[論文レビュー] Quantum Money from Modular Forms

Daniel M. Kane|arXiv (Cornell University)|Sep 16, 2018

Quantum Computing Algorithms and Architecture参考文献 3被引用数 7

ひとこと要約

本稿では、モジュラー形式の空間におけるヘッケ作用素の作用に基づく公開鍵型量子マネー方式を提案する。この方式では、モジュラー形式から導かれる可換なユニタリ作用素の固有状態を、量子チケット（量子小切手）として用いる。この方式は標準的な量子ブラックボックス仮定の下で安全であり、安全性はモジュラー形式表現の逆転および低次の係数から固有状態を回復する問題の計算的困難性に根ざしている。

ABSTRACT

We present a new idea for a class of public key quantum money protocols where the bills are joint eigenstates of systems of commuting unitary operators. We show that this system is secure against black box attacks, and propose an implementation where our operators are obtained as Hecke operators on spaces of modular forms.

研究の動機と目的

• 検証に信頼できる銀行との相互作用を必要としない実用的な公開鍵型量子マネーシステムの開発。
• モジュラー形式とヘッケ作用素の数学的構造を活用し、暗号的に困難な量子状態を構築すること。
• モジュラー形式の係数とアイディアル類群表現の複雑性に依拠することで、既知の量子攻撃（状態再構築および固有値逆転）に対して安全性を確保すること。
• モジュラー形式から導かれるユニタリ作用素の固有状態を用いて、非相互作用的かつ古典的に検証可能な量子マネープロトコルを提供すること。
• HHLに基づく固有値推定やテンソル積状態回復技術を含む既知の攻撃に対して、この方式が耐性を持つことを示すこと。

提案手法

• 大規模な素数 $ N $ に対して、重み2の尖点形式の空間 $ S_2(\Gamma_0(N)) $ を、量子状態のヒルベルト空間として用いる。この空間の次元は $ \Theta(N) $ である。
• ヘッケ作用素 $ T_p $ はこの空間上で可換かつ自己随伴作用素として作用し、その指数関数 $ e^{iT_p} $ は可換なユニタリ作用素の集合をなし、これにより固有状態が定義される。
• 量子チケットは、$ |\psi_i\rangle|\psi_i\rangle $ の形のベル状態として準備され、ここで $ |\psi_i\rangle $ は $ e^{iT_p} $ 作用素の共通固有状態である。
• シリアルナンバーは、固有値ベクトル $ v_i = (z_{i1}, \dots, z_{im}) $ の古典的近似であり、$ \epsilon/3 $ 未満の精度で与えられ、デジタル署名が施されている。
• 状態準備は、クaternion順序におけるアイディアル類上の拒否サンプリングを用い、クラス群 $ \mathrm{Cl}(\mathcal{O}_N) $ の代表元に対する一様な重ね合わせを生成し、これにより必要なベル状態が得られる。
• 検証は破壊的でない：検証者は、状態に対して $ U_i = e^{iT_p} $ 作用素の固有値を測定し、シリアルナンバーと整合しているかを確認する。

実験結果

リサーチクエスチョン

• RQ1 モジュラー形式とヘッケ作用素の代数的構造を用いて、公開鍵型量子マネー方式を構築することは可能か？
• RQ2 シリアルナンバーから量子チケットの固有状態を回復する問題は、計算的に困難か？
• RQ3 HHLに基づく固有値推定やテンソル積状態回復といった既知の量子攻撃に対して、この方式は耐性を持つか？
• RQ4 アイディアル類によるモジュラー形式の表現は、効率的な状態再構築を防ぐのに十分な複雑さを持つか？
• RQ5 クラス群グラフ上のランダムウォークを用いることで、量子マネーのための効率的かつ安全な状態準備が可能か？

主な発見

• ブラックボックス版プロトコルは、ユニタリ作用素 $ U_i $ へのクエリに制限されたすべての攻撃者に対して情報理論的に安全であり、安全性は $ \epsilon $-分離された状態の固有値の識別可能性に依存する。
• この方式は、$ U_i $ の分数乗数を用いた攻撃に対しても耐性を持つ。ブラックボックスの下界がこのような場合にも拡張可能であるため。
• $ U_i $ のスパース対数を用いる攻撃も、HHL風のアルゴリズムが同じブラックボックスモデルに含まれるため、効率的ではない。
• 文献[3]の量子状態回復技術は適用されない。なぜなら、固有状態が小さな部分系のテンソル積に自然に分解できないからである。
• モジュラー形式の低次のフーリエ係数から全状態を再構築することは、アイディアル類対応の複雑さのため、$ \mathrm{poly}(N) $ 時間内に実行可能であるとは考えにくい。
• 状態準備は、定数の成功確率を有する $ O(N) $ 個の状態に対する拒否サンプリングに依存するため、数百量子ビット程度で効率的に実装可能である。