⚛️ quantum physics

Digital signatures with classical shadows on near-term quantum computers

本論文は、ランダム回路状態の古典シャドウを公開鍵として用いることで、古典通信のみに依存する、近未来において実現可能な量子デジタル署名スキームを提案し、改良された状態認証プリミティブによって裏付けられ、32量子ビットの量子プロセッサ上で検証された実験的実証を行うものである。

原著者： Pradeep Niroula, Minzhao Liu, Sivaprasad Omanakuttan, David Amaro, Shouvanik Chakrabarti, Soumik Ghosh, Zichang He, Yuwei Jin, Fatih Kaleoglu, Steven Kordonowy, Rohan Kumar, Michael A. Perlin, Akshay

公開日 2026-02-05

📖 1 分で読めます🧠 じっくり読む

CC BY 4.0

原著者： Pradeep Niroula, Minzhao Liu, Sivaprasad Omanakuttan, David Amaro, Shouvanik Chakrabarti, Soumik Ghosh, Zichang He, Yuwei Jin, Fatih Kaleoglu, Steven Kordonowy, Rohan Kumar, Michael A. Perlin, Akshay Seshadri, Matthew Steinberg, Joseph Sullivan, Jacob Watkins, Henry Yuen, Ruslan Shaydulin

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

ビッグピクチャー：新しい種類のデジタルIDカード

あなたが友人に秘密のメッセージを送りたいと考えていて、それが本当にあなたから送られたものであることを証明する必要があると想像してください。デジタル界では、このためにデジタル署名を使用します。通常、これらの署名は、コンピュータが解くのが困難な数学の問題（巨大な数の因数分解など）に依存しています。しかし、強力な将来の量子コンピュータは、これらの数学の問題を簡単に解いてしまい、現在のセキュリティを打破してしまう可能性があります。

この論文は、数学的なパズルに頼らない、新しいデジタル署名の作成方法を提案しています。その代わりに、量子力学の奇妙な法則に依存しています。著者たちは、今日のノイズが多く不完全な量子コンピュータであっても、秘密の鍵を知らなければ「偽造」することが物理的に不可能な、安全な署名を作成できることを示しました。

問題点：「ガラスの家」のような量子セキュリティ

従来の量子署名のアイデアには、大きな欠陥がありました。それは、署名を証明するために、インターネット経由で実際の量子粒子（光子など）を送信する必要があるという点です。

例え： 壊れやすいガラスの彫刻を郵送することを想像してみてください。もし郵送した場合、壊れてしまうかもしれませんし、誰かが偽物にすり替えてしまうかもしれません。それを安全に保つには、まだ実在しない特別な「量子メモリ」（超冷却された金庫のようなもの）が必要です。

著者たちはこう問いかけました。「量子粒子を通信路でやり取りすることなく、インターネット経lで送ることができる通常の古典的データ（0と1のようなもの）だけを使用して、量子署名を作ることはできるだろうか？」

解決策：「古典的シャドウ（Classical Shadows）」

その答えは、古典的シャドウです。

メタファー： あなたは複雑な3D彫刻（量子状態）を持っているとします。その彫刻自体は重すぎて壊れやすいため、送ることはできません。しかし、さまざまな角度から光を当てて、その彫刻の影（2Dのシルエット）を取ることはできます。
魔法： ランダムな角度から十分な数の影があれば、数学的にその彫刻がどのような見た目であるかを再構成できます。しかし、ここに落とし穴があります。影だけを持っていても、その彫刻が一体どのように作られたのか（秘密のレシピや「回路」）を正確に突き止めることは、非常に困難なのです。
論文の主張： 著者たちは、これらの「シャドウ」（単なる数字のリスト）を公開鍵として使用します。送り手は「レシピ」（量子回路）を秘密に保持します。署名を行う際、送り手はそのレシピを公開します。受け手は、そのレシピが正しい彫刻を生成するかどうかを確認するために、公開されたシャドウを使用します。

課題：ノイズの多い量子コンピュータ

今日の量子コンピュータは、レゴのお城を作ろうとしている幼児のようなものです。彼らは疲れ、パーツを落とし、間違いを犯します（ノイズ）。もしコンピュータが間違いを犯しすぎると、「彫刻」は正しく見えず、署名は失敗してしまいます。

これを解決するために、チームは「状態認証（State Certification）」と呼ばれる、彫刻の品質をチェックする新しい方法を考案しました。

例え： 完成したお城を見るだけでなく、特別な「エラー検出コード」（量子状態のためのスペルチェッカーのようなもの）を開発しました。彼らは「アイスバーグ（氷山）」構造を用いてお城を構築しました。もしパーツが脱落した場合、構造が判別しやすい形で変化するため、悪い試行を捨てて、良いものだけを残すことができるのです。

実験：概念実証

チームは、実際の量子コンピュータ（Quantinuum社のトラップイオン・プロセッサ）を用いてこれをテストしました。

行ったこと： 彼らは32量子ビット（量子情報の基本単位）を含む量子状態の「シャドウ」を作成しました。
結果： 彼らは90%の成功率（フィデリティ）で署名を作成することに成功しました。これは、アイデアが機能することを証明するのに十分な高さです。
セキュリティ： 署名を検証するには量子コンピュータは短時間で済みますが、ハッカーがシャドウから秘密のレシピを逆エンジニアリングするには、不可能に近いほど長い時間がかかることを示しました。これは、鍵が鍵穴に合うかどうかを確認すること（速い）と、鍵穴の傷を見て新しい鍵を作ろうとすること（不可能）の違いのようなものです。

なぜこれが重要なのか（論文による）

「一方向関数」を必要としない： 現在のセキュリティは、私たちが「難しいと考えている」数学の問題に依存しています。この新しい手法は、より壊すのが困難な、物理学の根本的な法則に依存しています。
今日のハードウェアでも動作する： 完璧で未来的な量子コンピュータは必要ありません。これは、私たちが今持っている、ノイズが多く不完全なマシンでも動作します。
古典的な通信： インターネット上で量子粒子をやり取りする必要はありません。単に通常のデータ（シャドウ）を送るだけでよく、これははるかに容易です。

一文でのまとめ

著者たちは、量子状態の「影」を利用して身元を証明する新しいタイプのデジタル署名を作成し、今日の不完全な量子コンピュータであっても、秘密の鍵なしでは偽造不可能な安全なコードを作成できることを証明しました。

技術要約：近未来の量子コンピュータにおける古典的シャドウを用いたデジタル署名

問題定義

従来のデジタル署名方式は、整数分解（RSA）や格子問題（LWE）といった一方向関数（OWF）の存在に依存している。これらの仮定は、フォールトトレラント量子コンピュータ（例：ショアのアルゴリズム）に対して脆弱であり、量子アドバーサリに対する安全性に関する継続的な研究の対象となっている。量子力学は、数学的な困難さではなく物理法則に基づいた代替的な暗号プリミティブを提供するが、既存の量子デジタル署名（QDS）の提案の多くは、公開鍵として量子状態の送信とコヒーレントな保存を必要とする。このような量子通信の低ノイズ性や長寿命の量子メモリへの依存は、現在の近未来の量子デバイスにとって非現実的である。

本研究が取り組む中心的な課題は、以下の条件を満たす量子デジタル署名スキームを実現することである：

OWFまたは一方向関数の存在に依存しないこと。
古典的な通信のみを使用して動作し、量子メモリや公開鍵の量子伝送を排除すること。
**近未来の、ノイズのある中規模量子（NISQ）**ハードウェアで実行可能であること。

手法

コア概念：公開鍵としての古典的シャドウ

著者らは、公開鍵が量子状態そのものではなく、量子状態の古典的シャドウである署名スキームを提案している。

秘密鍵： 2つのランダムな量子回路、 $C_0$ および $C_1$ 。
公開鍵： 状態 $|C_b\rangle = C_b|0\rangle$ に対してランダムな測定を行うことで生成された古典的シャドウ、 $S(|C_0\rangle)$ および $S(|C_1\rangle)$ 。
署名： ビット $b$ に署名するために、送信者は回路 $C_b$ の古典的な記述を開示する。
検証： 受信者は、公開されたシャドウと開示された回路を用いて、回路 $C_b$ が公開シャドウと一致する状態を生成するかどうかを検証する。これはシャドウ・オーバーラップ・プロトコルを介して行われる。

安全性の仮定：計算的学習不能（CNL）

本スキームの安全性は、古典的シャドウからの計算的学習不能（CNL）予想に基づいている。この予想は、ランダムな量子回路の記述（ランダム化された測定による多項式長のサンプル）のみから、その回路を学習することは計算的に不可能であると仮定するものである。

この仮定は、標準的な「状態からの学習不能」予想とは異なり、シャドウは状態のコピーから単純な測定によって導出されるものであるため、より弱い仮定である。
論文では、既存の学習アルゴリズム（局所的な反転やライトコーンに基づくものなど）が、プロトコルの制約下（適切な学習、任意の幾何学的構造、およびシャドウのみへのアクセス）において、これらの回路を学習できないことを示す理論的根拠を提示している。
著者らは、署名を検証するために必要な時間（ $n$ に対して指数関数的だが検証者には実行可能）と、回路を学習（偽造）するために必要な時間（指数関数的に困難）との間に分離が存在することを実証している。

技術的革新

本スキームをノイズのあるハードウェアで実行可能にするために、著者らは2つの主要な技術的改善を導入している。

改良されたシャドウ・オーバーラップ・プロトコル： 既存のシャドウ・オーバーラップ・プロトコル（文献[30]に基づく）を修正し、単なるランダムなパウリ測定ではなく、量子ビットのサブセットに対してランダムなクリフォード回路を使用するようにした。これにより、認証のマルコフ連鎖の「緩和時間」（ $\tau$ ）が短縮され、推定量の分散が低下し、ノノイズ耐性が大幅に向上し、認証に必要なサンプル複雑度が減少した。
量子誤り検出（QED）： ハードウェアの不完全性を克服するために、著者らはマルチブロック・アイスバーグ誤り検出コードを採用している。
- アイスバーグ・コードは、 $k$ 個の論理量子ビットを $k+2$ 個の物理量子ビットにエンコードする。
- 著者らは、特定の論理演算子をスタビライザーに昇格させるために**ゲージ固定（gauge fixing）**を利用し、これによりシングル量子ビットの論理ゲートの並列化を可能にする「プロキシ」量子ビットを作成することで、回路の深さとメモリ誤差を低減させた。
- このアプローチにより、オーバーヘッドがあるにもかかわらず、エンコードされた忠実度が未エンコードの忠実度を上回る「ブレークイーブンを超えた」性能を達成している。

主な結果

理論的根拠

学習の困難性： 著者らは、浅い回路を学習するための既知のアルゴリズムが、本スキームを打破するために必要な条件（適切な学習、任意の幾何学的構造、シャドウのみへのアクセス）を満たせないことを示している。
安全性のギャップ： 特定の回路アンサンブル（近似デザイン）において、低次多項式や変分学習を通じてアドバーサリが回路を学習するために必要な時間計算量は、検証に必要な時間よりも指数関数的に大きいことを証明した。具体的には、使用されている回路の深さにおいて、ターゲットとなる忠実度に達するために変分学習は指数関数的に多くのクエリを必要とすることを示している。

実験的実証

著者らは、Quantinuum H2 トラップイオン・プロセッサ（56物理量子ビット）を用いてプロトコルを実装した。

回路パラメータ： ランダム回路（ $\ge 80$ 個の論理2量子ビットゲート、これは $\ge 582$ 個の物理2量子ビットゲートに相当）を用いて、32量子ビットの状態のシャドウを生成した。
忠実度： ゲージ固定を用いたマルチブロック・アイスバーグ・コードを使用し、17,316個のサンプルを用いて $0.90 \pm 0.01$ の認証忠実度を達成した。
原理の実証： 実験は、正直な署名者とアドバーサリを区別できることを成功裏に示した。著者らは、サンプルサイズを19.5倍（約34万サンプル）に増やすことで、計算量的に制限されたアドバーサリが署名を偽造することに成功する確率が無視できるほど低くなる（ $< 10^{-5}$ ）安全パラメータを達成できると算出した。

意義と主張

本論文は、OWFや量子通信に依存しない量子デジタル署名の近未来における実現可能性を実証したと主張している。

OWFからの独立性： 本スキームは、量子プロセスを学習することの物理的な困難さに安全性の根拠を置いており、OWFが存在しない場合でも安全であり続ける暗号への道を提供している。
NISQとの互換性： フルエラー訂正ではなく、古典的シャドウと誤り検出コードを利用することで、本プロトコルは現在のノイズのある量子ハードウェアの能力範囲内で動作する。
基礎的なプリミティブ： 本研究は、量子デジタル署名とワンウェイ・パズルとの間の関連性を確立しており、これはOWFを仮定せずに他の量子暗号プロトコル（非対話型ビットコミットメントなど）を構築することを可能にするプリミティブである。

著者らは、現在のデモンストレーションが単一ビット署名の原理実証（プルーフ・オブ・プリンシプル）であるが、基礎となるプリミティブ（シャドウ・オーバーラップ認証および誤り検出）はスケーラブルであることを強調している。彼らは、検証コストを削減するために古典的誤り訂正符号を用いることで、これをマルチビットメッセージへ拡張することが可能であること、また、回路のサイズを大きくすることで、将来的な学習アルゴリズムの進展に対する安全性をさらに高められることを述べている。