A Note on Publicly Verifiable Quantum Money with Low Quantum Computational Resources

Dieses Papier stellt ein öffentlich überprüfbares Quantengeldprotokoll vor, das nahezu keine quantencomputing-Ressourcen benötigt, indem es auf Einmal-Speicher und das No-Cloning-Prinzip zurückgreift, um Doppelausgaben zu verhindern und digitale Signaturen zu ermöglichen.

Das Wesentliche

Das große Problem: Der unsichtbare Geldbeutel

Stellen Sie sich vor, Sie haben einen Geldschein. In der echten Welt können Sie ihn leicht kopieren, aber wenn Sie ihn jemandem geben, haben Sie ihn selbst nicht mehr. Das ist gut, denn so kann man ihn nicht doppelt ausgeben.

In der digitalen Welt ist das schwierig. Ein digitales Bild eines Geldscheins kann unendlich oft kopiert werden. Um das zu verhindern, nutzen wir heute Blockchains (wie bei Bitcoin), die wie ein riesiges, gemeinsames Notizbuch funktionieren, in dem jeder jede Transaktion mitliest. Das ist sicher, aber langsam und braucht viel Rechenleistung.

Quantengeld war eine Idee aus den 1970ern: Geld, das auf den Gesetzen der Physik basiert. Die wichtigste Regel der Quantenphysik ist: Man kann Quantenzustände nicht kopieren. Wenn Sie versuchen, ein Quanten-Geldstück zu kopieren, zerstören Sie es. Das ist perfekt gegen Fälschungen.

Aber es gab ein Problem: Um zu prüfen, ob das Geld echt ist, musste man immer zum "Banker" (dem Aussteller) gehen. Das ist wie bei einem Scheck, den man nur beim Banker einlösen kann. Man wollte aber Geld, das jeder sofort prüfen kann, ohne den Banker anzurufen – wie eine Münze in der Hosentasche.

Die Lösung: Ein "Einmal-Speicher" mit Quanten-Zauber

Die Autoren dieses Papiers haben einen Weg gefunden, wie man öffentlich überprüfbares Quantengeld herstellt, ohne dass jeder eine riesige Quantenkomputer braucht. Sie nutzen zwei clevere Tricks:

1. Der "Einmal-Speicher" (One-Time Memory)

Stellen Sie sich vor, Sie haben eine magische Box (den "One-Time Memory"). In dieser Box liegen zwei Geheimnisse:

• Geheimnis A (z. B. "Ich habe 10 Euro")
• Geheimnis B (z. B. "Ich habe 20 Euro")

Die Box hat eine seltsame Eigenschaft: Sie können entweder Geheimnis A oder Geheimnis B herausbekommen. Aber sobald Sie eines herausgeholt haben, ist die Box für das andere leer. Es ist wie bei einem Kaugummi-Automaten, der nur eine Kugel pro Wurf gibt. Wenn Sie versuchen, beide zu stehlen, zerstören Sie den Mechanismus.

In dieser Technik wird diese Box mit Quantenbits (Qubits) gebaut. Um die Box zu öffnen, muss man die Qubits in einer bestimmten Weise messen. Wenn man die falsche Art der Messung wählt, bekommt man nur Rauschen (Zufall). Nur wer weiß, wie man misst (die "Schlüssel"), bekommt das richtige Geheimnis.

2. Der "Cut-and-Choose"-Trick (Schneiden und Wählen)

Jetzt kommt der geniale Teil, wie man das Geld überprüft, ohne es zu zerstören.

Stellen Sie sich vor, eine Banknote besteht nicht aus einem Stück Papier, sondern aus 100 kleinen, versiegelten Umschlägen (den Einmal-Speichern). Auf jedem Umschlag steht eine verschlüsselte Nachricht. Daneben liegt ein Zettel mit dem "Hash" (einem digitalen Fingerabdruck) dieser Nachrichten, unterschrieben von der Bank.

Wenn Sie das Geld im Laden überprüfen wollen, macht der Kassierer Folgendes:

1. Er wählt zufällig 10 Umschläge aus.
2. Er lässt Sie diese öffnen.
3. Er prüft, ob die Geheimnisse in den Umschlägen mit dem Fingerabdruck auf dem Zettel übereinstimmen.

Warum ist das sicher?

• Wenn das Geld gefälscht ist, fehlen dem Fälscher die echten Geheimnisse für die meisten Umschläge.
• Er könnte versuchen, die Geheimnisse zu erraten, aber das ist wie im Lotto zu gewinnen – fast unmöglich.
• Wenn er versucht, die Umschläge zu kopieren, zerstört er sie (wegen der Quantenphysik).
• Da er nicht weiß, welche Umschläge der Kassierer wählen wird, muss er alle 100 perfekt haben. Wenn er nur 90 hat, ist die Wahrscheinlichkeit hoch, dass er bei der Prüfung erwischt wird.

Das Ergebnis: Nach der Prüfung sind die 10 geöffneten Umschläge "verbraucht". Das Geldstück ist jetzt etwas kleiner (es hat nur noch 90 Umschläge). Aber es ist immer noch echt! Man kann es später wieder überprüfen, indem man neue, zufällige Umschläge öffnet.

Warum ist das so besonders?

1. Kein Supercomputer nötig: Um dieses Geld zu nutzen, braucht man keine riesige Quantenmaschine. Man braucht nur einfache Geräte, die einzelne Lichtteilchen (Photonen) senden und empfangen können. Solche Geräte gibt es schon heute für sichere Kommunikation (Quantenkryptografie).
2. Öffentliche Prüfung: Jeder kann das Geld prüfen, ohne die Bank anzurufen.
3. Kein Blockchain-Chaos: Es braucht kein riesiges Netzwerk, das jede Transaktion speichert. Das Geld ist wie echtes Bargeld: Man gibt es von Hand zu Hand weiter.
4. Verbrauchbar: Da jedes Öffnen von Umschlägen Teile des Geldes verbraucht, hat das Geld eine begrenzte Lebensdauer. Wenn alle Umschläge geöffnet sind, muss man es zur Bank zurückgeben, um ein neues, frisches Geldstück zu bekommen (ähnlich wie man abgenutzte Scheine tauscht).

Ein weiterer Trick: Digitale Unterschriften

Das gleiche Prinzip kann man auch nutzen, um digitale Unterschriften zu erstellen.
Stellen Sie sich vor, Sie wollen beweisen, dass Sie bei einer Wette gewonnen haben. Sie nutzen Ihr Quantengeld, um eine Nachricht zu "unterschreiben".

• Sie öffnen die Umschläge, um die Geheimnisse zu erhalten, die beweisen, dass Sie der Besitzer sind.
• Sobald Sie das tun, können Sie diese Unterschrift nicht mehr für eine andere Wette nutzen. Das Geld ist "verbraucht".
• Jeder kann die Unterschrift prüfen, ohne zu wissen, wie das Geld genau funktioniert.

Fazit

Die Autoren haben einen Weg gefunden, wie wir echtes, fälschungssicheres digitales Bargeld haben können, das auf den Gesetzen der Physik basiert und nicht auf komplizierten Computerprogrammen. Es ist wie ein magischer Geldschein, der sich selbst schützt: Wenn man versucht, ihn zu kopieren, verschwindet er. Und man kann ihn überall prüfen, ohne jemanden zu fragen.

Es ist ein großer Schritt in Richtung einer Zukunft, in der wir digitale Werte so einfach und sicher wie eine Münze in der Hand halten können.

Technische Zusammenfassung

1. Problemstellung

Das Konzept des Quantengelds (Quantum Money) wurde bereits 1970 von Stephen Wiesner vorgeschlagen. Während Wiesners ursprünglicher Ansatz elegant ist, leidet er unter einer wesentlichen Einschränkung: Es handelt sich um ein Privatschlüssel-System. Nur der Aussteller (Mint) kann die Echtheit eines Geldscheins verifizieren, was für jede Transaktion eine Interaktion mit dem Aussteller erfordert.

Öffentlich verifizierbare Quantensysteme (Public-Key-Quantum-Money) wären wünschenswert, da sie es jedem ermöglichen, die Echtheit ohne Kontakt zum Aussteller zu prüfen. Bisherige Vorschläge für solche Systeme erfordern jedoch oft schwere Quantenrechenkapazitäten (z. B. komplexe Quantenschaltkreise oder universelle Quantenprozessoren), die derzeit nicht verfügbar sind. Zudem basieren viele theoretische Konstruktionen auf Annahmen, die in der Praxis schwer zu realisieren sind.

Das Ziel dieses Papers ist die Entwicklung eines öffentlich verifizierbaren Quantengelds-Protokolls, das mit minimalen Quantenrechenressourcen auskommt und auf existierender oder naher Zukunftstechnologie (wie Quantenkommunikation für QKD) basiert.

2. Methodik und Architektur

Die Autoren schlagen ein hybrides System vor, das Quantenphysik, kryptographische Hash-Funktionen und vertrauenswürdige Hardware kombiniert.

A. Grundlegende Bausteine

1. Konjugierte Kodierung (Conjugate Coding):

   • Das System nutzt die Unschärferelation und das No-Cloning-Theorem. Bits werden in Qubits kodiert, die entweder in der Z-Basis ($|0\rangle, |1\rangle$) oder der X-Basis ($|+\rangle, |-\rangle$) gemessen werden.
   • Ohne Kenntnis der richtigen Basis ist eine Messung zufällig und zerstört die ursprüngliche Information. Dies verhindert das Kopieren (Double Spending).

2. One-Time Memories (OTMs):

   • Ein OTM ist ein kryptographisches Primitiv, das zwei geheime Werte ($s_0, s_1$) speichert. Ein Empfänger kann genau einen davon abrufen, aber nicht beide.
   • Da OTMs in reinen quantenmechanischen oder klassischen Umgebungen ohne zusätzliche Annahmen unmöglich sind, nutzen die Autoren Hardware-Annahmen.
   • Implementierung: OTMs werden durch eine Kombination aus konjugierter Kodierung und sicherer, zustandsloser Hardware (z. B. Trusted Execution Environments wie Intel SGX oder ARM TrustZone) realisiert. Die Hardware speichert die Parameter zur Messung und validiert die Ergebnisse, bevor sie den entsprechenden geheimen Wert ausgibt.

3. Preimage-Resistente Hash-Funktionen:

   • Klassische Hash-Funktionen ($H$) dienen als „Tags". Die OTMs speichern die Preimages (Vorbilder) von Hashes, nicht die Hashes selbst.

B. Der Protokollablauf

Das System besteht aus drei Hauptphasen:

1. Prägung (Minting):

   • Der Aussteller generiert $\zeta$ Paare von zufälligen Bitstrings ($\kappa_{0,i}, \kappa_{1,i}$).
   • Für jedes Paar wird ein OTM erstellt, das so programmiert ist, dass es bei Eingabe $0$ den Wert $\kappa_{0,i}$ und bei Eingabe $1$ den Wert $\kappa_{1,i}$ ausgibt.
   • Die Hashes $H(\kappa_{0,i})$ und $H(\kappa_{1,i})$ werden berechnet und digital vom Aussteller signiert.
   • Der Banknoten besteht aus:
     • Den quantenmechanischen Zuständen der OTMs (die die $\kappa$-Werte kodieren).
     • Den klassischen Daten: Die signierten Hashes und die Liste der noch ungenutzten OTMs.

2. Verifizierung (Verifying):

   • Jeder Verifizierer kann die Echtheit prüfen, ohne den Aussteller zu kontaktieren.
   • Cut-and-Choose-Verfahren: Der Verifizierer wählt zufällig eine Teilmenge der OTMs aus (Parameter $\xi$).
   • Für die ausgewählten OTMs wird eine zufällige Basiswahl getroffen (entsprechend dem Bit, das abgerufen werden soll).
   • Das OTM wird „geöffnet" (gemessen), um den $\kappa$-Wert zu erhalten.
   • Der Verifizierer prüft, ob der Hash des erhaltenen Werts mit dem öffentlich bekannten, signierten Hash übereinstimmt.
   • Konsumierbarkeit: Die geprüften OTMs werden aus dem Banknoten entfernt (sie sind nun „verbraucht"). Nur die ungetesteten OTMs bleiben für zukünftige Verifizierungen erhalten. Dies verhindert das Double Spending, da ein Angreifer nicht alle OTMs gleichzeitig für zwei verschiedene Verifizierungen öffnen kann, ohne entdeckt zu werden.

3. Transfer:

   • Der Banknoten wird durch Übertragung der klassischen Daten und der Quantenzustände (OTMs) von Sender zu Empfänger übertragen.
   • Da die Quantenzustände nicht kopiert werden können (No-Cloning), verliert der Sender automatisch die Fähigkeit, den Geldschein erneut auszugeben.

3. Wichtige Beiträge

• Öffentliche Verifizierbarkeit mit geringem Aufwand: Das System ermöglicht es jedem, die Echtheit zu prüfen, erfordert aber nur die Fähigkeit, einzelne Qubits in zwei konjugierten Basen vorzubereiten, zu übertragen und zu messen. Dies ist mit heutiger QKD-Technologie (Quantenschlüsselverteilung) realisierbar, nicht mit universellen Quantencomputern.
• Hybride Sicherheitsarchitektur: Die Kombination aus Quanten-OTMs (basierend auf Hardware-Vertrauen) und klassischen Hash-Funktionen schafft ein robustes Sicherheitsmodell.
• Erweiterbarkeit zu Quanten-Tokens für digitale Signaturen (QTDS): Das Paper zeigt, dass das gleiche Schema für digitale Signaturen adaptiert werden kann. Ein Token erlaubt dem Inhaber, eine Nachricht zu signieren, verbraucht dabei aber die Signierfähigkeit des Tokens (One-Time-Signature-Eigenschaft).
• Implementierung: Die Autoren haben eine Proof-of-Concept-Implementierung in Rust veröffentlicht (otm_billz).

4. Ergebnisse und Sicherheitsanalyse

• Unfälschbarkeit (Unforgeability): Die Sicherheit wird durch zwei Faktoren gewährleistet:
  1. Die Simulationssicherheit der OTMs: Ein Angreifer kann aus einem OTM nicht beide Geheimnisse ($s_0$ und $s_1$) extrahieren.
  2. Die Preimage-Resistenz der Hash-Funktion: Ohne Zugriff auf das OTM ist es unmöglich, ein gültiges Preimage für einen gegebenen Hash zu erraten.
• Theorem 1: Beweist, dass die Wahrscheinlichkeit, zwei gültige Banknoten aus einem zu erstellen, vernachlässigbar klein ist, solange die Hash-Funktion sicher ist und die OTMs korrekt funktionieren.
• Begrenzte Verifizierungen: Das System erlaubt eine begrenzte Anzahl von Verifizierungen ($N \approx \zeta / \xi$). Dies ist eine inhärente Eigenschaft des „Cut-and-Choose"-Ansatzes. Sobald die OTMs aufgebraucht sind, muss der Banknoten beim Aussteller eingelöst und gegen einen neuen getauscht werden (analog zu abgenutztem Bargeld).

5. Bedeutung und Ausblick

• Praktische Relevanz: Das System ist eine der ersten realistischen Vorschläge für öffentlich verifizierbares Quantengeld, das auf der nächsten Generation der Quanteninfrastruktur (Quanteninternet, QKD-Netzwerke) aufbaut, anstatt auf noch nicht existierenden universellen Quantencomputern.
• Anwendungsszenarien:
  • Privates Peer-to-Peer-Zahlungssystem: Ohne Blockchain und Konsensmechanismen.
  • Digitale Signaturen: Einmalige Signaturen für Verträge oder Wetten, die eine doppelte Nutzung verhindern.
  • Notarielle Beglaubigung: Nachweis des Besitzes von Mitteln zu einem bestimmten Zeitpunkt.
• Herausforderungen (Bottlenecks):
  • Vor-Transfer-Verifizierung: Derzeit muss der Empfänger den Quantenzustand besitzen, um ihn zu verifizieren. Eine Verifizierung vor dem Besitz des Zustands ist noch ein offenes Problem.
  • Hardware-Vertrauen: Das System benötigt vertrauenswürdige Hardware (TEE). Die Autoren diskutieren jedoch, dass ein Kompromiss der Hardware-Sicherheit nur einzelne Banknoten betrifft, nicht das gesamte System.
  • Quantenspeicher: Die Stabilität der Quantenzustände (Kohärenzzeit) muss für die Dauer der Transaktion gewährleistet sein (Millisekunden bis Stunden, je nach Anwendung).

Fazit: Das Paper liefert einen wegweisenden Ansatz, der Quantengeld von einer rein theoretischen Idee in den Bereich der nahen technischen Machbarkeit rückt, indem es die Anforderungen an die Quantenrechenleistung drastisch senkt und stattdessen auf etablierte Hardware-Vertrauensmodelle und Quantenkommunikation setzt.