设为首页收藏本站
开启辅助访问 切换到宽版

科学网

 找回密码
  注册
科学网 › 标签 › QKD

tag 标签: QKD

相关帖子

 版块 作者 回复/查看 最后发表

没有相关内容

相关日志

走下神坛的量子通信工程
lxu2800 2019-9-29 09:01
走下神坛的量子通信工程 —京沪量子通信干线开通二周年回顾 2017年9月29日，连接北京、上海，贯穿济南和合肥全长2000余公里的京沪量子通信骨干网络全线开通。当年，这条头顶光环的“京沪量子通信干线”承载了国人太多太多的期望。 量子通信工程的推动者们也通过主流媒体向大众承诺： “2019年前后，量子通信将会服务于消费者的网上转款和支付。全国性的组网建设将由运营商主导，量子网络标准将建立。2023年有望建成全国量子通信网。” “量子通信将在不到10年的时间里辐射千家万户。” “到2030年左右，中国将建成全球化的广域量子通信网络。” 现在整整二年过去了，“京沪量子通信干线”却失去了夺目的光彩，已经成了被媒体遗忘的角落。媒体上从未报导过客户在网上转款和支付中使用了量子保密通信技术，也没有听说有谁因为用不上量子通信服务而愁白了头。 据可靠消息透露，原计划中的多条跨省量子通信干线建设已经全部停工。中科大的“科大国盾”是全国最量子通信设备制造龙头企业。根据容诚会计所出具的《审计报告》(会审字 6719 号)，2016年度、2017年度、2018年度、2019年 1-6月，科大国盾的主营业务收入分别为 21,029.28万元、27,248.17万元、25,690.88万元和 2,255.83万元。 数据显示，量子通信工程建设从2016年开始就增长乏力，去年已经出现负增长，到了今年竟然发生了80%的断崖式暴跌！ 在数字经济时代，每种有生命力的新技术一旦进入市场，用户数字都是按指数规律增长的，个人电脑、互联网、数码相机、智能手机的成长发展无不遵循这样的普遍规律。为什么只有“量子通信”反其道而行之，成了市场的弃儿呢？ 如果说实践是检验真理的唯一标准，那么市场就是鉴定工程技术的最终手段。一个工程项目如果没有用户的追捧、没有稳定的收益，那么它被市场无情的抛弃只是时间问题，头顶着“量子”的光环一点用处也没有。 所有已建或在建的量子通信工程根本不是一种新的通信技术，量子通信工程也不是保证通信安全的独立完整的新的密码系统，密码系统的核心是加密算法，量子通信工程使用的都是传统对称密码的加密算法。量子通信工程也与量子纠缠毫无关系，它只是利用量子偏振态作密钥分发的一种硬件技术，是对称密码系统中可有可无的一个子功能，简称“量子密钥分发”技术(QKD)。 目前量子通信工程的要害问题可归结为以下三个方面： 1） 量子通信技术困境之一：极低的成码率 QKD的成码率是单位时间内生成有效的共享密钥总位数。成码率是密钥分发最重要的技术指标，它反应了密钥分发的效率，也决定了该技术的应用范围。目前QKD在百公里距离上的成码率仅为Kbps量级，而目前光纤数据通信速率可达Tbps量级，两者相差了9个数量级，也就是十亿倍！ 而所谓绝对安全的“量子通信“又必须要求“密钥与明文等长”和“一次一密”，也就是说QKD的成码率必须不低于光纤的数据通信速率。由此可知，蜗牛般低速的成码率使得量子通信要为现代化通信保驾护航永远只能是不切实际的幻想。如果强制使用量子通信，其结果必然把目前的通信速度至少降低千万倍！ 2） 量子通信技术困境之二：不能与互联网兼容 目前QKD使用的是BB84这个“点到点”的通信协议，这种点到点的密钥分发技术要求在通信双方之间建立一条被他们独占的物理通路，这种通信方式只能使用电路交换协议（Circuit Switching）。电路交换协议与分组交换协议（Packet Switching )从基础原理上水火不容，而分组交换协议是构建现代互联网的基础。这就从根本上断绝了QKD组成现代通信网络与互联网兼容的可能性，它为互联网通信安全提供有效的服务也就无从谈起。这是京沪量子通信干线工程至今未有广泛应用的一个根本原因。 3） 量子通信技术困境之三：极不安全的可信中继站 京沪量子通信干线中使用了三十多个带有严重安全隐患的“可信中继站”，黑客可以利用这些中继站的计算机系统的安全漏洞发起攻击，也可以在中继站的上百个工作人员中寻找合作者，黑客通过以上手段窃取密钥比直接破解密码要容易得多。所以京沪量子通信干线的安全性要远低于传统通信干线。 QKD根本不具备工程立项的资格，因为它面临太多难以解决的技术困境。在这些技术难题中尤以“极低的成码率”、“不能与互联网兼容”和“极不安全的可信中继站”最为严重，它们就是阻碍量子通信工程建设的三座难以逾越的大山。 这里需要特别强调，量子通信所面临的这三大技术困境是被物理原理所决定了的，单靠工程技术的进步是极难取得实质性改变的。 面对上述三大技术困境，正确的方法应是审时度势，静下心来加强基础研究，应该考虑扬弃三十多年前IBM的BB84协议，开创量子通信的全新模式方是正道。可惜中国的量子通信工程推动者反其道而行之，非要吊在BB84这棵枯树上，把技术上不成熟又毫无使用价值的BB84协议包装成为工程项目，完全置工程的实用性、可行性、必要性和经济效益于不顾，这样的例子实属罕见。 为了掩盖量子通信的三大技术困境，就转移视线泡制了两个神话故事。1）“量子通信的无条件安全性是可以用数学证明的”；2）“只有量子通信可以拯救公钥密码危机。” 这两个神话故事就成了对付量子通信批评质疑的挡箭牌。神话故事背后的潜台词就是：虽然量子通信工程有许多技术障碍，但它理论上是无条件绝对安全的，“一好遮百丑”，所有的技术缺陷只能将就吧；虽然量子通信并不具备工程建设的可行性，但传统密码的天空都要塌了，甭多想了先上工程再说吧。这两个神话误导了许多人，现在该是揭露其真相的时候了。 量子通信神话之一：QKD无条件安全性可以用数学证明的 “QKD的无条件安全性是可以用数学证明的”实际上来自两个完全独立的命题：“QKD的物理过程可以抽象出一个数学模型”，“QKD的数学模型的无条件安全性是可以用数学证明的”。而“QKD无条件安全性可以用数学证明的”是由前两个命题拼凑出来的一个新命题，它不是三段论逻辑推演的结果，即使前两个命题都是真命题，也不能保证这个新命题就是真命题。 事实上到目前为止，QKD的抽象数学模型的无条件安全的证明一直是有争议的 。退一万步，即使QKD的抽象数学模型将来被证明是无条件安全的，也不能证明QKD真实的物理过程是无条件绝对安全的，因为数学模型不等于真实的物理过程。无论数学模型做得多完美，它只可能是真实世界的部分和近似的反映，对模型的任何分析和证明只能是真实世界特性的近似结果。 量子通信神话之二：QKD可以拯救公钥密码危机 从密码学原理可知，QKD只能为确定的“熟人”之间分发一个共享密钥，本质上它仅是对称密码中密钥分发的一种选项。公钥密码因为使用公钥、私钥两个密钥，所以才能为互联网千千万万“非熟人”之间分发密钥，并且还可以完成用户认证、数字签名等多种重要功能。而这些保证互联网通信安全的重要功能都是量子通信根本无力胜任的。即使明天量子计算机与太阳同时升起，公钥密码的天塌下来，“量子通信”是根本不顶用的，唯有丢人现眼的份。 “量子通信的无条件安全性是可以用数学证明的”、“只有量子通信可以拯救公钥密码危机”是两个毫无科学根据的神话故事，“极低的成码率”、“不能与互联网兼容”和“极不安全的可信中继站”是量子通信工程无法逾越的三座大山。编造和宣传这两个虚假的神话故事目的是为了掩盖量子通信面临的实实在在难以解决的三大工程困境。虚假的神话故事与真实的工程困境是硬币的两面。量子通信面临的工程困境越是残酷真实，走入歧途的工程推动者越发需要依赖虚幻的神话去掩盖自己的窘态；神话故事越是虚假离奇，只能说明故事的编导者面对的困境太真实太严酷了，他们实在也是束手无策。 ”京沪量子通信工程完工已有二年，上述三大技术困境一个也没有得到解决。量子通信工程失去自愿付费的忠实用户群，现在只剩下各级政府买单了。工程的投资费用就别提了，估计现在连日常运营维护都无法自理。整整二年过去了，没有经济效益、没有铁杆用户的京沪量子通信工程被市场无情地抛弃是必然的下场。 京沪量子通信工程建成开通后的二年中，对该工程项目的批评质疑从未停止过。仅我一人就撰写了量子通信工程批评文章二十多篇，其中近十篇在媒体上以实名公开发表。令人欣慰的是，全国性量子通信工程项目已经喊停，纠错止损终于迈出了第一步。错误和挫折本身并不可怕，重要的是认识错误、肃清谬误和吸取教训，这才是真正负责任的科学态度。 2016年08月16日2016年08月16日08:42 来源：科技日报 https://kknews.cc/zh-my/science/oxb6jo.html 新华网 2016年08月16日 08:46:51 | 来源：新华社 http://www.xinhuanet.com//politics/2016-08/16/c_129232685_4.htm Security of Quantum Key Distribution https://ieeexplore.ieee.org/document/7403842 A Correct Security Evaluation of Quantum Key Distribution https://www.tamagawa.jp/en/research/quantum/bulletin/pdf/Tamagawa.Vol.4-1.pdf
个人分类: 科普集锦|0 个评论
墨子沙龙有关量子通信话题的问与答（三）
热度 1 lhy8848 2018-12-30 17:06
本期问题速览 9. 有人说量通的量子通道内，密钥信息是采用明文的方式发送的，如何理解这个说法？ 10. 什么是 QKD 两通道模式？为什么采用两通道模式的任何量通方案都不可能提供更高的安全性？ 11. 有争议说不可克隆原理并不适用于量通采用的 BB84 协议，能否做简单的解说？ 12. 有些材料说量通的京沪实验工程采用了多光子的诱骗态技术，能说说这方面的内容吗？ 第三期 9. 问：有人说量通的量子通道内，密钥信息是采用明文的方式发送的，如何理解这个说法？ 答： BB84 协议是中国量通实现密钥分发采用的协议，这个协议设计分两个平行的信道，一个量子信道，一个普通外网光纤信道，其中量子信道是最关键的， BB84 协议通过这个信道协商发送密钥信息。 密钥信息采用单光子的四个偏振方向，分别代表两组（ 0,1 ）量子信息，这些光子的偏振方向一旦被监测到，意味着密钥的信息被窃取，监测这些光子的偏振方向技术上没有什么障碍，所以从这点来说，量子通道的密钥信息是采用明文裸奔发送的，监听者需要的只是能够检测至少 4 个光子偏振方向的技术。 量通无法防范光子的偏振方向不被检测到，为了避免密钥因此失窃，量通就必须能够发现是否存在窃听者，一旦发现被窃听，就放弃已接收到的密钥，并在一定时间范围内停止密钥协商发送的过程。 为什么量通之前要说可以抓窃听者？这不是量通闲着没事偶尔客串一下国安局的身份，因为如果不能发现这些窃听者，意味着密钥被直接窃取，所以抓间谍可不是量通的业余爱好，更不是量通的优势，那是生死攸关的大事，量通的致命弱点其中一个就是这个明文密钥传输，很多破解的方法针对的就是这个弱点。对比经典加密机制，网上发送的都是加密后的密文根本不怕被监听。所以完全不像量通人士说的那样：“ 传统的通信方式，窃听者可以在光纤线路上每一点拦截数据流 ” （所以不安全），恰恰相反， 量通的量子通道才是线路上每个点都是可以被窃密的点。 当然， BB84 协议的操作序列比上面描述要复杂一些，但是原理没什么本质区别。所以对于密钥信息接收者 Bob 来说，是否能够发现存在监听者 Eve 就显得至关重要，于是不可克隆原理出场了。 按照这个原理，即使窃听者截取并检测了光子的偏振方向，也无法复制出来相同偏振方向的光子，所以接收端 Bob 就能发现由于光子丢失造成的扰动。令人疑惑的是，如果偏振方向已知，技术上早就实现了发射相同偏振方向的光子，发送端 Alice 就是这么做的，量通怎么可能连自己刚刚做的东西都要否定？只需要问问量通人士，是否能够制备出来 4 个偏振方向的光子，就能知道所谓的不可复制相同偏振方向的光子有多荒唐。或者，量通专家唯一能够拿出来辩解的理由就是以无限精度进行的复制，但是同样的理由需要他们自问，他们的检测是否能够以无限的精度区分原始发射的光子或者复制后的光子。 复制从来不是个难的问题，需要解决的其实是如何检测 4 个偏振方向光子的问题，虽然不太容易，但是绝对没有任何物理原理限制这样做。 上面的矛盾，唯一自洽的解释就是不可克隆原理根本不适用量通的 BB84 ，后面我们会细说这方面的问题，更何况，实际量通技术采用的也不是单光子，而是所谓的诱骗态多光子弱激光方式，更将量子通道的安全性拉低到一个赌人品的新境界，所以量通的安全性基本建立在空中楼阁上。 10. 问：什么是 QKD 两通道模式？为什么采用两通道模式的任何量通方案都不可能提供更高的安全性？ 答：所谓两通道模式，是指 QKD 采用两个通道，一个是量子通道，通过操作单光子来发送明文密钥，一个是经典通道，也就是普通的通讯信道，用来交换密钥协商信息和发送加密信息。 量通的安全性问题需要分两种使用方案讨论，方案 1 就是 Alice 和 Bob 之间只协商密钥不发送加密信息；方案 2 就是 Alice 和 Bob 之间不但协商密钥而且利用密钥发送加密信息。 为叙述简便，我们假设破解 QKD 的难度为 A ，破解经典信道中普通加密方法的难度为 B 。此外我们必须知道一个事实，那就是在量子通道， Alice 与 Bob 只能按照比如 BB84 协议规定的操作序列，双方共同协商出来量子密钥 QK ，如果 Alice 试图把一个信息比如“ Hello World ”传给 Bob ，并确保对方能够正确接收 , 在量子通道是做不到的，连一个 bit 都不行，这是量通协议固有的限制。 方案 1 ，因为 Alice 不向 Bob 发送加密信息，这种情况下的安全强度就是破解 QKD 的难度，也就是为 A 。不过这种方式令人感到奇怪的是，既然 Alice 不打算利用密钥向 Bob 发送加密信息，为什么不直接在 Bob 端采用随机数发生器来生成密钥？那样的话， Alice 与 Bob 间密钥被窃的风险岂不是降到 0 ，而且这样的软件一大把，搞不懂为什么偏要冒着风险、花上大价钱协商什么密钥？唯一的理由是 Alice 或者 Bob 需要用这个密钥 QK 与其他的人进行加密通信。 方案 2 ， Alice 与 Bob 协商出来 QK 后， Alice 用 QK 将待发送的信息比如“ Hello World ”进行加密，在经典信道中发送给 Bob 。这种情况下，合并起来的总安全度遵循木桶原理，取决于相对最不安全的那一个通道，也就是 MIN （ A,B ）。这意味着，即使按照量通的说法， QKD 的安全度高于经典加密方式，也就是说 AB ，整个通讯过程的安全度就是 B ，这是经典密钥安全度， Eve 不用费劲去破解 QK ，只需要按照通常的做法，破解普通信道中的密文就可以了，这种情况量通根本不可能提供高于普通加密手段的安全度。 量通专家对方案 2 的安全评价不该有异议，这里面的逻辑实在太简单了，但是他们认为方案 1 提供了更高的安全保障，因为此方案提供的安全度为 A ，也就是所谓的无条件安全，因此他们认为在这个方案中恰恰充分体现出来量通的价值。我们就来分析一下量通专家的这个看法是否合理。 不失一般性，我们假定 QK 在 Bob 端使用，这种情况下，因为加密信息需要采用对称加密方法， Bob 一定需要将 QK 发送给其它节点，比如 Candy 。这个时候就会出现一个问题， Bob 采用什么方式将这个 QK 发给 Candy ？采用方案 1 发送，很遗憾，量通协议不支持这样的方式，因为量子通道不可能确保任何一个 bit 信息能够被接收到，所以 QK 是无法在量子通道上发送出去的，只能采用方案 2 或者其它普通密钥分发方式，在普通信道上加密发送。那么这个时候 Alice 或者 Bob 与 Candy 之间密钥分发的安全度是由两个阶段的总安全度来决定的，其实就是方案 2 的变种，也即是 MIN （ A,B ），这意味与方案 2 一样，方案 1 同样不可能提供比普通加密方式更高的安全度。 量通专家之所以认为量通的安全度更高，是因为他们只看到信息安全的一个局部环节，尤其是方案 1 其实只是将密钥分发工作分成量子和普通分发两个阶段，并且只关注了其中一个局部的量子阶段的安全性，这当然算不上“完成”状态的密钥分发。 传统的密钥分发与信息加密的技术手段是相同的，安全等级也相同，而量通的方案 2 采用两阶段模式，不能因为量通自称在 QKD 阶段安全性更高（过分自信了！），因此系统的安全性也更高，而需要将两个阶段的总和安全度加在一起进行评估，这才能跟普通的密钥分发机制相对等。 事实上，量通在京沪实验干线工程中，从北京分发的 QK 需要经过 30 多个中继器才能到上海，其中北京站与第一个中继器采用的就是方案 1 ，用来在量子通道生成 QK ，其余中继器都是采用方案 2 ，在普通信道加密发送 QK 。按照上面的分析很容易得出结论，京沪实验干线的信息安全水平绝对不高于普通的加密体制。 你不禁会问两个问题，第一，为什么京沪干线第一个节点用来生成 QK ？只是因为这样生成的一个随机数能够带上量子的基因，而显得与其它方式比如 Alice 自己生成的一个数据随机数 k 血统更加高贵一些？加密出来的信息更加安全？第二，既然整个密钥分发的安全度不高于普通密钥加密的安全度 B ，为什么不直接就用普通加密方式分发密钥，而偏要浪费大量资金建设一个白象级别的量通实验线路？ BB84 的设计，隐含了 谁分发密钥，谁消费密钥 的原则，所以这个协议从头到脚的每个毛孔都是点到点的信息安全设计，中间没有隐含任何网络设备，包括中继器。 如果北京传到上海的QK用来在两地之间进行信息加密交换，虽然不提供更高的安全性，至少名义上还保持“ 谁分发密钥谁消费密钥 ”的原则，但是量通专家总会有一个非常奇怪的想法和做法，当他们辛辛苦苦地从北京将密钥 QK 们传送到上海后，相当一部分 QK 不是用来与北京进行加密通讯，而是囤积起来，提供给本地其它用户之间进行保密通信。难道这些 QK 自带仙气，一定要冒着风险从北京传过来？我们上面的分析明明白白说了，如果密钥不被北京用来与上海进行保密通讯，而是用来给上海本地用户提供密钥，那么在上海找个软件生成随机数的方式是真正的无限安全的，因为连分发的环节都省掉了，这么点逻辑量通专家理解起来应该不困难。 量通之所以囤积 QK ，目的无非就是给末端用户提供一个使用 QK 的冠冕堂皇的理由，并且顺便还可以把发送这些 QK 的标准路由器、交换机重新命名为量子路由器和量子交换机，以便显得量通工程终于能够通达千家万户了。如果我们说量通建设京沪实验工程的做法算是犯了低级错误，那么量通在将 QK 应用到终端用户的环节就完完全全是一种欺诈行为。 所有 QKD 两通道模式都绝对不可能提供高于普通加密体制的安全度，这个结论是可以简单而明确获得证明的，得出上述结论既不需要知道量子理论也不需要掌握密码学知识，需要的只是一点点站在全局的视角进行逻辑推理的能力。 量通犯的错误是相当的低水平，原因就在于他们缺少安全的全局观，习惯一叶障目地审视单一量子通道的安全性，并且天真地将这种安全性上升为整个系统的无条件安全性，姑且不谈量子通道安全性本身就存在巨大的问题，这种单一维度的思维方式来看待问题，并试图改造当前业已大量成熟应用的信息安全系统，就不是简单地令人感到担忧，而是令人感到滑稽。 这个问题的根子是从 BB84 协议娘胎里带来的，很诧异那么多国内外量通专家们，包括国内那些顶级的专家，没有一个人进行过认真思考就全盘接受下来，各种论文不但发表在《科学》、《自然》这些顶级科技期刊上，而且还收获了 2018 年度沃尔夫物理学奖。对于量通界来说，从历史的尺度来看，这可能不是一串串的荣誉，而是一桩桩啼笑皆非的故事了。 11. 问：有争议说不可克隆原理并不适用于量通采用的 BB84 协议，能否做简单的解说？ 答：不可克隆原理全称应该是单量子叠加态不可克隆原理。这个原理并不是量子理论中的一个重要组成部分。之前它默默无闻，为人所知都是拜量通而赐，量通密钥协商过程的安全保证全都依赖于此。 由于量子学界对量子叠加态的物理意义存在不同解释，所以这个原理本身是否成立一直存在很多争议，这也是人们称其为原理而不是定理的原因。这里的讨论暂且不介入那些争议，我们假定这个原理还是成立的。 不可克隆原理讨论的是一个单量子，当其处于叠加态的时候，不存在一个物理机制，能够将这个量子的叠加态完全复制到另外一个量子上。从原理的证明很容易理解，这个原理只能适用叠加态下的量子。 按照哥本哈根解释，叠加态是指量子在特定时刻，其状态是由量子状态空间中所有状态的线性组合。薛定谔的猫就是叠加态的一个形象解释，说的是当猫被关在一个黑盒子里时，处于叠加状态的量子控制释放毒药的开关，导致的后果就是猫可以同时即活着又死了。除了叠加态，量子还有一个本征态，当发生测量的操作时，量子叠加态将“塌缩”到一个具体的状态。 量通采用的 BB84 协议，利用单光子的偏振方向来表达密钥信息，一共使用了四个偏振方向，这四个方向分成两组，每组中包含两个偏振方向，相互垂直呈十字，分别表示二进制的 0 和 1 ，两组十字彼此交错 45 度角，如果形象来看，将两组十字合在一起，就像一个米字。 BB84 协议中，信息操作有三个角色， Alice 是发送者， Eve 是监听者， Bob 是接收者。 Alice 虽然发送的是随机生成的密钥 bit ，但是当她发送这个 bit 信息时，这个信息究竟是 0 还是 1 是已知的，那么这也意味着 Alice 需要制备出来一个具有特定偏振方向的光子，比如说就是水平 0 度偏振方向。 我们提出一个问题，比如说当 Alice 发送一个偏振方向为 0 度光子的时候，该光子是处于叠加态还是本征态？如果是叠加态，在 360 度偏振态空间中，它只采用了一个确定性偏振方向，并且 Bob 在接收到这个光子偏振信息时，测量结果也毫无例外都是 0 度，这跟经典物理有什么区别吗？这跟本征态有什么区别吗？ 尽管不同的量子理论流派对叠加态的解释不尽相同，但是对于这样一个具有特定已知状态的量子，没有任何一个学派会认为它处于叠加态，相反这个时候，具有确定偏振方向光子是符合本征态定义的。再考察 Alice 发送单光子时采用的各种操作，比如偏振方向的选择，完全可以算是在对光子进行一系列的测量，如果光子在此前处于叠加态，那么经过这些“测量”操作后“塌缩”成本征态是顺理成章的事情。 这样的话， Alice 在量子通道内发送的光子就不可能处于叠加态，于是单量子叠加态不可克隆原理自然就无法适用。 作为话题的引申，再引述周炳琨等编著的教材《激光原理（第六版）》 1.5 节“激光的特性”中的一段话： 以平行平面腔 TEM00 单横模激光器为例，工作物质内所有激发态原子在同一 TEM00 模光波场激发（控制）下受激辐射，并且 受激辐射光与激发光波场同相位、同频率、同偏振和同方向， 即所有原子的受激辐射都在 TEM00 模内，因而激光器发出的 TEM00 模激光束接近于沿腔轴传播的平面波，即接近于完全空间相干光，并具有很小的光束发散角。 这里描述的激光原理完全可以看作是具有特定偏振方向的单光子进行偏振态复制的物理机制，这也在侧面回答了为什么具有确定性偏振方向的光子不可能属于叠加态（因为违反不可克隆原理）。这样分析下来，特定偏振方向光子处于叠加态、不可克隆原理、激光原理三者是不自洽的，不可能同时成立，必然有某一个或多个存在错误。 显然，激光原理是不可能被牺牲掉的，那么其它两个无论是放弃任何一个或者两者全都放弃，都意味着量通的理论基础不复存在。无疑最小的牺牲代价是放弃特定偏振方向光子处于叠加态这个假设，这也与经过偏振选择处理，属于测量范畴并导致偏振叠加态“塌缩”是一致的，只有这样，量子在这个小角落里的不自洽矛盾才能获得解决。 所以我们就能够知道，其实并没有什么物理原理限制 Eve 在量子通道复制出来一个 0 度偏振方向的光子并发送给 Bob ， Eve 只需要找到一个检测 4 个偏振方向的技术手段而已，这是技术能力问题，可没有什么物理原理的限制。 量通检测存在侦听行为的物理依据就是 Eve 不能复制同样偏振的光子，所以通过防范所谓的光子数分离攻击，就能防止明文密钥的失窃。可惜看来不可克隆原理并不是量通的保护伞，如果 Eve 能够复制相同的偏振光子并发送给 Bob ，就能干净彻底利落地破解量通所有的安全防护罩，量子通所有密钥都将神不知鬼不觉的被窃取。 无条件安全承诺是一张挂在天上永远吃不到的大饼，破解量通的秘诀根本与算力无关，仅仅只需要发展出来检测光子偏振方向的技术而已，量通专家还能找到一个物理原理限制这种技术的存在吗？ 通过上面的分析，量通 BB84 协议从诞生之日起，就存在严重的适用物理原理的错误，这就跟一个中学生解答物理试题的时候，误用了一个完全不相干的物理定理一样。这个错误足以彻底摧毁 BB84 协议的合理性，也让我们的京沪干线和墨子号的成果化为灰烬。 我们希望能够在这个关键问题上获得量通专家的解答，这是一个没有任何回避空间的关键问题。如果这个问题最终证明适用原理是错误的，那么在现代科技发展历史上，这就是一个令人难以置信的丑闻。 到目前为止，没有任何拿的出的理由能够令人信服地说，具有特定偏振方向的光子处于叠加态，因此我们就无法理解，这么容易发现的问题，无论国内还是国外的那些著名量通专家们，竟然没有一个人就此提出质疑，众多研究和实验成果层出不穷，不但发表在顶级的科技期刊上，并且获得了国内外各种大奖，也包括那个著名的沃尔夫奖。如此长的时间，如此众多的精英，如此重大的科技领域投资，加上如此低级的理论适用错误，这样的现象出现在以严谨著称的科学殿堂上，不是比量通本身更值得令人深思吗？ 12. 问：有些材料说量通的京沪实验工程采用了多光子的诱骗态技术，能说说这方面的内容吗？ 答：单光子在理论上存在，但是实际上制备纯粹的单光子目前并没有好的办法，即使在实验室环境下也做不到，更不用说在工程项目中。好的情况下只能说制备出来的光子大概率下是单光子，掺杂一些多光子。 所有量通协议的设计，都要求采用绝对意义上的单光子，这样才有可能防范光子数分离攻击。不得不多说几句这个攻击手段，当年 BB84 的初始设计就是为了防范这种攻击而采用单光子的方案，有意思的是，之后的量通竟然因此不假思索地默认，所有对量通的攻击手段就只有这唯一的一种。这种思考问题的简化方法实在可怕，更可怕其实是连思考都不思考就全盘接受继承。假如防病毒公司的技术人员知道量通竟然如此简化可能面临的被攻击风险，不知道他们会有什么感觉？一定不会很好。 潘院士在很多场合都说，量通采用单光子，多光子绝对不安全。 但是一方面单光子制备存在问题，另一方面，单光子在光纤中衰减非常严重，根本无法长距离传输，最长不超过 10 公里，这个问题在工程上就非常致命，京沪干线 2000 多公里，单光子方案需要至少 200 多个可信中继器，我就不重复说可信中继器在安全方面有多么可怕了。 所以尽管量通从来不愿意说，量通工程号称采用 BB84 协议，但是其实他们发送的都是多光子形式的弱激光，那就已经跟 BB84 协议无关了。 BB84 协议设计采用单光子模式防范光子数分离攻击，但是一旦采用多光子模式，也同样需要找到防范光子数分离攻击的手段，于是诱骗态技术诞生了。 2003 年韩国科学家黄元瑛首次提出诱骗态思想，此后由中国的量通专家们对此进行一些改进后应用到京沪干线上。 诱骗态设计采用多光子方案，仅仅防范光子数分离攻击，即使在最理想的状态下，这种方案提供的安全保障也是概率安全，也就是说，当 Eve 监听秘钥发送的时候，无论是 Alice 或者 Bob 无法发现这种监听行为以一定的概率存在的，并且这个概率实际上随着传输距离的增大急剧提高。概率安全是我为量通诱骗态专门发明的新概念，传统的信息安全领域不存在这个概念，因为密钥加密体制或者找到破解的捷径，或者强力破解，不存在多大概率下破解的情形。量通独辟蹊径地提出来一个很另类的概率性的信息安全理念，可想而知他们的创新，离真正的信息安全要求距离有多遥远。 量通的工程建设究竟采用多长距离设置一个中继器，主要就是取决于安全概率与成码率之间的平衡关系，安全性要求低，成码率就可以提高，传输距离就可以延长。因为这个概率安全实在拿不出手，完全违背了无条件安全的承诺，所以量通的宣传中，诱骗态基本是隐形的，否则这项主要由中国人发扬光大的技术早就宣扬得路人皆知了。 诱骗态是个很量子化的名字，令人油然而生敬畏。其实它的原理并不复杂。 Alice 发送两种类型的信号，一种是真信号，一种是假信号，真信号用强光发送，假信号用弱光发送， Bob 只接收强光信号，丢弃弱光信号，这样就能够接收到完整的真信号了。 每个人都会问那么 Eve 不也可以这么做吗？ 是的，从通信的角度来说， Eve 和 Bob 都是信息的接收者，他们每个人知道的东西都不比对方更多，所以按照传统的通信理论来说， Bob 能完成的只接受真信号过程， Eve 同样能够完成，究竟什么原因造成两者的区别？ 就得回到 BB84 协议里。在单光子情况下，如果 Eve 截获了光子，根据不可克隆原理， Eve 无法原样复制一个光子发送给 Bob ，所以 Bob 能够根据接收光子的扰动分析出来可能存在侦听者，于是放弃接收到的一切信息。 类似的，诱骗态要想发现存在侦听的情况， Eve 的操作一定要干扰到 Bob 的接收信号，使后者能够发现信号的扰动现象，这就需要再次祭出不可克隆原理这个神主牌。 由于 Eve 侦听时，需要同时截获弱光和强光，假设 Eve 从中各抽取一个光子，因为不可克隆原理限制， Eve 不能将截获的光子复制后重新发送给 Bob ，所以这个时候， Bob 在分析接收到的强光与弱光的单光子分布比率时，就能发现由于各自丢失 1 个光子导致两者之间的分布比例关系照比平常会发生偏移，这时存在 Eve 的可能性就很大，于是就放弃接收到的所有信息。 当然上面仅仅是大白话的原理性描述，实际的设计和操作要复杂一些，更复杂的其实是这套理论一连串的烧脑量子概率计算，这些计算直接提高了理解诱骗态原理本质的门槛。 了解了诱骗态的大致原理，人们不禁担心，因为强光与弱光各自丢失 1 个光子算出来显著的分布比例偏移，这也太敏感了吧？你把分子分母各减去 1 然后算出来的比值与原来大不相同，意味着分子分母的数值其实都不大，换句话说，即使是强光也是极弱的激光，这就限制了传输的最大距离。当然，你尽可以将激光功率调大，以增加传输距离，或者提高成码率，但是这就意味着扰动偏离会很小，发现 Eve 存在的概率也就急剧降低。 对环境变化如此敏感，经历寒霜酷暑，器件老化，都会导致损耗的漂移，于是之前调试好的参数不再好用，需要不断调整，可是调整到什么程度仍然是纯运气的事情，并且每两个中继器之间的参数都不可能是相同，都需要调整，如果你要是偷懒一点，放宽参数指标，那么就不用想能够发现 Eve 的存在，安全性就是一句空话。 如果你看到量通经常说的，经过仔细调整系统参数，使得 QKD 的传输距离和成码率大大提高，你就知道他们调整的是什么内容，也知道后面的潜台词是什么了。通讯的距离和成码率是工程可用性的先决条件，是用户看得见摸得着的指标，至于安全还是不安全，只要没发生攻击，谁又能看得出来，不都是靠承诺就够了吗？ 单光子是不可以放到光交换机里的，墨子文中提到在量子信号层面，可以采用光路交换进行组网，那当然不是单光子，而是属于激光的范畴了，这也证明了尽管量通不愿意提及诱骗态，其实他们采用的就是弱激光形式的诱骗态。 诱骗态的安全性建立在或然性的数学概率证明，完全没有什么确定性的物理机制支撑。坦率地说，我实在无法将诱骗态看作是一个信息安全的解决方案，我更无法将诱骗态看作是可以工程实现的解决方案，现在诱骗态能够运行起来的唯一理由是以绝对不安全为代价的。 当然，上述的讨论包括诱骗态的概率计算，都是以不可克隆原理成立为前提，并且攻击者只会采用单一的光子数分离攻击方法进行窃听。前面的问题已经将不可克隆原理从量通的神坛上撤掉了，但是即便供上不可克隆原理的主神，诱骗态仍然将量通理论上的安全拉低到一个新的低点，所以量通的宣传一直回避这个话题。 顺便提一句，今年 5 月份，科技日报发表了一篇题为《 用噪声保密 我研究成果可使光通信“抗劫持” 》 的科技新闻，可惜里面讲述的内容并不包含原理性的解释，但是字里行间，如果将这个看作诱骗态的一个成果总结，完全没有任何违和感。当然缺少了不可克隆原理的加持，这个方案在原理上的安全性如何保障实在无法判断。不过反过来想，如果诱骗态的具体实践弱化了安全性的要求，这两个方案倒的确是很像一对孪生的兄弟。 墨子沙龙有关量子通信话题的问与答（一） 墨子沙龙有关量子通信话题的问与答（二） 墨子沙龙有关量子通信话题的问与答（四） 墨子沙龙有关量子通信话题的问与答（五） 参考资料： . 墨子沙龙 . 量子通信的问与答（上） 什么是量子通信 . 2018-11-02. https://mp.weixin.qq.com/s/dWn-g098ZZ6KeUeQx1mc7g . 墨子沙龙 . 量子通信的问与答（中） 什么是量子通信 . 2018-11-03. https://mp.weixin.qq.com/s/GT9hmW1qooG7f35VSi5fGA . . 墨子沙龙 . 量子通信的问与答（下） 什么是量子通信 . 2018-11-04. https://mp.weixin.qq.com/s/_J34VZIltGnSxca8zI6u0A . . 徐令予 . 英美等国家如何评估“量子通信”工程化 . 观察者网 . 2018-10-31. https://www.guancha.cn/XuLingyu/2018_10_31_477593.shtml . 量子大观 . 定位广泛商用 全长 609 公里“武合干线”贯通量子国家骨干网 . 2018-11-13. https://mp.weixin.qq.com/s/UdUrQ6m7kSEOHLgdV88Dng . 国务院 . 关于加强地方政府性债务管理的意见 . 2014-09-21 http://www.screnhe.gov.cn/InfoSend/Detail.aspx?id=20180126182643-873980-00-000 . 莎菲 . 戈德瓦瑟 (2012 年图灵奖获得者 ) ，潘建伟 . 看顶尖科学家激辩：量子计算与密码学 . 2018-10-31. https://m.thepaper.cn/newsDetail_forward_2582333 . 李红雨 . 沃尔夫奖的迷失 . 科学网. 2018-10-08 http://blog.sciencenet.cn/home.php?mod=spaceuid=46717do=blogid=1139647 . @ 九维空间 Sturman . 解读 2012 年诺贝尔物理学奖 . 2012-10-09 https://www.guokr.com/blog/356396/ http://blog.sciencenet.cn/home.php?mod=spaceuid=46717do=blogid=1139647 . Prof. Peter Zoller winner of Wolf Prize in Physics-2013 http://www.wolffund.org.il/index.php?dir=sitepage=winnerscs=737 . John F. Clauser Winner of Wolf Prize in Physics - 2010 http://www.wolffund.org.il/index.php?dir=sitepage=winnerscs=283 . 2005 年诺贝尔物理学奖解读 . 2005-12-03 http://blog.sina.com.cn/s/blog_4440e332010000ov.html . Juan Yin,……. S atellite-Based Entanglement Distribution Over 1200 kilometers. Science 2017-06-16 http://www.docin.com/p-1951266714.html . 徐令予 . “熔断和幽灵”有可能威胁量子通信干线的安全 . 观察者网 . 2018-01-31 https://www.guancha.cn/XuLingyu/2018_01_31_445230.shtml . 李红雨 . 量子通信是安全的吗？（下） 科学网 . 2016-3-23 http://blog.sciencenet.cn/blog-46717-964437.html . 周炳琨等 . 激光原理（第六版） . 国防工业出版社 . 2009.1 . 用噪声保密 我研究成果可使光通信“抗劫持” . 中国科技网 . 2018-05-21 http://www.stdaily.com/index/kejixinwen/2018-05/21/content_672370.shtml . 程小康 . 美媒惊叹中国量子加密技术领先：专家警告美国若再等 5 年才投入，就晚了 . 观察者网 . 2018-12-05 https://www.guancha.cn/industry-science/2018_12_05_482211.shtml
3984 次阅读|2 个评论
墨子沙龙有关量子通信话题的问与答（二）
热度 4 lhy8848 2018-12-29 12:03
本期问题速览 5. 量子通信与量子密钥分发是什么关系？ 6. 怎样理解量子密钥分发的“无条件安全性”？ 7. 量通宣传公钥加密方式 RSA 在量子计算机时代将能够被轻易破解，所以量子密钥是一个需要迫切发展的技术以防患于未然，如何看待这样的观点？ 8. 虽然面对很多批评，但是量通认为只要在密钥分发环节上，量子手段优于传统密钥分发手段，就值得发展这个技术方向，如何看待这个观点？ 第二期 5. 问：量子通信与量子密钥分发是什么关系？ 答：按照一般人理解的通信，如果仅仅从量子通信这个字面上进行联想，量子通信究竟做了什么似乎呼之欲出。但非常可惜，那是错得离谱的错觉。相当长一段时间，量通的宣传特意将量子通信（ QC ）与量子密钥分发（ QKD ）的界限模糊化，让几乎所有人甚至包括信息安全领域的专家也产生错觉，直到科学界反对的声音出现。 现在越来越多的人开始认识到 , 曾经发生误解的量子通信其实只是量子密钥分发，只是广义的量子通信下面的一个分支而已，量通其实并不能采用量子的方式对信息进行加密，真正的加密算法仍然是传统的密钥加密，所不同的不过是采用了量子方式传送过来的量子密钥（ QK ）而已。讲真的话，量通如果单纯采用量子的方式，连一个 bit 的有用信息都发送不出去。 只看格林兰岛的名字就误以为遍地鸟语花香，只看冰岛的名字就以为四处冰天雪地，这种望文生义的错觉，有时候就会被有心人充分利用起来。 当人们错把 QKD 当做 QC 的时候，也就误把 冯京当马凉，以为量通干的活是采用特殊的量子加密的方式，将信息以最高安全等级发送出去， 利用人们对于量子的一知半解，对量通的安全承诺产生无条件的信任感，甚至觉得这个东西用在国防上都是镇国之宝。 但凡多花点时间看看普通人对于量通文宣的高调点赞，就知道他们所臆想的量通与实际的量通相差有多遥远。笔者请教过一些知名的量子专家，即使他们知道量通其实就是 QKD ，但是也一直误以为国内量通实现的 QKD 采用的是量子纠缠模式（实际采用的是偏振模式），误解如此之深，连专家也难免入道，更不用提毫无分辨能力的普通人了，这就是量通要达到的目标，也确实达到了这个目标。 按照 墨子文对量子通信的定义 ，其中包括量子密钥分发和量子隐性传态两个领域。这个定义是否权威，恐怕还有很多争议，通常比较有把握的看法是量子通信涵盖的范围包含不仅限于上面两个分支，还在不断扩展中。 6. 问：怎样理解量子密钥分发的“无条件安全性”？ 答：现代密码学里面，信息安全采用的加密的技术手段通常是密钥的方式，当然除此之外还有其它形式，比如我们网络安全经常采用的物理隔离，也是信息安全常用的方式。 对于密钥形式的加密解密手段，很早就由香农证明了异或加密体制下，当满足一次一密、明文密钥等长、密钥充分随机三个充要条件时，密文是不可破解的，因为破解的结果是非确定的、发散的。从这个意义上来说，人类已经证明了一个“完美”的加密机制。但是密码学里面不存在“无条件安全性”的概念，那只是一个情怀，根本不可能是一个严谨的科学定义，也更谈不上有什么证明，香农的算法也需要至少满足三个充要条件，缺一不可。 量通的“无条件安全性”是以算力为基本思想，是与密钥加密的密文需要强力破解相比较而言的，他们认为只要保证最强大的算力也无法破解密文就是无条件安全。 在参考 中， 潘院士对这种“无条件安全”做了解读 ，他认为以复杂性算法为基础的经典密码，都是理论上可以被破解的。遗憾的是，这种说法是完全错误的，香农的证明已经很好地反驳了这个理念。令人不解的是，同样是量通，也往往举出香农的证明来宣传量通的无条件安全性是得到了证明的。一方面贬低传统加密算法都是可破解的，一方面又说存在不可破解的加密体制， 我无法调和量通这两种截然相反说法之间的矛盾 。另外 2012 年图灵奖获得者莎菲 . 戈德瓦瑟也在视频中提出来一些算力不可破解的加密例子。我希望量通专家虚心听取一下这方面专家的不同意见，在这个领域里面，量通专家一点也不专业，不要提出一些自己都不知所云的新概念，那些东西禁不起任何专业知识的审视，只是凸显自己专业知识的贫乏。 将信息安全仅仅局限在算力破解的范畴内是非常狭隘的，依照这样的思想，只要提供足够的算力，比如量子计算机，通过遍历密钥空间就能够破解所有密文，传统密码体系就会崩溃，这是对密码学的严重误解，不具有科学的严谨性，不可能获得任何信息安全领域专家的认同。很简单，如果明文就是一串无语义关系的数字或者字符串，或者破解结果出现发散的情况，强力破解根本不可能奏效。 令人感到讽刺的是，量通采用的 BB84 协议属于物理操作序列，发送的只是密钥，真正进行加密解密操作的仍然是传统的加密算法，密钥分发过程只是物理操作，根本不存在密码学意义的算法，破解量通的方法也与算力无关。所以完全不能理解量通强调算力，究竟跟它有什么实质关系？要说有关系，也是算力与传统加密算法的关系。 事实上，破解量通的方法根本不是从破解普通光纤上的密文着手，而是直接面对量子通道里面发送的密码明文，这完全不需要基于算力，而是基于物理过程序列。 量通的“无条件安全”根本就是个噱头，将这个看起来美妙无比的光环套在自己的头上，却从来没有给出任何一个有效的证明。有时为了强调这个主张的权威性，明明干的是量子的活，却拿出传统密钥的香农定理为自己的结论背书，将两件风马牛不相及的事情硬捏合在一起，要多拧巴就有多拧巴，需要多强大的内心才能不被这种显然的错位所扭曲，严谨的信息安全专家是完全无法理解这些的。 其实可以这样反过来想，对于普通人来说，算力跟信息安全程度直觉上的相关性还是很强的，如果量通不断强调算力，就会让人联想到量通可能是做加密解密的工作，只有发生这样的误解，各种文宣的操作才变得更有成效。可以看出来，量通把文宣也当作一个系统工程来做了，可惜能够清醒识别到这些的人真的太少了。 7. 问：量通宣传公钥加密方式 RSA 在量子计算机时代将能够被轻易破解，所以量子密钥是一个需要迫切发展的技术以防患于未然，如何看待这样的观点？ 答：量通 QKD 协议的局限性限定了密钥分发只能在已知的用户之间进行操作，要求发送和接收两端同时拥有专用的量子通道和发送接收设备， QKD 是纯粹点到点之间的协议，并且还不允许中间有任何中继器、交换机、路由器，现实中并不可能具有这样条件的用户。如果放宽尺度，就算允许量通在信道内接入所谓可信中继器（其中引入的巨大安全风险这里不展开谈），那么也仍然是属于 确定用户之间的密钥分发 。 暂且不谈 RSA 安全性的真实性，退一步讲，假如 RSA 面临安全性风险，需要其它技术手段来替代，那么既然量通渲染他们是拯救这个密码危机的救世主，一定能够挺身而出，承担 RSA 原来所起的作用，可惜这种幻想是错误的。 用户之间的密钥分发工作究竟采用何种加密体制取决于用户的类型。对于确定性的用户之间，他们之间会定期发送密钥，典型的就是一般金融机构的 KDC 之间密钥分发。这种确定性用户之间的密钥分发工作既可以采用非对称加密方式，也可以采用对称加密方式，没有什么特别的限制，当然如果量通一定要说 RSA 可能存在不安全的因素，那么 KDC 之间采用对称加密方式就是了，量通再怎么烘托密码危机的氛围，也不敢说对称加密也存在危机，因为第一，香农定理已经证明对称加密是可以做到绝对不可破解的；第二，量通的普通信道上就是采用对称加密方式来加密信息的，自己的刀绝对不能削了自己的把。 RSA 主要用于非确定性用户之间密钥分发工作 。当两个陌生人之间需要进行保密通讯的时候，首先在一个用户端生成对称密钥，并通过公钥系统加密后，发送给通信的对方，此后，两用户之间就可以通过对称密钥进行保密通讯。这种应用情景最典型的就是我们日常的互联网和移动应用。 非确定性用户之间只能采用公钥体制进行密钥分发， 你不可能期待任意两个陌生人之间都能通过量子通信线缆直连，中间还不能有路由器和分组交换机，这样的组网方式连一点存在的可能都没有。这类用户之间的保密通讯，量通这盘大菜根本端不上桌，所以让人感到他们如此大声宣讲 RSA 不安全，岂不是显得太滑稽了， You can you up 啊 ! 况且，公钥体制又不是 RSA 唱独角戏，候选的角色太多了，今天 RSA 不好用，明天全世界就能重新下载个插件换个新方法，你让量通试试能不能一夜之间换个玩法？ 用硬件的方法来解决软件能够轻易解决的问题，这在 IT 界、在密码学领域都是愚不可及的想法，违背最基本的科学技术发展的方向。二十几年前计算机里面还有硬件加密卡和汉卡来支持信息加密和汉字输入输出，现在还有谁的机器里面有这些古董？ RSA 的加密原理很简单，就像哥德巴赫猜想一样貌似谁都能解决这个问题。量通显然轻看了解决这个问题的困难程度，他们寄希望于量子计算机的突破。但是他们其实内心里比谁都知道，迄今为止，虽然量子学界闹哄哄今天说做出来几十个量子比特，明天说马上就要实现量子霸权，可是他们从来没有主动说出来，他们说的那些个量子比特根本就不是量子计算理论里面的量子比特，量子计算机的量子比特现在都称之为逻辑量子比特，而所有量子计算机的理论包括量子霸权所指出的 50 个量子比特都是这个逻辑意义上的量子比特。现在世界上最先进的实验室里，连一个逻辑量子比特都没有做出来，更不要谈十几年后就会做出来什么量子计算机了，那个目标现在离我们远得连影子都看不到，搞不清楚量通专家为什么对量子计算机的问世这么自信，是不是唯有此才能制造出来黑云压顶的危机感？量通未雨绸缪的提前量打得未免太多了，不知道等到量子计算机问世的时候，那些量通设备是否已经锈成了渣，成为博物馆的出土文物？ 量通渲染 RSA 危机，在早期是因为他们对密码学知识的理解实在太皮毛，所以没有意识到， RSA 的角色量通根本无法扮演，等到开始做工程实施的时候，才发现面向用户的最后一公里组网，他们完全无法完成。于是他们想出来的着法就是通过量子手段，从远程到本地之间协商出来大量密钥并囤积起来，美其名曰量子密钥 QK （有关囤积 QK 的问题后面还会讨论），似乎这些自带仙气的 QK 具有某种魔法，能比本地生成的密钥加密出来的密文安全度更高。 我承认我有点幸灾乐祸地冷眼观看量通如何将他们囤积的 QK 分发给两个陌生的用户，毕竟他们承诺几年内将量通普及到千家万户。如果不用明文发送这些囤积的 QK ，他们就得发明一种非公钥的新加密体制用来分发密钥，这种新体制还只能利用现成的网络系统 。如果量通确实做到了这些，那倒还真的是密码学界的一大突破，获得个图灵奖肯定没有问题。令我感到好奇的是，尽管量通宣称已经有了那么广泛的商业应用，但他们从来不愿意告诉大家这最后一公里的密钥是怎么发送出去的？这些过程目前可都是谜团，量通专家不妨给大家普及一下这方面信息安全的知识，我可以保证能够听懂这方面知识的听众足够多，想要在这个环节一直保持模糊状态除非什么都不做。 8. 问：虽然面对很多批评，但是量通认为只要在密钥分发环节上，量子手段优于传统密钥分发手段，就值得发展这个技术方向，如何看待这个观点？ 答：这样的观点恰恰将量通专家对于信息安全理解的片面性暴露得清清楚楚。信息安全从来都是需要从全局的角度来衡量，需要遵循木桶原理。城池都是从最薄弱处被攻破的，这个道理连普通人都懂。 在之前，量通通过各种文宣渲染危机，模糊化他们实际所做的工作，所以一般人甚至包括专业人士都以为量通真的是对通信系统采用量子的方式进行加密，但是在反对者不断纠正的声音中，量通不得不承认他们只是做了密钥分发的工作。 那么传统密钥分发是否存在这个薄弱环节？ 密钥分发其实有两种类型，第一种是确定性用户间分发密钥，也就是 Alice 和 Bob 都是固定的通讯伙伴，比较典型的就是银行 KDC 之间；第二种是不确定性伙伴之间分发密钥，典型的就是互联网和移动用户之间。 对于第一种类型，可以事先预置对称密钥，通过对称加密的方式进行密钥分发，甚至都不直接分发密钥，而只是发送无意义的随机数，由 Alice 和 Bob 根据随机数各自算出密钥。无论采用哪种方式，密钥分发的安全性都不低于量通的密钥分发手段，因为很简单的道理，只要采用了所谓的可信中继，量通的密钥也是采用经典的对称加密算法发送的。虽然量通的量子通道能够协商出来密钥，姑且不谈这个量子通道的安全性（这个通道恰恰是更不安全的），要想分发这个密钥，仍然需要采用传统的对称加密的方式进行加密传输，这就跟传统的加密方法没有什么不同，又何谈量通密钥分发安全性更高？这么简单的道理理解起来很难吗？ 对于第二种方式，属于临时通讯加密，只能采用非对称加密方式分发密钥，这种情况下量通的机制在理论上就已经根本不可能提供任何支持。 在 IT 行业里，网络协议设计是最复杂的设计工作之一，需要全面考虑各种复杂的情况，覆盖所有可能的应用情景，只要想想 5G 标准制定引起这个世界多大的风波，就知道这里面从来就没有简单的工作。 BB84 协议是也只能是一个点对点网络协议，它的设计并非出自网络专家之手（当然也不是出自信息安全专家之手），完全没有能够理解网络协议设计需要关注的诸多内容，因此是非常粗糙简陋的 设计，如果评分的话，开根号乘 10 也达不到 IT 行业网络协议设计的及格水平。这样一个协议从来就不是一个“完成”状态的协议，从根子上根本不具备任何组网的发展前景，任何组网的企图也都将破坏基本的安全前提，所以只能算是实验室里面拍脑袋捣鼓出来的东西 。 只要稍微思考一下就能够知道，类似 BB84 这样双通道模式设计出来的密钥分发协议，实际隐含一个应用原则：“ 谁分发密钥，谁消费密钥 ”，这个原则在实验室点对点密钥分发环境下倒不是什么致命的问题， 可惜 量通专家从来没有意识到，也没有能力总结出这样一个技术限制 。他们的潜意识里面想当然认为点对点环境下的密钥分发协议，可以推而广之地应用在普通网络环境下，跟普通情况下的密钥分发没有什么不同，密钥的分发与使用是可以分割开来的。 就是因为这个错误的认识，使得量通专家认为只要保证密钥分发环节是安全的，量通存在的理由就具有说服力，至于这些密钥究竟由谁来使用是与安全性无关的。所以他们认为采用囤积 QK 的方式，通过给各种用户提供安全度更高的密钥，就能获得更高的信息安全水平。 这种想法愚不可及，可以用一个简单的例子来说明。比如上海本地一些用户想要使用一些密钥来加密信息，那么通过量通手段在北京和上海之间一站一站协商传送过来密钥，或者直接就在上海本地生成这些密钥，哪一种更安全一些？不言而喻，后者连密钥协商传输过程都不存在，当然不可能存在涉及到协商与传输过程的安全问题，相比较量通来说反而是无限安全的。 BB84 的点对点协议与可组网协议不是处于一个技术进化层次，量通的密钥分发不存在有价值的应用场景，囤积 QK 也将造成新的安全问题 ，后续的问答环节将进一步讨论这方面的问题。那么有什么理由花着工程建设成本，带着安全风险将密钥从北京分发到上海？那种认为量子手段优于传统密钥分发手段的观点应该休矣。 墨子沙龙有关量子通信话题的问与答（一） 墨子沙龙有关量子通信话题的问与答（三 ） 墨子沙龙有关量子通信话题的问与答（四） 墨子沙龙有关量子通信话题的问与答（五） 参考资料： . 墨子沙龙 . 量子通信的问与答（上） 什么是量子通信 . 2018-11-02. https://mp.weixin.qq.com/s/dWn-g098ZZ6KeUeQx1mc7g . 墨子沙龙 . 量子通信的问与答（中） 什么是量子通信 . 2018-11-03. https://mp.weixin.qq.com/s/GT9hmW1qooG7f35VSi5fGA . . 墨子沙龙 . 量子通信的问与答（下） 什么是量子通信 . 2018-11-04. https://mp.weixin.qq.com/s/_J34VZIltGnSxca8zI6u0A . . 徐令予 . 英美等国家如何评估“量子通信”工程化 . 观察者网 . 2018-10-31. https://www.guancha.cn/XuLingyu/2018_10_31_477593.shtml . 量子大观 . 定位广泛商用 全长 609 公里“武合干线”贯通量子国家骨干网 . 2018-11-13. https://mp.weixin.qq.com/s/UdUrQ6m7kSEOHLgdV88Dng . 国务院 . 关于加强地方政府性债务管理的意见 . 2014-09-21 http://www.screnhe.gov.cn/InfoSend/Detail.aspx?id=20180126182643-873980-00-000 . 莎菲 . 戈德瓦瑟 (2012 年图灵奖获得者 ) ，潘建伟 . 看顶尖科学家激辩：量子计算与密码学 . 2018-10-31. https://m.thepaper.cn/newsDetail_forward_2582333 . 李红雨 . 沃尔夫奖的迷失 . 科学网. 2018-10-08 http://blog.sciencenet.cn/home.php?mod=spaceuid=46717do=blogid=1139647 . @ 九维空间 Sturman . 解读 2012 年诺贝尔物理学奖 . 2012-10-09 https://www.guokr.com/blog/356396/ http://blog.sciencenet.cn/home.php?mod=spaceuid=46717do=blogid=1139647 . Prof. Peter Zoller winner of Wolf Prize in Physics-2013 http://www.wolffund.org.il/index.php?dir=sitepage=winnerscs=737 . John F. Clauser Winner of Wolf Prize in Physics - 2010 http://www.wolffund.org.il/index.php?dir=sitepage=winnerscs=283 . 2005 年诺贝尔物理学奖解读 . 2005-12-03 http://blog.sina.com.cn/s/blog_4440e332010000ov.html . Juan Yin,……. S atellite-Based Entanglement Distribution Over 1200 kilometers. Science 2017-06-16 http://www.docin.com/p-1951266714.html . 徐令予 . “熔断和幽灵”有可能威胁量子通信干线的安全 . 观察者网 . 2018-01-31 https://www.guancha.cn/XuLingyu/2018_01_31_445230.shtml . 李红雨 . 量子通信是安全的吗？（下） 科学网 . 2016-3-23 http://blog.sciencenet.cn/blog-46717-964437.html . 周炳琨等 . 激光原理（第六版） . 国防工业出版社 . 2009.1 . 用噪声保密 我研究成果可使光通信“抗劫持” . 中国科技网 . 2018-05-21 http://www.stdaily.com/index/kejixinwen/2018-05/21/content_672370.shtml . 程小康 . 美媒惊叹中国量子加密技术领先：专家警告美国若再等 5 年才投入，就晚了 . 观察者网 . 2018-12-05 https://www.guancha.cn/industry-science/2018_12_05_482211.shtml
4060 次阅读|13 个评论
需求和成本是工程立项的基础
热度 16 lxu2800 2017-12-29 09:34
需求和成本是工程立项的基础 一评京沪量子通信干线工程 9月29日，世界首条量子保密通信干线——“京沪干线”正式开通。中国科技人员在量子保密通信相关技术领域，诸如高速高效率单光子探测、可信任光子中继站和星地量子密钥协商等方面都取得了重大进展，可喜可贺！对此我们不需要更多的溢美之词，此时此刻，客观的介绍和有益的建议比什么都重要。 为什么要开发量子保密通信技术？因为从理论上讲，如果未来量子计算机真的建成，再如果建成的量子计算机有足够的量子位（Qbit）和足够的稳定性，那么今天密码系统中的非对称性的公钥密码RSA有可能被想象中的量子计算机破解。研发量子密码通信技术就是为了寻找未来可以替代RSA的技术。必须指出，虽然今日的密码系统并非尽善尽美，但也没有迫在眉梢的危机。由此可知，量子保密技术只可能是前瞻性的科学研究，而现在却把它做成了工程项目，这就必然会带来一些问题和争议。这些问题不得到澄清和解决，《九州量子》和《量子小镇》这些事件就会层出不穷 。 “京沪干线”工程项目首席科学家、中科院院士潘建伟最近的谈话中提到：“....，但是大家不能把它炒作得太热之后，一个东西反而味道就变掉了。要严谨地去做事情。”从字里行间不难看出，他也担心京沪量子保密通信干线如果在过度炒作的舆论环境下，可能不利于解决实际的科学问题。 他又说：“量子通信广泛应用取决于成本和需求两大因素。 ”这句话说到点子上了，评论工程项目，需求和成本就是两个始终绕不开的坎。 让我们先对量子通信工程的需求作些分析。2017年5月有一篇论文：“后量子时代的RSA” ，该文发表后被多家相关杂志转载和引用，几乎一致的结论是现今使用的非对称性密码RSA不会因为量子计算机的出现而消亡。 该论文的核心观点是：假设量子计算机已经建成，再假设量子计算机的量子位（Qbit）可以无限扩展，进一步假设该量子计算机的运行成本与现在通用电子计算机的成本可以相比，用这样一台超级想象出来的量子计算机来破解长度为 Terabyte（太字节，等于1024GB）的RSA非对称密钥需要量子计算机进行2^100（2的100次方）的量子位操作。 2^100是一个什么概念？这个数大于我们星球上所有细胞的总数！当然一个Terabyte长度的RSA公钥也有点过份了，但即使在目前使用的电子计算机上运行，从密钥的产生到加密和解密一共化时五天。这样的方案虽然不太实用但至少还是可以实现的。 这篇论文并不是要为对抗量子计算机提供确切的方案，而是用实验和大量数据分析指出：即使围绕量子计算机的技术难题和运营成本全都解决，只要现行的RSA公钥增加字长和改善算法，就能迫使量子计算机的恶意攻击付出难以承受的代价， 在后量子时代作为经典密码系统重要基石的RSA具有足够长的生命力。急于丢弃RSA等公钥密码系统而另辟蹊径可能真的是杞人忧天。 让我们进一步对量子通信工程作些初步的成本分析。经典保密技术与量子保密技术的主要区别是：经典保密系统中通信的内容与密码的配送使用的是同一个通信网络，而量子保密系统必需两个通信网络，一个传送通信内容，另一个配送量子密码。量子保密技术势必会大幅增加通信的成本。 由电路交换和分组交换技术构建起的经典通信网络从本质上来说与量子保密通信网络是格格不入、难以融合的。很难设想在原有的通信网络线路上实现量子密钥分发。换言之，为了通信未来的安全，我们必须在原有的通信网络之外加建一套传递密钥的专用网络。而且这条网络要求所有通信双方端到端全程使用光纤联接，当通信双方超过上百公里，还必须使用可信任中继站或卫星中继。暂不考虑工程的难度，对于普通用户特别是手机用户而言，仅成本一项无疑也是难以承受之重。 到目前为止，在所有的经典加密技术中，通信的内容与加密的信息都在同网络上传输，信息交换和保证信息交换的安全措施是一个统一完整的过程，密码系统在整个通信过程中所占的额外成本是十分有限的。因此从工程角度来看，改进和革新经典加密技术比发展量子密码技术的成本要低得多，也更为切实可行，这一点越来越成为业内人士的共识。 再让我们看看密码学界最近的动态，请先看下图：密码学界已经明确把公钥密码系统分成两大类，左列中都是目前常用的公钥密码，它们是“量子可破”的，即理论上在量子计算机攻击下是不安全的（事实上也并非如此，见文章的上部分分析）。 图中右列的几种公钥密码系统被列为“量子不可破”，它们从原理上被证明是很难被今日的巨型电子计算机和还在纸上的量子计算机破解的，因而它们又被称为后量子时代的密码系统。 在“量子不可破”的公钥密码系统中最受关注的是“lattice-based crypto ”（基于阻格的加密法），密码学界对该方法的研究已经有二十多年了，但始终没有进入工程应用阶段。其问题的本质是：该算法太复杂，运行效率低得无法使用；算法加以简化后，效率大幅提升，几乎可以与RSA媲美，但是却出现安全隐患。但是近年来对于该密码系统的研究取得了实质性进展，它们很可能就是美国国家安全局不久将要推出的后量子时代的密码系统中的重要组成部分。 对付量子计算机未来可能的攻击，采用改进的经典数学方法而不是全新的量子密码技术己成为欧美密码界近期的共识，2017年年中在迪拜召开的RSA国际学术会议充分展示了这一点。这些改进后的新的密码算法完全可以在目前所有的计算机和通信网络上运行，现行一切通信方式釆用这些新算法进行升级换代过程可以变得更平稳更经济。 把高铁工程与量子保密通信联系在一起，可以印象化地说明这样一个事实：洋人做不来的事，中国人可以做而且可以做得很好。但是我们必须明白，量子保密通信不是高铁工程，它只是一个不完整的示范性工程，工程的必需性和可行性正面临严峻的考验。人们出行可以坐高铁也可以不坐高铁，也可以坐一段高铁再加一段普客。但是通信系统中经典密码系统很难与量子密码系统兼用，如果一定要联在一起用，就会有木桶短板效应产生，量子保密系统不能为用户带来丝毫益处，除非通信双方全程使用量子保密系统，而我们都知道这对大量的普通用户又是多么地不切实际。高铁一通，上面坐满了普通百姓，而京沪量子干线开通至今，请问又有几个吃瓜群众享受到了量子保密通信的好处？ 那么金融行业，特别是银行系统是否会享受到量子通信干线的优越性呢？很可惜答案是否定的。量子计算机有可能破解RSA这类非对称密钥，而对于基于复杂逻辑运算的对称密钥体制根本就没有威胁。现在所有金融行业（包括银行）采用的都是对称密钥体制，这个标准由中国人民银行颁布的PBOC里面有详细的描述，并且PBOC标准也是参考美国的国家标准制定的，其实全世界的金融行业标准几乎都是一个模子刻出来的 。 银行系统密钥分发要用到RSA这类非对称密钥只有初始化的第一次，之后采用的都是对称密钥加密。其实初始化都未必会用到RSA，任何能够安全地将初始化密钥分发到密钥分发管理中心的手段都可以采用，毕竟只需要做一次的事情，麻烦一些也无所谓。银行与其它金融系统对量子保密通信是不会有多少兴趣的，哪怕你明天就变出一台有几万量子位的量子计算机，他们仍旧会是“量子围困万千重，我自巍然不动。” 军队会使用量子通信吗？从目前的技术状态来看，这更不可能。军队通信对网络的移动性、可变性、和抗干涉性有更高的要求，量子保密通信从本质上很难适应这样的网络通信环境。 那么究竟谁是京沪量子干线上的主要用户呢？有报道说某某市政务系统开始采用量子保密通信技术，做些什么呢？使用量子密钥对视频通话加密解密。其实只要是了解政务系统的人都知道，跑在政务系统上面的信息，其实从来就没有太多需要保密传送的内容，真正机密的信息连一个字都不会放在政务网上的。所谓政务网采用量子通信多少带有作秀的成分。 对量子保密通信概念的误解导致了一系列问题的产生，媒体的过份渲染和资本市场的炒作把问题进一步复杂化。因此有必要再次强调： 1）量子通信根本不是一种新的通信技术，它不是用来传递信息的，它从来不是、也永不可能为大众带来更快、更方便、更廉价的通信服务； 2）量子通信干线工程甚至也不是一套完整的密码安全系统，到目前为止，它不能提供密钥的分级发送管理、身份认真和电子签名这样一套完整的严格切实可行的信息安全服务 ； 3）目前量子通信工程只是基于BB84协议的量子密钥协商技术，原本是用来对付将来有可能发生的量子计算机对非对称RSA密钥攻击的一种防卫手段。但事实上RSA在后量子时代有足够强的生命力，而且更重要的是在许多应用环境中，RSA公共密钥並不是非要不可的。而在一些离不开RSA的环境中，量子通信又根本无法投入使用。 对量子密码技术作前瞻性的科学研究我们应该支持，毕竟在后量子时代如何确保信息安全谁也不敢打保票，量子密码技术有可能发展成为对抗量子计算机攻击的有效工具，多一种选择总是好的。虽然危机仍在未定之天，但未雨绸缪作超前的研究也是应该的，因为新技术从概念提出、实验证明、技术和标准的建立都需要时间，千万不能等危机出现后再临阵磨枪。而且科学研究的过程中会提升相关技术的水平，也很可能会收获意想不到的副产品。 对量子保密通信技术作前瞻性科学研究应该大力支持，我的这个态度始终也不会改变。 但是铺开建设量子保密通信干线的工程项目必须谨慎再谨慎。从近期看，经典密码系统是安全的，到目前为止，量子保密技术不仅成本昂贵，而且功能上也无法替代经典密码系统。开发量子保密技术为的是应对未来可能发生的危机，但这种危机离我们仍十分地遥远，即使危机真的降临，改进升级后的经典密码系统应该足以应付危局。在后量子时代，量子密码技术并非是对抗危机的唯一选择，它很有可能仅是一枚永远也使用不上的备胎。 http://www.guancha.cn/society/2017_09_29_429255.shtml http://www.guancha.cn/economy/2017_09_30_429382.shtml http://www.guancha.cn/society/2017_09_29_429359.shtml https://eprint.iacr.org/2017/351.pdf 有关中国人民银行使用的PBOC简介，可参阅科学网李红雨博客：http://blog.sciencenet.cn/blog-46717-1074225.html 量子保密通信至今不是一套完整的密码安全系统。到目前为止，它不能对通信安全提供诸如密钥的分级发送管理、身份认真和电子签名这样一整套严格完整的全方位的服务。 本文首发于观察者网2017年10月31日 , 发表时曾有多处删节。
个人分类: 科普集锦|11860 次阅读|49 个评论
坚持发展量子通信技术是正道
热度 50 lxu2800 2016-8-31 09:26
坚持发展量子通信技术是正道 隨着全球首颗量子科学实验卫星“墨子号”的升空，量子通信再次成为媒体关注的热点。正面积极的评价是主流。当然也免不了有一些批评和质疑的声音，这在一个相对开放的社会也十分正常，有时候也是有益的。但是最近网络上有两个质疑量子通信的观点是错误的，散布这些观点的人士又自称密码学专家，这就值得我们认真分析和辨驳，把真相还给大众。 他们反对量子通信的主要理由是：通信的首要目的是稳定性，传统的通信手段即使有安全隐患但至少能保证稳定的交流信息，而量子通讯的信号安全是以牺牲通讯的稳定性为代价的，有了敌手就干不成事的量子通讯系统最终也只能沦为一个摆设。 这种稳定压倒安全的谬论貌似有理，实则上是根本经不起推敲的。试问：一条重要军事行动的指令，或者是一件绝密外交文件，难道传达到位是首要任务，信息安全是次要的？信息无论如何先要送出，宁可全军覆灭，宁愿自己的战略情报员被暴露？世界上有这样考虑问题的军政首脑吗？ 当然通信的稳定可靠也重要，虽然军事行动的保密性始终是第一位的，但命令不能及时上传下达当然也不许可。而量子通信却却是稳定可靠的，至少一点也不比传统方式差。反对量子通信的人士总把量子通信描述得像红楼梦中的林妹妹一样弱不禁风，实在可笑之极。他们的逻辑是：精密复杂的系统都是不稳定的，以靠单个光子工作的量子通信是极其精密复杂的，因而量子通信是不稳定的。错！这个三段论推理错在前提上。今日天空中的飞机和家中的电视机比上世纪的都要精密复杂得多，谁说它们没有以前的稳定可靠？我是做计算机出身，七十年代出厂的DJS-130小型计算机，使用单位必须组建一个小组来维护，今天你我手中的计算机不知要比它精密复杂多少倍，哪里又不稳定不可靠了？难道你家中也请了一个电脑维护班？ 这些谬论其实都不值一驳，只能当笑话听听。下面作更深入一点的分析，以证明量子通信实际上是可以做得稳定可靠的，至少一点也不比传统通信方式差。不少人认为量子通信靠的是单光子传输，窃听者的行为改变了光子的状态，会中断正常的通信。又错！量子通信其实只是分发对称密钥，通信双方首先取得一致认可的对称密钥，双方隨后的大量信息交换实际上是在传统通信网络上进行的，当然这些信息都是经由上述的对称密钥加密和解密，得到了充分的保护。既然量子通信中信息的传输仍然在传统通信网络上，为什么它就是不稳定的呢，莫非“量子”两字是四类分子的帽子，带了这顶帽子做什么都是一个错？ 那么窃密者干涉破坏量子密钥分配，又会带来多少不稳定因素呢？首先应该指出，尽管量子密钥分配讯道上存在各种技术和人为的干涉，许多传送的光子要丢弃，传输效率不高，但BB84通信协议就是按照这样的环境来设计的，“传输效率低”不等同于”不稳定”，只要有足够的时间，总能得到充分多的绝对可靠的的对称密钥。有时候得到的密钥还可以编好号贮存起来，以备不时之需。请问这样的量子通信系统又有哪一处不如传统通信稳定？严格来说，通信讯道的评估用的是平均速率、瞬间最高速率和响应时间等参数，从未听说过什么稳定性，不知它是个什么东东，量纲又是什么？还煞有介事谈论稳定性与安全性兼容，真是不知所云。作者是不是密码学专家我没有资格评判，但作者绝对是现代通信学的外行，这点基本可以肯定。 读到这里，反量子通信的可能真有些绝望了，但他们还有最后一招的：我暴力干涉，秒秒分分不停顿，天天月月无休止，让你根本无法交换密钥，看你怎么办？这种图穷匕见的下三滥手段实际上是根本不用答理的。 试问谁又有这样的能力（暴力？）长时期阻断量子密钥传输线路？局外人是根本做不到，难道挺而走险，剪断光纤，设立伪中继站？这些手段最多得逞于一时，终究难逃法网恢恢。我对中国最近的情况不太熟悉，但对美国的联邦邮政法和联邦通讯法规的严格和完善还是略有所知，这种局外人的暴力阻断光纤或设立伪中继站案件真的是前所未闻。 如果系统中有内鬼怎么办？坦白地讲，量子密钥分配技术防的就是内鬼，更正确的说是串通外鬼的内鬼。因为只要有人在量子密钥分配信道上窃听，不管他是外鬼、内鬼、什么鬼（英文使用Eve一词，非常传神），只要窃听必被察觉，这部份密码位全部丢弃，什么损失也不会造成。真正做到“若要人不知，除非己莫为。”这才是密钥配送安全的根本保证，通信双方有了安全可靠的对称密钥，安全稳定地交换信息根本没有任何问题。那么内鬼长时间不断地窃听阻挡量子密钥配送怎么办？这个问题还需要我来回答吗？这样傻的内鬼还是内鬼吗，倒有些像黑旋风李逵，呵呵。 反对量子通信的另一理由是：目前的公钥密码系统很安全，量子计算机的威胁是一种忽悠，研究发展量子通信完全是瞎折腾。 首先必须指出，公钥密码系统的安全问题由来已久，远在量子计算机概念出现之前。常用的公钥密码（如RSA）就被联网的个人电脑群攻破，只要用谷歌搜一下，立马知道公钥密码系统并不安全。最近美国技术标准局强烈建议把RSA公钥从1024位提高到2048位，如果公钥密码系统真的没有问题，他们何必多此一举。提高公钥密码位数极大地增加了加密和解密所化的时间，给日常的应用带来了诸多不便，却并没有从根本上阻止黑客攻击的热情和力度，提高公钥位数给使用者增添的困难远超对黑客的阻力，这才是公钥密码问题之所在。 正当公钥密码系统处于风雨飘摇、四面楚歌时，2014年的一条爆炸性新闻更是震惊了密码学界，从美国国家安全局叛逃的斯诺顿披露了安全局有一个绝密的项目 Penetrating Hard Targets，计划建造一台破解公钥密码的专用量子计算机。如果现在谁还相信公钥密码系统是安全的，请自己去美国国家安全局的网站，先看看他们是如何在处理这场危机的 。难道美国国家安全局也是在瞎折腾？ 再让我们看看密码学界的动态，请先看下图：密码学界已经明确把公钥密码系统分成两大类，左列中都是目前常用的公钥密码，全被打入“量子可破”的死域。也只有中国几位反量子通信的所谓密码学专家教授还在拍胸脯担保这些公钥密码一点问题也没有，不知他们是假不懂还是真不懂，反正我也弄不懂他们。 图中右列确有几种公钥密码理论方法被列为“量子不可破”。但是请注意：1）它们只是目前还未被攻破，并非被证明“量子不可破”。2）它们全部没有进入实用阶段，甚至未进入应用初期开发阶段，很可能最后根本没有实用价值。 在“量子不可破”的公钥密码系统中最受关注的是“lattice-based crypto ”（基于阻格的加密法），密码学界对该方法的研究已经有二十多年了，但始终在应用上没有取得突破。其问题的本质是：该算法太复杂，运行效率低得无法使用；算法加以简化后，效率大幅提升，几乎可以与RSA媲美，但是出现了严重的安全隐患。数学家还在公钥密码的效率和安全的两难之间备受煎熬，密码学权威Hoffstei说得好：宇宙就是一个煎熬之地，密码学研究就是一个最好的例证 。由此可知，纯粹应用数学方法改善公钥密码系统的前景暗淡。 读到这里，如果还有人认为现有公钥密码系统固若金汤，我也只能无语了。反对发展量子通信人士可能会说，至少公钥密码现在还没有被量子计算机攻破，着什么急？持这种观点和态度实在非常要不得。 首先，你怎么就那么肯定公钥密码未被量子专用计算机攻破，难道你有发小在美国NSA里做主管？笑话！公钥密码与量子计算机是美国国家安全局的最高机密，这方面的进展，他们会向全世界做每周例报？退一步，即使公钥密码今天还没有被量子计算机攻破，你能保证五年后也攻不破？就凭你们这几个密码学专家保证得了？如果现在不发展量子通信技术，刀槍入庫、马放南山，五年后公钥密码被专用量子计算机攻破，你怎么办？开发一种全新的密码系统从试验、推广到投入应用至少要十多年，这段时间中你就只能裸奔了，到时候恐怕连哭的地方也没有！ 应该认识到，在如此严峻的国际态势下，而目前的公钥密码系统又危机四伏，国家只能从最坏处着想，全力以赴创建自己的全新的密码安全系统，这是唯一正确的选择。 人无远虑必有近忧，千万不能抱有侥幸心理，不可傍徨犹豫、患得患失，错失时机将后患无穷。认准方向坚定不移地发展自已的量子通信技术，这才是一个独立自主的大国应该有的抱负和责任。 量子密码技术的应用和推广肯定不会一帆风顺，但这决不能成为反对发展量子通信的理由。有人认为在量子通信方面欧美都没有大的动作，凭什么中国走在前面，中国一定是错了，中国总归是输家。照这个逻辑，美国都没有高铁网，中国怎能建高铁？这种论调似曾相识，中国高铁开建前后，这样的声音也曾经不绝于耳。记得当时有这样一种很流行的说法：高铁上不少部件和材料是从西方买来的，人家都不建高铁，中国建什么建？现在同样的论调又来了：量子通信中使用的一些另件和仪器设备是西方进口的，他们都不建大规模的量子通信网络，中国为什么要建？我再一次无语。 有必要再次强调：与其它密码技术不同， 量子密钥分配技术从原理上保证密钥配送是安全的，量子通信是稳定可靠的，加速发展量子通信是十分必要的，是非常及时的，因为现有密码系统已经到了最危险的时刻。工程实施中一定会有许多的问题，但原理与实施是完全不同的两个概念，毕竟实施中的技术问题可以逐步解决，不可破译的原理才是该项技术具有发展前途的根本保证，它使我们对量子密钥分配技术的将来充满了信心。 希望进一步了解密码学发展简史和量子密钥分配技术原理的读者可以阅读我不久前写作的三篇有关文章： 拿什么拯救你-危机四伏中的密码系统 量子密钥分配技术-维护信息安全的忠诚卫士 关于“量子密钥分配技术”一文答读者问 本文是应【观察者网】约稿而作，首发于观察者网8月26日首页。 On August 11（2015）,the National Security Agency updated an obscure page on its website with an announcement that it plans to shift the encryption of government and military data away from current cryptographic schemes to new ones, yet to be determined, that can resist an attack by quantum computers. As for why extreme efficiency and perfect security appear to be so diametrically opposed, Hoffstein said: “The universe is an irritating place, and this is just another example of it.”
个人分类: 科普集锦|17819 次阅读|143 个评论
量子密钥技术-维护信息安全的忠诚卫士
热度 25 lxu2800 2016-3-11 09:57
量子密钥分配技术（下）量子密钥技术-维护信息安全的忠诚卫士 本文的上篇（ 拿什么拯救你-危机四伏的密码系统 ）指出，对称密码体制中的密钥分配是维护信息安全的核心问题，自七十年代研发的公钥密码体制存在多种隠患，它们难以保证密钥分配中的绝对安全。基于数学方法上的公钥密码体制在原理层面上受到了严峻的挑战，企图通过方法的调整和实施细节的改进难有根本的胜算。 面对危局，物理学再次挺身而出力挽狂澜，利用“单量子不可克隆定理”来实现密钥配送的绝对安全。“不可克隆定理”(No-Cloning Theorem)是“海森堡测不准原理”的推论，它是指量子力学中对任意一个未知的量子态进行完全相同的复制的过程是不可实现的，因为复制的前提是测量，而测量必然会改变该量子的状态。 下面将通过示意图解释如何利用光子的量子特性可以万无一失地传送密钥。只要耐心地读完下面不含任何数学公式的解说文字，你对量子密钥分配原理就一清二楚了。下面图1是提供预备知识，而 图2 是量子密钥分配的原理图，量子密钥分配技术的奥密全在这张图中。 P1)量子密钥分配技术原理示意图(预备知识) 图中的小黄球代表单个光子，黑色箭头代表光子的偏振方向，左边蓝色人是信息发送方，而绿色人是接收方。收发双方都手持偏振滤色片，发送方有四种不同的滤色片，分别为上下、左右偏振（第一组）、上左下右、上右下左偏振（第二组）四种滤色片，发送方把不同的滤色片遮于光子源前，就可分别得到四种不同偏振的光子，分别用来代表“0”和“1”。请注意，每个代码对应于两种不同的光子偏振状态，它们出自两组不同偏振滤色片（见图1中的左下角，它和通常光通讯的编码不尽相同）。接收方就只有两种偏振滤色片，上下左右开缝的“十”字式和斜交开缝的“X”字式。由于接收方无法预知到达的每个光子的偏振状态，他只能隨机挑选两种偏振滤色片的一种。接收方如果使用了“十”字滤色片，上下或左右偏振的光子可以保持原量子状态顺利通过（见图中上面的第一选择，接收方用了正确的滤色片），而上左下右、上右下左偏振的光子在通过时量子状态改变，变成上下或左右偏振且状态不确定（见图中第四选择，用了错误的滤色片）。接送方如果使用X字滤色片情况正好相反，见图中第二选择（错误）和第三选择（正确）。 有了以上的预备知识，就容易理解量子密钥分配技术了。图2第一横排是发送方使用的不同偏振滤色片，从左至右将九个不同偏振状态的光子随时间先后逐个发送给下面绿色接收方，这些光子列于第二排。接收方隨机使用“十”字或“X”字偏振滤色片将送来的光子逐一过滤，见第三排，接收到的九个光子的状态显示在第四排。 P2)量子密钥分配技术原理示意图 这里是密钥（Key）产生的关键步骤：接收方通过公开信道（电子邮件或电话）把自己使用的偏振滤色片的序列告知发送方，发送方把接收方滤色片的序列与自己使用的序列逐一对照，然后告知接收方哪几次用了正确的滤色片（打勾✔的1，4，5，7，9）。对应于这些用了正确滤色片后接收到的光子状态的代码是：00110，接发双方对此都心知肚明、毫无疑义，这组代码就是它们两人共享的密钥。 为什么第三者不可能截获这个密钥呢？假设窃密者在公开信道上得知了接送方使用的偏振滤色片序列，也知道了发送方的确认信息（打勾✔的1，4，5，7，9），但是窃密者依旧无法确认密钥序列。譬如对第一列，窃密者知道接收方用的是“十”字滤色片，而且发送方确认是对的，但这可能对应于上下或左右偏振的两种不同的光子，它们分别代表“1”或“0”，除了发送和接收双方都清楚知道，窃密者是无法确认的。窃密者真要确认的话，也要在中途插入偏振滤色片来观察，但它又无法事先知道应该使用“十”还是“X”滤色片，一旦使用错误滤色片，光子状态改变，窃密的行为立即暴露。再以第一列光子为例，如果窃密者在接收端前插入“X”滤色片，光子偏振状态可能改变成上右下左的斜偏振，接收方仍使用“十”滤色片，得到左右偏振光子，经确认后此位变成“1”。结果通信双方的密钥在第一位不一致，这种出错经过奇偶校验核对非常容易发现和纠正。通常的做法是通信双方交换很长的光子序列，得到确认的密钥后分段使用奇偶校验核对，出错段被认为是技术误差或已被中间窃听，则整段予以刪除，留下的序列就是绝对可靠的共享密钥。有必要指出本文仅作基本原理的介绍，工程实现中的细节不再赘述。量子密钥分配方法除了本文介绍的BB84规约外还有E91规约，有兴趣的读者请去网上搜索。 P3)量子密钥分配技术工程示意图 量子密钥分配技术中的密钥的每一位是依靠单个光子传送的，单个光子的量子行为使得窃密者企图截获并复制光子的状态而不被察觉成为不可能。而普通光通信中每个脉冲包含千千万万个光子，其中单个光子的量子行为被群体的统计行为所淹没，窃密者在海量光子流中截取一小部光子根本无法被通信两端用户所察觉，因而传送的密钥是不安全的，用不安全密钥加密后的数据资料一定也是不安全的。量子密钥分配技术的关键是产生、传送和检测具有多种偏振态的单个光子流，特种的偏振滤色片，单光子感应器和超低温环境使得这种技术成为可能。 必须再一次强调，量子密钥分配光纤网络上传送的是单个光子序列，所以数据传输速度远远低于普通光纤通信网络，它不能用来传送大量的数据文件和图片，它是专门用来传送对称密码体制中的密钥，当通信双方交换并确认共享了绝对安全的密钥后，再用此密钥对大量数据加密后在不安全的高速网络上传送。“量子通信”这个词容易使人误解，到目前为止，实际上量子通信指的就是量子密钥分配技术。量子密钥分配光纤虽然是低速网络，但每秒种传送上千位的密钥没有任何问题，通信双方有确保安全的几百位长的密钥，而且分分秒秒可以隨时更换密钥，通信安全就有了非常可靠的保障。量子密钥分配技术的基础是物理而不是数学。面对信息安全危机，物理学再次充当了救世主的角色，它为信息科学的进一步发展筑起了坚实的基础。 2013年10月10日，巴特尔公司（Battelle）建立了第一条商用量子密钥分配网络，一条全长110公里的专用光纤线路连结了俄亥俄州哥伦布市它们的公司总部和在都柏林的分部办公室，使用的是ID Quantique提供的硬件设备，用来保护公司的财务资料、知识产权、图纸和设计数据。 一百公里已经接近量子密钥分配的光纤网络的长度极限了，这是由单个光子在光纤中可以传播的最大距离所决定的。这个问题严重影响该技术的实用价值。目前的解决方案是设立光子传送中继站。这种中继站与通常光通讯的放大中继有着本质的区别，因为让中继站接收单个光子后又送出一个量子状态不变的光子是十分困难的，这个中继站必须为通信双方所信任，实际上量子密钥是通过这个可信任中继站接力递送的 。据今年两会报导，连接北京和上海的量子密钥分配光纤网络将于今年下半年（2016）开通运行，估计会使用可信任光子中继站方案。另外利用卫星作自由空间光量子传送，可能是拓展光量子密钥分配网络的另一途经。 使用量子密钥分配技术的通讯双方必须建立点对点连接的专用光纤，使人不禁又会想起上世纪初城市的街道上空密密麻麻缠成一团的电话线，点到点直接相联的网络结构非常不易拓展，这个问题将成为该技术推广应用中更大的障碍。目前一组英国剑桥的研究小组开发成功一种新技术，使得量子密钥分配过程能在普通光纤通信线路上进行。这种技术有些像“时分复用”通讯，通常的高强度数据激光与微弱的光量子流传送在同一根光纤上按时间分隔高速切換。该技术有相当的难度，通讯中的收发两端对两种讯号必须保持精准的同步，而且感应器必须正确适应强度差异十分巨大的两种光讯号，犹如一会儿面对太阳，一会儿感应微弱的星光！这种技术使得通讯双方可以在同一条光纤上交换密钥，然后用它人无法截获的密钥对数据加密后按通常方式传送，再也不必担心洩密。 P4)QKarD示意图 为了让量子密钥分配技术飞入尽常百姓家，美国Los Alamos国家实验室研发了一种称之为QKarD技术。只要带有闪存U盘大小的一只专用光纤接口，任何用户终端通讯设备诸如手提电脑、平板电脑和手机就可以通过光纤与邻近的中央服务器交换量子密钥。QKarD服务器有些像电话中继交换中心，各终端客户发送光量子向各自邻近的QKarD服务器配送密钥，当各个终端与服务器之间的密钥配送完毕，同时各个服务器之间密钥也配送完毕后，终端用户A将信息用密钥加密后以传统方式送达邻近的QKarD服务器，信息在服务器解密和重新加密后转交另一个服务器，直到接力传送至最终用户B为止。一个QKarD的示范网络已经试运行。据估计，一个连接一千个终端的QKarD服务器价格约一万美元，QKarD终端接口约50美元。量子密钥配送技术正在向我们走近，“它是站在海岸遥望海中已经看得见桅杆尖头了的一只航船，它是躁动于母腹中的快要成熟了的一个婴儿。” 量子密码技术刚跚跚起步，针对它的黑客早已蠢蠢欲动，非要把它扼杀在摇篮中而不可，俗话说：道高一尺，魔高一丈，这大概应是天道的第一定律。目前针对量子密码技术的黑客手段有下列几种。 1）量子密钥的关键是通过一个又一个光子传递密码，中间窃听者无法截取光子而又不改变光子的状态。但工程实施时很难保证发射端每个脉冲只含有一个光子，如果每个脉冲有两个以上光子，黑客仍可以只截取一个光子並设法放过另一个光子，让接收端无法感觉到讯号已被截取。 2）一组挪威的研究人员通过激光朿短暂“致盲”光子感应设备成功地破获传送的量子密钥。这种方法和设备过于专业和复杂，目前还没有构成现实的威胁。 3）另一种方法完全就是流氓行为，针对光子通信的精密脆弱，直接用强激光长时间野蛮干涉，使得量子密码传递双方通过微弱的光子交换过程根本进行不下去。 这世上破坏总比建设容易得多，量子密码技术的应用和推广肯定不会一帆风顺。但有一点必须指出：与其它密码技术不同，量子密钥分配技术从原理上保证密钥配送是安全可靠的，上面所谈的都是工程实施中的问题。原理与实施是完全不同的两个概念，毕竟实施中的技术问题可以逐步解决，不可破译的原理才是该项技术具有发展前途的根本保证，它使我们对量子密钥分配技术的将来充满了信心。 过去有这样一种说法：一次大战靠的是化学家（炸药、毒气弹）；二次大战靠物理学家（原子弹、雷达）；三次大战要靠数学家（密码学）。现在看来这种说法必须修正，三次大战至少还是离不开物理学家啊，呵呵。 可信任量子密钥中继站不是光量子接收、放大和再传送，而是密钥在可信任中继站之间的接力递送。具体的技术实现手段又有多种，有兴趣的可以读一读附件。简单地可以这样来理解：用户A先后通过两个可信任中继站N和M与用户B配送密钥，A先与N通过光量子交换得密钥K，N又与M之间交换得密钥K2，然后N通过公共信道用公钥保护后送K和K2的混合码给M，只有M明白了A送出的是密钥K，然后M再与用户B光量子交换得密钥K3，并且也通过公共信道把K和K3混合码送给用户B，只有B明白了A送给自己的真正密钥是K。 QKD Trusted Node Key.pdf 全文结束，谢谢关注和批评。
个人分类: 科普集锦|32181 次阅读|100 个评论
更多...

Archiver|手机版|科学网 ( 京ICP备07017567号-12 )

GMT+8, 2024-5-17 16:23

Powered by ScienceNet.cn

Copyright © 2007- 中国科学报社

返回顶部