公平的进行异地猜硬币游戏——量子猜硬币协议

大家好，我是大老李。这期节目是上期有关量子密钥分发协议的补充。上期节目中我介绍了使用量子纠缠协议的密钥分发机制，也是墨子号卫星实验中所使用的协议。

但也有一类量子密钥分发协议不使用量子纠缠机制，被称为“基于制备和测量的”量子密钥分发(Quantum Key Distribution，简称QKD)，比如BB84协议。之前每次聊到量子物理，就必谈量子纠缠，让我们暂时忘掉这一点，其实不用量子纠缠，单个粒子就可以有很好的性质，可被利用作密钥分发。

还是以自旋方向为例，有一个方法，可以使得对粒子自旋方向的测量结果总是得到我们预期的结果。

我们可以在测量前，让量子通过一个装置进行某种准备，这个装置的关键参数就是方向属性。这个方向属性与测量时所使用的测量方向本质上是同一个东西，所以都被叫做测量基（measurement basis，也可简称为“基底”）。而对装置来说，另一个输入就是我们所期望的自旋方向测量结果，这个结果只有两种选择，我们就用0和1来表示。而整个准备过程称为对量子的一次“制备”。

制备的效果就是，如果测量时，选择的测量基方向与制备时一致，则测量结果可以得到你制备时输入的结果。比如我们如果希望测量某个粒子自旋方向是0，那我们我们就把粒子送入制备装置，选择目标结果为0和某个测量基方向，进行制备。

之后测量时，我们选择同样的测量基方向，则理论上我们可以以100%的概率得到自旋方向为0的结果。

而如果测量时，我们选择了其他一些测量基方向，那结果就带有随机性了。特别是某些特定的测量基夹角情况下，测量结果是一半对一半的随机结果，也就是制备时量子自旋信息完全丢失了。

以上这个关于量子自旋的制备和测量性质可以这样来直观的比喻：

如果把粒子比作硬币，自旋方向表示硬币哪一面向上。那么制备的过程就是制备方把硬币放入一个箱子里，箱子外面有两个小孔，分别表示一个测量基。这两个小孔的形状可以想象成一个是➕，一个是✖️。

(上图：两组测量基可选的方向，以上两组测量基可以满足BB84协议所需效果。)

原版BB84论文里两组测量基的符号也是用➕和✖️表示，因为这两个符号的方向确实是两组测量基可以取的方向。另外，我可以控制放入箱子后，硬币是正面还是背面向上。制备过程就是我选择一个硬币方向和小孔，把硬币从那个小孔放入箱子，并且我知道现在硬币是哪一面向上。

那对观察者来说，这个箱子有个奇妙性质：如果制备方从➕小孔投入硬币，那么只有当从➕孔观察硬币，你才能确切知道制备方把硬币哪一面朝上放置了。如果你从✖️孔观察，那么箱子会自动重新掷一次硬币，这样你观察到的结果就是一个纯50%几率的结果了，反之亦然。这个性质是不是很神奇？

有这么奇妙宝箱，要进行密钥分发就简单了。一种思路就是制备方先制备一系列粒子，以下简称为“量子位”（虽然此处不是用这些粒子做典型的量子计算，但某种程度上它也具有量子比特性质），对每一个粒子，都随机选择一个测量基，把这些量子位通过这些测量基后，发送给接收方。然后再通过传统信道，把自己选择的测量基顺序发送给接收方。接收方按这些测量基顺序去测量这些量子位，那么双方就能得到相同的一组随机二进位。

但以上过程中，有个不太理想的步骤，即通过传统信道发送随机测量基方向的过程。如果有人能截取到这个信息，那么他就可以提前测量，然后重新制备一组同样的量子位给接收方测量，那么双方无法察觉，而这个人就同样得到了密钥。

所以需要改进一下。让发送方仍然发送一些列量子位，但接收方对每个量子位进行测量时，随机从两个测量基中选择一个进行测量。然后双方通过传统信道，交换自己的测量基方向信息。那么如果在某一位上，双方选择了相同的测量基，双方应该测得相同的随机位。理论上，双方就可以选取那些位置的量子位作为密钥开始通信。

但为了加强安全性，双方再从那些相同的测量基方向中，选取一部分子集作为校验，双方比对这些位置上的测量结果是否一致，如果误差率过大，表示这次通信收到干扰和攻击，结果不可信。如果一致，那么余下的位置就是双方的通信密钥。

（上图，一次BB84协议会话的例子：在接收方收到粒子，且双方选择了相同测量基位置（6个OK的位置），双方选择两位作为校验，余下四位即为分享的密钥。（图片取自BB84原始论文））

这种方式下，要进行如之前所述的中间人攻击就难了，即使你完全劫持了双方的量子通信和传统通信信道，但因为接收方是随机选取测量基方向，并且双方还要选取随机位置进行校验，那么你作为攻击者，事前就不知道该制备什么样的量子位给接收方才能不被发现。以上就是BB84量子密钥分发协议的大致过程。

在发表BB84协议的同一篇的论文中，两位作者还提出了一个很有意思的“量子猜硬币协议”（Quantum Coin Tossing）。“量子猜硬币协议”是解决这样一个问题：在不同地点的两个人，如何公平的进行猜硬币游戏？就是一个人丢硬币，另一个人来猜。

这里，两个人之间是完全没有信任的，哪怕视频连线，猜硬币的一方都怀疑丢硬币的一方是不是准备好了两套视频，以保证自己能赢。所以，我们希望有一套能够确保公平的，双方都能接受的远程猜硬币协议。

大老李很早有关密码学的节目中介绍过一些解决此类问题的思路，基本方法就是用哈希算法，确保掷硬币一方无法抵赖。但用前面有关量子制备和测量的过程，也能达到这一目的。我们来看看，BB84协议作者是如何设计这个量子掷硬币协议的，我还是用之前的那个箱子打比方，并且甲是掷硬币方，乙是猜硬币方。

首先，甲准备一系列那个具有神奇性质的箱子和硬币。然后他从两个小孔选择一个小孔，作为对方要猜测的结果。所以这里量子猜硬币协议，实质上是“量子猜测量基协议”。

甲选定好某个测量基后，比如是“➕”，再随机产生一串二进位，比如1000位的随机二进位。根据这1000位随机二进位，他把1000枚硬币从➕小孔放入1000个箱子，并且使硬币方向与这组二进位匹配。然后把这组箱子给乙。

乙拿到箱子后，可以从任何一个小孔去观察每一个箱子。这样他也得到1000位二进位，同时记录观察每个箱子时所选择的小孔。

测量结果得到后，甲就可以对接收方说：好了，现在请你猜我当初是从哪个小孔放入硬币的。

乙以任何依据给出猜测结果后，甲就可以宣布，猜对了或是猜错了。并且，他要把自己当初的1000位随机二进位序列发给乙验证。

乙得到那1000位二进位后，可以比对甲所宣布的结果和自己测量的结果是否一致，以确认甲没有说谎。

(上图，一次量子掷硬币协议会话过程：Alice选择了➕测量基，并产生一组随机二进位。Bob随机选择了测量基后，猜对了➕测量基。并且他可以验证，在每一个他选择"R"测量基的位置，其测得得二进位与Alice给出的相同。)

以上就是这个猜硬币协议的全过程。当然，你可能有的疑问是，甲方有欺诈会如何？比如明明乙猜对了，硬说对方猜错了，乙能发现吗？

另一方面，乙有没有办法根据观察到的结果，使得自己能以超过50%的概率猜对硬币吗？这一点还是比较好验证的。稍微分析下，你会发现乙无论如何选择自己观察箱子的小孔，也不能使自己猜硬币的成功率大于50%。

所以我们重点分析下，甲方欺诈会如何。甲方要欺诈，有两次机会，一次是制备粒子时，一次是在对方给出猜测结果后，发送校验信息的时候。

我们先看看有没有机会在对方给出猜测结果后欺诈。比如甲方把硬币都从➕孔放入，对方也猜了➕，但甲方硬说放的是✖️孔。

乙方说：“那请你把你最初准备的1000位二进位发给我”。此时甲方就犯难了，因其不知道乙观察箱子时，对每个箱子所选择的孔。因为甲说是其选择的是✖️孔，乙方就会验证在每个他选择✖️孔的位置，是否观察到与甲同样的二进位。但甲不知道哪些位置，以及那些位置上乙观察的结果，乙一比对就能发现甲欺诈，甲行不通。

那甲有没有办法在制备阶段就作弊？比如制备粒子时，一半箱子箱子选择➕，一半箱子选择✖️放入硬币？但这样情况会更糟了，无论乙最后猜了➕还是✖️，甲都没法证明他赢了，因此更没法设计最后的校验序列了。

综上所述，用以上方式，即可完成一次远程的猜硬币过程，而且结果是公平的，不可抵赖的。但是作者同时也指出，理论上利用EPR效应，也就是量子纠缠，以上协议就有漏洞了。

我们之前说要忘记量子纠缠，现在还是要回到量子纠缠。纠缠粒子的性质大致就是，用同方向测量基测量，测量结果总是相反。那我们看看如何用量子纠缠，实现对猜硬币方的欺骗。

方法是这样，甲方在制备粒子的同时，保留一个这个粒子的纠缠对象在手上。然后还是如同之前协议进行。如果乙方猜错了，那么甲方就如标准协议进行。如果乙猜对了，那么甲方马上对这些手上留下的纠缠例子在另一个测量基上进行测量。然后宣布对方猜错了，并把测量结果翻转后发送给乙方校验。

比如，如果甲方当初制备时用的是➕测量基，对方也猜了➕，那甲对手里的纠缠粒子在✖️测量基上进行一次测量，并且把这次测量结果翻转后发送给接收方，那么接收方是无法分辨出我是否有欺诈的。

比如对方在第100号箱子上用✖️测量基观察了硬币是正面向上，那么我对100号粒子的纠缠伴侣用✖️测量基进行一次测量，把翻转后结果告诉对方，那么对方的校验结果也是正常的。所以，对方无法发现我进行了欺诈。

这种欺诈方式甚至于乙方先猜方向，再观察盒子，都无法识破，请大家自行分析下为什么这样。

好了，以上就简单介绍了一下如何用基于制备和测量的方式进行量子密钥分发和远程猜硬币。我们可以看到即使不用量子纠缠，量子都有一些很神奇的性质。而量子纠缠则更进一步，使神奇性质越发神秘。

参考文献：

https://researcher.watson.ibm.com/researcher/files/us-bennetc/BB84highest.pdfhttps://zhuanlan.zhihu.com/p/29860637