纠缠交换技术实现了量子密码学的实际安全性 姜阳帆（Yang-Fan Jiang）， 黄亮（Liang Huang）， 张宇哲（Yu-Zhe Zhang）， 张立康（Likang Zhang）， 孙启超（Qi-Chao Sun）， 李正平（Zheng-Ping Li）， 李浩（Hao Li）， 张伟军（Weijun Zhang）， 游立兴（Lixing You）， 潘建伟（Jian-Wei Pan） + 还有2位作者

《Entropy》：Entanglement Swapping Enables the Practical Security of Quantum Cryptography Yang-Fan Jiang, Liang Huang, Yu-Zhe Zhang, Likang Zhang, Qi-Chao Sun, Zheng-Ping Li, Hao Li, Weijun Zhang, Lixing You and Jian-Wei Pan + 2 authors

　　摘要：纠缠是量子物理学中最引人注目的现象之一，在基础物理和量子信息科学中扮演着重要角色。它提供了一种安全的通信方式——量子密码学，并为其无条件安全性奠定了基础。基于纠缠的量子密码学从早期演示到最近的显著成就一直受到广泛关注。在实际应用中，尽管基于纠缠的量子密码学能够提供固有的、与源无关的安全性，但其检测环节已被证明容易受到外部探测攻击的攻击。本文展示了纠缠交换可以有效解决这一关键问题，实现无侧信道的量子密码学。纠缠交换允许每个用户在完全私密的站点进行量子态的准备和检测，这种站点能够抵御任何外部探测侧信道的攻击。我们基于两个独立的纠缠光子源，在现场演示了纠缠交换量子密码学方案。利用远程纠缠光子对，我们在相当于100公里标准光纤的通道衰减条件下实现了Ekert-1991协议，获得了0.0163比特/秒的密钥生成率。虽然近期基于原子的独立设备量子密钥分发（QKD）实验已经达到了100公里的距离，但我们的光子纠缠交换QKD提供了一种互补的、全光路径，可以直接与现有的光纤网络和量子中继器兼容。

1. 引言
量子密钥分发（QKD）[1,2,3,4]承诺了一种无条件安全的通信方式[5,6]。理论上，其安全性已经基于量子物理的基本定律得到证明[7,8]。然而，在实践中，实现QKD的设备存在缺陷[9,10,11,12,13]，这些缺陷可能被攻击者利用。因此，在过去的二十年里，量子密钥生成者和破解者之间展开了一场“军备竞赛”[5]。
对于一个实际的QKD系统来说，任何端口都可能允许侧信道探测源的设置和检测设置。例如，标准的BB84 QKD系统（图1a）容易受到针对源的特洛伊木马攻击（THA）[14,15,16]和针对检测的探测器控制攻击[11,12,13]。值得注意的是，测量设备无关的QKD（MDI-QKD）[17]的提出解决了检测部分的全部侧信道问题（图1b），从而大大增强了实际QKD的安全性。一种高效的MDI-QKD方法，即双场QKD[18]，可以提高传输距离。尽管如此，MDI-QKD仍然容易受到针对源的微妙侧信道攻击，如THA[14,15,16]和激光种子攻击[19,20]。
图1. 不同量子密钥分发（QKD）协议的示意图。（a）标准的BB84 QKD系统，容易受到针对源的特洛伊木马攻击和针对检测的探测器控制攻击。这里，（）和（）分别表示爱丽丝（鲍伯）侧的源和编码器，红星表示对侧信道攻击的脆弱性。（b）测量设备无关的QKD（MDI-QKD）协议，解决了检测部分的所有侧信道问题。（c）提出的纠缠交换QKD（ES-QKD）方案。爱丽丝和鲍伯在他们的安全实验室中生成纠缠源，并对一半的光子对进行随机且独立的测量。（）表示测量基础，（）是相应的测量结果。一个不可信的节点（伊芙）对来自爱丽丝和鲍伯的光子进行贝尔态测量（BSM）。在纠缠交换之后，爱丽丝和鲍伯执行贝尔测试并生成安全密钥。该方案确保每个用户的态准备和检测都在完全私密的空间中进行，从而提供对外部探测侧信道的物理防护。一个安全的QKD系统必须有效隔离来自源和检测的任何物理侧信道探测。虽然完全设备无关的QKD（DI-QKD）[21,22,23]提供了最终的理论解决方案，但其对整体效率的严格要求长期限制了其传输距离。最近，里程碑式的实验利用单原子节点[24]和囚禁离子量子存储器[25]成功将DI-QKD扩展到了100公里的距离。虽然这些物质量子比特架构提供了对量子中继器至关重要的长寿命纠缠，但它们本质上需要复杂的捕获和冷却装置。一个高度可扩展的、完全基于标准电信基础设施的光子方法仍然是一个重要的并行目标。
值得注意的是，基于纠缠交换的无侧信道QKD[26,27,28]（图1c）允许每个用户在完全私密的空间中进行量子态的准备和检测，外界的任何探测都完全与态生成分离[1]。类似于量子隐形传态滤波器的概念[7]，每个用户的私密空间只接收来自外部的经典信号，没有任何量子信号。我们将这种方案称为纠缠交换QKD（ES-QKD）。
在这里，我们在现场对ES-QKD方案进行了实验演示。与之前在同一本地泵浦下实现的纠缠交换实验[28,29,30,31,32]不同，我们通过主动稳定策略在现实世界中开发了两个真正独立的纠缠源。基于远程纠缠光子对，我们在相当于100公里的模拟衰减条件下，通过50公里的卷绕光纤实现了Ekert-91协议，分别获得了0.121和0.0163比特/秒的密钥生成率。此外，我们全面评估了系统的有限密钥安全性，并详细研究了其光学隔离性能。除了增强的安全性优势外，我们的QKD方案与设备无关的QKD[22,23]和量子中继器[33,34]的结构兼容。

2. 协议
图1c展示了ES-QKD协议的方案。爱丽丝和鲍伯在他们的站点准备纠缠光子对，并与一个不可信的节点共享（在最坏的情况下，该节点由伊芙控制）。然后，爱丽丝和鲍伯持有的远程光子根据伊芙对它们进行贝尔态测量（BSM）的结果进行纠缠交换[26,27,28]。如参考文献[1]中详细讨论的，在纠缠交换之后，伊芙无法再访问爱丽丝和鲍伯之间共享的纠缠光子对。此外，由于纠缠态的非局域性质，伊芙对交换后的纠缠的了解受到贝尔不等式违反的限制[2]。为了获得安全密钥，爱丽丝和鲍伯分别随机且独立地选择他们的测量基础（）和（），其中（）和（）是两个泡利矩阵。使用基础（）或（）以及（）或（）的相同检测结果来估计违反的CHSH型贝尔不等式[1]。如果爱丽丝和鲍伯没有达到预期的违反结果，他们将终止协议。如果他们都在基础（）上进行测量，测量结果将高度相关，并将作为原始密钥。在渐进极限下，对抗集体攻击的密钥生成率为[23] [2]。
虽然方程（2）提供了渐进情况下的理论极限，但实际的QKD系统运行时间有限，产生的数据块数量也是有限的。为了保证实际安全性，必须考虑有限尺寸的情况，如附录A所示，该情况通过考虑贝尔测试的统计置信区间和经典后处理的固有错误概率，提供了一个严格且现实的密钥生成率。

3. 实验
我们的实验装置示意图如图2所示。我们在中国的上海科技大学校园内构建了一个三节点ES-QKD系统，爱丽丝和鲍伯旨在在其中建立安全密钥。
图2. （a）实验的鸟瞰图。（b）实验装置。爱丽丝（或鲍伯）的装置：她使用1558纳米增益切换分布反馈激光器（DFB）和强度调制器（IM）生成激光脉冲，这些设备由脉冲模式生成器（PPG）驱动。脉冲通过掺铒光纤放大器（EDFA）放大，并在周期性极化的铌酸锂（PPLN）晶体中上转换到779纳米。产生的779纳米脉冲被聚焦到Sagnac环中的Type-0 PPMgLN中，以生成偏振纠缠光子对。信号光子和闲频光子通过内联密集波分复用滤波器（DWDM）分离。信号光子进一步通过波分复用滤波器（WDM）和环形器（CIR）过滤，然后发送给伊芙。闲频光子在本地进行测量。爱丽丝和鲍伯分别通过分束器（BSs）随机使用三种和两种测量基础。结果由时间数字转换器（TDCs）记录。伊芙的装置：伊芙使用50:50的分束器（PBSs）、偏振分束器（PBSs）和八个超导纳米线单光子探测器（SNSPDs）进行BSM。BSM结果实时分析并由现场可编程门阵列（FPGA）记录。所有设备通过爱丽丝的PPG的时钟信号同步。其他组件的缩写：HWP，半波片；PC，偏振控制器；PCP，相位补偿片；OPM，离轴抛物面镜；DM，二向色镜。在爱丽丝和鲍伯的站点，通过以250 MHz重复率泵浦周期性极化的MgO掺杂铌酸锂（Type 0-PPMgLN）晶体，生成处于最大纠缠状态的偏振纠缠光子对。我们使用级联密集波分复用（DWDM）滤波器分离信号（1556纳米）/闲频（1560纳米）光子。为了确保高单光子态纯度，我们在测量前进一步使用带宽为3.3 GHz的光纤布拉格光栅（FBGs）过滤光子。在两个站点，我们生成状态为（3）的纠缠光子对，其中（）和（）分别表示水平和垂直偏振态。
对于ES-QKD，信号光子被发送给一个不可信的中继节点伊芙，伊芙使用由50:50分束器（BSs）—偏振分束器（PBSs）—50:50分束器组成的三明治结构进行BSM，可以区分贝尔态，并概率性地消除多光子的效应。爱丽丝和鲍伯分别持有闲频光子，以执行单光子偏振投影测量。爱丽丝通过1 × 3光纤耦合器被动选择测量基础，每个输出端口连接到由偏振控制器和PBS组合确定的测量基础。同样，鲍伯被动选择测量基础。基于基础（），（）和BSM结果之间的四重符合计数用于生成安全密钥，而基于基础（），（），（）和BSM结果之间的四重符合计数用于计算CHSH值。
该协议的实验实现面临几个技术挑战。首先，为了防止伊芙通过泵浦脉冲攻击ES-QKD系统，我们使用两个独立的增益切换DFB在安全实验室中生成纠缠对。因此，我们在纠缠交换后测量CHSH游戏值，这对两个独立源之间的干涉和高质量纠缠源提出了严格的技术要求。为了实现BSM，我们同步两个独立源，并减少来自爱丽丝和鲍伯的光子的可区分性，尤其是空间、偏振、光谱和时间方面的可区分性[35]。为了获得高亮度、高效率和高质量的纠缠源，我们优化了泵浦（779纳米）和Type 0-PPMgLN晶体中心的下转换光子的光束腰宽[36]，最终在平均每个脉冲光子数为0.02的情况下获得了0.97的可见度。其次，纠缠源在实验室（爱丽丝和鲍伯）中将量子通道与公共量子通道隔离开来。然而，这种隔离受到DWDM缺陷的限制。我们在宽频范围内将隔离度提高到至少157 dB，如图3所示（见补充材料）。第三，在有限数据情况下[37,38,39]，密钥生成率与筛选密钥率和错误率有关；因此，我们优化了每个脉冲的平均光子数和鲍伯部分每个输出端口的比例。此外，为了产生高率和低误差的检测，我们使用了18个高质量的超导纳米线单光子探测器（SNSPDs），其效率约为，并且平均暗计数率为100 Hz。
图3. 安全实验室中闲频光子与公共量子通道的隔离。对于ES-QKD演示，我们使用可变衰减器和标准单模光纤运行系统。图4显示了10 dB和20 dB（相当于50公里和100公里光纤）衰减的实验结果。在100公里（模拟损耗为20 dB）的距离下，我们在143,873秒的采集时间内收集到了6304比特的原始密钥，得到了BSM（Bell Secret Sharing）结果的Bell违规值和QBER（Quantum Bit Error Rate）数据。在渐近情况下，密钥传输速率为0.0163比特/秒。接下来，为了模拟一个现实的部署场景，我们用两段各25公里的单模卷曲光纤替换了可变衰减器，总光纤长度为50公里，衰减值为9.4 dB。在697,708秒的采集时间内，共累积了467,899比特的原始密钥。实际使用光纤会引入更多的不确定性，例如极化的稳定性和信道的时间抖动，因此QBER略高一些。即便如此，我们在渐近情况和有限密钥情况下仍然获得了0.121比特/秒和0.0128比特/秒的密钥传输速率。正如理论预期那样，有限尺寸下的安全密钥速率明显低于渐近情况。这种下降是因为严格的有限密钥分析需要考虑贝尔测试过程中受特定置信区间限制的统计波动，以及与后处理相关的故障概率。如附录A所详述，这些必要的惩罚因素严格减少了最终可提取的安全密钥长度，以确保实际安全性，而在理论上的无限尺寸极限中这些因素是不存在的。图4显示了ESQKD（Engineered Secret Quantum Distribution）的安全密钥速率。蓝色实线代表包含有限尺寸分析的模拟结果，红色虚线代表不包含有限尺寸分析的模拟结果。这些速率分别针对公共量子信道的总衰减（较低x轴）和等效光纤距离（较高x轴）进行绘图。方块表示使用不包含有限尺寸分析的衰减器得到的密钥速率。实心星号和空心星号分别代表使用两段25公里卷曲光纤且总衰减为9.4 dB时，包含和不包含有限尺寸分析得到的密钥速率。

**结论**：总之，我们展示了基于贝尔测试的ES-QKD（Engineered Secret Quantum Distribution），该方案使用了现场的两个独立纠缠光子源，光纤最长可达50公里，衰减值为20 dB。纠缠交换允许每个用户在自己的私有空间内准备和检测量子状态，从而阻止了来自外部的任何探测。这本质上防止了源端攻击，相较测量设备无关的QKD（Measurement-Device Independent Quantum DDistribution）具有明显优势。此外，通过提高本地检测效率，我们的实验可以直接扩展到具有本地贝尔测试的完全DI-QKD（Measurement-Device Independent Quantum DDistribution）场景[40]。因此，当前方案在实验上的要求远低于完全DI-QKD，为安全量子网络提供了一个非常实用的中间方案。尽管有这些优势，当前设置的可扩展性仍受到技术缺陷的限制，尤其是实现高可见度干涉所需的严格光谱过滤。未来的改进需要先进的源技术，例如频率不相关的SPDC（Stochastic Phase-Detection and Conversion）光源。另外，由于当前方案中使用的SPDC光源本质上是宽带的，这些改进可以无缝集成到DWDM（Dual-Wavelength Division Multiplexing）系统中，以执行并行交换过程，从而大幅提高总密钥传输速率。展望未来，可以通过基于量子佐诺（Quantum Zeno）原理的纠缠交换来克服线性光学贝尔态测量的内在概率限制，这种方法无需受控非（Controlled-NOT）门即可实现确定性操作，因此成为未来量子中继器[41]的有吸引力的构建块。结合量子存储器[42]，这些多路复用和确定性的架构可以实现实用的量子中继器和量子互联网。总体而言，我们的实验标志着向现实世界中安全量子网络迈出的关键一步。

**补充材料**：以下支持信息可在以下链接下载：
https://www.mdpi.com/article/10.3390/e28050518/s1
- 图S1：可见度的实验结果
- 图S2：HOM（Hermittian Oscillator Mixing）干涉的实验结果
- 图S3：Eve模拟攻击的示意图
- 图S4：每个设备的隔离方式
- 表S1：0公里距离的实验结果详情
- 表S2：使用可变衰减器的50公里距离实验结果详情
- 表S3：使用两段25公里卷曲光纤的50公里距离实验结果详情
- 表S4：使用可变衰减器的100公里距离实验结果详情