量子密碼

量子

• 黑體輻射，催生了“量子論”。普朗克在柏林物理學會上宣讀了那篇具有跨時代意義的論文《正常光譜能量分布律理論》，得到一個重要結論：能量是由確定數目的、彼此相等的、有限的能量包構成。
• 一個物理量如果存在最小的不可分割的基本單位，則這個物理量是量子化的，並把最小單位稱為量子。
• “量子化”指其物理量的數值是離散的，而不是連續地任意取值。光子就是一種量子，並且是量子密碼學中常使用的量子。
  

量子計算與量子計算機

1、量子計算有關的量子態的基本特性:

• 量子態的疊加 ( superposition)
• 干涉 ( interference)
• 糾纏 ( entanglement)
• 不可克隆 (nonclonability) 。

2、廣義的量子計算除了計算以外, 還包括

• 量子通信( guantum communication )
• 量子密碼 ( guantum cryptography)
• 量子傳態( guantum teleportation)
• 量子密集編碼( guantum dense coding)

3、量子計算機的優勢和弱點

- 優勢：

• 大數N的因子分解是一個NP問題當N很大時常規計算機無能為力. Shor量子算法可將此問題變為P問題,這是量子計算機的優勢。
• 除了大數因子分解 Shor 量子算法外, 著名的算法還有 Grover 量子搜索算法。在N個元素的集合中搜尋某個元素, 經典算法搜尋N/2次后, 找到的概率為 1/2。Grover 量子搜索算法則只需 N1/ 2次即可達到同樣的概率。當 N 很大時, Grover 量子搜索算法很有效。
• 對於量子系統的計算, 如果使用常規計算機, 其時間復雜度和空間復雜度都很可觀, 而且有些問題在常規計算機上幾乎不能計算, 量子計算機則可以有效地模擬或計算。量子態具有不可克隆性, 而且量子疊加態在測量時出現坍縮, 如果將這些特性用於通信, 則可完全避免竊聽。所以, 量子信息技術非常適合於保密通信。**

- 缺點：

• 但由於量子計算機原則上是專用的, 它的應用范圍有一定的限制, 因此量子計算機不能替代傳統的通用計算機。
• 大數因子分解 Shor 量子算法能將NP問題變為P問題, 那么, 是否存在能夠將 NP 完全問題變為P 問題的量子算法呢? 答案是否定的。例如, 對解決旅行商問題,
• 如果量子算法使時間復雜度為多項式, 則所需功率按指數增長, 這是不現實的。
• 在計算機解題過程中, 數據的讀出和復制是經常要執行的操作. 這些操作在常規計算機中是很容易實現的, 而在量子計算機中, 由於量子疊加態在測量時的坍縮和量子態的不可克隆性, 實現這些操作很麻煩。**

4、量子計算機

• 量子的另一個奇妙特性是量子通信具有保密特性．這是因為量子態具有測不准和不可克隆的屬性，根據這種屬性除了合法的收發信人之外的任何人竊取信息，都將破壞量子的狀態．這樣，竊取者不僅得不到信息，而且竊取行為還會被發現，從而使量子通信具有保密的特性．
• 目前，量子保密通信比較成熟的技術是，利用量子器件產生隨機數作為密鑰，再利用量子通信分配密鑰，最后按傳統的“一次一密”方式加密．
• 量子糾纏態的超距作用預示，如果能夠利用量子糾纏態進行通信，將獲得超距和超高速通信量子計算機是一種以量子物理實現信息處理的新型計算機．奇妙的是量子計算具有天然的並行性．n量子位的量子計算機的一個操作能夠處理2“個狀態，具有指數級的處理能力，所以可以用多項式時間解決一些指數復雜度的問題．這就使得一些原來在電子計算機上無法解決的困難問題，在量子計算機上卻是可以解決的

量子通信

• 量子通信，分為“量子密鑰分發”和“量子隱形傳態”。
• “量子密鑰分發”只是利用量子的不可克隆性，對傳統信息進行加密，屬於解決密鑰問題。
• “量子隱形傳態”完全不同，它是利用量子的糾纏態，來傳輸量子比特。信息傳遞方式已經完全不同。
  

量子密鑰分發

儲備知識

• 1、信息論創始人香農，總結提出了“無條件安全”的條件：

  • 密鑰真隨機且“只使用一次”
  • 與明文等長且按位進行二進制異或操作

• 2、光的偏振
  因為光子有兩個偏振方向，而且相互垂直。
  所以，單光子源每次生成的單個光子，可以是這樣：
  

• 3、偏振方向測量
  我們可以簡單選取“水平垂直”或“對角”的測量方式（我們稱之為測量基），對單光子源產生的單光子進行測量。
  

• 4、對量子編碼
  當測量基和光子偏振方向一致，就可以得出結果（要么是1，要么是0）；
  

  • 當測量基和光子偏振方向偏45°，就不能得出准確的結果。光子就會變化，偏振方向改變45°，那么就是1或0的概率各50%。所以，兩種測量基，對不同偏振方向光子的測量結果歸納如下：
    

• 5、量子密鑰生成方法

  • 5.1、發送方（我們先稱為A），首先隨機生成一組二進制比特（所謂的經典比特，0或1這種）。
    

  • 5.2、A對每1個比特，隨機選擇測量基。
    

  • 5.3、發送如下偏振光
    

  • 5.4、接收方（我們先稱為B），收到這些光子之后，隨機選擇測量基進行測量：
    

  • 5.5、那么，測量結果如下（見虛線框內）：
    

  • 5.6、A和B通過傳統方式（例如電話或QQ，不在乎被竊聽），對比雙方的測量基。測量基相同的，該數據保留。測量基不同的，該數據拋棄。

  • 保留下來的數據，就是最終的密鑰。 （下圖中，1001就是密鑰）
    

  • 6、防竊聽原理

    • 如果，存在一個竊取者（我們稱為C）。如果C只竊聽A和B對比測量基，那C會得到這樣的信息：不同 不同 相同 相同 不同 不同 相同 相同 。這個對他來說，沒有任何意義。C只能去測量A到B的光子。因為量子的不可克隆性，C沒有辦法復制光子。

  • 7、量子密碼與經典密碼的區別

  • 以數學為基礎的當前廣泛使用的密碼系統（可以稱為數學密碼），利用數學難題設計密碼協議和算法，利用求解數學難題的困難性保障密碼方案的安全性。與此類似，也可認為量子密碼算法和協議是利用求解問題的困難性或者不可能性來保障方案的安全性。不過，這些問題是物理問題而不是數學問題，求解這些問題也必須通過物理方式實現。

  • 8、量子密碼中的兩個基本問題。

    • 問題１：如何在不損壞原來量子比特的情況下判定一個未知量子比特的精確值，或者精確區分兩個或多個非正交量子比特。
    • 問題２：如何同時精確測量量子比特中兩個或多個非共軛量。
    • 通過物理和數學方法已經證明，上述兩個問題的求解是不可能的。在第一個問題的基礎上產生了量子不可克隆定理；在第二個問題的基礎上產生了海森堡測不准原理。
    • 顯然，從基本思想方面來看，量子密碼和數學密碼是一致的，都可以被認為是通過求解問題的困難性來實現對信息的保護的，只是量子密碼中對問題的求解是通過物理方式實現的，且上面所列的兩個基本問題的求解是不可能的。

  • 9、量子密碼的主要特點
    對外界任何擾動的可檢測性和容易實現的無條件安全性，這些特征依賴於量子系統的內稟屬性：測不准性和不可克隆性。對擾動可檢測性的物理基礎是海森堡測不准原理；而無條件安全性的物理基礎是量子不可克隆定理。前者保證了任何攻擊行為都可能被檢測出來，后者保證了量子密碼系統的安全特性。

  • 10、竊聽者的策略：

    • 一、將甲發來的量子比特進行克隆，然后再發給乙方。但量子不可克隆性確保竊聽者無法克隆出正確的量子比特序列，因而也無法獲得最終的密鑰。

    • 二、是竊聽者隨機地選擇檢偏器，測量每個量子比特所編碼的隨機數，然后將測量后的量子比特冒充甲方的量子比特發送給乙方。

    • 按照量子力學的假定，測量必然會干擾量子態，因此這個“冒充”的量子比特與原始的量子比特可能不一樣，這將導致甲乙雙方最終形成的隨機數序列出現誤差，他們經由隨機比對，只要發現誤碼率異常地高，便知有竊聽者存在，這樣的密鑰不安全，棄之不用。只有當他們確認無竊聽者存在，其密鑰才是安全的。接下來便可用此安全密鑰進行“一次一密”的經典保密通信。

  • 11、問題

  • 上述這種保密通信，實質上是“一次一密”的經典通信，只是密鑰是由QKD生成的，通常也稱為量子保密通信。

    • 一是，如果竊聽者不停地竊聽，甲乙雙方就無法獲得安全的密鑰，於是保密通信便無法進行。確實如此，QKD對此無能為力！它唯一的優勢功能就是斷定是否有竊聽者存在，所分配的密鑰是否安全而已。這點在傳統密鑰分配原則上做不到。QKD只能用來確保傳遞信息的安全性，無法抗擊“破壞信息傳送”的行為。在這種場合只有借助於其他辦法進行保密通信，比如，采用網絡QKD，若某一路中段，尋找不被竊聽的傳輸路徑實現安全的密鑰分配。如果QKD網絡都處於被竊聽的狀態，那只好采用傳統的保密通信辦法了。
    • 二是采用量子比特所生成的安全密鑰比起用傳統方法所得到的安全密鑰（假定存在這種辦法）有優越性嗎？回答是否定的。只要密鑰是安全的，不管是用何種辦法生成的，兩者性能完全一樣。特別是，如果達不到“一次一密”的加密程度，即使QKD的密鑰是絕對安全的，這種密絕對安全的，這種密碼體系同樣可能被聰明的破譯者所攻破。所謂“通信”簡單地說就是傳遞信息（即“明文”）。量子密碼只是傳送經典隨機數而已，不包含有任何信息內容，因此，與“通信”無關。量子保密通信實際上包括由QKD生成的安全密碼和“一次一密”經典通信兩個部分，本質上仍然是經典通信。

量子通信的另外一種方式 ——“量子隱形傳態”

量子密鑰分發只是量子力學應用於經典通信的一個小應用（加了把量子鎖），那量子隱形傳態就是“真正”的量子通信了。

• 1、兩個重要概念——“量子比特”和“量子糾纏”

  • 1.1、量子比特

    • 我們目前進行信息存儲和通信，使用的是經典比特。一個經典比特在特定時刻只有特定的狀態，要么0，要么1，所有的計算都按照經典的物理學規律進行。但量子比特和經典比特不同。量子信息扎根於量子物理學，一個量子比特（qubit）就是0和1的疊加態。量子信息扎根於量子物理學，一個量子比特（qubit）就是0和1的疊加態。
    • 表示量子比特的Bloch球。Bloch球的球面代表了一個量子比特所有可能的取值。
      

  • 注意：一個量子比特只含有零個經典比特的信息。因為一個經典比特是0或1，即兩個向量。而一個量子比特只是一個向量（0和1的向量合成）。就好比一個經典比特，只能取0，或者只能取1，它的信息量是零個經典比特。

  • 1.2、量子糾纏

    • 量子力學中最神秘的就是疊加態，而“量子糾纏”正是多粒子的一種疊加態。量子有許多經典物理所沒有的奇妙特性。量子的糾纏態就是其中突出的一個。原來存在相互作用、以后不再有相互作用的2個量子系統之間存在瞬時的超距量子關聯。

• 2、隱形傳態

• 由於量子糾纏是非局域的，即兩個糾纏的粒子無論相距多遠，測量其中一個的狀態必然能同時獲得另一個粒子的狀態，這個“信息”的獲取是不受光速限制的。於是，物理學家自然想到了是否能把這種跨越空間的糾纏態用來進行信息傳輸。因此，基於量子糾纏態的量子通訊便應運而生，這種利用量子糾纏態的量子通訊就是“量子隱形傳態”（quantum teleportation）。

• 3、量子隱形傳態的過程（即傳輸協議）一般分如下幾步：
  

  • （1）制備一個糾纏粒子對。將粒子1發射到A點，粒子2發送至B點。
  • （2）在A點，另一個粒子3攜帶一個想要傳輸的量子比特Q。於是A點的粒子1和B點的粒子2對於粒子3一起會形成一個總的態。在A點同時測量粒子1和粒子3，得到一個測量結果。這個測量會使粒子1和粒子2的糾纏態坍縮掉，但同時粒子1和和粒子3卻糾纏到了一起。
  • （3）A點的一方利用經典信道（就是經典通訊方式，如電話或短信等）把自己的測量結果告訴B點一方。
  • （4）B點的一方收到A點的測量結果后，就知道了B點的粒子2處於哪個態。只要對粒子2稍做一個簡單的操作，它就會變成粒子3在測量前的狀態。也就是粒子3攜帶的量子比特無損地從A點傳輸到了B點，而粒子3本身只留在A點，並沒有到B點。

• 注意: 以上就是通過量子糾纏實現量子隱形傳態的方法，即通過量子糾纏把一個量子比特無損地從一個地點傳到另一個地點，這也是量子通訊目前最主要的方式。需要注意的是，由於步驟3是經典信息傳輸而且不可忽略，因此它限制了整個量子隱形傳態的速度，使得量子隱形傳態的信息傳輸速度無法超過光速。

• 4、量子互聯網
  因為量子計算需要直接處理量子比特，於是“量子隱形傳態”這種直接傳的量子比特傳輸將成為未來量子計算之間的量子通信方式，未來量子隱形傳態和量子計算機終端可以構成純粹的量子信息傳輸和處理系統，即量子互聯網。這也將是未來量子信息時代最顯著的標志。

抗量子計算密碼

• 1、量子計算機對現有密碼提出嚴重挑戰針對密碼破譯的量子計算機算法主要有以下2種．
  • 第1種量子破譯算法叫做Grover算法。
    • 這是貝爾實驗室的Grover在1996年提出的一種通用的搜索破譯算法，其計算復雜度為O(√Ⅳ)．對於密碼破譯來說，這一算法的作用相當於把密碼的密鑰長度減少到原來的一半．這已經對現有密碼構成很大的威脅，但是並未構成本質的威脅，因為只要把密鑰加長1倍就可以了。
  • 第2種量子破譯算法叫做Shor算法。
    • 這是貝爾實驗室的Shor在1997年提出的在量子計算機上求解離散對數和因子分解問題的多項式時間算法．利用這種算法能夠對目前廣泛使用的RSA、ECC公鑰密碼和DH密鑰協商體制進行有效攻擊．對於橢圓曲線離散對數問題，Proos和Zalka指出：在Ⅳ量子位(qbit)的量子計算機上可以容易地求解k比特的橢圓曲線離散對數問題"J，其中N一5后+8(k)l／2+5log 2k．對於整數的因子分解問題，Beauregard指出：在Ⅳ量子位的量子計算機上可以容易地分解k比特的整數p]，其中N一2k．根據這種分析，利用l 448 qbit的計算機可以求解256位的橢圓曲線離散對數，因此也就可以破譯256位的橢圓曲線密碼，這可能威脅到我國第2代身份證的安全．利用2 048 qbit的計算機可以分解1 024位的整數，因此也就可以破譯l 024位的RSA密碼，這就可能威脅到我們電子商務的安全
    • Shor算法的攻擊能力還在進一步擴展，已從求廣義解離散傅里葉變換問題擴展到求解隱藏子群問題(HSP)，凡是能歸結為HSP的公鑰密碼將不再安全．所以，一旦量子計算機能夠走向實用，現在廣泛應用的許多公鑰密碼將不再安全，量子計算機對我們的密碼提出了嚴重的挑戰．

抗量子計算密碼的發展現狀

• 2、抗量子計算密碼(Resistant Quantum ComputingCryptography)主要包括以下3類

  • 第1類，量子密碼；
    • 量子保密的安全性建立在量子態的測不准與不可克隆屬性之上，而不是基於計算的困難．
  • 第2類，DNA密碼；
    • DNA密碼的安全性建立在一些生物困難問題之上，也不是基於計算的困難問題．因此，它們都是抗量子計算的．由於技術的復雜性，目前量子密碼和DNA密碼尚不成熟．
  • 第3類，基於量子計算不擅長計算的那些數學問題所構建的密碼．
    • 基於量子計算機不擅長計算的那些數學問題構建密碼，就可以抵御量子計算機的攻擊。所有量子計算機不能攻破的密碼都是抗量子計算的密碼。

• 3、國際上關於抗量子計算密碼的研究主要集中在以下4個方面

  • 3.1、基於HASH函數的數字簽名
    • 1989年Merkle提出了認證樹簽名方案(MSS) Merkle簽名樹方案的安全性僅僅依賴於Hash數的安全性．目前量子計算機還沒有對一般Hash函數的有效攻擊方法，因此Merkle簽名方案具有抗量子計算性質．
    • 雖然基於Hash函數的數字簽名方案已經開始應用，但是還有許多問題需要深入研究．如增加簽名的次數、減小簽名和密鑰的尺寸、優化認證樹的遍歷方案以及如何實現加密和基於身份的認證等功能，均值得進一步研究
  • 3.2、基於糾錯碼的公鑰密碼
    • 基於糾錯碼的公鑰密碼基本思想是：把糾錯的方法作為私鑰，加密時對明文進行糾錯編碼，並主動加入一定數量的錯誤，解密時運用私鑰糾正錯誤，恢復出明文．1978年Berlekamp等證明了一般線性碼的譯碼問題是NPG問題。如何用糾錯碼構造一個既能加密又簽名的密碼，是一個相當困難但卻非常有價值的開放課題
  • 3.3、基於格的公鑰密碼
    • 格上的一些難解問題已被證明是NP難的，如最短向量問題(svP)、最近向量問題(CVP)等．基於格問題建立公鑰密碼方案具有如下優勢：
      • ①由於格上的一些困難性問題還未發現量子多項式破譯算法，因此我們認為基於格上困難問題的密碼具有抗量子計算的性質．
      • ②格上的運算大多為線性運算，較RSA等數論密碼實現效率高，特別適合智能卡等計算能力有限的設備．
      • ③根據計算復雜性理論，問題類的復雜性是指該問題類在最壞情況下的復雜度．進一步研究格上的困難問題，基於格的困難問題設計構造既能安全加密又能安全簽名的密碼，都是值得研究的重要問題
  • 3.4、MQ公鑰密碼
    • MQ公鑰密碼體制，即多變量二次多項式公鑰密碼體制(Multivariate Quadratic Polynomials Public Key Cryptosystems)．以下簡稱為MQ密碼．它最早出現於上世紀80年代，由於早期的一些MQ密碼均被破譯，加之經典公鑰密碼如RSA算法的廣泛應用，使得MQ公鑰算法一度遭受冷落．但近lO年來MQ密碼的研究重新受到重視，成為密碼學界的研究熱點之一．其主要有3個原因：
      • 一，量子計算對經典公鑰密碼的挑戰；
      • 二，MQ密碼孕育了代數攻擊的出現，許多密碼(如AES)的安全性均可轉化為MQ問題，人們試圖借鑒MQ密碼的攻擊方法來分析這些密碼，反過來代數攻擊的興起又帶動了MQ密碼的蓬勃發展；
      • 三，MQ密碼的實現效率比經典公鑰密碼快得多．在目前已經構造出的MQ密碼中，有一些非常適用於智能卡、RFID、移動電話、無線傳感器網絡等計算能力有限的設備，這是RSA等經典公鑰密碼所不具備的優勢
    • 目前還沒有一種公認安全的MQ公鑰密碼體制．目前MQ公鑰密碼的主要缺點是：只能簽名，不能安全加密(加密時安全性降低)，公鑰大小較長，很難設計出既安全又高效的MQ公鑰密碼體制。

• 4、小結

  • 無論是量子密碼、DNA密碼，還是基於量子計算不擅長計算的那些數學問題所構建的密碼，都還存在許多不完善之處，都還需要深入研究．量子保密通信比較成熟的是，利用量子器件產生隨機數作為密鑰，再利用量子通信分配密鑰，最后按“一次一密”方式加密．在這里，量子的作用主要是密鑰產生和密鑰分配，而加密還是采用的傳統密碼．因此，嚴格說這只能叫量子保密，尚不能叫量子密碼．另外，目前的量子數字簽名和認證方面還存在一些困難。對於DNA密碼，目前雖然已經提出了DNA傳統密碼和DNA公鑰密碼的概念和方案，但是理論和技術都還不成熟一。對於基於量子計算不擅長計算的那些數學問題所構建的密碼，現有的密碼方案也有許多不足．如，Merkle樹簽名可以簽名，不能加密；基於糾錯碼的密碼可以加密，簽名不理想；NTRU密碼可以加密，簽名不理想；MQ密碼可以簽名，加密不理想．這說明目前尚沒有形成的理想的密碼體制．而且這些密碼的安全性還缺少嚴格的理論分析。總之，目前尚未形成理想的抗量子密碼．

參考文獻：

• 1、從量子計算到量子安全：什么是“抗量子密碼”
  http://www.sohu.com/a/120471605_468720
• 2、量子十問之六：量子密碼就是量子通信嗎？
  http://www.sohu.com/a/126986032_466840
• 3、《獨家揭秘：量子通信如何做到“絕對安全”？》
• 4、《量子密碼學》 曾貴華 信息安全國家重點實驗室
• 5、后量子密碼專欄 郁昱 上海交通大學
• 6、量子密碼技術及未來應用前景 潘峰
• 7、量子密碼實際安全性與應用研究 劉東 中國科學技術大學
• 8、全球量子密碼專利分析 戰略支援部隊信息工程大學
• 9、量子糾纏和量子計算 錢辰 南京大學計算機軟件新技術國家重點實驗室
• 10、量子計算的挑戰與思考 張煥國 武漢大學
• 11、量子計算 夏培肅 中國科學院計算技術研究所
• 12、淺談量子計算與后量子密碼 郁昱 上海交通大學

**