[论文解读] Quantum Money from Modular Forms

Daniel M. Kane|arXiv (Cornell University)|Sep 16, 2018

Quantum Computing Algorithms and Architecture参考文献 3被引用 7

一句话总结

该论文提出了一种基于模形式上Hecke算子作用的公钥量子钞票方案，利用从模形式导出的对易酉算子的本征态作为量子钞票。该方案在标准量子黑箱假设下具有安全性，其安全性基于模形式表示的可逆性困难性以及从低次系数恢复本征态的计算难度。

ABSTRACT

We present a new idea for a class of public key quantum money protocols where the bills are joint eigenstates of systems of commuting unitary operators. We show that this system is secure against black box attacks, and propose an implementation where our operators are obtained as Hecke operators on spaces of modular forms.

研究动机与目标

• 开发一种实用的公钥量子钞票系统，无需与可信银行交互即可完成验证。
• 利用模形式与Hecke算子的数学结构，构造密码学上困难的量子态。
• 通过依赖模形式系数与理想类群表示的复杂性，确保对已知量子攻击（包括态重构与本征值反演）的抵抗力。
• 提供一种非交互式、经典可验证的量子钞票协议，利用从模形式导出的酉算子的本征态。
• 证明该方案可抵抗已知攻击，如基于HHL的本征值估计与张量积态恢复技术。

提出的方法

• 该方案使用大素数 $ N $ 的权-2尖点形式空间 $ S_2(\Gamma_0(N)) $ 作为量子态的希尔伯特空间，其维度为 $ \Theta(N) $。
• Hecke算子 $ T_p $ 在该空间上作用为对易的自伴算子，其指数形式 $ e^{iT_p} $ 构成一组对易酉算子，用于定义本征态。
• 量子钞票以贝尔态 $ |\psi_i\rangle|\psi_i\rangle $ 的形式制备，其中 $ |\psi_i\rangle $ 是 $ e^{iT_p} $ 算子的联合本征态。
• 序列号是本征值向量 $ v_i = (z_{i1}, \dots, z_{im}) $ 的经典近似，精度低于 $ \epsilon/3 $，并经过数字签名。
• 态制备用拒绝采样方法在四元数阶的理想类上进行，生成理想类群 $ \mathrm{Cl}(\mathcal{O}_N) $ 的代表元的均匀叠加，随后用于生成所需的贝尔态。
• 验证是非破坏性的：验证者在态上测量 $ U_i = e^{iT_p} $ 算子的本征值，检查其与序列号的一致性。

实验结果

研究问题

• RQ1 能否利用模形式与Hecke算子的代数结构构造公钥量子钞票方案？
• RQ2 从序列号恢复量子钞票本征态的问题在计算上是否困难？
• RQ3 该方案能否抵抗已知的量子攻击，如基于HHL的本征值估计或张量积态恢复？
• RQ4 以理想类表示模形式是否足够复杂，以防止高效态重构？
• RQ5 在类群图上使用随机游走是否能实现高效且安全的量子钞票态制备？

主要发现

• 该协议的黑箱版本对任何仅能查询酉算子 $ U_i $ 的敌手具有信息论安全性，其安全性依赖于 $ \epsilon $-分离态的本征值可区分性。
• 该方案能抵抗使用 $ U_i $ 的分数幂的攻击，因为黑箱下界可推广至此类情形。
• 使用 $ U_i $ 的稀疏对数不构成有效攻击，因为HHL风格算法已被包含在相同的黑箱模型中。
• 文献[3]中的量子态恢复技术不适用，因为本征态不能自然地分解为小子系统的张量积。
• 由于理想类对应关系的复杂性，从模形式的低次傅里叶系数重构完整态在 $ \mathrm{poly}(N) $ 时间内极不可能实现。
• 该协议可高效实现，仅需数百量子比特，因为态制备用拒绝采样方法在 $ O(N) $ 个态上进行，且成功概率恒定。