徐令予：炒作量子通信工程，连潘建伟都担心

【文/ 观察者网专栏作者 徐令予】

9月29日，世界首条量子保密通信干线――“京沪干线”正式开通。中国科技人员在量子保密通信相关技术上取得了重大进展，中国在高速高效率单光子探测、可信任光子中继站和星地量子密钥分发等技术领域领先世界，可喜可贺！对此我们不需要更多的溢美之词，此时此刻，客观的介绍和有益的建议比什么都重要。

为什么要开发量子保密通信技术？因为从理论上讲，如果未来量子计算机建成，如果建成的量子计算机有足够的Qbit和足够的稳定性，那么今天密码系统中的公钥密码RSA有可能被破解。开发量子密码通信是为了应对未来的危机，但危机可能发生的确切时间和危害程度至今都是未知数。

由此可知，量子保密技术只可能是前瞻性的科学研究，当然可以有试点工程，但不一定要做成大规模铺开的工程项目。操之过急会导致资源的浪费，媒体的过份渲染和资本市场的炒作还会把问题进一步复杂化，发生“九州量子”这类事件一点也不令人意外[1]。

“京沪干线”项目首席科学家、中科院院士潘建伟最近的谈话中提到：“....，但是大家不能把它炒作得太热之后，一个东西反而味道就变掉了。要严谨地去做事情。”从字里行间不难看出，他也担心京沪量子保密通信干线如果在过度炒作的舆论环境下，可能不利于解决实际的科学问题。他又说：“量子通信广泛应用取决于成本和需求两大因素。”这句话说到点子上了，评论工程项目需求和成本始终是两个绕不开的坎。

让我们先对需求作些分析。数月前出现这样一篇论文：“后量子时代的RSA”[2]，该文发表后被多家相关杂志转载和引用，这些文章给出的共同结论是：目前使用的非对称性密码RSA不会因为量子计算机的出现而消亡。



该篇论文的核心观点是：假设量子计算机已经建成，再假设量子计算机的量子位（Qbit）可以无限扩展，进一步假设该量子计算机的运行成本与现在通用电子计算机的成本可以相比，用这样一台超级想象出来的量子计算机来破解长度为Terabyte（太字节，等于1024GB）的RSA非对称密钥需要量子计算机的Qbit为2^100（2的100次方）。

2^100是一个什么概念？这个数大于我们星球上所有生物细胞的总数！而今天为了建成两位数Qbit的量子计算机，专家们已经弄得焦头烂额，多年来一筹莫展。当然使用长度为Terabyte的RSA公钥确实也有点离谱，但论文作者在今日的电子计算机上产生了这样的公钥，并用它来加密和解密，费时一共为五天。按目前的技术水平，长度为Terabyte的RSA公钥虽然并不实用，至少还是可以实现的，但是还在纸上的量子计算机即使明天就建成，要破解这样的RSA公钥也无一线希望。

这篇论文并不是要为对抗量子计算机提供确切的方案，而是通过实验和数据分析指出了一个冷酷的事实：即使围绕量子计算机的技术难题和运营成本全都解决，只要现行的RSA公钥增加字长和改善算法，就能迫使量子计算机的恶意攻击因为难以承受的代价而失败告终，在后量子时代作为经典密码系统重要基石的RSA具有足够长的生命力。急于丢弃RSA等公钥密码系统而另辟蹊径可能真的是杞人忧天。

让我们进一步再作些成本分析。经典保密技术与量子保密技术的主要区别是：经典保密系统中通信的内容与密码的配送使用的是同一个通信网络，而量子保密系统必须要求两个通信网络，一个传送通信内容，另一个配送量子密码。因此量子保密技术必定会大幅增加通信的成本。

由电路交换和分组交换技术构建起的经典通信网络从本质上来说与量子保密通信网络是格格不入、难以融合的。很难设想在原有的通信网络线路上实现量子密钥分发。换言之，为了通信未来的安全，我们必须在原有的通信网络之外加建一套传递密钥的专用网络。而且这条网络要求通信双方从端到端全程使用光纤联接，当通信双方超过上百公里，还必须使用可信任中继站或卫星中继。暂不考虑工程的难度，对于普通用户特别是手机用户而言，仅成本一项无疑也是难以承受的负担。

到目前为止，在所有的经典加密技术中，通信的内容与加密的信息都在同一网络上传输，信息传输和保证信息传输的安全措施是一个统一完整的过程，密码系统在整个通信过程中所占的额外成本是有限的。因此从工程角度来看，对付量子计算机未来可能的攻击，采用改进的经典数学方法而不是全新的量子密码技术，已经成为密码界近期的共识。因为这些改进后的新的密码算法完全可以在目前所有的计算机和通信网络上运行，现行一切通信方式?用这些新算法进行升级换代过程可以变得平稳、经济和切实有效。