⚛️ quantum physics

Statistically-Secure Bit Commitment and Coin Flipping Protocols Based on Quantum Hardware Assumptions

本文提出了首个基于混合锁定物理不可克隆函数（HLPUF）的统计安全比特承诺与抛硬币协议，通过将经典硬件令牌与量子通信相结合，克服了量子密码学中无条件安全性不可实现的难题，从而为实用的不信任双方密码学实现了一种新的范式。

原作者： Roo Dunnill, Mina Doosti

发布于 2026-08-12

📖 1 分钟阅读🧠 深度阅读

原作者： Roo Dunnill, Mina Doosti

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图建造一个数字保险库，它如此安全，以至于即使是一个拥有无限时间的超级智能机器人也无法破解它。这就是密码学中“无条件安全性”的梦想。几十年来，科学家们一直试图构建一种特定类型的保险库，叫做“比特承诺”（bit commitment）。把它想象成一个密封的信封：你把一张秘密纸条放进去，交给你的朋友，并承诺你之后不会更换纸条，同时你的朋友在你说可以拆开之前不能偷看里面的内容。这听起来很简单，但在量子世界——那个原子和光粒子可以同时处于两个地方的领域——著名的数学定理证明了如果没有额外的帮助，完美地实现这一点是不可能的。这就像试图建造一座即使在飓风中也永不倒塌的纸牌屋；如果你的材料只有空气和纸，物理定律会告诉你这是做不到的。

然而，科学家们发现了一个聪明的变通方法：与其仅仅依赖数学，不如依靠物理世界本身。想象一下使用一个由硬件制成的独特、不可复制的“指纹”来锁定保险库。这篇论文探讨了一种利用这种特殊方式构建保险库的新方法，它结合了传统的计算机芯片和新型的量子物理学。其目标是创建一个系统，让两个互不信任的人仍然可以进行公平的游戏，比如掷硬币或进行秘密赌注，而无需信任第三方，也不需要依赖对手不够聪明来防止作弊。

不可能的游戏与硬件黑客技术

在密码学世界中，“比特承诺”是数字化的密封信封。你（爱丽丝）想要承诺一个选择（0 或 1），并将它交给你的朋友（鲍勃）。你需要承诺两件事：首先，鲍勃在你准备揭晓之前不能窥探你的选择（这被称为隐匿性/hiding）；其次，一旦你封好了信封，你就不能偷偷地将你的选择更改为另一个数字（这被称为绑定性/binding）。

长期以来，科学家们认为量子力学可以完美地解决这个问题。但随后，一个著名的“不可行性”定理出现了，并说道：“不行，不可能。”事实证明，在纯粹的量子世界中，如果你试图完美地隐藏比特，你就会留下一个漏洞，让作骗子可以在事后改变主意。这就像一个魔术，魔术师在让兔子消失时，无法不留下一个线索，表明他稍后可以从帽子里掏出另一只兔子。

为了解决这个问题，本文的作者决定不再仅仅尝试用数学和光来解决问题。相反，他们引入了一个物理对象：混合锁定物理不可克隆函数，简称 HLPUF。

把 HLPUF 想象成一个神奇的、不可复制的“黑匣子”令牌。

物理不可克隆： 就像没有两片雪花是完全一样的，没有任何两个这些硬件令牌是完全相同的。即使是制造它们的工厂也无法复制其内部布线。如果你试图扫描它并制造一个假货，假货的行为将会不同。
混合型： 它是标准计算机芯片（易于制造）和量子层（难以伪造）的结合体。
锁定型： 这是特别之处。该令牌具有一个“锁定”机制。一旦你以某种方式使用了它，它就会自我锁定。你无法再次打开它来查看内部内容或改变其工作方式。

新协议：一场“信任盒子”的游戏

作者设计了一个协议（一套游戏规则），利用这个神奇的盒子来解决这个不可能的问题。以下是游戏的步骤：

1. 设置阶段（招募）
爱丽丝以“未锁定”状态开始使用 HLPUF 令牌。她向令牌询问一系列问题（挑战），并将答案（响应）记录在笔记本中。这就是她的数据库。然后，她拨动开关来锁定令牌。现在，令牌被密封了。她将这个锁定的令牌交给鲍勃。

2. 承诺阶段（密封信封）
爱丽丝想要承诺一个比特（0 或 1）。她从笔记本中挑选一个问题，例如“问题 X”。

她向令牌询问“问题 X”的答案。
她还使用一种特殊的算法生成一个“伪造”问题，“问题 Y”，它与 X 非常相似但略有不同。
她将问题 X 和问题 Y 同时发送给鲍勃。
现在，见证奇迹的时刻到了：她将问题 X 的答案转化为一串量子粒子（qubits）。
- 如果她想承诺 0，她使用问题 X 的“风格”（基底）来对答案进行编码。
- 如果她想承诺 1，她使用问题 Y 的“风格”对同一个答案进行编码。
她将这串量子粒子发送给鲍勃。

为什么鲍勃不能窥探？
鲍勃拥有问题，但他不知道爱丽丝使用了哪种“风格”。因为答案是随机的，且风格是混合的，所以无论她选择 0 还是 1，量子粒子对他来说看起来都是完全一样的。这就像是在漂流瓶里传递消息，无论瓶子里装的是“是”还是“否”，瓶子本身看起来都一模一样。在他揭晓之前，他无法分辨差异。

为什么爱丽丝不能作弊？
爱丽丝拥有锁定的令牌。为了改变主意，她需要在事后更改她的承诺。但为了证明她没有改变主意，她必须揭示对令牌问题的完整回答。

如果她试图撒谎，她必须在没有实际持有令牌的情况下猜出令牌问题的答案。
但该令牌是不可克隆的。她无法制造一个假货。
而且该令牌是锁定的。她无法通过询问新问题来弄清楚答案。
获胜的唯一方法是拥有来自真实令牌的真实答案。如果她试图伪造，数学证明她几乎每次都会失败。

结果：一种新型的安全机制

论文证明该系统具有统计安全性。这意味着虽然一个超级聪明的作弊者可能能够改变他们的承诺，但概率低到天文数字级别，以至于在现实中几乎是不可能的。它不是“数学上不可能”（论文提到这无法实现），而是“极其罕见，以至于你永远不会见到它发生”。

作者展示了两个主要方面：

完美隐匿性： 鲍勃在揭晓前无法猜出比特。量子态如此相似，即使使用完美的量子计算机，他也无法分辨它们。
强绑定性： 爱丽ска 在发送量子粒子后无法改变她的比特。成功打开信封的唯一方法是拥有来自硬件令牌的真实、不可伪造的答案。

他们还利用这个比特承诺游戏构建了一个**硬币投掷（Coin Flipping）**协议。想象一下，爱丽丝和鲍勃想要通过掷硬币来决定谁先开始游戏，但他们在不同的城市，且互不信任。使用这种基于硬件的新方法，他们可以掷出一个谁也无法操纵的硬币。如果爱丽丝试图强行让硬币正面朝上，她就必须破坏硬件令牌，这在统计学上是不可能的。

为什么这很重要

这篇论文为互联网的未来提供了一种新的途径。我们不再仅仅寄希望于黑客不够聪明去破解我们的代码，或者他们没有足够的计算机内存，而是可以构建依赖于硬件自身物理定律的系统。

作者承认，这并不是一个能瞬间解决一切问题的万灵药。他们指出，制造这些令牌需要特定的硬件假设（例如，令牌必须是真正的不可克隆，且锁定机制是不可破解的）。但他们认为这是一条现实的路径。我们已经拥有了这些芯片，我们只需要添加量子层和锁定机制。

简而言之，论文的观点是：“我们无法用纯数学构建一个完美的保险库，但如果我们用一个特殊的、不可复制的物理钥匙来建造保险库，我们可以制造出一个足以应对现实世界的安全系统。”这是一种从“信任数学”到“信任物理”的转变，为在每个人都互相猜疑的世界中实现安全通信提供了一条具体的路径。

摘要

以下是关于 Roo Dunnill 与 Mina Doosti 的论文《基于量子硬件假设的统计安全比特承诺与硬币投掷协议》的技术总结。

问题陈述

比特承诺（Bit commitment）是一种基础的密码学原语，对于硬币投掷、零知识证明和安全多方计算等任务至关重要。然而，Mayers–Lo–Chau 不可能定理确立了在标准的非相对论性两方模型中，无条件安全的量子比特承诺是不可能实现的。任何具有足够隐蔽性（hiding）的协议，不可避免地会为承诺者（Alice）提供一种基于纯化（purification）和延迟测量（delayed measurement）的相干策略，从而破坏其绑定性（binding）。

现有的规避这一“不可能性定理”的方法通常依赖于：

较弱的安全概念（例如：欺骗敏感性/cheat sensitivity）。
计算假设（例如：量子单向置换）。
相对论性约束（例如：分离代理之间的非通信限制）。
对攻击者的存储限制（例如：受限量子存储或噪声存储模型）。

作者发现了一个空白点：物理硬件假设已成功用于针对外部攻击者的身份验证和密钥生成，但尚未被有效地应用于互不信任的两方密码学（即双方都可能是恶意方的场景）。直接尝试使用硬件令牌进行比特承诺会失败，因为恶意方可以简单地用一个外观相似的设备替换预设的硬件，或者将选择承诺比特的时机推迟到公开阶段。核心挑战在于设计一种协议，既能强制承诺者使用真实的硬件行为，又能保持接收者无法获知承诺比特。

方法论

作者提出了一种基于**混合锁定物理不可克隆函数（Hybrid Locked Physical Unclonable Functions, HLPUFs）**的构造性协议。HLPUF 是一种结合了经典 PUF（cPUF）与量子通信层的硬件原语。

1. 硬件原语（非对称 HLPUF）：
该协议利用了先前研究 [22] 中引入的一种非对称变体 HLPUF。底层 cPUF 的经典响应 $f(x)$ 被分为两部分：

$f_1(x)$ （验证器）： 用于验证的较短字符串。
$f_2(x)$ （载荷）： 被编码进量子态的较长字符串。

该设备有两种工作模式：

解锁模式（设置阶段）： Alice 查询设备以构建挑战-响应对数据库。
锁定模式（执行阶段）： 设备处于“锁定”状态。它接受一个挑战 $x$ 和一个量子态 $|\psi\rangle$ 。它验证 $|\psi\rangle$ 是否与由 $f_1(x)$ 推导出的预期状态匹配。如果有效，它输出对应于 $f_2(x)$ 的量子态；否则中止。至关重要的是，一旦锁定，设备便无法被解锁，也无法通过经典方式查询 $f_2(x)$ 。

2. 协议设计：
协议引入了刻意的不对称性以防止欺诈行为：

挑战对生成： 对于选定的挑战 $x_0$ ，协议使用特定算法（算法 1）生成另一个挑战 $x_1$ 。这些挑战被构建为在特定的索引集 $J$ （大小为 $\ell_{min}$ ）上存在差异，确保 BB84 编码的基准比特（basis bits）显著不同，而数值比特（value bits）保持平衡。
承诺： Alice 承诺一个比特 $b \in \{0, 1\}$ $b \in {0, 1}$ ，通过准备一个量子态 $\rho_b$ $ρ_{b}$ 。该状态编码了载荷子串 $f_2(x_0)_J$ $f_{2} (x_{0})_{J}$ （即索引 $J$ $J$ 处的响应比特）。
- 若 $b=0$ ，状态按 $x_0$ 定义的基准 $\beta(x_0)$ 进行编码。
- 若 $b=1$ ，状态按 $x_1$ 定义的基准 $\beta(x_1)$ 进行编码。
- Alice 将对 $(x_0, x_1)$ 、排序 $J$ 以及量子态 $\rho_b$ 发送给 Bob。
公开： Alice 揭示 $b$ 、 $x_0$ 以及完整的经典响应 $f_1(x_0)$ 和 $f_2(x_0)$ 。
验证： Bob 使用锁定的 HLPUF 进行验证。他根据 $f_1(x_0)$ 准备一个验证器状态并查询设备。如果设备接受，Bob 在揭示的比特 $b$ 所对应的基准下测量存储的量子态，并检查其与 $f_2(x_0)_J$ 的一致性。

3. 安全机制：

隐蔽性（Hiding）： 依赖于 HLPUF 的不可伪造性。由于无法伪造有效的验证器状态，Bob 在公开阶段之前无法提取有关 $f_2(x_0)$ 的信息。协议确保了两种可能的承诺态在统计上是不可区分的，因为载荷比特是均匀分布的，且基准模式是平衡的。
绑定性（Binding）： 依赖于锁定机制和算子范数界限。由于验证步骤需要一个难以伪造的特定经典响应 $f_1(x_0)$ ，因此不诚实的 Alice 无法准备一个能够以高概率同时打开 0 和 1 的纠缠态。绑定性证明将任何不诚实的策略归约为接受投影算子和的算子范数界限，表明成功打开两个比特的概率受限于一个可忽略的函数。

主要贡献

首个统计安全量子比特承诺： 本文提出了第一个在混合硬件假设（具体为 HLPUF）下同时实现统计隐蔽性和绑定性的比特承诺协议，且不依赖于计算困难性或相对论性约束。
新颖的硬件用法： 作者展示了如何在互不信任的设置中使用硬件令牌。他们通过构建协议结构解决了“外观相似”问题，使承诺态在统计上与真实硬件的挑战-响应行为紧密绑定，从而使得恶意方无法在不被检测到的情况下替换令牌。
非对称 HLPUF 构建： 引入了 PUF 响应的非对称拆分（验证器 vs 载荷）以及确保 BB84 态分布平衡的特定挑战对生成算法（算法 1）。
首个基于硬件的硬币投掷： 通过将标准变换应用于其比特承诺方案，作者构建了第一个基于混合硬件假设的强量子硬币投掷协议。
证明技术： 本文开发了新的证明技术，包括用于隐蔽性的“内在系综对称性（intrinsic ensemble-symmetry）”论证和用于绑定性的“算子范数归约”，将内在量子限制与硬件参数区分开来。

结果

正确性： 协议是正确的；诚实方始终以概率 1 成功。
隐蔽性： 协议是 $\epsilon_{hide}$ -隐蔽的，其中 $\epsilon_{hide} \le \epsilon_{forge}$ （HLPUF 的不可伪造参数）。如果 HLPUF 是指数级不可伪造的，则隐蔽性是完美的（统计不可区分）。
绑定性： 协议是 $\epsilon_{bind}$ -绑定的。不诚实的 Alice 成功打开两个比特的概率受限于：
$p_0 + p_1 \le 1 + 2^{-\frac{\ell_{min} - 2s}{4}}$
其中 $s$ 是验证器字符串的长度， $\ell_{min}$ 是载荷子串的长度。在适当的参数选择下，该界限是可忽略的。
硬币投掷偏差： 生成的硬币投掷协议的偏差最大为 $\delta_{CF} \le \frac{1}{2} \max\{\epsilon_{hide}, \epsilon_{bind}\}$ 。

意义与主张

作者声称，他们的工作为量子网络中的安全两方密码学建立了一个新范式。通过将严格的安全保证与具体的、现成的硬件组件（PUF）以及可行的量子通信相结合，他们为实现那些在纯量子设定下无法实现的各种基础密码学原语提供了一条切实可行的路径。

本文强调，这种方法不需要对攻击者的量子存储容量做出假设（不同于受限存储模型），从而允许无限期的安全性。相反，安全性依赖于硬件令牌的物理不可克隆性和抗篡改性。作者将此定位为一种建设性的替代方案，旨在弥合理论量子密码学与实际实现之间的鸿沟，提供了一种具体的、从存在性结果转向构造性设计的方案。

作者对未来的工作保持谦逊，指出设备的防篡改实现仍是一个开放性的工程问题，且完全的可组合性安全分析留待未来研究。他们还建议，该协议也可以适配于没有量子存储的场景（通过允许提前测量），尽管这会削弱安全参数。