Improvements on quantum designated verifier signature based on Bell states

秘密のメッセージを送ることが、単にデジタル金庫に閉じ込めることではなく、特定の誰かだけが回すことができる特別な鍵を手渡すようなものである世界を想像してみてください。これは、量子暗号（quantum cryptography）という領域であり、微小な粒子（光子など）の奇妙で揺らぎのあるルールを利用して情報を保護する分野です。従来のデジタル署名では、適切な公開鍵さえあれば誰でもそのメッセージが本物かどうかを確認できました。しかし、時には、あなたが何かに署名したことを「全員」に知られたいわけではなく、特定の友人にだけ検証してほしい、かつ、その友人が第三者に対して「あなたが署名したのだ」と証明できないようにしたい場合があります。これは「指定検証者署名（Designated Verifier Signature）」と呼ばれます。それは、親友にしか読めない手紙を書くようなものです。たとえその友人が第三者にそれを見せようとしても、その友人が自分で書いた可能性もあるため、あなたが書いたことを証明することはできません。これから皆さんが目にする論文は、このような「超極秘」の署名を構築しようとした特定の試みについて、量子物理学の法則を用いて掘り下げ、そして、鎧に生じた隙間を見つけ出し、巧妙な新しい設計によってそれを修復するまでの過程を描いています。

---

壊れた錠前と新しい鍵

最近の量子署名システムの構築への試みを、ベル状態（Bell states）を使ってハイテクな金庫を作ろうとしているエンジニアチームに例えて考えてみましょう。量子の世界において、ベル状態は、完璧に連動（もつれ）した魔法のサイコロのようなものです。片方で「6」が出れば、どれほど離れていても、もう片方も即座に「6」を示します。研究者のXinとそのチームは、これらの連動したサイコロを署名の核とするスキームを提案しました。彼らは、自分たちの金庫は解読不可能であると主張しました。

しかし、この論文の著者であるCai Zhang、Kechuan Li、およびZhiwei Sunは、その鍵を開けようと試みました。彼らは、この「魔法のサイコロ」システムには致命的な欠陥があることを突き止めたのです。例えば、悪意のある泥棒であるEveが、受信者に届く途中のメッセージを傍受したと想像してください。Xinのスキームでは、Eveは事態を混乱させるために秘密鍵を知る必要はありません。彼女は、署名の粒子に対して特定の量子的な「反転」（Y演算と呼ばれるものを使用）を行うだけでよいのです。これは、もしあなたが文字を「A」から「B」に変えようとしているとして、マスターキーを必要とする代わりに、特定のリズムで紙を叩けば、誰にも気づかれずに魔法のように「A」を「B」に変えられることに気づいたようなものです。著者たちは、Eveが偽のメッセージに対して完全に有効な新しい署名を偽造できることを実証しました。そして、受信者はそれが偽造であることに決して気づかないのです。元のスキームは安全ではありませんでした。

「非もつれ」による解決策

これを修正するために、著者たちは単に壊れた錠前をパッチで補修したのではなく、魔法のサイロを一切使わない全く新しいドアを構築しました。彼らの新しいスキームは「もつれフリー（entanglement-free）」であり、それらトリッキーな連動粒子に依存しないことを意味します。代わりに、単一の量子ビット（個々の量子粒子）と、一連の単純な可逆操作（スイッチを切り替えたり、ダイヤルを回したりすることに似た操作）を使用します。

彼らの新しいシステムがどのように機能するかを、遊び心のある比喩を使って説明しましょう。
AliceがBobに秘密のメッセージを送りたいと考えているとします。

1. セットアップ: AliceとBobは事前に、お互いが暗記している共有プレイリストのように、秘密のコードブック（秘密鍵）を共有しています。
2. 署名: メッセージに署名するために、Aliceはメッセージの各文字に対して、彼女の秘密のコードブックに基づいた「ダンスの動き」を適用します。彼女は文字を回転させたり（アダマール演算）、上下を逆にしたり（Y演算）します。その結果、量子署名は、ダンスの動きを知らない者にとっては、バラバラに散らばった情報の塊のように見えます。
3. 罠: 署名を送る前に、Aliceは混合物の中にいくつかの「デコイ（おとり）」の粒子を紛れ込ませます。これは、瓶の中の本物の蝶の中に、いくつかの偽物の蝶を混ぜるようなものです。彼女はBobに対し、偽物の蝶がどこにあり、どのような見た目であるべきかを伝えます。
4. 検証: Bobは瓶を受け取ると、まず偽物の蝶をチェックします。もしそれらが乱れているようであれば、泥棒（Eve）が覗こうとしたことを察知し、中身をすべて破棄します。もし完璧であれば、彼は自分のコピーである秘密のコードブックを使用して、Aliceのダンスの動きを「元に戻し」ます。もし文字が元のメッセージと全く同じ姿に戻ってきたなら、彼はそれが本物であることを確信します。

なぜこの新しい設計が勝るのか

著者たちの新しいスキームは、主に2つの理由から大幅な改善となっています。第一に、より「シンプル」であることです。信頼できるセンター（すべての鍵を持ち、もつれた粒子を準備する仲介者）や、複雑なもつれ粒子の必要性を排除したことで、システムは現実世界で構築・運用するのが非常に容易になりました。これは、複雑な多人数によるリレーレースから、単純な一対一の受け渡しに切り替えるようなものです。

第二に、そして最も重要なことに、「安全」であることです。著者たちは、彼らの新しい手法が「情報理論的に安全（information-theoretically secure）」であることを数学的に証明しました。これは、たとえ無限の計算能力を持つ超スマートなハッカーが署名を推測しようとしても、署名は純粋なランダムノイズに見えるという、高度な言い回しです。彼らは、量子状態の「密度」があまりに一様であるため、署名を見るだけで一つのメッセージと別のメッセージを区別することはできないことを示しました。

さらに、彼らのスキームが、古いスキームを破壊した特定の偽造攻撃に対して成功裏に抵抗することを実証しました。署名は単一の粒子と、送信中に決して共有されることのない秘密鍵を使用して作成されるため、Eveはデコイ粒子によって検知されることなく、メッセージを変更するために署名を単に「反転」させることはできないのです。

「非転送性」の魔法

この新しいシステムの最も素晴らしい部分は、「非転送性（non-transferability）」の約束を守っていることです。この量子のダンスにおいて、検証者であるBobは、実は署名を作成したAliceと全く同じダンスの動きを行うことができます。これは、もしBobがその署名を第三者に見せようとしても、その第三者は誰がそれを作ったのかを証明できないことを意味します。Bob自身がそれを作った可能性もあるからです！これによりAliceのプライバシーが守られ、彼女の署名はBobにとってのみ意味を持ち、他の誰にも意味を持たないことが保証されます。

要約すると、著者たちは普及していた量子署名のアイデアに欠陥を見つけ、どのように泥棒がそれを破ることができるかを示し、その後、複雑な「魔法のサイコロ」や仲介者を必要としない、より強く、よりシンプルで、より安全なバージョンを構築したのです。これは、量子セキュリティの世界においては、最も有望に見える錠前であっても、信頼できる前に一度は解錠してみる必要があるということを思い出させてくれます。