導讀：

不少科普作品說量子密碼術離不開量子糾纏,，這就大錯特錯了,！實際上，量子密碼術有若干種實現(xiàn)方案，有些用到量子糾纏,，有些不用量子糾纏,。對于實驗來說,，操縱多個粒子肯定比操縱一個粒子困難,。所以，用單粒子方案,，也就是說不用量子糾纏,，才能達到最優(yōu)的效果。

前文參見：

你完全可以理解量子信息（1） | 袁嵐峰

你完全可以理解量子信息（2-3） | 袁嵐峰

你完全可以理解量子信息（4-5） | 袁嵐峰）

你完全可以理解量子信息（6） | 袁嵐峰）

你完全可以理解量子信息（7） | 袁嵐峰

你完全可以理解量子信息（8-10）| 袁嵐峰

你完全可以理解量子信息（11-12）| 袁嵐峰

你完全可以理解量子信息（13）| 袁嵐峰

十四,、量子密碼術的實現(xiàn)方法

什么樣的操作,，能在通信雙方產(chǎn)生一段相同的隨機數(shù)序列呢？

如果你是一個真正聰明而細心的讀者,，你就會想起本文前面關于EPR實驗的一句話（http://weibo.com/ttarticle/p/show?id=2309404152264544625278）：“A測量粒子1得到的是一個隨機數(shù),，B測量粒子2得到的也是一個隨機數(shù)，只不過這兩個隨機數(shù)必然相等而已,。”

妙?。∧且欢问墙忉尀槭裁碋PR實驗不能傳輸信息,，但有了量子密碼術的背景知識,，你就會領悟到，把這個過程重復多次,，雙方得到的相同的隨機數(shù)序列就可以用作密鑰,。然后你可以用這個密鑰傳輸信息。這和“EPR實驗不傳輸信息”并不矛盾,，因為傳輸信息時用的是普通的通信方式,，不是EPR實驗。

很好,，利用量子糾纏,，我們立刻就找到了一種量子密碼術的方案。這至少說明量子密碼術是可以實現(xiàn)的,，證明了它的存在性。

量子密碼術

但是,，不少科普作品說量子密碼術離不開量子糾纏,，這就大錯特錯了！這種說法造成了很多困擾,。實際上,，量子密碼術有若干種實現(xiàn)方案，有些用到量子糾纏，有些不用量子糾纏,。量子糾纏是個可選項,，而不是必要條件。

不僅如此,，稍微想想你還會明白,，量子糾纏是一種多粒子體系的現(xiàn)象，而對于實驗來說,，操縱多個粒子肯定比操縱一個粒子困難,。所以，只要有單粒子的方案,，人們必然會優(yōu)先用單粒子方案,。實際情況正是如此，絕大多數(shù)量子密碼術的實驗都是用單粒子方案做的,，這樣才能達到最優(yōu)的效果,。而基于量子糾纏的量子密碼術方案，就像用火箭送快遞一樣不實用,，只具有理論意義,。

當然，這不是說量子糾纏沒用,。對于整個量子信息學科來說,，量子糾纏非常有用，例如量子隱形傳態(tài)就以量子糾纏為基礎,，但那是量子密碼術之外的應用了,。正是因為量子密碼術可以不用量子糾纏，所以它的技術難度在量子信息的各種應用中是最低的（只是相對而言,，絕對的難度還是很高）,，所以它發(fā)展得最快，最先接近了產(chǎn)業(yè)化,。

不用量子糾纏,，怎么在雙方產(chǎn)生相同的隨機數(shù)序列？想想前面介紹的“三大奧義”,，真正產(chǎn)生隨機數(shù)的是對疊加態(tài)的測量,。所以只要充分利用疊加和測量這兩個手段，單個粒子就可以在雙方產(chǎn)生相同的隨機數(shù),。在“三大奧義”中,，量子密碼術只需要前兩個（疊加、測量）就夠了,，不需要第三個（糾纏）,。

科學家們把量子密碼術的方案都稱為某某協(xié)議（就像計算機科學中的“TCP/IP協(xié)議”），上述利用EPR對的方案叫做EPR協(xié)議，而單粒子的方案包括BB84協(xié)議,、B92協(xié)議,、誘騙態(tài)協(xié)議等等。BB84協(xié)議是美國科學家Charles H. Bennett和加拿大科學家Gilles Brassard在1984年提出的,，BB84是兩人姓的首字母以及年份的縮寫,。BB84協(xié)議是最早的一個方案，而且目前最先進的誘騙態(tài)協(xié)議可以理解為它的推廣,。所以只要理解了BB84協(xié)議,，就理解了量子密碼術的精髓。

在BB84協(xié)議中,，用到光子的四個狀態(tài)：|0>,、|1>、|+>和|->,。Hi,，四位老朋友，又見面了~（|0>,、|1>,、|+>和|->：我們叫做“江南四大才子”！）在實驗上,，這四個狀態(tài)是用光子的偏振（回顧一下,，偏振方向就是電場所在的方向）來表示的，分別對應光子的偏振處于0度,、90度,、45度和135度。

江南四大才子

讓我們回憶一下,，|0>和|1>這兩個態(tài)構(gòu)成一個基組,，|+>和|->這兩個態(tài)構(gòu)成另一個基組。在某個基組下測量這個基組中的狀態(tài),，比如說在|0>和|1>的基組中測量|0>,，那么結(jié)果不變，測完以后還是|0>這個態(tài),。在某個基組下測量這個基組之外的狀態(tài),，比如說在|0>和|1>的基組中測量|+>，那么結(jié)果必然改變,，以一半的概率變成|0>,，一半的概率變成|1>。

好,，現(xiàn)在我們來敘述BB84協(xié)議的操作過程,。A拿一個隨機數(shù)發(fā)生器（通俗地說就是擲硬幣），產(chǎn)生一個隨機數(shù)0或者1（讓我們把它記作a）,，根據(jù)這個隨機數(shù)決定選擇哪個基組：得到0就用|0>和|1>的基組,，得到1就用|+>和|->的基組。選定基組之后,，再產(chǎn)生一個隨機數(shù)（記作a′）,，根據(jù)這第二個隨機數(shù)決定在基組中選擇哪個狀態(tài)：得到0就在|0>和|1>中選擇|0>或者在|+>和|->中選擇|+>，得到1就在|0>和|1>中選擇|1>或者在|+>和|->中選擇|->,。經(jīng)過這樣雙重的隨機選擇之后,，A把選定狀態(tài)的光子發(fā)送出去。

B收到光子的時候,，并不知道它屬于哪個基組,。他怎么辦呢？他可以猜測,。B也拿一個隨機數(shù)發(fā)生器,，產(chǎn)生一個隨機數(shù)（記作b），得到0的時候就在|0>和|1>的基組中測量,，得到1的時候就在|+>和|->的基組中測量,。B測得|0>或者|+>就記下一個0，測得|1>或者|->就記下一個1,，我們把這個數(shù)記為b′,。

看出來了吧？如果B猜對了基組,，a = b,，那么光子的狀態(tài)就是B的基組中的一個，所以測量以后不會變,，a′必然等于b′,。而如果B猜錯了基組，a ≠ b,，那么光子的狀態(tài)就不是B的基組中的一個,，所以測量后會突變，a′和b′就不一定相等了（有一半的概率不同）,。

把這樣的操作重復若干次,，雙方發(fā)送和測量若干個光子。結(jié)束后,，雙方公布自己的a和b隨機數(shù)序列（“公布”的意思就是對全世界公開,，就是這么任性~），比如說a的序列是0110,，b的序列是1100,。然后找出其中相同的部分,，在這個例子里就是第二位（1）和第四位（0）。

現(xiàn)在我們知道了,，在第二位和第四位,，a′和b′必然是相同的！A和B把各自手里第二位和第四位的a′和b′記下來,，這個隨機數(shù)序列就可以用作密鑰,。如果發(fā)送和接收n個光子，由于B猜對基組的概率是一半,，就會產(chǎn)生一個長度約為n/2位的密鑰,。至于a、b兩個序列中不同的部分,，在這個例子中就是第一位（0對1）和第三位（1對0）,，它們對應的a′和b′有可能不同，所以我們就不去看它們了,，這部分數(shù)據(jù)直接拋棄,。

不過，到目前為止我們都假定只有A,、B雙方在通信,，沒有敵對方在竊聽。作為一個保密的方法,，需要回答的下一個問題是：在有人竊聽的情況下,，如何保證密鑰不被偷走？

讓我們把這個竊聽者稱為E（聯(lián)想英文單詞evil,，“邪惡的”）,。料敵從寬，我們還假設E非常神通廣大,，A發(fā)給B的每一個光子都先落到了他手里,。BB84協(xié)議有一個辦法，使得即使在這種最不利的情況下,，E也偷不走情報,。

量子密鑰分發(fā)

什么辦法呢？站在E的角度上想一想,。如果E只是把這個光子拿走,，那么他只是阻斷了A、B之間的通信,，仍然拿不到任何信息,。E希望的是，自己知道這個光子的狀態(tài),，然后把這個光子放過去,，讓B去接收,。這樣A和B看不出任何異樣，不知道E在竊聽,，而在A和B公布a和b序列后,，E看自己手上的光子狀態(tài)序列，也就知道了他們的密鑰,。

但是E的困難在于，他要知道當前這個光子處在什么狀態(tài),，就要做測量,。可是他不知道該用哪個基組測量,，那么他只能猜測,。這就有一半的概率猜錯，猜錯以后就會改變光子的狀態(tài),。

例如A發(fā)出的狀態(tài)是|+>（這對應于a= 1, a′ = 0）,，E用|0>和|1>的基組來測量|+>，就會以一半的概率把它變成|0>,，一半的概率把它變成|1>,，然后B再去測量這個光子。如果B用的基組是|0>和|1>（b = 0）,，公布后會發(fā)現(xiàn)這里a ≠ b,，這個數(shù)據(jù)就被拋棄。而如果B用的基組是|+>和|->（b = 1）,，公布后會發(fā)現(xiàn)這里a = b, 這個數(shù)據(jù)要保留,。這時b′等于什么呢？無論是|0>還是|1>,，在|+>和|->的基組下測量時都以一半的概率變成|+>（b′ = 0）,，一半的概率變成|->（b′ = 1）。因此,，a′和b′有一半的概率出現(xiàn)不同,。

稍微想一下，你就會發(fā)現(xiàn)這是普遍的結(jié)果：只要E猜錯了基組,，a′和b′就會有一半的概率不同,。E猜錯基組的概率是一半，所以總而言之,，在E做了測量的情況下a′和b′不同的概率是1/2 × 1/2= 1/4,。這就是竊聽行為的蛛絲馬跡。

那么,，通信方的應對策略就呼之欲出了,。為了知道有沒有竊聽,，A和B在得到a′和b′序列后，再挑選一段公布,。這是BB84協(xié)議中的第二次公布,。你看，有時為了保密,，我們必須要“公布”,，而且“公布”會成為一個威力巨大的保密武器。假如在公布的序列中出現(xiàn)了不同,，那么他們就知道有人在竊聽,，這次通信作廢。

這樣做的效率怎么樣呢,？公布一個字符,，E蒙混過關的幾率是3/4。公布兩個字符,，就是3/4的平方,。如果公布m個字符，E蒙混過關的概率就是3/4的m次方,。這個概率隨著m的增加迅速接近于0,，例如當m = 100時，只剩下3.2× 10-13,。因此,，如果公布了很長一段都完全相同，那么就可以以接近100%的置信度確認沒有竊聽,，通信雙方就把a′和b′序列中剩下的部分作為密鑰,。

如果發(fā)現(xiàn)有竊聽，那么該怎么辦,？如果有多條信道的話,，你可以換一條信道，除非敵人把所有的信道都卡死了,。此外,，量子密碼術跟一些光學技術聯(lián)用，可以確定竊聽者的位置,，所以你可以通知警察,、國安、軍隊,，把竊聽者抓起來,。這是量子密碼術特有的一個巨大優(yōu)勢，傳統(tǒng)密碼術首先就發(fā)現(xiàn)不了竊聽,，更不用說定位了,。不過這是安全部門的任務,，不屬于密碼術的范圍。至于密碼術本身,，在發(fā)現(xiàn)竊聽時唯一能做的就是停止通信,。因此，量子密碼術規(guī)定在發(fā)現(xiàn)竊聽時停止通信,，就像諜戰(zhàn)片里通信員被發(fā)現(xiàn)時第一件事就是把密碼本銷毀,。這樣就不會生成密鑰，也不會發(fā)送密文,，自然也就不會泄密,。因此，即使在最不利的情況下,，量子密碼術也可以保證不泄密。

媒體經(jīng)常用“絕對安全”或“無條件安全”或諸如此類的說法,，來形容量子密碼術,。以前這些詞看著一頭霧水，現(xiàn)在你可以理解,，量子密碼術的安全性表現(xiàn)在五個方面：一,，密文即使被截獲了也不會被破譯；二,，不會被計算技術的進步破解,；三，沒有傳遞密鑰的信使,；四,，可以在每次使用前現(xiàn)場產(chǎn)生密鑰，平時不需要保存密鑰,；五,，在密鑰生成過程中如果有人竊聽，會被通信方發(fā)現(xiàn),。這幾點是量子密碼術的本質(zhì)特點,，任何協(xié)議都是如此。

在這五個方面,，傳統(tǒng)密碼術做得怎么樣呢,？從前面的介紹可以看出，傳統(tǒng)密碼術或者只能滿足第一點,、第三點和第四點（非對稱密碼體制,，第一點依賴于數(shù)學復雜性，不是嚴格滿足的）,，或者只能滿足第一點和第二點（對稱密碼體制）,，無論如何都無法滿足第五點,。量子密碼術是目前所知唯一的既不需要信使、也不懼怕算法進步的保密方法,，更是唯一的能發(fā)現(xiàn)竊聽的保密方法,。一對比，就知道量子密碼術的優(yōu)勢有多大了,！

量子密碼術的安全性是物理原理的產(chǎn)物,，建立在量子力學的基礎上。在有些人看來,，量子力學似乎不是一個非?？煽康幕A。這種心理可以理解,，因為就像“三大奧義”顯示的,，量子力學跟日常生活經(jīng)驗反差巨大，不是一個很容易接受的理論,。但如果你想為了破解量子密碼術而推翻量子力學,，那就掉到一個巨坑里去了。如前所述,，量子力學經(jīng)過了上百年的考驗,，其應用遍及現(xiàn)代生活的所有角落。如果你懷疑量子力學的原理,，那么你是不是應該先擔心自己的電腦不能工作,、自己的手機打不出去呢？

對于軍事和金融這樣急需保密的領域,，量子密碼術顯然具有非常高的戰(zhàn)略意義,。如果說可以破解公鑰密碼體系的量子計算機是最強的矛，那么能夠抵御一切攻擊的量子密碼術就是最強的盾,。以子之矛攻子之盾,，誰勝？盾勝,！

（未完待續(xù)）

背景簡介：本文作者為袁嵐峰,，中國科學技術大學化學博士，中國科學技術大學合肥微尺度物質(zhì)科學國家實驗室副研究員,，科技與戰(zhàn)略風云學會會長