中国密码学会通讯2010年第5期

2010年第5期中国密码学会通讯

中国密码学会量子密码专业委员会第一次工作会议

裴定一理事长为中国科协书记处书记冯长根同志在第九次中国郭光灿院士颁发专委会主任委员聘书科协论坛—量子密码技术应用基础性问题致辞

国家密码管理局常务副局长魏允韬同志韩正甫教授做大会报告

在第九次中国科协论坛—量子密码技术应用

基础性问题致辞

中国密码学会通讯 2010年第5期

目录

?学会工作园地

中国密码学会量子密码专业委员会第一次会议在京召开 (2)

“第九次中国科协论坛——量子密码技术应用基础性问题”在京举办 (2)

中国密码学会量子密码专业委员会简介 (4)

?大会报告

量子密码的特点与优势(曾贵华) (5)

抗量子计算密码的研究与发展(张焕国) (8)

量子密码学的理论基础(杨理) (10)

量子密码系统中的实际安全性与关键技术(郭弘) (15)

量子密码的安全性与攻击(蔡庆宇) (18)

量子密码与经典密码的融合(胡磊) (20)

量子密码研究与应用的新方向(韩正甫) (22)

答记者问 (26)

?行业动态

安徽问天量子科技股份有限公司 (31)

编辑部按语

根据学会常务理事会的建议，中国密码学会各专业委员会将不定期地轮流承担《中国密码学会通讯》的组稿工作，以丰富通讯的学术内容。

本期通讯由中国密码学会量子密码专业委员会组稿，韩正甫副主任委员

负责组稿的具体事务。特此鸣谢！

- 1 -

2010年第5期 中国密码学会通讯

- 2 -

中国密码学会量子密码专业委员会第一次工作会议于2010年9月11号在北京西苑饭店召开。会议由专委会主任委员郭光灿院士主持，国家密码管理局商密办主任邱泽军、中国密码学会理事长裴定一教授、秘书长强志军、办公室主任陈灏以及专委会全体委员参加了会议。

邱泽军主任、裴定一理事长先后在会上致辞，他们分别代表国家密码管理局、中国密码学会祝贺量子芯片专委会的成立，并对专委会的工作定位、工作目标和下一步发展等提出了要求和希望。副主任委员韩正甫教授报告了专委会筹备和成立的主要情况，提出了专委会本年度工作安排和下年度的工作计划。介绍了承办“第九次中国科协论坛－量子密码技术应用基础性问题”的筹备情况。与会代表分别围绕专委会的工作安排和计划、如何承办好“量子论坛”以及《中国密码学会量子密码专业委员会工作条例（草案）》的修改完善等进行了认真、热烈的讨论。

会上，邱泽军主任、裴定一理事长向量子密码专委会各位委员颁发了聘书。

2010年9月12日，中国密码学会、中科院量子信息重点实验室承办的“第九次中国科协论坛——量子密码技术应用基础性问题”在北京召开。本次论坛由中科院郭光灿院士、中国密码学会理事长裴定一教授和中科院量子信息重点实验室韩正甫教授担任首席专家，会议邀请我国密码界4位院士，从事量子密码和现代密码研究的30位专家出席。中国科协书记处书记冯长根、国家密码管理局常务副局长魏允韬在开幕式上致辞，国家自然科学基金委副主任王杰、中国科协学会部副部长刘兴平、国家密码管学会

工作

园地 中国密码学会量子密码专业委员会 第一次会议在京召开 “第九次中国科协论坛—量子密码技术应用基础性问题”在京举办

中国密码学会通讯 2010年第5期理局商密办主任邱泽军、国家自然科学基金委信息部副主任秦玉文，以及国家有关部门的负责同志出席了研讨会。另外还有来自国内大专院校、科研院所等单位的近百人旁听会议。

随着社会信息化的迅猛发展，信息安全问题越来越受到世界各国的广泛关注，密码作为信息安全的重要支撑倍受重视，各国都在努力寻找和建立新型安全的密码体系。由于近年量子信息尤其是量子计算研究的迅速发展，现代密码学的安全性受到了越来越多的挑战。与现代密码学不同的是，量子密码由其物理原理确保其安全，在安全性和管理技术方面具有独特优势。因此，量子密码受到世界密码领域的高度关注，量子密码研究已经成为许多发达国家优先支持的重大课题。我国是国际上最早从事量子密码技术研究的国家之一，20多年来，我国密码科技工作者在量子密码领域不断取得新的进展，特别是以郭光灿院士、韩正甫教授领导的团队经过潜心研究，在量子密码技术领域取得了一系列原创性的成果和突破，并建造了世界第一例投入实际应用的量子密码网络。此次论坛着眼于量子密码技术研究和在实际应用中所遇到的问题，集合国内量子密码和现代密码专家，共同探索我国量子密码技术研究和应用中的基础性问题，推动量子密码技术在信息安全领域的应用，为我国的信息安全提供一个全新的安全体制，意义重大。

本次论坛跟踪世界量子密码科技发展，设置“量子密码技术应用基础性问题”为主题，体现了“中国科协论坛”的“高端、前沿、交叉”特点。会上，曾贵华教授、张焕国教授、杨理副研究员、郭弘教授、蔡庆宇研究员、胡磊教授、韩正甫教授先后围绕主题做专题报告，内容涉及量子密码学的基础理论体系的建立、量子密码的特点、优势及其安全性、量子密码与现代密码的融合方式与技术实现、抗量子计算的密码原理与发展、量子密码的发展趋势等七个方面，与会专家从现代密码、物理学等多角度出发，围绕主题和报告进行了较充分的探讨，甚至是激烈争辩。

经过讨论，会议澄清了关于量子信息与经典信息，量子隐形传态与量子密码通信等原理和概念上的问题，指出了量子信息已经超越经典信息论范畴，探讨了建立量子密码理论体系、量子密码与经典密码在理论和应用层面的关系及二者融合方式等，明确了量子密码优势及实际应用需要，提出了我国量子密码技术下阶段发展方向和主要研究内容等。

此次论坛首次将我国量子密码和现代密码专家聚集在一起，研讨密码领域面临的

- 3 -

2010年第5期 中国密码学会通讯

- 4 -

问题和机遇，加强了相互间理解和交流，指明了量子密码后续发展方向和途径。论坛必将推动我国量子密码技术的研究和发展，并对量子密码技术应用产生深远的影响。大会取得了圆满的成功。

中国密码学会量子密码专业委员会是中国密码学会下属的分支机构，筹建于2007年，并于2009年6月4日获中华人民共和国民政部批准正式成立。专委会是由国内主要从事量子密码教学、研究、生产和管理等相关人员组成并依法登记成立的全国性学术团体，是非营利性的社会组织。中国科学技术大学是专委会的挂靠单位。

量子密码专业委员会的宗旨是：联合组织国内量子密码领域相关人员开展教学、研究、培训以及学术交流等活动，促进量子密码的普及和推广，为提高我国量子信息科学水平做出贡献。

专委会的职责包括：开展量子密码领域的调查和信息搜集、整理、统计与分析工作；研究和探讨行业技术和应用发展状况和趋势，推动量子密码行业的发展；向政府和有关主管部门提出学科发展规划和行业规范建议；促进国内量子密码教学工作，量子密码专门人才；开展学术活动，活跃学术思想，提高我国量子密码技术的研究水平；开展咨询服务，推动我国量子密码的应用研究；加强国际交流与合作，加强同港、澳、台的联系，促进相互之间的交流；办好学会内部刊物和期刊，组织编写量子密码方面学术著作。

专业委员会委员由本领域内具有一定学术成就或管理能力的专业人士担任，且必须是中国密码学会会员。中国密码学会第一届第八次常务理事会研究决定，聘任的第一届量子密码专业委员会委员组成如下。

主任委员：郭光灿

副主任委员：刘颂豪 吴令安 韩正甫

委员：（按姓氏笔画排序）

龙桂鲁 杨 理 郜江瑞 曾和平 曾贵华 温巧燕 蔡庆宇

中国密码学会量子密码专业委员会 简 介

中国密码学会通讯 2010年第5期

- 5 -

一、量子密码的内涵

为了阐述量子密码的特点与优势，首先需要明确量子密码的内涵。众所周知，密码是按特定的法则编成用以对通信双方的信息进行明密变换的符号序列。根据这个定义，量子密码就是以量子法则（量子编码规则）为基础，利用量子态作为符号而实现的密码。到目前为止，虽然量子密钥分配仍是主要的研究方向，但是，国内外在量子密码方面的研究成果已经涉及到密码中的很多问题，包括量子保密体制、量子认证、量子密钥管理、量子安全协议、量子密码分析、量子密码实现技术等。实质上这些成果已经构筑了量子密码学体系，开辟了密码学的一个新分支（量子密码的内涵可参考曾贵华著的《量子密码学》，科学出版社，2006）。

与传统密码一样，量子密码的目的也是为了实现保密和认证两大功能。在保密方面，主要密码体制有：经典密码算法+量子密钥分配、量子密码算法+经典密钥分配、纯量子密码算法、基于量子计算复杂性理论的密码(又称为“后量子密码”或“抗量子计算机密码”)等方式。在认证方面，已有研究成果涉及量子身份认证、量子消息确认、量子签名、量子信道认证、量子安全协议等。在量子保密体制和认证系统中，量子密钥分配是一个重要课题。一个量子密钥分配方案通常包括四个过程：量子信号传输、随机编码、秘密协商、保密加强。物理实现上，量子密钥分配主要以三种模式实现：基于单光子（准单光子）信号、基于连续变量量子信号以及基于纠缠量子信号的实现方式。

二、量子密码的特点

下面通过与数学密码相比较的方式来探讨量子密码的特点。第一个特点体现在方案的设计方面。数学密码中，协议或者算法通常依赖于数学中的某个难解问题而设计，例如：RSA 算法利用大整数因式分解问题，椭圆曲线密码算法利用椭圆曲线的代数性质。而在量子密码中，协议或者算法基于某个满足量子物理中测不准原理和不可克隆定理

大会报告 量子密码的特点与优势 —曾贵华（上海交通大学区域光纤网与新型光通

信系统国家重点实验室）

2010年第5期中国密码学会通讯

的物理问题而设计，例如，BB84协议利用量子态的共轭性，EPR协议利用纠缠态的量子关联性，而他们的安全性都依赖于测不准原理。某种意义上，可以认为量子密码和数学密码都是依赖于难解问题来设计的。只是数学密码依赖于数学上的难解问题，而量子密码依赖于量子物理中的难解问题：测不准原理和不可克隆定理。

第二个特点体现在实现方式方面。目前而言，量子密码利用量子信号的传输特性而不是存储特性实现量子密码方案，而且可实现即插即用，不需要额外模块。而在数学密码中，主要利用逻辑运算来实现，不关心传输中的物理层问题。

第三个特点是安全性的保障方面。量子密码利用量子信号对扰动的可检测性和不可克隆性、或者基于量子图灵机的计算复杂性理论、或者独特的量子物理原理来保证量子密码方案的安全性。数学密码通常是基于Shannon信息理论、或者基于图灵机的计算复杂性理论来保证算法的安全性。

第四个特点体现在量子密码所具有的高度学科交叉性。一个量子密码系统不但与密码和量子物理有关，还与信息理论（包括经典信息理论和量子信息理论）、相关技术领域的学科如光纤通信、光电子技术等有关。

三、量子密码的优缺点

首先来看量子密码的优势。根据量子力学中的测不准原理，一个量子态一旦受到扰动，将破坏原来的量子态，根据这些改变可以检测量子信号在信道中传输时是否受到了扰动，这样使得量子密码具有可检测性，这个特性在传统密码中是没有的，它为量子密码方案的安全性提供了一个保障，这是量子密码的优势之一：可检测性。

优势之二是量子密码的高安全性。已有成果表明量子密码中存在下面几类安全性的算法：理论/信息安全性，例如量子密钥分配协议（BB84协议）；物理安全性，例如美国西北大学提出的数据加密算法；计算安全性，例如上面提到的抗量子计算密码算法。研究表明，不管是哪一类安全性，都比传统密码中相应算法的安全性高。实际上，由于量子密码中通常采用非正交态做为密文，与数学密码算法相比量子密码算法更难破译。

量子密码的第三个优势是在应用时与实际系统的融合性。从当前的技术来看，量子密码与通信系统可实现即插即用，不需要独立的模块。即在建立量子通信的过程中，若适当地选取了信道中传输的量子信号，即可实现保密通信。因此，量子密码技术与实际系统具有更好的融合性。

当然，量子密码也存在很多缺陷。我们知道在数学密码中存在下面一些问题：1）

- 6 -

中国密码学会通讯 2010年第5期无条件安全算法的“不安全性”，这是one-time pad在实际应用中遭遇的困境；2）无法解决Catch 22问题，即无法断定所获得密钥的安全性！3）计算安全性，依赖于计算机的计算能力和难解问题的破解；4）受到量子计算技术的威胁，例如量子因式分解对RSA算法的攻击，量子搜索算法对DES算法的攻击。但是，量子密码也不能完美地解决这些问题，例如，在1）中，由于量子密钥分配速率还比较低，难以与一次一密很好地融合。其它问题也没有有效的量子解决方案。

第二个缺点是应用上的脆弱性。从应用的角度来看，目前的量子密码系统的鲁棒性还不是很好，存在这样或那样的问题。例如：容易受到环境温度、相位抖动等因素的影响，虽然可以采取一些相应的补偿技术，但是技术上仍然不成熟，工程实践上有待进一步发展。在与现有通信系统共同使用时，相互之间的干扰也不能避免，需要技术上的解决方案。一些核心技术还不成熟，例如：量子中继，高速编码技术等。还有，一个量子密码系统的实际安全性与理论安全性还存在较大的差异。

第三个缺点是量子密码体系的不完善性。量子密码学虽然形成了自己的内涵，具备了独立的体系，但是该体系还很不完善，需要进一步加强。例如，密码的主要目的是为信息交换和存储过程中提供信息私密性保护和完整性认证，但是，目前量子密码主要集中在量子密钥分配方面，有待扩展。还有，本地信息保护不能直接利用量子密码方式，这有赖于量子存储技术的发展。

当然，以上问题都不是原则性问题，相信在进一步的发展中会不断解决这些理论、机理、技术和工程上的问题。

四、量子密码的前景

最后讨论一下量子密码的前景问题，可以从理论层面和应用层面来讨论。

理论层面，量子密码已经形成了一个独立的理论体系，作为密码学的一个分支，量子密码学是否有足够的生命力？是否可以成为一门像传统(数学)密码那样的学科体系？是否可以成为密码学的主流方向(之一)。从目前的情况来看，与传统密码技术相比在某些方面具有较强的优势（这是量子密码生存的基础）。因此，我们有理由相信未来建立一个完善的量子密码理论体系的美好前景。

应用层面，人们在量子密钥分配技术方面已经看到了些许希望，但是，量子密钥分配是否可以成为信息安全领域的一项核心技术或者标准化技术？除量子密钥分配技术之外的其它量子密码与量子保密通信技术是否也有广泛的应用前景？这些还有待进一步的验证。不过，目前量子密码在光纤网络、光无线通信系统、互联网、移动通信

- 7 -

2010年第5期中国密码学会通讯

系统等方面都开始了初步的应用。随着技术的进步与发展，相信在应用层面量子密码技术会受到越来越多的关注。

抗量子计算密码的研究与发展

—张焕国（武汉大学计算机学院、空天信息安全与可信

计算教育部重点实验室）

二十一世纪是信息的时代，除了电子信息科学技术继续高速发展之外，量子和生物等一些新型的信息科学技术正在发展与建立。

量子计算机已经诞生。2001年IBM公司率先研制成功了7qbit的示例性的量子计算机。2007年2月份，加拿大D-wave公司宣布研制成功16qbit量子计算机系统。2008年提高到48qbit，并公布了128qbit的处理器设计图。虽然量子计算机在向实用化发展的道路上还有许多困难，但是我们认为，量子计算机诞生是伟大的，规模的提升只是技术问题，只是个时间问题。

一、量子计算机对现有密码的挑战

量子计算机的出现对我们的密码构成了严重的挑战。目前，量子计算对我们现有密码进行攻击的方法主要有三个。第一个是Grover在1996年提出的一种通用搜索破译算法。这个攻击方法可以把现有密码的密钥长度减少到原来的一半。但是，它还不足以对我们现有的密码构成根本性的威胁，因为我把密钥加长一倍就可以对抗了。

第二个是Shor在1997年发表的Shor算法。它能以多项式时间攻击所有能够转换为广义离散傅里叶变换的公钥密码。如RSA、DH、ELGamal和ECC等密码。理论表明，1024qbit 量子计算机可以破译256位的ECC密码-这正是我们二代身份证中的密码。2048qbit量子计算机可以破译1024位的RSA密码-银行和电子商务系统广泛应用这种密码。

第三个是隐藏子群问题方法，它的攻击范围进一步扩大。

所以，一旦量子计算机能够走向实用，现在广泛应用的许多公钥密码将不再安全。量子计算机对我们的密码提出了严重的挑战。

二、抗量子计算密码的发展现状

哲学上有一个基本的观点，任何事物有优点也必然有缺点。量子计算机它有优势，

- 8 -

中国密码学会通讯 2010年第5期它必然也有劣势。因此，量子计算机有擅长计算的问题，也有它不擅长计算的问题。我们可以基于量子计算机不擅长计算的那些数学问题构建密码，就是可以抵御量子计算机的攻击。我们把这样的密码称之为抗量子计算的密码。

另外一方面，量子计算机能够攻击许多密码，但不是量子计算机能把所有的密码都攻破了，还一些密码是量子计算机不能攻击的。比如背包密码，基于纠错编码的密码等。所有量子计算机不能攻破的密码都是抗量子计算的密码。

国际上关于抗量子计算的密码的研究最近几年非常热，已经开了两次国际性会议(Post-Quantum Cryptography)，我们把它叫做“抗量子计算密码”，比直接翻译成“后量子密码”要好。因为这样称呼更准确，更醒目。

量子计算时代我们用什么密码？这是摆在我们面前的一个十分紧迫的问题，同时又是一个十分重要的战略问题。因为量子计算机可以破译我们现在广泛应用的密码。我们一定要赶在量子计算机实用之前，研究好我们在量子计算时代使用的密码。否则我们的国家、军队、金融等领域将陷入被动。所以这是一个很紧迫的问题，也是一个影响国家、军队安全的全局性战略的问题。

目前抗量子计算的密码主要包括这样几类：

第一类，量子密码。第二类，DNA密码。第三类就是基于量子计算不擅长计算的那些数学问题所构建的密码。

对于第三类的抗量子计算密码，目前主要的研究集中在以下三个方面：

第一个具有抗量子计算能力的密码就是Merkle认证树签名。它能签名，但不能加密。

第二个是基于纠错码的公钥密码体制。它适合加密，但不适合签名。

第三个就是基于格的公钥密码，其代表性密码是NTRU。它适合加密，但不适合签名。

第四种就是MQ公钥密码。它适合智能卡等资源受限领域应用，而且只能签名，不能加密。

这四种密码中，相对比较成熟的算NTRU，但是NTRU申请了专利，我国大规模的应用存在专利权的问题。

总体上我们认为：

①目前还没有形成比较理想的抗量子密码。

- 9 -

2010年第5期中国密码学会通讯

②现在已有的抗量子计算密码比较适合小规模嵌入式系统的应用，尚不能在大规

模环境应用。

③我们必须建立我们国家自己的抗量子计算密码。

④研究我国自己的抗量子计算密码是我国紧迫的战略任务。

三、我们的研究工作

武汉大学空天信息安全与可信计算教育部重点实验室从2007年开始研究这方面的工作，目前获得了国家自然基金项目的支持，我们做的工作目前取得了两个成果。

1、我们对MQ公钥密码进行了扩展，把Hash认证技术引入MQ密码，得到一种安全的MQ加密及签名算法。这是世界上第一种可安全签名和安全加密的MQ类密码。

2、我们利用扩展MQ问题，设计了一种新的hash函数。根据目前的分析，它是安全的，而且可并行实现。

今后我们计划开展以下方面的研究：

1、深化现在的研究，完善现有的研究成果；

2、研究基于格理论的抗量子计算密码；

3、研究量子信息论和量子计算复杂性理论；

4、研究量子密码。

量子密码学的理论基础

—杨理（中国科学院研究生院信息安全国家重点实验室）

世界上有两门学问公认比较难：一门是密码学，一门是量子物理。难的原因完全不同：密码学难是因为世界上有人太聪明，难在巧夺天工的构造和叹为观止的分析；量子物理难是因为大自然深奥难测，其微观规律远离我们的直觉，难在真正的理解和把握。尼尔斯·玻尔曾经说过：一条深刻真理的反面可能是另一条深刻的真理。这句话集中体现了量子物理的辩证本质。量子密码学要把两者结合起来，其难度可想而知。

E.J.Goldreich有句名言：“没有基础可以盖一间简陋的小屋，却不能建成永久的大厦”。为了建立能涵盖量子密码协议的完整密码学理论，必须重新考虑密码学基础的有关问题，未来的工作任重而道远。我们觉得，对于从事这项工作的人而言，经典

- 10 -

中国密码学会通讯 2010年第5期密码学是一门高度发展的学科，有许多高超的技巧和深刻的论述，首先需要虚心学习，认真借鉴。另一方面，由于量子系统的极端特殊性，还需要对量子理论的深刻把握和对密码学概念的大胆创新，才能完成重建密码学理论基础的任务。下面我们就从量子理论与密码学的深层结合来考察未来密码学的理论基础问题。

一、经典密码学与量子密码学

密码学根本性的概念之一是单向函数。公钥加密要求陷门单向函数存在；私钥加密的语义安全性蕴涵着单向函数存在；MAC、鉴别、BC等都要求抗碰撞单向函数存在。现代密码学离不开单向函数，犹如鱼离不开水。我们可以把密码学粗略地划分成两部分：一部分是基于随机性或信息论的理论；一部分是基于困难问题或单向函数的理论。这两部分是密切相关的：单向函数蕴涵hardcore谓词，hardcore谓词蕴涵伪随机性。换句话说，真随机数不可得，这是个哲学问题，而算法能否生成伪随机数则依赖于困难问题或单向函数是不是真正存在。一个无法回避的问题是：困难问题的困难性即单向函数的单向性并没有获得证明，这就是密码学的困惑。

目前量子密码学方面的理论工作主要是基于非正交量子态的叠加和混合的性质来构造算法，利用此类量子态在物理上的不可区分性保证算法的安全性，实现经典密码学目标。已经构造的算法包括密钥分配、远程掷币、私钥加密、公钥加密、交互式无密钥传输、秘密分享、消息认证、鉴别、OT、BC等等。其中量子远程掷币是姚期智先生提出并研究了很多年的一个方向；较早提出的无密钥传输协议包括2002年3月我和吴令安老师提出的量子无密钥协议，以及同年5月国外学者提出的乒乓协议。一个重要的理论问题是：能够统一刻画经典密码学和上述量子协议的完备、自洽的理论框架是什么？

量子密码学有广义和狭义之分。狭义量子密码学主要指量子密钥分配等基于量子技术实现经典密码学目标的结果，广义量子密码学则是指能统一刻画狭义量子密码学和经典密码学的一个理论框架。目前我们的观点是：经典密码学和一切与量子性质有关的密码学结果可以统一在“量子信息密码学”框架下。这里“量子信息”概念十分重要。把量子态视为信息，对量子态提出信息论问题，是人类在信息概念上的巨大飞跃，是基于自然界基本定律对信息概念的自然推广，是量子信息科学的基石。经过近四十年的努力，量子信息论已经完整建立起来了。因为经典信息是量子信息的一个子集，在量子信息上建立的密码学才是一个自洽完备的理论。经典密码学和狭义量子密

- 11 -

2010年第5期中国密码学会通讯

码学只是作为量子信息密码学这个普遍理论的两个退化形式而存在。

发展量子信息密码学的目的是研究量子信息的密码编码和密码分析问题，探索希尔伯特空间“量子信息密码学”的理论体系，一方面致力于对量子信息系统安全性问题的解决，一方面希望为有限域上传统的密码学开辟新的道路。这与应用方面的理念完全不同。想想从牛顿力学到狭义相对论的推广。虽然至今建筑、水利、机械、航空航天等仍然只是应用牛顿力学，但铭刻在爱因斯坦墓碑上的那个不朽的公式在使人类长期受到毁灭威胁的同时，也给人类带来了无限的希望。这就是理论的力量。所以，理论上做一件事跟应用是完全不同的出发点，将来的作用也不一样。

发展量子信息密码学需要传统的密码学理论和方法，也需要量子信息和量子计算理论，如量子信息论和量子计算复杂性理论，但是这些可能还是远远不够的。发展量子信息密码学必然涉及到概念的创新，必须重新考察密码学的理论基础、研究对象和研究方法。

二、量子单向函数与量子概率加密算法

现在广泛应用的各类陷门单向函数如RSA函数在后量子时代单向性消失。为此人们首先定义了这样一类“量子单向函数”，即：在“量子计算机存在而且不能求解NP完全问题”假设下具有单向性的经典函数，并基于此研究了后量子时代的各类密码学问题。

第二类量子单向函数是作用在量子态上的诱导量子单向函数，这是我们在发展量子信息密码学的时候所考虑的内容。它由经典单向函数诱导生成，是计算安全的。可以证明，只有基于陷门单向函数才能诱导出此类量子单向函数，不过陷门从此消失。所以在量子态上的单向函数怎样构造陷门就是一个问题。2003年我们基于McEliece公钥密码体制构造出第一个作用在量子态上的陷门单向函数和公钥加密算法，并构造了量子态上的消息认证算法。

第三类量子单向函数是把经典序列随机映射到某一量子态上去。此类函数用于承诺协议时具有信息论安全的隐藏性（即单向性），但由于EPR攻击的存在，不具有计算无关的绑定性（即量子比特承诺的no-go定理）。2006年基于这种映射我和李宝教授构造了具有双向物理安全性的量子比特承诺协议，目前已证明这一类量子比特承诺协议的安全性确实超越了经典比特承诺协议安全性的理论极限。

概率加密的思想在现代密码学体系中至关重要。我们深入研究了量子概率加密算

- 12 -

中国密码学会通讯 2010年第5期法，探讨了量子公钥算法在信息论意义上的加密不可分辨性。已经完成的算法包括量子公钥算法、量子私钥算法和量子无密钥算法。其中基于第三类量子单向函数的公钥加密算法在选择明文攻击、选择密文攻击和适应性选择密文攻击下满足信息论意义上的加密不可分辨性。这样的结果在经典密码学中是无法想象的。

基于消息和密钥是否为量子态，可以将公钥加密算法分成四类：第一类是经典消息、经典密钥，这就是经典密码学所研究的公钥算法，包括基于第一类量子单向函数的“量子公钥密码体制”，如2000年美密会上Okamoto等人的文章，它们是计算安全的；第二类是量子消息、经典密钥，这是我们2003年做的一个工作，也是计算安全的；第三个是经典消息、量子密钥，比较好的结果是2005年欧密会的一篇文章，得到了计算安全的结果，2006年证明该方案是有界信息论安全的，我们今年6月份完成的一项工作通过改变公钥算法的结构实现了信息论安全；还有一个是量子消息、量子密钥，对于这最后一种情形现在的结论是，它一定会回到2002年我们所提出来的量子无密钥协议。量子无密钥密码体制是我们一直考虑的问题之一，2003年我们发展了可对抗中间人攻击的量子无密钥协议，2006年我们在美国陆军实验室有关人员主持的一个国际会议上做邀请报告，2009年发展了实用化方案。

三、形式知识理论与量子信息密码学

“数据爆炸但知识贫乏”现象的普遍存在表明知识不能等同于信息。信息的知识属性依赖于给定环境中所存在的问题，知识的本质就是问题的答案。我们可以基于模型中的问题给出知识的一种新的形式化定义。我猜想信息是生命和非生命系统共有的，而知识则是生命系统、尤其是智能生命系统（包括人工智能系统）特有的。形式知识理论的研究可能为理解智能生命尤其是人的思维、探寻知识创新模式、以及对抗计算机病毒和网络入侵提供理论模型。形式知识理论的基础包括：

关于符号序列及其相互关系用熵函数刻画的信息论；

关于语言和语法的自动机和形式语言理论；

关于问题的可计算性和计算复杂性理论；

关于知识的（交互式）证明和零知识理论；

关于形式推演、论域模型和语义赋值的逻辑理论

以及人工智能中发展的知识推理和学习理论；等等。

目前看来上述各种知识有关的理论大多已成为密码学研究的理论基础，这绝非偶

- 13 -

2010年第5期中国密码学会通讯

然：密码学是研究知识的保密、认证和证明的理论，是“形式知识理论”的一个重要分支。其实这很显然：如果不是知识，我们为什么要保密它，认证它，证明它？只不过由于保密和认证面对的知识千差万别，为了以不变应万变，构造和分析协议时，合理的选择是从随机明文出发考虑问题，这就是Shannon和Simmons的理论；而（零知识）证明则由于其知识的具体性凸显了密码学的知识性。基于这种认识我们认为要建立量子信息密码学首先应该考察量子知识的概念和理论。目前看起来建立形式量子知识理论和量子信息密码学的基本条件已经具备，但真正去完成这项工作仍然十分困难，需要数学、物理学、计算机科学等多学科研究人员的长期努力。

四、有关应用问题

从应用方面来看，量子密码系统研制的目标是在国家信息安全体系当中作为重要部件发挥作用，使我们国家的信息安全体系更完善、更牢固。经典密码学经过长期发展已形成完整体系，体现了人们对密码学的要求，我们从事量子密码研究的人需要考虑的主要问题是如何使用量子性质进行加强。一项量子密码技术必须是实现了经典密码学不可能实现的目标才有意义。如果我们可以设计出更多的具有信息论安全性的量子密码协议，就可以让现在的密码学更加完美，让信息安全体系更加牢固。

量子计算机的研制是对当前密码体制的严重威胁，不过密码学要想抗量子计算机攻击其实是有办法的。量子计算机的计算能力会受到一些来自物理学的限制。2007年我们的一项工作发现，量子计算机物理实现方案中最成熟的一类方案，所谓相干场驱动类方案，包括离子阱方案等，当考虑到场的量子化效应和容错量子计算的阈值定理时，对于运行其上的量子算法的逻辑深度会有很大的限制。这是任何技术上的改进所无法超越的理论极限。最近一年多这方面的工作取得了新的进展，对这一重要结论给出了充分的论证。一个尖锐的问题是：这个结果是不是表明量子计算机不能破译公钥密码？我们的回答是否定的。例如整数因子分解这个量子算法，由于其逻辑深度上界已经改进到整数位数的对数，我们给出的限制意义不大。但是，对于求解离散对数的量子算法，尤其是对于求解椭圆曲线离散对数的量子算法而言，我们给出的理论极限表明，如果它们的逻辑深度不能有重大改进，相干场驱动类量子计算机就无法以容错方式在给定精度内运行它们。

五、结束语

- 14 -

中国密码学会通讯 2010年第5期量子密码学的理论基础目前正在探索和创建之中，远没有完成，没有人能看清它的庐山真面目，没有人能真把它讲清楚。多年来我们实验室的量子密码课题组在实验室历届领导的大力支持和直接参与下，在实验室老一辈密码学家的悉心指点和年轻密码学家的热情帮助下，一直致力于发展量子信息密码学理论，希望给经典密码学和现有的量子密码学一个统一的理论基础，使我们能够从更高的层次上理解密码学。我们相信，基于量子知识理论，在一个更大的空间上发展密码学有可能使密码学的结构更清晰、基础更牢固。为此建立的形式量子知识理论有可能启发我们从一个新的角度认识生命，认识智能，认识我们自己。

量子密码系统中的实际安全性与关键技术

—郭弘（北京大学信息科学技术学院）

本报告旨在讨论实际量子密码——而非理想量子密码——系统的安全性。需要说明的是，目前通常所说的量子密码，甚至量子通信，指的仅仅是量子密钥分发（QKD）。因此，以下内容仅就实际QKD系统的安全性及关键技术展开讨论。报告分三部分：（一）对密码通信的理解；（二）理想QKD系统安全性的物理基础及实际QKD系统安全性的物理漏洞；（三）量子密码与经典密码及与光电技术的结合及未来发展、总结。

一、对密码通信的理解

简而言之，密码通信是一个由对明文加密形成密文，到传输密文直至接收解密的过程。经典密码通信有两个体系：公钥体系、私钥体系。公钥体系直接基于复杂算法，私钥体系中“绝对安全”的“一次一密”方式的关键一步——密钥的生成及分发——也是基于复杂算法。QKD所要解决的问题，正是基于量子物理原理，旨在解决私钥体系中如何生成和分发密钥的问题。其关键步骤是两个：1) 产生真随机密钥；2) 安全分发密钥。需要指出，这两个步骤从本质上都要靠量子物理的方法实现。

二、理想QKD系统安全性的物理基础及实际QKD系统安全性的物理漏洞

首先讨论一下理想QKD系统安全性的物理基础及其产生和存在的必要性。

从物理原理上讲，QKD系统的全系统工作流程有6步：1. 量子态的制备。发送方

- 15 -

2010年第5期中国密码学会通讯

随机制备出量子态——理论上要求制备出的量子态是真随机的。2. 量子态的传输。将前一步制备出的量子态在信道中进行传输，如果在传输中有窃听，则会导致传输信道产生远高于正常值的额外噪声，从而使窃听被发现。3. 量子态的测量。接收方随机选取测量基，并进行光电探测。4. 测量基的比对。发送方和接收方通过公开信道进行比对，剔除误码。5. 量子误码纠错。利用编码方式剔除传输中的各种误码。6. 量子私钥放大。进一步剔除不可信的码。上述前三步属于QKD系统的物理部分；后三步是数学部分（后处理）。另外，完整的QKD步骤中还隐含了一个发送方和接收方从一开始就已经做了身份认证的假定。完成此假定的处理步骤叫做前处理。因此，一个从原理上绝对安全的QKD，应包含前处理、物理部分以及后处理。

那么，为什么需要量子密码学呢？如果量子密码学不能解决经典密码学完全不能解决的问题的话，那么，它就缺乏存在的必要性。如前所述，量子密码学的存在必要性关键在于其安全性来源于任何窃听都能被发现这一基本条件，而这一条件之所以在QKD中成立的根本原因有两个： 1) 真正的随机性。目前物理学家的共识是，“真随机性只存在于纯量子过程”。2)量子测量特有的“不确定关系”及“量子不可克隆”。这一特性使得窃听一定会留下痕迹（引起额外噪声）从而被发现，同时，它只存在于量子过程之中。由此可见，经典密码学中无法解决的某些难题只能在量子密码学的框架下才能得以根本解决。另一方面，需要强调的是，量子密码学不能够完全替代经典密码学。原因是，一个完整的QKD系统包含了物理部分、前处理、后处理三大部分。其中，前、后处理要依靠经典密码学技术才能实现。过去的QKD研究主要集中在对物理部分的探讨。近年来，人们逐渐认识到，要使QKD能够最终真正实用化，就必须要密切结合经典密码技术，从而实现包含了上述三大部分的完整的QKD。

有了原理和理论层面的讨论后，下面再讨论一下实际QKD中的物理漏洞问题。主要表现在QKD系统的光源、探测、信道三方面。

首先，安全的QKD要求要有一个理想光源，其具体要求包括：1) 根据协议的不同，要求光源是理想单光子源、纠缠光子源或者相干态（或泊松光源、压缩态光源）光源；

2) 光源产生的量子态是理想的真随机态；3) 光源的光子数分布可被实时监控。目前，上述几点都存在漏洞，其中，第一点由于诱饵态协议的提出而变得不太尖锐，但是，第2、3点是对任何协议下的QKD都必须满足的，这方面的研究目前还需要进一步深化。其次，安全的QKD还要求系统每次探测过程都满足squash模型，亦即该探测相当于qubit探测。这一要求目前只在单光子类协议下被证明是可能的。最后，安全的QKD

- 16 -

中国密码学会通讯 2010年第5期要求信道是一个低损、低噪的信道。这一点比较容易满足。

如果上述要求不能得到满足，那就意味着原理所保证的绝对安全的QKD系统实际上并不满足原理所需要的那些条件，因而其安全性当然也就无法在实际中实现。

最后讨论一下有关协议的问题。目前QKD的主要协议有：单光子类协议（BB84, B92, 诱饵态，等）、纠缠类协议、连续变量协议以及差分相位参考（DPR）协议，等。其中，即使仅仅在理论上被证明是安全的协议只有单光子类协议和纠缠类协议，而纠缠类协议的要求极其苛刻（探测器的探测效率要达到100%）。因此，目前唯一满足安全性要求且可望实用的只有单光子类协议中的诱饵态协议。近年来，瑞士N. Gisin教授小组提出了设备无关协议（DI），它实际上是纠缠类协议（E91协议）的推广。这个貌似没有作任何对设备假设的协议实际上隐含了一些非常苛刻、很难满足的假定。具体来说，它要求纠缠光源（基本可以达到）、极低损耗信道（这一点很难做到），以及极高探测效率的探测器（几乎要求100%，基本无法做到）。另外，还隐含了发送（接受）方物理地址安全（无非必要经典信息泄露、发送接收设备可信且参数不为窃听者控制）等没有明确做出、但实际上无法回避的强假定。这些假定其实都无法使系统安全性与设备无关。因此，“设备无关”的提法会对QKD领域的发展带来严重的误导作用，使QKD发展所需要的具体、细致和扎实的积累变得困难。

三、量子密码与经典密码及与光电技术的结合及其发展方向、总结

综上所述，没有前（后）处理、真随机数以及信源监控的QKD不是安全的QKD，因此不是人们所追求的QKD。所以，量子密码的安全性既离不开经典密码学 [QKD的前（后）处理]，也离不开光电技术（QKD的光源、调制、测量等物理部分）。总而括之，QKD的安全性可以简单地分成量子信号处理的安全性和信源安全性两大方面。其中，信源安全性需要真随机数技术和信源监控技术。对此，目前的情况是，国外科学家提出的主动式监控方法尚未获得实验实现，而中国科学家提出的被动式监控方法已获初步的原理实验实现，使我国在QKD领域的这个具体方向上处于国际领先水平。另外，中国科学家提出的全新的真随机数技术也使我国在该方向上处于国际领先水平。

总之，QKD的目标是解决密码学中的密钥产生和分发问题，而其安全性所要求的几个关键假设在实际系统中要能被满足，就必须发展真随机数、信源监控、前处理、后处理等若干关键技术，这些关键技术的基础是经典密码技术和光电子技术。

- 17 -

2010年第5期中国密码学会通讯

量子密码的安全性与攻击

—蔡庆宇（中国科学院武汉物理与数学研究所）

目前广为使用的RSA公钥系统的安全性建立在大数因子分解的复杂度基础之上。1994年，P. Shor提出了一种大数因式分解的量子算法，从而挑战了RSA公钥体系安全性基础。而另一方面，在对称密钥体制中，若密钥的长度和明文的长度相同，且每次都使用新的密钥，已经证明，这样的密码是绝对安全的。因此，量子密码主要是指，通讯双方Alice和Bob首先分配安全的密钥，然后使用一次一密码本的方式，进行安全通讯。因此，狭义地，量子密码有时又称为量子密钥分配。

量子密钥首先是指由物理原理确保的安全性，不是依赖于数学的复杂度。量子力学告诉我们：(1)未知的量子态不可克隆；(2)非正交量子态是不可识别的；(3)互不对易的力学量不可以同时具有确定值。比如光子不同偏振(Pauli算符的x和z分量)、相位与光子数，不能同时具有确定值。(4)经典图像不能描述一个量子过程。同时，狭义相对论告诉我们，任何信息(信号)的传递都不可以超光速。这样以上的定理或原理就构成了量子密钥安全性的物理基础。任何一个窃听者，都必须受到以上物理定理或原理的制约。

要进行量子密钥分配， Alice和Bob之间需要有量子信道；其次他们要有一个经过认证的、可靠的经典通讯的信道；Alice要有一个量子比特发生器，Bob需要拥有测量装置；最后双方都必须有的真正的随机数发生器。窃听者(Eve)可以具有无限的计算资源和能力；其次，她可能还有一个量子计算机。实际上，Eve拥有量子计算机就会导致一个问题：她不仅可以窃听编码信息--经典信息；同时，她还可能窃取一些量子信息。如果Eve只窃听经典信息，那么经典信息论就可以确保量子密码安全。但由于Eve 窃取了一部分量子信息，导致了经典信息论可能失效。所以，量子密码的安全性必须使用量子信息论严格证明。

什么是量子密码的安全性？量子密码它的安全性实际上就是指Alice和Bob可以准确控制最终密钥的安全度，Alice和Bob可以准确计算出Eve窃听了多少信息，然后通过后处理，保证最终密钥的安全度。

量子密钥分配的一般的流程。Alice和Bob先分发初始密钥，公开挑选密钥；然后

Alice和Bob通过公开信道，获得QBER和其他参数，接下来Alice和Bob进行纠错。

- 18 -