3. 量子密钥分发（QKD）基本原理

量子密钥分发（Quantum Key Distribution，QKD）解决的核心问题并不是“把一段密文安全地送到对方”，而是“让通信双方共享一段只有他们知道的随机密钥”。一旦双方持有相同的密钥，就可以用一次一密（One-Time Pad，OTP）或对称加密算法来保护真正的业务数据。因此，QKD 系统的安全目标可以概括为三点：密钥的机密性（窃听者无法完整获知密钥）、密钥的一致性（合法双方最终得到相同的比特串）、密钥的可认证性（双方能确认对方身份，防止中间人冒充）。

需要特别强调：QKD 只负责“产生并协商密钥”，它本身不加密业务数据，也不天然提供身份认证。经典信道上的身份认证必须由预先共享的短密钥或数字证书来完成，否则攻击者可以实施中间人攻击，把两条独立的量子链路分别接到 Alice 和 Bob 上，而双方毫无察觉。这是初学者最容易误解的一点。

协议框架：从量子态到最终密钥的四层结构

无论具体实现是 BB84、诱骗态 BB84 还是测量设备无关（MDI-QKD），协议框架都可以抽象为四个层次：量子传输层负责发送和探测单光子量子态；经典后处理层负责基比对、误码估计、纠错和隐私放大；认证层为经典交互提供消息认证；密钥管理层把最终密钥送入密钥池供加密设备调用。下图展示了这一分层结构以及各层之间的数据流向。

密钥协商与认证的基本流程

以最经典的 BB84 协议为例，一次完整的密钥协商可以拆成以下几个关键环节，每个环节都有明确的输入、输出和判断条件。

第一步：量子态制备与发送。Alice 对每一个比特随机选择基（直角基 Z = {|0⟩, |1⟩} 或对角基 X = {|+⟩, |−⟩}），再随机选择比特值 0 或 1，制备对应的单光子态并通过量子信道发给 Bob。例如 Alice 想发送比特 0，若选 Z 基则发 |0⟩，若选 X 基则发 |+⟩。这里“随机”必须来自真随机数源，否则密钥熵会下降。

第二步：探测与基比对。Bob 对每个到达的光子随机选基测量，记录结果。随后双方通过经典认证信道公布各自使用的“基序列”（只公布基，不公布比特值）。基相同的比特保留，基不同的丢弃，这一步称为筛选（sifting）。理想情况下约 50% 的比特被保留。

第三步：误码估计。双方从筛选后的比特中随机抽取一部分（例如 10%）公布比对，计算量子比特误码率 QBER。若 QBER 低于安全阈值（BB84 在理想单光子条件下约为 11%），认为信道安全，可继续；若超过阈值，说明可能存在窃听或信道异常，应丢弃本次密钥并告警。

第四步：纠错与隐私放大。对剩余比特执行纠错（如 Cascade 协议或 LDPC 码），使双方比特完全一致；再执行隐私放大，用哈希函数把 Eve 可能掌握的部分信息压缩掉，得到最终的安全密钥。最终密钥长度 = 筛选后长度 × (1 − 纠错泄露比例 − 隐私放大压缩比例)，实际系统中还要扣除认证消耗的密钥。

经典密码学与 QKD 的对比

理解 QKD 的定位，最好的方式是把它和经典密码学放在同一张表里比较。二者不是替代关系，而是互补关系：QKD 解决密钥分发的“物理安全”，经典算法解决数据加密与身份认证的“计算安全”。

从工程实践看，QKD 网络通常采用“QKD 生成密钥 + AES/OTP 加密业务数据 + 预共享密钥认证经典信道”的组合架构。例如在某城域 QKD 链路中，设备每秒钟可能产生数千比特的原始密钥，经筛选、纠错和隐私放大后，实际可用安全码率可能只有几百比特每秒到几 kbps 量级（具体数值取决于距离、损耗和设备参数，此处仅为量级示例）。这些密钥被写入密钥池，业务加密设备按需取用，从而实现“密钥永不复用”的一次一密或高强度对称加密。

总结来说，QKD 的安全目标是让双方在存在窃听者的信道上协商出只有彼此知道的密钥；协议框架由量子传输、经典后处理、认证和密钥管理四层构成；密钥协商流程遵循“制备—探测—筛选—误码估计—纠错—隐私放大”的主线；而它与经典密码学的关系是互补而非取代——QKD 提供物理层密钥分发的安全性，经典算法提供数据加密与身份认证的工程能力，二者结合才能构成完整的量子安全通信系统。