前面我们说过，对称加密要用掉大量的密钥，而非对称加密不需要用那么多了，少一点也可以。但无论需要的密钥多或少，都需要分发。现在的问题是：找不到一个办法能在公开的信道上来安全地传送密钥呀！我们现在只好先交换好密钥再通信，例如，银行发给我们用来网上交易的U盾。

量子密钥分发说：分发难，你就不能换个思路？我就可以通过双方交换一些暗语，靠猜就能确定出共同的密钥。

那么用什么暗语就不怕别人窃听和破解了？人家用的是量子态。量子态（比如说单光子的偏振态）具有不可分割、不可克隆、一碰就死的秉性，这就彻底废掉了窃听者的所有武功。如果王五要窃听，由于量子态不可分割、不可复制，他就只能靠测量，而量子态一测量就变态，导致李四告诉张三她测量出的光子状态往往不准确。张三一看，错误率咋比约定的50%还高呢？有问题！我先下线了（科学网上对量子密码分发有充足的讨论，请大家自行补脑）。

图24 BB84量子密钥分发协议示意图

其实，最先想到用量子态保障信息安全的是威斯纳，1969年，还是哥伦比亚大学的硕士研究生的威斯纳想出了一种钞票防伪技术——“量子钞票”(Quantum Money)，用“印”在钞票上的20个光子作为防伪标识，他人要仿照真钞做假钞，就要先测量光子的防伪标识。但在量子世界里，任何测量均会干扰光子态，导致“测不准”。但是，快50年过去了，威斯纳的想法还只是想法。

图25 斯蒂芬•威斯纳（StephenWiesner）及其设想的“量子钞票”

威斯纳的大学同学贝内特知道了威斯纳的量子钞票梦想，贝内特也苦思冥想了10年，直到遇见了刚毕业的康奈尔大学布拉萨德博士。这两个“B”经过5年讨论后，于1984年提出了“BB84协议”。为什么叫协议？就是协议出密钥来。

图26 查理斯•贝内特（Charles Bennett）和吉勒•布拉萨德（GillesBrassard）      

国内外的一些物理学家非常喜欢这种基于物理定律来协商密钥的方法，其中我国发表的文章最好，示范工程也最大。如：2016年8月16日，发射了“墨子号”量子科学实验卫星，2017年3月10日，“京沪干线”量子保密通信示范线路开始运营调试。

图27 墨子号“量子科学实验卫星”

但是，量子密钥分发并没有把一些密钥分发出去，而是通过用一些暗语来协商出密钥，然后再用这些密钥在传统的通信线路内对信息加密。加密的办法不外乎是前面介绍的对称加密形式。

正如“信息不对称条件下资金零和博弈”就是打麻将一样，量子密钥分发（或者有人称之为量子保密通信）实质是一种“具有窃听预警及自中断功能的用量子态协商密钥的方法”。目前，量子密钥分发还没有做到量子通信那一步。

量子密钥分发有些招人非议的漏洞。

一是太娇气。上海大学的曹教授就认为：人家传统的密码体系玩的是智力，你随便窃听，只要你的智力（或能力）不足，你就破解不了；但你量子密钥分发玩的是娇气，一旦发觉敌方的入侵行为，你干脆自己也不通信了。可是，可是，要是世界上没有了敌人，我还加什么鸟密？

二是单光子太虚弱。就是用损耗最低的光纤，你从北京发射一亿个光子，我在太原只能接收到1个光子，其他的都损耗了。潘院士也说：“即使存在超出目前技术水平的10G的理想单光子源和100%的理想单光子探测器，在1000公里光纤中进行点对点量子通信，每300年也只能传输一个比特”。天哪，你密钥协商的这么慢，怎么能够及时更换密钥呢？更别说一次一密要求密钥的长度不短于待加密信息的长度。这也就是为什么量子密钥分发先在空气中做实验嫌损耗大，又在光纤中做实验也嫌损耗大，现在再搬到天上进行实验的原因。

三是，没有三了，我这篇文章的目的不是来黑量子密钥分发的。

当然，正因为量子密钥分发还存在一些待解决的关键问题，所以才应该继续经费投入，推动其从实验走向应用。

那么，有没有一种快速的保密通信方式呢？

以色列特拉维夫大学的Jacob Scheuer提出用长光纤激光器的两个端面反射镜参数做密钥，但许多密码专家认为用激光器的腔镜做密钥，too simple。

1990年，美国海军实验室的佩克拉（Louis M. Pecora）和卡罗尔（Thomas L. Carroll）发现了相同的混沌电路间存在着混沌同步现象。利用混沌同步，可以实现一种新的保密通信。

                图28 Louis M. Pecora与作者                                          图29 Thomas L. Carroll，左

先说什么是同步。同步其实是一种普遍的物理现象，据说早在300多年前惠更斯就观察到教堂里两个大吊钟的单摆存在步伐一致的同步现象。图28演示了几个节拍器实现的同步现象（他们原来可不同）。

图30 节拍器的同步

再说什么是混沌。数学家说混沌是确定性动力学系统对初值敏感而表现出的不可预测的、类似随机性的现象。麻省理工的洛伦茨教授在研究天气预报模型时发现，如果初始条件改变一点点，也会导致完全不一样的结果，或者说，结果将进入混沌的状态。这样，长期的天气、地震等预测都不会准确。人们对混沌最常用的一句话就是：如果一只蝴蝶在北京煽动了几下翅膀，若干时间后可能引发德克萨斯州的一场龙卷风。当然，你可要随意变换上一句的地名。

图31 爱德华·诺顿·洛伦茨（Edward Norton Lorenz,1917.5.23－2008.4.16）

美国海军实验室的佩克拉和卡罗尔当时用的是模拟混沌电路，产生混沌信号的带宽不够，也无法与现在的光通信直接兼容。1997年，当时还在佐治亚理工的Rajarshi Roy用混沌激光器之间的同步，实现了用混沌光信号（载波）对信息的隐藏，从此开辟了混沌（光）保密通信的一个新的研究方向。

图32 站立者为Rajarshi Roy

混沌保密通信实现的基础是同步。当两个激光器（也就是现代光通信中的接收器和发射器）结构参数相同时，尽管距离很远，也可以在弱信号耦合下实现混沌同步。这样两个激光器就输出完全相同的信号。如图31所示，待加密的信号被隐藏在混沌信号（载波）中，接收器接收到的信号是“混沌载波+信息”，而其产生的信号是与混沌载波相同的同步信号，二者相减，即可解密出被隐藏的信息。

那么，窃听者能否解密呢？很难！因为要实现混沌同步必须要用结构参数一致的激光器，你用不同的激光器是实现不了同步的。这样，混沌保密通信就是一种基于硬件加密的保密方式。是不是又与二战德国“迷”密码机的加密原理类似了？

图33 高速混沌激光保密通信原理图

那么，混沌激光保密通信有啥优点呢：

（1）它是硬件加密。用收、发激光器的结构参数作为密钥，避免了算法加密的安全隐患；

（2）它加解密的速度很快，因为它靠的是激光器的响应速度；

 （3）它靠激光器输出的混沌波形来隐藏信息，而不再是单光子，传输距离长。

（4）它与现行的光纤通信系统兼容，可便利地移植现有光纤通信技术中放大、波分复用等所有技术。

2005年，欧盟在第五届科技框架计划OCCULT项目的资助下，德、法、英等七国研究者在雅典城120km的城域网中在的速率下实现了通信速率1Gb/s的混沌激光保密通信。2010年，欧盟第六届科技框架计划PICASSO项目完成了外腔反馈混沌半导体激光器的光子集成，并在法国贝桑松100km的城域网中完成了10Gb/s的混沌保密通信实验。

图34 希腊雅典城：120km城域网混沌激光保密通信现场试验

图35  混沌光通信实验结果：（a）发送的原始图像，（b）窃听者收到的图像，（c）合法接收者收到的图像

但是，混沌保密光通信也存在以下问题，如：

（1）系统的安全性与鲁棒性之间的矛盾。要产生混沌同步，就要用结构参数完全相同的硬件，可是从哪里能找到完全一样的两个激光器呢？不是说“人不可能两次踏进同一个河流吗”？可是，但是，在现实的实验中，人们用结构参数接近的两个激光器也实现了混沌保密通信，那么，究竟差多少，就能够保密还不被破解呢？

（2）激光器的密钥空间太小。保密通信的核心是能够及时更换密钥，你用激光器的结构和工作参数做密钥，而这些参数就那么几个，如腔长、波长、载流子寿命、工作电流、反馈腔参量。还记得“谜”密码机是如何被破解的吗？敌人一个一个试，早晚应该能试出来吧？

（3）网络怎么构建？你点对点的验证性试验是成功了，但保密通信网络又如何实现呢？

写到这里，你就会发现：怎么就没有一种让人放心的保密通信技术？你们这么多专家是干什么吃的？！

没关系，量子力学的创始人普朗克（Max Planck）说：“科学就是在一次一次的葬礼中进步的”——在林俊宏翻译的以色列 Yuval Noah Harari著的《未来简史》是这样写的。

    我手上没有Harari的原著，无法考证。但在网上找到普朗克说的原话却是：“一个新科学的建立并不是通过说服反对者们信服并领悟，而是等到这些反对者们统统死光，新一代熟悉它的人成长起来。”（A new scientific truth does not triumph by convincing its opponents and makingthem see the light, but rather because its opponents eventually die, and a newgeneration grows up that is familiar with it.）

   你相信那句话？