量子安全定义与实现路径有哪些？

根据 QIC 报告，量子安全是指面对量子计算的挑战也能得到保障的信 息安全。

2015 年，针对来自量子计算机对密码系统可能的攻击，量子安全 （Quantum Safe）的概念被提出。量子计算机的最新进展已表明量子计算的确比经典计算具有优势，虽然这并不直接意味着现有的密码技术都能够被 量子计算破解，但由于 RSA、ECC 等不具有量子安全特性的密码算法当前 被广泛应用，这已经形成了潜在巨大的信息安全风险。 密码作为信息安全保障的基础，其重要程度不言而喻。信息安全保障的 关键要素包括可用性、机密性、完整性、可认证性和不可否认性。而密码提 供的主要安全服务功能包括：机密性、完整性、真实性和不可否认性。密码 系统通常是作为信息系统的子系统应用密码技术为信息系统提供安全服 务。

量子安全的实现路径一般包括基于数学的传统路径和物理安全路径两 类。目前，业界认为，并非所有的经典安全协议和密码算法都容易受到量子 计算的攻击，如果某种算法或协议在经过充分研究后，表明其可以抵御所有 已知的量子算法攻击，同时在没有证据表明其易受量子攻击前，就可以认为 其是量子安全的。基于此理论，产生了抗量子计算密码算法（Quantum Resist Cryptography，QRC）或后量子密码（Post Quantum Cryptography，PQC）。 具有代表性的 PQC 包括：基于哈希的密码、格密码、基于编码理论的密码、 多变量密码、超奇异椭圆曲线密码等。但是，目前被认为是量子安全的算法 在未来不再安全的可能性依然存在：从攻击角度看，对 PQC 的攻击可能来 自新的量子破译算法，也可能来自新的经典密码分析技术：从密码算法自身 构造来看，由于构造密码过程中引入陷门性等原因，PQC 算法的安全性与 其基于的量子困难问题并不一定等价，因而，PQC 的安全性也有待长期检 验。 近几年来已经有多个 PQC 算法被传统方法破解的案例。2022 年 2 月， IBM 的专家发表论文宣称基于多变量密码（MQ）的 Rainbow 签名算法在其 算法参数为安全等级为 1 的情况下，被一台笔记本电脑用 53 小时运行经典 算法成功破解。2022 年 4 月，以色列军方发布了一份技术报告：改进的对 偶格攻击方法，基于经典算法的改进成功地实现了对格密码中 LWE 算法的 攻击。曾经入选 PQC 标准筛选结果中的 3 个算法（Kyber、Saber 和 Dilithium) 会受该攻击方法影响。（以上为根据 QIC 报告内容总结）

国际方面，2023 年以来，抗量子计算密码的生态建设、产品发展与商 业化应用发展迅速。2023 年 8 月，美国国家网络安全中心（NCCoE）发布 了一份新的“向抗量子计算密码学迁移》白皮书。该文档简要概述了向抗量 子计算密码学迁移项目的背景、目标、挑战、效益和工作流程，此外还列出 了参与该项目的最新 28 家技术供应商名单。国际上 ICT 行业跨国公司如 IBM、微软、谷歌、亚马逊、思科、华为等都在 PQC 的研究上投入了力量 并形成了相应研究成果。IBM 在该领域研究重点是格密码，微软参与了 FrodoKEM、SIKE、Picnic 等 PQC 项目研究，PQC 库的开发和安全协议集 成也是其重点投入的工作。谷歌公司在对当前抗量子计算密码技术发展进 行调查后，也提出了基于环上带误差学习问题的密钥交换协议，还对运行于 浏览器的 PQC 算法进行了实验。2024 年，苹果公司在其即时通讯应用 iMessagc 中引入了 Kybor 算法用于实现数字签名，以增强其通讯应用安全 性，防止量子攻击威胁。 国内方面，我国密码管理部门早在 2018 年就面向全国开展了抗量子计 算密码算法设计竞赛活动，其中公钥算法部分征集到 38 个算法，并最终评 出 14 个优胜算法， 2019 年经第二轮筛选获得 12 个算法。并已经在积极推 进 PQC 算法的标准化工作，基于 SM3 算法的抗量子公钥密码算法、量子安 全的 ZUC-256 对称密码算法等已经提上标准化日程。华为公司计划尽早为 密码协议引入安全的抗量子算法，以确保其产品的长期安全性，并计划在国内 PQC 标准化工作结束之前将一些候选算法试验性地引入他们的产品中。 2024 年 1 月，中国抗量子密码战略与政策法律工作组成立，将对抗量子密 码技术、产业、业务的现状和相关国内外政策、法律法规进行研究，发表抗 量子密码相关研究成果，推动形成中国抗量子密码共识和行动方案。（以上 为根据 QIC 报告内容节选或总结）

QKD 就是基于物理上可信实体实现量子安全的路径。Quantum Communication）是以量子态为信息载体，通过量子态传送实现量子信息或 经典信息传送的技术，利用量子通信中单量子不可分割、海森堡测不准原 理、未知量子态不可复制、量子纠缠的非定域性等量子力学原理及其一些延 伸技术如量子随机数发生器（QRNG），能够构建量子密码（Quantum Cryptography）用以提供各类安全服务。量子密码具有内禀的量子安全特性 或信息论安全特性，被认为是能够抵抗未来量子计算攻击的一种有效方式。 量子密码中最具代表性和实用性的是量子密钥分发（ Quantum Key Distribution，QkD），QkD 是指通信双方通过传送量子态的方法实现信息论 安全的密钥生成和分发的方法和过程。QKD 具备信息论安全性，这意味着 QKD 即使在攻击者拥有无限强的计算资源下也仍然安全，这其中自然也包 含了面对经典和量子计算的安全性。QKD 的功能是实现对称密钥的协商， 与对称密码算法结合可实现加解密功能。与一次一密（OTP）结合可实现信 息加密的信息论安全性，而结合量子安全的对称密码算法实现的是量子安 全。 目前 QKD 方案根据量子态载体及其调制方式区分的 QKD 方案类型， 主要分为离散变量和连续变量两种。离散变量方案中的诱骗态 BB84 协议是 安全论证成熟、应用最广泛的协议，基于该协议的光纤量子密钥分发设备已 经实现了较大规模的商用。其工作流程包括：发送方制备编码（对离散变量 常用偏振、相位、时间进行编码）单量子态、传输、接收方测量解码，然后 双方通过经典通信进行筛选比对、误码检测和纠错、保密增强。（以上为根 据 QIC 报告内容节选或总结）

单量子制备测量方案利用了单量子不可分割、不可复制、测不准等特 性，使得任何来自于信道的窃听，要么导致量子信号丢失，要么导致量子信 号发生可观测的变化，均可被接收方察觉，从而杜绝了从信道上实施窃听的 可能性。测量设备无关（MDI）协议也属于制备测量方案的一种，是一种基 于纠缠反演思想提出的新方案，在安全性方面不受测量设备物理缺陷的影 响，同时还有助于提高密钥安全分发的总距离，目前光纤量子密钥分发最远 距离的纪录就是由该类协议实现。设备无关协议的安全性不依赖于 QKD 设 备工作状况，而是基于 BeI1 不等式可以证明其安全性。纠缠测量方案实现 量子密钥分发的工作流程包括：在双方分享纠缠对的基础上（纠缠对可以由 第三方提供），双方分别测量解码，然后双方通过经典通信进行纠缠校验、 纠错、保密增强。（以上为根据 QIC 报告内容节选或总结）

纠缠测量方案利用了两体最大纠缠态没有第三方关联、LOCC 操作（局域操 作和经典通信）无法制造远程纠缠的特性，确保了纠缠制备方无法预知协商 双方测量结果，本地测量装置也无法伪造纠缠，实现器件无关安全性。我国 在基于“墨子号”卫星的星地一体的 QKD 网络中，已经实现了基于纠缠测 的量子隐形传态实验验证。

目前，以 QKD 技术为核心的量子密码产品已经初步形成了从终端设 备、网络设备、应用设备到应用软件等的产品体系。QKD 终端用于建立点 对点的量子密钥分发链路，以使用诱骗态 BB84 协议的设备最为成熟。量子 密钥分发网络设备主要用于将点对点的 QKD 链路连接、交换构成网络。应 用方面，最基础的应用是结合 QKD 终端实现的加密通话/视频通话、电报和 传真等设备，也有与特殊业务相结合的应用设备，比如量子安全金融密码 机、量子安全 VPN 设备等。另外，为了将安全性保障拓展到移动应用场景， 也出现了基于密钥存储携带的拓展应用模式和设备，包括便携式密钥存储 器（量子密钥 U 盾/TF 卡/SIM 卡等），量子安全手机，密钥充注设备和后台 密钥安全服务系统等。应用软件方面，则是如针对海量数据存储、云上业务 处理等的安全解决方案和应用软件系统。这些拓展应用已经显著地体现了 QKD 密钥即时生成带来的管理便捷性和安全性。（以上为根据 QIC 报告内 容节选或总结）

国际 QKD 产业发展。QKD 系统硬件设备已相对成熟，国际代表公司 有瑞士 IDQuantique 公司（已被韩国 SkT 收购），德国 InfiniQuant 公司，美 国 MagiQ 公司、Quantumxchangc 公司和 Qubitekk 公司，澳大利亚 QuintcssonccLab 公司等。国际深度参与 QkD 系统和网络建设的电信运营商 包括韩国 SKT、韩国 KT、韩国 LGU+、英国电信、德国电信、西班牙电信 等。欧洲和日、韩等一直重点发展 QKD 技术，并加速相关基础设施建设。 2021 年，欧盟组织 27 国启动建设“欧洲量子通信基础设施（EuroQCI）”， 将建成全欧范围内含可信节点的光纤量子通信网络计划于 2027 年实现运 行。与此同时，欧盟计划于 2024 年开始发射低轨量子通信卫星，并逐步构 建量子卫星星座。日本以国家情报通信技术研究机构 NicTy 为主力，在高 速 QKD 技术及应用研发方面非常活跃。韩国最大电信运营商 SKT 于 2018 年控股瑞士著名 QKD 企业 1DQ 之后：大力发展量子通信网络技术，开展 量子通信与 5G 核心网络融合试点，开发了量子随机数芯片及量子安全网 关、量子加密手机、量子 VPN 等终端产品，并为水力与核能电力公司、政 府组织等能源，政务、金融等领域用户提供量子安全服务。韩国政府于 2020 年招标建设总长 2000 公里、涵盖全国 48 个政府部门的量子密钥分发网络。

国内 QKD 产业发展。经过多年的技术积累和项目实践，我国已经形成 了以 QKD 技术为核心的较为完整的量子保密通信产业链。自上而下分为基 础器件、核心量子设备研制、量子应用设备研制、集成及应用技术、建设及 运营服务、行业用户六个部分。其中，基础器件包括量子光源、单光子探测 器件、频率转换器件、光学调制器件、电子学调制器件、量子随机数发生器 等关键器件；核心设备包括 QKD 终端、光量子交换机、信道复用设备、量 子密钥管理机、可信中继器、量子中继器等等；量子应用设备包括量子安全 VPN、量子安全路由器、量子安全 OTN、量子安全加密机等：集成及应用 技术包括量子安全传输、量子安全认证、量子安全存储等解决方案：建设及 运营服务包括量子保密通信网络建设、量子保密通信网络管理、量子保密通 信网络运营等方面；行业用户涵盖国防、金融、政务、能源、电网等等。 中国 QKD 系统硬件的代表性企业有科大国盾量子、安徽问天量子、上 海循态量子等。同时，量子保密通信产业链的上下游生态也逐渐健全。上游 关键器件等我国已经基本实现自主可控。例如单光子探测器件的核心近红 外单光子雪崩二极管，由于我国 KD 技术领域的提前布局攻关，如中国电子 科技集团和光讯科技量产的雪崩管，赋同量子生产的超导纳米线单光子探 测器（SNSPD）：性能已能够媲美国外产品；光学调制器件的研发生产、芯 片化集成基本上也处于国际先进水平：还存在一定差距的主要是极高性能 集成电路。中下游领域的发展，如国内电信运营商中国电信、中国联通、中 国移动等深度参与到 QKD 系统和网络建设。平台服务企业、终端服务企业 和行业用户也已经开始应用模式的研究和实践，云和天数据服务、政务信息 保护、金融业务加密、电力安全保障等已经率先试水并推出相关产品，围绕 量子技术的安全产业生态已初露端倪。（以上为根据 QIC 报告内容节选或 总结）

PQC 基于数学原理，而 QKD 是基于量子物理。PQC 在目前并未从理 论层面上完全解决量子安全威胁，未来投入实用中也会存在物理安全层面 的风险；QKD 虽然解决了量子安全威胁，却也引入了一些新的物理安全层 面的风险。PQC 和 QKD 是目前从技术原理上和实践上都可行且得到广泛 认可的两种量子安全技术途径。数学方法和物理方法从适用场景上有很大 的不同，一般来说，用数学运算为主的方法处理数据由于实现方式成熟，具 有速率高、灵活性强的特点。物理方法处理数据由于环节更复杂（例如需要 进行信息的物理载体变换等原因），具有处理速度受物理规律所限、处理过 程需物理设备参与的特性，同时也具备安全性基础更牢靠、不受数学算法破 解威胁等特点。 因此，融合“量子”与“经典”的量子安全实现理念逐渐受到了越来越 多的认同。对应到抵御量子攻击、实现量子安全目标，数学算法为主的方式 总体上更适合于实现用户侧的、面向应用数据的密码服务。物理方法为主的 方式如 QKD 更适合应用于密钥生成、分发、存储等密切管理环节和子系统。 下图是通过结合数学手段和物理手段实现信息安全的方式示意图（实线代 表主要支持作用，虚线代表辅助支持作用）。（以上为根据 QIC 报告内容节 选或总结）