Private Delegated Quantum Computing for User-Level and Industry-Level Settings

Ce document présente une hiérarchie modulaire de protocoles de calcul quantique délégué privé adaptés aux contextes utilisateurs et industriels, qui catégorise systématiquement les garanties de confidentialité et les exigences en ressources en fonction des capacités du client, des modèles d'adversaire et des hypothèses spécifiques de fuite d'information.

L'essentiel

Imaginez que vous possédiez une recette secrète pour le gâteau le plus délicieux du monde, mais que vous ne disposez pas d'une cuisine assez grande pour le cuire. Vous devez envoyer les ingrédients à une boulangerie professionnelle (le « Serveur ») pour qu'elle effectue la cuisson. Cependant, vous ne pouvez pas laisser le boulanger voir votre recette secrète, car il pourrait la voler, ou pire, modifier les ingrédients et vous servir un mauvais gâteau sans que vous le sachiez.

Ce document est un plan détaillé expliquant comment envoyer votre recette secrète à une boulangerie que vous ne faites pas entièrement confiance, en utilisant différentes stratégies selon la quantité d'« équipement de cuisine » (ressources quantiques) dont vous disposez chez vous.

Voici la décomposition de leur solution, en utilisant des analogies du quotidien :

Le Problème Central : La Cuisine « Boîte Noire »

Dans le monde de l'informatique quantique, la « boulangerie » (le Serveur) est puissante mais coûteuse. Le « cuisinier à domicile » (le Client) souhaite l'utiliser mais doit garder ses données (la recette) et ses instructions spécifiques (les angles des couches du gâteau) cachées.

Le document propose une hiérarchie de solutions. Pensez-y comme à un menu de niveaux de sécurité, où le niveau de sécurité dépend de la quantité d'équipement dont vous disposez chez vous.

Les Quatre Niveaux de Sécurité (Les Protocoles)

1. Le Client « Cuisine Complète » (Protocole 1)

Qui vous êtes : Vous disposez d'une cuisine domestique décente avec un ensemble complet d'outils (un ordinateur quantique à M qubits). Vous pouvez cuire de petits gâteaux vous-même, mais le grand gâteau nécessite la boulangerie professionnelle.
La Stratégie : Vous chiffrez vos ingrédients avec un « Un-Time Pad Quantique » (QOTP). C'est comme placer vos ingrédients dans une boîte dont la serrure change à chaque fois que vous la touchez.

• Ce que voit le Boulanger : Il voit une boîte d'ingrédients et des instructions pour les mélanger d'une manière spécifique et publique (comme « remuez dans le sens des aiguilles d'une montre »). Il ne peut pas voir ce qu'il y a à l'intérieur de la boîte.
• Ce que vous faites : Vous gardez les parties secrètes de la recette (les épices non standard) pour vous. Lorsque le boulanger a terminé le mélange public, vous récupérez la boîte, la déverrouillez, ajoutez votre épice secrète, la refermez et la renvoyez.
• La Contrainte : Le boulanger sait toujours combien d'ingrédients vous avez utilisés et quand vous les avez envoyés, mais pas ce qu'ils sont.

2. Le Client « Outil Unique » (Protocole 2)

Qui vous êtes : Vous n'avez pas de cuisine complète. Vous ne possédez que quelques outils individuels (des dispositifs à qubit unique indépendants). Vous ne pouvez pas mélanger deux ingrédients ensemble à la maison.
La Stratégie : Vous utilisez toujours la boîte à secret (QOTP), mais vous devez maintenant être très prudent quant à la façon dont vous envoyez les choses.

• L'Astuce : Pour cacher la forme de votre recette, vous utilisez des « Permutations de Routage ». Imaginez que vous avez 5 bocaux d'ingrédients. Vous mélangez l'ordre dans lequel les bocaux vont sur les étagères de la boulangerie. Le boulanger voit des bocaux bouger, mais parce que vous les avez mélangés, il ne peut pas dire si vous préparez un gâteau ou une tarte simplement en regardant l'ordre des bocaux.
• La Contrainte : Vous devez constamment échanger les bocaux d'avant en arrière, ce qui prend du temps.

3. Le Client « Minimaliste » (Protocole 3)

Qui vous êtes : Vous n'avez presque aucun outil. Vous ne pouvez que verrouiller et déverrouiller des boîtes, mais vous ne pouvez même pas faire tourner les ingrédients à l'intérieur.
La Stratégie : C'est la partie la plus ingénieuse. Vous ne pouvez pas cacher l'angle d'une rotation (comme « tournez le bouton de 45 degrés ») en le faisant vous-même. Alors, vous utilisez une astuce de « Partage de Code Secret ».

• L'Analogie : Imaginez que vous devez dire au boulanger de tourner un bouton, mais vous ne pouvez pas dire « 45 degrés ». Au lieu de cela, vous lui dites de le tourner de « 10 degrés » et de « 35 degrés » séparément. Mais voici la twist : vous dites aussi secrètement au boulanger de tourner l'un d'eux en arrière (signe négatif).
• La Magie : Le boulanger voit deux tours : +10 et +35. Mais grâce à l'instruction secrète « en arrière » que vous détenez, le vrai calcul aboutit à 45. Le boulanger ne sait pas quel tour était le vrai et lequel était le « en arrière ».
• La Contrainte : Cela ne fonctionne que si le boulanger ne peut pas déterminer quels deux tours appartiennent à la même instruction secrète. Vous cachez cela en mélangeant l'ordre des tours et en utilisant des tours « factices » qui semblent réels mais ne font rien.

4. Le Client « Purement Classique » (Protocole 4)

Qui vous êtes : Vous n'avez aucun outil quantique. Vous êtes simplement une personne avec un ordinateur portable.
La Stratégie : Vous ne pouvez pas verrouiller les boîtes vous-même. Alors, vous engagez deux boulangeries concurrentes (Serveur 1 et Serveur 2) et un gestionnaire neutre (Nœud Commun).

• Le Montage : Vous divisez votre recette secrète en deux moitiés. Vous donnez une moitié au Boulanger A et l'autre moitié au Boulanger B. Le Gestionnaire détient la « clé » pour savoir comment les remettre ensemble.
• La Règle : Le Boulanger A et le Boulanger B n'ont pas le droit de se parler. Le Gestionnaire est de confiance pour mélanger les clés afin qu'aucun Boulanger ne connaisse l'image complète.
• La Contrainte : Si le Boulanger A, le Boulanger B et le Gestionnaire décident tous de s'entendre et de partager leurs notes, votre secret est perdu. Le système repose sur le fait qu'ils ne collaborent pas.

La Couche « Piège » (Vérification)

Comment savoir si le boulanger n'a pas triché ? Peut-être n'a-t-il pas volé la recette, mais il a simplement cuit un gâteau brûlé.
Les auteurs suggèrent un système de « Piège ».

• L'Analogie : Imaginez que vous envoyez au boulanger quelques ingrédients « factices » qui ressemblent exactement à vos vrais ingrédients, mais vous savez exactement en quoi ils devraient se transformer (par exemple : « Cet œuf spécifique doit se transformer en une sphère parfaite »).
• Le Contrôle : Si le boulanger renvoie une sphère déformée, vous savez qu'il trichait ou a fait une erreur. Parce que les ingrédients factices sont mélangés au hasard avec les vrais, le boulanger ne sait pas lesquels sont les pièges. Il doit être honnête avec tout pour éviter d'être pris.

La Réalité de la « Fuite »

Le document est très honnête sur ce qu'il ne fait pas. Il admet que bien que le boulanger ne puisse pas voir les ingrédients (les données), il pourrait quand même deviner certaines choses en se basant sur :

• Le Timing : Le temps qu'il a fallu pour cuire.
• La Taille : Le nombre de bocaux utilisés.
• La Structure : La forme générale de la recette (par exemple : « Cela ressemble à un gâteau, pas à une soupe »).

Le document appelle cela une « Confidentialité Dépendante des Fuites ». Cela signifie : « Nous cachons les détails secrets, mais nous admettons que le boulanger pourrait deviner le type général de plat, sauf si nous ajoutons un remplissage et du bruit supplémentaires pour cacher cela aussi. »

Résumé

Ce document ne promet pas un bouclier magique qui vous rend invisible face à un pirate informatique surpuissant. Au lieu de cela, il offre une boîte à outils modulaire :

1. Si vous avez un ordinateur quantique : Utilisez la méthode de la « Boîte à Cadenas ».
2. Si vous avez des outils limités : Utilisez les méthodes de « Mélange » et de « Partage de Code Secret ».
3. Si vous n'avez aucun outil : Utilisez la méthode « Deux Boulangeries + Gestionnaire ».
4. Pour tout le monde : Ajoutez des « Pièges » pour attraper les tricheurs.

C'est un guide pratique sur la façon d'utiliser des ordinateurs quantiques puissants aujourd'hui sans révéler vos secrets, reconnaissant que la confidentialité parfaite est difficile, mais qu'une confidentialité « suffisante » est réalisable avec le bon mélange d'astuces.

Résumé technique

Résumé Technique : Calcul Quantique Délégué Privé pour des Contextes de Niveau Utilisateur et Industriel

1. Énoncé du Problème

L'accès au matériel quantique reste un goulot d'étranglement pour les utilisateurs individuels et les industries en raison du coût élevé de la construction, de l'exploitation et de la maintenance des dispositifs quantiques. Le Calcul Quantique Délégué (DQC) offre une solution où un client aux ressources contraintes délègue des calculs à un serveur puissant. Cependant, un défi critique réside dans la préservation de la confidentialité des données d'entrée, des données de sortie et de la description du calcul (structure et paramètres).

Les approches existantes, telles que le Calcul Quantique Aveugle Basé sur la Mesure (MBQC) et le Calcul Quantique Aveugle Basé sur les Circuits (CBQC), exigent souvent que le client possède des capacités quantiques significatives (par exemple, générer des états graphiques ou stocker tous les qubits) ou reposent sur des modèles de confiance spécifiques. De plus, les définitions standard de la confidentialité confondent souvent différents types de secret (confidentialité de l'état versus confidentialité structurelle) ou supposent une aveuglement universel qui peut ne pas être réalisable avec des ressources client limitées.

Ce papier répond au besoin d'une hiérarchie modulaire de protocoles de calcul quantique délégué privé adaptée aux capacités variables des clients, allant des dispositifs multi-qubits entièrement capables aux contrôleurs purement classiques. Le travail distingue explicitement la protection de l'état quantique (via le chiffrement) de la protection de la structure du circuit (via la compilation et le routage), tout en clarifiant les hypothèses de fuite spécifiques requises pour chacune.

2. Méthodologie et Cadre

Les auteurs proposent une hiérarchie basée sur les ressources où le choix du protocole dépend des capacités quantiques du client ($M$ qubits) et de la nature des opérations (Clifford versus non-Clifford). Le cadre repose sur plusieurs techniques fondamentales :

2.1 Mécanismes de Confidentialité Fondamentaux

• Chiffrement One-Time Pad Quantique (QOTP) : Fondement de la confidentialité de l'état. Le client chiffre les qubits avec des clés aléatoires de Pauli $X$ et $Z$. Dans le modèle semi-honnête purifié, si les clés sont fraîches, secrètes et uniformes, la matrice de densité réduite du serveur est maximale, ne révélant aucune information sur l'état.
• Mises à Jour de Clés Clifford : Les opérations Clifford publiques (H, S, CNOT, CZ) peuvent être effectuées par le serveur sur des données chiffrées. Le client met à jour le cadre de Pauli classiquement sans déchiffrer les données.
• Gestion des Opérations Non-Clifford : Les protocoles de base restreignent le serveur aux opérations Clifford. Les portes non-Clifford (par exemple, $T$, rotations génériques) sont gérées via :
  • Exécution Locale : Le client déchiffre, applique la porte, re-chiffre et renvoie le qubit (pour les clients ayant une capacité locale).
  • Décomposition : Décomposition des portes non-Clifford en couches Clifford publiques et portes locales à un qubit.
  • Primitives d'Ambiguïté d'Angle : Pour les clients restreints, les angles de rotation privés sont masqués par un partage sur grille finie et une randomisation de signe.

2.2 Confidentialité Structurelle et Fuites

Le papier introduit une définition rigoureuse de la confidentialité relative aux fuites. La confidentialité n'est pas absolue mais relative à une fonction de fuite déclarée $L(D)$.

• Confidentialité Structurelle : Masquer la disposition du circuit, les positions des portes et le routage. Cela est réalisé par des compilateurs randomisés, un remplissage avec des portes factices/annulantes et des permutations de routage.
• Ambiguïté au Niveau du Transcript : Pour les clients restreints, le papier définit une "ambiguïté d'angle" plutôt qu'un aveuglement universel. En utilisant un partage $r$-partagé d'angles sur grille finie, masqué par le routage et randomisé par signe, le serveur voit des parts de rotation valides mais ne peut pas déterminer univoquement l'angle logique en raison des signes masqués (induits par les clés QOTP) et du regroupement masqué (induit par les permutations de routage).

2.3 La Hiérarchie des Protocoles

Le papier définit quatre branches de protocoles distinctes basées sur les ressources du client :

1. Protocole 1 (Client Complet à $M$ Qubits) :

   • Capacités : Peut stocker $M$ qubits et effectuer des portes multi-qubits locales.
   • Mécanisme : Le client envoie des lots de $M$ qubits au serveur. Le serveur effectue des opérations Clifford publiques sur des données chiffrées. Les portes privées/non-Clifford sont exécutées localement par le client (déchiffrer-appliquer-rechiffrer) si l'arité $\le M$.
   • Confidentialité : Confidentialité de l'état QOTP ; la confidentialité structurelle dépend du compilateur.

2. Protocole 2 (Client avec $M$ Dispositifs Indépendants à Un Qubit) :

   • Capacités : $M$ dispositifs indépendants ; aucune porte d'intrication locale.
   • Mécanisme : Similaire au Protocole 1 mais restreint aux portes locales à un qubit. Les opérations multi-qubits sont déléguées sous forme de couches Clifford publiques. Le masquage structurel est réalisé par la randomisation des ports (permutations de routage) entre les dispositifs pour masquer les mappages de fils logiques.
   • Confidentialité : Confidentialité de l'état QOTP ; la confidentialité structurelle repose sur les permutations de routage et le remplissage.

3. Protocole 3 (Dispositifs à Un Qubit Restreints) :

   • Capacités : Dispositifs limités aux Pauli $X, Z$ (masques QOTP) et au contrôle de routage ; ne peuvent pas effectuer de rotations arbitraires.
   • Mécanisme : Utilise une primitive d'ambiguïté d'angle $r$-partagée, sur grille finie, masquée par le routage et randomisée par signe. Les angles de rotation privés sont compilés sur une grille finie, divisés en $r$ parts avec des signes masqués (via les clés $X$ QOTP) et un regroupement masqué (via le routage).
   • Confidentialité : Confidentialité de l'état QOTP ; ambiguïté d'angle au niveau du transcript (et non aveuglement universel) sous les hypothèses de signes masqués et de routage masqué.

4. Protocole 4 (Client Classique) :

   • Capacités : Purement classique ; aucune interaction quantique directe.
   • Mécanisme : Utilise deux serveurs de calcul ($S_1, S_2$) et un nœud commun ($R$). Le client maintient un QOTP scindé persistant à appariement masqué. Le nœud commun masque l'appariement entre les parts de clés détenues par $S_1$ et $S_2$.
   • Confidentialité : Confidentialité de l'état sous QOTP scindé persistant plus le masquage de clé $\epsilon_{key}$ (en supposant une non-collusion totale). L'ambiguïté de l'angle est une non-liabilité au niveau du transcript via un partage $r$-partagé mélangé.
   • Hypothèse : La coalition complète $\{S_1, S_2, R\}$ est exclue ; le nœud commun est de confiance ou contrôlé par des canaux latéraux.

2.4 Couche de Détection Basée sur des Pièges

Pour faire face aux déviations malveillantes (où le serveur ne suit pas le protocole), le papier propose une couche de détection statistique intégrée.

• Méthode : Le client compile des "blocs de vérificateur" (avec des réponses connues ou des sorties simulables) et les mélange avec des blocs de données en utilisant un re-labeling privé et un routage.
• Garantie : Sous des hypothèses d'indiscernabilité, le serveur ne peut pas cibler uniquement les blocs de données. La probabilité de détection dépend de la densité des emplacements de vérificateur et de la validité du mode de vérificateur (réponse connue, simulable ou écho).
• Limitation : Il s'agit d'une couche de détection statistique, pas d'une preuve complète de sécurité malveillante ou d'un mécanisme d'authentification.

3. Contributions Clés

1. Hiérarchie de Protocoles Indexée par les Ressources : Un ensemble structuré de protocoles (Protocoles 1–4) qui mappe des capacités client spécifiques (de $M$ qubits à classique) vers des mécanismes de confidentialité appropriés, évitant une approche "taille unique".
2. Définitions de Confidentialité Relatives aux Fuites : Un cadre formel séparant la confidentialité de l'état QOTP (informatique théorique) de la confidentialité structurelle (dépendante du compilateur) et de l'ambiguïté d'angle (dépendante du transcript). Le papier clarifie que l'"aveuglement" est souvent une fonction de la fuite déclarée et de l'aléa du compilateur, et non une propriété inhérente au chiffrement seul.
3. Primitive Masquée par le Routage et Randomisée par Signe : Une technique novatrice pour les clients restreints afin de masquer les angles de rotation privés en utilisant un partage sur grille finie, des signes masqués (via QOTP) et des permutations de routage, offrant une ambiguïté au niveau du transcript sans nécessiter d'aveuglement complet de l'état quantique.
4. QOTP Scindé pour Clients Classiques : Un protocole multipartite (Protocole 4) permettant aux clients classiques d'atteindre la confidentialité de l'état via un modèle de clé scindée sur des serveurs non collusifs, remplaçant le QOTP côté client par un invariant persistant à appariement masqué.
5. Portée de Sécurité Explicite : Le papier délimite explicitement ce que chaque protocole ne prétend pas (par exemple, pas d'aveuglement universel pour le Protocole 3, pas de sécurité malveillante pour les protocoles de base, pas de masquage structurel inconditionnel sans hypothèses de compilateur).

4. Résultats et Exemples

Le papier démontre l'applicabilité de ces protocoles à travers trois exemples algorithmiques :

• Algorithme de Grover : Montre comment déléguer l'oracle (confidentialité structurelle) et l'opérateur de diffusion. La structure privée est masquée par le remplissage et le routage ; les composants non-Clifford (CCZ) sont gérés localement ou par décomposition.
• QAOA (Algorithme Quantique d'Optimisation Approchée) : Illustre la séparation des paramètres privés (angles dans $RZ$ et $RZZ$) de la structure publique. La partie d'intrication $RZZ$ est déléguée comme Clifford public, tandis que les angles privés sont gérés localement ou via la primitive d'ambiguïté d'angle. Le papier souligne la nécessité de remplir les transcriptions de l'optimiseur pour empêcher la fuite des propriétés de convergence.
• Réseaux de Neurones Quantiques (QNN) : Démontre le masquage des angles d'encodage d'entrée et des poids du modèle. Les rotations privées sont exécutées localement ou via la primitive randomisée par signe, tandis que les portes d'intrication sont déléguées.

Analyse de Sécurité :
Le papier fournit des preuves formelles pour :

• Confidentialité de l'État : Sous le modèle semi-honnête purifié avec des clés QOTP fraîches (Théorème 1).
• Ambiguïté d'Angle : Bornes sur la taille de l'ensemble des candidats pour les angles privés étant donné les signes et le regroupement masqués (Propositions 5.1, 5.4).
• Probabilité de Détection : Bornes hypergéométriques pour la probabilité de détecter des déviations malveillantes basées sur la densité de vérificateur (Propositions 6.2, 6.3).

5. Importance et Revendications

Les auteurs positionnent ce travail non pas comme un remplacement du Calcul Quantique Aveugle Universel (UBQC) ou du Calcul Quantique Aveugle Vérifiable (VBQC) dans leurs régimes les plus forts, mais comme un cadre modulaire et indexé par les ressources pour des contextes pratiques où les clients ont des capacités quantiques partielles ou nulles.

• Modestie des Revendications : Le papier déclare explicitement qu'il ne fournit pas d'aveuglement universel ni de sécurité malveillante par lui-même.
  • Le Protocole 3 offre une "ambiguïté d'angle au niveau du transcript", et non un aveuglement universel.
  • Le Protocole 4 repose sur l'hypothèse de non-collusion totale et le contrôle des canaux latéraux ; il n'offre pas de sécurité malveillante sans couches de vérification supplémentaires.
  • La Confidentialité Structurelle est conditionnelle au compilateur randomisé et à la fuite déclarée ; ce n'est pas une garantie inconditionnelle contre tous les canaux latéraux.
• Praticité : La hiérarchie permet aux industries et aux utilisateurs de sélectionner un protocole correspondant à leurs contraintes matérielles spécifiques (par exemple, une entreprise avec un petit processeur quantique versus un utilisateur avec uniquement un ordinateur classique) tout en comprenant les compromis précis en matière de confidentialité et de surcharge.
• Directions Futures : Les auteurs notent que les travaux futurs pourraient se concentrer sur la réduction de la surcharge de transmission de qubits et le renforcement des composants non-Clifford et de détection pour des contextes tolérants aux pannes.

En résumé, le papier fournit une taxonomie rigoureuse et nuancée du calcul quantique délégué privé, clarifiant les conditions exactes sous lesquelles la confidentialité peut être atteinte pour des clients disposant de niveaux variables de ressources quantiques, tout en délimitant explicitement les limites de chaque approche.