[論文レビュー] Optimal quantum strong coin flipping

André Chailloux, Iordanis Kerenidis|ArXiv.org|Apr 9, 2009

Quantum Computing Algorithms and Architecture参考文献 8被引用数 6

ひとこと要約

本稿では、新たな合成法を用いて強コインフラッピングを弱コインフラッピングに還元することにより、理論的下界 $1/\sqrt{2}$ に限りなく近い不正確率を達成する量子的強コインフラッピングプロトコルを提示する。この構成は、モコンの最適な量子的弱コインフラッピングプロトコルを活用し、不正確率にわずかな加法的誤差しか生じない近似的最適なセキュリティを実現する。

ABSTRACT

Coin flipping is a fundamental cryptographic primitive that enables two distrustful and far apart parties to create a uniformly random bit [Blu81]. Quantum information allows for protocols in the information theoretic setting where no dishonest party can perfectly cheat. The previously best-known quantum protocol by Ambainis achieved a cheating probability of at most 3/4 [Amb01]. On the other hand, Kitaev showed that no quantum protocol can have cheating probability less than $1/\sqrt{2}$ [Kit03]. Closing this gap has been one of the important open questions in quantum cryptography. In this paper, we resolve this question by presenting a quantum strong coin flipping protocol with cheating probability arbitrarily close to $1/\sqrt{2}$. More precisely, we show how to use any weak coin flipping protocol with cheating probability $1/2+ε$ in order to achieve a strong coin flipping protocol with cheating probability $1/\sqrt{2}+O(ε)$. The optimal quantum strong coin flipping protocol follows from our construction and the optimal quantum weak coin flipping protocol described by Mochon [Moc07].

研究の動機と目的

• 既存の量子的強コインフラッピングにおける不正確率の最高水準（$3/4$）と理論的下界（$1/\sqrt{2}$）の間の長年のギャップを埋めること。
• 任意のバイアス $\varepsilon$ の弱コインフラッピングプロトコルを、不正確率 $1/\sqrt{2} + O(\varepsilon)$ を持つ強コインフラッピングプロトコルに変換する一般的手法を確立すること。
• 量子的強コインフラッピングにおける $1/\sqrt{2}$ が不正確率の最適値であるかどうかという未解決の問題を解明すること。
• 既存の最適な弱コインフラッピングプロトコルを用いて、最適な境界が達成可能であることを示すこと。

提案手法

• 強コインフラッピングを弱コインフラッピングに還元するため、$WCF(1/2, \varepsilon)$ プロトコルをサブルーチンとして用いる。
• 鍵となる要素は、弱コインフラッピングプロトコルのバイアスを $2 - \sqrt{2}$ にまで強化する再帰的構成であり、これが目標とする強コインフラッピングの不正確率と一致する。
• 弱コインフラッピングプロトコルを $k = 2\lceil \log(1/\varepsilon) \rceil$ ラウンド繰り返すことで、$x \approx 2 - \sqrt{2}$ を満たす $WCF(x, \varepsilon')$ プロトコルをシミュレートする。
• 強コインフラッピングプロトコルは、一方の参加者がビットをコミットし、他方がビットを発表する形で構成され、結果はXORによって決定され、確率的解析により不正確率が制限される。
• 解析には半正定値計画法の技術が用いられ、弱プロトコルの構造とその強化の仕組みに基づく不正確率の境界が導かれる。
• 最終的なプロトコルは、不正確率 $\frac{1}{\sqrt{2}} + \sqrt{2}\varepsilon + o(\varepsilon)$ を達成し、総ラウンド複雑度は $O(N \log(1/\varepsilon))$ となる。ここで $N$ は弱コインフラッピングプロトコルのラウンド数である。

実験結果

リサーチクエスチョン

• RQ1 量子的強コインフラッピングは、理論的下界 $1/\sqrt{2}$ に限りなく近い不正確率を達成できるか？
• RQ2 小さなバイアスを持つ任意の弱コインフラッピングプロトコルを、近似的最適な不正確率を持つ強コインフラッピングプロトコルに変換する一般的手法は存在するか？
• RQ3 量子的強コインフラッピングで達成可能な最小の不正確率は何か？ また、既知の最適な弱コインフラッピングプロトコルを用いてその境界に一致させられるか？
• RQ4 弱コインフラッピングプロトコルを組み合わせて最適な強コインフラッピングを達成する際、ラウンド複雑度はどのようにスケーリングするか？

主な発見

• 本稿は、不正確率 $\frac{1}{\sqrt{2}} + \sqrt{2}\varepsilon + o(\varepsilon)$ の量子的強コインフラッピングプロトコルを構築した。ここで $\varepsilon$ は下位の弱コインフラッピングプロトコルのバイアスである。
• プロトコルは $O(N \log(1/\varepsilon))$ ラウンドを要する。ここで $N$ は弱コインフラッピングプロトコルのラウンド数であり、通信量の観点からも効率的である。
• 提案された構成をモコンの最適な弱コインフラッピングプロトコルと組み合わせることで、不正確率が $1/\sqrt{2}$ に限りなく近い強コインフラッピングプロトコルが達成された。
• 不正確率は $P^*_A \leq \frac{1}{\sqrt{2} - 2\varepsilon - \varepsilon^2}$ および $P^*_B \leq \frac{\sqrt{2} + 2\varepsilon + \varepsilon^2}{2}$ で抑えられ、$\varepsilon \to 0$ のとき両者とも $1/\sqrt{2}$ に収束する。
• 構成は対称的であり、古典的通信に量子サブルーチンを組み合わせており、核心的な量子的要素が弱コインフラッピングプロトコルに依存していることを示している。
• 本研究により、量子的強コインフラッピングにおける最高の上界（$3/4$）と理論的下界（$1/\sqrt{2}$）の間の長年のギャップが埋められた。