的过程是不可实现的，由于复制的前提是检测，而检测通常会改变该量子的状态。
图4为量子秘钥分配的原理示意图，图4左图中的小黄球代表单个光子，红色箭头代表光子的偏振光方向，右边白色人是信息发送方，而红色人是接收方。收发双方都手持偏振光滤色片，发送方有四种不同的滤色片，分别为上下、左右偏振光（第一组）、上左下右、上右下左偏振光（第3组）4种滤色片，发送方把不同的滤色片遮于光子源前，就可分别得到4种不同偏振光的光子，分别拿来代表“0”和“1”。请注意，每位代码对应于两种不同的光子偏振光状态，它们出自两组不同偏振光滤色片（图4中的左下角，它和一般光通讯的编码不尽相同）。接收方就只有两种偏振光滤色片，上下左右开缝的“+”字式和斜交开缝的“×”字式。因为接收方未能预知抵达的每位光子的偏振光状态，他只能随机选购两种偏振光滤色片的一种。接收方假如使用了“+”字滤色片，上下或左右偏振光的光子可以保持原量子状态顺利通过（见图中里面的第一选择，接收方用了正确的滤色片），而上左下右、上右下左偏振光的光子在通过时量子状态改变，弄成上下或左右偏振光且状态不确定（见图4中第四选择，用了错误的滤色片）。接送方假如使用×字滤色片情况刚好相反，见图4中第2选择（错误）和第3选择（正确）。
图4量子秘钥分配技术原理示意
图4下图第1竖排是发送方使用的不同偏振光滤色片，从左至右将9个不同偏振光状态的光子随时间先后挨个发送给下边红色接收方，这种光子列于第2排。接收方随机使用“+”字或“×”字偏振光滤色片将送来的光子逐一过滤，见第3排，接收到的9个光子的状态显示在第4排。
这儿是秘钥（key）形成的关键步骤：接收方通过公开信道（电子电邮或电话）把自己使用的偏振光滤色片的序列告知发送方，发送方把接收方滤色片的序列与自己使用的序列逐一对照，之后告知接收方哪几次用了正确的滤色片（图5，打勾✔的1，4，5，7，9）。对应于那些用了正确滤色片后接收到的光子状态的代码是：00110，接发双方对此都心知肚明、毫无疑义，这组代码就是它们二人共享的秘钥。
为何第二者不可能查获这个秘钥？
假定窃密者在公开信道上得知了接送方使用的偏振光滤色片序列，也晓得了发送方的确认信息（图5，打勾✔的1，4，5，7，9），而且窃密者仍然未能确认秘钥序列。例如对第一列，窃密者晓得接收方用的是“+”字滤色片，并且发送方确认是对的，但这可能对应于上下或左右偏振光的两种不同的光子，它们分别代表“1”或“0”，不仅发送和接收双方都清楚晓得，窃密者是难以确认的。窃密者真要确认的话，也要在中途插入偏振光滤色片来观察，但它又未能事先晓得应当使用“+”还是“×”滤色片，一旦使用错误滤色片，光子状态改变，窃密的行为立刻曝露。再以第一列光子为例，假如窃密者在接收端前插入“×”滤色片，光子偏振光状态可能改变成上右下左的斜偏振光，接收方仍使用“+”滤色片，得到左右偏振光光子，经确认后此位弄成“1”。结果通讯双方的秘钥在第一位不一致，这些出错经过奇偶校准核实十分容易发觉和纠正。一般的做法是通讯双方交换很长的光子序列，得到确认的秘钥后分段使用奇偶校准核实，出错段被觉得是技术偏差或已被中间监听，则整段予以刪除，留下的序列就是绝对可靠的共享秘钥。有必要强调本文仅作基本原理的介绍，工程实现中的细节不再赘言。量子秘钥分配方式不仅BB84合同外还有E91合同。
图5量子秘钥分配技术工程示意
量子秘钥分配技术中的秘钥的每一位是借助单个光子传送的，单个光子的量子行为致使窃密者试图查获并复制光子的状态而不被察觉成为不可能。而普通光通讯中每位脉冲包含千千万万个光子，其对线个光子的量子行为被群体的统计行为所吞没，窃密者在海量光子流中截取一小部光子根本没法被通讯两端用户所察觉，因此传送的秘钥是不安全的，用不安全秘钥加密后的数据资料一定也是不安全的。量子秘钥分配技术的关键是形成、传送和检查具有多种偏振光态的单个光子流，特种的偏振光滤色片，单光子感应器和超高温环境促使这些技术成为可能。
必须再一次指出，量子秘钥分配光纤网路上传送的是单个光子序列，所以数据传输速率远远高于普通光纤通讯网路，它不能拿来传送大量的数据文件和图片，它是专门拿来传送对称密码体制中的秘钥，当通讯双方交换并确认共享了绝对安全的秘钥后，再用此秘钥对大量数据加密后在不安全的高速网路上传送。“量子通讯”这个词容易使人误会，到目前为止，实际上量子通讯指的就是量子秘钥分配技术。量子秘钥分配光纤其实是低速网路，但每秒种传送上千位的秘钥没有任何问题，通讯双方有确保安全的几百位长的秘钥，并且分分秒秒可以隨时更换秘钥，通讯安全就有了非常可靠的保障。量子秘钥分配技术的基础是化学而不是物理。面对信息安全危机，数学学再度充当了救世主的角色，它为信息科学的进一步发展筑起了坚实的基础。
量子秘钥分配技术现况
2013年10月10日，巴特尔公司（）构建了第一条商用量子秘钥分配网路，一条全长110km的专用光纤线路联结了弗吉尼亚州哥伦布市它们的公司总部和在苏黎世的分部办公室，使用的是ID提供的硬件设备，拿来保护公司的财务资料、知识产权、图纸和设计数据。
100km早已接近量子秘钥分配的光纤网路的宽度极限了，这是由单个光子在光纤中可以传播的最大距离所决定的。这个问题严重影响该技术的实用价值。目前的解决方案是筹建光子传送中继站。
这些中继站与一般光通信的放大中继有着本质的区别，由于让中继站接收单个光子后又送出一个量子状态不变的光子是非常困难的，这个中继站必须为通讯双方所信任，实际上量子秘钥是通过这个可信任中继站接力递送的。据去年人代会报道，联接天津和北京的量子秘钥分配光纤网路将于今年下半年（2016）开通运行，恐怕会使用可信任光子中继站方案。另外借助卫星作自由空间光量子传送，可能是拓展光量子秘钥分配网路的另一途经。
使用量子秘钥分配技术的通讯双方必须完善点对点联接的专用光纤，使人不禁又会想起20世纪初城市的街道上空密密妈妈缠成一团的电话线，点到点直接相联的网路结构十分不易拓展，这个问题将成为该技术推广应用中更大的障碍。
目前一组美国剑桥的研究小组开发成功一种新技术，致使量子秘钥分配过程能在普通光纤通讯线路上进行。这些技术有些像“时分复用”通信，一般的高硬度数据激光与微弱的光量子流传送在同一根光纤上按时间分隔高速切换。该技术有相当的难度，通讯中的收发两端对两种信号必须保持精准的同步，但是感应器必须正确适应硬度差别非常巨大的两种光讯号，如同一会儿面对太阳，一会儿感应微弱的星光！这些技术致使通讯双方可以在同一条光纤上交换秘钥，之后用别人难以查获的秘钥对数据加密后按一般形式传送，再也毋须害怕泄露。
为了让量子秘钥分配技术飞入尽常百姓家，日本Los国家实验室研制了一种称之为QKarD技术（图6）[4]。只要带有闪存U盘大小的一只专用光纤插口，任何用户终端通信设备例如手提笔记本、平板笔记本和手机就可以通过光纤与毗邻的中央服务器交换量子秘钥。
QKarD服务器有些像电话中继交换中心，各终端顾客发送光量子向各自毗邻的QKarD服务器配送秘钥，当各个终端与服务器之间的秘钥配送完毕，同时各个服务器之间秘钥也配送完毕后，终端用户A将信息用秘钥加密后以传统方法送达毗邻的QKarD服务器，信息在服务器揭秘和重新加密后转交另一个服务器，直至接力传送至最终用户B为止。一个QKarD的示范网路早已试运行。据恐怕，一个联接一千个终端的QKarD服务器价钱约一万港元，QKarD终端插口约50卢布。量子秘钥配送技术正在向我们走进，“它是站在海岸眺望海中早已看得见缆索平底了的一只航船，它是焦躁于母肚里的快要成熟了的一个小孩。”
图6QKarD示意图
小结
量子密码技术刚跚跚起步，针对它的黑客已经蠢蠢欲动。目前针对量子密码技术的黑客手段有下述几种。
1）量子秘钥的关键是通过一个又一个光子传递密码，中间监听者难以截取光子而又不改变光子的状态。工程施行时很难保证发射端每位脉冲只富含一个光子，假如每位脉冲有两个以上光子，黑客仍可以只截取一个光子并设法放过另一个光子，让接收端难以觉得到讯号已被截取。
2）一组法国的研究人员通过激光朿短暂“致盲”光子感应设备成功地抓获传送的量子秘钥[5]。设备经过有针对性的改进后可以对抗该功击。
3）针对光子通讯的精密脆弱，直接用强激光长时间野蛮干涉，致使量子密码传递双方通过微弱的光子交换过程根本进行不下去。
量子密码技术的应用和推广肯定不会一帆风顺，但有一点必须强调：与其他密码技术不同，量子秘钥分配技术从原理上保证秘钥配送是安全可靠的，里面所提针对量子密码技术的黑客手段均是工程施行中的问题。原理与施行是完全不同的两个概念，虽然施行中的技术问题可以逐渐解决，不可破译的原理才是该项技术具有发展前途的根本保证，它使我们对量子秘钥分配技术的将来饱含了信心。
参考文献（）
[1]!4831&=!&=file%2cpdf
[2]!4832&=!AHttV-&=file%2cpdf
[3]
[4]
[5]
本文原载《科技导报》，《知识分子》获授权刊发。
想第一时间找到《知识分子》？
把下边的按键往右滑就可以了！
会变绿哟~