用量子纠缠“锁”住密码安全——不依赖设备的量子密钥分发实验首次演示

　　这是使用的两个离子阱之一，位于图像的中心。在陷阱周围运行许多激光束线用于离子的制备和操作。在陷阱的前面，可看到连接到另一个陷阱（光纤）的量子网络末端。图片来源：大卫·纳德林格/牛津大学

不依赖设备的量子密钥分发艺术示意图。图片来源：Scixel/恩里克·萨哈古

　　密码学的艺术是巧妙地转换信息，使它们对除了预期的接收者之外的每个人都毫无意义。现代密码方案，例如支持数字商务的方案，通过要求对手执行消耗大量计算能力的数学运算，来防止被非法破译信息（例如信用卡信息）。

　　然而，从1980年代开始，密码学引入了巧妙的理论概念，安全性不再依赖于窃听者的有限数字处理能力。相反，量子物理学的基本定律限制了对手最终可以拦截多少信息。在一个这样的概念中，只需对所使用的物理设备进行一些一般性假设，就可以保证安全性。这种“独立于设备”的方案长期以来一直受到追捧，但迄今仍然遥不可及。

　　来自英国牛津大学、瑞士洛桑联邦理工学院、苏黎世联邦理工学院、日内瓦大学及法国原子能和可替代能源委员会的国际研究团队在《自然》杂志报告了此类协议的首次演示，从而朝着提供强大安全性的实用设备迈出了决定性的一步。

　　钥匙是秘密

　　安全通信就是保持信息的私密性。而令人惊讶的是，在现实世界的应用程序中，合法用户之间的大部分交易都是公开进行的。关键是发送者和接收者不必隐藏他们的整个通信。

　　本质上，他们只需要分享一个“秘密”。这个秘密是一串比特，称为加密密钥，它使拥有它的每个人都能够将编码消息转换为有意义的信息。但问题是如何确保只有合法方共享密钥呢？

　　例如，在底层的密码算法中，最广泛使用的密码系统之一RSA的密钥分配基于未经证实的猜想，即某些数学函数易于计算但难以还原。更具体地说，RSA依赖于这样一个事实：对于今天的计算机来说，很难找到一个大数的素因数，而对它们来说，将已知的素因数相乘很容易得到那个数。因此，数学难度确保了保密性。

　　但是，今天不可能的事情，对于未来却可能会很容易实现。众所周知，量子计算机能比经典计算机更有效地找到质因数。一旦拥有足够多量子比特的量子计算机得以运用，RSA编码注定会变得可渗透。

　　量子理论不仅为破解数字商务核心的密码系统提供了基础，而且还为该问题的潜在解决方案提供了基础，那是一种与RSA完全不同的密钥分配方式，其与执行数学运算的难度无关，而是与基本物理定律有关，这种方式就是量子密钥分发（QKD）。

　　量子认证的安全性

　　1991年，波兰裔英国物理学家阿图尔·埃克特在一篇开创性的论文中表明，密钥分配过程的安全性可通过直接利用量子系统独有的特性来保证，而经典物理学中没有等效特性，这就是量子纠缠。

　　量子纠缠是指在单独的量子系统上执行的测量结果中，体现了某些类型的相关性。重要的是，两个系统之间的量子纠缠是排他性的，因为没有其他任何东西可与这些系统相关联。

　　在密码学的背景下，这意味着发送者和接收者可通过纠缠的量子系统在他们之间产生共享的结果，而第三方无法秘密获得有关这些结果的任何信息。因为任何窃听都会留下明显标记入侵的痕迹。简而言之：多亏了量子理论，合法的各方可以超出对手控制的方式相互交流。而在经典密码学中，等效的安全保证被证明是不可能的。

　　多年来，人们意识到基于埃克特想法的QKD方案有一个更显著的好处：用户只需对过程中使用的设备作出非常一般的假设。相比之下，基于其他基本原理的早期QKD形式需要详细了解所用设备的内部工作原理。QKD的新颖形式通常被称为“不依赖设备的QKD”，其实验呈现成为该领域的主要目标。现在，这种令人兴奋的突破性实验现在终于实现了。

　　从理论到实践的跨越

　　该实验涉及两个单离子，一个用于发送器，一个用于接收器，都被限制在单独的陷阱中，这些陷阱与光纤链路相连。在这个基本的量子网络中，离子之间的纠缠在数百万次运行中都能以创纪录的高保真度产生。

　　如果没有这种持续的高质量纠缠源，该协议就无法以实际有意义的方式运行。同样重要的是，要证明纠缠得到了适当的利用，须通过证明是否违反了贝尔不等式的条件来完成。此外，为了分析数据和有效提取密钥，需要在理论方面取得重大进展。

　　在实验中，作为“合法方”的离子位于同一个实验室，但是有一条明确的路线可将它们之间的距离延伸到千米甚至更远。从这个角度来看，再加上德国和中国在相关实验方面取得的进展，现在将埃克特的理论概念转化为实用技术，有了明确的前景。