想象一下，你生活在一个未来，那里的计算机不仅能发送电子邮件或文件，还能发送量子信息。这些信息就像是脆弱、透明的肥皂泡，承载着信息。问题在于，在量子物理的世界里，你不能仅仅用一个数字印章来“签名”一个气泡以证明发送者身份。如果你试图观察气泡来检查签名，气泡就会破裂或变形，导致签名失效。长期以来，科学家们认为这意味着为量子信息签名是不可能的。

这篇论文说：“慢着，别急！”作者 Mohammed Barhoush 和 Louis Salvail 发现了三种巧妙的方法来为这些量子气泡签名，前提是我们必须接受一些关于时间和记忆的新规则。

以下是他们如何实现的，通过日常类比进行解释：

1. “时间锁”签名（慢速谜题）

问题： 如果你为一个量子信息签名，聪明的黑客可能会尝试复制这个签名，并在稍后用它来签署一条伪造的信息。
解决方案： 作者引入了时间相关签名（Time-Dependent Signatures）。把这想象成将一封信装进一个时间锁谜题中。

运作方式： 当你为一个信息签名时，你把它放进一个需要整整一个小时才能打开的数字保险箱里。“签名”就是这个锁定的保险箱。
代价： 为了验证信息，接收者必须等待一个小时来解开谜题并打开保险箱。等到保险箱打开时，信息的“时间”已经过去了。
为什么能阻止黑客： 一个试图窃取签名并在明天用它来签署新信息的黑客将会失败。到他们解开谜题获取钥匙时，钥匙上的“时间戳”已经过期了，系统会拒绝它。这就像是试图用一张昨天的门票来参加今天的音乐会。

2. “变换密钥”签名（旋转锁）

问题： 时间锁谜题速度太慢，且需要复杂的数学计算。有没有更快的方法？
解决方案： 他们使用了动态验证密钥（Dynamic Verification Keys）。想象一个银行金库，其锁每小时都会更换一次。

运作方式： 银行（签名者）拥有一把主密钥。每小时，他们都会生成一个针对该特定小时的临时密钥，并用它来为信息签名。
公开过程： 在每小时结束时，银行会宣布：“这是下午 2:00 时段的密钥。”
为什么有效： 如果黑客试图伪造 2:00 的签名，他们需要那个特定的密钥。但由于数学难度极高，他们无法猜出密钥。如果他们尝试在 3:00 使用该密钥，它就没用了，因为系统已经切换到了 3:00 的密钥。旧密钥已经“过期”了。这使得基于非常标准的、简单的数学假设进行签名成为可能，而无需使用缓慢的时间锁谜题。

3. “内存受限”签名（短期记忆）

问题： 如果我们根本不想依赖时间怎么办？
解决方案： 他们研究了一个黑客拥有有限量子内存的世界。想象一个黑客可以把量子态保存在脑海中，但只能维持一瞬间，随后就会消散。

运作方式： 作者创建了一个系统，其中的“签名”是一个复杂的量子程序。要伪造签名，黑客需要同时在内存中持有大量的量子信息才能进行复制。
结果： 如果黑客的内存太小（这在目前物理上很难实现），他们根本无法持有足够的签名信息来进行伪造。这就像是试图通过背诵整个图书馆的书籍来写一本假书；如果你的大脑一次只能记住一页，你就无法伪造整个图书馆。这种方法是“无条件安全”的，意味着它是基于物理定律而非仅仅基于数学逻辑的安全。

我们可以用它做什么？

这篇论文展示了这些新的签名方法可以解锁两大应用：

量子货币：
想象一种数字美元，它是一个量子气泡。在过去，制作“公钥”量子货币（即任何人都可以验证而无需询问银行）被认为是无法实现的。
- 解决方法： 通过使用“时间相关”签名，银行可以发行会过期的货币。你可以消费它，系统会检查时间。如果你尝试复制这笔钱并进行双重消费，时间检查将会揭露欺诈行为。这创造了第一个基于标准假设的“公钥量子货币”。
安全的量子密钥：
在未来的“量子互联网”中，人们需要共享密钥来加密他们的信息。通常，你需要信任发送密钥的人。
- 解决方法： 作者展示了如何使用他们的新方法来为这些量子密钥“签名”。这样，即使黑客试图用假密钥替换原有的密钥，接收者也可以通过检查带有时间戳的签名，从而确认：“这个密钥是真实的，且未被篡改。”

总结

多年来，科学家们一直认为如果不使用预共享密钥或可信第三方，就无法为量子信息签名。这篇论文打破了这一障碍。通过利用时间（等待谜题解开或密钥过期）或内存限制（迫使黑客持有过量数据），作者创造了第一种可以让任何人进行验证的量子信息签名方式。这是迈向安全、未来量子互联网的重要一步。

技术摘要：如何对量子消息进行签名

1. 问题陈述

在未来的量子互联网中，安全传输量子数据需要加密和认证机制。虽然在标准假设下已经实现了量子加密，但对量子消息进行签名长期以来被认为是不可能的，即使在计算假设下也是如此。先前的不可行性结果（例如 Barnum 等人、Alagic 等人）表明，任何能够从签名中推导出量子消息的验证算法，都可以被反转，从而为不同的消息伪造签名。

因此，密码学界一直依赖于签名加密（signcryption），这是一种结合了加密与签名的原语。然而，签名加密缺乏公开可验证性；只有持有私钥解密密钥的预期接收者才能验证其真实性。这种局限性阻碍了量子系统中公钥基础设施（PKI）的建立，因为在 PKI 中，必须在没有预共享秘密的情况下对公钥进行身份验证。此外，由于无法对量子态进行签名，实现公钥量子货币这一目标一直难以达成，该目标在标准计算假设下往往需要使用强力且可能不安全的假设，如不可区分混淆（indistinguishability obfuscation）。

本研究通过引入时间依赖性和有界量子存储作为规避标准签名方案中固有反转攻击的资源，挑战了“对量子消息进行签名是不可能”的观点。

2. 方法论与核心概念

作者提出了三种不同的方法来对量子消息进行签名，利用两个主要的约束条件来防止伪造：时间和量子存储器。

A. 时间依赖型（TD）签名

核心创新是引入了时间依赖型（TD）签名，其中签名和验证算法取决于当前时间 $t$ 。其核心洞察在于，如果将时间作为一个因素，那么执行“反转攻击”（即通过反转验证过程来伪造签名）所需的资源将变得极其高昂。

机制： 签名仅在相对于其创建的特定时间窗口内验证才有效。如果攻击者试图通过反转验证过程来伪造新签名，那么解决底层密码学难题所需的时间将使得生成的伪造签名变得过时。
假设： 这些构造依赖于后量子单向函数（pq-OWFs），并在某些情况下依赖于时间锁谜题（TLPs）。TLPs 确保消息（或密钥）在特定的持续时间 $t$ 内保持隐藏，但在该时间过后不久即可解密。

B. 动态验证密钥（TD-DVK）

为了消除对 TLPs 的依赖，作者引入了带有动态验证密钥的 TD 签名（TD-DVK）。

机制： 验证密钥随时间演进。使用私钥为特定时间间隔生成临时签名密钥。特定间隔的验证密钥在间隔结束后才公布。
安全性： 攻击者无法伪造过去间隔的签名，因为他们无法预测签名密钥（由 pq-PRFs 保障）；他们也无法伪造未来间隔的签名，因为当前间隔的验证密钥尚未公布，且未来间隔的签名密钥也是未知的。这创造了一种“消失”的安全特性，即签名会过期。

C. 有界量子存储模型（BQSM）

第二种主要方法是在有界量子存储模型下运行，在该模型中，攻击者的量子存储器（ $s$ 个量子比特）受到限制。

机制： 该方法利用了**一次性程序（one-time programs）和程序广播（program broadcast）**原语。公钥是一个大型量子态（程序广播），用户由于存储限制只能部分存储。
安全性： 签名涉及一次性程序，这些程序仅在针对源自用户存储子密钥的特定输入进行评估时，才会揭示用于验证的信息。拥有有限内存的攻击者无法存储足够的信息来伪造签名或篡改现有签名，因为他们无法在验证过程中维持必要的纠缠或状态。

3. 主要贡献与结果

1. 时间依赖型签名（两种构造）

构造 1（基于 TLP）： 一种假设 pq-OWFs 和 TLPs 的 TD 签名方案。签名由加密的量子消息和一个包含解密密钥和时间戳的 TLP 组成。验证需要求解 TLP，这需要时间 $t$ 。当密钥被揭示时，签名已经超时。
构造 2（TD-DVK）： 一种仅基于 pq-OWFs 的 TD 签名方案。它使用一种对称认证加密方案，其密钥仅在签名间隔结束后才被揭示。该构造实现了**量子不可伪造性（QUF）和消失（disappearing）**特性（即使之前观察到了签名，也无法为过去的记录重用或伪造签名）。

2. BQSM 中的签名

构造 3： 一种在 BQSM 下对量子消息进行信息论安全签名的方案。
特点： 它解决了以往 BQSM 研究中的三个局限性：它对量子（而非仅限经典）消息进行签名；它对于拥有不受限签名预言机的攻击者也是安全的（不同于以往的工作）；并且包含了认证量子公钥。
机制： 公钥是一个线性函数的程序广播。签名使用两个相互依赖的一次性程序来认证消息和密钥，防止攻击者在不知道私钥的情况下修改签名，因为由于内存限制，攻击者无法完全重建该私钥。

3. 应用

作者展示了 TD 签名如何实现几种此前困难或不可能实现的密码学原语：

认证量子公钥（QPKE）：
- 构造 4（混合态）： 一种使用 TD-DVK 签名来认证混合态量子公钥的 QPKE 方案。它基于 pq-OWFs 实现了 IND-qCKCA2 安全性（在自适应选择量子密钥和密文攻击下的不可区分性）。
- 构造 5（纯态）： 一种使用一次性 TD-DVK 签名来认证纯态密钥的 QPKE 方案。该方案基于**伪随机函数状态（PRFS）**实现了 IND-CKPA 安全性，这是一种比 pq-OWFs 更弱的假设。它解决了先前 QPKE 工作中关于解密错误和假设强度的开放问题。
公钥量子货币：
- 半在线方案（TD-DVK）： 一种基于 pq-OWFs 的公钥量子货币方案。钞票是经过多层一次性 QAE 加密的量子态；验证密钥定期公布，允许用户验证钞票。在所有密钥揭示后，钞票会过期。
- 离线方案（TD + TLP）： 一种基于 pq-OWFs 和 TLPs 的完全离线公钥量子货币方案。密钥被编码在 TLPs 中，允许用户仅在特定时间推导密钥，而无需与银行交互。这是第一个从标准计算假设（pq-OWFs）构建的公钥量子货币方案。

4. 重要性与主张

本文声称是第一项在不使用签名加密的情况下对量子消息进行签名的工作，从而实现了量子数据的公开可验证性。

克服不可行性： 本研究通过展示当验证过程受时间或内存约束时，对量子信息进行签名是可行的，从而挑战了已建立的不可行性结论。
标准假设： 它提供了首个基于标准计算假设（pq-OWFs）的公钥量子货币和认证量子公钥构造，避免了使用不可区分混淆或其他复杂且可能不安全的假设。
时间的实用性： 作者认为，时间作为一种同步形式，在实践中易于实现，为构建基础密码学原语提供了一个强大的工具。
安全性水平： BQSM 构造提供信息论安全性，而 TD 构造则提供基于成熟后量子假设的计算安全性。

作者承认存在局限性，例如签名的失效以及需要时间同步或动态密钥公布。然而，他们认为为了实现公开可验证、抗篡改的量子密码系统，这些是合理的权衡。这项工作为研究时间依赖模型以及将有界存储模型应用于其他密码学原语开辟了新的途径。