量子密码技术深度分析报告

QKD · PQC · QRNG

技术原理· 技术难点 · 发展趋势

———————————————————

撰写日期：2026年4月

作者：量子技术专家团队

字数：约15,000字

目录

摘要

随着量子计算技术的快速发展，传统密码学正面临前所未有的挑战。量子计算机的强大算力可以在多项式时间内破解RSA、ECC等主流公钥密码算法，这意味着当前互联网安全体系的根基将在未来十年内被撼动。为应对这一危机，全球密码学界和产业界正在积极布局"量子安全"防御体系，其中三大核心技术尤为关键：

✦ QKD（量子密钥分发）：利用量子态不可克隆原理，实现理论上绝对安全的密钥协商。

✦ PQC（后量子密码学）：设计量子计算机也无法高效破解的新型密码算法，作为现有密码体系的升级替代。

✦ QRNG（量子随机数生成器）：基于量子物理原理产生真正不可预测的随机数，为密码系统提供高质量熵源。

本报告将从技术原理、实现难点、发展趋势三个维度，对这三大量子密码技术进行系统深入的分析，旨在帮助读者全面理解量子安全技术的现状与未来，为企业和机构的密码系统升级提供决策参考。

第一章量子安全威胁与应对概述

1.1 量子计算对传统密码学的威胁

量子计算对密码学的威胁并非危言耸听。1994年，数学家Peter Shor提出了著名的Shor算法，理论上证明量子计算机可以在多项式时间内分解大整数和求解离散对数问题。这意味着：

•RSA算法：依赖大整数分解的困难性，量子计算机可在数小时内破解2048位RSA密钥。

•椭圆曲线密码（ECC）：基于离散对数问题，同样可被Shor算法攻破，且所需量子比特数更少。

•Diffie-Hellman密钥交换：量子计算机可轻松获取通信双方的共享密钥，使安全通道失效。

1.1.1 "Q-Day"：量子威胁的时间表

"Q-Day"是指量子计算机能够破解现有密码体系的时间点。业界对此预测不一：

无论具体时间如何，密码系统的升级改造需要5-10年甚至更长的时间，因此业界普遍呼吁"现在就行动起来"。这也是当前量子安全技术加速发展的核心驱动力。

1.2 量子安全技术路线图

应对量子威胁，国际学术界和产业界形成了三条主要技术路线：

1.量子密钥分发（QKD）：基于量子物理原理，通过光纤或自由空间传输量子态来实现密钥分发，理论上具有不可窃听性。

2.后量子密码学（PQC）：设计在经典计算机上运行、但能够抵御量子攻击的密码算法，不依赖量子硬件。

3.量子随机数生成（QRNG）：利用量子过程产生真正随机的随机数，夯实密码系统的数学基础。

这三条路线并非相互排斥，而是相互补充。QKD提供物理层面的安全保障，PQC提供算法层面的通用解决方案，QRNG为两者提供高质量的随机数基础。三者共同构成完整的"量子安全"生态体系。

第二章量子密钥分发（QKD）技术详解

2.1 QKD技术原理

2.1.1 量子不可克隆定理

量子密钥分发的安全性建立在量子力学的基本原理之上，其中最重要的是"量子不可克隆定理"（No-Cloning Theorem）。该定理由Wootters、Zurek和Dieks在1982年证明，其核心结论是：

不可能存在一个物理过程能够精确复制任意未知的量子态。

这一原理意味着，如果窃听者试图在量子信道中截获并复制量子态，必然会对量子态造成扰动，从而被合法的通信双方检测到。正是这一物理本质赋予了QKD"理论上的无条件安全性"。

2.1.2 BB84协议：QKD的奠基之作

1984年，IBM的Charles Bennett和蒙特利尔大学的Gilles Brassard共同提出了第一个QKD协议——BB84协议，这是量子密码学领域的里程碑事件。BB84协议的核心思想如下：

4.量子态编码：将密钥信息编码在光子的四个量子态上，使用两组共轭基（水平-垂直基和斜向基）。

5.基矢随机选择：发送方和接收方随机选择测量基矢，双方只有在基矢匹配时才能正确获取密钥。

6.窃听检测：通过公开比对部分密钥（基矢选择），若误码率异常则表明存在窃听。

7.密钥提纯：通过纠错和隐私放大，从原始密钥中提取最终的安全密钥。

2.1.3 BB84协议量子态对照表

2.1.4 E91协议与纠缠分发

1991年，Artur Ekert提出了另一种QKD协议——E91协议，其核心思想是利用量子纠缠（Entanglement）特性。与BB84不同，E91协议需要纠缠光子对，通信双方各自持有纠缠光子中的一个。通过Bell不等式检验，可以证明是否存在窃听行为。E91协议的优势在于其安全性证明更加简洁，但实现难度更高。

2.2 QKD技术实现难点

2.2.1 传输距离限制

QKD系统面临的最大挑战之一是传输距离限制。光纤中的光子会因吸收和散射而衰减，标准单模光纤在1550nm波长的损耗约为0.2dB/km。这意味着：

•100km传输：损耗约20dB，99%的光子丢失，需要超高灵敏度的单光子探测器。

•200km传输：损耗约40dB，密钥生成速率急剧下降至几乎为零。

•目前商用QKD系统的典型传输距离为50-100km，最远实验记录约为500km（采用特殊光纤和低温技术）。

解决方案：量子中继器（Quantum Repeater）被业界寄予厚望。量子中继器利用纠缠交换和纠缠纯化技术，可以在不直接传输光子的情况下延伸量子信道。然而，实用化的量子中继器仍处于实验室研究阶段，预计2030年后才可能实现商业化。

2.2.2 密钥生成速率瓶颈

QKD系统的另一个核心挑战是密钥生成速率（Key Rate）。当前商用系统的典型密钥速率约为1-10 Kbps（远距离时更低），而5G网络等高带宽应用需要Gbps级别的密钥供应。密钥生成速率受限于：

•单光子源技术：理想单光子源难以实现，现有系统多使用弱相干光源，导致多光子脉冲比例增加。

•单光子探测器效率：雪崩光电二极管（APD）的探测效率约20-30%，且需要低温冷却。

•误码率与后处理开销：纠错和隐私放大过程会消耗大量原始密钥。

2.2.3 设备无关与半设备无关安全性

传统QKD的安全性证明假设设备是完美可信的，但实际设备存在各种非理想特性：

•光源侧信道攻击：如"时间侧门"攻击，窃听者可通过分析光子到达时间获取密钥信息。

•探测器欺骗：通过发送特定的光信号，诱使探测器产生错误的响应。

•相位随机性缺失：弱相干光源的相位不完美性可能导致密钥泄露。

设备无关QKD（DI-QKD）是一种更强的安全模型，它不依赖任何设备信任假设，但目前仍处于基础实验阶段，技术成熟度较低。

2.3 QKD发展趋势

2.3.1 量子城域网与量子保密通信网络

QKD技术正在从点对点系统向网络化方向发展。中国在这一领域处于国际领先地位：

•"京沪干线"：2017年建成的2000公里级量子保密通信骨干网，连接北京和上海，途经济南、合肥等城市。

•城市量子城域网：北京、上海、合肥、武汉等城市已建成城域量子保密通信网络。

•欧洲QKD网络：包括OpenQKD、Quantum Internet Alliance等项目，正在构建跨国的量子通信基础设施。

2.3.2 卫星量子通信

卫星量子通信是解决长距离传输问题的另一条技术路径。2016年，中国成功发射"墨子号"量子科学实验卫星，实现了：

•星地QKD实验：最远实现1200公里的量子密钥分发，刷新世界纪录。

•星地纠缠分发：在地面站与卫星之间建立纠缠连接。

•下一步目标：构建"量子卫星星座"，实现真正的全球化量子通信网络。

2.3.3 与经典网络融合

QKD网络需要与传统光通信网络共存。ITU-T已发布多个QKD网络国际标准（如Y.3800系列），定义了QKD网络的功能架构、密钥管理接口等。"QKD as a Service"（量子密钥即服务）模式正在兴起，运营商可提供量子密钥服务，客户通过API调用获取密钥，无需部署专用QKD设备。

第三章后量子密码学（PQC）技术详解

3.1 PQC技术原理

3.1.1 PQC的核心思想

后量子密码学（Post-Quantum Cryptography，PQC）的核心理念是：设计在经典计算机上运行的密码算法，这些算法依赖于数学难题，即使量子计算机也无法高效求解。PQC不需要量子硬件，可以在现有计算机系统上实现，是最具普适性的量子安全解决方案。

3.1.2 五大PQC算法家族

基于不同数学难题，PQC算法可分为五大主要家族：

3.1.3 格密码详解（以CRYSTALS-Kyber为例）

格密码（Lattice-based Cryptography）是目前最受关注的PQC分支，NIST标准化的三个算法中有两个属于格密码：

CRYSTALS-Kyber（密钥封装机制/KEM）：

安全性基于Module-LWE（模格上容错学习）问题。简单来说，给定形如b = As + e的方程组，其中A是公开矩阵，b是已知向量，s是秘密向量，e是噪声向量。在不知道s的情况下，无法区分b是真实的计算结果还是随机值。这种"单向性"构成了Kyber安全性的数学基础。

CRYSTALS-Dilithium（数字签名）：

同样基于Module-LWE问题，但签名过程涉及更多的代数运算。Dilithium的安全性证明严格，且实现效率高，已被NIST选为标准签名算法之一。

3.2 PQC技术实现难点

3.2.1 密钥与签名尺寸较大

与RSA和ECC相比，PQC算法的密钥和签名尺寸普遍较大，这带来了存储和传输开销：

橙色标注为PQC算法。可以看到，Kyber的公钥和Dilithium的签名都比传统算法大很多。对于物联网（IoT）等资源受限场景，这是显著的挑战。

3.2.2 侧信道攻击防护

PQC算法虽然在数学上抵御量子攻击，但仍然可能遭受侧信道攻击（Side-Channel Attack）：

•时序攻击：格密码的多项式乘法运算是主要耗时操作，攻击者通过测量执行时间可推断私钥。

•功耗分析：adget等工具可采集设备功耗曲线，通过统计方法恢复私钥。

•故障注入：在运算过程中引入故障，可能导致私钥信息泄露。

应对策略：采用恒定时间实现、功耗平衡、故障检测等技术，但会增加实现复杂度和性能开销。

3.2.3 算法安全性验证

PQC算法的安全性依赖于特定数学难题的困难性假设。与RSA基于"大整数分解"这一经典难题不同，格密码基于的LWE问题虽然被认为量子-resistant，但缺乏与RSA同等的长期安全验证。更重要的是，2022年的一项研究对SIKE算法造成了致命打击——研究者使用经典计算机在约1小时的计算时间内就破解了该算法，这提醒我们PQC算法的安全性仍需持续审视。

3.3 PQC发展趋势

3.3.1 NIST标准化进程

2016年，NIST启动PQC标准化项目，经过多轮评估，于2022年发布首批标准：

8.CRYSTALS-Kyber（ML-KEM）：用于密钥封装，现已被批准为FIPS 203。

9.CRYSTALS-Dilithium（ML-DSS）：用于数字签名，现已被批准为FIPS 204。

10.SPHINCS+：基于哈希的签名算法，作为备选标准被批准为FIPS 205。

11.FALCON：基于格的FFT算法签名，计划在后续轮次标准化。

3.3.2 混合密码体制

考虑到PQC算法的相对不成熟和传统算法的潜在风险，业界普遍采用"混合密码体制"作为过渡方案：将PQC算法与传统算法（如ECDH、RSA）组合使用，即使其中一个被攻破，整体仍保持安全。Google、Cloudflare等已在其TLS实现中部署了X25519Kyber768混合密钥交换。

3.3.3 开源实现与迁移工具

为加速PQC部署，多个开源库提供了PQC算法实现：liboqs（Open Quantum Safe项目）提供C语言实现并与OpenSSL集成；pqclean项目提供便携式C实现；AWS、Google等云服务商已开始提供PQC加密服务。密码系统迁移工具也在快速发展，帮助企业将现有系统平滑升级到PQC。

第四章量子随机数生成器（QRNG）技术详解

4.1 QRNG技术原理

4.1.1 随机数在密码学中的重要性

随机数是密码学的"命脉"。密钥生成、IV向量、盐值、挑战数等密码学操作都依赖高质量的随机数。如果随机数不随机或可预测，整个密码系统的安全性将荡然无存。历史上已有多起因随机数生成器缺陷导致的安全事件：

•2012年索尼PS3签名漏洞：ECDSA签名算法中随机数重用导致私钥泄露。

•2017年RSA证书弱点：部分TLS证书使用可预测的随机数因子。

•比特币钱包盗窃：弱随机数导致多个比特币钱包的私钥被破解。

4.1.2 经典随机数与量子随机数的本质区别

随机数生成器分为两类：

伪随机数生成器（PRNG）：基于确定性算法，从种子开始生成看似随机的数列。理论上，只要知道算法和种子，就可以预测所有"随机"数。

真随机数生成器（TRNG）：基于物理熵源（如热噪声、时钟抖动）产生不可预测的随机数。虽然熵源不可预测，但采集和处理过程可能引入偏差和相关性。

量子随机数生成器（QRNG）属于TRNG的范畴，但其独特之处在于随机性来源于量子力学本质——量子态的测量结果是本质随机的，不受任何隐变量决定。

4.1.3 QRNG工作原理

QRNG有多种实现方案，以下是三种主流技术：

1. 单光子路径随机性

利用单光子通过50:50分束器的行为。当单光子遇到分束器时，有50%概率透射、50%概率反射，测量光子最终从哪个出口出来产生随机比特。

2. 真空涨落（零拍检测）

量子真空不是"空"的，而是存在量子涨落。通过零拍检测（Homodyne Detection）测量真空涨落的正交分量，测量结果是随机的。这是目前商业QRNG最常用的方案。

3. 放射性衰变

利用原子核衰变的精确时间不可预测性产生随机数。熵源坚实，但需要放射性材料和特殊检测设备，应用范围受限。

4.2 QRNG技术实现难点

4.2.1 量子态测量效率与偏差校正

实际量子器件并非完美，分束器可能不是精确的50:50，探测器效率可能存在波动。这些非理想特性会导致输出比特分布偏离均匀，产生偏差（bias）。后处理电路需要通过：

•Von Neumann校正：将连续比特对成对处理，丢弃"00"和"11"，将"01"映射为0、"10"映射为1。

•哈希函数Whitening：使用哈希函数将原始熵源数据"漂白"为均匀分布。

•隐私放大：在知道窃听者能力的情况下，从原始数据中提取安全随机数。

4.2.2 随机性验证与认证

如何证明一个随机数生成器产生的比特是真正随机的？这是QRNG面临的核心挑战之一。传统统计测试（如NIST SP 800-22）只能排除某些可检测的非随机性模式，无法从物理层面证明量子随机性。

量子随机性验证方法包括：基于Bell不等式的设备无关认证，可以排除任何经典或隐变量解释，但实现复杂；基于真纠缠的源头认证，可以验证随机性来自量子过程；基于压缩态测量的半设备无关认证，平衡安全性和实现难度。

4.2.3 设备小型化与成本控制

早期QRNG设备体积庞大、成本高昂，主要用于科研和高端安全场景。近年来，基于光电集成技术的QRNG芯片取得突破：

•ID Quantique（瑞士）：推出USB接口的QRNG设备，尺寸约U盘大小。

•Quantum Motion（英国）：开发CMOS兼容的硅基QRNG芯片。

•中国科技大学：实现芯片级集成QRNG，速率达Gbps级别。

4.3 QRNG发展趋势

4.3.1 与密码系统深度集成

QRNG正从独立设备向嵌入式模块发展，直接集成到安全芯片、TPM（可信平台模块）和HSM（硬件安全模块）中。主流操作系统也开始原生支持QRNG：Apple在iPhone和Mac的Secure Enclave中集成了QRNG芯片；Linux内核已支持获取量子随机数。

4.3.2 QRNG即服务（QRNGaaS）

云计算时代催生了"随机数即服务"的商业模式。云服务商可部署高安全性QRNG设备，通过安全API为租户提供量子随机数。应用场景包括：区块链交易签名、密码密钥生成、博彩与游戏、医疗试验随机分组等。

4.3.3 量子-经典混合熵源

纯QRNG可能存在设备故障或被篡改的风险。业界开始采用"量子-经典混合"策略：同时采集量子熵源和经典熵源（如系统噪声、用户输入行为），通过混合函数融合。即使一方被攻破，整体安全性不受影响。这种方案兼具量子安全性和工程可靠性。

第五章三类技术对比与融合应用

5.1 技术特性对比

5.2 融合应用场景

三种技术并非相互排斥，而是可以形成互补的"量子安全"生态：

•金融系统：使用QRNG生成高质量密钥，PQC保护交易通信，QKD用于数据中心间的专线传输。

•政务网络：核心机密通信采用QKD+QRNG组合，普通业务系统采用PQC升级。

•物联网：轻量级PQC算法用于资源受限设备，QRNG芯片集成到安全芯片中。

5.3 实用记忆口诀

为方便读者记忆，这里总结一个口诀：

QKD保"专线"，PQC护"全网"，

QRNG供"种子"，三者合一最安

解读：QKD适合高安全的专线/城域网；PQC适合保护整个互联网通信；QRNG提供不可预测的随机种子。三者结合，安全性最强。

第六章总结与未来展望

6.1 核心要点回顾

1. QKD（量子密钥分发）

基于量子不可克隆定理，提供理论上的无条件安全密钥分发。局限在于传输距离受限、设备成本较高。当前正从点对点向网络化、卫星化发展。

2. PQC（后量子密码学）

设计基于数学难题的新型密码算法，无需量子硬件即可抵御量子攻击。NIST已发布CRYSTALS-Kyber、CRYSTALS-Dilithium等标准。挑战在于密钥尺寸较大，需要混合部署过渡。

3. QRNG（量子随机数生成器）

利用量子过程产生真正不可预测的随机数，为密码系统提供坚实熵源。技术走向芯片化、集成化，与密码系统深度融合是趋势。

6.2 技术发展路线图

6.3 对企业和机构的行动建议

面对量子威胁，企业和机构应采取"现在就行动"的策略，分阶段推进量子安全部署：

12.盘点资产（立即）：识别使用RSA/ECC的系统和数据生命周期，评估"现在就收获，以后解密"（Harvest Now, Decrypt Later）风险。

13.启动PQC升级（1-2年）：对TLS、SSH、VPN等关键系统启用PQC混合模式。关注NIST标准算法，选择成熟开源实现。

14.部署QRNG（1-3年）：在高安全场景部署量子随机数，在密码模块中集成QRNG。

15.评估QKD（2-5年）：对政府、金融等高安全行业，评估QKD用于专线和城域网的可能性。

16.持续监控（长期）：跟踪量子计算进展、密码分析新发现、技术标准演进，持续优化安全策略。

参考文献

[1] Bennett C H, Brassard G. Quantum cryptography: Public key distribution and coin tossing[C]//Proceedings of IEEE International Conference on Computers, Systems and Signal Processing. Bangalore: IEEE, 1984: 175-179.

[2] Ekert A K. Quantum cryptography based on Bell's theorem[J]. Physical Review Letters, 1991, 67(6): 661-663.

[3] Wootters W K, Zurek W H. A single quantum cannot be cloned[J]. Nature, 1982, 299(5886): 802-803.

[4] Shor P W. Algorithms for quantum computation: Discrete logarithms and factoring[C]//Proceedings of the 35th Annual Symposium on Foundations of Computer Science. Washington: IEEE, 1994: 124-134.

[5] NIST. Post-Quantum Cryptography: Selected Algorithms 2022[EB/OL]. https://csrc.nist.gov/projects/post-quantum-cryptography/post-quantum-cryptography-standardization/selected-algorithms-2022.

[6] Alagic G, et al. Status Report on the Third Round of the NIST Post-Quantum Cryptography Standardization Process[R]. NISTIR 8413, 2022.

[7] Peev M, et al. The SECOQC quantum key distribution network in Vienna[J]. New Journal of Physics, 2009, 11(7): 075001.

[8] Liao S K, et al. Satellite-to-ground quantum key distribution[J]. Nature, 2017, 549(7670): 43-47.

[9] Eisenbrand F. Integer Programming and Algorithmic Geometry of Numbers[M]//2019.

[10] Lyu C, et al. Breaking Rainbow Takes One Minute on a Laptop[C]//International Conference on the Theory and Application of Cryptology and Information Security. Springer, 2022.

[11] Herrero-Collantes M, Garcia-Escartin J C. Quantum random number generators[J]. Reviews of Modern Physics, 2017, 89(1): 015004.

[12] Ma X, et al. Postprocessing of quantum random number generator[J]. Physical Review A, 2005, 72(1): 012316.

[13] Mosca M. Cybersecurity in an era with quantum computers: Will we be ready?[J]. IEEE Security & Privacy, 2018, 16(5): 38-41.

[14] 中国信息通信研究院. 量子信息技术发展与应用研究报告（2024年）[R]. 北京, 2024.

[15] ID Quantique. Quantum-Safe Security Solutions[EB/OL]. https://www.idquantique.com.