Q044 · 制备 / 筛选 / 公开检验

BB84 密钥分发

BB84 里，双方公开比对之后，哪些比特能留作密钥？ 只剩双方恰好用了同一个基的那些比特。其中还要随机挑一部分公开，用来估计误码率，这部分也得扔掉。误码率偏高，可能有人窃听。之后纠错和隐私放大还会把密钥再缩短一截。

让四种态的信号穿过通信线路，可以选择加入截获后重发的窃听者。保留基相同的比特，随机公开一部分作检验，再看一个简化的奇偶筛选和二进制哈希。每个留下或丢掉的比特，都能追溯到当初发送的记录。

模型筛选后错误概率 $\text{—}$

模型探测且同基的比例 $\text{—}$

协议按单个量子比特逐个模拟。各方独立、均匀地选基，损失与测量结果无关，Bob 的读出可能翻转。假定经典通道已经认证。后处理演示成对奇偶剔除，以及公开的 Toeplitz 哈希，把字符串压缩到随意选定的一半长度；这并不能给出安全密钥长度。所有导出的比特都是教学数据，不能当作真实秘密使用。

记录的证据与资源成本

模拟试次

比特去了哪里

检验错误只统计随机公开的那部分比特。逐点 95% Wilson 区间描述这个模型的检验错误概率，不是剩余比特的安全界。损失与比特取值和测量基都无关。

公开检验错误 / 95% 范围

\text{—}

未公开的同基比特

\text{—}

发送 / 探测信号

\text{—}

先抓重点

核心问题: 公开检验一个错误都没有，就能保证没公开的那部分字符串吗？
一句话直觉: 有限次检验只能在一定假设下估计错误率。它认不出具体是哪种攻击，单靠它也证明不了安全密钥能有多长。

核心数学模型

四种信号态

|0\rangle,\ |1\rangle,\ |+\rangle=\frac{|0\rangle+|1\rangle}{\sqrt2},\ |-\rangle=\frac{|0\rangle-|1\rangle}{\sqrt2}

每个信号都是一个量子比特。用同一组基测量，结果是确定的；用另一组基测量，两种结果各占一半。

线路的理论参考值

P(\mathrm{sifted})=\eta/2,\qquad Q=q+(1-2q)f/4

被截获的那部分信号，Eve 均匀随机地选基测量，再重发出去。探测彼此独立，读出翻转发生在 Bob 一侧。这个公式只是单独的参考，不是从记录估计出来的。

公开检验估计

\widehat Q=\frac{N_{\mathrm{test,error}}}{N_{\mathrm{test}}}

每个筛选后的试次都事先独立地随机标记是否用于检验，公开时不会重新抽取。Wilson 范围是针对这个独立同分布概率的逐点区间，不是有限密钥的安全界。

成对奇偶剔除

p_A=a_1\oplus a_2,\quad p_B=b_1\oplus b_2

每对比特，双方各公开一个奇偶值。不一致就整对丢掉，一致就只留第一位。同一对里出现两个错误时，可能查不出来。最后落单的那一位直接丢弃。

Toeplitz 演示

y_i=\bigoplus_{j=0}^{n-1}T_{ij}x_j,\quad T_{ij}=s_{n-1-j+i}

矩阵由一个公开、可复现的二进制种子确定，双方的字符串都被哈希压缩到剩余长度的一半。这个压缩比是随意定的，不是从熵界推出来的，因此不算经过认证的隐私放大。

常见难点

损失与扰动

容易误解信号丢了，错误率自然就会上升。

正确理解在这里的独立损失模型中，损失只让样本变少，被探测比特的期望错误率不变。

识别攻击

容易误解任何不一致都证明 Eve 存在。

正确理解读出噪声同样造成错误；反过来，有限样本未见错误也不能排除截获。

这不是真密钥

容易误解最后哈希出来的字符串可以用来加密真实消息。

正确理解这里没有密码学随机源，没有实现认证通道，没有有限密钥熵分析，也没有最后验证双方密钥相等。完整的教学记录还把私有值都暴露了。

动手实验

01
发送
用干净线路发送一组，查看收到的信号。
你会看到： 没有噪声时，同基结果一致；基不同时，即使没有窃听者，结果也是随机的。
02
筛选与公开
推进至同基筛选和公开检验。
你会看到： 检验比特会从候选字符串里删掉。公开的比例越大，用掉的比特越多，检验数据也越多。
03
加入窃听者
截获全部信号，重新发送并公开检验。
你会看到： 没有其他噪声时，筛选后的理论错误率是四分之一；有限样本会在它附近波动。
04
检查后处理
推进至末步，导出奇偶与哈希审计。
你会看到： 看一看公开的奇偶值、矩阵种子和双方的输出。两边输出相同，也不能证明它们是保密的。