⚛️ quantum physics

Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions

Cet article présente les premiers protocoles de l'engagement de bit et de pile ou face statistiquement sécurisés basés sur des fonctions physiques non clonables hybrides verrouillées (HLPUF), surmontant l'impossibilité de la sécurité inconditionnelle en cryptographie quantique en combinant des jetons matériels classiques avec la communication quantique pour atteindre un nouveau paradigme pour la cryptographie pratique entre deux parties méfiantes.

Auteurs originaux : Roo Dunnill, Mina Doosti

Publié 2026-08-12

📖 9 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Roo Dunnill, Mina Doosti

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous essayiez de construire un coffre-fort numérique si sécurisé qu'un robot super-intelligent avec un temps infini ne pourrait pas le forcer. C'est le rêve de la « sécurité inconditionnelle » en cryptographie. Depuis des décennies, les scientifiques essaient de construire un type de coffre-fort spécifique appelé « engagement de bit » (bit commitment). Voyez cela comme une enveloppe scellée : vous mettez un mot secret à l'intérieur, vous le donnez à un ami, et vous promettez que vous ne pourrez pas échanger le mot plus tard, tandis que votre ami ne pourra pas jeter un coup d'œil à l'intérieur avant que vous ne le disiez. Cela semble simple, mais dans le monde quantique — le royaume des atomes et des particules de lumière où les choses peuvent être à deux endroits à la fois — des théorèmes mathématiques célèbres ont prouvé que cela est impossible à réaliser parfaitement sans aide supplémentaire. C'est comme essayer de construire un château de cartes qui ne s'effondre jamais, même dans un ouragan ; les lois de la physique disent que cela ne peut pas être fait si vous n'avez que de l'air et du papier.

Cependant, les scientifiques ont trouvé un contournement astucieux : au lieu de s'appuyer uniquement sur les mathématiques, ils peuvent s'appuyer sur le monde physique lui-même. Imaginez utiliser une empreinte digitale unique et impossible à copier, faite de matériel, pour verrouiller le coffre-fort. Ce document explore une nouvelle façon de construire ce coffre-fort en utilisant un mélange spécial de puces informatiques de l'ancienne école et de physique quantique de la nouvelle école. L'objectif est de créer un système où deux personnes qui ne se font pas confiance peuvent tout de même jouer à des jeux équitables, comme lancer une pièce ou faire un pari secret, sans avoir besoin de faire confiance à un tiers ou de compter sur le fait que l'ennemi soit trop stupide pour tricher.

Le jeu impossible et le hack matériel

Dans le monde de la cryptographie, l'« engagement de bit » est l'équivalent numérique d'une enveloppe scellée. Vous (Alice) voulez vous engager sur un choix (un 0 ou un 1) et le donner à votre ami (Bob). Vous devez promettre deux choses : premièrement, que Bob ne puisse pas jeter un œil à votre choix avant que vous ne soyez prête à le révéler (ce qu'on appelle l'occultation ou hiding) ; et deuxièmement, qu'une fois l'enveloppe scellée, vous ne puissiez pas changer discrètement votre choix pour l'autre chiffre (ce qu'on appelle l'engagement ou binding).

Pendant longtemps, les scientifiques pensaient que la mécanique quantique pourrait résoudre cela parfaitement. Mais un célèbre théorème d'impossibilité (« no-go theorem ») est arrivé et a dit : « Non, ce n'est pas possible ». Il s'avère que dans un monde purement quantique, si vous essayez de cacher le bit parfaitement, vous laissez une faille qui permet au tricheur de changer d'avis plus tard. C'est comme un tour de magie où le magicien ne peut pas faire disparaître le lapin sans laisser d'indice qu'il aurait pu sortir un autre lapin du chapeau plus tard.

Pour contourner cela, les auteurs de ce document ont décidé d'arrêter d'essayer de résoudre le problème uniquement avec des mathématiques et de la lumière. Au lieu de cela, ils ont introduit un objet physique : une Fonction d'Unclonabilité Physique Verrouillée Hybride, ou HLPUF pour faire court.

Considérez une HLPUF comme un jeton « boîte noire » magique et impossible à copier.

Physiquement non clonable : Tout comme aucun flocon de neige n'est identique, aucun de ces jetons matériels n'est exactement le même. Même l'usine qui les a fabriqués ne peut pas copier le câblage interne. Si vous essayez de le scanner et d'en construire un faux, le faux se comportera différemment.
Hybride : C'est un mélange d'une puce informatique standard (facile à fabriquer) et d'une couche quantique (difficile à falsifier).
Verrouillée : C'est la sauce spéciale. Le jeton possède un mécanisme de « verrou ». Une fois utilisé d'une certaine manière, il se verrouille lui-même. Vous ne pouvez pas le rouvrir pour voir ce qu'il y a à l'intérieur ou changer son fonctionnement.

Le nouveau protocole : Un jeu de « Faire confiance à la boîte »

Les auteurs ont conçu un protocole (un ensemble de règles pour un jeu) qui utilise cette boîte magique pour résoudre le problème impossible. Voici comment le jeu fonctionne, étape par étape :

1. La mise en place (L'enrôlement)
Alice commence avec le jeton HLPUF dans un état « déverrouillé ». Elle pose au jeton une série de questions (défis) et note les réponses (réponses) dans un carnet. C'est sa base de données. Ensuite, elle bascule un interrupteur pour verrouiller le jeton. Maintenant, le jeton est scellé. Elle remet ce jeton verrouillé à Bob.

2. L'engagement (L'enveloppe scellée)
Alice veut s'engager sur un bit (0 ou 1). Elle choisit une question de son carnet, par exemple « Question X ».

Elle demande au jeton la réponse à la « Question X ».
Elle utilise également un algorithme spécial pour générer une « fausse » question, « Question Y », qui est très similaire à X mais légèrement différente.
Elle envoie à la fois la Question X et la Question Y à Bob.
Maintenant, voici le tour de magie : elle transforme la réponse à la Question X en une chaîne de particules quantiques (qubits).
- Si elle veut s'engager sur 0, elle encode la réponse en utilisant le « style » (la base) de la Question X.
- Si elle veut s'engager sur 1, elle encode la même réponse en utilisant le « style » de la Question Y.
Elle envoie cette chaîne de particules quantiques à Bob.

Pourquoi Bob ne peut-il pas jeter un œil ?
Bob a les questions, mais il ne sait pas quel « style » Alice a utilisé. Comme les réponses sont aléatoires et que les styles sont mélangés, les particules quantiques lui paraissent identiques, qu'elle ait choisi 0 ou 1. C'est comme envoyer un message dans une bouteove qui ressemble à la même chose, que le message à l'intérieur dise « Oui » ou « Non ». Il ne peut pas faire la différence avant qu'elle ne l'ouvre.

Pourquoi Alice ne peut-elle pas tricher ?
Alice possède le jeton verrouillé. Pour changer d'avis, elle devrait changer son engagement après coup. Mais pour prouver qu'elle n'a pas changé d'avis, elle doit révéler la réponse complète au jeton.

Si elle essaie de mentir, elle doit deviner la réponse à la question du jeton sans réellement posséder le jeton.
Mais le jeton est incloneable. Elle ne peut pas en fabriquer un faux.
Et le jeton est verrouillé. Elle ne peut pas lui poser de nouvelles questions pour découvrir la réponse.
Le seul moyen de gagner est d'avoir la vraie réponse du vrai jeton. Si elle essaie de simuler, les mathématiques disent qu'elle échouera presque à chaque fois.

Les résultats : Un nouveau type de sécurité

Le document prouve que ce système fonctionne avec une sécurité statistique. Cela signifie que si un tricheur très intelligent pourrait potentiellement changer son engagement, les chances sont si astronomiquement basses que c'est pratiquement impossible. Ce n'est pas « mathématiquement impossible » (ce que le document dit ne pas pouvoir être fait), mais c'est « si peu probable que vous ne le verrez jamais arriver ».

Les auteurs ont démontré deux choses principales :

Occultation parfaite : Bob ne peut pas deviner le bit avant la révélation. Les états quantiques sont si similaires qu'un ordinateur quantique parfait ne pourrait pas les distinguer.
Engagement fort : Alice ne peut pas changer son bit après l'envoi des particules quantiques. Le seul moyen d'ouvrir l'enveloppe avec succès est de posséder la réponse authentique et infalsifiable du jeton matériel.

Ils ont également utilisé ce jeu d'engagement de bit pour construire un protocole de Lancer de pièce (Coin Flipping). Imaginez qu'Alice et Bob veuillent décider qui commence un jeu en lançant une pièce, mais qu'ils soient dans des villes différentes et ne se fassent pas confiance. En utilisant cette nouvelle méthode basée sur le matériel, ils peuvent lancer une pièce que personne ne peut truquer. Si Alice essaie de forcer la pièce à tomber sur Face, elle doit briser le jeton matériel, ce qui est statistiquement impossible.

Pourquoi cela importe

Ce document suggère une nouvelle voie pour l'avenir d'Internet. Au lieu d'espérer que les hackers soient trop stupides pour briser nos codes, ou qu'ils n'aient pas assez de mémoire informatique, nous pouvons construire des systèmes qui reposent sur les lois physiques du matériel lui-même.

Les auteurs admettent que ce n'est pas une baguette magique qui résout tout instantanément. Ils notent que la construction de ces jetons nécessite des hypothèses matérielles spécifiques (comme le fait que le jeton soit véritablement incloneable et que le verrou soit incassable). Mais ils soutiennent que c'est une voie réaliste. Nous avons déjà les puces ; nous devons juste ajouter la couche quantique et le mécanisme de verrouillage.

En résumé, le document dit : « Nous ne pouvons pas construire un coffre-fort parfait à partir de mathématiques pures, mais si nous construisons un coffre-fort à partir d'une clé physique spéciale et impossible à copier, nous pouvons en faire un qui est suffisamment sûr pour le monde réel. » C'est un passage de « faire confiance aux mathématiques » à « faire confiance à la physique », offrant une route concrète vers une communication sécurisée dans un monde où tout le monde se méfie de tout le monde.

=== BROUILLON ===
Voici un résumé technique détaillé de l'article « Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions » par Roo Dunnill et Mina Doosti.

Énoncé du problème

L'engagement de bit (bit commitment) est une primitive cryptographique fondamentale, essentielle pour des tâches telles que le tirage de pile ou face (coin flipping), les preuves à divulgation nulle de connaissance (zero-knowledge proofs) et le calcul multipartite sécurisé. Cependant, le théorème d'impossibilité de Mayers–Lo–Chau établit que l'engagement de bit quantique inconditionnellement sécurisé est impossible dans un modèle standard de deux parties non relativiste. Tout protocole suffisamment dissimulant (hiding) admet inévitablement une stratégie cohérente pour l'engageur (Alice) basée sur la purification et la mesure différée, ce qui rompt la propriété de liaison (binding).

Les approches existantes pour contourner ce théorème d'impossibilité reposent généralement sur :

Des notions de sécurité plus faibles (ex. : sensibilité à la triche/cheat sensitivity).
Des hypothèses computationnelles (ex. : permutations mono-sens uniques quantiques).
Des contraintes relativistes (ex. : absence de communication entre des agents séparés).
Des limitations de stockage pour l'adversaire (ex. : modèles de stockage quantique borné ou de stockage bruité).

Les auteurs identifient une lacune : les hypothèses de matériel physique ont été utilisées avec succès pour l'authentification et la génération de clés contre des adversaires externes, mais elles n'ont pas été adaptées efficacement à la cryptographie à deux parties méfiantes (où les deux parties peuvent être malveillantes). Une tentative directe d'utiliser un jeton matériel pour l'engagement de bit échoue car une partie malveillante pourrait simplement remplacer le matériel prescrit par un dispositif similaire ou retarder son choix du bit engagé jusqu'à la phase d'ouverture. Le défi central est de concevoir un protocole qui force l'utilisateur à utiliser le comportement réel du matériel tout en gardant le bit engagé caché du récepteur.

Méthodologie

Les auteurs proposent un protocole constructif basé sur des Fonctions Uniques Physiques Verrouillées Hybrides (HLPUF - Hybrid Locked Physical Unclonable Functions). Une HLPUF est une primitive matérielle combinant une PUF classique (cPUF) avec une couche de communication quantique.

1. La primitive matérielle (HLPUF asymétrique) :
Le protocole utilise une variante asymétrique de la HLPUF introduite dans des travaux antérieurs [22]. La réponse classique $f(x)$ de la cPUF sous-jacente est divisée en deux parties :

$f_1(x)$ (Vérificateur) : Une chaîne plus courte utilisée pour la vérification.
$f_2(x)$ (Charge utile/Payload) : Une chaîne plus longue encodée en états quantiques.

Le dispositif fonctionne en deux modes :

Mode Déverrouillé (Configuration) : Alice interroge le dispositif pour construire une base de données de paires défi-réponse.
Mode Verrouillé (Exécution) : Le dispositif est « verrouillé ». Il accepte un défi $x$ et un état quantique $|\psi\rangle$ . Il vérifie si $|\psi\rangle$ correspond à l'état attendu dérivé de $f_1(x)$ . Si la vérification est valide, il produit l'état quantique correspondant à $f_2(x)$ ; sinon, il interrompt le processus. Crucialement, une fois verrouillé, le dispositif ne peut plus être déverrouillé ni interrogé classiquement pour $f_2(x)$ .

2. Conception du protocole :
Le protocole introduit une asymétrie délibérée pour empêcher les comportements malhonnêtes :

Génération de la paire de défis : Pour un défi choisi $x_0$ , le protocole utilise un algorithme spécifique (Algorithme 1) pour générer un défi alternatif $x_1$ . Ces défis sont construits de telle sorte qu'ils diffèrent sur un ensemble spécifique d'indices $J$ (de taille $\ell_{min}$ ), garantissant que les bits de base de l'encodage BB84 diffèrent de manière significative tandis que les bits de valeur restent équilibrés.
Engagement : Alice s'engage sur un bit $b \in \{0, 1\}$ $b \in {0, 1}$ en préparant un état quantique $\rho_b$ $ρ_{b}$ . Cet état encode la sous-chaîne de la charge utile $f_2(x_0)_J$ $f_{2} (x_{0})_{J}$ (les bits de réponse aux indices $J$ $J$ ).
- Si $b=0$ , l'état est encodé dans la base définie par $x_0$ ( $\beta(x_0)$ ).
- Si $b=1$ , l'état est encodé dans la base définie par $x_1$ ( $\beta(x_1)$ ).
- Alice envoie la paire $(x_0, x_1)$ et l'ordre $J$ à Bob, ainsi que l'état quantique $\rho_b$ .
Ouverture : Alice révèle $b$ , le défi $x_0$ , et les réponses classiques complètes $f_1(x_0)$ et $f_2(x_0)$ .
Vérification : Bob utilise la HLPUF verrouillée pour vérifier l'authenticité de la réponse. Il prépare un état de vérification basé sur $f_1(x_0)$ et interroge le dispositif. Si le dispositif accepte, Bob mesure l'état stocké dans la base correspondant au bit révélé $b$ et vérifie la cohérence avec $f_2(x_0)_J$ .

3. Mécanismes de sécurité :

Dissimulation (Hiding) : Repose sur l'infalsifiabilité de la HLPUF. Sans la capacité de falsifier un état de vérification valide, Bob ne peut pas extraire d'information sur $f_2(x_0)$ avant la révélation. Le protocole garantit que les deux états d'engagement possibles sont statistiquement indiscernables car les bits de la charge utile sont uniformément distribués et les motifs de base sont équilibrés.
Liaison (Binding) : Repose sur le mécanisme de verrouillage et la borne de la norme d'opérateur. Une Alice malhonnête ne peut pas préparer un état intriqué permettant d'ouvrir vers 0 et 1 avec une probabilité élevée car l'étape de vérification nécessite une réponse classique spécifique $f_1(x_0)$ qui est difficile à falsifier. La preuve de liaison réduit toute stratégie malhonnête à une borne de norme d'opérateur sur la somme des projecteurs d'acceptation, montrant que la probabilité d'ouvrir avec succès les deux bits est bornée par une fonction négligeable.

Contributions clés

Premier engagement de bit quantique statistiquement sécurisé : L'article présente le premier protocole d'engagement de bit qui atteint à la fois une dissimulation et une liaison statistiques sous des hypothèses de matériel hybride (spécifiquement les HLPUF) sans dépendre de la dureté computationnelle ou des contraintes relativistes.
Usage novateur du matériel : Les auteurs démontrent comment utiliser des jetons matériels dans un contexte de méfiance mutuelle. Ils surmontent le problème du « dispositif de substitution » en structurant le protocole de sorte que l'état d'engagement soit statistiquement lié au comportement de défi-réponse du matériel authentique, rendant impossible pour une partie malveillante de substituer le jeton sans détection.
Construction de HLPUF asymétrique : L'introduction d'une séparation asymétrique dans la réponse de la PUF (Vérificateur vs Charge utile) et d'un algorithme de génération de paires de défis spécifique (Algorithme 1) qui assure des distributions d'états BB84 équilibrées.
Premier tirage de pile ou face basé sur le matériel : En appliquant la transformation standard à leur schéma d'engagement de bit, les auteurs construisent le premier protocole de tirage de pile ou face quantique fort basé sur des hypothèses de matériel hybride.
Techniques de preuve : Le papier développe de nouvelles techniques de preuve, incluant un argument de « symétrie d'ensemble intrinsèque » pour la dissimulation et une réduction par la norme d'opérateur pour la liaison, qui séparent les limitations quantiques intrinsèques des paramètres matériels.

Résultats

Correction : Le protocole est correct ; les parties honnêtes réussissent toujours avec une probabilité de 1.
Dissimulation (Hiding) : Le protocole est $\epsilon_{hide}$ -dissimulant, où $\epsilon_{hide} \le \epsilon_{forge}$ (le paramètre d'infalsifiabilité de la HLPUF). Si la HLPUF est exponentiellement infalsifiable, la dissimulation est parfaite (statistiquement indiscernable).
Liaison (Binding) : Le protocole est $\epsilon_{bind}$ -liant. La probabilité qu'une Alice malhonnête puisse ouvrir avec succès les deux bits est bornée par :
$p_0 + p_1 \le 1 + 2^{-\frac{\ell_{min} - 2s}{4}}$
où $s$ est la longueur de la chaîne de vérification et $\ell_{min}$ est la longueur de la sous-chaîne de la charge utile. Cette borne est négligeable pour des choix de paramètres appropriés.
Biais du tirage de pile ou face : Le protocole de tirage de pile ou face résultant a un biais d'au plus $\delta_{CF} \le \frac{1}{2} \max\{\epsilon_{hide}, \epsilon_{bind}\}$ .

Signification et affirmations

Les auteurs affirment que leur travail établit un nouveau paradigme pour la cryptographie à deux parties sécurisée dans les réseaux quantiques. En combinant des garanties de sécurité rigoureuses avec des composants matériels concrets et disponibles (PUF) et une communication quantique réalisable, ils offrent une voie pratique pour implémenter des primitives cryptographiques fondamentales qui sont autrement impossibles dans le cadre quantique pur.

L'article souligne que cette approche ne nécessite pas d'hypothèses sur la mémoire quantique d'un adversaire (contrairement aux modèles de stockage borné), permettant ainsi une sécurité indéfinie. Au lieu de cela, la sécurité repose sur l'unicité physique et la résistance aux manipulations du jeton matériel. Les auteurs positionnent cela comme une alternative constructive aux résultats existentiels, fournissant un design spécifique qui comble le fossé entre la cryptographie quantique théorique et l'implémentation pratique.

Les auteurs restent modestes quant aux travaux futurs, notant que l'implémentation inviolable du dispositif est une question d'ingénierie ouverte et qu'une analyse de sécurité pleinement composable est laissée à des études futures. Ils suggèrent également que le protocole pourrait être adapté à des scénarios sans mémoire quantique (en permettant une mesure précoce), bien que cela affaiblirait les paramètres de sécurité.