ノイズストレージモデル

ノイズストレージモデル[ ^1]は、量子暗号 で採用されている暗号モデルを指します。このモデルでは、プロトコルを破ろうとする攻撃者（敵対者）の量子メモリデバイスが不完全（ノイズが多い）であると想定しています。このモデルの主な目的は、ビットコミットメント、忘却転送、安全な識別などの2者間暗号プリミティブの安全な実装を可能にすることです。

量子通信は、暗号鍵の配布に非常に有効であることが証明されています。量子通信では、遠く離れた 2 人の当事者であるアリスとボブが、量子ビット(量子ビット) を互いに送信することで、小さな初期秘密鍵を任意の長さの秘密鍵に拡張できます。最も重要なのは、通信を盗聴しようとする盗聴者が、長い鍵に関する情報を傍受できないことが証明されていることです。これは量子鍵配布(QKD) として知られています。

しかし、量子通信でさえ、他の多くの2者間暗号化タスクの安全な実装は許可されないことが示されている。^{[2] [3] [4] [5]これらはすべて、}安全な関数評価の例を形成します。 一例は、忘却転送です。 これらのタスクが鍵配布と異なるのは、お互いを信頼していない2者、アリスとボブの間の問題を解決することを目的としている点です。 つまり、盗聴者のような外部の当事者は存在せず、アリスとボブだけが存在するということです。 直感的には、この信頼の欠如が問題を困難にしているのです。量子鍵配布とは異なり、アリスとボブは盗聴活動を検出するために協力することはできません。 代わりに、各当事者が自力で対処しなければなりません。

安全な識別のようなタスクは実際的な関心事であるため、敵がどれほど強力であるかに関する仮定を立てる傾向があります。これらの仮定が満たされている限り、セキュリティは維持されます。量子ツールを使用しない従来の暗号化では、これらのほとんどは計算上の仮定です。このような仮定は 2 つの部分で構成されます。まず、特定の問題を解決することが困難であると仮定します。たとえば、大きな整数を素因数分解するのは難しいと仮定します(例: 15=5x3)。次に、敵の計算能力は限られており、つまり、選択した問題を解決するために必要である (と考えられる) ものよりも少ないと仮定します。

情報理論的暗号では、いかなる困難性仮定にも依存せず、単に他のリソースに制限があると仮定する物理的仮定が登場する。古典的暗号では、Ueli Maurerによって導入された有限記憶モデルは、敵対者が一定数の古典的ビットしか保存できないと仮定している。 ^{[6] [7]}敵対者の記憶容量が小さい限り、あらゆる暗号化タスクの安全な実装を (原理的には) 許可するプロトコルが知られている。非常に直感的に、この仮定の下では、敵対者はどの情報を保存するかを選択しなければならないため、セキュリティが可能になる。つまり、プロトコルは事実上、敵対者の記憶装置をオーバーフローさせ、敵対者にとって必然的に情報が不足することになる。後に、正直な当事者がそれを正常に実行するためにビットを保存することを要求する古典的プロトコルは、約ビット以上を保存できる敵対者によって破られることが発見された。 ^[8]つまり、プロトコルを実行するために必要なものとセキュリティを破るために必要なものとの間のギャップは比較的小さい。 ${\displaystyle n}$${\displaystyle O(n^{2})}$

このギャップは、量子通信^[9]を使用すると劇的に変化します 。つまり、アリスとボブはプロトコルの一部として量子ビットを互いに送信できます。同様に、敵対者の量子ストレージは特定の数の量子ビットに制限されていると仮定します。敵対者が保存できる古典的なビットの数に制限はありません。これは、制限付き量子ストレージモデルとして知られています。^{[9] [10]}正直な当事者が実行するために量子ストレージをまったく必要としない量子プロトコルが存在することが示されましたが、それでもアリスが敵対者が保存できる数の2倍を超える量子ビットを送信する限り安全です。

より一般的には、敵対者が記憶装置に保存できる情報量が限られている限り、セキュリティは可能である。この直感は、ノイジー記憶モデル^[1]によって捉えられており、このモデルには、限定量子記憶モデルが特別なケースとして含まれている。^[11]このような制限は、たとえば、記憶装置が非常に大きいが非常に不完全な場合に発生する可能性がある。情報理論では、このような不完全な記憶装置は、ノイジーチャネルとも呼ばれる。このより一般的なモデルの動機は3つある。第1に、敵対者が利用できる可能性のある、はるかに一般的な記憶装置についてのステートメントを作成できること。第2に、送信される信号、または記憶装置自体が、次元が無限であり、追加の制約なしに限定記憶仮定では捉えられない連続変数を使用する場合、セキュリティステートメントを作成できる。第3に、信号自体の次元が小さい場合でも、ノイジー記憶解析により、限定記憶自体がセキュリティステートメントを作成できる領域を超えたセキュリティが可能になる。たとえば、ストレージ チャネルがエンタングルメントを破壊している場合、ストレージ デバイスが任意の大きさであっても (つまり、何らかの制限がない場合でも) セキュリティは実現可能です。

ノイズストレージモデルの仮定は、プロトコルに導入された待機時間中、攻撃者はノイズメモリデバイスにのみ量子情報を保存できるというものです。 ^[11]このようなデバイスは、入力状態をいくつかのノイズ出力状態に変換する量子チャネルにすぎません。それ以外の場合、攻撃者は全能です。たとえば、無制限の量の古典情報を保存し、あらゆる計算を瞬時に実行できます。 ${\displaystyle \Delta t}$ ${\displaystyle {\mathcal {F}}:{\mathcal {S}}({\mathcal {H}}_{\rm {in}})\rightarrow {\mathcal {S}}({\mathcal {H}}_{\rm {out}})}$ ${\displaystyle \rho _{\rm {in}}\in {\mathcal {S}}({\mathcal {H}}_{\rm {in}})}$${\displaystyle \rho _{\rm {out}}\in {\mathcal {S}}({\mathcal {H}}_{\rm {out}})}$

後者の仮定は、たとえ計算的に非常に困難であっても（つまり、長い時間を要するとしても）、ノイズの多い記憶装置を使用する前と後に、あらゆる形式の誤り訂正符号化を実行できることも意味します。この文脈では、これは一般に符号化攻撃および復号化攻撃と呼ばれます。敵対者の古典的メモリは任意の大きさになる可能性があるため、符号化は記憶装置への入力として何らかの量子状態を生成するだけでなく、古典的情報を出力することもあります。敵対者の復号化攻撃では、この余分な古典的情報だけでなく、待機時間が経過した後に敵対者が得る可能性のある追加情報も利用できます。 ${\displaystyle {\mathcal {E}}}$${\displaystyle {\mathcal {D}}}$${\displaystyle {\mathcal {E}}}$${\displaystyle {\mathcal {F}}}$${\displaystyle {\mathcal {D}}}$

実際には、メモリ セルで構成されるストレージ デバイスが検討されることが多く、各メモリ セルはノイズの影響を受けます。情報理論の用語で言えば、これはデバイスが という形式を持ち、 が次元 のメモリ セルに作用するノイズの多い量子チャネルであることを意味します。 ${\displaystyle N}$${\displaystyle {\mathcal {F}}={\mathcal {N}}^{\otimes N}}$${\displaystyle {\mathcal {N}}:S(\mathbb {C} ^{d})\rightarrow S(\mathbb {C} ^{d})}$${\displaystyle d}$

• ストレージデバイスは量子ビットで構成され、各量子ビットは脱分極ノイズの影響を受けます。つまり、は2 次元の脱分極チャネルです。${\displaystyle N}$ ${\displaystyle {\mathcal {F}}={\mathcal {N}}^{\otimes N}}$${\displaystyle {\mathcal {N}}(\rho )=\lambda \rho +(1-\lambda ){\mathsf {id}}/2}$
• ストレージデバイスは、ノイズのない量子ビットで構成されています。これは、境界付き量子ストレージの特殊なケースに対応します。つまり、 であり、 は恒等チャネルです。${\displaystyle N}$ ${\displaystyle {\mathcal {F}}={\mathsf {id}}^{\otimes N}}$${\displaystyle {\mathsf {id}}}$

ほとんどのプロトコルは2つのステップで進行します。まず、アリスとボブは2つまたは3つの相互に偏りのない基数でエンコードされた量子ビットを交換します。これらは、量子鍵配布のBB84または6状態プロトコルで使用されるのと同じエンコードです。通常、これはアリスがそのような量子ビットをボブに送信し、ボブが到着後すぐにそれを測定するという形をとります。これには、アリスとボブがプロトコルを実行するために量子ストレージを必要としないという利点があります。さらに、そのような量子ビットを作成することは実験的に比較的容易であるため、現在利用可能な技術を使用してそのようなプロトコルを実装することが可能です。^[12]${\displaystyle n}$

2 番目のステップは、ステップ 1 で取得した測定データに対して従来の後処理を実行することです。使用される手法は、該当するプロトコルによって異なり、プライバシー増幅、エラー訂正コード、最小エントロピー サンプリング、インタラクティブ ハッシュなどが含まれます。

すべての2者間暗号化タスクが安全に実装できることを実証するための一般的なアプローチは、安全な関数評価に普遍的であることがわかっている単純な暗号化プリミティブを実装できることを示すことです。つまり、そのような暗号化プリミティブのプロトコルを構築できれば、このプリミティブを基本的な構成要素として使用して、他のすべてのタスクを実装できます。そのようなプリミティブの1つが、忘却転送です。同様に、忘却転送は、弱い文字列消去と呼ばれるさらに単純な構成要素と、プライバシー増幅などの暗号化技術を組み合わせて構築できます。

現在までに提案されたすべてのプロトコルでは、当事者の一方 (アリス) が、ノイズのない量子メモリを無制限に持つことができます。つまり、ノイズのあるストレージの仮定は、当事者の一方 (ボブ) にのみ適用されます。形式のストレージ デバイスの場合、次の条件のいずれかが満たされる場合はいつでも、弱い文字列の消去と忘却転送によって、2 者間の暗号化タスクを安全に実装できることがわかっています。 ${\displaystyle {\mathcal {F}}={\mathcal {N}}^{\otimes N}}$

• 制限付き量子ストレージ（すなわち、）の場合、アリスがBB84でエンコードされた量子ビットを送信するプロトコルを使用することでセキュリティを実現できます。^[11]つまり、アリスがボブが保存できる量子ビット数の2倍以上を送信すると、セキュリティを実現できます。また、これをボブの観点から見ると、ボブがアリスが送信した量子ビットの半分未満、つまり を保存できるときにセキュリティが達成できると言うこともできます。${\displaystyle {\mathcal {N}}={\mathsf {id}}}$${\displaystyle n>2N}$ ${\displaystyle N<n/2}$
• 高次元メモリセル（すなわち、各セルは量子ビットではなく量子ディット）を使用する制限付き量子ストレージの場合、アリスが可能な相互に偏りのない基数のいずれかをエンコードした高次元量子ディットを送信するプロトコルでセキュリティを実現できます。大きな次元の限界では、 のときはいつでもセキュリティを実現できます。つまり、ボブが送信信号の一定の割合を保存できる限り、セキュリティは常に実現できます。^[13]不正なボブはアリスが送信したすべての量子ディットを保存できるため、これは検討中のプロトコルに最適です。BB84でエンコードされた量子ビットのみを使用して同じことが可能かどうかは不明です。${\displaystyle n}$${\displaystyle n\gtrapprox N}$${\displaystyle n=N}$

• ノイズストレージと形式のデバイスでは、アリスがBB84エンコードされた量子ビットを送信するプロトコルを使用してセキュリティを実現できます。${\displaystyle {\mathcal {F}}={\mathcal {N}}^{\otimes N}}$${\displaystyle n}$

• ${\displaystyle n>2\cdot N\cdot C({\mathcal {N}})}$, ^[11]ここで は量子通信路の古典的な容量であり、いわゆる強い逆性質に従う。^[14]あるいは、${\displaystyle C({\mathcal {N}})}$ ${\displaystyle {\mathcal {N}}}$${\displaystyle {\mathcal {N}}}$

• ${\displaystyle n>2\cdot N\cdot E_{C}({\mathcal {N}})}$, ^[15]ここで は量子通信路のエンタングルメントコストである。これは一般に古典容量の条件よりもはるかに優れているが、評価するのが難しい。${\displaystyle E_{C}({\mathcal {N}})}$ ${\displaystyle {\mathcal {N}}}$${\displaystyle E_{C}({\mathcal {N}})}$

• ノイズストレージと形式のデバイスの場合、アリスが量子ビットごとに3つの相互に偏りのない基数のいずれかでエンコードされた量子ビットを送信するプロトコルを使用してセキュリティを実現できます。${\displaystyle {\mathcal {F}}={\mathcal {N}}^{\otimes N}}$${\displaystyle n}$

• ${\displaystyle n>Q({\mathcal {N}})N}$, ^[16]ここで はの量子容量であり、 の強逆パラメータはそれほど小さくありません。${\displaystyle Q}$${\displaystyle {\mathcal {N}}}$${\displaystyle {\mathcal {N}}}$

3 つの相互に偏りのない基数は、量子鍵配送の6 状態プロトコルと同じエンコードです。最後の条件は、ほとんどのチャネルにとって最もよく知られている条件ですが、量子容量と強い逆パラメータは、一般的には簡単には決定できません。

このような基本的なプリミティブを構成要素として使用することは、必ずしも暗号化タスクを解決するための最も効率的な方法ではありません。特定の問題を解決することを目的とした特殊なプロトコルの方が一般的に効率的です。既知のプロトコルの例は次のとおりです。

• ノイズ記憶モデルにおけるビットコミットメント^{[11] [13]}および制限付き量子記憶の場合^[10]
• ノイズ記憶モデルにおける忘却転送^[11]および境界量子記憶の場合^{[9] [10]}
• 制限付き量子記憶モデルにおける安全な識別^{[17] [18]}

量子記憶容量の制限の仮定は、セキュア関数の評価の領域以外にも適用されている。特に、量子鍵配送における盗聴者がメモリ制限されている場合、実験的な実装ではより高いビット誤り率を許容できることが示されている。^[10]

• ステファニー・ウェナー