⚛️ quantum physics

Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions

Questo articolo presenta i primi protocolli di bit commitment e coin-flipping statisticamente sicuri basati su funzioni fisiche non clonabili ibride bloccate (HLPUF), superando l'impossibilità della sicurezza incondizionata nella crittografia quantistica combinando token hardware classici con la comunicazione quantistica per raggiungere un nuovo paradigma per la crittografia pratica tra due parti diffidenti.

Autori originali: Roo Dunnill, Mina Doosti

Pubblicato 2026-08-12

📖 8 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Roo Dunnill, Mina Doosti

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di cercare di costruire una cassaforte digitale che sia così sicura che nemmeno un robot super intelligente con un tempo infinito potrebbe violarla. Questo è il sogno della "sicurezza incondizionata" nella crittografia. Per decenni, gli scienziati hanno cercato di costruire un tipo specifico di cassaforte chiamata "impegno di bit" (bit commitment). Pensala come a una busta sigillata: metti un biglietto segreto all'interno, lo consegni a un amico e prometti che non potrai scambiare il biglietto in un secondo momento, mentre il tuo amico non potrà sbirciare all'interno finché non dirai tu di farlo. Sembra semplice, ma nel mondo quantistico — il regno degli atomi e delle particelle di luce dove le cose possono trovarsi in due posti contemporaneamente — famosi teoremi matematici hanno dimostrato che questo è impossibile da fare perfettamente senza aiuto extra. È come cercare di costruire una casa di carte che non cada mai, anche in un uragano; le leggi della fisica dicono che non può essere fatto se hai solo aria e carta.

Tuttamente, gli scienziati hanno trovato un astuto aggiro: invece di affidarsi solo alla matematica, possono affidarsi al mondo fisico stesso. Immagina di usare un'impronta digitale unica e non duplicabile fatta di hardware per chiudere la cassaforte. Questo articolo esplora un nuovo modo per costruire quella cassaforte usando un mix speciale di vecchi chip informatici e nuova fisica quantistica. L'obiettivo è creare un sistema in cui due persone che non si fidano l'una dell'altra possano comunque giocare a giochi onesti, come lanciare una moneta o fare una scommessa segreta, senza dover fare affidamento su una terza parte o contare sul fatto che il nemico sia troppo stupido per imbrogliare.

Il Gioco Impossibile e l'Hack dell'Hardware

Nel mondo della crittografia, il "bit commitment" è l'equivalente digitale di una busta sigillata. Tu (Alice) vuoi impegnarti su una scelta (uno 0 o un 1) e consegnarla al tuo amico (Bob). Devi promettere due cose: prima, che Bob non possa sbirciare la tua scelta prima che tu la riveli (questo è chiamato hiding o occultamento); e secondo, che una volta sigillata la busta, non puoi cambiare segretamente la tua scelta con l'altro numero (questo è chiamato binding o vincolo).

Per molto tempo, gli scienziati hanno pensato che la meccanica quantistica potesse risolvere questo problema perfettamente. Ma poi, è arrivato un famoso teorema "no-go" che ha detto: "No, non è possibile". Si scopre che in un mondo puramente quantistico, se provi a nascondere il bit perfettamente, lasci un loophole che permette al imbroglione di cambiare idea in seguito. È come un trucco di magia dove il mago non può far scomparire il coniglio senza lasciare un indizio che avrebbe potuto estrarre un coniglio diverso dal cappello più tardi.

Per aggirare questo problema, gli autori di questo articolo hanno deciso di smettere di cercare di risolvere il problema solo con la matematica e la luce. Inveve, hanno introdotto un oggetto fisico: una Funzione Unclonabile Fisica Ibrida Bloccata, o HLPUF per brevità.

Pensa a un HLPUF come a un token magico, una "scatola nera" non duplicabile.

Fisicamente Unclonabile: Proprio come non esistono due fiocchi di neve identici, non esistono due di questi token hardware esattamente uguali. Persino la fabbrica che li ha prodotti non può copiarne il cablaggio interno. Se provi a scansionarlo e costruire un falso, il falso si comporterà diversamente.
Ibrido: È un mix di un normale chip per computer (facile da prodere) e uno strato quantistico (difficile da falsificare).
Bloccato: Questa è la salsa speciale. Il token ha un meccanismo di "blocco". Una volta utilizzato in un certo modo, si blocca da solo. Non puoi riaprirlo per vedere cosa c'è dentro o per cambiare il suo funzionamento.

Il Nuovo Protocollo: Un Gioco di "Fidati della Scatola"

Gli autori hanno progettato un protocollo (un insieme di regole per un gioco) che utilizza questa scatola magica per risolvere il problema impossibile. Ecco come funziona il gioco, passo dopo dopo passo:

1. La Configurazione (L'Arruolamento)
Alice inizia con il token HLPUF in uno stato "sbloccato". Chiede al token una serie di domande (sfide) e annota le risposte (risposte) in un taccuino. Questo è il suo database. Poi, aziona un interruttore per bloccare il token. Ora, il token è sigillato. Lo consegna a Bob.

2. L'Impegno (La Busta Sigillata)
Alice vuole impegnarsi su un bit (0 o 1). Sceglie una domanda dal suo taccuino, ad esempio "Domanda X".

Chiede al token la risposta alla "Domanda X".
Usa anche un algoritmo speciale per generare una "domanda falsa", la "Domanda Y", che è molto simile alla X ma leggermente diversa.
Invia sia la Domanda X che la Domanda Y a Bob.
Ora, ecco il trucco magico: Alice prende la risposta alla Doma X e la trasforma in una stringa di particelle quantistiche (qubit).
- Se vuole impegnarsi su 0, codifica la risposta usando lo "stile" (base) della Domanda X.
- Se vuole impegnarsi su 1, codifica la stessa risposta usando lo "stile" della Doma Y.
Invia questa stringa di particelle quantistiche a Bob.

Perché Bob non può sbirciare?
Bob ha le domande, ma non sa quale "stile" ha usato Alice. Poiché le risposte sono casuali e gli stili sono mescolati, le particelle quantistiche gli sembrano identiche, sia che lei abbia scelto 0 o 1. È come inviare un messaggio in una bottiglia dove la bottiglia appare identica sia che il messaggio all'interno dica "Sì" che "No". Lui non può distinguere la differenza finché lei non la rivela.

Perché Alice non può imbrogliare?
Alice ha il token bloccato. Per cambiare idea, dovrebbe cambiare il suo impegno in un secondo momento. Ma per dimostrare di non aver cambiato idea, deve rivelare la risposta completa al token.

Se prova a mentire, deve indovinare la risposta alla domanda del token senza avere effettivamente il token.
Ma il token è unclonabile. Non può crearne uno falso.
E il token è bloccato. Non può porgli nuove domande per scoprire la risposta.
L'unico modo per vincere è avere la risposta reale dal vero token. Se prova a falsificarla, la matematica dice che fallirà quasi ogni volta.

I Risultati: Un Nuovo Tipo di Sicurezza

Il documento dimostra che questo sistema funziona con sicurezza statistica. Ciò significa che, sebbene un imbroglione super intelligente potrebbe essere in grado di cambiare il proprio impegno, le probabilità che ciò accada sono così astronomicamente basse che è praticamente impossibile. Non è "matematicamente impossibile" (cosa che il documento dice non poter essere fatta), ma è "così improbabile che non vedrai mai accadere".

Gli autori hanno dimostrato due cose principali:

Occultamento Perfetto (Perfect Hiding): Bob non può indovinare il bit prima della rivelazione. Gli stati quantistici sono così simili che, anche con un computer quantistico perfetto, non può distinguerli.
Vincolo Forte (Strong Binding): Alice non può cambiare il suo bit dopo aver inviato le particelle quantistiche. L'unico modo per aprire la busta con successo è avere la risposta genuina e inconfalsificabile del token hardware.

Hanno anche utilizzato questo gioco di impegno di bit per costruire un protocollo di Lancio della Moneta (Coin Flipping). Immaginate che Alice e Bob vogliano decidere chi inizia una partita lanciando una moneta, ma si trovano in città diverse e non si fidano l'uno dell'altro. Usando questo nuovo metodo basato sull'hardware, possono lanciare una moneta che nessuno dei due può manipolare. Se Alice cerca di forzare la moneta affinché esca Testa, deve rompere il token hardware, il che è statisticamente impossibile.

Perché Questo è Importante

Questo articolo suggerisce una nuova strada per il futuro di Internet. Invece di sperare che gli hacker siano troppo stupidi per violare i nostri codici, o che non abbiano abbastanza memoria informatica, possiamo costruire sistemi che si affidano alle leggi fisiche dell'hardware stesso.

Gli autori ammettono che questo non è un bacchetta magica che risolve tutto istantaneamente. Notano che costruire questi token richiede assunzioni hardware specifiche (come il fatto che il token sia veramente non duplicabile e che il blocco sia infrangibile). Ma sostengono che questa sia una via realistica. Abbiamo già i chip; dobbiamo solo aggiungere lo strato quantistico e il meccanismo di blocco.

In breve, il documento dice: "Non possiamo costruire una cassaforte perfetta fatta di pura matematica, ma se costruiamo una cassaforte con una chiave fisica speciale e non duplicabile, possiamo renderla abbastanza sicura per il mondo reale". È un passaggio dal "fidarsi della matematica" al "fidarsi della fisica", offrendo una via concreta verso una comunicazione sicura in un mondo in cui tutti sospettano di tutti gli altri.

=== BOZZA ===
Ecco un riassunto tecnico dettagliato del documento "Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions" di Roo Dunnill e Mina Doosti.

Problema

L'impegno di bit (bit commitment) è un primitivo crittografico fondamentale, essenziale per compiti come il lancio di moneta (coin flipping), le prove a conoscenza zero e la computazione multipartitica sicura. Tuttavia, il teorema di impossibilità di Mayers–Lo–Chau stabilisce che l'impegno di bit quantistico statisticamente sicuro è impossibile in un modello standard a due parti non relativistico. Qualsiasi protocollo che sia sufficientemente occultante (hiding) è inevitabilmente soggetto a una strategia coerente per il committente (Alice) basata sulla purificazione e sul ritardo della misurazione, violando così la proprietà di vincolo (binding).

Gli approcci esistenti per aggirare questo teorema di impossibilità si basano tipicamente su:

Concetti di sicurezza più deboli (es. sensibilità al cheating/cheat sensitivity).
Assunzioni computazionali (es. permutazioni monoorientate quantistiche).
Vincoli relativistici (es. assenza di comunicazione tra agenti separati).
Limitazioni di memoria per l'avversario (es. modelli a memoria quantistica limitata o a memoria rumorosa).

Gli autori identificano una lacuna: le assunzioni sull'hardware fisico sono state utilizzate con successo per l'autenticazione e la generazione di chiavi contro avversari esterni, ma non sono state adattate efficacemente per la crittografia a due parti con sfiducia reciproca (dove entrambe le parti possono essere maligne). Un tentativo diretto di utilizzare un token hardware per l'impegno di bit fallisce perché una parte malvagia potrebbe semplicemente sostituire l'hardware prescritto con un dispositivo simile o ritardare la scelta del bit impegnato fino alla fase di apertura. La sfida centrale è progettare un protocollo che costringa il committente a utilizzare il comportamento dell'hardware genuino, mantenendo al contempo il bit impegnato nascosto al ricevitore.

Metodologia

Gli autori propongono un protocollo costruttivo basato su Hybrid Locked Physical Unclonable Functions (HLPUFs). Una HLPUF è un primitivo hardware che combina una cPUF (Physical Unclonable Function classica) con uno strato di comunicazione quantistica.

1. Il Primitivo Hardware (Asymmetric HLPUF):
Il protocollo utilizza una variante asimmetrica della HLPUF introdotta in lavori precedenti [22]. La risposta classica $f(x)$ della cPUF sottostante viene divisa in due parti:

$f_1(x)$ (Verificatore): Una stringa più corta utilizzata per la verifica.
$f_2(x)$ (Payload): Una stringa più lunga codificata in stati quantistici.

Il dispositivo opera in due modalità:

Modalità Unlocked (Setup): Alice interroga il dispositivo per costruire un database di coppie sfida-risposta.
Modalità Locked (Esecuzione): Il dispositivo è "bloccato". Accetta una sfida $x$ e uno stato quantistico $|\psi\rangle$ . Verifica se $|\psi\rangle$ corrisponde allo stato atteso derivato da $f_1(x)$ . Se valido, emette lo stato quantistico corrispondente a $f_2(x)$ ; altrimenti, interrompe l'operazione. Fondamentalmente, una volta bloccato, il dispositivo non può essere sbloccato né interrogato classicamente per $f_2(x)$ .

2. Il Design del Protocollo:
Il protocollo introduce un'asimmetria deliberata per prevenire comportamenti disonesti:

Generazione della Coppia di Sfide: Per una sfida scelta $x_0$ , il protocollo utilizza un algoritmo specifico (Algoritmo 1) per generare una sfida alternativa $x_1$ . Queste sfide sono costruite in modo da differire in un set specifico di indici $J$ (dimensione $\ell_{min}$ ), garantendo che i bit di base della codifica BB84 differiscano significativamente mentre i bit di valore rimangano bilanciati.
Impegno (Commitment): Alice impegna un bit $b \in \{0, 1\}$ $b \in {0, 1}$ preparando uno stato quantistico $\rho_b$ $ρ_{b}$ . Questo stato codifica la sottostringa del payload $f_2(x_0)_J$ $f_{2} (x_{0})_{J}$ (i bit di risposta agli indici $J$ $J$ ).
- Se $b=0$ , lo stato è codificato nella base definita da $x_0$ ( $\beta(x_0)$ ).
- Se $b=1$ , lo stato è codificato nella base definita da $x_1$ ( $\beta(x_1)$ ).
- Alice invia la coppia $(x_0, x_1)$ e l'ordinamento $J$ a Bob, insieme allo stato quantistico $\rho_b$ .
Apertura (Opening): Alice rivela $b$ , la sfida $x_0$ e le risposte classiche complete $f_1(x_0)$ e $f_2(x_0)$ .
Verifica: Bob utilizza la HLPUF bloccata per verificare l'autenticità della risposta. Prepara uno stato di verifica basato su $f_1(x_0)$ e interroga il dispositivo. Se il dispositivo accetta, Bob misura lo stato memorizzato nella base corrispondente al bit rivelato $b$ e controlla la coerenza con $f_2(x_0)_J$ .

3. Meccanismi di Sicurezza:

Hiding (Occultamento): Si basa sull'infalsificabilità della HLPUF. Senza la capacità di falsificare un valido stato di verifica, Bob non può estrarre informazioni su $f_2(x_0)$ prima della rivelazione. Il protocollo assicura che i due possibili stati di impegno (per $b=0$ e $b=1$ ) siano statisticamente indistinguibili perché i bit del payload sono distribuiti uniformemente e i pattern delle basi sono bilanciati.
Binding (Vincolo): Si basa sul meccanismo di blocco e sul limite della norma dell'operatore. Una Alice disonesta non può preparare uno stato entangled che le permetta di aprire sia a 0 che a 1 con alta probabilità, perché la fase di verifica richiede una specifica risposta classica $f_1(x_0)$ che è difficile da falsificare. La prova del vincolo riduce qualsiasi strategia disonesta a un limite della norma dell'operatore sulla somma dei proiettori di accettazione, mostrando che la probabilità di aprire con successo entrambi i bit è limitata da una funzione trascurabile.

Contributi Chiave

Primo Impegno di Bit Quantistico Statisticamente Sicuro: Il documento presenta il primo protocollo di impegno di bit che raggiunge sia l'occultamento statistico che il vincolo sotto assunzioni hardware ibride (specificamente HLPUF) senza fare affidamento sulla durezza computazionale o sui vincoli relativistici.
Nuovo Utilizzo dell'Hardware: Gli autori dimostrano come utilizzare i token hardware in un contesto di sfiducia reciproca. Superano il problema del "look-alike" (dispositivo simile) strutturando il protocollo in modo che lo stato di impegno sia statisticamente legato al comportamento sfida-risposta del vero hardware, rendendo impossibile per una parte malvagia sostituire il token senza essere rilevata.
Costruzione di HLPUF Asimmetrica: L'introduzione di una divisione asimmetrica nella risposta della PUF (Verificatore vs Payload) e un algoritmo specifico per la generazione della coppia di sfide (Algoritmo 1) che garantisce distribuzioni di stati BB84 bilanciate.
Primo Lancio di Moneta Basato su Hardware: Applicando la trasformazione standard al loro schema di impegno di bit, gli autori costruiscono il primo protocollo di lancio di moneta quantistico forte basato su assunzioni hardware ibride.
Tecniche di Prova: Il documento sviluppa nuove tecniche di prova, inclusa un argomento di "simmetria d'insieme intrinseca" per l'occultamento e una riduzione della norma dell'operatore per il vincolo, che separano i limiti quantistici intrinseci dai parametri dell'hardware.

Risultati

Correttezza: Il protocollo è corretto; le parti oneste hanno sempre successo con probabilità 1.
Hiding: Il protocollo è $\epsilon_{hide}$ -occultante, dove $\epsilon_{hide} \le \epsilon_{forge}$ (il parametro di infalsificabilità della HLPUF). Se la HLPUF è esponenzialmente infalsificabile, l'occultamento è perfetto (statisticamente indistinguibile).
Binding: Il protocollo è $\epsilon_{bind}$ -vincolante. La probabilità che una Alice disonesta possa aprire con successo entrambi i bit è limitata da:
$p_0 + p_1 \le 1 + 2^{-\frac{\ell_{min} - 2s}{4}}$
dove $s$ è la lunghezza della stringa del verificatore e $\ell_{min}$ è la lunghezza della sottostringa del payload. Questo limite è trascurabile per scelte di parametri appropriate.
Bias del Lancio di Moneta: Il risultante protocollo di lancio di moneta ha un bias di almeno $\delta_{CF} \le \frac{1}{2} \max\{\epsilon_{hide}, \epsilon_{bind}\}$ .

Significatività e Rivendicazioni

Gli autori affermano che il loro lavoro stabilisce un nuovo paradigma per la crittografia a due parti sicura nelle reti quantistiche. Combinando garanzie di sicurezza rigorose con componenti hardware concreti e pronti all'uso (PUF) e comunicazione quantistica fattibile, offrono una via pratica per implementare i primitivi crittografici fondamentali che sono altrimenti impossibili nel setting quantistico puro.

Il documento sottolinea che questo approccio non richiede assunzioni sulla memoria quantistica dell'avversario (a differenza dei modelli a memoria limitata), consentendo una sicurezza indefinita. Invece, la sicurezza dipende dalla non clonabilità fisica e dalla resistenza alle manomissioni del token hardware. Gli autori posizionano questo lavoro come un'alternativa costruttiva ai risultati esistenziali, fornendo un design specifico che colma il divario tra la crittografia quantistica teorica e l'implementazione pratica.

Gli autori rimangono modesti riguardo al lavoro futuro, notando che l'implementazione a prova di manomissione del dispositivo è una questione ingegneristica aperta e che un'analisi di sicurezza completamente composibile è lasciata a studi futuri. Suggeriscono inoltre che il protocollo potrebbe essere adattato a scenari senza memoria quantistica (permettendo la misurazione anticipata), sebbene ciò indebolirebbe i parametri di sicurezza.