⚛️ quantum physics

On the Impossibility of Simulation Security for Quantum Functional Encryption

本文通过证明经典不可能结果可延伸至量子领域，即证明了对于无界挑战消息存在无条件障碍，以及在更弱的假设（如伪随机量子态或针对有界密钥场景的公钥加密）下存在不可能实现性，从而确立了实现模拟安全量子功能加密的不可能性。

原作者： Mohammed Barhoush, Arthur Mehta, Anne Müller, Louis Salvail

发布于 2026-01-27

📖 1 分钟阅读🧠 深度阅读

原作者： Mohammed Barhoush, Arthur Mehta, Anne Müller, Louis Salvail

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是关于论文《论量子函数加密中模拟安全性的不可实现性》（On the Impossibility of Simulation Security for Quantum Functional Encryption）的解释，通过简单的概念和日常类比进行了拆解。

大局观：什么是函数加密（Functional Encryption）？

想象你有一个锁着的保险箱（加密），里面藏着一座巨大的图书馆。

传统加密： 你要么拥有打开整个保险箱并阅读所有书籍的总钥匙，要么完全没有钥匙且无法阅读任何内容。这是一种“全或无”的交易。
函数加密 (FE)： 这是一种更智能的系统。你给特定的人一个特殊的“魔法透镜”（函数密钥）。如果他们透过这个透镜观察锁着的保险箱，他们只能看到书籍中某个特定数学问题的结果（例如：“平均单词数是多少？”）。他们无法看到实际的文字、书名或任何其他数据。他们只能得到他们所提问题的答案。

目标：“模拟安全性”（Simulation Security）

在密码学中，我们希望证明这个系统是完美安全的。衡量这一标准的金标准被称为模拟安全性。

把它想象成一个魔术表演。

现实世界： 魔术师（加密者）锁上书籍，助手（密钥持有者）使用透镜获取答案。
模拟世界： 第二位魔术师（模拟器）试图在从未见过书籍的情况下，创造出这个魔术的伪造版本。他们只知道被问到的问题以及给出的答案。

如果观众（攻击者）无法分辨现实世界与模拟世界之间的区别，那么系统就是安全的。这证明了透镜除了揭示特定的答案外，没有泄露关于书籍的任何其他信息。

问题：存在的“不可能”障碍

在经典世界（使用普通计算机和比特）中，研究人员已经证明，你无法构建一个在所有情况下都实现完美“模拟安全”的函数加密系统。如果你让攻击者询问过多的问题或查看过多的锁着的保险箱，这个魔术就会失效。

核心问题是： 这种“不可能”是否仍然适用于量子世界？

量子计算机使用“量子比特（qubits）”，它们可以持有更多信息，并且表现得非常奇特（比如处于两个地方同时存在的状态）。也许量子力学提供了一个漏洞，让我们能够构建一个在经典计算机失败之处实现的完美模拟安全系统？

论文的答案：不，障碍依然存在

该论文的作者表示：不。经典的不可实现性结果在很大程度上延伸到了量子世界。即使拥有量子力学的超能力，你也无法在这些特定场景下构建一个完美的模拟安全函数加密系统。

他们通过三种不同的“陷阱”或论证来证明这一点：

1. “过多消息”陷阱（无条件不可实现性）

场景： 想象一个攻击者，他要求同时查看许多个不同的锁着的保险箱（密文）的结果，然后要求获得一个特殊的透镜（函数密钥）来解码所有这些保险箱。
类比： 想象你有 1,000 个锁着的盒子。你要求一个万能钥匙来打开所有这些盒子。
量子转折： 在量子世界中，也许这个密钥可以是一个微小的、压缩的量子态，它包含了所有 1,000 个盒子的指令？
结果： 作者证明这是不可能的。这就像试图将 1,000 本不同书籍的指令塞进一张微小的便签纸里。即使使用量子压缩，你也无法在不失去随后解码特定书籍的能力的情况下，将如此多的信息挤进一个微小的量子态中。如果模拟器试图在不知道内容的情况下伪造这 1,000 个盒子，它就会失败，因为它稍后生成的“密钥”需要极其庞大才能描述所有的答案。

2. “微小密钥”陷阱（简洁方案）

场景： 这探讨了一个系统，其中“锁着的盒子”（密文）无论数学问题多么复杂，其体积都应该是非常小的。
类比： 想象一个系统，你可以将一部 100 页的小说锁进一个只有邮票大小的微型信封里。
量子转折： 作者使用了伪随机量子态 (PRS) 的概念。这些量子态对于没有秘密密钥的人来说看起来完全是随机的，但实际上是由特定公式生成的。
结果： 他们证明你无法“压缩”这些看似随机的量子态。如果你试图将一个随机量子态缩小到更小的空间（以制作微型密文），你会破坏信息。这就像试图把一张世界地图折叠成一平方英寸的大小；细节会丢失。因此，一个承诺为复杂数学问题提供微型密文的系统，无法实现模拟安全性。

3. “多密钥”陷阱（公钥加密）

场景： 想象一个攻击者看到了一个锁着的盒子，但他被允许请求许多个不同的透镜（函数密钥）来试图弄清楚里面有什么。
类比： 你有一个锁着的盒子。你要求 1,000 个不同的透镜。每个透镜都应该揭示不同的信息。
量子转折： 作者将此与公钥加密 (PKE) 联系起来，这是我们今天保护电子邮件和网站的标准方式。他们表明，如果存在一个完美的量子函数加密系统，它将能够破解标准公钥加密的安全性。
结果： 由于我们相信公钥加密是安全的，这意味着一个完美的量子函数加密系统是不可能存在的。这是一个“反证法”：“如果这个神奇的系统存在，它会破坏互联网的安全性。既然互联网的安全性是真实的，那么这个神奇的系统就是不可能存在的。”

研究结果总结

这篇论文本质上关闭了利用量子力学来拯救函数加密局限性的希望之门。

经典不可实现性： 我们已经知道，如果攻击者询问过多的问题或查看过多的消息，你就无法拥有一个完美的“模拟安全”系统。
量子现实： 作者证明了量子力学并不能解决这个问题。 即使有了量子比特、纠缠和量子密钥，信息论的基本定律仍然阻止了在这些场景下实现完美的模拟安全系统。

他们表明，这种“障碍”不仅是经典计算机的弱点，更是关于信息（甚至是量子信息）如何被压缩和隐藏的一个基本限制。

这意味着什么（以及不意味着什么）

这并不意味着 函数加密是没用的。我们仍然可以构建对于许多现实世界用途而言“足够好”（不可区分安全性）的系统。
这并不意味着 量子加密被破解了。它只是意味着一种特定、极高层级的“完美安全性”定义（模拟安全性）是无法达到的，正如在经典世界中一样。
这确实意味着 寻找量子函数加密“圣杯”的研究人员需要停止尝试实现这种特定类型的完美安全性，因为数学证明了这是不可能的。

技术摘要：论量子函数加密中模拟安全性之不可能实现性

问题陈述
函数加密（Functional Encryption, FE）是一种允许对加密数据进行细粒度访问的密码学原语，持有函数密钥 $fk_F$ 的用户可以从 $m$ 的加密形式中计算出 $F(m)$ ，而不会获知除结果之外的其他任何信息。对于 FE 最强的安全概念是基于模拟的安全（SIM-security），它要求：任何攻击者能从密文和函数密钥中计算出的内容，都可以仅利用函数输出进行模拟。

虽然经典的不可行性结果已经确立了在特定查询模型下（例如，针对单个自适应密钥的多个密文，或针对单个密文的多个非自适应密钥），实现通用多项式电路的 SIM 安全 FE 是无法达到的，但这些证明依赖于本质上的经典论证。一个关键的开放性问题仍然存在：这些经典不可行性是否延伸到了量子领域？ 具体而言，量子资源（量子密文、量子函数密钥或量子公钥）能否克服这些障碍以实现 SIM 安全的量子函数加密（QFE）？

方法论
作者通过将经典的不可行性证明扩展到量子设置来解决这一问题，并对其进行了适配，以处理量子态和量子操作。该方法论包含三个不同的不可行性证明，分别针对 QFE 的不同安全变体：

信息论压缩论证： 作者将 SIM 安全博弈中的模拟器任务重新解释为一个信息压缩问题。他们证明，如果存在 SIM 安全的方案，则意味着存在一种压缩算法，能够将大量信息（消息或状态）压缩进一个较小的量子态（函数密钥或密文）中，同时仍能实现完美的恢复。
量子不可压缩性引理：
- 对于多密文情况，他们利用了关于纠缠辅助通信的结果 [20]，证明 $n$ 个比特无法从少于 $n/2$ 个量子比特中可靠地恢复。
- 对于简洁方案（succinct scheme）情况，他们证明了一个关于伪随机态（Pseudorandom States, PRS）不可压缩性的新引理。他们表明，将 $n$ 量子比特的 PRS 压缩到 $n-k$ 个量子比特会不可逆地丢失几乎所有的结构，其恢复的期望保真度随压缩量呈指数级下降。这是通过利用平均保真度与纠缠保真度之间的关系，结合关于 Haar 随机态测度集中性的 Levy 引理来证明的。
向标准密码学假设的归约：
- 对于多密钥查询情况，他们构建了一个从存在 SIM 安全 QFE 到破解**公钥加密（PKE）**的归约。他们展示了 1-M-NA（单消息、多查询、非自适应）QFE 的模拟器将如何充当多个独立 PKE 密文的信息压缩器，从而违反底层 PKE 方案的安全性。

主要贡献与结果

本文确立了三个主要的 QFE（这立即意味着公钥 QFE 的不可行性）不可行性结果：

M-1-AD SIM 安全 QFE 的无条件不可行性：
- 设置： 攻击者请求对许多消息（ $M$ ）进行加密，随后获得一个针对恒等函数的单个自适应函数密钥（$1$-AD）。
- 结果： 不存在这样的方案。
- 机制： 模拟器必须在不知道消息的情况下生成 $n$ 个密文。在收到恒等密钥后，它必须恢复所有 $n$ 个消息。这要求将 $n$ 个随机消息压缩进一个大小受限于多项式 $p \ll n$ 的函数密钥中。作者证明即使使用量子态这也是不可能的，因为它违反了将经典信息压缩进更小量子态的信息论极限。
简洁 1-1-NA SIM 安全 QFE 的有条件不可行性：
- 设置： 攻击者请求单个消息和一个单个非自适应函数密钥。该方案是简洁的（密文大小与函数大小无关）。
- 假设： 伪随机态（PRS）的存在。
- 结果： 不存在这样的方案。
- 机制： 作者表明，针对 PRS 生成器电路类的简洁 QFE 将允许对 PRS 进行压缩和解压。他们证明了 PRS 是不可压缩的（这一属性在某些语境下强于经典 PRF，因为 PRF $\implies$ PRS，但反向并不成立）。如果存在简洁的 QFE，人们可以通过检查压缩后的状态是否可以被恢复，来区分 PRS 与 Haar 随机态，从而破坏 PRS 假设。
1-M-NA SIM 安全 QFE 的有条件不可行性：
- 设置： 攻击者请求单个密文和许多非自适应函数密钥。
- 假设： 具有经典密钥的公钥加密（PKE）的存在。
- 结果： 不存在这样的方案。
- 机制： 作者构建了一种攻击，其中攻击者利用 QFE 模拟器将 $n$ 个独立的 PKE 密文（加密不同的消息）压缩进单个 QFE 密文中。如果模拟器成功，则允许从单个压缩后的密文和函数密钥中恢复所有 $n$ 个消息。这违反了底层 PKE 方案的安全性。值得注意的是，与基于 PRS 的结果不同，这一结果对于非简洁方案同样成立。

意义与主张

本文声称解决了“量子资源能否绕过经典障碍以实现 SIM 安全 FE”这一核心问题。作者得出结论：经典的不可行性在很大程度上延伸到了量子世界，尽管其证明需要新的技术工具来处理量子态。

细微的差异： 这些结果比经典结果更为微妙。例如，量子环境下 1-M-NA SIM 安全性的不可行性依赖于 PKE 假设（或对于简洁方案依赖于 PRS），而经典结果是无条件的（因为经典 FE 蕴含 PRF）。这突显出虽然障碍依然存在，但证明该障碍所需的特定密码学假设在量子领域有所不同。
假设的独立性： 本文强调所使用的假设（PRS 和 PKE）是不可比较的。已知 PKE 与单向函数（以及 PRS）是分离的，且不存在反向蕴含关系。因此，这两个有条件的不可行性结果为反对存在 SIM 安全 QFE 提供了独立的证据。
证明的新颖性： 作者引入了关于伪随机态的新型不可压缩性属性，并指出这可能具有独立的研究价值。他们还提供了第一个不依赖于方案简洁性的 1-M-NA SIM 安全 QFE 的不可行性证明。
范围： 这些结果适用于通用的电路类。作者承认，对于受限的电路类（例如“原像可采样”电路）或特定的模型（如有限量子存储模型），可能仍然允许实现 SIM 安全，但对于通用的 QFE 而言，实现基于模拟的安全目标似乎是无法达到的。

总而言之，本文证明了信息存在于密文中的程度与函数密钥（或反之）有限大小之间的根本张力在量子设置下依然存在，从而阻碍了实现函数加密的最强安全概念。