Sintesi Tecnica: Verifica della Posizione Quantistica Arbitrariamente Tollerante alle Perdite in una Singola Esecuzione

1. Definizione del Problema

La Verifica della Posizione Quantistica (QPV) mira a certificare la posizione spaziale di un prover (proponente) non fidato utilizzando vincoli di segnalazione relativistica e informazione quantistica. Mentre il teorema di no-cloning impedisce attacchi di copia classica, la sicurezza incondizionata è impossibile contro avversari che condividono un entanglement arbitrariamente grande. Di conseguenza, la ricerca si concentra sul modello a entanglement limitato (BE - bounded-entanglement), in cui gli avversari condividono un numero limitato di qubit entangled.

Un ostacolo pratico critico per la QPV è la perdita di fotoni. Nelle fibre ottiche, la perdita di trasmissione aumenta esponenzialmente con la distanza. I protocolli QPV standard (ad esempio, $QPV_{BB84}$, $QPV^f_{BB84}$ e il parallelo $QPV^{f:n\to m}_{BB84}$) assumono una trasmissione ideale. Questa assunzione crea una vulnerabilità fondamentale: un avversario può intercettare i qubit, misurarli in basi casuali e dichiarare l'esito solo quando l'ipotesi della base è corretta, dichiarando "perdita" altrimenti. Questa strategia rompe la sicurezza ogni volta che il tasso di trasmissione scende sotto il 50%.

Lavori precedenti hanno affrontato separatamente o simultaneamente la perdita e l'entanglement solo in contesti sequenziali. Nello specifico, [ABB+23] ha introdotto una modifica basata sull'impegno (commitment-based) ($c-QPV^f_{BB84}$) che tollera perdite arbitrarie richiedendo al prover di impegnarsi sui qubit ricevuti prima di apprendere la base di misura. Tuttavia, questa tecnica faceva affidamento sulla struttura sequenziale del protocollo, dove le ripetizioni dei round permettono ai verificatori di rilevare impegni inconsistenti. Queste tecniche non si estendono ai protocolli a singola esecuzione (paralleli), che sono preferibili per l'implementazione pratica e per l'uso come subroutine in schemi crittografici più ampi. I protocolli a singola esecuzione esistenti mancano di tolleranza alle perdite o richiedono comunicazione quantistica alla velocità della luce, limitandone l'applicabilità.

2. Metodologia

Gli autori propongono una modifica basata sull'impegno al protocollo parallelo a singola esecuzione $QPV^{f:n\to m}_{BB84}$, denominato $c-QPV^{f:n\to m}_{BB84}$.

Struttura del Protocollo

Il protocollo coinvolge due verificatori ($V_0, V_1$) e un prover ($P$):

1. Preparazione: I verificatori generano input classici $x, y \in \{0,1\}^n$ e stati quantistici (qubit BB84) basati su una funzione $z = f(x,y)$.
2. Distribuzione: Gli stati quantistici vengono inviati a $P$, seguiti da stringhe classiche $x$ e $y$ temporizzate per arrivare simultaneamente nella posizione dichiarata.
3. Impegno (Nuovo Step): Al ricevimento dei sistemi quantistici ma prima di apprendere $x$ e $y$, il prover trasmette una stringa di impegno $c \in \{0,1\}^m$, indicando quali qubit sono stati ricevuti con successo ($c_i=1$) e quali sono stati persi ($c_i=0$).
4. Condizione di Verifica: Il protocollo procede solo se il numero di qubit impegnati $|c| \geq k$, dove $k$ è una soglia predefinita.
5. Misurazione: Una volta arrivati $x$ e $y$, $P$ calcola $z = f(x,y)$ e misura solo i qubit nell'insieme impegnato $C = \{i \mid c_i=1\}$ nelle basi specificate da $z_C$.
6. Verifica: I verificatori accettano se gli esiti riportati corrispondono ai valori attesi entro un margine di errore $\gamma$ per il sottoinsieme $C$.

Tecniche di Analisi della Sicurezza

La prova di sicurezza affronta la sfida per cui, a differenza della ripetizione sequenziale, una singola esecuzione fornisce solo una stringa di impegno, impedendo il rilevamento di inconsistenze tra i round. Gli autori impiegano le seguenti tecniche:

• Vincoli di No-Signalling: L'analisi sfrutta il fatto che gli avversari (Alice e Bob) sono spazialmente separati. La loro distribuzione congiunta di impegno deve soddisfare le condizioni di no-signalling; specificamente, l'impegno di Alice non può dipendere dall'input di Bob $y$, e viceversa.
• Decomposizione della Probabilità di Accettazione: Gli autori decompongono la probabilità totale di accettazione in una somma su possibili stringhe di impegno $c$. Limitano la probabilità di accettazione condizionata $Pr[\text{accept } w_C \mid c]$ per una $c$ fissa, relazionandola alla sicurezza del protocollo originale $QPV^{f:n\to m}_{BB84}$ ristretto al sottoinsieme $C$.
• Decadimento Esponenziale: Combinando i vincoli di no-signalling con il decadimento esponenziale della solidità (soundness) del protocollo originale (governato dal parametro $\lambda_\gamma$), derivano un limite globale che decade esponenzialmente con la soglia $k$.
• Analisi Sequenziale Raffinata: Gli autori rivisitano anche il protocollo sequenziale di [ABB+23]. Sostituiscono il tempo di arresto stocastico (l'attesa di un numero polinomiale di round riusciti) con un numero fisso di round $m$ e una soglia fissa $k$. Ciò consente un limite diretto sulla probabilità di accettazione senza dipendere da affermazzioni "o/o" riguardanti impegni inconsistenti.

3. Contributi Chiave

1. Prima QPV a Singola Esecuzione Tollerante alle Perdite: Il documento presenta $c-QPV^{f:n\to m}_{BB84}$, il primo protocollo che raggiunge simultaneamente:
   • Solidità (soundness) trascurabile in una singola esecuzione.
   • Sicurezza contro avversari che condividono una quantità lineare di entanglement (nella dimensione degli input classici).
   • Nessun requisito di comunicazione quantistica alla velocità della luce.
   • Tolleranza a perdite di trasmissione arbitrariamente grandi.
2. Generalizzazione del Paradigma di Impegno: Il lavoro eleva con successo la modifica dell'impegno dai contesti sequenziali a quelli paralleli utilizzando correlazioni di no-signalling, superando la dipendenza dalla struttura sequenziale che precedentemente impediva tale estensione.
3. Parametri Sequenziali Migliorati: Il documento raffina l'analisi dei protocolli di impegno sequenziale, sostituendo i tempi di arresto stocastici con parametri fissi. Ciò produce limiti quantitativi migliorati dove la probabilità di accettazione dell'avversario decade esponenzialmente nella soglia $k$, con un termine di correzione che scala come $O(k^{-1/3})$ (migliorato da $O(r^{-1/4})$ rispetto al lavoro precedente).
4. Robustezza: Il protocollo risultante mantiene la robustezza a livelli di rumore fino al 3,7% per qubit, eguagliando la tolleranza al rumore del protocollo originale sottostante.

4. Risultati

Il principale risultato teorico (Teorema 1.1 e Teorema 4.1) stabilisce che, per una funzione $f$ appropriata, la probabilità che un avversario venga accettato nel modello BE($O(n)$) è limitata da:
$$Pr[\text{accept } c-QPV^{f:n\to m}_{BB84}] \lesssim 2(\lambda_\gamma)^{k/2}$$
dove $\lambda_\gamma = 2^{h(\gamma)}(\frac{1}{2} + \frac{1}{2}\sqrt{2})$ e $h(\cdot)$ è la funzione entropica binaria.

• Tolleranza alle Perdite: La sicurezza dipende da $k$ (il numero di qubit ricevuti con successo), non dal numero totale di qubit trasmessi $m$. Pertanto, il protocollo rimane sicuro anche se il tasso di trasmissione è arbitrariamente basso, a condizione che vengano ricevuti abbastanza qubit per soddisfare la soglia $k$.
• Tolleranza al Rumore: Il protocollo rimane sicuro per tassi di errore $\gamma < 0,037$ (3,7%), poiché ciò garantisce che $\lambda_\gamma < 1$.
• Ripetizione Parallela: Per i protocolli costruiti tramite ripetizione parallela di una singola funzione booleana $g$ (ovvero $f = g^{\otimes m}$), la sicurezza della versione basata sull'impegno si riduce alla sicurezza della versione senza impegno con $k$ ripetizioni: $Pr[\text{accept } c-QPV^{g^{\otimes m}}_{BB84}] \leq 2\sqrt{Pr[\text{accept } QPV^{g^{\otimes k}}_{BB84}]}$.

5. Significato e Rivendicazioni

Gli autori affermano che questo lavoro colma una lacuna critica tra la sicurezza teorica e l'implementazione pratica della QPV.

• Fattibilità su Distanze Arbitrarie: Rendendo il protocollo arbitrariamente tollerante alle perdite, il lavoro rende la QPV fattibile su lunghe distanze dove la perdita di fotoni è significativa, un prerequisito per l'impiego nel mondo reale.
• Utilità Pratica: La natura a singola esecuzione del protocollo è evidenziata come particolarmente attraente per le implementazioni a breve termine e per l'uso come subroutine in costrutti crittografici più ampi (ad esempio, Distribuzione di Chiavi Quantistiche, autenticazione di messaggi), dove la ripetizione sequenziale è spesso impraticabile.
• Avanzamento Teorico: Il lavoro dimosta che la sicurezza basata sull'impegno può essere ottenuta in contesti paralleli senza sacrificare le garanzie di sicurezza del protocollo sottostante contro avversari a entanglement limitato.
• Rilevanza Sperimentale: Il documento fornisce parametri quantitativi migliorati per le implementazioni sperimentali, specificamente fissando il numero di round e la soglia di accettazione, eliminando così l'incertezza sulla durata dell'esecuzione inerente ai precedenti approcci sequenziali.

Il documento conclude che $c-QPV^{f:n\to m}_{BB84}$ rappresenta la prima protocollo QPV a singola esecuzione completamente tollerante alle perdite e sicuro contro attaccanti con entanglement, rimuovendo efficacemente la barriera del tasso di trasmissione che precedentemente limitava la QPV a brevi distanze o condizioni idealizzate.