[论文解读] Quantum Money from Hidden Subspaces

Scott Aaronson, Paul F. Christiano|Mar 21, 2012

Quantum Computing Algorithms and Architecture参考文献 38被引用 54

一句话总结

该论文提出了首个在经典困难假设下具有密码学安全性的公钥量子货币方案，利用随机多元多项式的零点集编码隐藏子空间。该方案在黑箱设置下实现无条件安全，验证者仅需执行两次基测试（计算基与哈达玛基），并引入一种新型量子敌手方法，以证明对自适应伪造者的安全性。

ABSTRACT

Forty years ago, Wiesner pointed out that quantum mechanics raises the striking possibility of money that cannot be counterfeited according to the laws of physics. We propose the first quantum money scheme that is (1) public-key, meaning that anyone can verify a banknote as genuine, not only the bank that printed it, and (2) cryptographically secure, under a "classical" hardness assumption that has nothing to do with quantum money. Our scheme is based on hidden subspaces, encoded as the zero-sets of random multivariate polynomials. A main technical advance is to show that the "black-box" version of our scheme, where the polynomials are replaced by classical oracles, is unconditionally secure. Previously, such a result had only been known relative to a quantum oracle (and even there, the proof was never published). Even in Wiesner's original setting -- quantum money that can only be verified by the bank -- we are able to use our techniques to patch a major security hole in Wiesner's scheme. We give the first private-key quantum money scheme that allows unlimited verifications and that remains unconditionally secure, even if the counterfeiter can interact adaptively with the bank. Our money scheme is simpler than previous public-key quantum money schemes, including a knot-based scheme of Farhi et al. The verifier needs to perform only two tests, one in the standard basis and one in the Hadamard basis -- matching the original intuition for quantum money, based on the existence of complementary observables. Our security proofs use a new variant of Ambainis's quantum adversary method, and several other tools that might be of independent interest.

研究动机与目标

• 构建一种公钥量子货币方案，使任何人无需依赖发行银行即可验证货币。
• 基于经典计算困难假设实现密码学安全性，而非依赖于量子特定假设。
• 解决威斯纳原始方案中的长期难题，包括在线攻击问题与巨型数据库问题。
• 提供一种在与银行自适应交互下仍保持安全的私钥量子货币方案。
• 在保持强安全保证的同时，简化现有量子货币构造。

提出的方法

• 在有限域上，将量子货币态编码为随机多元多项式的零点集，定义隐藏子空间。
• 采用黑箱预言机模型，用多项式求值预言机替代显式多项式，实现无条件安全证明。
• 提出阿姆巴伊内斯量子敌手方法的一种新变体，专用于分析态的可区分性与查询复杂度。
• 应用幅度放大与量子搜索技术，以界定伪造者成功所需的查询次数。
• 设计仅需两次测量的验证协议：一次在计算基，一次在哈达玛基。
• 通过基于内积的敌手方法证明安全性，该方法界定了在态重叠较小时区分态的成功概率。

实验结果

研究问题

• RQ1 能否仅基于经典计算假设构造公钥量子货币方案，而无需依赖量子预言机？
• RQ2 威斯纳原始量子货币方案的安全性能否在自适应在线攻击下得到修复？
• RQ3 能否设计一种私钥量子货币方案，使其在伪造者与银行自适应交互时仍保持安全？
• RQ4 能否在黑箱模型中无条件证明量子货币的安全性，其中底层结构由预言机替代？
• RQ5 量子敌手为生成有效量子钞票副本，至少需要多少次查询？

主要发现

• 所提出的公钥量子货币方案在经典困难假设下具有安全性，具体而言，即难以找到随机多元多项式的根。
• 该方案的黑箱版本具有无条件安全性，意味着即使敌手拥有对隐藏子空间的预言机访问权限，安全性依然成立，此前此类结果仅在相对于量子预言机时成立。
• 该方案在自适应交互下对私钥量子货币也实现了无条件安全，解决了该领域一个长期存在的重大开放问题。
• 伪造者至少需要 $\Omega(2^{n/2})$ 次查询才能生成一个 $n$-量子比特态的有效副本，与格罗弗算法的下界一致。
• 对于 $k$ 份同一态的副本，生成 $k+1$ 份副本的查询复杂度为 $\Omega(2^{n/2}/\sqrt{k})$，表明安全性随可用副本数的增加而渐进式退化。
• 本文证明了针对重叠较小的量子态的复杂性理论不可克隆定理，表明不存在高效的量子算法能以高保真度克隆此类态。