[논문 리뷰] The Trouble with Quantum Bit Commitment

Dominic Mayers|ArXiv.org|1996. 03. 11.

Quantum Information and Cryptography참고 문헌 9인용 수 69

한 줄 요약

이 논문은 이전의 보안 주장에도 불구하고, Brassard-Crépeau-Jozsa-Langlois (BCJL) 양자 비트 구속 프로토콜이 비안전하다는 최초의 완전한 증명을 제공한다. 저자는 양자 얽힘과 신뢰도 기반 상태 식별을 활용하여, 앨리스가 최소 4/25의 성공 확률로 속일 수 있는 사기 전략을 제시함으로써 비트 구속의 유한성 조건을 위반한다.

ABSTRACT

In a recent paper, Lo and Chau explain how to break a family of quantum bit commitment schemes, and they claim that their attack applies to the 1993 protocol of Brassard, Crépeau, Jozsa and Langlois (BCJL). The intuition behind their attack is correct, and indeed they expose a weakness common to all proposals of a certain kind, but the BCJL protocol does not fall in this category. Nevertheless, it is true that the BCJL protocol is insecure, but the required attack and proof are more subtle. Here we provide the first complete proof that the BCJL protocol is insecure.

연구 동기 및 목표

• 이전의 보안 주장에 대비하여 BCJL 양자 비트 구속 프로토콜이 비안전하다는 엄밀하고 완전한 증명을 제공하는 것.
• 로와 초의 공격이 BCJL에 적용되지 않음을 명확히 하고, 프로토콜의 고유한 구조로 인해 더 미묘한 공격 전략이 필요하다는 것을 밝히는 것.
• 사기자인 앨리스가 양자 얽힘과 상태 신뢰도를 활용하여 성공적으로 사기할 수 있음을 보여주어 비트 구속의 유한성 조건을 위반하는 것.
• 비트 구속에 의존하는 양자 프로토콜(예: 무지식 전송)의 보안성이 비트 구속이 비안전할 경우 여전히 불확실하다는 것을 보여주는 것.
• 광자 방향을 뒤집은 BCJL의 변형조차도 더 깊은 양자 정보이론적 결함으로 인해 실패한다는 것을 입증하는 것.

제안 방법

• U르만의 정리에 따라 비트 0과 1에 해당하는 밀도 행렬 ρ₀와 ρ₁의 순수화를 구성하는 것.
• 앨리스의 보조 큐비트와 보브의 큐비트로 구성된 복합 시스템에 대한 공동 측정 M₁을 정의하여 보브의 검증 테스트 T₁에 대응시키는 것.
• ρ₀와 ρ₁ 사이의 신뢰도 F를 사용하여 바타차리야-우터스 거리의 하한을 도출하고, F ≥ 1 − 2ε임을 보이는 것.
• 삼각 부등식과 노름 한계를 적용하여, 보수가 사기적 구속을 수락할 확률이 하한으로 유계임을 보이는 것.
• Pr(T₁(ok)|Φ=ϕ₁) ≥ 1−ε′이면, Pr(T₁(ok)|Φ=ϕ₀) ≥ 1−ε′−4√ε임을 이용하여, 비노출된 사기 확률을 도출하는 것.
• 양자 측정의 등급 변환 및 사영 형식을 사용하여, 앨리스와 보브의 측정이 얽힌 상태에서 공동으로 작용하는 방식을 모델링하는 것.

실험 결과

연구 질문

• RQ1 이전에 보안이 보장된 것으로 주장되었지만, BCJL 양자 비트 구속 프로토콜은 실제로 안전하게 구현될 수 있는가?
• RQ2 로와 초의 공격 전략이 왜 BCJL 프로토콜에 적용되지 않으며, 어떤 대안적 공격 전략이 필요한가?
• RQ3 앨리스가 양자 얽힘과 상태 식별을 사용하여 BCJL 프로토콜에서 얻을 수 있는 최대 사기 확률은 얼마인가?
• RQ4 밀도 행렬 ρ₀와 ρ₁ 사이의 신뢰도는 프로토콜에서 사기 성공 확률과 어떻게 관련이 있는가?
• RQ5 광자 방향을 뒤집은 BCJL 프로토콜의 변형도 더 깊은 양자 정보이론적 제약으로 인해 여전히 비안전한가?

주요 결과

• 사기자인 앨리스가 얽힌 상태를 준비함으로써 최소 4/25의 성공 확률로 사기할 수 있기 때문에 BCJL 프로토콜은 비안전하다.
• 두 비트에 해당하는 밀도 행렬 ρ₀와 ρ₁ 사이의 신뢰도 F는 F ≥ 1 − 2ε를 만족하며, 여기서 ε는 작은 오차 파라미터이다.
• 바타차리야-우터스 거리 BW는 1−2ε 이하로 하한이 있으며, 이 하한은 직접적으로 신뢰도 F와 관련이 있다.
• 우르만의 정리를 사용하여, ρ₀와 ρ₁의 순수화인 |ϕ₀⟩와 |ϕ₁⟩가 존재하며, |⟨ϕ₀|ϕ₁⟩|² ≥ 1−2ε임을 보장할 수 있다.
• 앨리스가 실제로 b=0을 구속했음에도 보브가 사기적 구속(b=1)을 수락할 확률은 1−ε′−4√ε 이하로 유계이며, 여기서 ε′=1/25이다.
• 이로 인해 최소 4/25의 사기 확률이 발생하며, 이는 비노출된 확률이므로 비트 구속의 유한성 조건을 위반한다.