量子密钥分发

发展沿革

理论奠基

20 世纪中后期，密码学界逐渐意识到传统公钥密码的安全根基建立在数学问题的计算复杂度之上，安全前提是攻击者算力存在上限。一旦算力发生跨越式提升，现存密码体系将面临整体性失效风险。一批研究者开始跳出数学难题的框架，尝试依托物理客观规律构建密码体系。1984 年，贝内特与布拉萨德提出 BB84 协议，首次给出完整可形式化推演的量子密钥分发协议，标志该技术正式从物理猜想转化为密码学可研究对象。这一时期全部工作局限于理论推导，缺少实物系统验证，无条件安全的数学证明尚未完善，学界对于协议的现实可行性仍存在大量分歧。

实验求证

二十世纪九十年代，光电子器件制造水平提升，推动量子密钥分发从纸面理论走向实验室原型系统。科研团队先后完成光纤、自由空间短距离原理验证实验，证实量子态编码实现密钥协商具备物理可实现性。1999 年，BB84 协议无条件安全证明完成，补齐该领域最重要的理论短板。早期原型系统成码率极低，传输距离仅数公里，设备体积庞大，对环境条件要求苛刻，不具备工程部署条件。伴随 E91 纠缠协议等新方案陆续问世，研究视角开始发生转变，研究者不再单纯以理想器件模型作为唯一评判标准，逐步正视器件非理想性带来的现实安全漏洞，开启理论安全向工程安全过渡的研究阶段。

组网探索

21 世纪前十五年，单光子探测、高速光调制器件迭代优化，系统成码率与传输距离得到显著提升。可信中继方案被提出，用来克服光纤光子损耗带来的距离瓶颈，成为早期量子网络建设的主流实现手段。2012 年测量设备无关量子密钥分发协议被提出，通过协议设计屏蔽接收端探测器的侧信道漏洞，大幅压缩现实系统的攻击面。地‑星自由空间量子密钥分发实验实现，突破光纤介质的物理距离限制。全球多个国家启动城域、城际量子保密通信示范网络建设，同步开展技术标准化研究，技术形态由单机点对点向着多节点组网演进，但示范网络更多偏向科研验证，距离规模化商用仍有明显差距。

理性演进

近阶段行业摆脱概念驱动的发展模式，学术界与产业界形成统一认知：量子密钥分发的理论安全与工程安全存在不可忽视的鸿沟。芯片集成化研究降低系统硬件体积与功耗，各类安全测评规范逐步落地，建立起面向真实设备的评估逻辑。行业普遍认可混合密码架构思路，将量子密钥分发定位为密钥基础设施补充，而非现有密码体系的替代方案。研究重心从单纯追逐传输距离指标，转向成码效率、系统稳定性、漏洞防护、互联互通等综合工程能力，技术评价体系趋向多元客观。

核心机理

物理本源

量子密钥分发的安全逻辑来源于两条核心量子力学结论。海森堡不确定性原理揭示，无法同时对一组非对易物理量实现无干扰精确测量，测量行为本身就会改变量子系统状态；量子不可克隆定理证明，不存在物理装置可以对完全未知的量子态进行精确复制。二者共同构成窃听可检测的物理基础。

传统密码体系会面临 “截获存储，后期破译” 的威胁，攻击者可以完整保存截获密文，等待未来算力突破完成解密。量子密钥分发改变这一博弈逻辑，窃听者想要获取密钥信息就必须对传输的量子态开展测量，测量扰动会以误码形式暴露在链路当中。需要明确，物理规律约束的是密钥生成过程，上层业务系统、硬件固件、节点运维等环节并不被量子力学自动保护，这是很多科普材料容易忽略的边界。

系统构成

一套完整的量子密钥分发系统由两套相互独立的信道共同构成。量子信道承载携带编码信息的量子信号，载体可以是光纤或者大气自由空间；经典信道用于交互基矢比对、误码统计、纠错、隐私放大等公开信息，可以使用普通通信链路，但该信道交互数据必须完成身份认证，抵御中间人篡改攻击。

完整密钥生成流程分为四个核心步骤。发送端随机选取编码基矢，将随机比特编码至光子量子态，经由量子信道向外发送；接收端随机选取测量基矢对量子信号进行测量，获取原始测量数据。双方在经典信道公开各自选用的基矢，舍弃基矢不匹配的测量结果，得到筛选密钥。针对信道噪声造成的比特错误执行信息纠错，消除双方比特不一致问题。最后执行隐私放大算法，通过信息压缩，剔除窃听者有可能窃取的少量信息，最终生成双方共享的安全密钥。

协议谱系

按照量子信号编码方式，主流协议分为离散变量与连续变量两大技术路线。离散变量量子密钥分发以光子偏振、相位等离散量子态承载比特，BB84 协议是该路线代表，技术成熟度最高，现有示范网络大多基于该路线搭建。连续变量量子密钥分发利用相干光的振幅、相位连续分量编码，无需单光子探测器，更贴近传统光通信器件，拥有同纤共传的应用潜力，但是长距离成码性能受限，仍处在实验验证阶段。

按照对硬件设备的安全假设，又可划分为三类。理想器件协议安全证明建立在器件完美无缺陷的假设之上；测量设备无关协议将安全风险集中于发送端，消除接收探测器带来的绝大多数攻击漏洞；设备无关协议借助贝尔不等式检验，几乎不对设备内部特性施加安全假设，但实现条件严苛，成码速率极低，距离工程应用还有很大差距。

安全研判

理论安全

理想模型条件下，量子密钥分发拥有信息论安全属性。该安全定义为：无论攻击者掌握何等计算资源，都无法在不被察觉的前提下获取密钥信息。但该结论建立在多重理想化前置条件之上：理想单光子源、信道无额外噪声、调制测量器件零偏差、经典信道交互信息完成可靠认证。理论安全是数学层面给出的安全上限，用来定义技术所能抵达的安全边界，不能直接等价于现实设备的实际安全能力。大量传播材料直接将理论无条件安全等同于产品绝对安全，属于典型认知偏差。

工程风险

现实器件与理想模型客观存在偏差，由此衍生出多重现实安全威胁。光源多光子分量会引发光子数分离攻击；探测器、调制器的物理泄露会带来各类侧信道攻击。为延长光纤传输距离广泛使用的可信中继方案，会引入安全断点，中继节点一旦被攻破，整条链路的密钥安全将直接失效。

光纤传输固有的光子损耗会造成成码率随距离指数衰减。信道噪声、器件温度漂移会抬升量子比特误码，误码超过安全阈值之后，系统无法提取安全密钥，只能终止本次密钥生成会话。同时量子密钥分发只解决密钥分发环节，业务数据依旧依靠经典加密算法完成加解密，业务软件、操作系统、人为操作产生的安全漏洞不会被量子特性自动修复。

技术定位

量子密钥分发的核心价值是提供一套可检测窃听的密钥生成途径，它无法解决身份伪造、业务系统漏洞、密钥管理不当等其余安全问题。它与后量子密码属于互补技术路线，不存在非此即彼的替代关系。量子密钥分发依靠量子物理硬件实现密钥协商，后量子密码依靠抗量子数学算法完成密钥交互，二者各有优劣。高安全场景可以采用二者融合部署模式，兼顾物理层密钥优势与算法部署的灵活性。

技术约束

传输局限

光纤内部光子吸收散射带来的损耗属于物理固有属性，无中继条件下地面光纤量子密钥分发存在距离上限。距离增加，有效到达接收端的光子数量快速下降，密钥输出速率急剧衰减。可信中继能够拓展组网覆盖范围，但引入可被攻破的中间节点；量子中继依靠纠缠交换原理，理论上能够实现无安全断点远距离密钥分发，但现阶段核心器件还处在实验室原型阶段，距离工程化落地仍要突破多重技术瓶颈。

地星自由空间链路可以规避光纤损耗，实现跨地域密钥分发，但受大气湍流、云雨天气影响，链路无法持续稳定连通，只能间歇式生成密钥，不能提供不间断密钥供给。

工程短板

量子密钥分发依赖高精度量子光学器件，单光子探测器、高速量子调制模块硬件成本偏高，整机体积、功耗显著高于传统网络设备，大规模铺开部署会带来高昂建设运维成本。系统对于温度、振动、环境扰动十分敏感，器件参数容易发生漂移，需要高频次校准维护，运维复杂度远高于常规通信设备。

长距离场景下密钥输出速率有限，密钥比特供给量有限，难以支撑大流量业务高频次的密钥消耗。整套密钥生成流程包含基矢比对、纠错、隐私放大等复杂后处理计算，带来固有处理时延，并不适配超低时延强实时业务。量子信号与传统高速光信号共纤传输时，经典光的强噪声会干扰量子信号，提升组网部署的工程难度。

标准困境

全球量子密钥分发标准体系仍处于持续完善阶段，不同厂商设备之间互通互操作能力不足，设备接口、密钥管理接口、安全测评方法尚未形成完全统一的产业规范。针对器件漏洞的安全测试维度复杂，完整安全评估成本高昂。行业尚未形成公认可落地的安全等级量化评价体系，如何客观标定一台设备真实安全水平，依旧是学术界与产业界持续探讨的课题。

应用场景

政务密网

政务领域部分高密级业务存在长期保密诉求，部分数据需要防范未来量子计算机回溯破解风险，适合部署量子密钥分发基础设施。系统输出的真随机共享密钥，对接密码机与密钥管理平台，服务涉密专线、重要文件传输等高安全业务。该场景多采用光纤组网，依托可信中继搭建量子密钥网络，实现密钥资源统一调度，仅面向高价值业务，不会替换全部现有密码基础设施。

金融骨干

金融行业跨机构骨干链路、核心风控数据传输对密钥泄露风险高度敏感。量子密钥分发产出的密钥资源，可作为现有金融密码体系的安全增强补充，用于机构间对账、核心业务链路防护。受成本和成码速率约束，该技术一般部署于骨干节点之间，不直接面向海量终端用户，与现有商用密码体系协同运行。

广域特种

部分广域特种通信场景对密钥抗破解能力要求较高，地‑星量子密钥分发链路可以脱离地面光纤基础设施，完成跨远距离的密钥协商。受制于链路间歇性工作的特点，需要配套密钥缓存管理机制，在链路断开时依旧保障业务可以调用预生成密钥。

密码底座

量子密钥分发本质属于密码基础设施，本身不改造上层业务逻辑。网络输出的密钥资源向上层业务提供密钥服务，由密钥管理系统完成密钥生命周期管控。现阶段定位是安全增强组件，优先服务高安全刚需业务，普通互联网民用业务暂不具备大规模落地的现实条件。

发展展望

器件集成

分立光学器件是设备体积大、成本高的主要诱因。硅光、铌酸锂集成光芯片是核心演进方向，将分光、调制等光学功能集成至单片芯片，缩减整机体积，降低功耗与硬件成本，是走向规模化应用的必经路径。高性能单光子探测芯片迭代，也会同步改善系统成码效率与工作距离。芯片化不代表天然消除安全漏洞，集成器件依旧需要开展完备安全测评。

中继演进

可信中继属于现阶段的折中工程方案，存在节点安全隐患。量子中继依靠量子纠缠交换与量子存储，理论上能够摆脱距离限制，构建无断点广域量子密钥网络。目前原型样机已经完成实验室验证，但纠缠保真度、量子存储寿命、工作效率距离工程实用还有诸多技术难关，属于中长期重点研究方向。量子中继一旦实现工程落地，将彻底改写量子密钥分发的距离约束。

体系融合

量子密钥分发不会独立构建一套全新安全体系，技术演进主线是和现有密码基础设施深度融合。一方面与后量子密码结合构建混合抗量子密码架构，兼顾物理密钥生成优势与算法部署灵活性；另一方面对接现有密钥管理体系，完成密钥调度、审计、生命周期管理，降低上层业务接入门槛。安全测评体系持续迭代，建立可复现的测试方法，明确各类设备的安全边界，规避夸大化的技术解读。

认知重构

行业正在完成认知层面的理性回归，不再单一追逐传输距离、成码率等单项指标，更加重视系统综合安全性、运行稳定性、成本可控性与业务适配能力。量子密钥分发是量子安全的重要分支，但并非万能安全方案。未来发展路径是锚定高安全刚需场景循序渐进落地，作为现有密码体系的补充，而不是全面替代通用密码体系。

相关辨析

量子通信

量子通信属于广义集合概念，主要包含量子密钥分发、量子隐形传态两大研究方向。量子隐形传态目标完成量子态本身的传输，现阶段主要停留在基础实验研究，距离实用化十分遥远。现实中绝大多数量子保密通信工程应用，底层均为量子密钥分发。完成密钥协商之后，业务明文依旧依靠经典信道传输，二者概念不可混淆。

后量子密码

后量子密码，即 PQC，是专门设计用来抵抗量子计算破解的密码算法，属于算法层面的安全方案，能够直接运行于现有硬件，部署便捷，成本可控。量子密钥分发依托量子硬件实现密钥协商。二者各有长短，不存在绝对优劣，高安全场景经常采用互补融合的部署思路。

一次一密

一次一密是经典对称加密体制，要求密钥与明文长度相等，密钥为真随机序列且仅使用一次，理论上可以实现无条件安全。量子密钥分发的作用是生成满足条件的安全随机密钥，提供密钥来源，其本身不等同于一次一密加密算法。获取密钥之后，还需要业务系统调用加密算法完成明文处理，二者属于前后衔接的两个独立环节^{[1][2][3][4][5][6][7][8][9][10][11][12]}。