⚛️ quantum physics

Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions

Dit artikel presenteert de eerste statistisch veilige bit commitment- en coin-flipping-protocollen gebaseerd op hybride vergrendelde fysiek onkopieerbare functies (HLPUF's), die de onmogelijkheid van onvoorwaardelijke veiligheid in kwantumcryptografie overwinnen door klassieke hardwaretokens te combineren met kwantumcommunicatie om een nieuw paradigma te bereiken voor praktische, wantrouwende twee-partijen cryptografie.

Oorspronkelijke auteurs: Roo Dunnill, Mina Doosti

Gepubliceerd 2026-08-12

📖 8 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Roo Dunnill, Mina Doosti

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een digitale kluis probeert te bouwen die zo veilig is dat zelfs een superintelligente robot met oneindige tijd deze niet kan kraken. Dit is de droom van "onvoorwaardelijke beveiliging" in de cryptografie. Decennia lang hebben wetenschappers geprobeerd een specifiek soort kluis te bouwen, genaamd "bit commitment". Denk erbij als een verzegelde envelop: je stopt een geheim briefje erin, geeft het aan een vriend en belooft dat je het briefje later niet kunt verwisselen, terwijl je vriend niet naar binnen kan gluren totdat jij dat toestaat. Het klinkt simpel, maar in de kwantumwereld — het rijk van atomen en lichtdeeltjes waar dingen op twee plaatsen tegelijk kunnen zijn — bewezen beroemde wiskundige stellingen dat dit zonder extra hulp niet perfect te doen is. Het is alsof je probeert een kaartenhuis te bouwen dat nooit omvalt, zelfs niet in een orkaan; de wetten van de fysica zeggen dat dit niet kan als je alleen lucht en papier hebt.

Echter, wetenschappers hebben een slimme workaround gevonden: in plaats van alleen op wiskunde te vertrouwen, kunnen ze vertrouwen op de fysieke wereld zelf. Stel je voor dat je een unieke, onkopieerbare vingerafdruk van hardware gebruikt om de kluis te vergrendelen. Dit artikel onderzoekt een nieuwe manier om die kluis te bouwen met een speciale mix van ouderwetse computerchips en modernere kwantumfysica. Het doel is om een systeem te creëren waarbij twee mensen die elkaar niet vertrouwen toch eerlijke spellen kunnen spelen, zoals het opgooien van een munt of het maken van een geheime weddenschap, zonder een derde partij nodig te hebben of te hoeven vertrouwen op het feit dat de tegenstander te dom is om te valsspelen.

Het Onmogelijke Spel en de Hardware Hack

In de wereld van de cryptografie is "bit commitment" het digitale equivalent van een verzegelde envelop. Jij (Alice) wilt een keuze vastleggen (een 0 of een 1) en deze aan je vriend (Bob) geven. Je moet twee dingen beloven: eerst, dat Bob niet in je keuze kan gluren voordat je deze onthult (dit wordt hiding genoemd); en ten tweede, dat je zodra je de envelop hebt verzegeld, niet stiekem van keuze kunt veranderen naar het andere getal (dit wordt binding genoemd).

Lange tijd dachten wetenschappers dat kwantummechanica dit perfect kon oplossen. Maar toen kwam er een beroemde "no-go" stelling die zei: "Nee, niet mogelijk." Het blijkt dat in een puur kwantumwereld, als je de bit perfect probeert te verbergen, je een lek achterlaat waardoor een cheater later van gedachten kan veranderen. Het is als een goocheltruc waarbij de goochelaar het konijn niet kan laten verdwijnen zonder een aanwijzing achter te laten dat hij later een ander konijn uit de hoed had kunnen toveren.

Om dit te omzeilen, besloten de auteurs van dit artikel om te stoppen met het proberen op te lossen van het probleem met alleen wath en licht. In plaats daarvan brachten ze een fysiek object in: een Hybrid Locked Physical Unclonable Function, of HLPUF voor kort.

Beschouw een HLPUF als een magische, onkopieerbare "black box" token.

Physical Unclonable: Net zoals geen twee sneeuwvlokken hetzelfde zijn, is geen enkele van deze hardware-tokens exact hetzelfde. Zelfs de fabriek die ze heeft gemaakt, kan de interne bedrading niet kopiëren. Als je probeert het te scannen en een nepversie te bouwen, zal de nepversie anders reageren.
Hybrid: Het is een mix van een standaard computerchip (die makkelijk te maken is) en een kwantumlager (die moeilijk na te maken is).
Locked: Dit is het geheime ingrediënt. De token heeft een "lock"-mechanisme. Zodra je het op een bepaalde manier gebruikt, vergrendelt het zichzelf. Je kunt het niet opnieuw openen om te zien wat erin zit of om de werking te veranderen.

Het Nieuwe Protocol: Een Spel van "Vertrouw de Box"

De auteurs hebben een protocol (een set regels voor een spel) ontworpen dat deze magische box gebruikt om het onmogelijke probleem op te lossen. Zo werkt het spel, stap voor stap:

1. De Opstelling (De Werving)
Alice begint met de HLPUF-token in een "ontgrendelde" staat. Ze stelt de token een reeks vragen (challenges) en schrijft de antwoorden (responses) op in een notitieblok. Dit is haar database. Vervolgens draait ze een schakelaar om de token te vergrendelen (lock). Nu is de token verzegeld. Ze geeft deze vergrendelde token aan Bob.

2. De Commitment (De Verzegelde Envelop)
Alice wil een bit (0 of 1) vastleggen. Ze kiest een vraag uit haar notitieblok, bijvoorbeeld "Vraag X."

Ze vraat de token om het antwoord op "Vraag X."
Ze gebruikt ook een speciaal algoritme om een "nepvraag", "Vraag Y", te genereren, die erg lijkt op X maar net iets anders is.
Ze stuurt zowel Vraag X als Vraag Y naar Bob.
Nu komt de magische truc: Ze zet het antwoord op Vraag X om in een reeks kwantumdeeltjes (qubits).
- Als ze wil vastleggen dat het een 0 is, codeert ze het antwoord met de "stijl" (basis) van Vraag X.
- Als ze wil vastleggen dat het een 1 is, codeert ze hetzelfde antwoord met de "stijl" van Vraag Y.
Ze stuurt deze reeks kwantumdeeltjes naar Bob.

Waarom kan Bob niet gluren?
Bob heeft de vragen, maar hij weet niet welke "stijl" Alice heeft gebruikt. Omdat de antwoorden willekeurig zijn en de stijlen door elkaar zijn gehusseld, zien de kwantumdeeltjes er voor hem exact hetzelfde uit, of ze nu een 0 of een 1 vertegenwoordigen. Het is alsoam een bericht in een fles waarbij de fles er identiek uitziet, of het bericht erin nu "Ja" of "Nee" zegt. Hij kan het verschil niet zien totdat zij het opent.

Waarom kan Alice niet valsspelen?
Alice heeft de vergrendelde token. Om van gedachten te veranderen, zou ze haar commitment achteraf moeten aanpassen. Maar om te bewijzen dat ze niet van gedachten is veranderd, moet ze het volledige antwoord op de token onthullen.

Als ze probeert te liegen, moet ze het antwoord op de vraag van de token raden zonder de token daadwerkelijk te hebben.
Maar de token is onkopieerbaar (unclonable). Ze kan geen nepversie maken.
En de token is vergrendeld (locked). Ze kan de token niet opnieuw vragen stellen om het antwoord te achterhalen.
De enige manier om te winnen is het echte antwoord van de echte token te hebben. Als ze probeert te sjoemelen, zegt de wiskunde dat ze bijna altijd zal falen.

De Resultaten: Een Nieuw Soort Beveiliging

Het artikel bewijst dat dit systeem werkt met statistische beveiliging. Dit betekent dat hoewel een superintelligente cheater misschien in staat is om van zijn commitment te veranderen, de kansen zo astronomisch klein zijn dat het in de praktijk onmogelijk is. Het is niet "wiskundig onmogelijk" (wat het artikel stelt onmogelijk is), maar het is "zo onwaarschijnlijk dat je het nooit zult zien gebeuren."

De auteurs toonden twee belangrijke zaken aan:

Perfect Hiding: Bob kan de bit niet raden voordat de onthulling plaatsvindt. De kwantumtoestanden zijn zo vergelijkbaar dat hij het verschil niet kan zien, zelfs niet met een perfecte kwantumcomputer.
Sterke Binding: Alice kan haar bit niet veranderen nadat ze de kwantumdeeltjes heeft verzonden. De enige manier om de envelop succesvol te openen, is door het echte, onvervalsbare antwoord van de hardware-token te hebben.

Ze gebruikten dit bit-commitment spel ook om een Coin Flipping protocol te bouwen. Stel dat Alice en Bob willen beslissen wie er eerst mag beginnen in een spel door een munt op te gooien, maar ze bevinden zich in verschillende steden en vertrouwen elkaar niet. Met behulp van deze nieuwe hardware-gebaseerde methode kunnen ze een munt opgooien die door niemand gemanipuleerd kan worden. Als Alice probeert te forceren dat de munt op Kop landt, moet ze de hardware-token breken, wat statistisch gezien onmogelijk is.

Waarom dit ertoe doet

Dit artikel suggereert een nieuwe weg voorwaarts voor de toekomst van het internet. In plaats van te hopen dat hackers te dom zijn om onze codes te breken, of dat ze niet genoeg computergeheugen hebben, kunnen we systemen bouwen die steunen op de fysieke wetten van de hardware zelf.

De auteurs geven toe dat dit geen toverstaf is die alles direct oplost. Ze merken op dat het bouwen van deze tokens specifieke hardware-aannames vereist (zoals de aanname dat de token echt onkopieerbaar is en de vergrendeling onbreekbaar is). Maar ze beargumenteren dat dit een realistisch pad is. We hebben de chips al; we hoeven alleen nog maar de kwantumlager en het vergrendelingsmechanisme toe te voegen.

Kortom, het artikel zegt: "We kunnen geen perfecte kluis maken van pure wiskunde, maar als we een speciale, onkopieerbare fysieke sleutel gebruiken om de kluis te bouwen, kunnen we een kluis maken die veilig genoeg is voor de echte wereld." Het is een verschuiving van "vertrouw de wiskunde" naar "vertrouw de fysica", wat een concreet pad biedt naar veilige communicatie in een wereld waarin iedereen iedereen wantrouwt.

CONCEPTVERSIE

Hier is een gedetailleerde technische samenvatting van het artikel "Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions" door Roo Dunnill en Mina Doosti.

Probleemstelling

Bit commitment is een fundamenteel cryptografisch primitief dat essentieel is voor taken zoals coin flipping, zero-knowledge bewijzen en veilige multiparty berekeningen. Echter, de Mayers–Lo–Chau onmogelijkheidstheorema stelt vast dat onvoorwaardelijk veilige quantum bit commitment onmogelijk is in een standaard niet-relativistisch twee-partijenmodel. Elk protocol dat voldoende verborgen (hiding) is, laat onvermijdelijk een coherente strategie toe voor de committer (Alice) op basis van purificatie en vertraagde meting, waardoor de bindende eigenschap wordt doorbroken.

Bestaande benaderingen om dit no-go theorema te omzeilen vertrouwen doorgaans op:

Zwakker beveiligingsconcepten (bijv. cheat sensitivity).
Computationele aannames (bijv. quantum one-way permutaties).
Relativistische beperkingen (bijv. geen communicatie tussen gescheiden agenten).
Opslagbeperkingen van de tegenstander (bijv. bounded-quantum-storage of noisy-storage modellen).

De auteurs identificeren een gat: Fysieke hardware-aannames zijn succesvol gebruikt voor authenticatie en sleutelgeneratie tegen externe tegenstanders, maar zijn niet effectief aangepast voor mistrustful two-party cryptografie (waarbij beide partijen kwaadwillend kunnen zijn). Een rechtstreekse poging om een hardwaretoken te gebruiken voor bit commitment faalt omdat een kwaadwillende partij simpelweg de voorgeschreven hardware kan vervangen door een look-alike apparaat of de keuze van de toegezegde bit kan uitstellen tot de openingsfase. De kernuitdaging is het ontwerpen van een protocol dat de committer dwingt de authentieke hardware-gedragingen te gebruiken, terwijl de toegezegde bit verborgen blijft voor de ontvanger.

Methodologie

De auteurs stellen een constructief protocol voor gebaseerd op Hybrid Locked Physical Unclonable Functions (HLPUFs). Een HLPUF is een hardware-primitief die een klassieke PUF (cPUF) combineert met een quantumcommunicatielaag.

1. Het Hardware-primitief (Asymmetrische HLPUF):
Het protocol maakt gebruik van een asymmetrische variant van de HLPUF geïntroduceerd in eerder werk [22]. De klassieke respons $f(x)$ van de onderliggende cPUF wordt in twee delen gesplitst:

$f_1(x)$ (Verifier): Een kortere string die wordt gebruikt voor verificatie.
$f_2(x)$ (Payload): Een langere string die wordt gecodeerd in quantumtoestanden.

Het apparaat werkt in twee modi:

Unlocked Mode (Setup): Alice bevraagt het apparaat om een database van challenge-response paren op te bouwen.
Locked Mode (Execution): Het apparaat is "vergrendeld". Het accepteert een challenge $x$ en een quantumtoestand $|\psi\rangle$ . Het verifieert of $|\psi\rangle$ overeenkomt met de verwachte toestand afgeleid van $f_1(x)$ . Indien geldig, geeft het de quantumtoestand overeenkomend met $f_2(x)$ uit; anders breekt het af. Cruciaal is dat zodra het apparaat vergrendeld is, het niet meer ontgrendeld of klassiek bevraagd kan worden voor $f_2(x)$ .

2. Het Protocolontwerp:
Het protocol introduceert een bewuste asymmetrie om kwaadwillig gedrag te voorkomen:

Challenge Pair Generatie: Voor een gekozen challenge $x_0$ gebruikt het protocol een specifiek algoritme (Algoritme 1) om een alternatieve challenge $x_1$ te generen. Deze challenges zijn zo geconstrueerd dat ze verschillen in een specifieke set indices $J$ (grootte $\ell_{min}$ ), waardoor de basisbits van de BB84-codering significant verschillen terwijl de waarde-bits gebalanceerd blijven.
Commitment: Alice legt een bit $b \in \{0, 1\}$ $b \in {0, 1}$ vast door een quantumtoestand $\rho_b$ $ρ_{b}$ voor te bereiden. Deze toestand codeert de payload-substring $f_2(x_0)_J$ $f_{2} (x_{0})_{J}$ (de respons-bits op de indices $J$ $J$ ).
- Als $b=0$ , wordt de toestand gecodeerd in de basis gedefinieerd door $x_0$ ( $\beta(x_0)$ ).
- Als $b=1$ , wordt de toestand gecodeerd in de basis gedefinieerd door $x_1$ ( $\beta(x_1)$ ).
- Alice stuurt het paar $(x_0, x_1)$ en de ordening $J$ naar Bob, samen met de quantumtoestand $\rho_b$ .
Opening: Alice onthult $b$ , de challenge $x_0$ , en de volledige klassieke responsen $f_1(x_0)$ en $f_2(x_0)$ .
Verificatie: Bob gebruikt de vergrendelde HLPUF om de authenticiteit van de respons te verifiëren. Hij bereidt een verifier-toestand voor op basis van $f_1(x_0)$ en bevraagt het apparaat. Als het apparaat accepteert, meet Bob de opgeslagen quantumtoestand in de basis die overeenkomt met de onthulde bit $b$ en controleert de consistentie met $f_2(x_0)_J$ .

3. Beveiligingsmechanismen:

Hiding: Vertrouwt op de onvervalsbaarheid van de HLPUF. Zonder het vermogen om een geldige verifier-toestand te vervalsen, kan Bob geen informatie over $f_2(x_0)$ extraheren vóór de onthulling. Het protocol zorgt ervoor dat de twee mogelijke commitment-toestanden statistisch ononderscheidbaar zijn omdat de payload-bits uniform verdeeld zijn en de basispatronen gebalanceerd zijn.
Binding: Vertrouwt op het vergrendelingsmechanisme en de operator-norm begrenzing. Een kwaadwillende Alice kan geen verstrengelde toestand voorbereiden die haar in staat stelt om zowel naar 0 als naar 1 te openen met een hoge waarschijnlijkheid, omdat de verificatiestap een specifieke klassieke respons $f_1(x_0)$ vereist die moeilijk te vervalsen is. Het bewijs voor binding reduceert elke kwaadwillige strategie tot een operator-norm begrenzing op de som van de acceptatie-projectoren, wat aantoont dat de waarschijnlijkheid om beide bits succesvol te openen begrensd is door een verwaarloosbare functie.

Belangrijkste Bijdragen

Eerste Statistisch Veilige Quantum Bit Commitment: Het artikel presenteert het eerste bit commitment protocol dat zowel statistische hiding als binding bereikt onder hybride hardware-aannames (specifiek HLPUFs) zonder te vertrouwen op computationele hardheid of relativistische beperkingen.
Nieuw Hardwaregebruik: De auteurs demonstreren hoe hardwaretokens te gebruiken in een mistrustful setting. Ze overwinnen het "look-alike" probleem door het protocol zo te structureren dat de commitment-toestand statistisch verbonden is aan het authentieke challenge-response gedrag van de hardware, waardoor het voor een kwaadwillende partij onmogelijk is om de token te vervangen zonder detectie.
Asymmetrische HLPUF Constructie: De introductie van een asymmetrische splitsing in de PUF-respons (Verifier vs. Payload) en een specifieke challenge-paar generatie-algoritme (Algoritme 1) die zorgt voor gebalanceerde BB84 state distributies.
Eerste Hardware-gebaseerde Coin Flipping: Door de standaard transformatie toe te passen op hun bit commitment schema, construeren de auteurs het eerste sterke quantum coin-flipping protocol gebaseerd op hybride hardware-aannames.
Bewijstechnieken: Het artikel ontwikkelt nieuwe bewijstechnieken, inclusief een "intrinsieke ensemble-symmetrie" argument voor hiding en een operator-norm reductie voor binding, die intrinsieke quantumbeperkingen scheiden van hardwareparameters.

Resultaten

Correctheid: Het protocol is correct; eerlijke partijen slagen altijd met waarschijnlijkheid 1.
Hiding: Het protocol is $\epsilon_{hide}$ -hiding, waarbij $\epsilon_{hide} \le \epsilon_{forge}$ (de onvervalsbaarheids-parameter van de HLPUF). Indien de HLPUF exponentieel onvervalsbaar is, is de hiding perfect (statistisch ononderscheidbaar).
Binding: Het protocol is $\epsilon_{bind}$ -binding. De waarschijnlijkheid dat een kwaadwillende Alice beide bits succesvol kan openen is begrensd door:
$p_0 + p_1 \le 1 + 2^{-\frac{\ell_{min} - 2s}{4}}$
waarbij $s$ de lengte van de verifier string is en $\ell_{min}$ de lengte van de payload substring. Deze grens is verwaarloosbaar bij passende parameterkeuzes.
Coin Flipping Bias: Het resulterende coin-flipping protocol heeft een bias van maximaal $\delta_{CF} \le \frac{1}{2} \max\{\epsilon_{hide}, \epsilon_{bind}\}$ .

Betekenis en Claims

De auteurs claimen dat hun werk een nieuw paradigma vestigt voor veilige twee-partijen cryptografie in quantumnetwerken. Door rigoureuze beveiligingsgaranties te combineren met concrete, direct beschikbare hardwarecomponenten (PUFs) en haalbare quantumcommunicatie, bieden zij een praktische route naar de implementatie van fundamentele cryptografische primitieven die in de gewone quantumsetting onmogelijk zijn.

Het artikel benadrukt dat deze benadering geen aannames doet over het quantumgeheugen van een tegenstander (in tegen tegenstelling tot bounded-storage modellen), wat onbeperkte beveiliging mogelijk maakt. In plaats daarvan rust de beveiliging op de fysieke onveranderlijkheid en tamper-resistentie van de hardwaretoken. De auteurs positioneren dit als een constructief alternatief voor existentiële resultaten, waarbij een specifiek ontwerp wordt geboden dat de kloof overbrugt tussen theoretische quantumcryptografie en praktische implementatie.

De auteurs blijven bescheiden over toekomstig werk, waarbij zij opmerken dat de tamper-proof implementatie van het apparaat een openstaande engineeringvraag is en dat een volledig composabele beveiligingsanalyse aan toekomstig onderzoek wordt overgelaten. Ze suggereren ook dat het protocol kan worden aangepast naar scenario's zonder quantumgeheugen (door vroege meting toe te staan), hoewel dit de beveiligingsparameters zou verzwakken.