⚛️ quantum physics

Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions

Este artigo apresenta os primeiros protocolos de compromisso de bit e de cara ou coroa estatisticamente seguros baseados em funções físicas não clonáveis híbridas bloqueadas (HLPUFs), superando a impossibilidade de segurança incondicional na criptografia quântica ao combinar tokens de hardware clássicos com comunicação quântica para alcançar um novo paradigma para a criptografia prática de duas partes desconfiadas.

Autores originais: Roo Dunnill, Mina Doosti

Publicado 2026-08-12

📖 8 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Roo Dunnill, Mina Doosti

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

=== RESUMO ===
Imagine que você está tentando construir um cofre digital que seja tão seguro que nem mesmo um robô superinteligente com tempo infinito conseguiria decifrar. Este é o sonho da "segurança incondicional" na criptografia. Por décadas, cientistas tentaram construir um tipo específico de cofre chamado "compromisso de bit" (bit commitment). Pense nisso como um envelope lacrado: você coloca um bilhete secreto dentro, entrega ao seu amigo e promete que não pode trocar o bilhete depois, enquanto seu amigo não pode espiar o conteúdo até que você permita. Parece simples, mas no mundo quântico — o reino dos átomos e das partículas de luz onde as coisas podem estar em dois lugares ao mesmo tempo — famosos teoremas matemáticos provaram que isso é impossível de fazer perfeitamente sem ajuda extra. É como tentar construir uma casa de cartas que nunca cai, mesmo em um furacão; as leis da física dizem que isso não pode ser feito se você tiver apenas ar e papel.

No entanto, os cientistas encontraram um contorno inteligente: em vez de confiar apenas na matemática, eles podem confiar no próprio mundo físico. Imagine usar uma impressão digital única e impossível de copiar, feita de hardware, para trancar o cofre. Este artigo explora uma nova maneira de construir esse cofre usando uma mistura especial de chips de computador tradicionais e física quântica moderna. O objetivo é criar um sistema onde duas pessoas que não confiam uma na outra ainda possam jogar jogos justos, como jogar uma moeda ou fazer uma aposta secreta, sem precisar confiar em um terceiro ou depender que o inimigo seja estúpido demais para trapacear.

O Jogo Impossível e o Truque do Hardware

No mundo da criptografia, o "compromisso de bit" é o equivalente digital de um envelope lacrado. Você (Alice) quer se comprometer com uma escolha (0 ou 1) e entregá-la ao seu amigo (Bob). Você precisa prometer duas coisas: primeiro, que Bob não pode espiar sua escolha antes de você revelá-la (isso é chamado de ocultação ou hiding); e segundo, que uma vez que você lacrou o envelope, você não pode mudar secretamente sua escolha para o outro número (isso é chamado de vinculação ou binding).

Por muito tempo, os cientistas pensaram que a mecânica quântica poderia resolver isso perfeitamente. Mas então, um famoso teorema de "não-existência" (no-go theorem) surgiu e disse: "Não, não é possível". Acontece que, em um mundo puramente quântico, se você tentar esconder o bit perfeitamente, deixa uma brecha que permite ao trapaceiro mudar de ideia mais tarde. É como um truque de mágica onde o mágico não consegue fazer o coelho desaparecer sem deixar uma pista de que ele poderia ter tirado um coelho diferente do chapéu mais tarde.

Para contornar isso, os autores deste artigo decidiram parar de tentar resolver o problema apenas com matemática e luz. Em vez disso, eles trouxeram um objeto físico: uma Função Não Clonável Física Híbrida Bloqueada, ou HLPUF para abreviar.

Pense em uma HLPUF como um token de "caixa preta" mágico e impossível de copiar.

Fisicamente Não Clonável: Assim como não existem dois flocos de neve iguais, não existem dois desses tokens de hardware que sejam exatamente o mesmo. Mesmo a fábrica que os produziu não pode copiar a fiação interna. Se você tentar escaneá-lo e construir um falso, o falso se comportará de forma diferente.
Híbrida: É uma mistura de um chip de computador padrão (que é fácil de fabricar) e uma camada quântica (que é difícil de falsificar).
Bloqueada: Este é o ingrediente especial. O token possui um mecanismo de "trava". Uma vez que você o utiliza de uma certa maneira, ele se tranca. Você não pode abri-lo novamente para ver o que há dentro ou mudar como ele funciona.

O Novo Protocolo: Um Jogo de "Confie na Caixa"

Os autores projetaram um protocolo (um conjunto de regras para um jogo) que usa essa caixa mágica para resolver o problema impossível. Veja como o jogo funciona, passo a passo:

1. A Configuração (O Recrutamento)
Alice começa com o token HLPUF em um estado "desbloqueado". Ela faz ao token uma série de perguntas (desafios) e anota as respostas (respostas) em um caderno. Este é o banco de dados dela. Então, ela aciona uma chave para bloquear o token. Agora, o token está selado. Ela entrega este token bloqueado para Bob.

2. O Compromisso (O Envelope Lacrado)
Alice quer se comprometer com um bit (0 ou 1). Ela escolhe uma pergunta de seu caderno, por exemplo, "Pergunta X".

Ela pede ao token a resposta para a "Pergunta X".
Ela também usa um algoritmo especial para gerar uma "pergunta falsa", a "Pergunta Y", que é muito semelhante à X, mas ligeiramente diferente.
Ela envia tanto a Pergunta X quanto a Pergonte Y para Bob.
Agora, aqui está o truque de mágica: Ela pega a resposta da Pergunta X e a transforma em uma sequência de partículas quânticas (qubits).
- Se ela quiser se comprometer com 0, ela codifica a resposta usando o "estilo" (base) da Pergunta X.
- Se ela quiser se comprometer com 1, ela codifica a mesma resposta usando o "estilo" da Pergunta Y.
Ela envia esta sequência de partículas quânticas para Bob.

Por que Bob não pode espiar?
Bob tem as perguntas, mas não sabe qual "estilo" Alice usou. Como as respostas são aleatórias e os estilos estão misturados, as partículas quânticas parecem exatamente iguais para ele, quer ela tenha escolhido 0 ou 1. É como enviar uma mensagem em uma garrafa onde a garrafa parece idêntica, quer a mensagem dentro diga "Sim" ou "Não". Ele não pode distinguir a diferença até que ela a abra.

Por que Alice não pode trapacear?
Alice tem o token bloqueado. Para mudar de ideia, ela precisaria mudar seu compromisso após o envio. Mas para provar que não mudou de ideia, ela tem que revelar a resposta completa ao token.

Se ela tentar mentir, terá que adivinhar a resposta para a pergunta do token sem realmente ter o token.
Mas o token é in clonável. Ela não pode criar um falso.
E o token está bloqueado. Ela não pode fazer novas perguntas ao token para descobrir a resposta.
A única maneira de vencer é ter a resposta real do token real. Se ela tentar falsificar, a matemática diz que ela falhará quase todas as vezes.

Os Resultados: Um Novo Tipo de Segurança

O artigo prova que este sistema funciona com segurança estatística. Isso significa que, embora um trapaceiro superinteligente possa ser capaz de mudar seu compromisso, as chances são tão astronomicamente baixas que é praticamente impossível. Não é "matematicamente impossível" (o que o artigo diz que não pode ser feito), mas é "tão improvável que você nunca verá acontecer".

Os autores mostraram duas coisas principais:

Ocultação Perfeita: Bob não pode adivinhar o bit antes da revelação. Os estados quânticos são tão semelhantes que, mesmo com um computador quântico perfeito, ele não consegue distingui-los.
Vinculação Forte: Alice não pode mudar seu bit após enviar as partículas quânticas. A única maneira de abrir o envelope com sucesso é ter a resposta genuína e inforgeável do token de hardware.

Eles também usaram este jogo de compromisso de bit para construir um protocolo de Lançamento de Moeda (Coin Flipping). Imagine que Alice e Bob querem decidir quem começa um jogo, mas eles estão em cidades diferentes e não confiam um no outro. Usando este novo método baseado em hardware, eles podem lançar uma moeda que nenhum dos dois pode manipular. Se Alice tentar forçar a moeda a cair em "Cara", ela terá que quebrar o token de hardware, o que é estatisticamente impossível.

Por Que Isso Importa

Este artigo sugere um novo caminho para o futuro da internet. Em vez de esperar que os hackers sejam burros demais para quebrar nossos códigos, ou que não tenham memória de computador suficiente, podemos construir sistemas que dependam das leis físicas do próprio hardware.

Os autores admitem que isso não é uma varinha mágica que resolve tudo instantaneamente. Eles observam que construir esses tokens requer suposições de hardware específicas (como o token ser verdadeiramente in clonável e a trava ser inquebrável). Mas eles argumentam que este é um caminho realista. Nós já temos os chips; só precisamos adicionar a camada quântica e o mecanismo de bloqueio.

Em resumo, o artigo diz: "Não podemos fazer um cofre perfeito apenas com matemática pura, mas se construirmos um cofre com uma chave física especial e impossível de copiar, podemos fazer um que seja seguro o suficiente para o mundo real". É uma mudança de "confiar na matemática" para "confiar na física", oferecendo uma rota concreta para comunicações seguras em um mundo onde todos suspeitam de todos os outros.

PROBLEMA

O compromisso de bit (bit commitment) é um primitivo criptográfico fundamental, essencial para tarefas como o lançamento de moeda (coin flipping), provas de conhecimento zero e computação multipartidária segura. No entanto, o teorema da impossibilidade de Mayers–Lo–Chau estabelece que o compromisso de bit quântico incondicionalmente seguro é impossível em um modelo padrão de duas partes não-relativístico. Qualquer protocolo que seja suficientemente ocultável (hiding) inevitavelmente admite uma estratégia coerente para o comitente (Alice) baseada em purificação e medição retardada, quebrando assim a propriedade de vinculação (binding).

Abordagens existentes para contornar este teorema de impossibilidade baseiam-se tipicamente em:

Noções de segurança mais fracas (ex: sensibilidade à trapaça/cheat sensitivity).
Suposições computacionais (ex: permutações de via única quânticas).
Restrições relativísticas (ex: não-comunicação entre agentes separados).
Limitações de armazenamento do adversário (ex: modelos de armazenamento quântico limitado ou de armazenamento ruidoso).

Os autores identificam uma lacuna: suposições de hardware físico têm sido usadas com sucesso para autenticação e geração de chaves contra adversários externos, mas não foram efetivamente adaptadas para a criptografia de duas partes com desconfiança mútua (onde ambas as partes podem ser maliciosas). Uma tentativa direta de usar um token de hardware para compromisso de bit falha porque uma parte maliciosa poderia simplesmente substituir o hardware prescrito por um dispositivo semelhante ou atrasar sua escolha do bit comprometido até a fase de abertura. O desafio central é projetar um protocolo que force o comitente a usar o comportamento genuíno do hardware, mantendo o bit comprometido oculto do receptor.

METODOLOGIA

Os autores propõem um protocolo construtivo baseado em Funções Não Clonáveis Físicas Híbridas Bloqueadas (HLPUFs). Uma HLPUF é um primitivo de hardware que combina uma cPUF (clássica) com uma camada de comunicação quântica.

1. O Primitivo de Hardware (HLPUF Assimétrica):
O protocolo utiliza uma variante assimétrica da HLPUF introduzida em trabalhos anteriores [22]. A resposta clássica $f(x)$ da cPUF subjacente é dividida em duas partes:

$f_1(x)$ (Verificador): Uma string mais curta usada para verificação.
$f_2(x)$ (Payload): Uma string mais longa codificada em estados quânticos.

O dispositivo opera em dois modos:

Modo Desbloqueado (Configuração): Alice consulta o dispositivo para construir um banco de dados de pares desafio-resposta.
Modo Bloqueado (Execução): O dispositivo está "bloqueado". Ele aceita um desafio $x$ e um estado quântico $|\psi\rangle$ . Ele verifica se $|\psi\rangle$ corresponde ao estado esperado derivado de $f_1(x)$ . Se for válido, ele produz o estado quântico correspondente a $f_2(x)$ ; caso contrário, aborta. Crucialmente, uma vez bloqueado, o dispositivo não pode ser desbloqueado ou consultado classicamente para $f_2(x)$ .

2. O Design do Protocolo:
O protocolo introduz uma assimetria deliberada para evitar comportamentos desonestos:

Geração de Par de Desafios: Para um desafio escolhido $x_0$ , o protocolo utiliza um algoritmo específico (Algoritmo 1) para gerar um desafio alternativo $x_1$ . Esses desafios são construídos de tal forma que diferem em um conjunto específico de índices $J$ (tamanho $\ell_{min}$ ), garantindo que os bits de base da codificação BB84 difiram significativamente enquanto os bits de valor permanecem equilibrados.
Compromisso: Alice compromete-se com um bit $b \in \{0, 1\}$ $b \in {0, 1}$ preparando um estado quântico $\rho_b$ $ρ_{b}$ . Este estado codifica a substring de payload $f_2(x_0)_J$ $f_{2} (x_{0})_{J}$ (os bits de resposta nos índices $J$ $J$ ).
- Se $b=0$ , o estado é codificado na base definida por $x_0$ ( $\beta(x_0)$ ).
- Se $b=1$ , o estado é codificado na base definida por $x_1$ ( $\beta(x_1)$ ).
- Alice envia o par $(x_0, x_1)$ e a ordenação $J$ para Bob, juntamente com o estado quântico $\rho_b$ .
Abertura: Alice revela $b$ , $x_0$ e as respostas clássicas completas $f_1(x_0)$ e $f_2(x_0)$ .
Verificação: Bob utiliza a HLPUF bloqueada para verificar a autenticidade da resposta. Ele prepara um estado verificador baseado em $f_1(x_0)$ e consulta o dispositivo. Se o dispositivo aceitar, Bob mede o estado armazenado na base correspondente ao bit revelado $b$ e verifica a consistência com $f_2(x_0)_J$ .

3. Mecanismos de Segurança:

Ocultação (Hiding): Baseia-se na infalsificabilidade da HLPUF. Sem a capacidade de falsificar um estado verificador válido, Bob não pode extrair informações sobre $f_2(x_0)$ antes da revelação. O protocolo garante que os dois possíveis estados de compromisso sejam estatisticamente indistinguíveis porque os bits de payload são uniformemente distribuídos e os padrões de base são equilibrados.
Vinculação (Binding): Baseia-se no mecanismo de bloqueio e no limite da norma do operador. Uma Alice desonesta não pode preparar um estado emaranhado que permita abrir para 0 e 1 com alta probabilidade, pois a etapa de verificação exige uma resposta clássica específica $f_1(x_0)$ que é difícil de falsificar. A prova de vinculação reduz qualquer estratégia desonesta a um limite de norma do operador sobre a soma dos projetores de aceitação, mostrando que a probabilidade de abrir ambos os bits com sucesso é limitada por uma função negligenciável.

PRINCIPAIS CONTRIBUIÇÕES

Primeiro Compromisso de Bit Quântico Estatisticamente Seguro: O artigo apresenta o primeiro protocolo de compromisso de bit que alcança tanto ocultação quanto vinculação estatística sob suposições de hardware híbrido (especificamente HLPUFs) sem depender de dureza computacional ou restrições relativísticas.
Novo Uso de Hardware: Os autores demonstram como usar tokens de hardware em um cenário de desconfiança mútua. Eles superam o problema do "dispositivo semelhante" estruturando o protocolo de modo que o estado de compromisso esteja estatisticamente vinculado ao comportamento de desafio-resposta do hardware genuíno, tornando impossível para uma parte maliciosa substituir o token sem detecção.
Construção de HLPUF Assimétrica: A introdução de uma divisão assimétrica na resposta da PUF (Verificador vs. Payload) e um algoritmo específico de geração de pares de desafios (Algoritmo 1) que garante distribuições de estados BB84 equilibradas.
Primeiro Lançamento de Moeda Baseado em Hardware: Ao aplicar a transformação padrão ao seu esquema de compromisso de bit, os autores constroem o primeiro protocolo forte de lançamento de moeda quântica baseado em suposições de hardware híbrido.
Técnicas de Prova: O artigo desenvolve novas técnicas de prova, incluindo um argumento de "simetria de ensemble intrínseca" para ocultação e uma redução de norma do operador para vinculação, que separam as limitações quânticas intrínsecas dos parâmetros de hardware.

RESULTADOS

Corretude: O protocolo é correto; partes honestas sempre obtêm sucesso com probabilidade 1.
Ocultação (Hiding): O protocolo é $\epsilon_{hide}$ -ocultável, onde $\epsilon_{hide} \le \epsilon_{forge}$ (o parâmetro de infalsificabilidade da HLPUF). Se a HLPUF for exponencialmente infalsificável, a ocultação é perfeita (estatisticamente indistinguível).
Vinculação (Binding): O protocolo é $\epsilon_{bind}$ -vinculante. A probabilidade de uma Alice desonesta conseguir abrir ambos os bits com sucesso é limitada por:
$p_0 + p_1 \le 1 + 2^{-\frac{\ell_{min} - 2s}{4}}$
onde $s$ é o comprimento da string verificadora e $\ell_{min}$ é o comprimento da substring de payload. Este limite é negligenciável para escolhas apropriadas de parâmetros.
Viés de Lançamento de Moeda (Coin Flipping Bias): O protocolo de lançamento de moeda resultante tem um viés de no máximo $\delta_{CF} \le \frac{1}{2} \max\{\epsilon_{hide}, \epsilon_{bind}\}$ .

SIGNIFICÂNCIA E ALEGAÇÕES

Os autores alegam que seu trabalho estabelece um novo paradigma para a criptografia de duas partes segura em redes quânticas. Ao combinar garantias de segurança rigorosas com componentes de hardware concretos e prontos para uso (PUFs) e comunicação quântica viável, eles oferecem uma rota prática para implementar primitivos criptográficos fundamentais que são de outra forma impossíveis no cenário quântico puro.

O artigo enfatiza que esta abordagem não requer suposições sobre a memória quântica de um adversário (ao contrário dos modelos de armazenamento limitado), permitindo segurança indefinida. Em vez disso, a segurança baseia-se na não clonabilidade física e na resistência à violação do token de hardware. Os autores posicionam isso como uma alternativa construtiva aos resultados existenciais, fornecendo um design específico que preenche a lacuna entre a criptografia quântica teórica e a implementação prática.

Os autores mantêm-se modestos quanto ao trabalho futuro, observando que a implementação à prova de violação do dispositivo é uma questão de engenharia aberta e que uma análise de segurança totalmente composível é deixada para estudos futuros. Eles também sugerem que o protocolo poderia ser adaptado para cenários sem memória quântica (permitindo a medição precoce), embora isso enfraqueceria os parâmetros de segurança.