⚛️ quantum physics

Verifier-initiated quantum message-authentication via quantum zero-knowledge proofs

本文介绍了验证者发起型量子数字签名（VIQDS），这是一种利用量子零知识证明来实现按需、无计算假设的信息论安全消息认证的方案，从而与传统的签名者发起型方法相比，降低了通信和存储开销。

原作者： Wusheng Wang, Masahito Hayashi

发布于 2026-09-23

📖 1 分钟阅读🧠 深度阅读

原作者： Wusheng Wang, Masahito Hayashi

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在数字时代，签名不仅仅是墨水留下的痕迹；它是一个密码学承诺，保证了一条消息是真实的且未被篡改。几十年来，这一承诺一直依赖于复杂的数学难题，这些难题对计算机来说难以求解，但易于验证。然而，随着量子计算机的出现，这些数学锁正变得脆弱，威胁着从银行转账到政府记录等一切领域的安全。这促使科学家们寻找一种新的安全机制，其基础不再是困难的数学，而是基本的物理定律。在量子世界中，测量粒子的行为不可避免地会改变它，这一特性可以被用来检测窃听者或伪造者。然而，一个重大的障碍仍然存在，即这些量子签名如何进行分发。大多数现有的方法要求签名者预先准备并发送身份验证材料，即使从未有人检查过该签名。这造成了大量未使用的、低效的数据积压，就像为一场可能永远不会发生的音乐会印制了数千张门票一样。

一组研究人员现在提出了一个颠覆这一过程的解决方案，引入了一种由验证者根据需要才请求签名的系统。这种被称为“验证者发起型量子数字签名”的方法消除了预先分发数据的浪费，并与现实世界的运行方式保持一致，因为在现实中，验证往往是零星发生的。研究人员将他们的协议建立在量子零知识证明的基础之上，这是一种允许一方在不泄露秘密本身的情况下证明其掌握秘密的技术。通过将此技术与一种新的建模攻击者行为的方式相结合——具体而言，是针对那些试图在假装诚实的同时获取秘密的攻击者——他们创建了一个既能防止伪造又能防止信息窃取的系统。他们的工作表明，这种新方法不仅在理论上是可能的，而且可以使用当前的技术来实现，例如目前量子实验室中已有的基于光子或陷阱离子系统。

其核心创新在于转变了身份验证过程的控制权。在传统的量子签名方案中，签名者就像是一个广播者，不断地发送密钥和签名，以应对未来的检查。对于那些消息可能在无人检查前存放数年的大型去中心化网络来说，这种方式是非常低效的。由王武胜（Wusheng Wang）和林真（Masahito Hayashi）开发的这一新协议改变了动态，使得验证者（即检查消息的人）成为发起者。当验证者需要确认一条消息时，他们会向签名者发送一个特定的量子挑战。随后，签名者根据该特定挑战生成签名并将其发回。一旦签名发出，验证即可瞬间完成，无需进一步交互。这种按需工作的流程意味着没有任何身份验证材料被浪费，且系统具有良好的扩展性，使其适用于区块链网络或分布式服务等高吞吐量环境。

为了确保该系统的安全性，研究人员必须解决一个微妙但至关重要的威胁：好奇的验证者。在许多安全模型中，攻击者要么是完全诚实的，要么是完全恶意的。然而在现实世界中，对手可能会在表面上表现得完全正常，却在暗中试图通过侧信道或精密的测量来提取签名者的私钥。研究人员定义了一种新型攻击者，称之为“似是而非”（specious）的对手。这类对手是那种其行为与诚实用户无法区分，但试图通过侧信道或仔细测量来获取秘密的验证者。所提出的协议旨在抵御这种特定行为。它保证了即使验证者试图通过巧妙手段在不违反规则的情况下提取信息，他们也无法得知关于签名者私钥的任何信息，除了该签名有效这一事实之外。这种保护是通过量子零知识技术实现的，该技术确保了交互过程不会泄露额外的信息。

该系统的安全性并不依赖于某些数学问题难以求解的假设（这是经典密码学中的常见做法，而量子计算机最终可能会破解这些问题）。相反，它的安全性是信息论层面的，这意味着它是由物理定律保证的。研究人员证明，无论攻击者的计算能力如何，都无法伪造签名或获取秘密密钥。他们通过利用量子态的独特属性实现了这一点，特别是测量量子系统会扰动系统的特性。如果攻击者试图猜测秘密密钥或伪造签名，他们会引入系统可以检测到的误差。研究人员还表明，通过重复该过程几次，可以使协议变得任意安全，从而在不要求奇异硬件的情况下，呈指数级降低成功的伪造概率。

他们解决方案的一个关键组成部分是将这些量子证明协议转换为可用签名系统的通用方法。他们利用基于离散海森堡群（一个描述特定量子操作如何相互作用的数学结构）的具体实例展示了这一点。这种特定的实现使用了当前技术已经可以实现的简单操作，例如生成随机数、应用特定的量子比特旋转以及测量。研究人员表明，该协议可以在光子系统（使用光粒子）或陷阱离子平台（使用带电原子）上运行。这些正是目前用于构建量子计算机的系统类型，这意味着该技术已具备实际部署的条件。该协议对于每次验证仅需要一份量子公钥，这一特性对于安全性至关重要，因为它防止了攻击者通过制作多个副本来详细研究密钥。

研究人员还考虑到了没有任何物理系统是完美的这一现实。在现实场景中，量子存储器可能无法永久保存数据，测量也可能不是100%准确。他们分析了这些缺陷如何影响系统，并表明该协议即使在存在噪声和损耗的情况下依然保持安全。通过使用一种称为“重复”的技术（即多次执行验证并将结果结合起来），系统可以在保持高水平安全性的同时容忍误差。这种鲁棒性分析为工程师今天构建此类系统提供了清晰的路径，让他们确切知道系统在需要调整之前可以承受多少误差。

这项工作代表了量子密码学实际应用的重要一步。通过从过去低效的签名者发起模式转向验证者驱动的、按需调用的模式，研究人员创建了一个既更高效又更安全的系统。无需预先分发大量数据即可验证消息的能力，解决了量子安全网络发展中的一个主要瓶颈。研究结果表明，我们正趋向于一个数字签名不仅能抵御未来计算机，而且其效率足以应对未来复杂高速网络的未来。该协议对基本物理原理而非数学假设的依赖，提供了一种长期的安全保障，即使随着我们对计算理解的演进，这种保障依然有效。

技术摘要：基于量子零知识证明的验证者发起式量子消息认证

问题陈述
现有的量子数字签名（QDS）和消息认证方案主要遵循签名者发起模型。在这种范式下，签名者必须在请求验证之前，主动分发认证材料（公钥或签名）。这种方法会带来不可避免的通信和存储开销，特别是在可扩展、去中心化或间歇性验证场景（如分布式服务、审计导向的基础设施和区块链系统）中，这些场景下的验证是按需进行的。此外，目前的量子零知识证明（QZKP）框架通常依赖于易受量子攻击者影响的计算硬度假设，或者未能对现实中的对抗行为进行建模，例如表现得诚实但试图提取秘密信息的“伪装型”（specious）验证者。目前在文献中，缺乏一个完全明确的、信息论安全的、验证者发起式量子数字签名（VIQDS）协议，且该协议不依赖于计算假设。

方法论
作者提出了一个通过利用**量子零知识证明（QZKP）**来确保隐私和安全性的框架，将认证的启动权从签名者转移到了验证者。

验证者发起式量子数字签名 (VIQDS)：
- 该协议涉及一个签名者（Alice）和 $N$ 个参与者，其中之一充当验证者（Bob）。
- 密钥生成： Alice 生成一个私钥（$sk $），并准备$ N $个相同的量子公钥状态（$ pk$），将其中一个分发给每个参与者。
- 预签名（挑战）： 当 Bob 需要验证一条消息 $m$ 时，他通过向 Alice 发送一个量子挑战（ $\tilde{\rho}$ ）来启动过程。
- 签名（响应）： Alice 使用她的私钥和挑战生成签名（$sgn $），并将$ (sgn, m)$ 发送给 Bob。
- 验证： Bob 通过非交互式二元 POVM 使用 $pk $、$ m $和$ sgn$ 来验证签名。
- 单副本机制： 该协议在严格的“单副本”假设下运行，即公钥是在验证时被消耗掉的一个单一量子态。这防止了验证者通过执行全态层析成像（full state tomography）来识别密钥，而这在经典的多副本设置中是一个漏洞。
对抗建模与安全定义：
- 论文引入了伪装参与者（包括量子和经典形式）。一个伪装型验证者在与签名者的交互中，对于签名者的状态（量子或经典存储器）而言，其行为与诚实验证者是不可区分的，但其可能在暗中尝试提取私钥。
- 安全性针对不诚实证明者（伪造者）和伪装型验证者进行定义。该协议旨在实现无需计算硬度假设的信息论不可伪造性和零知识特性。
通用编译器与级联：
- 作者建立了一个通用编译器，可以将任何满足特定零知识属性的适用的量子交互式证明（QIP）转换为 VIQDS 协议。
- 他们引入了一种级联方法（ $V^{\otimes l}$ ）来增强可靠性（soundness）。通过级联 $l$ 个独立的协议实例，可以将伪造概率降低至指数级（ $\beta^l$ ），同时保持完备性（completeness）。
具体实现：
- 使用有限域 $\mathbb{F}_p$ 上的离散海森堡群（discrete Heisenberg group）构建了一个特定的 QZKP 协议。
- 该协议利用观测算符（ $X(s)$ 和 $Z(t)$ 算符）的特征结构。见证（witness）是特定算符的特征态，而挑战涉及随机位移。
- 基础协议实现了完美完备性（ $\alpha=1$ ）和可靠性 $\beta = 1/p$ 。通过设置 $p=2$ （量子比特）并进行 $l$ 次级联，系统可实现可靠性 $\beta = 2^{-l}$ 。
- 该协议仅需基础操作：随机数生成、广义 $Z$ 门应用、单次测量和经典比较，这使得其在当前的物理光子或离子阱平台上具有可行性。

核心贡献

概念创新： 引入了 VIQDS 范式，实现了按需认证，即验证者仅在需要时请求签名，从而消除了预分发开销。
安全框架： 通过显式考虑伪装型对抗者（维持诚实记录但试图获取秘密的验证者）来完善 QZKP 框架。论文证明了所提协议对于此类对抗者也是零知识的。
通用编译器： 提供了一种系统化的方法，将任何满足特定完备性、可靠性和零知识属性的 QZKP 转换为 VIQDS 协议。
信息论安全： 所提出的方案提供了针对伪造的无条件安全性以及针对好奇验证者的隐私保护，其依据仅为量子力学定律而非未经验证的计算假设。
实验可行性： 论证了该协议可以使用现有的量子比特技术（光子或离子阱）实现，无需奇异硬件，仅利用标准的 $\sigma_z$ 、 $\sigma_x$ 和 $\sigma_y$ 测量等操作。

结果

理论保证： 论文证明，如果底层的 VIS（验证者发起式 $\Sigma$ -like）协议是具有参数 $(\alpha, \beta)$ 的 QZKP，则生成的 VIQDS 协议将继承 $\alpha$ -完备性和针对伪装参与者的 $\epsilon$ -信息论不可伪造性（其中 $\epsilon = \beta$ ）。
可扩展性： 通过级联，可以通过增加级联实例的数量 $l$ ，使伪造概率呈指数级减小（ $\epsilon = 1/d = 1/2^l$ ），而无需改变基本的交互模式。
鲁棒性分析： 作者针对非理想条件进行了鲁棒性分析，包括有限相干存储器、操作缺陷和检测损耗。他们推导出了足够的实现阈值（例如，存储器停留时间、门误差预算），以在现实的噪声模型下维持安全保证。
具体协议： 基于海森堡的特定协议在单次实例中实现了完美完备性和可靠性 $1/p$ ，在 $l$ 次级联后实现 $1/p^l$ 的可靠性，并且对于经典伪装型验证者具有零知识性（这在单副本设置下意味着对量子伪装型验证者也具有零知识性）。

意义
本文声称弥合了理论量子安全与实际、可扩展部署之间的鸿沟。通过脱离签名者发起模型，它解决了高吞吐量和去中心化环境中预分发的低效问题。对信息论安全而非计算硬度的依赖，确保了面对未来密码分析突破（包括来自量子计算机的突破）时的长期稳健性。这项工作为未来的量子基础设施提供了一个基础原语，提供了一种安全、可扩展且硬件兼容的方法，用于实现受保护的签名者隐私的按需消息认证，即使面对微妙的理性对抗者也是如此。

技术摘要：基于量子零知识证明的验证者发起式量子消息认证

类似论文