技術要約：単一実行における任意損失許容量子位置検証

1. 問題設定

量子位置検証（QPV）は、相対論的な信号伝達の制約と量子情報を利用して、信頼できないプルーバー（証明者）の空間的位置を証明することを目的としている。ノー複製定理は古典的なコピー攻撃を防ぐが、任意に大きなもつれを共有するアドバーサリ（攻撃者）に対して無条件のセキュリティを実現することは不可能である。そのため、研究の焦点は、アドバーサリが限定された数の量子ビットのもつれを共有しているとする有界もつれ（BE）モデルに移っている。

QPVにおける実用上の重大な障害は、光子の損失である。光ファイバーにおける伝送損失は、距離に対して指数関数的に増加する。標準的なQPVプロトコル（例：$QPV_{BB84}$、$QPV^f_{BB84}$、および並列形式の$QPV^{f:n\to m}_{BB84}$）は、理想的な伝送を仮定している。この仮定は根本的な脆弱性を生み出す。すなわち、アドバーサリは量子ビットを傍受し、ランダムな基底で測定した後、基底の推測が正しい場合にのみ結果を報告し、それ以外の場合は「損失」を宣言するという戦略が可能になる。この戦略は、伝送率が50%を下回ると、セキュリティを崩壊させる。

先行研究では、損失ともつれを個別に、あるいは同時に逐次的な設定において対処してきた。具体的には、[ABB+23]がコミットメントに基づく修正（$c-QPV^f_{BB84}$）を導入し、プルーバーが測定基底を知る前に受信した量子ビットをコミットすることを要求することで、任意の損失を許容できるようにした。しかし、この手法は、繰り返し行われるラウンドによって検証者が不整合なコミットメントを検出できるという、プロトコルの逐次的構造に依存していた。これらの手法は、単一実行（並列）プロトコルには拡張できない。単一実行プロトコルは、実用的な実装や、より大きな暗号スキームのサブルーチンとしての利用において好ましいものである。既存の単一実行プロトコルは、損失耐性を欠いているか、あるいは光速での量子通信を必要とするため、適用範囲が限定される。

2. 手法

著者らは、並列・単一実行プロトコルである$QPV^{f:n\to m}_{BB84}$に対する、コミットメントに基づく修正案である$c-QPV^{f:n\to m}_{BB84}$を提案している。

プロトコル構造

プロトコルは、2つの検証者（$V_0, V_1$）と1つのプルーバー（$P$）で構成される：

1. 準備： 検証者は、関数 $z = f(x,y)$ に基づいて、古典的入力 $x, y \in \{0,1\}^n$ と量子状態（BB84量子ビット）を生成する。
2. 配布： 量子状態が $P$ に送られた後、主張された位置に同時に到着するようにタイミングを調整された古典的文字列 $x$ と $y$ が送られる。
3. コミットメント（新しいステップ）： 量子系を受信した後、かつ $x$ と $y$ を知る前に、プルーバーはコミットメント文字列 $c \in \{0,1\}^m$ を放送し、どの量子ビットが正常に受信されたか（$c_i=1$）、あるいは損失したか（$c_i=0$）を示す。
4. 検証条件： プロトコルは、コミットされた量子ビット数 $|c| \geq k$（$k$ は定義済みの閾値）を満たす場合にのみ進行する。
5. 測定： $x$ と $y$ が到着した後、$P$ は $z = f(x,y)$ を計算し、$z_C$ で指定された基底を用いて、コミットされた集合 $C = \{i \mid c_i=1\}$ 内の量子ビットのみを測定する。
6. 検証： 報告された結果が、集合 $C$ において期待値と誤差範囲 $\gamma$ 以内で一致する場合、検証者は受理する。

セキュリティ分析手法

セキュリティの証明は、逐次的な反復とは異なり、単一の実行では一度しかコミットメント文字列が得られないため、ラウンド間の不整合を検出できないという課題に対処する。著者らは以下の手法を用いている：

• 非信号伝達（No-Signalling）制約： 分析は、アドバーサリ（アリスとボブ）が空間的に分離されているという事実を利用している。彼らの結合コミットメント分布は、非信号伝達条件を満たさなければならない。具体的には、アリスのコミットメントはボブの入力 $y$ に依存できず、その逆も同様である。
• 受理確率の分解： 著者らは、総受理確率を可能なすべてのコミットメント文字列 $c$ に関する和へと分解する。固定された $c$ に対する条件付き受理確率 $Pr[\text{accept } w_C \mid c]$ を、集合 $C$ に制限された元の$QPV^{f:n\to m}_{BB84}$プロトコルの安全性に関連付けることで、上限を抑える。
• 指数関数的減衰： 非信号伝達制約と、元のプロトコルの健全性（パラメータ $\lambda_\gamma$ によって制御される）の指数関数的減衰を組み合わせることで、閾値 $k$ に対して指数関数的に減少するグローバルな境界を導出する。
• 洗練された逐次分析： 著者らはまた、[ABB+23]の逐次プロトコルを再検討している。彼らは、確率的な停止時間（多項式数の成功ラウンドを待つこと）を、固定されたラウンド数 $m$ と固定された閾値 $k$ に置き換えた。これにより、「不整合なコミットメント」に関する「どちらか一方」という記述に頼ることなく、受理確率に対する直接的な境界を得ることができる。

3. 主な貢献

1. 初の損失耐性を持つシングルショットQPV： 本論文は、$c-QPV^{f:n\to m}_{BB84}$を提示している。これは以下の特性を同時に達成する初のプロトコルである：
   • 単一実行における無視可能な健全性（soundness）。
   • 線形量のもつれを共有するアドバーサリに対する安全性。
   • 光速での量子通信を必要としない。
   • 任意の大きさの伝送損失に対する耐性。
2. コミットメント・パラダイムの一般化： 本研究は、非信号伝達相関を用いることで、コミットメントによる修正を逐次的な設定から並列的な設定へと、安全性（もつれを持つアドバーサリに対する安全性）を損なうことなく拡張することに成功した。
3. 改善された逐次パラメータ： 論文は、確率的な停止時間を固定のパラメータに置き換えることで、逐次的コミットメントプロトコルの分析を洗練させている。これにより、受理確率が閾値 $k$ に対して指数関数的に減少する、より優れた定量的境界が得られた（従来の $O(r^{-1/4})$ から $O(k^{-1/3})$ への改善）。
4. 堅牢性： 得られたプロトコルは、量子ビットあたりのノイズレベル3.7%まで耐性を維持しており、元のプロトコルのノイズ耐性と一致している。

4. 結果

主な理論的結果（定理1.1および定理4.1）は、適切な関数 $f$ に対して、BE($O(n)$) モデルにおけるアドバーサリの受理確率が以下のように抑えられることを確立している：
$$Pr[\text{accept } c-QPV^{f:n\to m}_{BB84}] \lesssim 2(\lambda_\gamma)^{k/2}$$
ここで、$\lambda_\gamma = 2^{h(\gamma)}(\frac{1}{2} + \frac{1}{2}\sqrt{2})$ であり、$h(\cdot)$ は二項エントロピー関数である。

• 損失耐性： 安全性は、送信された全量子ビット数 $m$ ではなく、$k$（正常に受信された量子ビット数）に依存する。したがって、最終的に閾値 $k$ を満たすのに十分な数の量子ビットが受信されれば、伝送率が極めて低い場合でもプロトコルは安全である。
• ノイズ耐性： エラー率 $\gamma < 0.037$ (3.7%) の範囲でプロトコルは安全であり、これにより $\lambda_\gamma < 1$ が保証される。
• 並列反復： 単一のブール関数 $g$ による並列反復（すなわち $f = g^{\otimes m}$）によって構築されるプロトコルの場合、コミットメント版の安全性は、$k$ 回の反復を伴う非コミットメント版の安全性へと帰着する：$Pr[\text{accept } c-QPV^{g^{\otimes m}}_{BB84}] \leq 2\sqrt{Pr[\text{accept } QPV^{g^{\otimes k}}_{BB84}]}$。

5. 重要性と主張

著者らは、本研究がQPVの理論的安全性と実用的な実装の間の決定的なギャップを埋めるものであると主張している。

• 任意の距離における実現可能性： プロトコルを任意に損失許容可能にすることで、本研究は、光子損失が顕著となる長距離間でのQPVの実現を可能にし、実世界での展開に必要な前提条件を満たしている。
• 実用的有用性： プロトコルの単一実行という性質は、近年の実装や、逐次的な反復がしばしば非実用的となるより大きな暗号構成（量子鍵配送、メッセージ認証など）のサブルーチンとしての利用において、特に魅力的であることが強調されている。
• 理論的進展： 本研究は、もつれを持つアドバーサリに対する基礎となるプロトコルの安全性特性を犠牲にすることなく、並列設定においてコミットメントベースの安全性が達成できることを示している。
• 実験的関連性： 論文は、ラウンド数と受理閾値を固定することにより、実験実装のための改善された定量的パラメータを提供している。これにより、従来の逐次的アプローチに内在していた実行時間の不確実性が排除されている。

結論として、$c-QPV^{f:n\to m}_{BB84}$は、もつれを持つ攻撃者に対して安全な、初の完全な損失耐性を持つシングルショットQPVプロトコルであり、これまでQPVを短距離または理想的な条件下に限定していた伝送率の障壁を事実上取り除いたものである。