第2章量子密钥分发（QKD）原理

量子密钥分发（QKD）原理：BB84协议详解

各位同学，今天我们来聊聊量子通信里最经典、也最实用的一个协议——BB84。说实话，我第一次接触这个协议时，觉得它像魔术一样神奇。两个远距离的人，居然能通过量子力学原理，共享一串绝对安全的密钥。这可不是科幻，这是已经商用的技术。

我在2018年参与过一个城域QKD网络项目，当时调试BB84协议的光路，整整折腾了两周。嗯，踩过的坑不少，今天一并分享给你们。

BB84协议是1984年由Bennett和Brassard提出的。说白了，它解决了一个古老的问题：两个互不信任的人，如何建立共享密钥，同时还能发现有没有窃听者。

经典密码学里，这个问题几乎无解。但量子力学给了我们两个杀手锏：

这两个性质，让任何窃听行为都会留下痕迹。我个人觉得，这是量子通信最迷人的地方。

BB84最初的设计是用光子的偏振态来编码信息。我习惯把偏振想象成光波的"振动方向"。

协议用了两组共轭基：

基组	编码0	编码1
直线基（+）	水平偏振（→）	垂直偏振（↑）
对角基（×）	45°偏振（↗）	135°偏振（↘）

为什么需要两组基？你想想看，如果只用一组基，窃听者直接测量就行了。但用了两组互相不正交的基，窃听者就陷入了两难——他猜错基的话，测量结果就是随机的，而且会扰动光子状态。

关键点：发送方（Alice）随机选择基组编码，接收方（Bob）随机选择基组测量。只有两人选了相同基组时，数据才有效。

我画了一张流程图，帮你理清整个逻辑：

这张图里，我特意把误码率检测放在最后。为什么？因为这是BB84安全性的核心保障。我曾经在实验室里遇到过一种情况：误码率刚好卡在阈值附近，排查了半天才发现是光纤中的双折射效应导致的，不是窃听。嗯，实战中这种"假警报"很常见。

偏振编码在自由空间里好用，但在光纤中就不太行了。光纤会随机改变光的偏振态，你发一个水平偏振光，到接收端可能变成椭圆偏振了。

所以，实际工程中更常用的是相位编码。我记得第一次搭建相位编码QKD系统时，被干涉仪的稳定性折磨得够呛。

相位编码的原理是这样的：

实战技巧：相位编码系统对环境温度极其敏感。我曾经因为空调温度波动1°C，导致干涉仪相位漂移了π/2，整个系统直接罢工。建议使用恒温箱或者主动相位补偿方案。

理想情况下，我们希望每次只发射一个光子。但现实很骨感——真正的单光子源至今仍然是个技术难题。

目前工程上普遍使用弱相干态光源，说白了就是把激光器的功率衰减到平均每个脉冲只有0.1个光子左右。这样，大部分脉冲是空的，少部分有一个光子，极少部分有两个或以上光子。

这里有个坑：多光子脉冲。如果一个脉冲里有两个光子，窃听者就可以"分走"一个，自己留着测量，而另一个正常发给Bob。这就是著名的光子数分裂攻击（PNS攻击）。

⚠️ 重要警告：使用弱相干态时，必须配合诱骗态协议来抵御PNS攻击。我在2019年帮一家公司做安全审计时，发现他们为了省事没加诱骗态，结果密钥实际安全性远低于理论值。这不是小事。

QKD的安全性建立在量子力学的基本原理上，而不是计算复杂度。这意味着，即使攻击者拥有无限的计算能力，也无法破解QKD生成的密钥。

安全性证明的核心逻辑：

我个人觉得，理解QKD安全性的关键在于：它不是在防"破解"，而是在防"窃听"。经典密码学假设窃听者能拿到密文但算不出明文；QKD则确保窃听者根本拿不到完整的密钥。

举个实际例子：假设Alice和Bob筛选后得到1000比特密钥，如果误码率检测发现窃听者可能知道了其中100比特。通过隐私放大，他们可以压缩到比如500比特，这500比特对窃听者来说几乎是完全未知的。

说白了，这就是用量子力学给密钥上了一把"物理锁"。你没法绕过这把锁，只能硬闯，但一闯就会触发警报。

核心总结：BB84协议不是最复杂的协议，但它是最优雅的。它用最少的资源——单光子和两组基——就实现了信息论安全的密钥分发。后续的诱骗态协议、测量设备无关QKD等，都是在BB84基础上的改进和增强。

好了，这一章的内容就到这里。下一章我们会深入讨论诱骗态协议，以及如何在实际系统中实现它。记住我今天说的那些坑，到时候你们会感谢我的。