[論文レビュー] Quantum Prudent Contracts with Applications to Bitcoin

Or Sattath|arXiv (Cornell University)|Apr 27, 2022

Quantum Computing Algorithms and Architecture被引用数 4

ひとこと要約

この論文は、量子状態を活用してビットコインに類似したシステムにおける財務的コミットメントを強制する暗号プロトコルである量子健全契約（quantum prudent contracts）を導入する。取引出力に量子もつれ状態を束縛し、量子署名を用いることで、正しい量子状態が提供されない限り資金が引き出せない仕組みを実現し、古典的攻撃者に対して証明可能な安全性を達成するとともに、新たな形のエスクローおよびアトミックスワップを可能にする。

ABSTRACT

Smart contracts are cryptographic protocols that are enforced without a judiciary. Smart contracts are used occasionally in Bitcoin and are prevalent in Ethereum. Public quantum money improves upon cash we use today, yet the current constructions do not enable smart contracts. In this work, we define and introduce quantum payment schemes, and show how to implement prudent contracts -- a non-trivial subset of the functionality that a network such as Ethereum provides. Examples discussed include: multi-signature wallets in which funds can be spent by any 2-out-of-3 owners; restricted accounts that can send funds only to designated destinations; and "colored coins" that can represent stocks that can be freely traded, and their owner would receive dividends. Our approach is not as universal as the one used in Ethereum since we do not reach a consensus regarding the state of a ledger. We call our proposal prudent contracts to reflect this. The main building block is either quantum tokens for digital signatures (Ben-David and Sattath QCrypt'17, Coladangelo et al. Crypto'21), semi-quantum tokens for digital signatures (Shmueli'22) or one-shot signatures (Amos et al. STOC'20). The solution has all the benefits of public quantum money: no mining is necessary, and the security model is standard (e.g., it is not susceptible to 51\% attacks, as in Bitcoin). Our one-shot signature construction can be used to upgrade the Bitcoin network to a quantum payment scheme. Notable advantages of this approach are: transactions are locally verifiable and without latency, the throughput is unbounded, and most importantly, it would remove the need for Bitcoin mining. Our approach requires a universal large-scale quantum computer and long-term quantum memory; hence we do not expect it to be implementable in the next few years.

研究の動機と目的

• ビットコインに類似したシステムにおける財務的コミットメントを、量子状態に束縛する暗号フレームワークを設計し、正しい量子状態が提供されない限り資金がアクセスできないようにすること。
• 状態の複製不能性や測定の崩壊といった量子性質を活用して、古典的攻撃者が取引出力を偽造または改ざんできないようにすること。
• 量子状態を暗号的プリミティブとして用いて、信頼できる第三者に依存せずに安全で検証可能なエスクローおよびアトミックスワッププロトコルを実現すること。
• 財務的結果が量子状態の存在および正しさに依存する、スマートコントラクトの新しいクラス＝量子健全契約を形式的に定式化すること。
• 分散型システムにおいて、量子状態を「知識の証明」として用いることで、古典的暗号学を超えた信頼性とセキュリティを強化すること。

提案手法

• プロトコルは、アカウントに関連付けられた量子状態 |€⟩ を用いて取引出力を束縛し、正しい量子状態を保有する者だけが支出を承認できることを保証する。
• ランダム値 x から古典的ハッシュ h(x) を計算し、出力 m を構築する。m は、b_€ 個のアカウントとハッシュ y=h(x) を含む SimpleOutputScript として構成され、コミットメントを形成する。
• 量子状態 |€⟩ とメッセージ m の両方に基づいて、未改ざん署名方式（US）を用いて量子署名 σ を生成する。これにより、署名が量子状態に束縛される。
• プロトコルの各ウィtness、pwit_i^€ には、アカウント、メッセージ、署名、インデックス i、未使用フィールドのための null、および量子ウィtness が含まれ、量子状態の正当性の検証が可能になる。
• バランスチェックを実行する：アカウントの残高が期待される出力数（b ≠ b_€）と一致しない場合、取引は中止され、一貫性が保たれる。
• ボブのアカウントからアリスのアカウントへ資金を移動する安全な支払い関数（SimplePay）を用い、両通貨のウィtness を含め、取引の最終化前に残高を検証する。

実験結果

リサーチクエスチョン

• RQ1 量子状態は、ビットコインに類似したシステムにおける財務的コミットメントを強制する暗号的プリミティブとして利用可能か？
• RQ2 量子署名を古典的ブロックチェーン取引論理と統合することで、量子状態の正当な保有者だけが資金を支出できるようにするにはどうすればよいか？
• RQ3 無制限の計算能力を持つ古典的攻撃者ですら、取引出力を偽造または改ざんできないようにするメカニズムは何か？
• RQ4 量子健全契約を用いて、信頼できる第三者に依存せずに安全なアトミックスワップやエスクローシステムを実装できるか？
• RQ5 ブロックチェーンプロトコルが、量子状態に取引出力を安全に束縛しつつ、検証可能性と一貫性を維持するための最小限の要件は何か？

主な発見

• プロトコルは、古典的コミットメントと量子署名の組み合わせにより、取引出力を量子状態に束縛し、正しい量子状態を保有する者だけが支出を承認できることを保証した。
• 量子署名の使用により、古典的偽造が不可能になる。これは、署名方式の未改ざん性と、no-cloning 定理に依存する。
• バランスチェックにより一貫性が保たれる：出力数が期待値と一致しない場合、取引は中止され、一貫性の欠如が防止される。
• 有効な量子状態の存在を資金解放の条件として要求することにより、安全で検証可能なエスクローおよびアトミックスワッププロトコルの実現が可能になった。
• プロトコルは、分散型システムにおいて量子状態を「知識の証明」として用いることができることを示し、古典的暗号学を超えたセキュリティ強化を実現した。
• フレームワークは形式的に定義されており、記号的モデルで実行可能であり、量子暗号学における標準仮定の下で、そのセキュリティ目標を達成していることが示された。