技術要約：盗聴者盲目型リモート状態準備（EB-RSP）と量子公開鍵暗号への応用

1. 問題提起

リモート状態準備（Remote State Preparation: RSP）は、量子暗号における基本的なプリミティブであり、古典的なクライアントが古典的な通信のみを用いて、特定の量子状態を準備するように量子サーバーに指示することを可能にする。既存のRSP構成は、委託計算、量子性の証明、および量子公開鍵暗号（QPKE）などのアプリケーションを支える、量子計算・古典通信（QCCC）モデルの中心的な役割を担っている。

しかし、現在のRSPプロトコルには、以下の2つの重大な制限がある：

1. 強い仮定： すべての既知のRSP構成は、「トラップドア」を持つ暗号プリミティブ、特にトラップドア付きクローフリー関数（TCF）に依存している。このトラップドアへの依存は主要な未解決問題である。なぜなら、暗号学的仮定を（一方向関数や代数的構造などの）より弱いものへと削減することは、暗号学における主要な目標だからである。
2. セキュリティ・オーバーヘッド： 標準的なRSPの定義は、「悪意のあるサーバーに対する盲目性（malicious-server blindness）」を要求する。これは、サーバーがプロトコルから任意に逸脱した場合でも、サーバーが準備された状態について何も学習しないことを保証するものである。この強いセキュリティ概念は、しばしば複雑なプロトコルや特定の仮定を必要とする。

本論文では、より弱い形式のRSPが、トラップドアを用いないより弱い仮定から構築されたとしても、意味のある暗号学的アプリケーションを依然としてサポートできるかどうかを調査している。具体的には、著者らは以下の問いを投げかけている：

• 有用なアプリケーションは、緩和されたセキュリティ保証を持つRSPプロトコルから導き出せるか？
• このような弱いRSPは、トラップドアなしで構築できるか？

2. 手法と定義

盗聴者盲目型リモート状態準備（EB-RSP）

著者らは、**盗聴者盲目型リモート状態準備（Eavesdropper-Blind Remote State Preparation: EB-RSP）**という新しいプリミティブを導入している。これは標準的な盲目の要件を緩和したものである：

• 標準的な盲目性： 量子プローバー（サーバー）は、検証者とプローバーの誠実な相互作用の古典的トランスクリプトを観察した外部の盗聴者に対してさえ、準備された状態について何も学習してはならない。誠実なプローバー自身は、自身が準備する状態を知ることが許される。
• EB-RSPの盲目性： プロトコルは、検証者とプローバーの間の誠実な実行の古典的トランスクリプトを観察した外部の盗聴者に対してのみ盲目である。

形式的定義： EB-RSPプロトコルは、古典的な検証者 $V$ と量子プローバー $P$ を含む。

• 正当性（Correctness）： $P$ は状態 $|+\theta\rangle = \frac{1}{\sqrt{2}}(|0\rangle + e^{i\theta}|1\rangle)$ を保持しており、ここで $\theta \in \Theta_N = \{k \cdot \frac{2\pi}{N} \mid 0 \le k \le N-1\}$ であり、$V$ は古典的な記述 $\theta$ を保持している。
• 盗聴者盲目性： 誠実な実行のトランスクリプトが与えられたとき、量子多項式時間（QPT）の盗聴者は、真の $\theta$ を $\Theta_N$ からの一様ランダムなサンプルと区別することができない。

著者らは、特に2メッセージEB-RSPプロトコル（$V$ からのメッセージ1つ、$P$ からのメッセージ1つ）に焦点を当てている。なぜなら、この構造は彼らの主要なアプリケーションにとって十分であるためである。

暗号学的仮定

本論文は、EB-RSPを**一方向群作用（One-Way Group Actions: OWGA）**から構築している。

• 群作用： 群作用の公理を満たす写像 $\star: G \times X \to X$。
• 自由（Free/Semiregular）： 行動が $g \star x = x \implies g = 1$ を満たす場合、その作用は自由である。
• 一方向性（One-Wayness）： $(x, s \star x)$ が与えられたとき、$s' \star x = s \star x$ となるような $s'$ を見つけることは、QPTアドバーサリにとって計算量的に困難である。
• 重要な区別： TCFとは異なり、OWGAは本質的に検証者が関数を反転するためのトラップドアを提供しない。この構成は、未知のパラメータをキャンセルするための群作用の代数的性質に依存している。

3. 主な貢献と結果

A. OWGAからの2メッセージEB-RSPの構築

著者らは、$G = \mathbb{Z}_p^\lambda$ （$p$ は素数）である自由なOWGAに基づく具体的な2メッセージEB-RSPプロトコルを提示している。

プロトコルの概要：

1. 検証者 ($V$): $x_0 \in X$ および $r, s \in G$ をサンプリングする。$x_1 = (-s) \star x_0$ を計算する。$(x_0, x_1, r)$ を $P$ に送る。
2. プローバー ($P$):
   • $b \in \{0,1\}$ と $g \in G$ 上の重ね合わせを準備する。
   • 重ね合わせ状態で $g \star x_b$ を計算する。
   • 出力レジスタを測定し、状態を「クロー（claw）」状態 $|0, g_0\rangle + |1, g_0 + s\rangle$ に崩壊させる（作用の自由度による）。
   • $r$ との内積を計算し、レジスタに量子フーリエ変換（QFT）を適用する。
   • 結果 $g$ と $z$ を得て測定し、それらを $V$ に送る。
   • 状態 $|+\theta\rangle$ を出力する。ここで $\theta = \langle s, z \cdot r + g \rangle \cdot \frac{2\pi}{p}$ である。
3. 検証者 ($V$): 自身の秘密 $s$ と受信した $g, z$ を用いて $\theta$ を計算する。

構成の意義：

• トラップドアレス： 検証者は $\theta$ を計算するためにトラップドアを必要としない。代わりに、群作用の代数的構造により、未知のパラメータ（$g_0$ など）がQFTの測定中にキャンセルされ、検証者が知っている項のみが残る。
• セキュリティ： セキュリティは量子ゴールドリッヒ・レビン（Quantum Goldreich-Levin）定理に依存している。$g$ は一様ランダムであり、アドバーサリのビューからは独立しているため、項 $\langle s, z \cdot r + g \rangle$ は一様分布と計算量的に区別不能であり、$\theta$ を隠蔽する。
• 一般化： このプロトコルは、並列的なサブルーチンを実行することで、合成数 $N$（異なる素数の積）へ拡張可能である。

B. EB-RSPからのQPKEの構築

著者らは、2メッセージEB-RSPが、古典的な公開鍵と量子暗号文を持つ量子公開鍵暗号（QPKE）を構築するのに十分であることを示している。

構成（ブラックボックス）：

• KeyGen: EB-RSPの設定を $n$ 回実行する。公開鍵 $pk$は検証者の最初のメッセージで構成され、秘密鍵$sk$ は検証者の内部状態で構成される。
• Enc: ビット $b$ を暗号化するために、暗号化者（プローバーとして機能）は各 $pk$インスタンスに対してEB-RSPの計算を実行し、状態$|+\theta_i\rangle$を生成する。次に、位相を$b$に基づいて反転させるためにユニタリ演算$U_b = R_z(b \cdot \lfloor N/2 \rfloor \cdot \frac{2\pi}{N})$ を適用する。暗号文は、変換された状態の集合とプローバーのメッセージである。
• Dec: 復号者は $sk$を用いて$\theta_i$を復元し、$R_z(-\theta_i)$を適用して位相を除去し、アダマール基底で測定して$b$ を復元する。

セキュリティ：
QPKEのIND-CPAセキュリティは、基礎となるEB-RSPの盗聴者盲目性に直接依存している。盗聴者はランダムな角度 $\theta$ を一様分布と区別できないため、暗号化された状態（$\theta + b \cdot \text{shift}$ に依存する）をランダムな状態と区別できない。

C. 既存のTCFベースのプロトコルの適応

本論文は、プレーンなTCFに基づく既存のRSP構成（例：[BKM+25]）が、2メッセージEB-RSPモデルに適応できることを指摘している。メッセージを統合し、誠実な実行におけるTCFベースのRSPの「バイプロダクト・ビット（byproduct bit）」が角度とは独立していることに注目することで、これらのプロトコルも盗聴者盲目性を満たす。これにより、プレーンなTCFからのQPKEの第2の構成が得られる。

4. 重要性と主張

本論文は、以下の重要性を主張している：

1. 初のトラップドアフリーなRSP型プリミティブ： 著者の知る限り、これは有用な暗号学的アプリケーションを持つRSP型のプリミティブの中で初のものであり、いかなるトラップドアプリミティブにも依存していない。これは、代数的仮定（OWGA）が、特定のRSPタスクにおいてトラップドア仮定を置き換えられることを示している。
2. より弱いセキュリティ、同一の有用性： 本研究は、盗聴者盲目性（標準的な悪意のあるサーバーに対する盲目性よりも弱いセキュリティ概念）が、古典的な公開鍵を持つQPKEを構築するのに十分であることを確立した。これは、標準的なRSPの強いセキュリティ要件が、特定のアプリケーションにおいては必ずしも必要ではない可能性を示唆しており、より単純なプロトコルやより弱い仮定を可能にする可能性がある。
3. モジュール的アプローチ： 著者らは、2メッセージEB-RSPからQPKEへの汎用的なブラックボックス・リダクションを提供している。これにより、状態準備プリミティブとそのアプリケーション（暗号化）の構築を分離し、いずれかのコンポーネントにおけるモジュール的な改善を可能にしている。
4. 基礎的なステップ： この構成は特定の群作用に限定されており、まだ検証可能なRSPや、トラップドアなしでの悪意のあるサーバーに対するRSPを実現してはいないが、量子暗号スキームの基礎となる暗号学的仮定を削減するための「第一歩」を提供するものである。

限界と未解決の問い：

• 現在の構成は $N$ が素数または異なる素数の積である場合に機能する。素数冪（prime powers）に対する正当性の問題があるため、素数冪への拡張は依然として不明確である。
• 本論文は、トラップドアフリーな仮定から検証可能なRSPや悪意のあるサーバーに対する盲目的なRSPを構築することを主張しておらず、これを明示的に今後の課題として残している。
• 得られるQPKEスキームは、量子暗号文を生成する（一部のTCFベースの構成とは異なり、古典的な暗号文ではない）。

要約すると、本論文は、より弱いRSPの概念（EB-RSP）の研究を開始し、トラップドアを持たない一方向群作用からそれを構築し、それがQPKEを構築するのに十分であることを証明することで、量子暗号で使用可能な仮定の領域を広げている。