新年将至、辞旧迎新之际，回顾2022年的量子世界确实可以说是精彩纷呈，量子安全，包括量子密钥分发（QKD）和后量子密码（PQC）、量子安全攻防、量子密码应用等多个细分领域，已然形成量子信息科技的一个重要发展方向，凸显出既综合性强又有相对独立性的前进脉络。

本系列的前两期，我们在孙林红老师的指导下，探讨了密码安全和量子计算对安全的深刻挑战，这期我们就一起回顾2022年量子安全领域发展的主要动向。

量子攻击威胁迫近

量子安全需求迫切

量子信息近年来一直是发展热点，其中量子计算的发展在信息安全领域催生了量子攻击，并愈来愈形成现实威胁。

量子计算业界力图通过规模增加和高效量子纠错改变量子比特数少、噪声影响大的不足并尽早实现通用化量子计算，原子、固态等各类量子计算体系均有较大进展。

2022年1月公布的研究结果显示，多国研究者实现了硅基量子计算的双量子比特门线路保真度达99%以上，有助于大规模硅基量子处理器的量产和应用。

3月，美国芝加哥大学在实验室实现了512个中性原子量子比特。

7月，谷歌公司基于表面码（surface code）方案的量子纠错研究成果，实现了量子计算机错误率随着比特数增加而降低，证明超导量子比特系统的性能足以克服增加量子比特数量带来的额外错误。

11月，IBM公司推出433个量子比特的超导Osprey芯片，年底还宣布其超过1000个量子比特的通用量子计算机Condor即将于2023年推出。

我国继2021年在光量子（“九章”）和超导（“祖冲之”）两条技术路线均达成量子优越性后，2022年11月，展示了121比特的超导量子处理器，同月还基于离散变量编码的逻辑量子比特突破了量子纠错的盈亏平衡点，显示了硬件有效的离散变量量子纠错码的应用潜力。

2022年，随着量子计算发展加速和NIST发布PQC标准化阶段性成果等因素影响，国外量子安全相关政策和规划展望报告频繁发布。

美国总统拜登12月签署了《量子计算网络安全防范法案》^[1]，以法律形式推进美国应对量子攻击的各种准备。

据称^[2]，法国将向量子通信领域投资3.2亿欧元，向抗量子密码领域投入1.5亿欧元用于改进其关键信息基础设施应对量子攻击。

2022年内，NIST、MIT等国外信息安全管理部门和研究机构都公开发布了预警量子攻击威胁及向量子安全迁移路线图等相关主题的技术报告，主要情况汇总如下表所示。

PQC发展现状

01

PQC标准制定“紧锣密鼓”

PQC的典型代表是NIST公钥密码算法征集入选的各类算法。

2022年7月，NIST公布^[3]了其后量子密码标准化项目第三轮筛选的结果：CRYSTALS-Kyber、CRYSTALS-Dilithium、Falcon、SPHINCS+被选中并成为标准化算法；同时，NIST也提出了四种额外的算法——BIKE、Classic McEliece、HQC、SIKE，将进一步探讨是否将其标准化，希望其中一种或多种算法也可以成为后量子时代合适的替代加密方案。

PQC标准推进工作受到密码行业、量子安全行业乃至整个信息行业的广泛关注。

随着量子计算比特规模和调控能力的不断提升，量子攻击现实可能性不断增加，替换现用公钥算法已经成为共识，及早推出标准才能加速迁移过程。

在此外部压力的影响下，NIST的动作既“紧锣密鼓”，又显得“小心翼翼”，既有“外忧”，亦有“内患”。

NIST本计划在2022年就发布PQC的初始标准，现在看来进展情况有所延后，原计划要在年底召开的相关会议未见报道，第四轮筛选进程和结果还处于未知状态。

短短几年时间内要推出能有效抵御量子和经典攻击又适用性强的公钥算法并非易事，且目前针对PQC算法发布的各类攻击成果也可能会对标准的发布造成影响：2022年已经有多个PQC算法被传统方法破解的案例，如基于多变量密码（MQ）的Rainbow算法和基于格的LWE算法分别被经典算法成功攻击。

据NIST专家Dustin Moody表示，基于超奇异椭圆曲线的SIKE算法在第四轮中“不太可能”存活下来，但目前还没有计划在第四轮中增加新的加密候选者来取代它。

而基于格的PQC算法抗量子攻击能力近期也受到一些研究者的质疑。

02

PQC产品有限，还处于试水期

由于还缺乏公众认可和权威部门政策包括标准化等方面的支撑，PQC产品推进尚显乏力，2022年主要表现为面向商用市场推出了一些应用范围有限的、多用于端到端安全加密的试水性质产品。

7月，我国一芯片公司宣称成功研制了PQC算法密码芯片，该芯片支持PQC算法CRYSTALS-KYBER和CRYSTALS-Dilithium，可用于验证PQC算法在商用平台上的实现可行性。

12月，美国安全公司Castle Shield推出了基于PQC算法软件实现的端到端的安全加密产品，使用PQC算法Kyber1024保护数据和音频/视频通信传输^[4]。

谷歌公司也在2022年宣布在其用于内部安全通信的端到端身份验证和加密传输的应用层传输安全（ALTS）定制协议中，通过与传统算法混合使用的方式部署了PQC算法NTRU-HRSS。

量子通信技术

发展和工程推进

01

量子通信技术研发“登峰拓路”

2022年，量子通信的各种技术路线齐头并进，又创造了若干新的记录。

2月，我国科研团队基于改进的四相位调制双场协议，实现了目前实验室内最远的光纤QKD试验系统，安全传输距离超过830公里。

4月，我国科研团队在“墨子号”卫星和相距1200公里两个地面站之间实现远程量子态传输（Quantum State Transfer）实验，向构建全球化量子信息处理和量子通信网络迈出重要一步。

5月，我国科研团队基于融合量子密钥分发和光纤振动传感的实验系统，在完成双场量子密钥分发（TF-QKD）的同时，实现了658公里远距离光纤传感。表明TF-QKD网络架构可用于未来实现广域量子通信网和光纤传感网的融合。

7月，我国科研团队通过发展设备无关理论协议和构建高效率的光学量子纠缠系统，实现了如下图所示的设备无关量子密钥分发（DI-QKD）的原理性演示，在关闭设备安全漏洞、发展安全的密钥分发，构建未来量子网络方面具有重要意义。

8月，我国科研团队利用“天宫2号”空间站完成的紧凑载荷、中等倾角轨道的星-地QKD实验成果发表。它在更大的轨道倾角实现了卫星多次过境时都可以与地面定点进行QKD，也证明了构建“量子星座”的可行性。

10月，奥地利研究者成功在奥地利到斯洛伐克248公里的跨国电信光纤中直接分发偏振纠缠的光子对，这是迄今为止基于真实世界光纤的纠缠分发的最长距离^[5]。

12月，我国科研团队在300多公里光纤连接的两个独立的量子点(Quantum Dot)之间实现了高可见度的量子干涉^[6]，迈出了实现长距离固态量子网络的关键一步。

02

QKD网络建设“上天入海”——目标走向安全的量子互联网

欧洲量子旗舰计划官网宣称，到2026年欧洲将推进部署多个城域QKD网络、具有可信节点的大规模QKD网络、实现基于欧洲供应链的QKD制造，在电信公司销售QKD服务等，逐步实现区域、国家、欧洲范围和基于卫星的量子保密通信网络部署。长期目标是开发全欧洲范围的量子网络。

欧盟主持下多国参与的欧洲量子通信基础设施（EuroQCI）计划于2023年至2027年展开运行，在多国联合研制其关键技术和器件的基础上，据称已经开发出适用的卫星，计划于2024年发射低轨量子通信卫星星座，并支持基于卫星的QKD网络的高通量需求。

2022年5月，据报道^[7]美国空军与量子公司Qubitekk联合开发了基于无人机的移动量子网络以在自由空间传输量子安全的信息（无独有偶，我国也已经研发成功量子通信无人机）。6月，在芝加哥建成美国目前最长的200公里QKD网络8。

北约已组织开发出适用于海底光缆线路的QKD设备并用于马耳他到意大利西西里岛的约百公里海底光缆QKD线路^[9]。

2022年底俄罗斯宣称将投资6900万美元建设量子通信网络，预计到2024年量子通信线路长度将增加到7000公里。

一些中小国家也已经启动了各自的量子网络建设项目，如爱尔兰启动耗资1000万欧元的IrelandQCI项目^[10]，该项目是上述EuroQCI计划的一部分，由爱尔兰政府和欧盟共同投入，被称为“在爱尔兰建立量子互联网的第一步”。

在我国，“量子信息”被写入党的二十大报告，中共中央、国务院近期印发的《扩大内需战略规划纲要（2022－2035年）》中也要求“以需求为导向，增强国家广域量子保密通信骨干网络服务能力”。

2022年7月，量子微纳卫星“济南一号”成功发射。对应配合的量子卫星地面通信系统实现了小型化、轻量化和快速部署，成码率也进一步提升，还实现了在车载、机载等场景下的“移动中通信”能力，巩固了我国在天地一体化量子保密通信网络方面的技术优势。

8月，目前我国规模最大、用户最多、应用最全的量子保密通信城域网“合肥城域网”正式开通，含8个核心节点和159个接入节点，光纤全长1147公里，为合肥市、区两级党政机关提供量子安全接入服务和数据传输加密服务，全面提升电子政务安全防护水平。

03

应用探索——量子安全已深入影响各行各业

全球范围内，量子安全技术的影响范围、应用领域日益深入。

2022年11月，据报道^[11]通信运营商EPB和量子技术公司Qubitekk联合推出了美国第一个以行业应用为导向、面向政府各部门、大学和私营公司用户的商用量子网络。

思科公司正在研究可在未来支持QKD的经典通信和量子通信的融合网络基础设施，“在数据中心、物联网、自主系统和6G中采用QKD”。

在伦敦，英国电信（BT）联合东芝公司宣布，正式启动英国首个商用量子安全城域网实验测试，安永会计师事务所作为首个客户参与了该实验。

在鹿特丹港，荷兰两家公司联合部署了一个包含港务局中心节点和多个用户节点的QKD网络，使用QKD技术保护港口内部通信系统12。

军事领域，据称^[13]北约同时在开展QKD和PQC方向的信息加密项目研发，研究如何将QKD和PQC集成，以期能够以最佳和最全面的方式保护信息基础设施。

在国内，量子科技企业联合电信运营商发布了应用量子安全技术的VoLTE加密通信产品“天翼量子高清密话”，以及实际用于冬残奥会通信保障的基于量子安全密钥的双模对讲机、保护燃气数据通信安全的量子安全智能燃气表等产品，还共同发布了“OTN融量子加密专线”，在现网试点了OTN设备使用QKD提供量子密钥进行专线L1层业务的加密应用。

其它行业联动还包括探索采用量子安全技术确保智能汽车网络安全等。

量子安全解决方案

应往何处去

量子安全是大事也是难事，国外有密码管理机构认为量子安全的密码迁移方案应在十年内完成（恰好和很多研究者认为通用量子计算实现的时间相当）。

如何才能构建一个系统性的量子安全技术体系仍是一个开放性的问题，但各方对于PQC和QKD技术的认识日趋平衡，前些年欧美一些安全组织对QKD技术体系的局限性和技术发展面临的挑战提出了质疑性观点，而随着QKD的技术进步，质疑有所减弱。

近来，随着PQC的推进加速，更多的研究力量投入到其研究和分析中，PQC目前算法的不足也被指出，如2022年底思科高管曾发声表示^[14]不清楚某些PQC是否会在未来被攻破而成为暂时的权宜之计，而是更看好QKD具有的通过安全信道分发密钥的能力。

当前，适用的量子安全解决方案的讨论仍然不足，原因恐怕还是唯其“难”，唯其“大”，受技术发展、政策限制、攻防“不透明”等各种复杂因素影响很深。在此倡议人们以开放的眼光、发展的眼光和辩证的眼光看问题。

近年来采用“量子+经典”融合的技术路线已经证明了其安全性、有效性和经济性（量子计算和量子网络本身也都是“量子+经典”的产物）。

欧洲量子旗舰计划也认为，尽管PQC和QKD原理和成熟度不同，两者是有各自不足及能够互补的优势的，近期和未来两者在量子安全领域是共存共用的，并规划在2023-2026年要部署融合PQC和QKD的安全解决方案^[15]。

目前技术条件下，这种混合模式的量子安全信息体系在密码防护方面既有经典密码乃至安全特性超前经典密码一些（如PQC）手段的安全防护，又同时设置了基于物理手段、基于量子密码手段的数学算法之外的如QKD安全防护手段，且不能是简单叠加，而是基于信息安全理论的体系结构层面的有机组合，相当于同时加了基于数学和物理的两道“锁”，增加了敌手破解难度、延长了破解时间长度。

从具体组合实现形式上，以QKD技术作为作为基于物理安全手段的密钥管理基础设施和用户侧密钥分发功能组件；

结合传统中心化为主和适配具体应用场景的密钥管理为用户配置量子密钥；

再结合安全的密码算法和协议（如PQC和基于PQC的密码应用协议），有望形成较完善的加密通信安全解决方案。

从达成的安全目标上，混合应用则是为安全保密系统增强其独立性与隔离性的安全特性，具体体现为：

QKD手段本身是抗量子攻击的，保证了密钥管理这一重要环节与密码应用之间的独立性，敌手无法“一损俱损”；

而用这一物理方法产生的各量子密钥之间，无法找到关联性（例如传统用算法方式派生密钥，敌手找到这一关联性则容易得多），将这种方式生成的数量足够的密钥分别用于不同用途，就能达成不同用途密钥之间很强的独立性。

从组成模式和应用算法上，则因应用场景与需求而异，必然呈现多种多样：

对行业用户来说，可能量子密码部分是以租用基础设施和量子网络服务的形式呈现，而基于PQC的密码软硬件设备则面向终端；

对较小规模和较小范内围用户存储加密保护场景来说，有QKD提供的量子密钥再配合对称密码算法和杂凑算法即可满足需求；

对大规模用户安全认证场景来说，可基于QKD网络形成的密钥分发基础设施为用户分发大量对称密钥，再经PQC（例如可使用其中的MSS算法）的处理形成用户身份证书，即可满足用户间完成双向认证、存储加密等安全需求。

当然，对于如何将QKD提供的新型密钥基础设施有效的与信息系统融合还有很多问题需要面对，而到底应该使用哪种PQC算法，目前的标准化和攻防现状也使我们还处在纠结中。

总结

近年来，量子安全以事实证明它不仅是量子信息行业，而且也是信息安全行业的研究热点和投入重点。它受到了社会各界的广泛关注，各国在国家层面也是动作频出，各显其能，竞争态势凸显，既然我们已经进入了量子安全时代，如何规划好行动路线图，走好自己的路，就显得尤其重要。

我们的回顾系列，就此告一段落。未来已来，期待在量子安全道路上与各位朋友继续共同交流探讨！

参考材料：

[1]https://www.congress.gov/bill/117th-congress/house-bill/7535/text

[2]https://www.thenews.com.pk/latest/1016119-france-tests-post-quantum-encryption-for-diplomatic-messages

[3]https://doi.org/10.6028/NIST.IR.8413-upd1

[4]https://www.businesswire.com/news/home/20221215005521/en/Castle-Shield-Holdings-LLC-Adds-Post-Quantum-Cryptography-PQC-Support-to-Its-Typhos%C2%AE-Communications-App-for-AudioVideo-Calls

[5]https://www.nature.com/articles/s41467-022-33919-0

[6]https://www.spiedigitallibrary.org/journals/advanced-photonics/volume-4/issue-06/066003/Quantum-interference-with-independent-single-photon-sources-over-300km-fiber/10.1117/1.AP.4.6.066003.full?SSO=1

[7]https://www.fau.edu/newsdesk/articles/quantum-drone-security.php

[8]https://chicagoquantum.org/news/chicago-expands-and-activates-quantum-network-taking-steps-toward-secure-quantum-internet

[9]https://www.nato.int/nato_static_fl2014/assets/pdf/2021/11/15-sps-G5485/0864-21-V3-SPS_Flyer_G5485.pdf

[10]https://www.siliconrepublic.com/innovation/quantum-tech-communications-ireland-eu-irelandqci-project

[11]https://qubitekk.com/news/epb-and-qubitekk-launch-commercial-quantum-network/

[12]https://qutech.nl/2022/10/03/untappable-internet-for-port-of-rotterdam-offered-by-quantum-technology/?cn-reloaded=1&cn-reloaded=1

[13]https://www.nato.int/cps/en/natohq/news_207634.htm

[14]https://www.sdxcentral.com/articles/interview/cisco-bets-on-quantum-key-distribution/2022/12/

[15]https://qt.eu//app/uploads/2022/11/Quantum-Flagship_SRIA_2022.pdf