Nel campo emergente in cui i computer classici comunicano con le macchine quantistiche, sorge una sfida fondamentale: come può un utente classico verificare che un dispositivo quantistico stia realmente facendo qualcosa che un computer classico non può fare, senza apprendere nient'altro sullo stato interno della macchina? Questa domanda è al cuore delle "prove di quanticità" (proofs of quantumness), un protocollo di stretta di mano crittografica in cui un verificatore classico invia un enigma a un dimostratore quantistico, il quale deve risolverlo per provare la propria natura quantistica. La sicurezza di queste interazioni si basa su un tipo specifico di serratura matematica nota come funzione claw-free con trapdoor (funzione a trappola priva di artiglio). Immaginate una coppia di porte bloccate che appaiono identiche dall'esterno; un osservatore classico non può distinguere dove porti ciascuna porta, ma una macchina quantistica può attraversarle entrambe simultaneamente. La persona che ha costruito le porte possiede una chiave segreta, o "trapdoor", che rivela esattamente come le porte siano collegate. Per anni, l'intera sicurezza di questi protocolli è rimasta appesa a un'ipotesi fragile: che la persona che inviava l'enigma generasse le chiavi onestamente. Se un attore malintenzionato avesse inviato un set di chiavi leggermente diverso che appariva identico ma si comportava diversamente, il dimostratore quantistico sarebbe potuto essere ingannato nel rivelare segreti o nel fallire il test, mentre il verificatore sarebbe rimasto ignaro.

Un team di ricercatori della National University of Singapore ha ora costruito un framework robusto per correggere questa vulnerabilità, creando un sistema in cui le chiavi stesse arrivano con un certificato di autenticità verificabile. Il loro lavoro, pubblicato in uno studio recente, introduce un metodo per certificare che una chiave sia stata generata correttamente senza rivelare la trapdoor segreta necessaria per violare il sistema. Hanno sviluppato un progetto universale che funziona attraverso diverse basi matematiche, non solo quella più comunemente usata oggi. Attaccando una prova a conoscenza zero (zero-knowledge proof) a ogni chiave, il sistema permette al dimostratore quantico di verificare che l'enigma sia genuino prima di tentare di risolverlo. Ciò assicura che il dimostratore stia interagendo con una sfida quantistica legittima piuttosto che con una trappola malevola. I ricercatori hanno dimostrato che questo approccio trasforma con successo le esistenti prove di quanticità in versioni "a conoscenza zero", dove il verificatore apprende solo che il dimostratore è quantistico, e nient'altro sulle capacità del dimostratore o sui dati specifici che vengono elaborati.

Tuttavia, lo studio traccia anche una linea netta su dove questa soluzione funzioni e dove fallisca. I ricercatori hanno scoperto che per certi protocolli avanzati progettati per nascondere la stessa natura delle chiavi, aggiungere un certificato romperebbe effettivamente la sicurezza. In questi casi specifici, la sicurezza si basa sul fatto che nessuno possa distinguere tra una chiave "claw-free" e un tipo completamente diverso di chiave "iniettiva". Se venisse emesso un certificato per provare che la chiave è claw-free, esso rivelerebbe istantaneamente l'identità della chiave, distruggendo il segreto che il protocollo era costruito per proteggere. Pertanto, sebbene il nuovo framework offra uno strumento potente per mettere in sicurezza molte interazioni quantistiche, non è una soluzione universale; è uno strumento preciso che deve essere usato solo quando la struttura della chiave è destinata ad essere pubblica, non nascosta.

Il nocciolo del problema risiede nella natura delle chiavi utilizzate in queste interazioni crittografiche. Una funzione claw-free con trapdoor è un oggetto matematico che agisce come una coppia di funzioni, ciascuna delle quali mappa gli input agli output in un modo che è facile da calcolare ma difficile da invertire senza un segreto. La proprietà "claw-free" significa che trovare due input diversi che producono lo stesso output è computazionalmente impossibile per chiunque non possieda il segreto trapdoor. In una tipica prova di quanticità, un verificatore classico genera una tale chiave e la invia a un dimostratore quantistico. Il dimostratore deve poi eseguire un'operazione quantistica che dimostri di poter gestire la struttura unica della chiave. Il problema è che un verificatore malintenzionato potrebbe generare una chiave che appare identica a una legittima ma che manca della necessaria struttura claw-free, o peggio, una che è progettata per estrarre informazioni extra dal dimostratore. Poiché la chiave è solo una stringa di numeri, il dimostratore non ha modo di sapere se la chiave sia onesta o una trappola.

Per risolvere questo problema, i ricercatori hanno definito un nuovo concetto chiamato "relazione di chiave certificabile" (certifiable key relation). Questa è una regola matematica che descrive esattamente come appare una chiave onesta, insieme a una "testimonianza" (witness) che prova che la chiave è stata generata correttamente. La testimonianza è un pezzo di informazione che solo il generatore onesto possiede, come i numeri casuali specifici usati per creare la chiave. I ricercatori hanno dimostrato che per diverse grandi famiglie di queste funzioni — basate sulla difficoltà di fattorizzare grandi numeri, sulla complessità dei logaritmi discreti e sulla durezza dell'apprendimento con errori (learning with errors) — una testimonianza valida può sempre essere recuperata dalla trapdoor segreta. La svolta è stata realizzare che il generatore poteva provare l'esistenza di questa testimonianza senza mai mostrarla. Hanno ottenuto questo utilizzando un "argomento di conoscenza a conoscenza zero" (zero-knowledge argument of knowledge), una tecnica crittografica che permette a una parte di convincere un'altra di conoscere un segreto senza rivelare il segreto stesso.

Il risultato è uno schema di "generazione di chiavi certificata". Quando un verificatore crea una chiave, produce ora anche un certificato. Questo certificato è una prova matematica che la chiave appartiene alla famiglia corretta ed è stata generata onestamente. Il dimostratore quantistico riceve sia la chiave che il certificato. Prima di compiere qualsiasi lavoro, il dimostratore esegue un controllo rapido per verificare il certificato. Se il certificato è valido, il dimostratore sa che la chiave è sicura da usare. Se il certificato è mancante o non valido, il dimostratore sa che il verificatore sta tentando di ingannarlo e interrompe l'interazione. Fondamentalmente, il certificato non rivela nulla sulla trapdoor segreta. I ricercatori hanno dimostrato che anche con questo certificato extra, la difficoltà matematica di violare il sistema rimane esattamente la stessa di prima. Il certificato agisce come un sigillo di autenticità che non indebolisce la serratura.

Questo framework permette un "compilatore" generico, uno strumento che può prendere qualsiasi protocollo di prova di quanticità esistente e aggiornarlo per essere a conoscenza zero. Nei protocolli originali, il verificatore potrebbe apprendere più del semplice fatto che il dimostratore è quantistico; potrebbe apprendere dettagli sullo stato interno del dimostratore o sulle specifiche operazioni quantistiche eseguite. Inserendo il passaggio di generazione di chiavi certificata, i ricercatori hanno dimostrato che il verificatore può essere costretto a non apprendere nulla oltre al singolo fatto che il dimostratore è quantico. Questo è vitale per il futuro del calcolo quantistico in cloud, dove gli utenti devono verificare che un server remoto stia utilizzando un computer quantistico senza dare a quel server alcun potere per apprendere informazioni sui dati privati dell'utente. Lo studio conferma che questo aggiornamento funziona perfettamente per i protocolli basati su fattorizzazione, logaritmi discreti e apprendimento con errori, a condizione che la relazione matematica sottostante possa essere certificata.

I ricercatori non si sono fermati a ciò che funziona; hanno anche mappato con cura ciò che non funziona. Hanno identificato una classe di protocolli in cui la sicurezza dipende dall'impossibilità di distinguere tra una chiave claw-free e una chiave iniettiva. In questi scenari, la chiave "iniettiva" è un tipo diverso di oggetto matematico che si comporta diversamente ma appare uguale. La sicurezza di questi protocolli si basa sul fatto che il dimostratore non conosca quale tipo di chiave gli sia stata data. Se il verificatore dovesse emettere un certificato per provare che la chiave è claw-free, il dimostratore saprebbe immediatamente il tipo di chiave, rompendo la sicurezza del protocollo. I ricercatori hanno dimostrato che in questi casi specifici, l'atto stesso della certificazione rivela l'informazione che il protocollo sta cercando di nascondere. Il certificato diventa un elemento di distinzione, uno strumento che separa i due tipi di chiavi, rendendo il protocollo insicuro.

Questa limitazione non è un difetto del metodo di certificazione, ma un confine fondamentale della sua applicazione. I ricercatori spiegano che la certificazione è uno strumento per i protocolli in cui la struttura della chiave è destinata ad essere di conoscenza pubblica, mentre la trapdoor segreta rimane nascosta. Non è uno strumento per i protocolli in cui l'identità stessa della famiglia di chiavi è il segreto. Delineando questo confine, lo studio fornisce una guida chiara per la futura progettazione crittografica. Dice agli ingegneri che possono usare in sicurezza le chiavi certificate per proteggere le prove quantistiche in molti contesti, ma devono evitare questa tecnica nei protocolli che si basano sull'indistinguibilità delle famiglie di chiavi.

Il lavoro rappresenta un passo significativo verso la resa pratica e sicura della crittografia quantistica nelle implementazioni del mondo reale. Passando da un modello in cui la fiducia è assunta a uno in cui la fiducia è verificata, i ricercatori hanno affrontato una lacuna critica nella sicurezza delle interazioni classico-quantistiche. Il loro framework non è legato a un singolo assunto matematico, ma è costruito su un principio generale che può essere applicato attraverso diverse fondamenta crittografiche. Questa flessibilità assicura che, man mano che vengono sviluppati nuovi algoritmi resistenti ai quanti, il metodo per certificare le loro chiavi possa essere adattato di conseguenza. Lo studio conclude che, sebbene il percorso verso una comunicazione quantistica completamente sicura sia complesso, la capacità di verificare l'integrità delle chiavi utilizzate in queste interazioni è un traguardo necessario e raggiungibile. I ricercatori hanno fornito il progetto per un futuro in cui le prove quantistiche non siano solo verificabili, ma anche private, garantendo che la potenza del calcolo quantistico possa essere sfruttata senza compromettere i segreti che è destinata a proteggere.