国内首份“量子安全”白皮书发布 量子安全并不遥远

12月15日，由中国信息协会主办的“2020量子安全应用开发论坛”在南京举行，量子信息安全领域的技术专家和产业界代表齐聚一堂，就现阶段量子安全技术发展情况、未来量子安全的发展方向、国内外量子通信的标准解读和量子安全的应用解决方案展开了深入的探讨交流。会上发布了国内首部以量子安全为主题的白皮书——《2020量子安全技术白皮书》。

什么是量子？

按物理运动规律的不同，将遵从经典运动规律(牛顿力学，电磁场理论)的物质所构成的世界称为“经典世界”；将遵从量子力学规律的那类物质所构成的世界称为“量子世界”。“量子”就是量子世界中物质客体的总称，它既可以是光子、电子、原子、原子核、基本粒子等微观粒子，也可以是BEC、超导体、“薛定谔的猫”等宏观尺度下的量子系统，其共同特征就是必须遵从量子力学的规律。光子是电磁辐射的载体，是现阶段可以加载量子信息的量子中，最容易传输的一种，因此广泛应用在量子研究中。

如何理解量子安全？

量子安全技术指的是能够抵御量子计算威胁的信息安全技术。量子安全密码学是指寻找和确认可以抵御经典计算机和量子计算机攻击的算法和协议，即在大型量子计算机出现后也能确保信息资产的安全。

实现量子安全主要有两种分类：一类是可以抵御已知量子计算攻击的经典密码算法，称为抗量子计算密码（Quantum Resist Cryptography，QRC）或后量子密码（Post Quantum Cryptography，PQC）。量子计算对经典密码安全性构成威胁，如Shor量子算法可以在多项式时间内分解大整数和求解离散对数等复杂数学问题，Grover量子算法能够将无序数据库的搜索时间降维平方根时间，对经典密码体制的安全性构成威胁。NIST报告指出：在大规模量子计算机的影响下，RSA、椭圆曲线密码（ECSA、ECDH）、有限域（DSA）都将不再安全。但量子计算并不是擅长所有的数学问题，从现有的加密算法中筛选出目前量子计算不擅长的数学问题，利用量子计算不擅长计算的数学问题构造密码，如格密码、基于哈希的密码、基于编码理论的密码、多变量密码、超奇异椭圆曲线和大部分对称加密算法。此类加密算法的局限性在于，随着量子计算的发展，存在新算法的问世后，计算效率大幅提高，原有加密算法被突破的风险。

另一类是以量子物理为原理为依托，基于单量子不可分割、不可克隆、测不准和量子纠缠等量子特性的量子密码，其最具代表性的协议是量子密钥分发（Quantum Key Distribution，QKD）。QKD的优势在于其具备信息论安全性，即QKD即使在攻击者拥有无限强的计算资源下仍然安全，在密码学领域也被称为“无条件安全”。

基于数学原理的PQC和基于量子物理原理的QKD看似存在竞争关系，实则各有不同的发展路径和适用场景。与此同时，“PQC+QKD”的“混合型”量子安全密码具体解决方案也正处于探讨阶段，有望实现“1+1>2”的效果。

量子通信是如何实现的？

量子通信是利用量子叠加态和纠缠效应进行信息传递的新型通信方式，基于量子力学中的不确定性、测量坍缩和不可克隆三大原理提供了无法被窃听和计算破解的绝对安全性保证。量子通信目前有两种技术手段，分别是：量子密钥分发和量子隐形传态。

1.量子密钥分发

量子密钥分发借助量子叠加态的传输测量实现通信双方安全的量子密钥共享，再通过一次一密的对称加密体制，即通信双方均使用与明文等长的密码进行逐比特加解密操作，实现无条件绝对安全的保密通信。基于量子密钥分发技术的量子通信技术已投入量产，目前主要应用于保密要求严格的部分政企，实现原理是光子产生器产出单光子，经过光子检测器合格后制备成对的量子密钥，通过TF卡、sim卡或者在线下载的方式存储在通信双方手机端，当密钥使用完毕后需补充。简单来讲，量子密钥分发是在传统通信技术的基础上加上了一把量子锁。

2.量子隐形传态

量子隐形传态是基于量子纠缠对分发与贝尔态联合测量实现量子态的信息传输，其中量子态信息的测量和确定仍需要现有通信技术的辅助。而量子纠缠是物理学中神奇的存在，量子纠缠是发生在量子世界的一种波动性叠加干涉现象。源于量子系统的不确定性，当几个粒子在彼此相互作用后，各个粒子所拥有的特性则会综合成为整体，并且无法单独描述各个粒子的性质，即使将这些粒子分开，它们也可以远距离相互感应，而且这种感应速度远超光速。举个栗子，如果将两个纠缠粒子中的一个放置在太阳附近，另一个放置在地球，那么我们只需要测量地球上粒子的自旋方向，太阳旁边的粒子就会立刻呈现相反的自旋方向，太阳发出的光到达地球需要8分钟，而量子纠缠的这种感应瞬间穿越了8光分的距离。这种纠缠现象明显是超越时间和空间的。

缺点是量子纠缠中，任何一个量子的状态都不能被干扰，一旦干扰，两个粒子的纠缠现象就会立刻消失，可以利用量子纠缠的特性对信息进行加密，实现绝对安全的信息传输，一旦有人窃听量子通信中的信息，那么信息发射器中的量子态会瞬间坍塌，这样一来，窃听者不仅没偷到信息，反而暴露了自身的窃听行为。量子纠缠早已被证实存在，但背后的机制仍需进一步研究。

目前的量子通信技术可以实现“无条件安全”吗？

可以，但目前以QKD为基础的“无条件安全”是建立在理想环境的条件上，要求理想光子态制备、完美单光子探测、理想真随机数等。受制于当前的技术水平，器材的非理想性会破坏量子通信系统实际的安全性，存在光子数分离攻击、特洛伊木马攻击等安全威胁。在实际应用中，有三种量子通信架构规避器材非理想性的影响，各有优缺点。

第一种称为“制备-测量量子通信”，原理是通过安全性分析和安全性评测，构建安全性模型，将一切噪声和漏洞等缺陷视为窃听者纳入安全模型，基于可预期的实际技术和安全等级进行安全性判断，设置陷阱参数进行密钥率修正，并通过开展评估、改进产品、建立测试评估标准来达到既定的安全性要求。优点是实现容易，密钥率高；缺点是相对容易遭受量子黑客攻击的影响，导致通信中断等情况发生。

第二种被称为“全设备无关量子通信”，原理是构建出不依赖具体设备参数的量子通信协议，根据后选择纠缠态建立安全的密钥，具体包含源设备无关和测量设备无关。具有不依赖于设备的具体参数，安全性较高的优点，但是实现困难，密钥率低。

第三种方案为“测量设备无关量子通信”，借助于Bell态测量技术实现，安全性和难度处于前两种架构之间，优点是可以抵御所有探测相关的安全漏洞，缺点是源端仍需评测分析，且需要独立激光器双光子干涉。

量子安全技术应用及发展现状

经过多年的理论研究和实践论证，国内外已经以量子密钥分发为核心的较为完整的量子保密通信产业链，代表性企业包括国盾量子、易科腾、安徽问天量子、上海循态科技等，国内量子安全产业上下游产业链日趋完善，产品和适配应用逐步增多。随着量子安全产品规模化、产业化实现成本的降低，量子安全产业必将迎来井喷式增长。 

标准化促进量子信息技术产业化发展

“标准先行，以技术促标准，以标准带产业”是信息通信领域技术发展规律，量子信息技术从研发到落地有很长的路要走，标准化是促进量子信息技术产业化发展的必由之路。当前量子信息技术领域国际标准化正加速发展，ISO、IEC、ITU、IEEE、ETSI等国际/区域标准组织分份提前布局，加速开展量子信息标准工作。

量子安全技术面临的挑战

1.量子安全技术的可信度

对于PQC而言，量子攻击分析可能并不充分，PQC算法对抗量子计算的能力是基于格和编码等底层数学问题的量子困难性假设，有待时间和实战的考验。对于QKD等量子密码技术而言，关于其安全性、长期的前向和后向安全性理论较为完备，安全可信度问题主要存在于实现技术上物理安全的检验验证，相关的评估、评测研究以及标准化有进一步提升空间。

2.量子安全技术的效能和成本

量子加密技术，尤其是QKD技术的应用，意味着现有安全保密体系全面的软件更新和硬件更换，同时单光子的制备、检测以及密钥生成的成本、良品率都有进一步提升的空间，后期维护涉及到的技术难度也会更高。如果成本过高，就会影响用户使用量子安全技术的积极性。

3.单一解决方案的完整性

量子安全领域，单独的某一项技术可以很好地解决某一部分应用场景，但不能保证可以单独构成完整的信息安全解决方案，例如部分基于纠错码的PQC只能加密不能签名，部分基于多变量的PQC只能签名而不能加密。

4.应用适应性

量子安全技术如何以相对简单的方式适配全系统中不同场景和不同设备形态，主要困难是与电信网络和终端设备的融合。

5.国际化竞争

我国在国际标准化组织中占有一定的发言权，但仍需警惕地缘政治因素对技术竞争的干扰。

思考与总结

当前量子计算的蓬勃发展在为人类打开计算新时代的同时，对现有的信息安全也提出了前所未有的挑战，量子信息技术和密码学担任着推动信息安全进入新时代的历史重任。量子安全技术是多学科、多行业共同努力的方向。白皮书的发布，将助力我国密码和信息安全技术在服务新一代信息技术基础设施、形成战略性新兴产业、服务社会民生等方面发挥积极的引领和带动作用。

如需获取《2020量子安全技术白皮书》全文，请在嘶吼专业版后台回复“量子安全白皮书”

附《2020量子安全技术白皮书》封面及目录：

注：本文参考《2020量子安全技术白皮书》，在此鸣谢中国信息协会量子信息分会、国盾量子、易科腾、国科量子、各大院所等组织和个人在量子安全领域的卓越贡献。