⚛️ quantum physics

On the Impossibility of Simulation Security for Quantum Functional Encryption

Este artículo establece la imposibilidad de lograr el cifrado funcional cuántico con seguridad de simulación al demostrar que los resultados de imposibilidad clásica se extienden al régimen cuántico, probando barreras incondicionales para mensajes de desafío ilimitados e imposibilidad bajo supuestos más débiles como estados cuánticos pseudialeatorios o cifrado de clave pública para escenarios de clave acotada.

Autores originales: Mohammed Barhoush, Arthur Mehta, Anne Müller, Louis Salvail

Publicado 2026-01-27

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Mohammed Barhoush, Arthur Mehta, Anne Müller, Louis Salvail

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La visión general: ¿Qué es el Cifrado Funcional?

Imagina que tienes una caja fuerte con llave (cifrado) que contiene una biblioteca masiva de libros.

Cifrado tradicional: O tienes la llave maestra para abrir toda la caja fuerte y leer cada libro, o no tienes ninguna llave y no puedes leer nada. Es un trato de "todo o nada".
Cifrado Funcional (FE): Este es un sistema más inteligente. Le das a una persona específica una "lente mágica" especial (una llave funcional). Si miran la caja fuerte a través de esta lente, pueden ver solo el resultado de un problema matemático específico sobre los libros (por ejemplo, "¿Cuál es el promedio de recuento de palabras?"). No pueden ver las palabras reales, los títulos ni ningún otro dato. Solo obtienen la respuesta a la pregunta específica que hicieron.

El objetivo: "Seguridad de Simulación"

En criptografía, queremos demostrar que este sistema es perfectamente seguro. El estándar de oro para esto se llama Seguridad de Simulación.

Piensa en esto como un truco de magia.

El Mundo Real: Un mago (el cifrador) bloquea los libros y un ayudante (el poseedor de la llave) usa la lente para obtener la respuesta.
El Mundo de la Simulación: Un segundo mago (el simulador) intenta crear una versión falsa del truco sin haber visto nunca los libros. Solo conoce la pregunta que se está haciendo y la respuesta que se dio.

Si la audiencia (el atacante) no puede notar la diferencia entre el Mundo Real y el Mundo de la Simulación, el sistema es seguro. Esto demuestra que la lente no reveló nada sobre los libros más allá de la respuesta específica.

El Problema: La barrera "Imposible"

En el mundo clásico (usando computadoras normales y bits), los investigadores ya demostraron que no se puede construir un sistema de Cifrado Funcional que sea perfectamente "Seguro por Simulación" en todas las situaciones. Si dejas que el atacante haga demasiadas preguntas o vea demasiadas cajas fuertes bloqueadas, el truco de magia se desmorona.

La Gran Pregunta: ¿Sigue siendo válida esta "imposibilidad" en el Mundo Cuántico?

Las computadoras cuánticas usan "qubits", que pueden contener mucha más información y comportarse de forma extraña (como estar en dos lugares a la vez). ¿Quizás la mecánica cuántica ofrece un vacío legal que nos permita construir un sistema de Simulación Segura perfecto donde las computadoras clásicas fallaron?

La Respuesta del Artículo: No, la Barrera Sigue Existiendo

Los autores de este artículo dicen: No. Los resultados de imposibilidad clásica se extienden en gran medida al mundo cuántico. Incluso con los superpoderes de la mecánica cuántica, no se puede construir un sistema de Cifrado Funcional perfectamente Seguro por Simulación en estos escenarios específicos.

Demuestran esto utilizando tres "trampas" o argumentos diferentes:

1. La Trampa de "Demasiados Mensajes" (Imposibilidad Incondicional)

El Escenario: Imagina un atacante que pide ver los resultados de muchos diferentes cajas fuertes bloqueadas (cifrados de texto) al mismo tiempo, pero luego pide solo una lente especial (llave funcional) para decodificarlas todas.
La Analogía: Imagina que tienes 1,000 cajas bloqueadas. Pides una única llave maestra que pueda abrir todas ellas.
El Giro Cuántico: En el mundo cuántico, ¿tal vez la llave puede ser un estado cuántico diminuto y comprimido que contenga las instrucciones para las 1,000 cajas?
El Resultado: Los autores demuestran que esto es imposible. Es como intentar meter las instrucciones de 1,000 libros distintos en una sola nota diminuta. Incluso con la compresión cuántica, simplemente no puedes comprimir tanta información en un estado cuántico pequeño sin perder la capacidad de decodificar los libros específicos más tarde. Si el simulador intenta falsificar las 1,000 cajas sin conocer el contenido, falla porque la "llave" que genera después tendría que ser imposiblemente grande para describir todas las respuestas.

2. La Trampa de la "Llave Diminuta" (Esquemas Sucintos)

El Escenario: Esto analiza un sistema donde el "texto cifrado" (la caja bloqueada) se supone que es muy pequeño, independientemente de lo complejo que sea el problema matemático.
La Analogía: Imagina un sistema donde puedes bloquear una novela de 100 páginas en un sobre diminuto del tamaño de un sello postal.
El Giro Cuántico: Los autores utilizan un concepto llamado Estados Cuánticos Pseudialeatorios (PRS). Estos son estados cuánticos que parecen completamente aleatorios para cualquiera que no tenga la clave secreta, pero que en realidad son generados por una fórmula específica.
El Resultado: Demuestran que no puedes "comprimir" estos estados cuánticos que parecen aleatorios. Si intentas encoger un estado cuántico aleatorio en un espacio más pequeño (para hacer un texto cifrado diminuto), destruyes la información. Es como intentar doblar un mapa de todo el mundo en un centímetro cuadrado; los detalles se pierden. Por lo tanto, un sistema que promete textos cifrados diminutos para problemas matemáticos complejos no puede ser Seguro por Simulación.

3. La Trampa de las "Muchas Llaves" (Cifrado de Clave Pública)

El Escenario: Imagina un atacante que ve un texto cifrado pero tiene permitido pedir muchas lentes diferentes (llaves funcionales) para intentar averiguar qué hay dentro.
La Analogía: Tienes una caja bloqueada. Pides 1,000 lentes diferentes. Cada lente debe revelar una pieza de información distinta.
El Giro Cuántico: Los autores vinculan esto al Cifrado de Clave Pública (PKE), una forma estándar en la que aseguramos correos electrónicos y sitios web hoy en día. Muestran que si existiera un sistema de Cifrado Funcional Cuántico perfecto, te permitiría romper la seguridad del Cifrado de Clave Pública estándar.
El Resultado: Dado que creemos que el Cifrado de Clave Pública es seguro, esto implica que un sistema de Cifrado Funcional Cuántico perfecto no puede existir. Es una "prueba por contradicción": "Si este sistema mágico existiera, rompería la seguridad de internet. Como la seguridad de internet es real, este sistema mágico es imposible".

Resumen de los Hallazgos

El artículo esencialmente cierra la puerta a la esperanza de que la mecánica cuántica pueda salvarnos de las limitaciones del Cifrado Funcional.

Imposibilidad Clásica: Ya sabíamos que no podías tener un sistema "Seguro por Simulación" perfecto en el mundo clásico si el atacante hacía demasiadas preguntas o veía demasiados mensajes.
Realidad Cuántica: Los autores demuestran que la mecánica cuántica no arregla esto. Incluso con qubits, entrelazamiento y llaves cuánticas, las leyes fundamentales de la teoría de la información impiden un sistema de Simulación Segura perfecto en estos escenarios.

Demuestran que la "barrera" no es solo una debilidad de las computadoras clásicas, sino un límite fundamental de cómo la información (incluso la información cuántica) puede ser comprimida y ocultada.

Lo que esto Significa (y lo que NO significa)

NO significa que el Cifrado Funcional sea inútil. Todavía podemos construir sistemas que sean "suficientemente buenos" (Seguros por Indistinguibilidad) para muchos usos del mundo real.
NO significa que el cifrado cuántico esté roto. Solo significa que una definición específica, de un nivel muy alto, de "seguridad perfecta" (Seguridad de Simulación) es inalcanzable, tal como ocurría en el mundo clásico.
SÍ significa que los investigadores que buscan un "santo grial" del Cifrado Funcional cuántico deben dejar de intentar lograr este tipo específico de seguridad perfecta, ya que las matemáticas dicen que es imposible.

Resumen Técnico: Sobre la imposibilidad de la seguridad por simulación para el Cifrado Funcional Cuántico

Declaración del Problema
El Cifrado Funcional (FE, por sus siglas en inglés) es una primitiva criptográfica que permite un acceso granular a los datos cifrados, donde un usuario que posee una clave funcional $fk_F$ puede computar $F(m)$ a partir de un cifrado de $m$ sin aprender nada más. La noción de seguridad más fuerte para el FE es la seguridad basada en simulación (SIM-security), la cual requiere que cualquier cosa que un adversario pueda computar a partir del texto cifrado y las claves funcionales pueda ser simulada utilizando únicamente la salida de la función.

Mientras que los resultados de imposibilidad clásicos han establecido que el FE con seguridad SIM es inalcanzable para circuitos polinómicos generales bajo modelos de consulta específicos (por ejemplo, muchos textos cifrados con una única clave adaptativa, o un único texto cifrado con muchas claves no adaptativas), estas demostraciones dependen de argumentos inherentemente clásicos. Una pregunta crítica pendiente era: ¿Se extienden estas imposibilidades clásicas al régimen cuántico? Específicamente, ¿pueden los recursos cuánticos (textos cifrados cuánticos, claves funcionales cuánticas o claves públicas cuánticas) superar estas barreras para realizar un Cifrado Funcional Cuántico (QFE) con seguridad SIM?

Metodología
Los autores abordan esta pregunta extendiendo las demostraciones de imposibilidad clásicas al entorno cuántico, adaptándolas para manejar estados y operaciones cuánticas. La metodología involucra tres demostraciones de imposibilidad distintas, cada una dirigida a una variante de seguridad diferente de QFE:

Argumentos de Compresión de Información Teórica: Los autores reinterpretan la tarea del simulador en un juego de seguridad SIM como un problema de compresión de información. Demuestran que si existiera un esquema con seguridad SIM, esto implicaría la existencia de un algoritmo de compresión capaz de comprimir grandes cantidades de información (mensajes o estados) en un estado cuántico pequeño (la clave funcional o el texto cifrado) permitiendo al mismo tiempo una recuperación perfecta.
Lemas de Incompresibilidad Cuántica:
- Para el caso de muchos textos cifrados, utilizan un resultado de [20] sobre comunicación asistida por entrelazamiento para mostrar que $n$ bits no pueden recuperarse de forma fiable de menos de $n/2$ qubits.
- Para el caso del esquema sucinto, prueban un nuevo lema relativo a la incompresibilidad de los Estados Pseudorandom (PRS). Demuestran que comprimir un PRS de $n$ qubits en $n-k$ qubits pierde irreversiblemente casi toda la estructura, con la fidelidad esperada de recuperación cayendo exponencialmente con la cantidad de compresión. Esto se prueba utilizando la relación entre la fidelidad promedio y la fidelidad de entrelazamiento, combinada con el Lema de Levy sobre la concentración de la medida para estados aleatorios de Haar.
Reducciones a Supuestos Criptográficos Estándar:
- Para el caso de consultas de muchas claves, construyen una reducción desde la existencia de un QFE con seguridad SIM hacia la ruptura del Cifrado de Clave Pública (PKE). Muestran que un simulador para un esquema de QFE 1-M-NA (un solo mensaje, muchas consultas, no adaptativo) actuaría como un compresor de información para múltiples textos cifrados de PKE independientes, violando la seguridad del esquema PKE subyacente.

Contribuciones Clave y Resultados

El artículo establece tres resultados principales de imposibilidad para el QFE de Clave Secreta (lo que implica inmediatamente la imposibilidad para el QFE de Clave Pública):

Imposibilidad Incondicional de QFE con Seguridad SIM M-1-AD:
- Configuración: El adversario solicita el cifrado de muchos mensajes ( $M$ ) y luego obtiene una única clave funcional adaptativa para la función identidad ($1$-AD).
- Resultado: No existe tal esquema.
- Mecanismo: El simulador debe generar $n$ textos cifrados sin conocer los mensajes. Al recibir la clave de identidad, debe recuperar todos los $n$ mensajes. Esto requiere comprimir $n$ mensajes aleatorios en una clave funcional de tamaño acotado por un polinomio $p \ll n$ . Los autores demuestran que esto es imposible incluso con estados cuánticos, ya que viola los límites de información teórica para comprimir información clásica en un estado cuántico más pequeño.
Imposibilidad Condicional de QFE con Seguridad SIM 1-1-NA Sucinto:
- Configuración: El adversario solicita un único mensaje y una única clave funcional no adaptativa. El esquema es sucinto (el tamaño del texto cifrado es independiente del tamaño de la función).
- Supuesto: Existencia de Estados Pseudorandom (PRS).
- Resultado: No existe tal esquema.
- Mecanismo: Los autores muestran que un QFE sucinto para la clase de circuitos de generadores de PRS permitiría la compresión y descompresión de PRS. Demuestran que los PRS son incompresibles (una propiedad más fuerte que la de las PRF en algunos contextos, ya que PRF $\implies$ PRS, pero lo inverso no se conoce). Si existiera un QFE sucinto, uno podría distinguir los PRS de los estados aleatorios de Haar verificando si el estado comprimido puede ser recuperado, rompiendo el supuesto de PRS.
Imposibilidad Condicional de QFE con Seguridad SIM 1-M-NA:
- Configuración: El adversario solicita un único texto cifrado y muchas claves funcionales no adaptativas.
- Supuesto: Existencia de Cifrado de Clave Pública (PKE) con claves clásicas.
- Resultado: No existe tal esquema.
- Mecanismo: Los autores construyen un ataque donde el adversario utiliza el simulador de QFE para comprimir $n$ textos cifrados de PKE independientes (que cifran diferentes mensajes) en un solo texto cifrado de QFE. Si el simulador tiene éxito, permite la recuperación de todos los $n$ mensajes a partir del único texto cifrado comprimido y las claves funcionales. Esto viola la seguridad del esquema PKE subyacente. Notablemente, este resultado se aplica a esquemas no suctintos, a diferencia del resultado basado en PRS.

Significancia y Reivindicaciones

El artículo afirma resolver la cuestión central de si los recursos cuánticos pueden eludir las barreras clásicas para el FE con seguridad SIM. Los autores concluyen que las imposibilidades clásicas se extienden en gran medida al mundo cuántico, aunque las demostraciones requieren nuevas herramientas técnicas para manejar estados cuánticos.

Barreras Matizadas: Los resultados son más matizados que los clásicos. Por ejemplo, la imposibilidad de la seguridad SIM 1-M-NA en el entorno cuántico depende del supuesto de PKE (o PRS para esquemas suctintos), mientras que el resultado clásico es incondicional (ya que el FE implica PRF). Esto resalta que, si bien la barrera existe, los supuestos criptográficos específicos requeridos para probarla difieren en el régimen cuántico.
Independencia de Supuestos: El artículo enfatiza que los supuestos utilizados (PRS y PKE) son incomparables. Se sabe que PKE está separado de las Funciones de Un Solo Sentido (OWF, y por tanto de PRS), y no existe implicación en la dirección opuesta. Por lo tanto, los dos resultados de imposibilidad condicional proporcionan evidencia independiente contra la existencia de QFE con seguridad SIM.
Novedad de las Demostraciones: Los autores introducen una propiedad de incompresibilidad novedosa para los Estados Pseudorandom, la cual señalan que puede ser de interés independiente. También proporcionan la primera demostración de imposibilidad para QFE con seguridad SIM 1-M-NA que no depende de la sucinta del esquema.
Alcance: Los resultados se aplican a clases generales de circuitos. Los autores reconocen que las clases restringidas (por ejemplo, circuitos "preimage sampleable") o modelos específicos (como el modelo de almacenamiento cuántico limitado) aún podrían permitir la seguridad SIM, pero para el QFE general, el objetivo de seguridad basada en simulación parece inalcanzable.

En resumen, el artículo demuestra que la tensión fundamental entre la información contenida en un texto cifrado y el tamaño limitado de una clave funcional (o viceversa) persiste en el entorno cuántico, impidiendo la realización de la noción de seguridad más fuerte para el cifrado funcional.