[논문 리뷰] Quantum Money from Modular Forms

Daniel M. Kane|arXiv (Cornell University)|2018. 09. 16.

Quantum Computing Algorithms and Architecture참고 문헌 3인용 수 7

한 줄 요약

이 논문은 모듈러 형식의 공간에서 헤크 연산자의 작용을 바탕으로 한 공개키 양자 화폐 체계를 제안한다. 이 체계는 모듈러 형식에서 유도된 가환 유니터리 연산자의 고유상태를 양자 지폐로 사용한다. 이 체계는 표준 양자 블랙박스 가정 하에 안정하며, 보안은 모듈러 형식 표현을 역으로 풀고, 낮은 차수의 계수에서 고유상태를 복구하는 데 계산적으로 어려운 문제에 기반한다.

ABSTRACT

We present a new idea for a class of public key quantum money protocols where the bills are joint eigenstates of systems of commuting unitary operators. We show that this system is secure against black box attacks, and propose an implementation where our operators are obtained as Hecke operators on spaces of modular forms.

연구 동기 및 목표

• 검증을 위해 신뢰할 수 있는 은행과의 상호작용이 필요 없는 실용적인 공개키 양자 화폐 시스템을 개발하는 것.
• 모듈러 형식과 헤크 연산자의 수학적 구조를 활용하여 암호학적으로 어려운 양자 상태를 구성하는 것.
• 모듈러 형식 계수와 이상 계급군 표현의 복잡성에 기반하여 알려진 양자 공격(예: 상태 복원 및 고유값 역전개)에 대한 보안을 확보하는 것.
• 모듈러 형식에서 유도된 유니터리 연산자의 고유상태를 사용하여 비상호작용적이고 고전적으로 검증 가능한 양자 화폐 프로토콜을 제공하는 것.
• HHL 기반 고유값 추정 및 텐서곱 상태 복원 기법과 같은 알려진 공격에 대한 저항성을 입증하는 것.

제안 방법

• 큰 소수 $ N $ 에 대해 차수 2의 촉각형식 공간 $ S_2(\Gamma_0(N)) $ 를 양자 상태의 힐베르트 공간으로 사용한다. 이 공간의 차원은 $ \Theta(N) $ 이다.
• 헤크 연산자 $ T_p $ 는 이 공간에서 가환하고 자기수반인 연산자로 작용하며, 그 지수함수 $ e^{iT_p} $ 는 가환 유니터리 연산자 집합을 이룬다. 이 연산자들은 고유상태를 정의하는 데 사용된다.
• 양자 지폐는 벨 상태 $ |\psi_i\rangle|\psi_i\rangle $ 로 준비되며, 여기서 $ |\psi_i\rangle $ 는 $ e^{iT_p} $ 연산자들의 공동 고유상태이다.
• 일련번호는 고유값 벡터 $ v_i = (z_{i1}, \dots, z_{im}) $ 의 고전적 근사값이며, 정밀도가 $ \epsilon/3 $ 이하이며 디지털 서명이 적용된다.
• 상태 준비 과정은 허브리션 순서의 이상 계열 위에서 거부 샘플링을 사용하여, 이상 계급군 $ \mathrm{Cl}(\mathcal{O}_N) $ 의 대표자들에 대한 균일한 중첩 상태를 생성하고, 이를 바탕으로 필요한 벨 상태를 생성한다.
• 검증은 파괴적이지 않다: 검증자는 상태에서 $ U_i = e^{iT_p} $ 연산자들의 고유값을 측정하여 일련번호와 일치하는지 확인한다.

실험 결과

연구 질문

• RQ1 모듈러 형식과 헤크 연산자의 대수적 구조를 사용하여 공개키 양자 화폐 체계를 구성할 수 있는가?
• RQ2 일련번호에서 양자 지폐의 고유상태를 복구하는 문제는 계산적으로 어려운가?
• RQ3 HHL 기반 고유값 추정 또는 텐서곱 상태 복원과 같은 알려진 양자 공격에 대해 체계가 저항할 수 있는가?
• RQ4 이상 계열에 대한 모듈러 형식의 표현이 충분히 복잡하여 효율적인 상태 복원을 방지할 수 있는가?
• RQ5 이상 계급군 그래프에서의 랜덤 워크가 양자 화폐를 위한 효율적이고 안정적인 상태 준비를 가능하게 하는가?

주요 결과

• 블랙박스 형태의 프로토콜은 단지 유니터리 연산자 $ U_i $ 를 쿼리하는 데 제한된 모든 공격자에 대해 정보론적으로 안정하다. 이 보안은 $ \epsilon $-분리된 상태들의 고유값 구별 가능성에 기반한다.
• 체계는 $ U_i $ 의 분수 승수를 사용하는 공격에 저항한다. 블랙박스 하한은 이러한 경우에도 적용된다.
• 희소 로그 $ U_i $ 를 사용하는 공격도 효율적이지 않다. HHL 스타일 알고리즘은 동일한 블랙박스 모델에 포함되어 있기 때문이다.
• 문헌 [3] 에서 제시된 양자 상태 복원 기법은 적용되지 않는다. 고유상태가 작은 부분계의 텐서곱으로 자연스럽게 분해되지 않기 때문이다.
• 모듈러 형식의 저차수 푸리에 계수에서 전체 상태를 복원하는 것은 이상 계급 대응의 복잡성으로 인해 $ \mathrm{poly}(N) $ 시간 내에 실현 가능할 것으로 보이지 않는다.
• 상태 준비 과정이 $ O(N) $ 개의 상태에서 상수 성공 확률로 거부 샘플링을 사용하므로, 몇백 큐비트만으로도 프로토콜을 효율적으로 구현할 수 있다.