关于数据安全传输以及量子通信有关问题的一点看法

        我国已经建成的量子城域网（MAN；如合肥，济南）和正在兴建的广域网（WAN；北京-上海），以及发射的量子卫星所要形成的网络，所进行的量子通信在实用研究方面现在还仅限于量子密钥分发（QKD）。当然量子卫星的实验研究包括了量子隐态传输（teleportation）。
        此次建立的量子通信网络，从已有的信息来看，主要是要解决通信传输过程中的数据安全保密问题。下面就这个问题粗浅谈谈如何保证数据安全传输，以及在这一方面量子通信与传统方式的差异，以期澄清我们正在建设的实用量子通信几个相关的问题。纯属个人理解，错误之处欢迎拍砖。
1 数据安全传输
        现在数据安全传输的基本模式大都采用密钥分发+密文传输。发送方需传输数据到接收方，要发送的数据称作明文（plaintext），需要一个密钥（secret key）将明文加密，使其变为密文（ciphertext）并传送到接收方。其传输基本过程如下：
        发送方产生一随机密钥，并将此密钥安全地分发给接收方。
        发送方用此密钥加密要传输的数据，并将密文传送到接收方。
        接收方用收到的密钥对密文解密，得到数据明文。
        数据安全传输这里主要有两个问题：
        1）发送方如何将密钥安全地分发给接收方。
        2）密文如何完整、可靠地传送到接收方。
        传统通信中对于第一个问题可采用基于RSA的PKI方案，即采用公钥、私钥的非对称加密方案。发送方请求接收方的数字证书，并从中获取接收方的公钥。用此公钥加密密钥，将密钥的密文传送给接收方。接收方则用自己的私钥将其解密，得到密钥明文。
        对于第二个问题可采用对称加密方案，因为密钥已分发，发送方和接收方均已拥有。
2 数据传输的攻击
        对于安全数据传输的攻击显然也集中在这两点上：一是攻击密钥分发，二是攻击数据密文。
        1）攻击密钥分发。假设我们可以截获密钥的密文，以及接收方的数字证书进而获得其公钥，这样如果我们能从接收方的公钥计算出其私钥，则密钥密文可得。我们也知道公钥和私钥的关系：如公钥与一个大正整数相关，这个大整数是两个素数的乘积，而相应的私钥与这两个素数之一相关。RSA算法已知，故我们可以得知这个大整数，接下来就是要找到其一个素数。有人说这不简单吗？这个大整数中的所有素数一个个试过去不就好了？但问题是这个大整数实在是太大了！如它至少是这个级别的：2^1024，这里面的素数实在太多，而且找起来麻烦，就是现在世界上所有的计算能力加起来，要在预期有效时间内算出来，从概率上来说也是不可能完成的任务！
        这样看来传统的密钥分发也是安全的，为何我们要搞什么量子密钥分发，这不是多此一举、浪费钱财吗？这原因正是量子信息技术尤其是量子计算的出现和发展。这个大整数对于传统计算机没有能力去分解，但对于量子计算机则轻而易举。若有量子计算机，采用Shor算法，这个分解可以瞬时完成，所以我们要未雨绸缪，赶在量子计算机实用之前，解决安全密钥分发问题。
        量子密钥分发过程是安全的，不可破解的，至少在原理上、逻辑上是如此。潘建伟院士所说说的量子加密不可破解，可能就是指这一点。QKD有多重方案或协议，有的应用了量子纠缠特征（如E91），有的没有（如BB84），可详见有关文献，如http://www.guancha.cn/Science/2016_08_16_371382.shtml，此处不再赘述。
        需要指出的是，此次我国实施的量子通信实用研究仅限于量子密钥分发，密文传输还是应用传统方式，不是明文通过量子加密并传送到接收方。
        2）攻击密文。假设我们可以截获传输的密文，就可以对其进行破解从而得到明文。这看起来可以越过攻击密钥分发，直接攻击我们的目标-密文，毕竟我们最终要的是明文而不是什么密钥，而且密文是对称加密，密钥较短，如128位。这看起来合理，但实际实施却问题累累，例如：
        128位密钥并不短，而且我们至今没有什么好办法来破解，一般只能用穷举攻击（brute force attack）。这样要解密概率上要平均尝试2^128/2次。2^128有多大？可能比地球所有沙子的数量还要大！在有效时间内进行这么多次运算，难！
        这个密钥是个Session key，只用于本次对话，结束就失效作废。下次对话又有新的密钥，还要重新破解。
        因为我们并不知道明文的内容、结构和特征，所以会产生麻烦，世破解更困难：如何知道我们已经找到了密钥？通常做法是每次解密同时分析解密出的明文，看看明文是否可读、可理解和有意义，而不是一堆乱码和垃圾。然而这要计算机来判断，也可能出现多个符合上述标准的明文，那么哪一个是真正的明文？
        解密者（攻击者）也很容易被攻击（反击）。如发送方和接收方预先通过其他渠道达成一个简单的约定，明文传输前进行一个变换，将明文变成了一堆乱码再加密传送，那么可能我们费了九牛二虎之力算到最后一个密钥，结果竟没有找到明文！或者找到了，但被欺骗了，那根本不是真正的明文。
        由此看来，攻击密文可能比攻击密钥分发更麻烦、更困难、更无实用性。用户的公钥和私钥的有效期可能有1年或几年，若我们秘密攻击密钥分发得手，获得私钥，就可以在有效期内轻松地窃听此用户的通信了。因此，现在的对安全数据传输的攻击，大多集中在密钥分发上。
我国建立的量子通信，并没有改变密文传输过程。因此在密文传输上，量子通信和传统的通信具有同样的特征，如可靠性、抗干扰性等。这可能就是潘建伟院士所说的量子通信和传统通信一样可靠的含义吧。
3 几个问题的说明
        1）为什么不把明文直接量子加密和传输？主要是效率问题。量子加密采用一次一密、和明文等长的随机密钥，一般只用于较短的密钥分发，而不是用在长文件数据的传输。试想你要传输一个G的大文件，你要产生同样大的随机密钥，再将其加密，传输到接收方再解密，而且每次传输都要做一次，这将是怎样的情景？即使将数据切分再加密传输，也不能避免效率低下而缺乏实用性。再想想为何传统数据安全传输不直接使用较长的公钥直接加密、传输，而要分发一个较短的密钥？道理是一样的。
        2）我们做的不是真正的量子通信，因为没有用到量子纠缠。我们做的量子密钥分发属于量子通信范畴，若采用BB84或类似协议，是没有利用量子纠缠特征。我们此次要做的QKD具体情况我不清楚，但这也是量子通信范畴，因为它利用了量子的不可复制特征。判断是否属于量子通信，主要看通信中是否利用了量子的固有特征。
        3）我们做的量子通信只是摆设，实际上没有什么意义。从上述分析来看，量子通信是有意义的，是值得去探索的。
        我国已经建成的量子城域网（MAN；如合肥，济南）和正在兴建的广域网（WAN；北京-上海），以及发射的量子卫星所要形成的网络，所进行的量子通信在实用研究方面现在还仅限于量子密钥分发（QKD）。当然量子卫星的实验研究包括了量子隐态传输（teleportation）。
        此次建立的量子通信网络，从已有的信息来看，主要是要解决通信传输过程中的数据安全保密问题。下面就这个问题粗浅谈谈如何保证数据安全传输，以及在这一方面量子通信与传统方式的差异，以期澄清我们正在建设的实用量子通信几个相关的问题。纯属个人理解，错误之处欢迎拍砖。
1 数据安全传输
        现在数据安全传输的基本模式大都采用密钥分发+密文传输。发送方需传输数据到接收方，要发送的数据称作明文（plaintext），需要一个密钥（secret key）将明文加密，使其变为密文（ciphertext）并传送到接收方。其传输基本过程如下：
        发送方产生一随机密钥，并将此密钥安全地分发给接收方。
        发送方用此密钥加密要传输的数据，并将密文传送到接收方。
        接收方用收到的密钥对密文解密，得到数据明文。
        数据安全传输这里主要有两个问题：
        1）发送方如何将密钥安全地分发给接收方。
        2）密文如何完整、可靠地传送到接收方。
        传统通信中对于第一个问题可采用基于RSA的PKI方案，即采用公钥、私钥的非对称加密方案。发送方请求接收方的数字证书，并从中获取接收方的公钥。用此公钥加密密钥，将密钥的密文传送给接收方。接收方则用自己的私钥将其解密，得到密钥明文。
        对于第二个问题可采用对称加密方案，因为密钥已分发，发送方和接收方均已拥有。
2 数据传输的攻击
        对于安全数据传输的攻击显然也集中在这两点上：一是攻击密钥分发，二是攻击数据密文。
        1）攻击密钥分发。假设我们可以截获密钥的密文，以及接收方的数字证书进而获得其公钥，这样如果我们能从接收方的公钥计算出其私钥，则密钥密文可得。我们也知道公钥和私钥的关系：如公钥与一个大正整数相关，这个大整数是两个素数的乘积，而相应的私钥与这两个素数之一相关。RSA算法已知，故我们可以得知这个大整数，接下来就是要找到其一个素数。有人说这不简单吗？这个大整数中的所有素数一个个试过去不就好了？但问题是这个大整数实在是太大了！如它至少是这个级别的：2^1024，这里面的素数实在太多，而且找起来麻烦，就是现在世界上所有的计算能力加起来，要在预期有效时间内算出来，从概率上来说也是不可能完成的任务！
        这样看来传统的密钥分发也是安全的，为何我们要搞什么量子密钥分发，这不是多此一举、浪费钱财吗？这原因正是量子信息技术尤其是量子计算的出现和发展。这个大整数对于传统计算机没有能力去分解，但对于量子计算机则轻而易举。若有量子计算机，采用Shor算法，这个分解可以瞬时完成，所以我们要未雨绸缪，赶在量子计算机实用之前，解决安全密钥分发问题。
        量子密钥分发过程是安全的，不可破解的，至少在原理上、逻辑上是如此。潘建伟院士所说说的量子加密不可破解，可能就是指这一点。QKD有多重方案或协议，有的应用了量子纠缠特征（如E91），有的没有（如BB84），可详见有关文献，如http://www.guancha.cn/Science/2016_08_16_371382.shtml，此处不再赘述。
        需要指出的是，此次我国实施的量子通信实用研究仅限于量子密钥分发，密文传输还是应用传统方式，不是明文通过量子加密并传送到接收方。
        2）攻击密文。假设我们可以截获传输的密文，就可以对其进行破解从而得到明文。这看起来可以越过攻击密钥分发，直接攻击我们的目标-密文，毕竟我们最终要的是明文而不是什么密钥，而且密文是对称加密，密钥较短，如128位。这看起来合理，但实际实施却问题累累，例如：
        128位密钥并不短，而且我们至今没有什么好办法来破解，一般只能用穷举攻击（brute force attack）。这样要解密概率上要平均尝试2^128/2次。2^128有多大？可能比地球所有沙子的数量还要大！在有效时间内进行这么多次运算，难！
        这个密钥是个Session key，只用于本次对话，结束就失效作废。下次对话又有新的密钥，还要重新破解。
        因为我们并不知道明文的内容、结构和特征，所以会产生麻烦，世破解更困难：如何知道我们已经找到了密钥？通常做法是每次解密同时分析解密出的明文，看看明文是否可读、可理解和有意义，而不是一堆乱码和垃圾。然而这要计算机来判断，也可能出现多个符合上述标准的明文，那么哪一个是真正的明文？
        解密者（攻击者）也很容易被攻击（反击）。如发送方和接收方预先通过其他渠道达成一个简单的约定，明文传输前进行一个变换，将明文变成了一堆乱码再加密传送，那么可能我们费了九牛二虎之力算到最后一个密钥，结果竟没有找到明文！或者找到了，但被欺骗了，那根本不是真正的明文。
        由此看来，攻击密文可能比攻击密钥分发更麻烦、更困难、更无实用性。用户的公钥和私钥的有效期可能有1年或几年，若我们秘密攻击密钥分发得手，获得私钥，就可以在有效期内轻松地窃听此用户的通信了。因此，现在的对安全数据传输的攻击，大多集中在密钥分发上。
我国建立的量子通信，并没有改变密文传输过程。因此在密文传输上，量子通信和传统的通信具有同样的特征，如可靠性、抗干扰性等。这可能就是潘建伟院士所说的量子通信和传统通信一样可靠的含义吧。
3 几个问题的说明
        1）为什么不把明文直接量子加密和传输？主要是效率问题。量子加密采用一次一密、和明文等长的随机密钥，一般只用于较短的密钥分发，而不是用在长文件数据的传输。试想你要传输一个G的大文件，你要产生同样大的随机密钥，再将其加密，传输到接收方再解密，而且每次传输都要做一次，这将是怎样的情景？即使将数据切分再加密传输，也不能避免效率低下而缺乏实用性。再想想为何传统数据安全传输不直接使用较长的公钥直接加密、传输，而要分发一个较短的密钥？道理是一样的。
        2）我们做的不是真正的量子通信，因为没有用到量子纠缠。我们做的量子密钥分发属于量子通信范畴，若采用BB84或类似协议，是没有利用量子纠缠特征。我们此次要做的QKD具体情况我不清楚，但这也是量子通信范畴，因为它利用了量子的不可复制特征。判断是否属于量子通信，主要看通信中是否利用了量子的固有特征。
        3）我们做的量子通信只是摆设，实际上没有什么意义。从上述分析来看，量子通信是有意义的，是值得去探索的。