⚛️ quantum physics

Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions

Dieses Paper präsentiert die ersten statistisch sicheren Bit-Commitment- und Coin-Flipping-Protokolle auf Basis von hybriden gesperrten physikalisch unkopierbaren Funktionen (HLPUFs), welche die Unmöglichkeit bedingungsloser Sicherheit in der Quantenkryptographie überwinden, indem sie klassische Hardware-Token mit Quantenkommunikation kombinieren, um ein neues Paradigma für praktische, misstrauensbasierte Zwei-Parteien-Kryptographie zu erreichen.

Ursprüngliche Autoren: Roo Dunnill, Mina Doosti

Veröffentlicht 2026-08-12

📖 8 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Roo Dunnill, Mina Doosti

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einen digitalen Tresor zu bauen, der so sicher ist, dass selbst ein superintelligenter Roboter mit unendlicher Zeit ihn nicht knacken könnte. Dies ist der Traum der „bedingungslosen Sicherheit“ in der Kryptografie. Seit Jahrzehnten versuchen Wissenschaftler, eine spezielle Art von Tresor namens „Bit-Commitment“ zu bauen. Denken Sie an einen versiegelten Umschlag: Sie legen einen geheimen Zettel hinein, geben ihn einem Freund und versprechen, dass Sie den Zettel später nicht austauschen können, während Ihr Freund nicht hineinspähen kann, bevor Sie es erlauben. Es klingt einfach, aber in der Quantenwelt – dem Reich der Atome und Lichtteilchen, in dem Dinge an zwei Orten gleichzeitig sein können – haben berühmte mathematische Theoreme bewiesen, dass dies ohne zusätzliche Hilfe nicht perfekt machbar ist. Es ist wie der Versuch, ein Kartenhaus zu bauen, das niemals umfällt, selbst in einem Hurrikan; die Gesetze der Physik besagen, dass dies nicht möglich ist, wenn man nur Luft und Papier zur Verfügung hat.

Doch Wissenschaftler haben einen cleveren Umweg gefunden: Anstatt sich nur auf die Mathematik zu verlassen, können sie sich auf die physische Welt selbst verlassen. Stellen Sie sich vor, Sie verwenden einen einzigartigen, unkopierbaren Fingerabdruck aus Hardware, um den Tresor zu verriegeln. Dieses Paper untersucht einen neuen Weg, diesen Tresor unter Verwendung einer speziellen Mischung aus alter Computerchip-Technik und moderner Quantenphysik zu bauen. Das Ziel ist es, ein System zu schaffen, in dem zwei Personen, die einander nicht vertrauen, dennoch faire Spiele spielen können, wie etwa das Werfen einer Münze oder das Abschließen einer geheimen Wette, ohne dabei einer dritten Partei vertrauen zu müssen oder darauf angewiesen zu sein, dass der Gegner zu dumm zum Betrügen ist.

Das unmögliche Spiel und der Hardware-Hack

In der Welt der Kryptografie ist „Bit-Commitment“ das digitale Äquivalent zu einem versiegelten Umschlag. Sie (Alice) möchten sich für eine Entscheidung (eine 0 oder eine 1) festlegen und diese Ihrem Freund (Bob) übergeben. Sie müssen zwei Dinge versprechen: Erstens, dass Bob nicht in Ihre Entscheidung hineinspähen kann, bevor Sie sie offenbaren (dies wird als Hiding bezeichnet); und zweitens, dass Sie, sobald Sie den Umschlag versiegelt haben, Ihre Entscheidung nicht heimlich auf die andere Zahl ändern können (dies wird als Binding bezeichnet).

Lange Zeit glaubten Wissenschaftler, die Quantenmechanik könne dies perfekt lösen. Doch dann kam ein berühmtes „No-Go“-Theorem und sagte: „Nö, nicht möglich.“ Es stellt sich heraus, dass in einer rein quantenbasierten Welt, wenn man versucht, das Bit perfekt zu verbergen, eine Sicherheitslücke entsteht, die es dem Betrüger ermöglicht, seine Meinung später zu ändern. Es ist wie ein Zaubertrick, bei dem der Magier das Kaninchen nicht verschwinden lassen kann, ohne eine Spur zu hinterlassen, dass er später auch ein anderes Kaninchen aus dem Hut ziehen könnte.

Um dieses Problem zu umgehen, haben die Autoren dieses Papers beschlossen, nicht mehr nur zu versuchen, das Problem mit bloßer Mathematik und Licht zu lösen. Stattdessen brachten sie ein physisches Objekt ein: eine Hybrid Locked Physical Unclonable Function, oder kurz HLPUF.

Stellen Sie sich eine HLPUF wie einen magischen, unkopierbaren „Black Box“-Token vor.

Physical Unclonable (Physisch unkopierbar): Genau wie keine zwei Schneeflocken identisch sind, ist auch kein zweiter dieser Hardware-Token exakt derselbe. Selbst die Fabrik, die sie hergestellt hat, kann die interne Verdrahtung nicht kopieren. Wenn man versucht, sie zu scannen und ein Fake zu bauen, wird sich der Fake anders verhalten.
Hybrid (Hybrid): Es ist eine Mischung aus einem Standard-Computerchip (der leicht herzustellen ist) und einer Quantenschicht (die schwer zu fälschen ist).
Locked (Gesperrt): Dies ist das besondere Extra. Der Token besitzt einen „Sperrmechanismus“. Sobald man ihn auf eine bestimmte Weise verwendet, verriegelt er sich selbst. Man kann ihn nicht wieder öffnen, um zu sehen, was sich darin befindet, oder um die Funktionsweise zu ändern.

Das neue Protokoll: Ein Spiel des „Vertrauens in die Box“

Die Autoren entwarfen ein Protokoll (einen Satz von Regeln für ein Spiel), das diesen magischen Kasten nutzt, um das unmögliche Problem zu lösen. So funktioniert das Spiel Schritt für Schritt:

1. Das Setup (Die Rekrutierung)
Alice beginnt mit dem HLPUF-Token in einem „entsperrten“ Zustand. Sie stellt dem Token eine Reihe von Fragen (Challenges) und schreibt die Antworten (Responses) in ein Notizbuch. Dies ist ihre Datenbank. Dann betätigt sie einen Schalter, um den Token zu verriegeln. Nun ist der Token versiegelt. Sie übergibt diesen gesperrten Token an Bob.

2. Das Commitment (Der versiegelte Ufert)
Alice möchte sich auf ein Bit (0 oder 1) festlegen. Sie wählt eine Frage aus ihrem Notizbuch, zum Beispiel „Frage X“.

Sie fragt den Token nach der Antwort auf „Frage X“.
Sie verwendet zudem einen speziellen Algorithmus, um eine „Fake“-Frage, „Frage Y“, zu generieren, die sehr ähnlich wie X ist, aber leicht abweicht.
Sie sendet sowohl Frage X als auch Frage Y an Bob.
Und nun kommt der magische Teil: Sie wandelt die Antwort auf Frage X in eine Kette von Quantenteilchen (Qubits) um.
- Wenn sie sich für 0 entscheiden will, kodiert sie die Antwort unter Verwendung des „Stils“ (Basis) von Frage X.
- Wenn sie sich für 1 entscheiden will, kodiert sie dieselbe Antwort unter Verwendung des „Stils“ von Frage Y.
Sie sendet diese Kette von Quantenteilchen an Bob.

Warum kann Bob nicht hineinspähen?
Bob hat die Fragen, aber er weiß nicht, welchen „Stil“ Alice verwendet hat. Da die Antworten zufällig sind und die Stile gemischt wurden, sehen die Quantenteilchen für ihn identisch aus, egal ob sie für 0 oder 1 stehen. Es ist wie eine Nachricht in einer Flaschenpost, bei der die Flasche identisch aussieht, egal ob die Nachricht darin „Ja“ oder „Nein“ lautet. Er kann den Unterschied nicht erkennen, bis sie es offenbart.

Warum kann Alice nicht betrügen?
Alice besitzt den gesperrten Token. Um ihre Meinung zu ändern, müsste sie ihr Commitment im Nachhinein ändern. Aber um zu beweisen, dass sie ihre Meinung nicht geändert hat, muss sie die vollständige Antwort auf den Token offenbaren.

Wenn sie versucht zu lügen, muss sie die Antwort auf die Frage des Tokens erraten, ohne tatsächlich den Token zu besitzen.
Aber der Token ist unkopierbar. Sie kann keinen Fake erstellen.
Und der Token ist gesperrt. Sie kann ihn nicht erneut abfragen, um die Antwort herauszufinden.
Der einzige Weg zu gewinnen, ist, die echte Antwort vom echten Hardware-Token zu haben. Wenn sie versucht zu fälschen, besagt die Mathematik, dass sie fast jedes Mal scheitern wird.

Die Ergebnisse: Eine neue Art der Sicherheit

Das Paper beweist, dass dieses System mit statistischer Sicherheit arbeitet. Das bedeutet, dass ein superintelligenter Betrüger zwar theoretisch in der Lage sein könnte, sein Commitment zu ändern, aber die Chancen dazu sind so astronomisch gering, dass es praktisch unmöglich ist. Es ist nicht „mathematisch unmöglich“ (was das Paper als nicht machbar deklariert), sondern „so unwahrscheinlich, dass man es nie erleben wird“.

Die Autoren zeigten zwei wesentliche Punkte auf:

Perfektes Hiding (Verschleierung): Bob kann das Bit vor der Offenbarung nicht erraten. Die Quantenzustände sind so ähnlich, dass er sie selbst mit einem perfekten Quantencomputer nicht unterscheiden kann.
Starkes Binding (Bindung): Alice kann ihr Bit nach dem Senden der Quantenteilchen nicht ändern. Der einzige Weg, den Umschlag erfolgreich zu öffnen, besteht darin, die echte, unfälschbare Antwort vom Hardware-Token zu besitzen.

Sie nutzten dieses Bit-Commitment-Spiel auch, um ein Coin-Flipping-Protokoll (Münzwurf-Protokoll) zu entwickeln. Stellen Sie sich vor, Alice und Bob wollen entscheiden, wer in einem Spiel zuerst beginnt, aber sie befinden sich in verschiedenen Städten und vertrauen einander nicht. Mit dieser neuen hardwarebasierten Methode können sie eine Münze werfen, die keiner von beiden manipulieren kann. Wenn Alice versucht, das Ergebnis auf „Kopf“ zu erzwingen, muss sie den Hardware-Token brechen, was statistisch gesehen unmöglich ist.

Warum das wichtig ist

Dieses Paper schlägt einen neuen Weg für die Zukunft des Internets vor. Anstatt zu hoffen, dass Hacker zu dumm sind, um unsere Codes zu knacken, oder dass sie nicht genug Computergedächtnis haben, können wir Systeme bauen, die auf den physikalischen Gesetzen der Hardware selbst beruhen.

Die Autoren geben zu, dass dies kein Zauberstab ist, der alles sofort löst. Sie merken an, dass der Bau dieser Token spezifische Hardware-Annahmen erfordert (wie die Annahme, dass der Token wirklich unkopierbar und der Lock unknackbar ist). Aber sie argumentieren, dass dies ein realistischer Pfad ist. Wir haben die Chips bereits; wir müssen nur noch die Quantenschicht und den Sperrmechanismus hinzufügen.

Kurz gesagt: Das Paper sagt: „Wir können keinen perfekten Tresor aus reiner Mathematik bauen, aber wenn wir einen Tresor aus einem speziellen, unkopierbaren physischen Schlüssel bauen, können wir einen schaffen, der für die reale Welt sicher genug ist.“ Es ist ein Wechsel von „Vertraue der Mathematik“ hin zu „Vertraue der Physik“ und bietet einen konkreten Weg zu sicherer Kommunikation in einer Welt, in der jeder jedem misstraut.

ENTWURF

Hier ist eine detaillierte technische Zusammenfassung der Arbeit „Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions“ von Roo Dunnill und Mina Doosti.

Problemstellung

Die Bit-Commitment-Verfahren sind ein fundamentales kryptographisches Primitiv, das für Aufgaben wie Coin Flipping, Zero-Knowledge-Beweise und sichere Multiparity-Berechnungen essenziell ist. Jedoch stellt das Mayers–Lo–Chau-Unmöglichkeitstheorem fest, dass bedingungslos sicheres Quanten-Bit-Commitment in einem standardmäßigen nicht-relativistischen Zwei-Parteien-Modell unmöglich ist. Jedes Protokoll, das ausreichend geheimhaltend (hiding) ist, lässt zwangsläufig eine kohärente Strategie für den Kommittenten (Alice) zu, die auf Purifizierung und verzögerter Messung basiert, wodurch die Bindungseigenschaft (binding) verletzt wird.

Bestehende Ansätze zur Umgehung dieses No-Go-Theorems stützen sich typischerweise auf:

Schwächere Sicherheitskonzepte (z. B. Cheat Sensitivity).
Komplexitätsannahmen (z. B. Quanten-Einweg-Permutationen).
Relativistische Einschränkungen (z. B. Nicht-Kommunikation zwischen getrennten Agenten).
Speicherbeschränkungen des Adversärs (z. B. Bounded-Quantum-Storage- oder Noisy-Storage-Modelle).

Die Autoren identifizieren eine Lücke: Physische Hardware-Annahmen wurden erfolgreich für die Authentifizierung und Schlüsselgenerierung gegen externe Adversäre eingesetzt, jedoch nicht effektiv für die misstrauische Zwei-Parteien-Kryptographie (bei der beide Parteien böswillig sein können) adaptiert. Ein direkter Versuch, einen Hardware-Token für Bit-Commitment zu verwenden, scheitert daran, dass eine böswillige Partei einfach das vorgeschriebene Hardware-Gerät durch ein täuschend echtes Ersatzgerät ersetzen oder die Wahl des committeten Bits bis zur Öffnungsphase verzögern könnte. Die zentrale Herausforderung besteht darin, ein Protokoll zu entwerfen, das den Kommittenten dazu zwingt, das echte Hardware-Verhalten zu nutzen, während das committete Bit vor dem Empfänger verborgen bleibt.

Methodik

Die Autoren schlagen ein konstruktives Protokoll vor, das auf Hybrid Locked Physical Unclonable Functions (HLPUFs) basiert. Eine HLPUF ist ein Hardware-Primitiv, das eine klassische PUF (cPUF) mit einer Quantenkommunikationsschicht kombiniert.

1. Das Hardware-Primitiv (Asymmetrische HLPUF):
Das Protokoll nutzt eine asymmetrische Variante der in vorangegangener Arbeit [22] eingeführten HLPUF. Die klassische Antwort $f(x)$ der zugrunde liegenden cPUF wird in zwei Teile aufgeteilt:

$f_1(x)$ (Verifier): Ein kürzerer String, der zur Verifizierung dient.
$f_2(x)$ (Payload): Ein längerer String, der in Quantenzustände kodiert wird.

Das Gerät operiert in zwei Modi:

Unlocked Mode (Setup): Alice fragt das Gerät ab, um eine Datenbank von Challenge-Response-Paaren aufzubauen.
Locked Mode (Execution): Das Gerät ist „gesperrt“. Es akzeptiert eine Challenge $x$ und einen Quantenzustand $|\psi\rangle$ . Es prüft, ob $|\psi\rangle$ dem erwarteten Zustand entspricht, der aus $f_1(x)$ abgeleitet wurde. Wenn dies gültig ist, gibt es den Quantenzustand entsprechend von $f_2(x)$ aus; andernfalls bricht es ab. Sob's gesperrt ist, kann das Gerät nicht mehr entsperrt oder klassisch für $f_2(x)$ abgefragt werden.

2. Das Protokoll-Design:
Das Protokoll führt eine bewusste Asymmetrie ein, um böswilliges Verhalten zu verhindern:

Challenge-Paar-Generierung: Für eine gewählte Challenge $x_0$ verwendet das Protokoll einen spezifischen Algorithmus (Algorithmus 1), um eine alternative Challenge $x_1$ zu generieren. Diese Challenges sind so konstruiert, dass sie sich in einem spezifischen Satz von Indizes $J$ (Größe $\ell_{min}$ ) unterscheiden, wodurch sichergestellt wird, dass die Basis-Bits der BB84-Kodierung signifikant divergieren, während die Wert-Bits ausgeglichen bleiben.
Commitment: Alice committet ein Bit $b \in \{0, 1\}$ $b \in {0, 1}$ , indem sie einen Quantenzustand $\rho_b$ $ρ_{b}$ vorbereitet. Dieser Zustand kodiert den Payload-Substring $f_2(x_0)_J$ $f_{2} (x_{0})_{J}$ (die Response-Bits an den Indizes $J$ $J$ ).
- Wenn $b=0$ , ist der Zustand in der Basis definiert durch $x_0$ ( $\beta(x_0)$ ) kodiert.
- Wenn $b=1$ , ist der Zustand in der Basis definiert durch $x_1$ ( $\beta(x_1)$ ) kodiert.
- Alice sendet das Paar $(x_0, x_1)$ und die Ordnung $J$ zusammen mit dem Quantenzustand $\rho_b$ an Bob.
Opening: Alice offenbart $b$ , $x_0$ sowie die vollständigen klassischen Antworten $f_1(x_0)$ und $f_2(x_0)$ .
Verifizierung: Bob nutzt die gesperrte HLPUF, um die Authentizität der Antwort zu verifizieren. Er bereitet einen Verifier-Zustand basierend auf $f_1(x_0)$ vor und fragt das Gerät ab. Wenn das Gerät akzeptiert, misst Bob den gespeicherten Quantenzustand in der Basis, die dem offenbarten Bit $b$ entspricht, und prüft die Konsistenz mit $f_2(x_0)_J$ .

3. Sicherheitsmechanismen:

Hiding (Geheimhaltung): Basiert auf der Unfälschbarkeit (Unforgeability) der HLPUF. Ohre der Fähigkeit, einen gültigen Verifier-Zustand zu fälschen, kann Bob keine Informationen über $f_2(x_0)$ vor der Offenbarung extrahieren. Das Protokoll stellt sicher, dass die beiden möglichen Commitment-Zustände (für $b=0$ und $b=1$ ) statistisch ununterscheidbar sind, da die Payload-Bits gleichverteilt sind und die Basis-Muster ausgeglichen sind.
Binding (Bindung): Basiert auf dem Locking-Mechanismus und der Operatornorm-Schranke. Eine unehrliche Alice kann keinen verschränkten Zustand vorbereiten, der es ihr erlaubt, sowohl zu 0 als auch zu 1 mit hoher Wahrscheinlichkeit zu öffnen, da der Verifizierungsschritt eine spezifische klassische Antwort $f_1(x_0)$ erfordert, die schwer zu fälschen ist. Der Beweis für die Bindung reduziert jede unehrliche Strategie auf eine Operatornorm-Schranke der Summe der Akzeptanz-Projektoren und zeigt, dass die Wahrscheinlichkeit, beide Bits erfolgreich zu öffnen, durch eine vernachlässigbare Funktion begrenzt ist.

Hauptbeiträge

Erstes statistisch sicheres Quanten-Bit-Commitment: Die Arbeit präsentiert das erste Bit-Commitment-Protokoll, das unter hybriden Hardware-Annahmen (speziell HLPUFs) sowohl statistische Geheimhaltung als auch Bindung erreicht, ohne sich auf rechnerische Komplexität oder relativistische Einschränkungen zu verlassen.
Neuartige Hardware-Nutzung: Die Autoren demonstrieren, wie Hardware-Token in einem misstrauischen Setting verwendet werden können. Sie überwinden das „Look-alike“-Problem, indem sie das Protokoll so strukturieren, dass der Commitment-Zustand statistisch an das Verhalten der echten Hardware (Challenge-Response) gebunden ist, was es unmöglich macht, den Token ohne Entdeckung zu ersetzen.
Asymmetrische HLPUF-Konstruktion: Die Einführung einer asymmetrischen Aufteilung der PUF-Antwort (Verifier vs. Payload) und eines spezifischen Challenge-Paar-Generierungsalgorithmus (Algorithmus 1), der ausgeglichene BB84-Zustandsverteilungen gewährleistet.
Erstes Hardware-basiertes Coin Flipping: Durch Anwendung der Standardtransformation auf ihr Bit-Commitment-Schema konstruieren die Autoren das erste starke Quanten-Coin-Flipping-Protokoll basierend auf hybriden Hardware-Annahmen.
Beweistechniken: Die Arbeit entwickelt neue Beweistechniken, einschließlich eines Arguments der „intrinsischen Ensemble-Symmetrie“ für das Hiding und einer Operatornorm-Reduktion für das Binding, welche die intrinsischen Quantenbeschränkungen von den Hardware-Parametern trennen.

Ergebnisse

Korrektheit: Das Protokoll ist korrekt; ehrliche Parteien sind stets mit einer Wahrscheinlichkeit von 1 erfolgreich.
Hiding: Das Protokoll ist $\epsilon_{hide}$ -hiding, wobei $\epsilon_{hide} \le \epsilon_{forge}$ (der Unforgeability-Parameter der HLPUF) gilt. Wenn die HLPUF exponentiell unfälschbar ist, ist das Hiding perfekt (statistisch ununterscheidbar).
Binding: Das Protokoll ist $\epsilon_{bind}$ -binding. Die Wahrscheinlichkeit, dass eine unehrliche Alice beide Bits erfolgreich öffnen kann, ist beschränkt durch:
$p_0 + p_1 \le 1 + 2^{-\frac{\ell_{min} - 2s}{4}}$
wobei $s$ die Länge des Verifier-Strings und $\ell_{min}$ die Länge des Payload-Substrings ist. Diese Schranke ist bei angemessener Parameterwahl vernachlässigbar.
Coin-Flipping-Bias: Das resultierende Coin-Flipping-Protokoll hat einen Bias von höchstens $\delta_{CF} \le \frac{1}{2} \max\{\epsilon_{hide}, \epsilon_{bind}\}$ .

Bedeutung und Ansprüche

Die Autoren behaupten, dass ihre Arbeit einen neuen Paradigmenwechsel für sichere Zwei-Parteien-Kryptographie in Quantennetzwerken etabliert. Durch die Kombination strenger Sicherheitsgarantien mit konkreten, handelsüblichen Hardware-Komponenten (PUFs) und praktikabler Quantenkommunikation bieten sie einen praktischen Weg zur Implementierung fundamentaler kryptographischer Primitive, die im reinen Quanten-Setting unmöglich sind.

Die Arbeit betont, dass dieser Ansatz keine Annahmen über den Quantenspeicher eines Adversärs erfordert (im Gegensatz zu Bounded-Storage-Modellen), was eine unbestimmte Sicherheit ermöglicht. Stattdessen beruht die Sicherheit auf der physischen Unklonbarkeit und Manipulationsresistenz des Hardware-Tokens. Die Autoren positionieren dies als konstruktive Alternative zu existentiellen Resultaten und bieten ein spezifisches Design, das die Lücke zwischen theoretischer Quantenkryptographie und praktischer Implementierung schließt.

Die Autoren bleiben bescheiden hinsichtlich zukünftiger Arbeiten und merken an, dass die manipulationssichere Implementierung des Geräts eine offene Ingenieursfrage ist und eine vollständig komponierbare Sicherheitsanalyse der zukünftigen Untersuchung vorbehalten bleibt. Sie schlagen zudem vor, dass das Protokoll auch auf Szenarien ohne Quantenspeicher angepasst werden könnte (durch frühzeitige Messung), was jedoch die Sicherheitsparameter abschwächen würde.