[論文レビュー] A brief review on the impossibility of quantum bit commitment

Gilles Brassard, Claude Crépeau+2 more|ArXiv.org|Dec 10, 1997

Quantum Computing Algorithms and Architecture参考文献 19被引用数 28

ひとこと要約

この論文は、無条件に安全な量子ビットコミットメントが一般に不可能であることを確立し、任意の量子プロトコルが、エンタングルド状態を操作できるユニタリ変換の存在により、送信者（アリス）または受信者（ボブ）のどちらかに対して常に不正に成立することを証明している。主な貢献は、エンタングルメントや量子測定を用いても、無制限の計算能力下では、同時にバインディング性と隠蔽性を満たすプロトコルが存在できないことを厳密に証明したことである。

ABSTRACT

The desire to obtain an unconditionally secure bit commitment protocol in quantum cryptography was expressed for the first time thirteen years ago. Bit commitment is sufficient in quantum cryptography to realize a variety of applications with unconditional security. In 1993, a quantum bit commitment protocol was proposed together with a security proof. However, a basic flaw in the protocol was discovered by Mayers in 1995 and subsequently by Lo and Chau. Later the result was generalized by Mayers who showed that unconditionally secure bit commitment is impossible. A brief review on quantum bit commitment which focuses on the general impossibility theorem and on recent attempts to bypass this result is provided.

研究の動機と目的

• 量子暗号における長年の論争を解決するために、無条件に安全な量子ビットコミットメントの一般的不可能性を確立すること。
• 以前のセキュリティ欠陥を回避しようとしたとされる量子ビットコミットメントプロトコルを分析し、反証すること。
• ビットコミットメントが量子暗号における基礎的役割を果たす理由と、関連プロトコルに与える影響を明確にすること。
• 量子ビットコミットメントプロトコルの発展の包括的レビューと、本質的な量子的制限による最終的失敗の理由を明らかにすること。
• 測定と古典的通信を用いたプロトコルでさえ、無条件の安全性を達成できないことを示すこと。

提案手法

• アリスのコミットフェーズ中に準備する量子状態の構造を分析するため、エンタングルド状態 |φ₀⟩ と |φ₁⟩ のシュミット分解を用いる。
• |e₀⁽⁰⁾⟩ を |e₀⁽¹⁾⟩ に写像するユニタリ変換を適用し、アリスが検出されずに1つのコミットメントから別のものに状態を変更できるようにする。
• ボブの密度行列 ρ₀ᴮ と ρ₁ᴮ がほぼ同一である場合を考慮し、内積 ⟨ψ₀|ψ₁⟩² ≥ 1 − 2×2⁻ᵃⁿ がほぼ完全な重なりを示していることを示す。
• アリスが共通の純化状態 |ψ₀⟩ を準備し、ユニタリ変換 F を用いて |φ₁⟩ に写像することで、彼女が b=1 にコミットしたと偽装できるようにする。
• |ψ₀⟩ と |ψ₁⟩ の内積が 1 に指数的に近いため、実用上この変換は検出不能であるという事実に依拠する。
• ボブの任意の測定は、誤差確率が 1/2 に指数的に近くなる必要があるため、ρ₀ᴮ と ρ₁ᴮ はほぼ区別不能であることを示す。

実験結果

リサーチクエスチョン

• RQ1 無制限の計算能力を持つ送信者と受信者の両方に対して、無条件に安全な量子ビットコミットメントプロトコルは存在できるか？
• RQ2 BCJLプロトコルや類似のスキームがセキュリティを主張しているにもかかわらず、なぜ失敗するのか、その根本的要因は何か？
• RQ3 測定と古典的通信が、プロトコル内のいずれかの当事者の不正をどれだけ防げるか？
• RQ4 エンタングルド状態のシュミット分解が、量子ビットコミットメントにおける不正戦略を可能にする仕組みは何か？
• RQ5 状態の重なり度（⟨ψ₀|ψ₁⟩²）が、量子ビットコミットメントにおける不正の可能性を決定づける役割を果たすのはどの程度か？

主な発見

• 送信者と受信者の両方が無制限の量子リソースを持つ場合、すべての量子ビットコミットメントプロトコルは、いずれかの当事者による不正に対して不正である。
• BCJLプロトコルは、アリスがエンタングルド状態のシュミット分解を活用して、検出されずにコミットメントを切り替えるユニタリ変換を用いるため、不正に成立する。
• ボブの密度行列 ρ₀ᴮ と ρ₁ᴮ が同一でない場合でも、トレース距離で指数的に近い場合、アリスは高い確率で不正に成立できる。
• 内積 ⟨ψ₀|ψ₁⟩² ≥ 1 − 2×2⁻ᵃⁿ は、2つの状態が指数的に近いことを示しており、アリスが一方を他方に変換する際の誤差は無視できる。
• 古典的通信や測定がプロトコル中に使われていても、この不可能性の結果は成立する。なぜなら、これらの手段では不正戦略を防げないからである。
• ビットコミットメントの失敗は、ビットコミットメントに依存するヤオの量子オーバーサイド転送などのプロトコルのセキュリティ基盤を揺るがすが、量子鍵配送には影響せず、依然として安全である。