[论文解读] Authentication of Quantum Messages

Howard Barnum, Claude Crépeau+3 more|University of North Texas Digital Library (University of North Texas)|May 20, 2002

Quantum Information and Cryptography被引用 3

一句话总结

本文提出了一种非交互式量子认证方案，允许发送方与接收方使用经典私钥安全传输量子信息。通过利用基于量子纠错码的新型纯度检测协议，该方案在安全参数下实现了指数级小的失败概率，具备无条件安全性，仅需 $2m + O(s)$ 个经典密钥比特即可认证 $m$ 个量子比特，并证明了量子信息认证本质上需要加密，因此量子态的数字签名在理论上不可能实现。

ABSTRACT

Authentication is a well-studied area of classical cryptography: a sender S and a receiver R sharing a classical private key want to exchange a classical message with the guarantee that the message has not been modified by any third party with control of the communication line. In this paper we define and investigate the authentication of messages composed of quantum states. Assuming S and R have access to an insecure quantum channel and share a private, classical random key, we provide a non-interactive scheme that enables S both to encrypt and to authenticate (with unconditional security) an m qubit message by encoding it into m+s qubits, where the failure probability decreases exponentially in the security parameter s. The classical private key is 2m+O(s) bits. To achieve this, we give a highly efficient protocol for testing the purity of shared EPR pairs. We also show that any scheme to authenticate quantum messages must also encrypt them. (In contrast, one can authenticate a classical message while leaving it publicly readable.) This has two important consequences: On one hand, it allows us to give a lower bound of 2m key bits for authenticating m qubits, which makes our protocol asymptotically optimal. On the other hand, we use it to show that digitally signing quantum states is impossible, even with only computational security.

研究动机与目标

• 对量子信息认证的概念进行形式化定义，将其与经典消息认证区分开来，原因在于不可克隆定理以及测量导致的态扰动。
• 设计一种高效且非交互式的协议，仅使用经典私钥即可对 $m$-量子比特的量子信息进行认证和加密。
• 建立量子信息认证所需密钥大小的下限，证明 $2m$ 个比特是确保安全性的必要条件。
• 证明即使在计算安全性下，量子态的数字签名也是不可能的，原因在于量子环境下认证与加密之间存在根本性关联。

提出的方法

• 从保真度保持和认证态与原始态在对抗性干扰下不可区分的角度定义量子信息认证。
• 利用具有覆盖性质的量子纠错码族构造纯度检测协议：任意保罗i错误均能被该族中的大多数码检测到。
• 使用射影几何构建显式码族，支持仅需 $O(s)$ 经典通信的高效纯度检测协议。
• 应用量子到经典约化技术（Lo-Chau）证明纯度检测协议在对抗性窃听下依然安全。
• 将纯度检测协议整合到完整的认证方案中：发送方使用经典密钥和纯度检测将 $m$-量子比特消息编码为 $m+s$ 个量子比特。
• 证明任何认证方案都必须同时对消息进行加密，原因在于测量会扰动量子态，而这一现象在经典信息中不会发生。

实验结果

研究问题

• RQ1 是否可以仅使用经典私钥，在发送方与接收方之间不进行交互的情况下实现量子信息认证？
• RQ2 无条件认证 $m$ 个量子比特所需的最小密钥大小是多少？该界限是否紧致？
• RQ3 为何量子信息认证在本质上不同于经典信息认证，特别是为何加密是必需的？
• RQ4 在量子力学的约束下，即使具有计算安全性，是否可能对量子态进行数字签名？
• RQ5 能否构造一种高效的纯度检测协议，以验证共享的贝尔对完整性进行验证，而无需尝试纠错？

主要发现

• 所提出的认证方案在安全参数 $s$ 下实现了指数级小的失败概率，确保原始量子态与接收态之间具有高保真度。
• 该方案认证 $m$ 个量子比特仅需 $2m + O(s)$ 个经典密钥比特，且该密钥大小在渐近意义上是最优的。
• 基于具有覆盖性质的量子纠错码的纯度检测协议，可仅通过 $O(s)$ 经典通信高效验证贝尔对的完整性。
• 本文证明，任何认证量子信息的方案都必须同时对消息进行加密，原因在于测量会扰动量子态，而经典信息中不会出现此现象。
• 即使在计算安全性下，对量子态进行数字签名也是不可能的，因为任何此类方案都将意味着能够以高保真度区分量子态，从而违反量子不可区分性原理。
• 通过证明部分密钥泄露可通过超密集编码提取信息，建立了 $m$-量子比特认证所需密钥大小的下限 $2m$，表明密钥必须至少包含 $2m(1 - \text{poly}(\epsilon))$ 个比特。