[论文解读] Efficient Certifiable Randomness from a Single Quantum Device

Urmila Mahadev, Umesh Vazirani+1 more|arXiv (Cornell University)|Apr 24, 2022

Cryptography and Data Security被引用 4

一句话总结

本文提出一种新型协议，利用单个不受信任的量子设备实现可认证的随机性生成，通过利用抗泄漏学习错误（LWE）构造，实现接近最优的随机性生成速率。该协议在常数轮次内生成 Ω(n) 比特的统计随机输出，通信量为 O(n)，相较于先前工作有显著改进，同时在后量子 LWE 假设下保持安全性。

ABSTRACT

Brakerski et. al [BCM+18] introduced the model of cryptographic testing of a single untrusted quantum device and gave a protocol for certifiable randomness generation. We use the leakage resilience properties of the Learning With Errors problem to address a key issue left open in previous work - the rate of generation of randomness. Our new protocol can certify $Ω(n)$ fresh bits of randomness in constant rounds, where $n$ is a parameter of the protocol and the total communication is $O(n)$, thus achieving a nearly optimal rate. The proof that the output is statistically random is conceptually simple and technically elementary.

研究动机与目标

• 解决先前基于单个量子设备的可认证随机性生成协议中随机性生成速率低的问题。
• 在学习错误（LWE）假设下保持统计安全性的同时，提升随机性生成的效率与速率。
• 通过引入基于抗泄漏性的新型密码学原 primitive，消除对噪声陷门爪无函数（NTCFs）的依赖。
• 与基于并行重复或复杂原 primitive 的先前协议相比，提供更简单、更直接的正确性证明。
• 通过确保设备具备约 n 个量子比特的量子存储能力，同时认证随机性与设备的量子维度。

提出的方法

• 协议使用从学习错误（LWE）问题导出的损失矩阵，该矩阵在计算上不可区分于均匀分布，但具有较大的核，从而支持多个原像。
• 与 NTCFs 中使用的 2 到 1 函数不同，该协议采用 k 到 1 的函数，其中 k 为指数级大，使得每轮可认证 log k 比特的随机性。
• 验证者执行两轮协议：首先发送一个损失矩阵和一个挑战向量；其次通过类似 Hadamard 的测试验证证明者的测量结果。
• 协议利用密码学中的抗泄漏技术，确保任何通过测试的证明者必须准备大量原像的叠加态，从而生成更多随机性。
• 使用量子验证者提取协议，在无需陷道的情况下测试证明者的状态，从而实现对证明者行为的高效验证。
• 安全性证明归约为 LWE 问题的困难性，并利用统计距离界界证明：即使在给定验证者随机问题和经典通信记录的条件下，输出仍具有高最小熵。

实验结果

研究问题

• RQ1 能否仅使用一个不受信任的量子设备，在常数轮次内实现接近最优的随机性生成速率，即每 O(n) 通信量生成 Ω(n) 比特随机输出？
• RQ2 抗泄漏 LWE 构造能否替代 NTCFs，成为量子验证协议中的核心原 primitive？
• RQ3 能否在通信量线性、轮次数恒定的条件下，仍保证在 LWE 假设下输出具有高最小熵？
• RQ4 该协议能否同时认证随机性与设备的量子维度，即证明其至少具备 n 个量子比特的量子存储能力？
• RQ5 当使用损失矩阵而非 NTCFs 时，是否能够实现更简单、更直接的正确性证明？

主要发现

• 该协议在常数轮次内生成 Ω(n) 比特的统计随机输出，实现了接近最优的单位通信成本随机性生成速率。
• 即使在给定验证者随机问题和经典通信记录的条件下，输出的最小熵仍至少为 n − ℓ log q − O(1)。
• 协议在后量子学习错误（QLWE）假设下保持安全性，误差界量化为 ε = 5δ^{1/4} + 忽略项(λ)。
• 正确性证明在概念上简洁且技术上基础，依赖于抗泄漏性，而非 NTCFs 等复杂原 primitive。
• 该协议实现了量子维度的认证：成功通过的证明者必须至少具备 n 个量子比特的量子存储能力，才能生成所需的叠加态。
• 该协议在完整性与可靠性保证上与先前工作保持一致，但效率显著提升，且安全性归约更直接。