4. QKD安全模型形式化

在讨论QKD协议是否“安全”之前，必须先回答一个更基础的问题：安全是对谁、在什么条件下、以什么标准成立。QKD的安全模型形式化，就是把“密钥不可被窃听者区分”这一直觉，转化为可证明、可比较、可组合的数学陈述。它由四个相互咬合的部件构成：信息论安全度量、可组合安全框架、攻击者能力模型，以及安全参数与失败概率的量化关系。

一、信息论安全：从“计算困难”到“统计距离”

经典密码学通常依赖计算假设，例如大整数分解或离散对数困难。QKD的安全不依赖此类假设，而是建立在信息论意义上：即使攻击者拥有无限计算能力，只要其量子操作受物理定律约束，密钥仍可保持保密。形式化上，常用迹距离或统计距离来度量实际协议输出与理想密钥之间的不可区分程度。

设实际协议输出的联合态为 ρ_ABE，理想情况下攻击者E与密钥A、B完全无关，即 ρ_AB⊗ρ_E。若二者迹距离满足

½‖ρ_ABE − ρ_AB ⊗ ρ_E‖₁ ≤ ε

则称协议是 ε-安全的。这里的 ε 不是“被攻破的概率”，而是“与理想密钥不可区分”的统计上界。它同时覆盖了正确性（Alice与Bob密钥不一致）和保密性（Eve获得信息）两类偏差。理解这一点很关键：QKD的安全证明最终都归结为给出一个可计算的 ε 上界。

二、可组合安全：让密钥能安全地“被使用”

仅证明“密钥本身接近理想”还不够。实际系统中，QKD生成的密钥会被送入AES、一次性密码本或认证协议中使用。如果安全证明只在孤立场景成立，组合使用后可能失效。可组合安全（composable security）正是为解决这一问题而提出：若QKD协议是 ε-安全的，那么它与任意 ε′-安全的经典协议组合后，整体仍是 (ε+ε′)-安全的。

这一性质使QKD密钥可以像理想密钥一样被上层应用调用，而无需重新证明整个系统。形式化上，可组合安全通常用模拟范式表述：存在一个理想功能 F_KEY，实际协议在攻击者参与下与理想过程不可区分。下图给出QKD安全模型四个部件的结构关系与信息流。

三、攻击者能力模型：安全证明的“边界条件”

任何安全陈述都必须明确攻击者能做什么。QKD中典型的攻击者能力模型包含以下层级：

• 信道控制：Eve可截获、替换、延迟或分束信道中的量子态，这是QKD的基本假设。
• 量子存储：Eve可将量子态保存于量子存储器中，等待后续信息再联合测量，对应集体攻击与相干攻击。
• 探测器控制：在真实系统中，Eve可注入强光使探测器致盲，再实施探测器控制攻击，这属于侧信道范畴。
• 计算能力：不限制Eve的经典与量子计算能力，但要求其操作服从量子力学。

需要特别指出：设备无关QKD将探测器甚至光源视为不可信，仅依赖贝尔不等式违背来保证安全；而测量设备无关QKD则允许探测器不可信，但要求光源可信。攻击者能力模型越强，协议实现难度越大，安全证明也越复杂。

四、安全参数与失败概率：把 ε 拆开算

实际QKD系统不会只报告一个抽象的 ε，而是把它拆解为可核算的预算。典型分解为：

ε_total = ε_EC + ε_PA + ε_sec + ε_aut

其中 ε_EC 来自纠错失败概率，ε_PA 来自隐私放大中哈希函数的选择，ε_sec 来自参数估计的统计波动，ε_aut 来自认证协议。以有限码长BB84为例，若总脉冲数 N=10⁹，参数估计样本占比 p=0.1，则参数估计的统计偏差约为 O(1/√(pN))。当目标 ε_total ≤ 10⁻¹⁰ 时，通常将 ε_EC 控制在 10⁻¹⁵ 量级，ε_PA 控制在 10⁻¹² 量级，剩余预算分配给参数估计与认证。

密钥率的有限码长下界可写为：

R ≥ H_min^ε(X|E) − leak_EC − (2/N)·log₂(1/ε_PA)

这里 H_min^ε 是平滑最小熵，leak_EC 是纠错泄露的信息量。可以看到，安全参数 ε 越小，隐私放大需要压缩的比特越多，最终密钥率越低。这就是安全性与效率之间的定量权衡。

五、四者的耦合关系

信息论安全提供度量语言，可组合安全提供使用接口，攻击者能力模型划定证明边界，安全参数与失败概率则把抽象上界落到可核算的数值。四者不是并列关系，而是层层约束：攻击者模型决定信息论上界的形式，信息论上界通过可组合框架传递给上层协议，安全参数则决定这个上界在有限资源下是否仍然可用。理解这一耦合结构，才能在后续分析具体攻击时，准确判断攻击破坏了哪一层假设、对应哪个 ε 项、最终如何影响密钥率。