實(shí)驗(yàn)首次證明，完全隱秘地分享秘密或許可以實(shí)現(xiàn)，即使使用的是不那么可信的儀器。（Mordechai Rorvig）

在弗萊明（Ian Fleming）的第一部小說中，詹姆斯·邦德從皇家賭場(chǎng)回到自己的酒店房間，開始檢查是否有入侵的痕跡。首先，他確認(rèn)了事先放在書桌中的頭發(fā)沒有被動(dòng)過，然后是壁櫥把手上的滑石粉沒有指紋，最后，確認(rèn)廁所的水箱沒有變化。于是他滿意地開始思索自己更大的任務(wù)。

可邦德現(xiàn)在就沒那么容易去確保自己的隱私了。他的秘密會(huì)儲(chǔ)存到電腦上而不是房間里。當(dāng)他需要用現(xiàn)代化的手段去分享這些機(jī)密的時(shí)候，可能會(huì)依賴一些運(yùn)用 “小”科學(xué)——量子物理的復(fù)雜的器件，看起來像充滿了閥門、腔室、激光器和透鏡的疊疊樂積木。那么邦德到底能怎么確保使用這個(gè)器件時(shí)的安全性呢？

“量子器件非常難以表征，你不能去關(guān)注得太細(xì)節(jié)，”澳大利亞科學(xué)院的阿勞霍（Mateus Araújo）說，“不然就會(huì)很容易遭到黑客攻擊?！?/p>

但從三十年前有關(guān)這類器件的概念中，就幾乎透露出些跡象，表明這些弱點(diǎn)可能不算問題。之后理論家證明，用戶要做的就是確保各自的器件在玩一個(gè)“游戲”，只要得到一個(gè)足夠高的分?jǐn)?shù)就算獲勝，也就證明沒有其他人竊聽。

現(xiàn)在，牛津和慕尼黑各自有一個(gè)實(shí)驗(yàn)證明了這個(gè)過程，也就是設(shè)備無關(guān)的量子密鑰分發(fā)（device-independent quantum key distribution）。在上海的第三個(gè)實(shí)驗(yàn)同時(shí)驗(yàn)證了大量的必要要求。三個(gè)團(tuán)隊(duì)的研究人員都需要通過精細(xì)地使用量子元件來完成密鑰系統(tǒng)的設(shè)計(jì)安裝。

“看到這些我感到非常激動(dòng)和高興，”約克大學(xué)的科爾貝克（Roger Colbeck）說，“他們做的事情都各有不同，但一樣都是很杰出的成就。”

他們的實(shí)驗(yàn)將量子領(lǐng)域本質(zhì)的未知性和不確定性所帶來的完全保密性質(zhì)應(yīng)用到了日常的宏觀世界當(dāng)中。雖然這項(xiàng)技術(shù)距離實(shí)用還要很久，但它證明了完美隱私的可能。

保密的關(guān)鍵

這項(xiàng)技術(shù)的起源可以追溯到1949年，克勞德·香農(nóng)（Claude Shannon）證明了完美保密（perfect secrecy）可以滿足。

假設(shè)你想加密一段用一串比特（1和0）來表示的信息，你可以加入密鑰，也就是另一串完全隨機(jī)的比特。對(duì)于一個(gè)不知道密鑰的人來說，這串合并的字符看起來完全隨機(jī)而且沒有意義。

問題是如何將這串密鑰安全、及時(shí)地發(fā)送給需要的人呢？“為了使密鑰有用，我們需要雙方都知道密鑰是什么，而其他人不能獲得它，”以色列威茨曼科研所的阿農(nóng)-弗里德曼（Rotem Arnon-Friedman）解釋道。

如果你通過傳遞者傳送寫在一張紙上的密鑰，那么問題就會(huì)變成：如何保證傳遞的安全和快速？過去的三十年中，密碼學(xué)家都在創(chuàng)造一些分發(fā)快速而安全的非隨機(jī)密鑰，但這些密鑰并不是完美安全的：只要計(jì)算能力足夠就可以破解。密碼學(xué)家們不得不通過學(xué)習(xí)非局域化的“游戲”來獲得完美密鑰 。

量子幣

物理學(xué)家發(fā)明這樣的游戲最初是為了驗(yàn)證量子力學(xué)，直到后來牛津大學(xué)的物理學(xué)家愛科特（Artur Ekert）意識(shí)到這可以提供保密的功能。

愛科特研究的游戲由兩個(gè)玩家組成，彼此互相隔離的愛麗絲（Alice）和鮑勃（Bob）。每輪每個(gè)玩家會(huì)隨機(jī)回答兩個(gè)一般疑問句（答案為是或否）的其中一個(gè)。為了獲勝，他們的答案需要遵循以下方式：如果兩者都回答第一個(gè)問題，那么答案必須一致；如果兩人回答的是不同的問題，他們的答案也同樣需要一致；但是如果兩個(gè)人都拿到了第二題，他們必須要給出不一樣的答案才能贏。

愛麗絲和鮑勃該如何使獲勝的幾率最大呢？

因?yàn)閱栴}是隨機(jī)提出的，他們需要同時(shí)回答第二道問題的概率只有25%，此時(shí)他們需要給出不同回答。不考慮量子處理的話，他們獲勝的最佳策略是提前商量好給出相同的回答，即一直回答是或一直回答否，此時(shí)他們回合獲勝的平均占比將為75%。

（Merrill Sherman for Quanta Magazine）

物理學(xué)家發(fā)現(xiàn)，愛麗絲和鮑勃可以利用量子物理學(xué)表現(xiàn)得更好。在分別之前，他們需要得到一套四個(gè)量子物體（比方說原子或者其他粒子），各自拿兩個(gè)。我們可以將這種物體想象為硬幣，作用后只能獲得兩個(gè)結(jié)果之一，正面或者反面。

愛麗絲和鮑勃必需使兩枚硬幣之間構(gòu)建一個(gè)稱為量子糾纏的特殊關(guān)系，（游戲中的）這個(gè)糾纏需要滿足這樣的關(guān)系：當(dāng)愛麗絲翻轉(zhuǎn)了自己的第一枚硬幣，那么鮑勃拋出的自己第一枚硬幣就會(huì)更可能翻轉(zhuǎn)到同一個(gè)面；當(dāng)他們兩個(gè)拋出不同的硬幣時(shí)，也會(huì)更可能以同樣的面落地；而當(dāng)他們一起拋出第二枚硬幣時(shí)，它們更可能以不同的面落地。

你可能注意到了，兩者落地的情況和游戲的狀況是一致的。有了量子幣的助力，愛麗絲和鮑勃只需要將第一和第二枚硬幣分別對(duì)應(yīng)第一和第二個(gè)問題，根據(jù)硬幣的正面和反面回答是或否。根據(jù)量子幣的順序，愛麗絲和鮑勃可以完成一個(gè)賭徒的美夢(mèng)：最高將有85%的贏面。

“這遵循量子力學(xué)的定律，”科爾貝克說，“只需要完成這個(gè)步驟，就能達(dá)到85%，盡管這個(gè)數(shù)字看起來不能用直觀的理由解釋。”

（Merrill Sherman for Quanta Magazine）

愛科特在1991年時(shí)證明這個(gè)游戲?yàn)槊罔€分發(fā)提供了理論基礎(chǔ)；但理論學(xué)家需要花費(fèi)三十年來讓這個(gè)游戲變?yōu)橐粋€(gè)協(xié)議，或是一個(gè)詳盡的程序，在數(shù)學(xué)上證明其保密性——即使是在硬幣由愛麗絲和鮑勃的敵人制造的這樣不可能發(fā)生的情形下。

保密進(jìn)程

愛麗絲和鮑勃在把游戲變?yōu)橐粋€(gè)分享密鑰的程序時(shí)，必須做一個(gè)公開聲明。

每當(dāng)一輪游戲結(jié)束時(shí)，他們就需要公布一部分問題和答案。這可以讓他們知道問題是否正確并計(jì)算獲勝的比例。如果他們的勝率達(dá)到了理論上的最大值85%，那么就為這個(gè)可能具有完美安全的進(jìn)程建立起了一系列特殊的事件。

首先硬幣被拋出的結(jié)果必須是隨機(jī)的，但是如何確定呢？

假設(shè)有一個(gè)叫做伊芙（Eve）的竊聽者，妄圖操縱硬幣破壞其隨機(jī)性，比如說使愛麗絲和鮑勃的第一枚硬幣一直正面朝上?？雌饋硎遣皇菚?huì)增加勝率？其實(shí)不然，系統(tǒng)地分析所有可能性會(huì)發(fā)現(xiàn)，無論伊芙怎么操縱硬幣，她都不能使勝率高于75%。所以說，只要?jiǎng)俾矢哂?5%，就說明沒有人提前操縱或者安排過這個(gè)過程。

“隨機(jī)的事情正在發(fā)生。”科爾貝克說。

通過硬幣隨機(jī)翻轉(zhuǎn)，愛麗絲和鮑勃可以創(chuàng)造出一串以隨機(jī)比特組成的所需的密鑰。每枚硬幣翻轉(zhuǎn)的結(jié)果他們不需要公開，只需要記錄下正反面所代表的1和0的序列，并保證這串秘密的序列只在兩人間公布。而且由于兩人的硬幣相互關(guān)聯(lián)，他們都基本能知道另一個(gè)人的結(jié)果是什么（由于兩人的關(guān)聯(lián)性達(dá)不到100%，所以不能完全肯定，但可以略微調(diào)整一下游戲來確定）。

愛麗絲和鮑勃已經(jīng)可以分發(fā)一個(gè)隨機(jī)的密鑰。但還有一個(gè)概率的問題，這個(gè)密鑰足夠秘密嗎？假設(shè)伊芙在游戲開始前使自己的兩枚硬幣和愛麗絲、鮑勃的糾纏，她不就能參與其中、復(fù)制一份自己版本的密鑰了嗎？

愛科特展示出量子糾纏可以成為密碼學(xué)的有力工具。（Duncan.Hull）

絕妙的是，并不會(huì)。愛科特發(fā)現(xiàn)勝率是85%的時(shí)候完全排除伊芙或其他人竊聽的可能。這是因?yàn)榱孔蛹m纏是“單人游戲制”的，聯(lián)系范圍超過兩個(gè)粒子的話就會(huì)迅速減弱 。如果伊芙的硬幣加入愛麗絲和鮑勃的糾纏關(guān)系中，之間的聯(lián)系就會(huì)大大下降，勝率會(huì)很快跌至85%以下。如果他們發(fā)現(xiàn)勝率低于85%的話，伊芙就會(huì)被“踢出群聊”。

“如果我們能夠接近最大值，”牛津大學(xué)的納德林格（David Nadlinger）說，“伊芙能偷聽的概率非常小。”

通過這樣的原理建立起來的隨機(jī)性和隱秘性這兩個(gè)性質(zhì)，愛麗絲和鮑勃只需要在勝率達(dá)到85%時(shí)就可以保證完美保密地分發(fā)密鑰。但對(duì)于偏執(zhí)的密碼學(xué)家來說，事情并不如此簡(jiǎn)單。對(duì)于他們來說最重要的認(rèn)知就是，現(xiàn)實(shí)中不可能達(dá)到85%的勝率——況且這個(gè)硬幣還是需要復(fù)雜機(jī)器控制的量子物體，聽起來會(huì)出現(xiàn)無數(shù)的錯(cuò)誤和安全漏洞。

于是理論學(xué)家就開始證明在愛麗絲和鮑勃的勝率只要多于經(jīng)典理論的75%，即使低于量子力學(xué)的最大值85%時(shí)，仍然能夠保證完美安全。他們成功了，但前提是使用的儀器足夠可信，比如找一個(gè)朋友來制造一臺(tái)以特定的方式（像是沒有內(nèi)存這種）工作的設(shè)備。

直到2007年這個(gè)假設(shè)被摒棄了，科學(xué)家發(fā)現(xiàn)即使使用沒那么嚴(yán)格控制的設(shè)備，還是可能做到安全。

直到2018年這個(gè)研究到達(dá)了一個(gè)高峰：理論證明，就算這臺(tái)機(jī)器是伊芙造的，只要?jiǎng)俾蔬_(dá)到一個(gè)實(shí)驗(yàn)學(xué)家可以達(dá)到的最低比例，就足夠安全。也就是說，只要愛麗絲和鮑勃在游戲中的勝率達(dá)到一個(gè)特定比例，就能證明他們達(dá)到了安全性。

翻轉(zhuǎn)粒子

由于新結(jié)論的出現(xiàn)，兩年前三個(gè)團(tuán)隊(duì)的科學(xué)家決定發(fā)布一個(gè)設(shè)備無關(guān)的密鑰分發(fā)，這件事不得不做。

他們已經(jīng)探索出玩這個(gè)游戲的不同方法。來自牛津的團(tuán)隊(duì)在實(shí)驗(yàn)中使用的是電離化原子作為硬幣，在每回合開始時(shí)糾纏，之后通過用激光射擊原子的方式翻轉(zhuǎn)，測(cè)量是亮是暗，這兩種狀態(tài)就對(duì)應(yīng)硬幣的正反面。為了降低復(fù)雜度，他們將實(shí)驗(yàn)縮小到一枚硬幣（原子），可以翻轉(zhuǎn)（測(cè)得）得到兩個(gè)結(jié)果。

慕尼黑的研究人員用到一個(gè)類似的裝置；而上海的科學(xué)家將原子換成了光子，測(cè)量一個(gè)糾纏的光子的狀態(tài)和翻轉(zhuǎn)原子是一樣的。

牛津大學(xué)，一個(gè)捕獲了離子的真空腔正在一個(gè)非局域的游戲中扮演鮑勃量子硬幣的角色。用它和另一臺(tái)儀器，科學(xué)家成功地生成了一個(gè)完整并完美保密的密鑰。（David Nadlinger/ University of Oxford）

當(dāng)然，能進(jìn)行這個(gè)游戲是遠(yuǎn)遠(yuǎn)不夠的，這個(gè)實(shí)驗(yàn)的勝率必須達(dá)到可信賴的高水平。只有達(dá)到這個(gè)要求，他們才能證明自己的比特足夠保密。

慕尼黑的實(shí)驗(yàn)一開始并未達(dá)到足夠的勝率來證明自己的比特保密，但團(tuán)隊(duì)后來意識(shí)到可以通過修改自己的協(xié)議來降低需要獲勝的比例，于是他們給游戲引入了多一次的翻轉(zhuǎn)。

來自新加坡國立大學(xué)的林（Charles Lim）說：“通過更多的隨機(jī)測(cè)量引入的隨機(jī)性對(duì)伊芙更不利，于是也就提高了對(duì)噪聲的容忍度。”

同時(shí)，如果他們還需要及時(shí)地分發(fā)密鑰剩下的一系列比特，實(shí)驗(yàn)要求完成回合盡量迅速。來自中國的實(shí)驗(yàn)有這樣一個(gè)優(yōu)勢(shì)，可以快速地生成光子，雖然這樣會(huì)使測(cè)量每個(gè)硬幣的翻轉(zhuǎn)非常困難，導(dǎo)致研究人員遺漏翻轉(zhuǎn)，給伊芙入侵帶來方便，也就是檢測(cè)漏洞。

“鮑勃需要控制所有東西，并保證自己的探測(cè)器效率足夠高?！敝袊茖W(xué)技術(shù)大學(xué)的徐飛虎說。

參與其中的上海科學(xué)家通過一個(gè)新的協(xié)議在某種程度上克服了困難，即使是探測(cè)器效率低的時(shí)候也可以生成保密的密鑰。但是當(dāng)面對(duì)對(duì)手的強(qiáng)力攻擊時(shí)，新的協(xié)議并不能做到完美隱私。

牛津和慕尼黑的實(shí)驗(yàn)保證了在任何可能的篡改下，每輪產(chǎn)生的比特仍是秘密的。而且牛津的團(tuán)隊(duì)更進(jìn)一步，在最高保密性下分發(fā)了一個(gè)完整有限長(zhǎng)密鑰，雖然這個(gè)密鑰需要數(shù)十萬密鑰比特。因此他們需要更高的速度，但受限于愛麗絲和鮑勃以及他們?cè)又g的距離。

慕尼黑的研究人員在相距400米的兩地分發(fā)密鑰比特。（Tim van Leent）

通過一個(gè)近距離的裝置，牛津的實(shí)驗(yàn)在一天當(dāng)中產(chǎn)生了一百萬個(gè)密鑰比特。于是他們開發(fā)執(zhí)行了一個(gè)擴(kuò)展協(xié)議來將這一大串比特變?yōu)橥耆邢揲L(zhǎng)密鑰。

“這串有限長(zhǎng)數(shù)據(jù)分析對(duì)你的工作方式有很大影響，”牛津大學(xué)的佰倫斯（Christopher Ballance）說，“這其中可以開展許多工作?！?/p>

總的來說，這些實(shí)驗(yàn)表明我們已經(jīng)已經(jīng)到了一個(gè)新紀(jì)元，量子元件的復(fù)雜性不再是分享完美秘密的阻礙了。

現(xiàn)實(shí)中的保密性

拋開已有的成就不談，三個(gè)實(shí)驗(yàn)都僅僅是個(gè)開始，大家都在努力在一個(gè)可觀的距離上以實(shí)用的速度分發(fā)密鑰。每個(gè)團(tuán)隊(duì)都在這兩個(gè)領(lǐng)域進(jìn)行耕耘。

阿農(nóng)-弗里德曼說：“我們還需要繼續(xù)優(yōu)化技術(shù)以獲得顯著提高的密鑰率，一個(gè)改變游戲規(guī)則的技術(shù)還未出現(xiàn)?！?/p>

在這之前，實(shí)驗(yàn)已經(jīng)表明這個(gè)非局域化的游戲在現(xiàn)實(shí)層面上產(chǎn)生了一系列改變，這些改變是為了研究奇異的非局域現(xiàn)象——物體間可以在任意距離下產(chǎn)生瞬時(shí)的關(guān)聯(lián)。如今，非局域游戲還提供了一個(gè)更現(xiàn)實(shí)的功能基礎(chǔ)，那就是產(chǎn)生分享的密鑰。

科爾貝克說：“我有時(shí)開玩笑說，即使是上帝也不會(huì)知道。在測(cè)量前，宇宙也沒有決定這個(gè)值是多少，這就是保密的起源。”

作者：Mordeehai Rorvig

翻譯：zhenni

審校：藏癡

原文鏈接：

Cryptographers Achieve Perfect Secrecy With Imperfect Devices | Quanta Magazine

翻譯內(nèi)容僅代表作者觀點(diǎn)

不代表中科院物理所立場(chǎng)

標(biāo)簽： 牛津大學(xué) 研究人員 這個(gè)游戲