[论文解读] Quantum Digital Signatures

Daniel Gottesman, Isaac L. Chuang|ArXiv.org|May 8, 2001

Quantum Computing Algorithms and Architecture被引用 163

一句话总结

本文提出了一种基于量子单向函数的量子数字签名方案，使用量子态作为公钥，实现信息论安全性。与经典方案不同，该方案即使在面对量子攻击者时也能确保签名不可伪造，其安全性仅在公钥副本严格受限时得以维持，从而允许多个接收方无需合谋即可实现通用验证。

ABSTRACT

We present a quantum digital signature scheme whose security is based on fundamental principles of quantum physics. It allows a sender (Alice) to sign a message in such a way that the signature can be validated by a number of different people, and all will agree either that the message came from Alice or that it has been tampered with. To accomplish this task, each recipient of the message must have a copy of Alice's "public key," which is a set of quantum states whose exact identity is known only to Alice. Quantum public keys are more difficult to deal with than classical public keys: for instance, only a limited number of copies can be in circulation, or the scheme becomes insecure. However, in exchange for this price, we achieve unconditionally secure digital signatures. Sending an m-bit message uses up O(m) quantum bits for each recipient of the public key. We briefly discuss how to securely distribute quantum public keys, and show the signature scheme is absolutely secure using one method of key distribution. The protocol provides a model for importing the ideas of classical public key cryptography into the quantum world.

研究动机与目标

• 通过利用量子力学原理，开发一种对量子攻击者安全的数字签名方案。
• 证明仅使用量子公钥即可实现无条件安全的数字签名，这与经典方案不同。
• 解决经典数字签名方案的局限性，后者依赖于对量子攻击敏感的计算假设。
• 探讨量子公钥密码学的可行性与限制，特别是关于密钥分发和密钥重用的问题。

提出的方法

• 该方案使用单向函数的量子类比，其中经典比特串映射到特定的量子态作为公钥。
• 每位接收方持有爱丽丝的量子公钥副本，即一组已知的量子态，用于验证签名。
• 签名消息涉及将消息编码为量子态，并使用私钥生成可与公钥验证的签名态。
• 通过将签名态与公钥态进行测量比对来执行验证，一致结果表示签名真实或存在篡改。
• 协议通过不可克隆定理以及测量未知量子态会扰动其状态的特性来确保安全性，从而防止伪造。
• 通过限制公钥副本数量来保障密钥分发安全，防止态层析攻击。

实验结果

研究问题

• RQ1 能否仅基于量子力学原理构建一种对量子攻击者安全的数字签名方案？
• RQ2 在数字签名方案中使用量子态作为公钥的根本限制是什么？
• RQ3 如何在不损害方案无条件安全性的前提下，安全地分发量子公钥？
• RQ4 是否可以最小化资源需求（尤其是密钥长度和消息大小）同时保持安全性？
• RQ5 是否可能在量子数字签名中实现密钥重用？若不能，原因是什么？

主要发现

• 该方案基于量子力学实现无条件安全，即使面对计算能力无限的攻击者（包括量子计算机）也保持安全。
• 若公钥副本数量超过有限限制，方案安全性将下降，因为这会引发态层析攻击并导致经典伪造。
• 每条消息签名需要 O(m) 个量子比特，其中 m 为消息长度，每位接收方必须持有公钥副本。
• 私钥长度 L 必须至少等于流通中的公钥总数 T，其长度随接收方数量呈线性或二次方增长。
• 签名消息的长度与 L 呈线性关系，表明可通过优化将其缩减至对数规模。
• 该协议支持由接收方（鲍勃）发起的安全密钥交换，即使爱丽丝无法验证鲍勃的身份，鲍勃也可使用爱丽丝的量子公钥验证其身份。