1. QKD安全分析导论
量子密钥分发（Quantum Key Distribution, QKD）常被概括为“利用量子力学原理生成无条件安全的密钥”。这句话在科普层面成立，但在工程与安全分析层面过于简化。真正需要回答的问题是：QKD 在什么假设下安全？这些假设被破坏时会发生什么？攻击者能做什么、不能做什么？本章作为全课程导论，先建立 QKD 的基本流程、安全模型定义、攻击分析的目标与边界，并给出后续 29 章的知识地图。
1.1 QKD 的基本流程：从量子态到可用密钥
以最经典的 BB84 协议为例，一次完整的密钥生成过程包含四个阶段：
- 量子态制备与传输：发送端 Alice 随机选择比特值（0 或 1）和基（Z 基或 X 基），制备对应的单光子偏振态，通过量子信道发送给 Bob。例如 Z 基下 0→0°，1→90°；X 基下 0→45°，1→135°。
- 测量与基比对：Bob 独立随机选择测量基进行测量，记录结果。随后双方通过经典认证信道公开比对基的选择，保留基一致的比特，丢弃不一致的部分，得到筛后密钥（sifted key）。
- 参数估计：双方公开部分筛后密钥比特，估计量子比特误码率（QBER）。若 QBER 超过安全阈值（BB84 理想情况下约 11%），则中止协议。
- 后处理：包括纠错（信息协调）和隐私放大，最终得到双方共享的、对窃听者 Eve 近乎无信息的最终密钥。
这四个阶段中，前两个阶段涉及量子信道，后两个阶段仅使用经典认证信道。安全分析必须同时覆盖量子侧和经典侧，任何一侧的假设失效都可能导致密钥泄露。
1.2 安全模型定义：假设、能力与目标
QKD 的安全性不是绝对的，而是相对于一个明确的安全模型。一个完整的安全模型需要定义三件事：
- 假设（Assumptions）：包括量子力学正确性、经典认证信道存在、随机数质量、设备行为符合预期等。例如，标准 BB84 安全证明假设单光子源和理想探测器；实际系统使用弱相干光源和阈值探测器时，必须引入诱骗态方法并修正模型。
- 攻击者能力（Adversary Capability）：Eve 能对量子信道做什么？能对经典信道做什么？能物理接触设备吗？典型分层为：仅窃听量子信道 → 可截获重发 → 可纠缠 → 可控制光源/探测器 → 可访问经典后处理。能力越强，安全边界越窄。
- 安全目标（Security Goal）：通常要求最终密钥对 Eve 的互信息趋近于零，且协议在有限码长下仍可证明安全。常用指标包括 ε-安全性、密钥率下界、QBER 阈值等。
需要特别强调：QKD 的安全模型与经典密码学不同。经典密码学通常假设计算复杂性，而 QKD 的安全性基于物理原理，但前提是模型假设成立。攻击分析的核心任务，就是找出假设与实现之间的缝隙。
1.3 攻击分析的目标与边界
攻击分析的目标不是“证明 QKD 不安全”，而是回答三个问题：
- 在给定安全模型下，协议是否可证明安全？ 这属于理论分析，关注证明的严密性和参数选择。
- 实际系统是否偏离了模型假设？ 这属于实现安全，关注光源、探测器、调制器、随机数、经典后处理等具体环节。
- 攻击者需要付出什么代价？能获得什么信息？ 这属于攻击评估，关注攻击复杂度、所需资源、可获取的密钥信息量。
边界方面，本课程聚焦于 QKD 系统本身的安全分析，不展开经典认证算法的密码学证明，也不讨论量子中继和量子网络的上层协议。但会涉及与 QKD 直接相关的经典后处理安全，例如认证信道被攻破时的后果。
1.4 课程知识地图
后续章节将沿着“理论—协议—设备—攻击—防御—评估”的主线展开。下图给出知识地图的结构关系，帮助读者建立全局视角。
1.5 学习建议与关键约定
在本课程中，所有涉及方向、正负号、坐标系的描述，均以“Alice 发送、Bob 接收”为正向参考。量子态表示采用标准偏振编码约定：Z 基为水平/垂直，X 基为对角/反对角。QBER 定义为错误比特数除以筛后密钥总比特数，用百分比表示。密钥率通常以每脉冲或每秒为单位，具体会在对应章节说明。