量子密鑰分發(fā)網(wǎng)絡(luò)方案研究*

侯 嘉，朱 江

（中國電子科技集團(tuán)公司第三十研究所，四川 成都 610041）

0 引言

隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展和普及，網(wǎng)絡(luò)信息安全的重要性與日俱增。2013 年“棱鏡門”信息安全事件的發(fā)生，使得保障信息安全、防止竊聽受到了各國的高度重視。經(jīng)典密碼安全建立在計算安全性之上，其中破解年限成為評估計算安全性的主要指標(biāo)。然而，以大數(shù)質(zhì)因子分解的量子計算方法[1]的提出為例，對于用超級計算機(jī)需要幾十年才能破解的2 048 位密鑰的RSA 加密算法，如果量子計算機(jī)具有2 000 個量子比特，則破解該算法只需要幾個小時。可見，計算安全性受到了嚴(yán)重威脅。

量子密鑰分發(fā)基于量子力學(xué)的基本原理，包括測量塌縮理論、海森堡不確定原理和量子不可克隆定律[2-3]，可以實現(xiàn)理論上無條件安全的密鑰分發(fā)。1984 年，Bennett 和Brassard 提出第一個量子密鑰分發(fā)協(xié)議——BB84 協(xié)議[4]。2000 年，BB84 協(xié)議被證明是無條件安全的[5]。然而，BB84 協(xié)議是針對點對點應(yīng)用的，且由于傳輸損耗等原因，實現(xiàn)BB84協(xié)議的設(shè)備通信距離有限。因此，在實際應(yīng)用中，需要設(shè)計和建設(shè)量子密鑰分發(fā)網(wǎng)絡(luò)，以解決多用戶、遠(yuǎn)距離等應(yīng)用需求。

本文重點針對量子密鑰分發(fā)組網(wǎng)方案進(jìn)行研究。第1 節(jié)介紹國內(nèi)外量子密鑰分發(fā)網(wǎng)絡(luò)現(xiàn)狀，引出基于經(jīng)典光學(xué)器件的網(wǎng)絡(luò)方案和基于可信中繼的網(wǎng)絡(luò)方案兩類主要方案。第2 節(jié)和第3 節(jié)分別對兩類方案進(jìn)行分析論述，并在第4 節(jié)對一種安全性更優(yōu)但尚不實用的基于量子中繼的網(wǎng)絡(luò)方案進(jìn)行分析論述，最后在第5 節(jié)對比幾種組網(wǎng)方案的優(yōu)缺點，總結(jié)并提出量子密鑰分發(fā)網(wǎng)絡(luò)的一般性設(shè)計思想。

1 量子密鑰分發(fā)網(wǎng)絡(luò)現(xiàn)狀

1.1 國外量子密鑰分發(fā)網(wǎng)絡(luò)

2002—2007 年，在美國國防高級研究規(guī)劃局（Defense Advanced Research Projects Agency，DARPA）資助下，BBN 公司、哈佛大學(xué)和波士頓大學(xué)聯(lián)合開發(fā)了第一個實地建設(shè)的量子密鑰分發(fā)（Quantum Key Distribution，QKD）網(wǎng)絡(luò)[6]，如圖1所示。該QKD 網(wǎng)絡(luò)最終包含10 個節(jié)點，其中4 個節(jié)點使用光纖相位QKD 系統(tǒng)，使用2×2 光開關(guān)切換；4 個節(jié)點采用自由空間QKD 系統(tǒng)，通過可信中繼的方式接入；2 個節(jié)點采用偏振糾纏的光纖QKD系統(tǒng)，通過可信中繼的方式接入。

圖1 美國DARPA-QKD 網(wǎng)絡(luò)

2004—2008 年，歐盟成立了由41 個研究單位和公司組成的研發(fā)團(tuán)隊開發(fā)SECOQC-QKD 網(wǎng)絡(luò)[7]，如圖2 所示。該網(wǎng)絡(luò)包含6 個節(jié)點，網(wǎng)絡(luò)結(jié)構(gòu)中沒有使用光學(xué)路由，完全以可信中繼的方式連接。它共包含8 條鏈路，包括3 套plug ＆ play QKD 系統(tǒng)、1 套單向傳輸相位編碼QKD 系統(tǒng)、1 套COW 時間編碼QKD 系統(tǒng)、1 套糾纏QKD 系統(tǒng)和1 套自由空間QKD 系統(tǒng)。

圖2 歐洲SECOQC-QKD 網(wǎng)絡(luò)

2010 年，日本建設(shè)完成了東京QKD 網(wǎng)絡(luò)[8]，如圖3 所示。該網(wǎng)絡(luò)包含6 個節(jié)點，網(wǎng)絡(luò)結(jié)構(gòu)中沒有使用光學(xué)路由，完全以可信中繼的方式連接。QKD 系統(tǒng)執(zhí)行的協(xié)議包括BB84 協(xié)議、BBM92 協(xié)議、SARG 協(xié)議和差分相位協(xié)議，最遠(yuǎn)傳輸距離達(dá)到 90 km，并在網(wǎng)絡(luò)上演示了安全視頻會議。

圖3 日本東京QKD 網(wǎng)絡(luò)

1.2 國內(nèi)量子密鑰分發(fā)網(wǎng)絡(luò)

2009 年，中國科技技術(shù)大學(xué)郭光燦研究團(tuán)隊在蕪湖建設(shè)完成7 節(jié)點的QKD 網(wǎng)絡(luò)[9]，如圖4 所示。該網(wǎng)絡(luò)中采用誘騙態(tài)BB84 相位編碼QKD 設(shè)備，其中4 個節(jié)點使用基于波分復(fù)用技術(shù)構(gòu)造的量子路由器實現(xiàn)4 個節(jié)點的全時全通，1 個節(jié)點通過可信中繼的方式接入，其余2 個節(jié)點通過光開關(guān)連接。

圖4 7 節(jié)點QKD 網(wǎng)絡(luò)

2017 年，中國科學(xué)技術(shù)大學(xué)潘建偉研究團(tuán)隊完成星地量子密鑰分發(fā)網(wǎng)絡(luò)通信[10]，如圖5 所示。該網(wǎng)絡(luò)以墨子號衛(wèi)星作為可信中繼節(jié)點，在相距 7 600 km 的中國和歐洲產(chǎn)生安全量子密鑰，首次實現(xiàn)了星地量子通信，初步構(gòu)建了我國的廣域量子保密通信體系[11]。

圖5 星地QKD 網(wǎng)絡(luò)

1.3 國內(nèi)外量子密鑰分發(fā)網(wǎng)絡(luò)現(xiàn)狀分析

國內(nèi)外的量子密鑰分發(fā)網(wǎng)絡(luò)已經(jīng)陸續(xù)建設(shè)。針對組網(wǎng)方案，美國DARPA-QKD 網(wǎng)絡(luò)采用光開關(guān)和可信中繼的組網(wǎng)方案，歐洲SECOQC-QKD 網(wǎng)絡(luò)和日本東京QKD 網(wǎng)絡(luò)采用可信中繼的組網(wǎng)方案，中國蕪湖七節(jié)點QKD 網(wǎng)絡(luò)采用波分復(fù)用器構(gòu)造的量子路由器、光開關(guān)和可信中繼的組網(wǎng)方案，中國星地QKD 網(wǎng)絡(luò)采用可信中繼的組網(wǎng)方案。量子密鑰分發(fā)網(wǎng)絡(luò)實際組網(wǎng)方案應(yīng)結(jié)合實際需求，靈活選取合適的網(wǎng)絡(luò)方案。目前，采用的實用化方案主要分為兩大類：一類是基于經(jīng)典光學(xué)器件的網(wǎng)絡(luò)方案；另一類是基于可信中繼的網(wǎng)絡(luò)方案。

2 基于經(jīng)典光學(xué)器件的網(wǎng)絡(luò)方案

2.1 基于光分束器的網(wǎng)絡(luò)方案

基于分束器的組網(wǎng)方案最早由Townsend 等人在1994 年提出，如圖6 所示[12]。發(fā)送終端Alice 通過1×N光分束器與N個接收終端進(jìn)行量子密鑰分發(fā)。

圖6 基于光分束器的星型網(wǎng)絡(luò)

除星型網(wǎng)絡(luò)外，還可以采用多個光分束器級聯(lián)組成分支型網(wǎng)絡(luò)，如圖7 所示[13]。

圖7 基于光分束器的分支網(wǎng)絡(luò)

雖然光分束器組網(wǎng)很容易實現(xiàn)，成本也較低，無需主動切換，但是隨著用戶規(guī)模的增加，光分束器造成的損耗接近用戶數(shù)的1/N，導(dǎo)致收發(fā)雙方安全密鑰分發(fā)速率低。隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大，安全密鑰分發(fā)速率將成比例下降。以1×32 用戶為例，光分束器的插入損耗大概在16 dB，則光分束器相當(dāng)于80 km 的標(biāo)準(zhǔn)光纖傳輸信道。

2.2 基于光開關(guān)的網(wǎng)絡(luò)方案

圖8 為基于光開關(guān)的星型QKD 網(wǎng)絡(luò)，發(fā)送終端Alice 通過一個1×2 的光開關(guān)分別與接收終端Bob1 和Bob2 進(jìn)行量子密鑰分發(fā)[14]。

除星型網(wǎng)絡(luò)外，還可以采用多個光開關(guān)級聯(lián)組成分支QKD 網(wǎng)絡(luò)、環(huán)形控制QKD 網(wǎng)絡(luò)和多對多的QKD 網(wǎng)絡(luò)，如圖9、圖10 和圖11 所示[15]。

圖9 基于光開關(guān)的分支QKD 網(wǎng)絡(luò)

圖10 基于光開關(guān)的環(huán)形QKD 網(wǎng)絡(luò)

圖11 基于光開關(guān)的多對多QKD 網(wǎng)絡(luò)

光開關(guān)型網(wǎng)絡(luò)需要主動切換，實現(xiàn)用戶節(jié)點間的選擇連通。光開關(guān)的插入損耗相對分束器較低，可以很方便地進(jìn)行擴(kuò)展。鏈路損耗不會由于網(wǎng)絡(luò)規(guī)模的增大而增大。以1×32 用戶為例，光開關(guān)的插入損耗大概在1 dB，對于量子密鑰分發(fā)效率的影響很小。光開關(guān)相當(dāng)于5 km 的標(biāo)準(zhǔn)光纖傳輸 信道。

2.3 基于波分復(fù)用器的網(wǎng)絡(luò)方案

圖12 是基于AWG 的星型QKD 網(wǎng)絡(luò)[12]。發(fā)送終端Alice 使用可調(diào)諧激光器，當(dāng)與Bob 進(jìn)行量子密鑰分發(fā)時，使用λ1；當(dāng)與Chris 進(jìn)行量子密鑰分發(fā)時，使用λ2；以此類推，至第N個接收方。

圖12 基于AWG 的星型QKD 網(wǎng)絡(luò)

除星型網(wǎng)絡(luò)外，還可以采用多個光纖光柵級聯(lián)組成總線型QKD 網(wǎng)絡(luò)。當(dāng)有新用戶加入時，在總線上插入對應(yīng)波長的光纖光柵即可，如圖13所示[12]。

圖13 基于光纖光柵總線型QKD 網(wǎng)絡(luò)

在上述基礎(chǔ)上，使用4 個波分復(fù)用器組合構(gòu)成4 端口量子路由器來實現(xiàn)特定的功能。如圖14 所示[9]，以A 點為例，A 發(fā)送波長1 與D 進(jìn)行量子通信，A 發(fā)送波長2 與B 進(jìn)行量子通信，A 發(fā)送波長3 與C 進(jìn)行量子通信；其他節(jié)點類似。當(dāng)A 和C 發(fā)送波長1、接收波長2，B 和D 發(fā)送波長2、接收波長1 時，則可以實現(xiàn)4 節(jié)點全時全通網(wǎng)絡(luò)。

圖14 基于波分復(fù)用4 端口量子路由器全時全通QKD 網(wǎng)絡(luò)

4 端口量子路由器雖然可以擴(kuò)展，但是其使用波長數(shù)較多。例如：對于一個N節(jié)點網(wǎng)絡(luò)，需要N或者N-1 個波長方能實現(xiàn)所有用戶的連通。

圖15 和圖16 是波長節(jié)約型量子路由器的兩種基本結(jié)構(gòu)[16]，由波分復(fù)用器和環(huán)形器組合而成。它構(gòu)成的5 節(jié)點QKD 網(wǎng)絡(luò)如圖17 所示，即使用兩個波長實現(xiàn)了5 個節(jié)點間的全時全通。

圖15 波長節(jié)約型量子路由器基本結(jié)構(gòu)1

圖16 波長節(jié)約型量子路由器基本結(jié)構(gòu)2

如圖17 所示，1、2、3、4、5、A、B、C、D、E 均為如圖15 所示的基本結(jié)構(gòu)。以A 節(jié)點為例，QKD 發(fā)送波長λ1的光和B 點接收端進(jìn)行量子密鑰分發(fā)，QKD 發(fā)送波長λ2的光和C 點接收端進(jìn)行量子密鑰分發(fā)，QKD 接收λ1的光與D 點進(jìn)行量子密鑰分發(fā)，QKD 接收λ2的光與E 點進(jìn)行量子密鑰分發(fā)。所有節(jié)點QKD 均同時發(fā)送λ1或者同時發(fā)送λ2，可以實現(xiàn)5 節(jié)點全時全通。

圖17 兩波長全時全通5 節(jié)點QKD 網(wǎng)絡(luò)

波分復(fù)用組網(wǎng)方案需要QKD 按照組網(wǎng)方案做適當(dāng)改動。波分復(fù)用器的插入損耗相對分束器較低、相對光開關(guān)稍高，但可以很方便地進(jìn)行擴(kuò)展。鏈路損耗不會由于網(wǎng)絡(luò)規(guī)模的增大而增大。以C 波段40 通道波分復(fù)用為例，波分復(fù)用器的插入損耗大概在4.5 dB，對于量子密鑰分發(fā)效率的影響較小，相當(dāng)于22.5 km 的標(biāo)準(zhǔn)光纖傳輸信道。通過控制節(jié)點QKD 的發(fā)送波長，使用波分復(fù)用器組合成的量子路由器組網(wǎng)可以實現(xiàn)節(jié)點間的任意互通和全時全通。

2.4 對比分析

使用經(jīng)典光學(xué)器件如光分束器、光開關(guān)、波分復(fù)用器等實現(xiàn)QKD 的組網(wǎng)。光學(xué)器件具有插入損耗會降低QKD 的安全傳輸距離，但是成本較低，可以更有效地利用資源，實現(xiàn)網(wǎng)絡(luò)尋址和路由。

在安全性方面，基于光學(xué)器件的組網(wǎng)方案中，光學(xué)器件不對量子信號進(jìn)行測量，可以等效為一定衰減的光纖線路。所以，基于光學(xué)器件的組網(wǎng)方案均不影響系統(tǒng)的安全性。在損耗方面，基于光開關(guān)的組網(wǎng)方案＜基于波分復(fù)用器的組網(wǎng)方案＜基于光分束器的組網(wǎng)方案。隨著用戶規(guī)模的增加，只有基于光分束器的組網(wǎng)方案損耗急劇增加，故基于光分束器的組網(wǎng)方案擴(kuò)展性較差。在互通性方面，只有基于波分復(fù)用器構(gòu)造的量子路由器的組網(wǎng)方案可實現(xiàn)全時全通。在控制方式方面，只有光開關(guān)是有源器件，其他器件均為無源器件，可以實現(xiàn)自動/被動尋址?；诠忾_關(guān)的組網(wǎng)方案根據(jù)需要主動切換。

使用基于經(jīng)典光學(xué)器件的組網(wǎng)方案能夠?qū)崿F(xiàn)多用戶的量子密鑰分發(fā)共享，但并不能有效解決QKD的安全傳輸距離受限問題，故此類組網(wǎng)方案主要針對傳輸距離不是很遠(yuǎn)的場景。當(dāng)需要使用量子密鑰的通信雙方相距較遠(yuǎn)且無法滿足點到點的QKD 傳輸距離時，則需要使用中繼的方式。

3 基于可信中繼的網(wǎng)絡(luò)方案

3.1 方案原理

基于可信中繼的QKD 網(wǎng)絡(luò)方案最早由Elloitt提出[17]。如圖18 所示，可信中繼的基本思想是將Alice 和Bob 之間的QKD 鏈路分成n個小段，每一段之間采用可信中繼連接，利用相鄰節(jié)點之間量子密鑰分發(fā)產(chǎn)生量子密鑰，再使用量子密鑰結(jié)合一次一密技術(shù)逐段加密解密，最終Alice 和Bob 共享一對量子密鑰。

圖18 可信中繼模型

可信中繼步驟如下。

步驟1：相鄰節(jié)點之間各自進(jìn)行QKD 過程，兩兩之間生成量子密鑰ki（其中i=1,2,…,n）；即Alice 和第1 個可信中繼節(jié)點生成量子密鑰k1，Bob與第n-1 個可信中繼節(jié)點生成量子密鑰kn；

步驟2：第1 個可信中繼節(jié)點采用“一次一密”加密方案，使用k2加密k1，將密文信息（k1⊕k2）通過經(jīng)典信道發(fā)送給第2 個可信中繼節(jié)點；

步驟3：第2 個可信中繼節(jié)點利用k2解密接收到的密文信息（k1⊕k2），執(zhí)行（k1⊕k2）⊕k2操作，得到需要中繼的k1；繼續(xù)執(zhí)行步驟2，將k1加密傳輸給下一個可信中繼節(jié)點；

步驟4：逐段的執(zhí)行步驟2 和步驟3，最終Bob利用與可信中繼節(jié)點n-1 生成的量子密鑰kn解密密文信息（k1⊕kn）⊕kn，實現(xiàn)Alice 和Bob 共享量子密鑰k1。

3.2 方案分析

可信中繼網(wǎng)絡(luò)是基于點到點QKD 的擴(kuò)展，當(dāng)相距較遠(yuǎn)的節(jié)點之間需要分發(fā)共享量子密鑰時，則可以使用中繼技術(shù)進(jìn)行量子密鑰的中繼，從而延長量子密鑰分發(fā)距離。

在安全性方面，Alice 和Bob 共享的量子密鑰k1以明文的形式存在于可信中繼節(jié)點，故可以認(rèn)為可信中繼節(jié)點是能夠使用k1解密并掌握保密通信內(nèi)容的。這種方案的安全性前提是所有的中繼節(jié)點必須可信。要實現(xiàn)中繼節(jié)點的可信，通常需要人、物、管理、技術(shù)等多重手段予以綜合保證。在損耗方面，中繼節(jié)點需要逐段加密，但加密過程消耗中繼節(jié)點的密鑰。在互通性方面，只有相鄰的節(jié)點可以直接進(jìn)行量子密鑰分發(fā)，經(jīng)過中繼后可以在任意節(jié)點共享密鑰。在控制方式方面，采用的是逐段生成量子密鑰，逐段加密進(jìn)行量子密鑰中繼。

此外，可信中繼方案還可以用于實現(xiàn)多用戶之間量子密鑰分發(fā)共享，如圖19 所示。

圖19 中，A-B、C-D、A-C、B-D、A-D、B-C均可以通過中繼方式完成密鑰共享，從而實現(xiàn)網(wǎng)絡(luò)中A、B、C、D 多用戶的量子密鑰分發(fā)共享。此時，中繼節(jié)點1 成為網(wǎng)絡(luò)的中心節(jié)點，可以為其設(shè)置特定的中繼交換規(guī)則來實現(xiàn)用戶所希望的A、B、C、D 之間特定的密鑰共享關(guān)系（如允許A-B、A-C 共享密鑰，但不允許A-D 共享密鑰）。

圖19 多用戶可信中繼QKD 網(wǎng)絡(luò)

4 基于量子中繼的網(wǎng)絡(luò)方案

4.1 方案原理

量子中繼最早由Briegel 提出[18]。如圖20 所示，量子中繼的基本思想是量子中繼基于糾纏原理實現(xiàn)，不再使用單光子方案，將Alice 和Bob 之間的鏈路分成n個小段，相鄰節(jié)點之間利用糾纏分發(fā)、存儲、純化和交換技術(shù)，最終使Alice 和Bob 共享量子糾纏產(chǎn)生的一對量子密鑰。

圖20 量子中繼模型（QM：量子存儲器）

量子中繼步驟如下。

步驟1：相鄰節(jié)點之間進(jìn)行糾纏分發(fā)，并由QM 存儲；當(dāng)糾纏度未達(dá)到使用要求時，需要使用糾纏純化技術(shù)提高量子態(tài)的糾纏度。

步驟2：使用糾纏交換技術(shù)，對C1節(jié)點兩端的QM 進(jìn)行貝爾態(tài)投影測量，使Alice 和C2節(jié)點的QM 處于糾纏態(tài)。當(dāng)糾纏度未達(dá)到使用要求時，需要使用糾纏純化技術(shù)提高量子態(tài)的糾纏度。

步驟3：不斷重復(fù)上述過程，直至Alice 和Bob的QM 處于糾纏態(tài)，在此基礎(chǔ)上，使用基于糾纏的QKD 協(xié)議，最終實現(xiàn)Alice 和Bob 共享量子密鑰。

4.2 方案分析

與可信中繼方案相似，量子中繼方案也可用于延長量子密鑰分發(fā)距離。在損耗方面，中繼節(jié)點需要糾纏交換，消耗中繼節(jié)點存儲的量子糾纏態(tài)。在互通性方面，只有相鄰的節(jié)點進(jìn)行糾纏分發(fā)，經(jīng)過中繼后可以任意節(jié)點共享密鑰。在控制方式上，采用的是分段方式實現(xiàn)糾纏分發(fā)、存儲、純化和交換。

相對于可信中繼方案依賴中繼節(jié)點須可信的前提條件，量子中繼方案的通信雙方在最終測量前，量子糾纏一直處于量子疊加態(tài)，量子密鑰不會存在于中繼節(jié)點，故并不要求中繼節(jié)點必須可信，因此量子中繼可以認(rèn)為是一種無條件安全的中繼方案。但是，目前量子中繼在實現(xiàn)上存在技術(shù)難點，暫時未達(dá)到實用的程度。

5 結(jié)語

量子密鑰分發(fā)可以在異地生成安全的量子密鑰，結(jié)合“一次一密”加密技術(shù)可以實現(xiàn)無條件安全的量子通信。本文針對目前存在的主要QKD 網(wǎng)絡(luò)方案進(jìn)行研究，分析每種組網(wǎng)方案的優(yōu)缺點，具體如表1 所示。

表1 量子密鑰分發(fā)網(wǎng)絡(luò)組網(wǎng)方案對比

量子密鑰分發(fā)組網(wǎng)方案應(yīng)與實際應(yīng)用需求相結(jié)合，將其一般性設(shè)計思想總結(jié)如下。

（1）對于主干網(wǎng)絡(luò)，量子密鑰分發(fā)網(wǎng)絡(luò)以可信中繼方案為主，重點解決地區(qū)與地區(qū)間遠(yuǎn)距離通信的需求。同時，主干網(wǎng)絡(luò)作為重要基礎(chǔ)設(shè)施，相應(yīng)的人力、物力、管理、技術(shù)等資源保障一般是較為充足的，可為中繼節(jié)點的安全可信提供較好的保證。

（2）對于城域網(wǎng)絡(luò)，結(jié)合城市間通信距離需求，可采用混合式組網(wǎng)方案，包括可信中繼、光開關(guān)、波分復(fù)用型量子路由器等。其中，對于需要做到任意兩點連通和全時全通的節(jié)點，采用波分復(fù)用型量子路由器；對于連通要求不高的節(jié)點，采用光開關(guān)型組網(wǎng)方案；對于中間節(jié)點，若通信距離需要，也可采用可信中繼的方案。

（3）對于接入網(wǎng)絡(luò)，通常通信距離要求不高，可使用光分束器、光開關(guān)、波分復(fù)用器等組網(wǎng)方案。

（4）成本也是一項需要考慮的要素。不同用戶對量子密鑰分發(fā)性能、通信距離、網(wǎng)絡(luò)規(guī)模的需求不同，組網(wǎng)方案應(yīng)當(dāng)結(jié)合成本因素進(jìn)行綜合設(shè)計。

綜上，本文對量子密鑰分發(fā)組網(wǎng)方案進(jìn)行了研究，以促進(jìn)量子密鑰分發(fā)技術(shù)走出實驗室、形成“生產(chǎn)力”為指導(dǎo)思想，預(yù)期對量子密鑰分發(fā)網(wǎng)絡(luò)實際的設(shè)計和建設(shè)工作提供有益的指導(dǎo)或參考價值。