QKD 落地：协议之外还有设备

一条 QKD 链路验收通过，协议测试全绿，误码率也正常。三个月后，安全团队用一台廉价激光器从外部照进探测器，整条链路就交出了密钥。协议没有错，错的是协议假设的那台设备。

从协议到机柜

BB84 的安全性证明建立在一个模型上：光源每次只发一个光子，信道只做损耗，探测器按量子力学工作。真实机柜里的每一条都不成立。

光源用的是衰减激光，输出是弱相干态，有一定概率一次发出两个以上光子。窃听者可以拿走一个、让另一个通过，这叫光子数分离攻击。诱骗态方法把不同强度的脉冲混在一起发，让这种攻击在统计上露馅。它是 QKD 从论文走向工程的第一个补丁，也说明证明与实现之间隔着一层。

探测器一侧更难缠。强光可以把雪崩二极管致盲，让它进入经典模式；两个探测器效率不完全相同，也会泄漏基的信息。这些统称侧信道，攻击的是设备，不是数学。

BB84 与窃听

每批 8 轮，Alice 与 Bob 各随机选基；打开 Eve 开关，她猜错基就会扰动状态。判决看的是累计误码率：单批筛后只有几位，约三分之一的批次会碰巧全对，所以要点几次「再跑一批」攒到 20 位以上，才会稳定判成 25% 左右、越过 11% 阈值。演示只覆盖理想协议模型，不含光源与探测器的侧信道。

距离、信任与分工

光纤里的光子按指数衰减，透射率大致是

\eta = 10^{-\alpha L/10}

$\alpha$ 是每公里损耗系数， $L$ 是长度。以 0.2 dB/km 为例，100 km 就是 20 dB，透射率只剩 1%；大约每多 50 km， $\eta$ 再掉一个量级。想跨城，就得在中间放可信节点：节点先解密再加密，等于把端到端的安全性换成了「你相信这个机房」。

点对点链路和网络是两种东西。前者只需要两端；后者要路由、要节点、要运维，安全性也随之分层。这也是为什么 QKD 的现实部署多在小范围城域网，而不是「全球量子网」。与后量子密码的分工很清楚：QKD 换的是密钥分发的物理基础，PQC 换的是公钥算法。前者要专用硬件与链路，后者只要改软件。多数实际系统会两者并用，再加一层经典算法兜底。

QKD 有物理学保证，所以设备怎么造都安全。

证明的前提是设备符合模型；致盲、效率失配、多光子光源都是模型之外的攻击面。

「无条件安全」指的是协议在理想模型下的安全性，不是整台机器的安全性。

一句话结论

QKD 的协议层已经相当成熟，落地难在设备：光源、探测器、节点与距离，每一项都要单独设防。把「协议安全」当成「设备安全」，是这一行最常见的误读。