A Note on Publicly Verifiable Quantum Money with Low Quantum Computational Resources

Este trabalho apresenta um protocolo de dinheiro quântico publicamente verificável que exige recursos computacionais quânticos mínimos, utilizando memórias de uso único baseadas em codificação conjugada e suposições de hardware para prevenir gastos duplos e habilitar tokens para assinaturas digitais.

O essencial

Imagine que você tem uma nota de dinheiro feita de luz e mistério, em vez de papel e tinta. Essa é a ideia central do "dinheiro quântico".

O problema com o dinheiro de papel é que, se você tirar uma cópia perfeita dele, ninguém percebe. No mundo digital (como o Bitcoin), para evitar cópias, todos precisam de um "livro de contabilidade" gigante (blockchain) que todos verificam. Isso é lento e consome muita energia.

O dinheiro quântico tenta resolver isso usando as leis da física: você não pode copiar um estado quântico sem estragá-lo. É como tentar tirar uma foto de um fantasma; se você tentar, o fantasma some ou muda de cor.

Agora, o grande desafio histórico desse dinheiro quântico era: "Como eu sei que essa nota é verdadeira sem ter que ligar para o Banco Central toda vez que eu quero pagar?" (Isso seria como ter que ligar para o banco para validar cada centavo antes de comprar um pão).

Este artigo, escrito por Fabrizio Genovese e Lev Stambler, apresenta uma solução brilhante e simples para isso. Vamos explicar como funciona usando uma analogia de um Castelo de Cartas e Chaves Secretas.

1. A Nota de Dinheiro (O "Bilhete Quântico")

Imagine que o Banco Central (o "Mint") cria uma nota de dinheiro que é, na verdade, um pacote contendo duas coisas:

1. Um conjunto de "caixas de segurança" (Memórias de Uma Única Vez): São caixas feitas de hardware especial (como um chip de computador seguro) que contêm luzes (qubits).
2. Um selo de garantia (Assinatura Digital): Uma prova matemática de que o banco criou essas caixas.

Dentro de cada "caixa de segurança", há um segredo: duas chaves diferentes (digamos, uma chave vermelha e uma chave azul). Mas há uma regra mágica: você só consegue abrir a caixa e ver uma das chaves, nunca as duas ao mesmo tempo. Se você tentar ver a chave vermelha, a chave azul desaparece para sempre.

2. O Problema da Duplicação (O "Gasto Duplo")

Se alguém tentar copiar essa nota para gastar duas vezes, a física entra em ação. Para copiar, o bandido precisaria olhar dentro das caixas. Mas, ao olhar, ele é forçado a escolher qual chave ver. Se ele escolher a errada ou tentar copiar, o estado quântico muda. A nota original é destruída ou fica "quebrada". É impossível ter duas notas idênticas e válidas.

3. A Verificação Pública (O "Teste de Sorte")

Aqui está a parte genial do artigo. Como qualquer pessoa pode verificar a nota sem ligar para o banco? Eles usam um método chamado "Corte e Escolha" (Cut-and-Choose).

Imagine que você tem um maço de 100 cartas de baralho que o banco diz serem "cartas de ouro". Você não precisa abrir todas para ter certeza de que são ouro. Você pede para o banco (ou para quem está pagando) abrir aleatoriamente 10 cartas.

• Se as 10 cartas abertas forem de ouro e corresponderem aos selos do banco, você assume que as outras 90 também são.
• O Pulo do Gato: As 10 cartas que você abriu agora são "gastas". Elas não servem mais para provar nada. Mas as outras 90 continuam intactas.

No papel, isso significa:

• Cada vez que você valida a nota, você "quebra" (abre) algumas das caixas de segurança para provar que elas contêm o segredo correto.
• Você verifica se a "chave" que saiu da caixa bate com o "selo" do banco.
• Se bater, a nota é válida.
• Se não bater, é uma nota falsa.

A vantagem: Você não precisa de um computador quântico gigante para fazer isso. Você só precisa de equipamentos simples (como os usados para criptografia de internet segura hoje) para medir a luz. O "computador pesado" (o hardware seguro) já vem dentro da nota, feito pelo banco.

4. Quantas vezes posso usar?

A nota não é infinita. Cada verificação consome um pouco da nota (as caixas abertas).

• Se a nota tem 100 caixas e você abre 10 para verificar, sobram 90.
• Você pode usar a nota várias vezes, mas cada vez que a verifica, ela fica um pouco menor.
• Quando sobra muito pouco (menos do que o necessário para uma verificação segura), você leva a nota de volta ao banco. O banco pega os dados que sobraram, "recicla" e emite uma nota nova e cheia. É como trocar uma nota de papel velha e rasgada por uma nova.

5. Assinaturas Digitais (O "Carimbo Mágico")

O artigo também mostra que essa mesma tecnologia pode ser usada para assinaturas digitais.
Imagine que você quer assinar um contrato. Em vez de usar sua senha, você usa sua "nota de dinheiro quântico".

• Você "abre" as caixas de segurança para gerar uma assinatura.
• Assim que você assina, a nota perde o poder de assinar novamente.
• Isso é ótimo para apostas ou contratos: você prova que tem dinheiro e que assinou aquele documento específico, e ninguém pode reusar essa assinatura para outra coisa.

Resumo em uma frase

Os autores criaram um sistema de dinheiro digital que qualquer pessoa pode verificar sem precisar de supercomputadores, usando "caixas de segredos" que se autodestroem se alguém tentar copiá-las, garantindo que o dinheiro nunca seja gasto duas vezes, mas exigindo que você troque a nota velha por uma nova quando ela for "gasta" pelas verificações.

Por que isso é importante?
Porque é um passo gigante para um futuro onde podemos ter dinheiro digital privado, rápido e seguro, sem depender de blockchains lentos ou de confiar cegamente em um banco central para validar cada centavo. É como ter dinheiro físico, mas na era digital.

Resumo técnico

1. Problema e Contexto

O conceito de dinheiro quântico, proposto originalmente por Wiesner em 1970, utiliza o princípio de não-clonagem da mecânica quântica para prevenir o gasto duplo (double-spending). No entanto, o esquema original de Wiesner é de chave privada, o que significa que apenas a entidade emissora (o banco) pode verificar a autenticidade da nota. Isso exige contato constante com o emissor para cada transação, tornando-o impraticável como uma moeda de uso geral.

Esquemas de chave pública (onde qualquer pessoa pode verificar a nota sem contactar o emissor) foram propostos, mas geralmente exigem computadores quânticos universais de grande escala e capacidades computacionais quânticas pesadas, tecnologias que ainda não estão disponíveis. O objetivo deste trabalho é preencher essa lacuna, propondo um protocolo de dinheiro quântico publicamente verificável que funcione com recursos computacionais quânticos mínimos.

2. Metodologia e Construção Técnica

Os autores propõem um esquema híbrido que combina teoria da informação quântica, criptografia clássica e suposições de hardware seguro.

A. Premissas Fundamentais

• Recursos Quânticos Mínimos: As partes envolvidas apenas precisam ser capazes de preparar, transmitir e medir estados de qubits únicos em duas bases conjugadas (Z e X). Isso é compatível com equipamentos de Distribuição Quântica de Chaves (QKD) atuais, e não requer um processador quântico universal.
• Memórias de Uso Único (OTMs): O protocolo baseia-se em OTMs, construídos a partir de codificação conjugada (conjugate coding) combinada com hardware seguro (como TEEs - Intel SGX, ARM TrustZone). Uma OTM permite que um receptor recupere exatamente um de dois valores secretos, mas não ambos.
• Funções de Hash: Utiliza-se funções de hash resistentes a pré-imagem (one-way functions) para garantir a segurança computacional.

B. O Protocolo de Dinheiro Quântico

O esquema funciona através de um mecanismo de "corte e escolha" (cut-and-choose) e autenticação tipo MAC (Message Authentication Code):

1. Cunhagem (Minting):

   • O emissor gera $N$ pares de strings de bits aleatórios ($\kappa_{0,i}, \kappa_{1,i}$).
   • Calcula os hashes $H(\kappa_{0,i})$ e $H(\kappa_{1,i})$ e os assina digitalmente.
   • Para cada par, cria uma OTM que codifica os dois valores secretos. A OTM é acompanhada por estados quânticos (qubits) preparados em bases conjugadas aleatórias.
   • A nota de dinheiro consiste em: os estados quânticos das OTMs, os hashes assinados e os valores pré-imagem já revelados (inicialmente nenhum).

2. Verificação Pública:

   • Qualquer verificador pode checar a autenticidade sem contactar o emissor.
   • O verificador seleciona aleatoriamente um subconjunto das OTMs não abertas (o parâmetro $\xi$).
   • O verificador "desafia" essas OTMs: mede os qubits na base correta (determinada pela OTM) para recuperar os valores secretos.
   • Verifica se os valores recuperados correspondem aos hashes assinados.
   • Consumo: As OTMs verificadas são "abertas" e removidas da nota. O verificador mantém os valores pré-imagem revelados para evitar que a nota seja reutilizada indevidamente. Se a nota tiver poucas OTMs restantes, ela é considerada "gasta" e deve ser resgatada pelo emissor.

3. Transferência:

   • A nota é transferida copiando todos os dados clássicos (hashes, assinaturas, estado das OTMs abertas) e transferindo fisicamente os estados quânticos (OTMs) para o novo dono.
   • Devido ao teorema da não-clonagem, o remetente não pode reter uma cópia funcional da nota após a transferência.

3. Contribuições Principais

• Verificabilidade Pública com Baixo Custo Quântico: Demonstra que é possível criar dinheiro quântico publicamente verificável sem computadores quânticos universais, utilizando apenas hardware de comunicação quântica (QKD) e TEEs.
• Segurança Baseada em Hardware e Criptografia: A segurança não depende apenas de suposições computacionais, mas da impossibilidade física de clonar estados quânticos e da segurança de dispositivos de hardware (OTMs).
• Generalização para Tokens de Assinatura Digital (QTDS): O esquema é adaptado para criar tokens quânticos que permitem assinar uma única mensagem (ou um bit). Isso permite aplicações como compromissos de dinheiro (money commitments) e apostas, onde a assinatura consome o poder de assinatura do token, impedindo o reuso.
• Implementação Prática: Os autores forneceram uma biblioteca em Rust de prova de conceito (disponível no GitHub), validando a viabilidade teórica.

4. Resultados e Análise de Segurança

• Teorema de Inforgeabilidade: O artigo prova que a probabilidade de um adversário (QPT - Tempo Polinomial Quântico) criar duas notas válidas a partir de uma única nota original é desprezível.
• Mecanismo de Defesa: A segurança depende de dois pilares:
  1. A segurança de simulação das OTMs (impede que o adversário extraia ambos os valores secretos de uma mesma OTM).
  2. A resistência à pré-imagem da função hash (impede que o adversário adivinhe os valores secretos sem ter a OTM).
• Limitação de Verificações: O esquema permite um número limitado de verificações (aproximadamente $N/\xi$). Após esse limite, a nota deve ser resgatada e trocada por uma nova. Isso é inerente à abordagem de "corte e escolha" consumitiva.

5. Significado e Impacto

Este trabalho é significativo porque traz o conceito de dinheiro quântico de um plano puramente teórico e de alta complexidade para uma aplicação de curto a médio prazo.

• Infraestrutura Existente: Ao depender de tecnologias que já estão em desenvolvimento (QKD e TEEs), o protocolo é viável antes da chegada de computadores quânticos universais.
• Privacidade e Peer-to-Peer: Assim como o dinheiro físico, o dinheiro quântico proposto é intrinsecamente privado e não requer protocolos de consenso (como blockchain) para operar, eliminando a necessidade de incentivos econômicos complexos para a rede.
• Aplicações Futuras: Além de moeda, o protocolo abre caminho para sistemas de votação, leilões e contratos inteligentes quânticos que exigem não-clonagem e verificabilidade pública.

6. Desafios e Trabalhos Futuros

Os autores identificam gargalos para a implementação prática em larga escala:

• Verificação Pré-Transferência: O desafio atual é permitir que o receptor verifique a autenticidade dos estados quânticos antes de aceitá-los, evitando ataques de um remetente malicioso.
• Escalabilidade de Recursos: O consumo de recursos quânticos cresce linearmente com o número de verificações. Reduzir isso para crescimento sub-linear é uma questão em aberto.
• Verificabilidade Infinita: Tornar o esquema verificável um número arbitrário de vezes sem consumir a nota.
• Suposições de Hardware: A dependência de hardware seguro (TEE) é uma limitação. Trabalhos futuros podem buscar construções de OTM com suposições de hardware mais fracas ou totalmente baseadas em limitações computacionais quânticas.

Em resumo, o artigo apresenta uma ponte crucial entre a teoria da informação quântica e aplicações financeiras práticas, propondo um sistema de moeda digital que é seguro, verificável publicamente e realizável com a tecnologia quântica emergente atual.