[논문 리뷰] Why quantum bit commitment and ideal quantum coin tossing are impossible

Hoi‐Kwong Lo, H. F. Chau|ArXiv.org|1996. 05. 16.

Quantum Computing Algorithms and Architecture인용 수 7

한 줄 요약

이 논문은 양자 비트 기록과 이상적인 양자 동전 던지기 프로토콜이 원자력형 공격을 통해 본질적으로 불가능하다는 것을 증명한다. 발신자인 앨리스가 측정을 연기하고 확률적으로 속임수를 쓸 수 있기 때문이다. 저자들은 발신자가 양자 컴퓨터를 보유하고 있으며 양자 상태를 무제한으로 저장할 수 있다면, 이러한 원시 프로토콜은 현실적인 양자 프로토콜로도 안전하지 않음을 보여준다.

ABSTRACT

There had been well known claims of ``provably unbreakable'' quantum protocols for bit commitment and coin tossing. However, we, and independently Mayers, showed that all proposed quantum bit commitment (and therefore coin tossing) schemes are, in principle, insecure because the sender, Alice, can always cheat successfully by using an EPR-type of attack and delaying her measurements. One might wonder if secure quantum bit commitment and coin tossing protocols exist at all. Here we prove that an EPR-type of attack by Alice will, in principle, break {\em any} realistic quantum bit commitment and {\em ideal} coin tossing scheme. Therefore, provided that Alice has a quantum computer and is capable of storing quantum signals for an arbitrary length of time, all those schemes are insecure. Since bit commitment and coin tossing are useful primitives for building up more sophisticated protocols such as zero-knowledge proofs, our results cast very serious doubt on the security of quantum cryptography in the so-called ``post-cold-war'' applications.

연구 동기 및 목표

• 양자 비트 기록과 이상적인 양자 동전 던지기 프로토콜의 보안성을 조사한다.
• ‘증명 불가능한’ 양자 프로토콜에 대한 취약점을 규명한다.
• 발신자인 앨리스가 EPR 유형의 공격을 통해 어떤 프로토콜이라도 항상 무너뜨릴 수 있음을 입증한다.
• 양자 컴퓨터와 장기간의 양자 상태 저장 능력이 이러한 프로토콜을 원칙적으로 불안전하게 만든다는 것을 확립한다.
• 제로 지식 증명과 같은 복잡한 프로토콜에서 양자 암호의 기본 보안 가정을 도전한다.

제안 방법

• 양자 정보 이론을 사용하여 양자 비트 기록과 동전 던지기 프로토콜의 구조를 분석한다.
• 발신자인 앨리스가 EPR 유형의 얽힘 기반 공격를 수행한다.
• 얽힌 큐비트에 대한 측정을 연기할 수 있는 발신자의 능력을 모델링하여 프로토콜 결과를 조작한다.
• 양자 상태 조작과 얽힘 스위칭을 사용하여 발신자가 최종 결과를 제어할 수 있음을 보여준다.
• 원래 증명을 수정하고 중요한 버그를 수정하며 메이어스의 관련 작업을 적절히 참조한다.
• 실제 가정 하에 어떤 프로토콜이라도 이 공격에 취약하다는 것을 보여주는 일반적인 불가능성 결과를 수립한다.

실험 결과

연구 질문

• RQ1 양자 컴퓨팅 능력을 지닌 속임수를 쓰는 발신자에 대해 어떤 양자 비트 기록 프로토콜도 안전한가?
• RQ2 발신자가 양자 상태를 무제한으로 저장할 수 있다는 가정 하에 이상적인 양자 동전 던지기는 가능한가?
• RQ3 양자 비트 기록과 동전 던지기 프로토콜의 불안정성의 근본 원인은 무엇인가?
• RQ4 EPR 유형의 공격가 어떻게 이 프로토콜에서 발신자가 확률적으로 항상 속임수를 쓸 수 있게 하는가?
• RQ5 이 결과들이 고차원 프로토콜에서 양자 암호의 보안을 어느 정도나 뒤흔들 수 있는가?

주요 결과

• 발신자가 EPR 유형의 공격를 수행할 수 있다면, 제안된 모든 양자 비트 기록과 이상적인 양자 동전 던지기 프로토콜은 불안전하다.
• 발신자인 앨리스는 큐비트를 얽히게 하고 기록 단계까지 측정을 연기함으로써 항상 성공적으로 속임수를 쓸 수 있다.
• 실제로 가능한 양자 프로토콜이라면, 발신자가 양자 컴퓨터를 보유하고 있으며 양자 상태를 무제한으로 저장할 수 있다면, 이 불가능성 결과는 항상 성립한다.
• 원래 증명에는 중요한 버그가 있었으며, 수정된 버전에서는 메이어스의 작업을 올바르게 반영하기 위해 이를 수정하였다.
• 이러한 발견은 냉전 후 응용 분야—예를 들어 제로 지식 증명—에서 양자 암호의 보안이 이러한 원시 프로토콜을 통해 보장될 수 없다는 것을 암시한다.
• EPR 공격는 양자 비트 기록과 이상적인 동전 던지기의 보안에 대한 일반적이고 근본적인 위협이며, 이들 프로토콜이 원칙적으로 불가능하다는 것을 의미한다.