[论文解读] Quantum Prudent Contracts with Applications to Bitcoin

Or Sattath|arXiv (Cornell University)|Apr 27, 2022

Quantum Computing Algorithms and Architecture被引用 4

一句话总结

本文提出了量子审慎合约——一种利用量子态强制执行比特币类系统中金融承诺的密码学协议。通过将交易输出绑定至量子纠缠态并使用量子签名，该方案确保只有在提供正确量子态时才能支出资金，从而实现对经典攻击者的可证明安全性，并支持新型托管和原子互换机制。

ABSTRACT

Smart contracts are cryptographic protocols that are enforced without a judiciary. Smart contracts are used occasionally in Bitcoin and are prevalent in Ethereum. Public quantum money improves upon cash we use today, yet the current constructions do not enable smart contracts. In this work, we define and introduce quantum payment schemes, and show how to implement prudent contracts -- a non-trivial subset of the functionality that a network such as Ethereum provides. Examples discussed include: multi-signature wallets in which funds can be spent by any 2-out-of-3 owners; restricted accounts that can send funds only to designated destinations; and "colored coins" that can represent stocks that can be freely traded, and their owner would receive dividends. Our approach is not as universal as the one used in Ethereum since we do not reach a consensus regarding the state of a ledger. We call our proposal prudent contracts to reflect this. The main building block is either quantum tokens for digital signatures (Ben-David and Sattath QCrypt'17, Coladangelo et al. Crypto'21), semi-quantum tokens for digital signatures (Shmueli'22) or one-shot signatures (Amos et al. STOC'20). The solution has all the benefits of public quantum money: no mining is necessary, and the security model is standard (e.g., it is not susceptible to 51\% attacks, as in Bitcoin). Our one-shot signature construction can be used to upgrade the Bitcoin network to a quantum payment scheme. Notable advantages of this approach are: transactions are locally verifiable and without latency, the throughput is unbounded, and most importantly, it would remove the need for Bitcoin mining. Our approach requires a universal large-scale quantum computer and long-term quantum memory; hence we do not expect it to be implementable in the next few years.

研究动机与目标

• 设计一种密码学框架，将比特币中的金融承诺与量子态绑定，确保仅当提供正确量子态时才能访问资金。
• 通过利用量子特性（如态不可克隆性和测量坍缩）来应对经典攻击者伪造或操纵交易输出的风险。
• 利用量子态作为密码学原原子，实现安全、可验证的托管与原子互换协议。
• 形式化定义一类新型智能合约——量子审慎合约，其金融结果取决于量子态的存在性与正确性。
• 证明量子态可作为去中心化系统中“知识证明”的一种形式，从而在经典密码学基础上进一步增强信任与安全性。

提出的方法

• 该协议使用与账户关联的量子态 |€⟩ 来绑定交易输出，确保只有正确量子态的持有者才能授权支出。
• 从一个随机值 x 计算经典哈希 h(x)，并将输出 m 构造为包含 b_€ 份账户和哈希 y=h(x) 的 SimpleOutputScript，形成承诺。
• 使用无伪造签名方案（US）对量子态 |€⟩ 和消息 m 生成量子签名 σ，将签名与量子态绑定。
• 协议中的每个见证人 pwit_i^€ 包含账户、消息、签名、索引 i、未使用字段的空值以及量子见证，以验证量子态的有效性。
• 协议执行余额检查：若账户余额与预期输出数量不匹配（b ≠ b_€），则中止交易，确保一致性。
• 协议使用安全支付函数（SimplePay）将资金从鲍勃的账户转移至爱丽丝的账户，包含两种货币的见证，并在最终确认前验证余额。

实验结果

研究问题

• RQ1 能否将量子态用作密码学原原子，以在比特币类系统中强制执行金融承诺？
• RQ2 如何将量子签名与经典区块链交易逻辑集成，以确保只有量子态的合法持有者才能支出资金？
• RQ3 何种机制可确保即使在计算能力无限的经典攻击者也无法伪造或操纵交易输出？
• RQ4 量子审慎合约能否用于实现无需依赖可信第三方的安全原子互换或托管系统？
• RQ5 区块链协议在安全绑定交易输出至量子态的同时，维持可验证性与一致性，其最小要求是什么？

主要发现

• 该协议通过经典承诺与量子签名的结合，成功将交易输出绑定至量子态，确保只有正确量子态的持有者才能授权支出。
• 量子签名的使用可防止经典伪造，其安全性依赖于量子签名方案的无伪造性以及量子不可克隆定理。
• 协议通过余额检查强制保证一致性：若输出数量与预期值不匹配，则中止交易，防止不一致。
• 该方案通过要求有效量子态的存在作为资金释放条件，实现了安全、可验证的托管与原子互换协议。
• 该协议证明了量子态可作为去中心化系统中“知识证明”的一种形式，从而在经典密码学基础上进一步增强安全性。
• 该框架在符号模型中形式化定义且可执行，表明其在标准量子密码学假设下可实现既定安全目标。