[論文レビュー] An online attack against Wiesner's quantum money

Andrew Lutomirski|arXiv (Cornell University)|Oct 1, 2010

Quantum Computing Algorithms and Architecture参考文献 4被引用数 16

ひとこと要約

この論文は、両替機が無効な紙幣を破棄せず返却する場合、Wiesnerの量子マネープロトコルがオンライン攻撃に対して脆弱であることを示している。特別に準備された状態を両替機に問い合わせることで、攻撃者は線形時間で1キュービットずつ紙幣の量子状態を学習でき、n回の問い合わせで元の紙幣を完全に複製できる。

ABSTRACT

Wiesner's quantum money [5] is a simple, information-theoretically secure quantum cryptographic protocol. In his protocol, a mint issues quantum bills and anyone can query the mint to authenticate a bill. If the mint returns bogus bills when it is asked to authenticate them, then the protocol can be broken in linear time.

研究の動機と目的

• 現実的な実装条件下におけるWiesnerの量子マネープロトコルのセキュリティを調査すること。
• 両替機の検証サービスへのオンラインアクセスが、プロトコルのセキュリティを損なう可能性があるかどうかを分析すること。
• 両替機が無効な検証応答中に量子状態を漏洩させる場合、情報理論的セキュリティが破られる可能性を示すこと。
• 完全に正常に動作する量子両替機であっても、損傷した紙幣を返却する場合、効率的な攻撃が可能になることを示すこと。

提案手法

• 攻撃者は、既知のシリアルナンバーと、標的キュービットのX基底共役状態であるテスト状態を含むc-q状態を準備する。
• 攻撃者は状態(s, X_i |$_s⟩)を両替機に問い合わせ、i番目のキュービットがZ基底にあるかX基底にあるかを特定する。
• 両替機がINVALIDと応答した場合、返却される状態は|ψ₁⟩⋯|ψᵢ⁻¹⟩|ψᵢ⊥⟩|ψᵢ₊₁⟩⋯|ψₙ⟩となり、元のキュービットがZ固有状態であったことを示す。
• 両替機がVALIDと応答した場合、元のキュービットはX固有状態であり、攻撃者は直接X基底で測定できる。
• 攻撃者は各キュービットに対してこのプロセスを繰り返し、n回の問い合わせで全状態を特定する。
• 状態を学習した後、攻撃者は希望する回数だけ同一のコピーを準備・検証できる。

実験結果

リサーチクエスチョン

• RQ1 両替機が無効な紙幣を返却する場合、オンライン攻撃者がその応答を活用してWiesner紙幣の量子状態を再構築できるか？
• RQ2 両替機が無効な状態を返却する場合、紙幣の全状態を学習するために必要な最小の問い合わせ回数はどれくらいか？
• RQ3 両替機が応答プロトコルを通じて量子情報を漏洩させる場合、もはやno-cloning定理はWiesnerの量子マネーを保護できるか？
• RQ4 攻撃者が両替機の応答（VALID／INVALID）のみを用いて、個々のキュービットのZ基底状態とX基底状態を区別できるか？
• RQ5 両替機の検証サービスへのオракル的アクセスのみを用いて、秘密の量子状態を体系的に再構築する方法はあるか？

主な発見

• 攻撃は、紙幣に含まれるキュービット数nに対して、正確にn回の両替機問い合わせでWiesnerの量子マネープロトコルを破る。
• 両替機が無効な紙幣を返却する場合、攻撃者は応答（VALID／INVALID）の観察により、各キュービットがZ基底にあるかX基底にあるかを特定できる。
• 両替機が無効な紙幣を返却する場合、攻撃者は標的キュービットにおいて元の状態と直交する状態を入手でき、これにより元の状態の基底を推定できる。
• 各キュービットの基底と値を学習した後、攻撃者は全量子状態を再構築し、完全なコピーを生成できる。
• 攻撃は量子状態トモグラフィーや複雑なアルゴリズムを必要とせず、単一キュービットの操作とZ基底またはX基底での測定のみを用いる。
• 両替機が無効な紙幣を破棄しない限り、プロトコルの情報理論的セキュリティは損なわれる。たとえ両替機が他の点で完全に実装されていなくても同様である。