🔬 물리학

Quantum Vault: Symmetric No-Cloning Protection for Token Issuer and User (Benchmarked on IBM Quantum)

본 논문은 발행 은행에 토큰 사본을 저장함으로써 고전적 부가 정보를 제거하여 사용자 및 발행자 모두를 위조로부터 대칭적으로 보호하는 동시에, 무시할 수 있는 수준의 오류율로 공적 검증 가능성, 추적 가능성 및 폐기 가능성을 지원하며 IBM 양자 프로세서 상에서 토큰 인증을 보안하는 "퀀텀 볼트(Quantum Vault)" 프로토콜을 제안하고 벤치마킹한다.

원저자: Lucas Tsunaki, Boris Naydenov

게시일 2026-10-16

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Lucas Tsunaki, Boris Naydenov

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

보안 통신의 세계에는 완벽한 자물쇠 역할을 하는 자연의 근본적인 법칙이 존재합니다. 그것은 바로 알려지지 않은 양자 상태를 완벽하게 복제할 수 없다는 것입니다. '복제 불가능성 정리(no-cloning theorem)'라고 알려진 이 원리는, 정보가 양자 형태로 존재한다면 그 원본을 파괴하지 않고는 복제하는 것이 불가능함을 시사합니다. 이 아이디어는 오랫동안 위조가 불가능한 디지털 화폐나 신분증, 즉 '양자 화폐' 또는 '양자 토큰'이라 불리는 것들에 대한 꿈을 부채질해 왔습니다. 개념은 간단합니다. 은행이 특정하고 비밀스러운 양자 상태를 보유한 물리적 토큰을 발행합니다. 사용자가 이를 소비하려면 상인에게 토큰을 제시하고, 상인은 해당 상태가 은행의 기록과 일치하는지 확인합니다. 만약 토큰이 복제되었다면, 물리학 법칙에 의해 그 복사본은 검증에서 실패할 것이 보장됩니다. 그러나 수십 년 동안 이러한 계획에는 결정적인 약점이 남아 있었습니다. 시스템이 은행의 고전적 컴퓨터 데이터베이스에 양자 상태의 설정값을 비밀 목록으로 저장하는 것에 의존했다는 점입니다. 만약 해커가 그 디지털 목록을 훔친다면, 그들은 양자 자물쇠를 완전히 우회하여 토큰을 완벽하게 재현할 수 있습니다. 전체 시스템의 보안이 디지털 파일의 비밀성에 달려 있었으며, 이는 최근의 글로벌 사이버 공격들이 보여주었듯 매우 실질적인 취약점이었습니다.

헬름홀츠-제르노 베를린(Helmholtz-Zentrum Berlin)의 연구진은 이 문제를 해결하기 위해 그 취약한 디지털 목록을 완전히 제거하는 새로운 방법을 제안했습니다. 연구진은 비밀 설정을 컴퓨터에 저장하는 대신, 은행이 보안된 '양자 금고'에 토큰 자체의 물리적 복사본을 보관할 것을 제ジェ안합니다. 은행이 사용자에게 토큰을 발행할 때, 동시에 동일한 쌍둥이를 만들어 금고에 보관하는 방식입니다. 토큰을 검증할 때 은행이나 승인된 상인은 데이터베이스에서 숫자를 찾아보는 것이 아니라, 사용자의 토큰과 금고에 있는 토큰 사이의 직접적인 물리적 비교를 수행합니다. 두 개가 동일하면 토큰이 승인되고, 다르면 거부됩니다. 이 방법은 해커가 은행이 보유한 모든 고전적 데이터를 훔치더라도, 비교에 필요한 물리적 양자 쌍이 없기 때문에 토큰을 위조할 수 없음을 보장합니다. 연구진은 IBM의 실제 양자 컴퓨터를 사용하여 이 아이디어를 테스트했으며, 시뮬레이션을 통해 결정적인 공격자가 토큰의 상태를 추측하려고 시도할 때 시스템이 얼마나 잘 버티는지 확인했습니다.

실험은 검증 과정을 더 견고하게 만들기 위해 단 하나의 큐비트가 아닌, 많은 작은 양자 비트들로 구성된 토큰을 만드는 방식으로 진행되었습니다. 연구진은 해커가 다양한 방식으로 토کن을 측정하여 정보를 훔친 뒤, 그 정보를 사용하여 가짜 복사본을 만드는 시나리오를 시뮬레이션했습니다. 그 결과, 해커가 단일 토큰의 상태를 비교적 높은 확률로 맞출 수는 있지만, 여러 개의 토큰으로 이루어진 전체 지폐를 위조할 확률은 급격히 떨어진다는 것을 발견했습니다. 200개의 토큰으로 구성된 지폐를 사용한 테스트에서, 가장 성능이 낮은 컴퓨터를 기준으로 위조 성공 확률은 100억 분의 1 미만이었습니다. 그들이 사용한 가장 발전된 기계에서도 가짜 지폐가 통과할 확률은 극히 미미했던 반면, 진짜 지폐는 거의 확실하게 수용되었습니다. 이는 고전적 비밀을 제거하고 물리적 비교에 의존함으로써, 시스템이 가장 흔한 유형의 디지털 도난으로부터 안전해진다는 것을 입증합니다.

또한 이 연구는 하드웨어의 품질이 보안에 어떻게 영향을 미치는지 강조했습니다. 연구진은 정밀도와 오류율이 각각 조금씩 다른 세 가지 양자 프로세서에서 동일한 프로토콜을 실행했습니다. 그들은 가장 높은 오류율을 가진 기계에서도 시스템이 매우 안전하게 유지된다는 것을 발견했지만, 더 좋은 기계들에 비해서는 안전 마진이 좁았습니다. 이는 양자 하드웨어가 계속 발전함에 따라 이러한 시스템의 보안이 더욱 강력해질 것임을 시사합니다. 연구진은 이 접근 방식이 토큰의 성격을 익명의 현금에서 신용카드와 유사한 추적 가능한 신분증으로 변화시킨다고 언급했습니다. 은행이 금고 복사본을 보유하고 있기 때문에, 누가 어떤 토큰을 소유하고 있는지 추적할 수 있으며 필요 시 접근 권한을 취소할 수도 있어, 익명의 현금이 제공할 수 없는 거버넌스 계층을 추가할 수 있습니다.

아마도 이 작업의 가장 중요한 측면은 보안의 영역을 디지털에서 물리적 영역으로 옮긴 것입니다. 이전의 제안들에서 보안은 은행의 컴퓨터 데이터베이스가 침범 불가능하다는 가정에 의존했습니다. 이 새로운 모델에서 보안은 물리학 법칙과 금고 복사본의 물리적 존재에 의존합니다. 연구진은 이 방법이 사용자를 개인적으로 알지 못하는 판매자와 같은 신뢰할 수 없는 당사자에게 검증 과정이 열려 있는 경우에도 작동한다는 것을 보여주었습니다. 판매자는 토큰의 비밀 설정을 알 필요 없이, 단지 은행의 금고 인터페이스에 접근할 수만 있으면 비교를 수행할 수 있습니다. 이는 누구나 은행의 보안 금고와 연결되어 있다면 토큰의 유효성을 확인할 수 있는 공개 검증 시스템의 문을 열어줍니다.

연구진은 실제 세계에서 이 시스템을 구축하는 데 있어 큰 장애물이 존재함을 인정하며, 특히 양자 상태가 사라지지 않고 오랫동안 유지되도록 저장하는 것의 어려움을 꼽았습니다. 현재의 양자 메모리는 매우 취약하며 종종 극저온이나 진공 상태를 필요로 하여, 지갑처럼 들고 다니기가 어렵습니다. 그러나 이 연구는 이론적 틀이 건실하며 보안 지표가 기존 기술로 달성 가능하다는 것을 보여주는 중요한 개념 증명 역할을 합니다. 실제 하드웨어에서 프로토콜을 벤치마킹함으로써, 연구팀은 안전을 보장하기 위해 얼마나 많은 토큰이 필요한지, 그리고 실제 환경의 노이즈와 오류 속에서 시스템이 어떻게 작동하는지에 대한 구체적인 데이터를 제공했습니다. 그들의 연구는 비록 양자 금고를 주머니에 넣고 다닐 기술은 아직 도래하지 않았지만, 비밀번호가 아닌 양자 세계의 깨지지 않는 법칙에 의존하여 위조 불가능하고 추적 가능하며 안전한 디지털 신원을 만드는 경로가 점점 더 명확해지고 있음을 시사합니다.

기술 요약: 퀀텀 볼트(Quantum Vault): 토큰 발행자와 사용자를 위한 대칭적 복제 불가능 보호

문제 정의
현재의 양자 토큰, 양자 화폐 및 신원 인증에 관한 제안들은 위조를 방지하기 위해 복제 불가능성 정리(no-cloning theorem)에 의존하고 있다. 표준 아키텍처에서 발행 에이전트(예: 은행)는 고전적 파라미터 $(\theta, \phi)$ 로 정의된 양자 상태 $|\psi\rangle$ 를 준비하여 사용자에게 전송하고, 나중에 검증하기 위해 $(\theta, \phi)$ 라는 고전적 설명을 저장한다. 복제 불가능성 정리가 사용자의 토큰이 복제되는 것은 방지하지만, 이 아키텍처는 발행자의 고전적 사이드 정보 $(\theta, \phi)$ 를 탈취할 경우 발생하는 치명적인 취약점을 포함하고 있다. 공격자가 발행자의 데이터베이스에서 고전적 정보를 훔친다면, 복제 불가능성 정리를 위반하지 않고도 완벽한 가짜 토큰을 생성할 수 있다. 검증자는 탈취된 고전적 데이터와 가짜 토큰을 비교하게 되며, 보안 침해 사실을 인지하지 못한 채 이를 승인하게 된다. 발행자의 데이터베이스에 대한 이러한 "추정 및 위조(estimate-and-forge)" 공격은 양자 화폐 및 네트워크 제안에서 여전히 중요하며 종종 간과되는 위협이다.

방법론
이러한 취약점을 해결하기 위해 저자들은 발행자가 토큰 상태의 고전적 설명을 저장할 필요가 없는 퀀텀 볼트(Quantum Vault) 프로토콜을 제안한다. 방법론은 세 가지 주요 단계로 구성된다:

대칭적 토큰 생성: 고전적 데이터를 저장하는 대신, 은행은 동일한 하르-무작위(Haar-random) 상태 $|\psi\rangle^{\otimes N}$ 내에서 두 개의 동일한 양자 토큰을 준비한다. 여기서 $N$ 은 앙상블 내의 비얽힘 독립 큐비트의 수이다. 하나의 토큰은 사용자에게 전달되고, 다른 하나는 은행의 "볼트(vault)"에 보관된다. 결정적으로, $(\theta, \phi)$ 에 관한 모든 고전적 정보는 즉시 폐기된다.
SWAP 테스트 인증: 인증은 SWAP 테스트를 사용하여 사용자의 토큰을 볼트의 복사본과 비교함으로써 수행된다. 이 회로는 보조 큐비트, 하다마르 게이트, 그리고 두 토큰의 큐비트 사이의 제어-SWAP 연산을 포함한다. 보조 큐비트의 측정 결과는 $c_n \in \{0, 1\}$ $c_{n} \in {0, 1}$ 값을 갖는다. $N$ $N$ 개 큐비트에 대한 이러한 결과들의 평균 $\bar{c}$ $\overset{c}{ˉ}$ 는 검증을 위한 관측량 역할을 한다.
- 두 상태가 동일하면, $\bar{c} \approx 0$ 이다.
- 두 상태가 다르면, $\bar{c} > 0$ 이다.
하드웨어 불가지론적 벤치마킹: 본 프로토콜은 Qiskit SDK를 사용하여 세 대의 IBM 양자 프로세서(Kingston, Fez, Marrakesh)에서 구현 및 벤치마킹되었다. 연구에서는 $N$ 개의 큐비트 앙상블을 시뮬레이션하기 위해 독립적인 순차적 회로 샷(shot)의 시간 평균을 사용하는 에르고딕 근사(ergodic approximation)를 활용하였다.
보안 모델링: 저자들은 공격자가 $x, y, z$ 축을 따라 사용자의 토큰에 대해 SWAP 테스트를 수행하여 토큰 상태 $|\psi\rangle$ 를 재구성하려고 시도하는 "추정 및 위조" 공격을 모델링하였다. 공격자는 최대 우도 추정(Maximum Likelihood Estimation, MLE)을 사용하여 상태를 재구성한 후, 인증을 위한 토큰 위조를 시도한다.

주요 기여

대칭적 보호: 프로토콜은 사용자와 은행 모두에게 대칭적 보호를 제공한다. 어느 쪽도 고전적 비밀을 보유하지 않으며, 보안은 전적으로 양자 복제 불가능성 정리와 볼트 복사본의 물리적 존재에 의존한다.
은행 매개 검증 가능성: 고전적 비밀을 제거함으로써, 은행은 신뢰할 수 없는 제3자(예: 판매자)에게 인증 인터페이스에 대한 접근 권한을 부여할 수 있다. 이러한 제3자는 토큰을 복제하거나 그 상태를 학습할 수는 없지만, 볼트 복사본을 통해 토큰의 유효성을 검증할 수 있다. 그러나 은행이 토큰의 소유자를 알아야 비교를 수행할 수 있으므로, 이 방식은 진정한 공개 키 시스템보다는 중앙 집중식 아키텍처를 유지하는 본질적인 비익명성을 띤다.
추적 가능성 및 취소 가능성: 익명 양자 화폐 체계와 달리, 퀀텀 볼트는 비익명적이다. 은행이 볼트 복사본을 보유하고 있기 때문에, 은행은 토큰의 소유권을 추적하고 필요 시 이를 취소할 수 있다.
보안의 정량화: 논문은 세 가지 하드웨어 플랫폼에서 실제 토큰의 수락 확률( $p_b$ )과 위조된 토크의 수락 확률( $p_f$ )을 비교하여 프로토콜의 보안을 정량화한다.

결과
연구는 $N=90$ 큐비트의 앙상블(샷 노이즈와 이산화 효과의 균형을 위해 선택됨)과 $M=200$ 개의 토큰으로 구성된 양자 빌(bill)을 사용하여 프로토콜을 벤치마킹하였다.

품질 파라미터: 하드웨어 성능은 진폭/대조( $Q_a$ )와 오프셋( $Q_o$ ) 품질 파라미터로 특성화되었다. Kingston 프로세서가 가장 우수한 성능( $Q_a \approx 0.892$ )을 보였으며, 그 뒤를 Fez와 Marrakesh가 이었다.
거짓 부정(Type 1 오류): 수락 임계값 $c^*$ 는 실제 토큰이 $p_b \geq 0.99$ 의 확률로 수락되도록 교정되었다.
거짓 긍정(Type 2 오류): 단일 토큰에 대해 위조된 토큰이 수락될 확률( $p_f$ $p_{f}$ )은 하드웨어에 따라 약 0.66에서 0.75 사이였다. 그러나 $M=200$ $M = 200$ 개의 토큰으로 구성된 양자 빌의 경우, 성공적인 위조 확률( $P_f$ $P_{f}$ )은 지수적으로 감소한다.
- 가장 성능이 낮은 하드웨어인 Marrakesh에서 보수적인 불확실성 추정을 적용하더라도, 200개 토큰 빌에 대한 성공적인 공격 확률은 $P_f < 10^{-10}$ 으로 나타났다.
- 가장 우수한 하드웨어인 Kingston의 경우, $1\sigma$ 신뢰 구간에서 $P_f$ 는 $10^{-33}$ 에서 $10^{-21}$ 사이이며, 불확실성의 상한선은 $10^{-21}$ 에 도달한다.
트레이드오프: 저자들은 고전적 부가 정보를 제거하는 것이 고전적 데이터를 유지하는 프로토콜에 비해 실제 토큰의 인증 효율성을 감소시킨다는 점을 언급한다. 결과적으로, 위조에 대한 동일한 수준의 보안을 달기 위해서는 빌당 더 많은 수의 토큰( $M$ )이 필요하다.

의의 및 주장
본 논문은 퀀um 볼트가 사용자뿐만 아니라 발행자까지도 보호함으로써 실질적인 양자 화폐 및 네트워크 아키텍처를 향한 중요한 단계임을 주장한다. 현재의 NISQ(Noisy Intermediate-Scale Quantum) 하드웨어에서 매우 낮은 위조 확률( $<10^{-10}$ )을 달성할 수 있음을 입증함으로써, 저자들은 이 체계가 미래의 응용 분야에 적합하다고 주장한다.

그 의의는 프라이빗 키 아키텍처(은행만이 검증할 수 있는 모델)에서, 완전한 탈중앙화된 공개 키 시스템은 아니더라도 은행 매개 인터페이스를 통해 공적 검증이 가능한 모델로의 전환에 있다. 저자들은 프로토콜이 모든 가능한 공격(예: 치환 공격 또는 사이드 채널 공격이 한계점으로 언급됨)에 대한 완전한 수학적 보안 증명은 아니지만, IBM 양자 프로세서를 이용한 하드웨어 불가지론적 벤치마킹이 실질적인 성능 상한선을 제공한다고 강조한다. 결과는 퀀텀 볼트가 지속적인 하드웨어 발전과 최적화된 앙상블 비교를 통해, 양자 신원 및 가치 이전을 위한 견고하고 추적 가능하며 취소 가능한 프레임워크를 제공할 수 있음을 시사한다.

유사한 논문