4. 窃听模型概述

在量子密钥分发（QKD）系统中，信道不再是“被动传输的管道”，而是窃听者可以主动介入的物理战场。要设计可靠的安全检测机制，首先必须清楚对手能做什么。窃听模型就是对窃听者能力边界的抽象描述——它规定了攻击者可以访问哪些资源、执行哪些操作、受哪些物理定律约束。本节围绕三类基本窃听攻击展开，并说明安全检测要达成的核心目标。

一、截获-重发攻击：最朴素但最基础

截获-重发（Intercept-Resend）攻击是入门级模型。窃听者Eve在信道上截获每一个量子态，用自己选定的基进行测量，再按照测量结果制备新的量子态发给接收方Bob。以BB84协议为例：Alice发送的每个光子处于Z基（|0⟩、|1⟩）或X基（|+⟩、|−⟩）。Eve若随机选基测量，有50%概率选错基；选错基时，她测得的结果与Alice原态无关，重发后Bob再选基测量，错误率显著上升。

定量来看，Eve随机选基的截获-重发会使量子比特错误率（QBER）从0上升到约25%。这个数字是安全检测的经典阈值来源：当QBER明显低于25%时，可认为不存在全量截获-重发；一旦接近或超过，必须终止密钥生成。截获-重发模型的特点是“测量破坏态”，因此它天然留下统计痕迹，是最容易被检测的一类攻击。

二、纠缠-测量攻击：更强的量子能力

纠缠-测量攻击假设Eve具备量子存储与纠缠操作能力。她并不直接测量经过信道的光子，而是将每个光子与自己的辅助量子比特（ancilla）做联合幺正操作，把信息“偷”进辅助系统中，随后对辅助系统进行测量。由于Eve没有破坏光子的量子态本身，单次测量未必引起可观测扰动，攻击更隐蔽。

这类攻击的检测依赖于纠缠态带来的统计关联。Eve的辅助系统与信号态纠缠后，Alice和Bob的测量结果之间会出现额外的相关性衰减。安全检测通过估计QBER、以及更精细的统计量（如不同基下的条件错误率差异）来约束Eve可获得的信息量。纠缠-测量攻击是证明QKD安全性的标准分析框架：若能证明系统在该模型下安全，则对更一般的攻击也具备安全基础。

三、集体攻击：逼近物理极限

集体攻击（Collective Attack）是三者中能力最强的模型。Eve对每个脉冲独立地施加相同的攻击操作，但允许在所有脉冲处理完毕后，对收集到的全部辅助系统做一次联合测量。它介于“逐脉冲独立攻击”和“完全相干攻击”之间，是安全性证明中最常用的上界模型之一。

集体攻击的关键在于：Eve可以延迟决策，利用全局信息优化窃听效果。检测手段因此不能只看单脉冲错误率，还要结合脉冲数、统计涨落和参数估计的置信区间。实际系统中，有限密钥长度效应会让统计估计偏离真实值，安全检测必须为此预留裕量。

四、安全检测的基本目标

无论面对哪类攻击，安全检测的目标可以归纳为四个层次。第一，估计信道扰动：通过公开比对一部分密钥（牺牲密钥）计算QBER，得到对Eve存在性的统计证据。第二，约束Eve的信息量：借助安全性证明，把可观测的QBER映射为Eve可能获得的信息上界，常用Holevo界或Devetak-Winter速率公式表达。第三，做出终止或继续的判定：当QBER超过协议阈值（BB84在理想单光子源下约11%，实际诱骗态系统通常取更低值）时，丢弃本轮密钥。第四，处理有限密钥效应：用置信区间估计真实错误率，为统计涨落预留安全裕量。

需要强调的是，检测目标不是“证明没有窃听”，而是“以可量化的置信度保证Eve的信息量低于可容忍上限”。这是量子密码学与经典密码学在安全观念上的根本差异：安全性来自物理定律与统计检验的结合，而非计算复杂度假设。

五、三类模型的工程意义

截获-重发给出“最坏情况下的直观错误率”，适合教学与快速排查；纠缠-测量是安全性证明的标准工具，决定了协议可证明的安全边界；集体攻击则用于评估系统在真实多脉冲条件下的鲁棒性。工程实践中，检测模块通常同时监控QBER、基比对符合率、探测效率异常和时序抖动，多指标联合判断比单一阈值更可靠。理解这三类模型的能力差异，才能在检测阈值设定、密钥长度选择和隐私放大参数配置上做出合理取舍。