技術要約：シャミア秘密分散における量子漏洩耐性

問題提起

本論文は、素数体 $\mathbb{F}_p$ 上の標準的かつ未修正のシャミア秘密分散スキームにおける量子漏洩耐性を調査している。シャミアのスキームは閾値暗号やセキュアなマルチパーティ計算において広く用いられているが、そのセキュリティ保証は伝統的に、権限のない集合は秘密について「何も」学習できないことを前提としている。しかし実際には、サイドチャネルを通じて部分的な情報（漏洩）が露出する可能性がある。

著者らは、古典的な設定（各シェアから、例えば1ビットの短い古典的出力が得られる設定）における局所的な漏洩耐性の研究を、量子的な設定へと拡張している。このモデルでは、各パーティのデバイスは古典的なシェアを受け取り、アドバーサリ（攻撃者）に対して1つの量子ビット（または少数の量子ビット）を出力し、アドバーサリはそれらに対して結合測定を行うことができる。また、本研究では、漏洩デバイス間、あるいはデバイスとアドバーサリの間における**事前共有されたもつれ（エンタングルメント）**がセキュリティにどのような影響を与えるかを調査している。

手法

本論文は、有限体フーリエ解析と最大距離分離（MDS）符号の特性を組み合わせることで、2つの秘密状態間の識別優位性を抑え込む手法を用いている。

1. パウリ・フーリエ還元:

   • 各シェアからの漏洩は、密度行列 $\rho_i(y_i)$ としてモデル化される。著者らはこれをパウリ基底で展開する：$\rho_i(y) = \frac{1}{2}(I + r_{i,X}(y)X + r_{i,Y}(y)Y + r_{i,Z}(y)Z)$。
   • 彼らは、パウリ係数関数のフーリエ係数の大きさの二乗に基づいた「フーリエ・バジェット」$W_i(a)$ を定義する。
   • パーセバルの等式とパウリ演算子の直交性を用いることで、識別優位性はデュアル・シャミア符号 $C^\perp_0$ 上の和によって抑えられる：
     $$\text{Adv} \leq \sum_{a \in C^\perp_0 \setminus \{0\}} \prod_{i=1}^n \sqrt{W_i(a_i)}$$
   • これにより、量子セキュリティの問題は、行列値の係数によって複雑化された、デュアル符号上の重み付き和の制御へと還元される。

2. もつれとブロックの処理:

   • 離散的なブロック: ブロック内（ただしブロック間やアドバーサリとの間ではない）でエンタングルメントを共有するデバイスの場合、著者らはブロックMDSブラスカルプ・リー・不等式を適用する。これにより、ブロック出力のフーリエ係数のトレースノルの積の和を抑えることができる。
   • アドバーサリとのエンタングルメント: アドバーサリと任意のエンタングルメントを共有するデバイスの集合 $E$ について、著者らは還元議論を用いる。もしアドバーサリが $E$ の古典的シェアを知った場合、残りのシステムのセキュリティは、$n-r$ 個のパーティを持つ閾値 $t-r$ の（エンタングルメントのない）シャミア・スキームへと還元されることを示している。

3. 負の結果（攻撃）:

   • 著者らは、$t$ 個のデバイス間で共有されるGHZ状態を用いた特定の攻撃を構成している。各シェアに依存した位相シフトを適用し、パウリX基底で測定することで、デバイスは高い優位性を持って秘密を識別できる。これは、たとえ出力がそれぞれ1ビットの古典的情報であっても同様である。

主な貢献と結果

1. 非もつれ量子漏洩

著者らは、閾値レート $\tau = t/n$ が特定の定数 $\tau^\star \approx 0.73339$ を超える場合、シャミア秘密分散は非もつれの局所的な1量子ビット漏洩に対して安全であることを証明している。

• 結果: もし $\tau > \tau^\star + \eta$ （固定された $\eta > 0$ に対して）であれば、識別優位性は指数関数的に微小となる（$2^{-\Omega(n)}$）。
• 手法: これは、ブロックサイズ $b=1$ のブロックMDSブラスカルプ・リー不等式を用いて導出される。

2. 離散的なエンタングルド・ブロック

デバイスが、最大サイズ $b$ の離散的なブロックに分割され、ブロック内のデバイスはエンタングルメントを共有し結合計算を行えるが、ブロック同士およびアドバーサリとは独立しているシナリオへとセキュリティを拡張している。

• 結果: セキュリティは、十分に高い閾値レート $\tau > \tau^\star(b)$ において保持される（ここで $\tau^\star(b) < 1$）。ブロックサイズ $b$ が大きくなるにつれて、必要な閾値レートは1に近づく。
• 詳細: 本論文の表1には、等しいブロックサイズに対する十分な閾値がリストされている（例：$b=2$ のとき $\tau \approx 0.933$、$b=3$ のとき $\tau \approx 0.987$）。

3. アドバーサリとのエンタングルメントを伴う漏洩

本論文では、線形な数のデバイス（$r = \delta n$）が、互いに、あるいはアドバーサリと任意のエンタングルメントを共有しているケースを分析している。

• 結果: 「残留」レートが以下を満たす場合にセキュリティが保持される：
  $$\frac{\tau - \delta}{1 - \delta} > \tau^\star$$
  これは、固定された閾値レート $\tau > \tau^\star$ に対して、線形な割合のデバイス（$\delta < \frac{\tau - \tau^\star}{1 - \tau^\star}$）がアドバーサリとエンタングルメントを共有していても、セキュリティが維持されることを意味する。

4. 負の結果：GHZ攻撃

著者らは、$t$ 個のデバイスがGHZ状態を共有している場合、スキームが古典的なシングルビット漏洩の下でも脆弱になることを示している。

• メカニズム: $t$ 個のデバイスがGHZ状態を共有する。各デバイスは自身のシェアに基づく位相を適用し、X基底で測定を行う。その結果の積は、優位性 $\cos^2(\pi/(2p)) \approx 1 - O(p^{-2})$ を伴って秘密を明らかにする。
• 示唆: この攻撃は、アドバーサリとのエンタングルメントを必要とせず、漏洩する $t$ 個のデバイス間のみのエンタングルメントで成立する。これは、セキュリティを維持しながら任意のエンタングルメントを共有できる最大デバイス数は、$n$ に対して線形（定数倍の範囲内）であるが、最適な割合は依然として未解決の課題であることを示している。

意義と主張

本論文は、広く使用されている未修正のシャミア秘密分散スキームに対する量子漏洩耐性の研究を開始するものであると主張している。

• 標準的なスキームの堅牢性: 結果は、新しい共有アルゴリズムやプロトコルの変更を必要とすることなく、閾値レートが十分に高い（$\approx 0.733$ を超える）場合、標準的なシャミア・スキームが強力なセキュリティ保証を保持していることを示している。
• エンタングルメントの役割: 本研究は重要な区別を浮き彫りにしている。すなわち、非もつれの量子漏洩は高い閾値があれば管理可能であるが、漏洩デバイス間の任意のエンタングルメント（具体的には $t$ 個のデバイス間のGHZ状態）の存在は、古典的な出力の下であってもセキュリティを打破し得るということである。
• 最適性: 著者らは、自身が提示した境界の最適性については控えめな姿勢をとっている。彼らは、十分な閾値 $\tau^\star \approx 0.733$ が既知の古典的な境界（$\approx 0.668$）よりも高いことを指摘し、この差を埋めることができるかという問いを投げかけている。同様に、セキュリティと両立可能なエンタングルド・デバイスの正確な割合についても、未解決の問題として残している。

結論として、量子漏洩耐性は、漏洩する出力のサイズと、漏洩デバイスが利用可能なエンタングルメント構造の両方に根本的に依存している。