技术摘要：单次执行中具有任意损失容忍度的量子位置验证

1. 问题陈述

量子位置验证（QPV）旨在利用相对论性信号约束和量子信息来认证不可信证明者的空间位置。虽然无克隆定理阻止了经典的复制攻击，但面对共享任意大纠缠的对手时，无条件安全性是不可能的。因此，研究重点转向了有界纠缠（BE）模型，其中对手共享有限数量的纠받纠缠量子比特。

QPV 的一个关键实际障碍是光子损耗。在光纤中，传输损耗随距离呈指数级增加。标准的 QPV 协议（例如 $QPV_{BB84}$、$QPV^f_{BB84}$ 以及并行的 $QPV^{f:n\to m}_{BB84}$）均假设理想传输。这一假设产生了一个根本性的漏洞：对手可以拦截量子比特，在随机基矢下进行测量，并且仅在基矢猜测正确时才报告结果，否则声明“丢失”。这种策略在传输率低于 50% 时会破坏安全性。

以往的工作分别针对损耗和纠缠，或在串行设置中同时处理两者。具体而言，[ABB+23] 引入了一种基于承诺的修改方案（$c-QPV^f_{BB84}$），该方案通过要求证明者在获知测量基矢之前先对接收到的量子比特进行承诺，从而实现了对任意损耗的容忍。然而，这种技术依赖于协议的串行结构，即通过重复轮次允许验证者检测不一致的承诺。这些技术无法扩展到**单次执行（并行）**协议，而后者在实际应用和作为更大加密方案的子程序时更具优势。现有的单次执行协议要么缺乏损耗容忍度，要么需要以光速进行的量子通信，这限制了其适用性。

2. 方法论

作者提出了对并行、单次执行协议 $QPV^{f:n\to m}_{BB84}$ 的基于承诺的修改方案，记作 $c-QPV^{f:n\to m}_{BB84}$。

协议结构

该协议涉及两个验证者（$V_0, V_1$）和一个证明者（$P$）：

1. 准备阶段： 验证者生成经典输入 $x, y \in \{0,1\}^n$ 以及基于函数 $z = f(x,y)$ 的量子态（BB84 量子比特）。
2. 分发阶段： 量子态被发送至 $P$，随后是经过定时处理的经典字符串 $x$ 和 $y$，以确保它们同时到达声称的位置。
3. 承诺阶段（新增步骤）： 在接收到量子系统但尚未获知 $x$ 和 $y$ 之前，证明者广播一个承诺字符串 $c \in \{0,1\}^m$，指示哪些量子比特被成功接收（$c_i=1$）以及哪些已丢失（$c_i=0$）。
4. 验证条件： 协议仅在承诺的量子比特数量 $|c| \geq k$（其中 $k$ 是预定义的阈值）时继续进行。
5. 测量阶段： 一旦 $x$ 和 $y$ 到达，$P$ 计算 $z = f(x,y)$，并仅在由 $z_C$ 指定的基矢下测量属于承诺集合 $C = \{i \mid c_i=1\}$ 的量子比特。
6. 验证阶段： 如果报告的结果在误差范围 $\gamma$ 内与预期值匹配，则验证者接受。

安全性分析技术

安全性证明解决了单次执行只能提供一个承诺字符串的问题，这与串行重复不同，无法通过多轮检测不一致性。作者采用了以下技术：

• 无信号约束： 分析利用了对手（Alice 和 Bob）在空间上分离的事实。他们的联合承诺分布必须满足无信号条件；具体而言，Alice 的承诺不能依赖于 Bob 的输入 $y$，反之亦然。
• 接受概率分解： 作者将总接受概率分解为对所有可能承诺字符串 $c$ 的求和。他们通过将固定 $c$ 下的条件接受概率 $Pr[\text{accept } w_C \mid c]$ 与原 $QPV^{f:n\to m}_{BB84}$ 协议在子集 $C$ 上的安全性联系起来，从而对其进行界定。
• 指数衰减： 通过结合无信号约束与原协议中指数衰减的可靠性（由参数 $\lambda_\gamma$ 控制），他们推导出了一个随阈值 $k$ 指数衰减的全局界限。
• 精细化串行分析： 作者还重新审视了 [ABB+23] 中的串行协议。他们用固定的轮数 $m$ 和固定阈值 $k$ 取代了随机停止时间（等待多项式次数的成功轮次）。这使得能够直接对接受概率进行界定，而不依赖于关于不一致承诺的“或者/或者”陈述。

3. 核心贡献

1. 首个具有损耗容忍度的单次执行 QPV： 本文提出了 $c-QPV^{f:n\to m}_{BB84}$，这是第一个同时实现以下目标的协议：
   • 在单次执行中具有可忽略的可靠性（soundness）。
   • 针对共享线性量级纠缠（相对于经典输入规模）的对手具有安全性。
   • 无需光速进行的量子通信。
   • 对任意大的传输损耗具有容忍度。
2. 承诺范式的泛化： 本工作成功地利用无信号相关性，将承诺修改从串行设置提升到了并行设置，克服了此前限制该扩展的对串行结构的依赖。
3. 改进的串行参数： 本文通过使用固定参数取代随机停止时间，改进了串行承诺协议的分析。这产生了一个改进的定量界限，其中对抗者的接受概率随阈值 $k$ 指数衰减，且修正项缩放为 $O(k^{-1/3})$（较之前工作的 $O(r^{-1/4})$ 有所改进）。
4. 鲁棒性： 最终协议对每量子比特 3.7% 的噪声水平保持鲁棒，与原底层协议的噪声容忍度相匹配。

4. 结果

主要理论结果（定理 1.1 和定理 4.1）确立了对于合适的函数 $f$，在 BE($O(n)$) 模型下，对手被接受的概率界限为：
$$Pr[\text{accept } c-QPV^{f:n\to m}_{BB84}] \lesssim 2(\lambda_\gamma)^{k/2}$$
其中 $\lambda_\gamma = 2^{h(\gamma)}(\frac{1}{2} + \frac{1}{2}\sqrt{2})$，且 $h(\cdot)$ 为二元熵函数。

• 损耗容忍度： 安全性取决于 $k$（成功接收的量子比特数），而非总传输量子数 $m$。因此，只要最终接收到的量子比特足以达到阈值 $k$，即使传输率极低，协议依然安全。
• 噪声容忍度： 当误差率 $\gamma < 0.037$ (3.7%) 时，协议保持安全，因为这确保了 $\lambda_\gamma < 1$。
• 并行重复： 对于通过并行重复单个布尔函数 $g$ 构建的协议（即 $f = g^{\otimes m}$），基于承诺版本的安全性降低为非承诺版本在 $k$ 次重复下的安全性：$Pr[\text{accept } c-QPV^{g^{\otimes m}}_{BB84}] \leq 2\sqrt{Pr[\text{accept } QPV^{g^{\otimes k}}_{BB84}]}$。

5. 意义与主张

作者声称，这项工作弥合了 QPV 理论安全性与实际实现之间的关键差距。

• 跨越任意距离的可行性： 通过使协议具有任意损耗容忍度，该工作使 QPV 在光子损耗显著的长距离环境下变得可行，这是实际部署的前提。
• 实用价值： 协议的单次执行特性被强调为对近期实现及作为更大密码学构建（如量子密钥分发、消息认证）子程序的应用特别具有吸引力，因为在这些场景下串行重复往往是不切实际的。
• 理论进展： 该工作证明了在并行设置下，可以在不牺牲底层协议针对有界纠缠对手的安全性保障的前提下，实现基于承诺的安全性。
• 实验相关性： 本文通过固定轮数和接受阈值，为实验实现提供了改进的定量参数，消除了以往串行方法中固有的执行时长不确定性。

论文得出结论，$c-QPV^{f:n\to m}_{BB84}$ 代表了首个针对纠缠攻击者具有完全损耗容忍度的单次执行 QPV 协议，有效地消除了此前将 QPV 限制在短距离或理想化条件下的传输率壁垒。