设备无关类量子随机数发生器

过去的十几年的研究表明，随机数发生器是窃听者在攻击系统时重要的目标。例如，对于一些伪随机数算法，如作为NIST推荐标准的DUAL EC DBRG算法，已经被证明可以通过设置后门的方法实现仅通过少量的输出随机数序列就可以推断出整个序列，而这已经可以实际应用于对Juniper网络的攻击。

而在硬件层面，已经被证明不可信的供应商可以故意在随机数发生器的电路中掺杂一些木马病毒，从而影响整个随机数发生器的输出而且这种嵌入而产生的错误输出非常难以被检测到。

如图所示：

外加后门方法随机数发生示图者事先在芯片上外加 HTH驱动后门(HTHdriver)，特定时间发出外界触发信号(externaltrigger)，则可以获得内部随机数。

不仅是软件或者电路层面，对于很多物理随机数发生器而言，其物理设备也可能并不是按照其宣称的进行工作，而对于用户而言，拆开检测整个设备的安全性显然是不现实的。而且即使供应商并没有恶意的进行攻击，某些设备损坏或者老化也会使得随机数的输出出现问题，而在设备未损坏到完全没有输出的时候我们也很难察觉其中的故障。

这意味着必须正视随机数发生器的设备可能存在不可信任的问题。而仅仅从输出随机数层面我们很难完全发现其中的问题。

目前主流的随机数检测方法，如NIST 检测，仅仅能检测输出随机数序列的统计特性，然而，对于攻击者而言，其完全可以通过精细的攻击手段把不安全的随机数伪装成为统计特性非常好的随机数序列。

这也是对于随机数检测的一个难点，无法从输出层面判断一组随机数是否是真随机的。

而且即使随机性可以保证，对于一些物理随机数发生器而言，窃听者也可能通过控制随机源来制备经典或者量子关联态的方法完全窃取到输出，这对密码学应用而言是致命的。

最稳妥的解决设备问题的方法就是从协议的层面来进行改进，设备无关类的量子随机数发生器应运而生。设备无关类的协议允许我们在全部或者部分设备完全不可信的情况下产生随机数，这种协议可以从根本上解决设备安全性问题。

设备无关概念最早由Colbeck应用于量子随机数发生器，其核心是通过检验输入和输出的关系来提取随机数。

最早进行研究的是完全设备无关量子随机数发生器，其允许设备完全被窃听者所掌控，且除了基本假设外不对所有设备作任何描述。完全设备无关量子随机数发生器应用了最早有关量子力学正确性的讨论，即EPR佯谬。

1964年，Bell提出实验验证贝尔不等式以解决EPR佯谬所提出的问题，而验证贝尔不等式则可以证明量子行为的存在，即随机性的存在。2010年，Pironio等人最早在实验中实现的完全设备无关量子随机数发生器，这打开了一条完全解决设备安全问题的新道路。

不过，完全设备无关类量子随机数发生器实验难度大，随机数速率低，目前还不能展现其实用价值。

上图是最早的设备关量子随机数发生念图，Alice通过GHZ公式的验以提取内禀随机性。窃听者Snoop难以获得Alice产生的随机数数据。

设备可信类协议存在设备被攻击的安全性风险，而设备无关类协议其实用性又太差，那么有没有一种协议可以兼容两种协议的优势呢？半设备无关类的量子随机数发生器概念因此被提出。

实际上，在一些应用中，假设所有设备都不可信是一个过于偏执的条件。对于很多情况来说，完全可以测定或者信任部分设备的安全性，以求获得更快更实用的随机数发生器。测量设备无关量子随机数发生器就是其中一类重要的半设备无关量子随机数发生器。

测量设备无关协议假设使用的是表征良好的源端，通过调制不同的源端输出态来对测量实现层析。

经过精确层析后，就可以通过评估当前测量设备对应的每比特原始随机数的安全随机码率，以实现提取后的随机数序列的安全性。测量设备无关类协议可以完全去除测量端的假设，但是需要源端进行精确表征。

对于很多随机源而言，精确评估源端事实上也是很困难的。因而，研究人员又转而考虑去除源端的假设。

源无关量子随机数发生器因此被广泛关注并研究。源无关量子随机数发生器最早于2016年由Cao等人提出，以解决在源端完全不可信的情况下产生安全量子随机数的问题。

通常而言，一个随机数发生器的源端是其核心部分之一，所用源的选择将决定随机数发生器的整体结构，随机数安全性以及随机数产生速率上限。源端攻击对于随机数发生器而言一般是致命的。

源无关量子随机数发生器通过类比量子密钥分发协议中的互补不确定性，实现了在非安全源情况下安全随机数的生成。

源无关量子随机数发生器结构简单，速率快，非常适用于实际应用。而且其对于源端假设完全放弃也对我们实际使用量子随机数提供了非常大的便利，我们可以利用很多实用难以表征的光源以产生随机数，如灯光日光等。

源无关量子随机数一经提出就引起了极其广泛的关注，成为主流设备无关类量子随机数发生器的研究方向之一。

除了以上几种半设备无关类协议，还有一些基于其他假设的协议也受到关注。如2015 年 Lunghi等人提出的自检测类协议，这类协议要求设备可信但却不需要做详细表征，且有一些特定假设，其主要假设为维度假设，即整个系统维度应不超过二维。

在这一基础上，自检测量子随机数发生器可以在不知道设备工作细节的情况下产生安全量子随机数。

自检测类协议对于实际应用有着很大的价值，其不需要贝尔不等式检测也为我们提升速率做了良好的铺垫。然而其对光源限定较大，实际应用受到一定的限制。

最早考虑解决源端难以表征问题的是 Fiorentino研究团队，他们于2007年提出了一种利用态层析的方法配合量子随机数发生器产生安全随机数的协议，产生安全随机数的核心就是对在外界可以影响态的情况下我们可以提取的真随机性，即最小熵的评估。

Fiorentino 提出利用层析方法可以得到一个二维态的斯托克斯分量 S1 ， S2 ， S3从而可以表征此二维态对应的的密度矩阵：

通过随机数提取方法，依照最小熵就可以提取安全随机数。由于在这篇文章中要求层析得到的态必须为二维态，即光源必须为单光子源，其后续的实验因而使用了PPKTP 晶体参量下转换来产生光子。

采用直接产生态的方法和产生纠缠态的方法对比实验，其最终码率也分别达到了57 kbps和5.3 kbps。如图所示：

上图是通过态层析产生安全随机数实验图，其源端使用激光器（lasr）通过PPKTP晶体参量下转换产生单光子，然后偏振控制器 (polarization controller)调制不同的偏振实现态层析。图中PBS为偏振分束器。

然而这种方法虽然可以一定程度上监测源端，但其并不能称为一种源无关协议，因为此协议对源尚有一些假设。

首先，协议中要求产生态必须为二维态这使我们仅可以使用特定的随机源，而且对其他维度造成的攻击协议中并不能避免。

其次，该协议有独立同分布假设，即要求每次产生的态都必须一样，这对于态而言是一种非常强的假设，因为如果态受到控制，窃听者理论上可以随时改变输出态的形式。

不过，虽然有着一定的局限性，但这个协议是首次将源端分析引入量子随机数发生器，并通过最小熵评估的方法给出安全码率，其对后续的研究工作仍然有着很大的启发意义。