[논문 리뷰] Quantum Money from Hidden Subspaces

Scott Aaronson, Paul F. Christiano|2012. 03. 21.

Quantum Computing Algorithms and Architecture참고 문헌 38인용 수 54

한 줄 요약

이 논문은 랜덤 다변수 다항식의 영점 집합으로 표현된 숨겨진 부분공간을 사용하여, 고전적 난이도 가정에 기반한 암호학적 보안을 보장하는 첫 번째 공개키 양자 머니 체계를 제안한다. 이는 검증자가 단 두 가지 기저 테스트(계산 기저 및 하다마드 기저)만 수행하는 데서, 적응형 위조자에 대한 보안을 입증하기 위해 새로운 양자 적대자 방법을 도입함으로써 블랙박스 환경에서도 절대적 보안을 달성한다.

ABSTRACT

Forty years ago, Wiesner pointed out that quantum mechanics raises the striking possibility of money that cannot be counterfeited according to the laws of physics. We propose the first quantum money scheme that is (1) public-key, meaning that anyone can verify a banknote as genuine, not only the bank that printed it, and (2) cryptographically secure, under a "classical" hardness assumption that has nothing to do with quantum money. Our scheme is based on hidden subspaces, encoded as the zero-sets of random multivariate polynomials. A main technical advance is to show that the "black-box" version of our scheme, where the polynomials are replaced by classical oracles, is unconditionally secure. Previously, such a result had only been known relative to a quantum oracle (and even there, the proof was never published). Even in Wiesner's original setting -- quantum money that can only be verified by the bank -- we are able to use our techniques to patch a major security hole in Wiesner's scheme. We give the first private-key quantum money scheme that allows unlimited verifications and that remains unconditionally secure, even if the counterfeiter can interact adaptively with the bank. Our money scheme is simpler than previous public-key quantum money schemes, including a knot-based scheme of Farhi et al. The verifier needs to perform only two tests, one in the standard basis and one in the Hadamard basis -- matching the original intuition for quantum money, based on the existence of complementary observables. Our security proofs use a new variant of Ambainis's quantum adversary method, and several other tools that might be of independent interest.

연구 동기 및 목표

• 발행 은행에 의존하지 않고도 누구나 지폐를 검증할 수 있는 공개키 양자 머니 체계를 구축하는 것.
• 양자 특화 가정이 아닌 고전적 난이도 가정에 기반한 암호학적 보안을 달성하는 것.
• 위즈너의 원래 체계에서 오랫동안 남아 있던 문제들, 즉 온라인 공격 문제와 거대한 데이터베이스 문제를 해결하는 것.
• 적응형 상호작용이 이루어지는 은행과의 상호작용 동안에도 보존되는 비공개키 양자 머니 체계를 제공하는 것.
• 강력한 보안 보장을 유지하면서도 기존의 양자 머니 체계를 단순화하는 것.

제안 방법

• 유한체 위에서 랜덤 다변수 다항식의 영점 집합으로 양자 머니 상태를 인코딩하고, 이를 통해 숨겨진 부분공간을 정의한다.
• 다항식 평가 오라클이 명시적인 다항식을 대체하는 블랙박스 오라클 모델을 사용하여 절대적 보안 증명이 가능하도록 한다.
• 상태 구별 가능성과 쿼리 복잡도를 분석하기 위해 특화된 암부아니스의 양자 적대자 방법의 신규 변형을 도입한다.
• 암호화된 복제를 성공시키기 위해 필요한 쿼리 수를 제한하기 위해 진폭 강화 및 양자 검색 기법을 적용한다.
• 단 두 번의 측정만 필요한 검증 프로토콜을 설계한다: 하나는 계산 기저에서, 다른 하나는 하다마드 기저에서.
• 작은 오버랩을 가진 상태를 구별하는 데 성공 확률을 제한하는 내적 곱 기반의 적대자 방법을 사용하여 보안을 증명한다.

실험 결과

연구 질문

• RQ1 양자 오라클에 의존하지 않고 고전적 계산 가정만을 사용하여 공개키 양자 머니 체계를 구성할 수 있는가?
• RQ2 적응형 온라인 공격에 대응하여 위즈너의 원래 양자 머니 체계의 보안을 복구할 수 있는가?
• RQ3 적응형으로 은행과 상호작용하는 위조자가 존재하더라도 여전히 보안을 유지하는 비공개키 양자 머니 체계를 설계할 수 있는가?
• RQ4 기본적인 구조가 오라클로 대체되는 블랙박스 모델에서 양자 머니의 보안을 절대적으로 증명할 수 있는가?
• RQ5 양자 위조자가 양자 지폐를 유효한 복제본으로 만들기 위해 필요한 최소 쿼리 수는 얼마인가?

주요 결과

• 제안된 공개키 양자 머니 체계는 랜덤 다변수 다항식의 근을 찾는 것의 난이도에 기반한 고전적 난이도 가정 하에 보안을 확보한다.
• 블랙박스 형태의 체계는 절대적 보안을 확보한다. 즉, 적대자가 숨겨진 부분공간에 오라클 액세스를 가질 수 있더라도 보안이 유지되며, 이는 이전까지는 양자 오라클에 상대적으로만 알려진 결과였다.
• 적응형 상호작용 조건 하에서도 비공개키 양자 머니 체계에 대해 절대적 보안을 달성하여, 분야 내에서 오랫동안 남아 있던 주요 열린 문제를 해결한다.
• 위조자가 $n$-큐비트 상태의 유효한 복제본을 생성하기 위해 최소 $\Omega(2^{n/2})$ 쿼리가 필요하며, 이는 그로버 알고리즘의 하한과 일치한다.
• $k$개의 상태 복제본이 존재할 경우, $k+1$개의 복제본을 생성하기 위한 쿼리 복잡도는 $\Omega(2^{n/2}/\sqrt{k})$이며, 이는 보안이 가용한 복제본 수에 따라 점진적으로 약화됨을 보여준다.
• 작은 오버랩을 가진 양자 상태에 대해 복제 불가능성 정리(복잡도 이론 기반)를 증명하여, 높은 정밀도로 이러한 상태를 복제할 수 있는 효율적인 양자 알고리즘이 존재하지 않음을 보여준다.