[論文レビュー] Efficient Certifiable Randomness from a Single Quantum Device

Urmila Mahadev, Umesh Vazirani+1 more|arXiv (Cornell University)|Apr 24, 2022

Cryptography and Data Security被引用数 4

ひとこと要約

本論文は、単一の信頼できない量子デバイスを用いて、漏れ耐性学習誤差（LWE）構成を活用することで、ほぼ最適なランダムネスレートを達成する、検証可能ランダムネス生成の新規プロトコルを提示する。このプロトコルは、定数ラウンドでO(n)の通信量を用いて、統計的にランダムな出力をΩ(n)ビット生成する。従来の研究に比べ顕著な改善を遂げつつも、後量子LWE仮定の下で安全性を維持する。

ABSTRACT

Brakerski et. al [BCM+18] introduced the model of cryptographic testing of a single untrusted quantum device and gave a protocol for certifiable randomness generation. We use the leakage resilience properties of the Learning With Errors problem to address a key issue left open in previous work - the rate of generation of randomness. Our new protocol can certify $Ω(n)$ fresh bits of randomness in constant rounds, where $n$ is a parameter of the protocol and the total communication is $O(n)$, thus achieving a nearly optimal rate. The proof that the output is statistically random is conceptually simple and technically elementary.

研究の動機と目的

• 単一の量子デバイスに依存する従来の検証可能ランダムネスプロトコルにおける低いランダムネス生成レートを是正すること。
• 学習誤差（LWE）仮定の下で統計的セキュリティを維持しつつ、ランダムネス生成の効率とレートを向上させること。
• 漏れ耐性に基づく新しい暗号的プリミティブを導入することで、ノイズありトラップドアクラフトフリー関数（NTCFs）への依存を排除すること。
• 並列反復や複雑なプリミティブに依存する従来のプロトコルとは異なり、正しさの証明をより単純かつ直接的に行うこと。
• デバイスがおおよそn量子ビットの量子メモリを備えていることを保証することで、ランダムネスとデバイスの量子次元の両方を検証すること。

提案手法

• 学習誤差（LWE）問題から導出されるロスィ行列を用いる。この行列は計算的に一様分布と区別不能であるが、大きな核を有しており、複数のプレインバースを許容する。
• NTCFsで用いられる2対1関数ではなく、k対1関数（kは指数的に大きな値）を用いることで、1ラウンドあたりlog kビットのランダムネスを検証可能に生成できる。
• 検証者は2ラウンドのプロトコルを実行する：まず、ロスィ行列とチャレンジベクトルを送信し、次に、プローバーの測定結果をハダマードに類似したテストにより検証する。
• 暗号における漏れ耐性技術を活用し、テストに合格するいかなるプローバーも、多数のプレインバースの重ね合わせ状態を準備している必要があることを保証することで、より多くのランダムネスを生成する。
• トラップドアを必要としない量子検証者抽出プロトコルを用い、プローバーの状態を効率的に検証できる。
• 安全性の証明はLWE問題の困難性に還元され、統計的距離の境界を用いて、検証者の入力や古典的トランスクリプトに条件付けた場合でも出力が高minエントロピーを持つことを示す。

実験結果

リサーチクエスチョン

• RQ1 単一の信頼できない量子デバイスのみを用いて、通信量O(n)あたりΩ(n)ビットのランダムネスを生成する、ほぼ最適なレートの検証可能ランダムネスは可能か？
• RQ2 漏れ耐性LWE構成は、量子検証プロトコルのコアプリミティブとしてNTCFsに置き換え可能か？
• RQ3 線形通信量の定数ラウンドプロトコルが、LWE仮定の下で依然として高minエントロピー出力を保証できるか？
• RQ4 プロトコルは、ランダムネスの検証に加え、デバイスの量子次元（すなわち、少なくともn量子ビットの量子メモリを有すること）を検証可能か？
• RQ5 ロスィ行列をNTCFsではなく用いる場合、正しさの証明がより単純かつ直接的に行えるようになるか？

主な発見

• プロトコルは定数ラウンドでΩ(n)ビットの統計的にランダムな出力を生成し、通信コストに対するランダムネスレートがほぼ最適に近い。
• 検証者のランダムな質問と古典的トランスクリプトに条件付けた場合でも、出力のminエントロピーはn − ℓ log q − O(1)以上に保たれる。
• 後量子LWE（QLWE）仮定の下で安全性を維持し、誤差境界はε = 5δ^{1/4} + 忽略可能な(λ)として定量的に示される。
• 正しさの証明は概念的に単純で、技術的にも基本的であり、NTCFsのような複雑なプリミティブに依存せず、漏れ耐性に依拠する。
• プロトコルは量子次元の検証を可能にし、必要な重ね合わせ状態を生成するには、成功したプローバーが少なくともn量子ビットの量子メモリを備えている必要がある。
• 従来の研究と同等の完全性と健全性を達成しつつ、著しく効率が向上し、より直接的な安全性還元が可能になった。