[论文解读] An online attack against Wiesner's quantum money

Andrew Lutomirski|arXiv (Cornell University)|Oct 1, 2010

Quantum Computing Algorithms and Architecture参考文献 4被引用 16

一句话总结

本文证明，如果货币 mint 在返回无效钞票时不销毁它们，威斯纳的量子货币协议将面临在线攻击的威胁。通过使用特殊制备的态查询 mint，攻击者可以在线性时间内逐个量子比特地学习到一张钞票的量子态，仅需 n 次查询即可完美克隆原始钞票。

ABSTRACT

Wiesner's quantum money [5] is a simple, information-theoretically secure quantum cryptographic protocol. In his protocol, a mint issues quantum bills and anyone can query the mint to authenticate a bill. If the mint returns bogus bills when it is asked to authenticate them, then the protocol can be broken in linear time.

研究动机与目标

• 研究在实际实现条件下威斯纳量子货币协议的安全性。
• 分析是否可以利用对 mint 验证服务的在线访问来破坏协议的安全性。
• 证明若 mint 在无效验证响应中泄露量子态，信息论安全性将被打破。
• 表明即使一个完美运行的量子 mint，若返回损坏的钞票，也可能使攻击者实现高效攻击。

提出的方法

• 攻击者制备一个经典-量子态，其中包含一个已知的序列号和一个与目标量子比特互为 X 基共轭的测试态。
• 攻击者使用状态 (s, X_i |$_s⟩) 查询 mint，以确定第 i 个量子比特处于 Z 基还是 X 基。
• 若 mint 返回 INVALID，则返回的态为 |ψ₁⟩⋯|ψᵢ⁻¹⟩|ψᵢ⊥⟩|ψᵢ₊₁⟩⋯|ψₙ⟩，表明原始量子比特为 Z 基本征态。
• 若 mint 返回 VALID，则原始量子比特为 X 基本征态，攻击者可直接在 X 基中测量该量子比特。
• 攻击者对每个量子比特重复此过程，仅用 n 次查询即可学习完整的态描述。
• 在掌握该态后，攻击者可制备并验证任意数量的副本。

实验结果

研究问题

• RQ1 在线攻击者能否利用 mint 在返回无效钞票时的行为，重建威斯纳钞票的量子态？
• RQ2 若 mint 返回无效态，学习一张量子钞票完整态所需的最少查询次数是多少？
• RQ3 若 mint 通过其响应协议泄露量子信息，诺克隆定理是否仍能保护威斯纳的量子货币？
• RQ4 攻击者能否仅通过 mint 的响应（VALID/INVALID）区分单个量子比特的 Z 基与 X 基态？
• RQ5 是否存在一种系统性方法，仅通过类似预言机的访问方式，利用 mint 的验证服务重建钞票的保密量子态？

主要发现

• 该攻击仅需向 mint 查询 n 次即可完全破坏威斯纳量子货币协议，其中 n 为钞票中量子比特的数量。
• 若 mint 返回无效钞票，攻击者可通过观察响应（VALID 或 INVALID）判断每个量子比特处于 Z 基还是 X 基。
• 当 mint 返回无效钞票时，攻击者获得与原始态在目标量子比特上正交的态，可用于推断原始态的基。
• 在掌握每个量子比特的基和值后，攻击者可重构完整的量子态并生成完美克隆。
• 该攻击无需量子态层析或复杂算法，仅使用单量子比特操作和在 Z 基或 X 基中的测量。
• 若 mint 不销毁无效钞票，即使其本身实现完美，协议的信息论安全性也将被破坏。