⚛️ quantum physics

Copy-Protection with Correlated Challenges: Point Functions and More via Decisional Coset Monogamy

本文通过引入并证明了基于后量子不可区分混淆和量子硬LWE的新型相关挑战单解密器加密与不可克隆的可穿刺混淆的安全性定义，建立了针对点函数和通用功能在相关挑战（包括相同挑战）下的首个明文模型复制保护方案。

原作者： Amit Behera, Alper Çakan, Vipul Goyal

发布于 2026-08-20

📖 1 分钟阅读🧠 深度阅读

原作者： Amit Behera, Alper Çakan, Vipul Goyal

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在密码学领域，目标始终是保护秘密的安全，但游戏规则正在发生变化。几十年来，安全性一直依赖于这样一个观点：如果你能复制一个数字文件，你就能复制其中包含的秘密。解密密钥、密码或软件许可都可以被完美地复制，使得任何拥有副本的人都能使用受保护的资源。这是经典世界与量子世界之间的根本区别。在量子领域，物理定律禁止对未知信息进行完美的复制。这一被称为“不可克隆定理”（no-cloning theorem）的原理表明，将秘密编码进一种量子态中以执行某项任务是可能的，但这种状态无法被拆分为两个都能保持有效的独立副本。这种被称为“拷贝保护”（copy protection）的概念，预示着一个未来：软件或数字密钥可以分发给数百万用户，但其中没有任何两人能够通过串通来创造出第二个功能完整的密钥版本。

多年来，研究人员一直致力于将这一理论上的承诺转化为现实。虽然他们能够证明拷贝保护在非常特定、人工设定的条件下是有效的，但在试图解决最自然且最常见的场景时却遇到了障碍：即当两个人收到完全相同的挑战时会发生什么？在许多现实世界的场景中，例如广播信号或发送给群组的文件，每个接收者都会得到相同的数据。以往试图保护量子密钥免受复制的尝试，在攻击者获得相同信息时都会失败，这导致理论与数据实际共享的复杂现实之间存在差距。

一支研究团队现在填补了这一空白，为这种“相同挑战设置”下的拷贝保护提供了首个可证明安全的方法。他们的工作建立在量子力学和高级密码学假设的基础之上，证明了即使在两个对手接收到完全相同的加密消息并试图在两人之间拆分量子密钥的情况下，保护解密密钥和通用软件程序也是可能的。研究人员不仅找到了实现这一目标的方法，还重新组织了整个领域对该语境下“安全性”定义的理解。他们表明之前的安全性定义是不充分的，并引入了一种更强的标准，该标准涵盖了所有旧情况，同时具备了处理相同挑战的能力。

他们成就的核心在于对量子纠缠本质的一种新的数学洞察。他们证明了一个关于“余集态”（coset states）的定理，余集态是用于隐藏信息的特定类型量子态。他们的证明表明，如果你将这样一个状态拆分给两个人，然后给他们两人提供完全相同的 piece 信息来进行测试，他们都无法以显著的优势猜中隐藏的秘密。这是一个深刻的结果，因为早期的尝试依赖于两个攻击者接收到不同、独立的挑战。新的证明即使在挑战是完全相关或完全相同的情况下依然有效，从而有效地关闭了此前看似无法防御的一大类攻击之门。

为了实现这一目标，研究人员构建了一个允许保护各种类型数字对象的框架。他们展示了如何将这种新的安全方法应用于“单解密器加密”（single-decryptor encryption），即保护解密密钥的量子等效形式。他们还将此扩展到保护通用软件程序，包括简单的“点函数”（point functions，其作用类似于仅对特定密码开放的数字保险箱）以及更复杂的“计算并比较”（compute-and-compare）程序。至关重要的是，他们的解决方案适用于“纯模型”（plain model），这意味着它不依赖于现实世界中不存在的假设性、理想化工具。相反，它依赖于在经典和量子计算机面前都被广泛认为安全的标准密码学假设。

研究人员还花时间理清了过去十年中积累的混乱的安全定义图谱。他们证明了许多现有的定义并不像之前认为的那样强大，且某些定义并不蕴含其他定义。通过建立一个清晰的层级结构，他们表明其新定义是“金标准”，因为它蕴含了之前所有的定义。这意味着，如果一个系统在他们的定义下是安全的，那么它在任何其他已提出的定义下也自动是安全的。这种统一为未来的工作提供了坚实的基石，确保当我们说一个量子密钥受到拷贝保护时，我们是在最强的意义上进行描述。

这项工作的最显著成果之一是解决了关于点函数的一个长期悬而未决的问题。自2009年引入量子拷贝保护以来，研究人员一直无法证明这些简单的数字保险箱在现实设置下的相同挑战面前是可以受到保护的。新的结果终于解决了这个问题，证明了在标准假设下这种保护是可能的。此外，该团队还将这一成功扩展到了更复杂的程序，证明即使是复杂的软件也可以受到保护，从而防止两名用户通过拆分密钥并在给定相同输入进行测试的情况下共同使用该密钥。

这一突破的技术核心是一种涉及量子态的新型安全博弈。在这个博弈中，一个量子态被拆分给两个无法通信的参与方。随后，他们被给予相同的挑战，并且必须各自输出一个比特的信息。研究人员证明，无论参与方多么聪明，或者他们如何纠缠其量子态，他们都不可能以显著高于随机概率的机会猜中正确的比特。这一结果通过消除对复杂提取技术（此前在那些不够稳健的方法中是必需的）的需求，简化了实现安全拷贝保护的路径。它提供了一条直接且优雅的安全路径，适用于广泛的应用场景。

通过将这些新定义与诸如“不可区分混淆”（indistinguishability obfuscation）和某些数学问题的硬度等高级密码学工具相结合，研究人员构建了一个完整的拷贝保护系统。这个系统不仅仅是一个理论上的奇想；它为在量子未来中保护数字资产提供了一条具体的路径。它确保了量子信息的独特属性可以被利用，以防止在经典技术中根本无法实现的盗版和未经授权的复制。这项工作是迈向使量子拷贝保护成为现实性的决定性一步，解决了数十年的不确定性，并为下一代密码学安全提供了一个稳健的框架。

技术摘要：基于相关挑战的复制保护

1. 问题陈述

量子复制保护旨在将某种功能性编码进一个可重用的量子态中，使得该状态无法被拆分为两个不同的状态（由“搭便车”型对手持有），且这两个状态无法同时保持有用性。尽管在构建通用功能性和解密密钥的复制保护方案方面已取得了显著进展，但该领域面临两个关键局限性：

定义碎片化： 对于单解密器加密（Single-Decryptor Encryption, SDE）等基础原语，文献中存在七种不同的安全概念。这些概念之间的关系尚不明确，目前尚无单一的“金标准”定义能够蕴含所有其他定义。至关重要的是，目前尚不清楚标准的不可区分性安全性是否能推导出 SDE 的搜索安全性。
相同挑战间隙（Identical-Challenge Gap）： 现有的构造主要实现针对独立采样挑战的安全。然而，一种更自然且具有实际意义的安全概念是相同挑战安全性，即两个对手收到完全相同的挑战（例如，相同的密文或相同的输入点）。这一概念与不可克隆比特以及点函数（point functions）的复制保护相关。尽管 Georgiou 和 Zhandry (2020) 提出了这一问题，但在标准假设下，目前尚未出现可证明满足相同挑战 SDE 或通用复制保护的构造。

核心问题在于：能否定义一种统一且强大的安全概念，以涵盖这些自然的用例（包括相同挑战），并在纯模型（plain model）下实现满足该概念的构造。

2. 方法论与技术核心

作者通过结合定义统一化和一种新型量子信息论工具解决了这些问题。

A. 定义统一化

本文为 SDE 和不可克隆可穿刺混淆（Unclonable Puncturable Obfuscation, UPO）引入了相关挑战安全性（Correlated-Challenge Security）。

相关挑战 SDE (SDE-CORR)： 该定义允许两个对手的挑战比特具有任意相关性，只要它们的边缘分布保持均匀。这涵盖了独立挑战和相同挑战的设定。
相关挑战 UPO： 类似地，该定义允许挑战点和辅助信息具有任意相关性。它推广了之前的 UPO 定义，将其扩展到包含辅助信息泄露的情况，这对于“计算并比较”（compute-and-compare）程序等应用至关重要。

作者建立了一个定义层级，证明了 SDE-CORR 蕴含了之前所有的七种 SDE 安全概念，包括长期以来寻求的相同挑战安全性。他们还澄清了标准的不可区分性（CPA）安全性在一般情况下并不推导出搜索安全性，且独立挑战安全性并不推导出相同挑战安全性。

B. 判别式陪集单配性定理（Decisional Coset Monogamy Theorem）

本文的技术核心是一个全新的判别式陪集单配性-纠缠单配性（MOE）定理。

设置： 对手接收到一个陪集态 $|A_{s,t}\rangle$ （一个在偏移子空间 $A+s$ 上的叠加态，其相位偏移由 $t$ 决定）。对手将此状态拆分给两个互不通信的参与方 B 和 C。
挑战： 挑战者采样一个非零向量 $u \in A$ 和一个非零向量 $v \in A^\perp$ ，并将相同的对 $(u, v)$ 同时发送给 B 和 C。
目标： B 和 C 必须输出一个比特 $e = \langle u, t \rangle \oplus \langle v, s \rangle$ 。
结果： 作者证明，B 和 C 同时输出正确比特的概率至多为 $1/2 + 2^{-\Omega(n)}$ 。

证明中的关键创新：

判别式 vs. 搜索式： 不同于以往的 MOE 定理（如 Culf 和 Vidick）属于“搜索式”（要求输出完整的向量），本研究是一个“判别式”博弈，其中参与方仅输出单个比特。
相同挑战： 挑战 $(u, v)$ 对双方而言是完全相同的。以往的判别式 MOE 结果依赖于可学习的状态（如 BB84）或独立挑战。这是第一个针对不可学习状态族（陪集态）的相同挑战判别式 MOE 定理。
无需提取： 该证明避免了以往工作中为了将搜索保证转换为判别保证而需要的复杂“提取”技术（如阈值测量、重写/rewinding）。相反，它使用了一种信息论论证，表明在给定密钥和消息的条件下，密文在特定的特征空间上是极大混合态，这利用了 Pauli 算符的结构。
计算变体： 作者利用不可区分性混淆（iO）和子空间隐藏混淆（Subspace-Hiding Obfuscation）将此扩展到了计算设定，并处理了相关的辅助信息。

C. 构造策略

利用新的判别式陪集 MOE 定理，作者构建了：

相关挑战 SDE： 他们改编了 Kitagawa-Yamakawa (2025) 的构造。通过使用隐藏的相同比特和一个相关参数来重写挑战比特，他们将 SDE 方案的安全性直接归约为判别式陪集 MOE 博弈。
相关挑战 UPO： 他们为任意多项式大小的有键电路构建了一个 UPO 方案。其安全证明涉及一系列混合阶段（hybrids）：其中挑战点被穿刺，其值通过单射/有损函数（injective/lossless functions）和通用哈希进行替换，以模拟预拆分的辅助信息。最后的混合阶段归约为计算判别式陪集 MOE 博弈。

3. 主要结果

本文在纯模型中提供了以下具体结果：

SDE 安全性： 在假设后量子不可区分性混淆（iO）和单向函数（OWF）的前提下，存在满足 SDE-CORR 的 SDE 方案。这是第一个在标准假设下满足相同挑战安全性的经典密文 SDE 构造。
UPO 安全性： 在假设后量子 iO 和学习误差问题（LWE）的量子困难性的前提下，存在针对任意多项式大小电路的 相关挑战 UPO 方案。该方案满足针对具有高最小熵的任意相关挑战分布的安全。
- 注：对于特定的相同均匀挑战分布情况，LWE 假设可以替换为后量子 OWF。
复制保护应用： 通过 UPO 框架，作者推导出了以下功能的第一个纯模型复制保护方案：
- 点函数（Point Functions）： 具有自然的相同挑战分布（解决了 Aaronson 2009 的开放问题）。
- $k$ -点函数（ $k$ -Point Functions）： 点函数的泛化。
- 计算并比较程序（Compute-and-Compare Programs）： 具有自然的相同挑战分布。
- 通用可穿刺功能性（General Puncturable Functionalities）： 具有不可预测性风格和伪随机性风格的安全，包括针对相同挑战的预言机安全性（即对手拥有函数的预言机访问权限）。

4. 重要性与主张

本文声称解决了量子密码学中几个长期存在的开放问题：

解决相同挑战开放问题： 它提供了第一个在纯模型下，针对点函数和解密密钥的、满足相同挑战安全性定义的可证明安全的复制保护，这一问题已悬而未决十余年。
定义清晰化： 它建立了一个“金标准”定义（SDE-CORR），该定义涵盖了之前所有的定义，明确了安全概念的层级，并证明了之前的定义不足以捕捉自然的安全性直觉（例如，CPA 并不推导出搜索安全性）。
技术进步： 新的判别式陪集单配性定理本身也是一项具有独立价值的研究成果。它通过提供一个针对具有相同挑战的不可学习状态的判别式保证，统一了单配性博弈、不可克隆加密和复制保护的研究，并通过消除对复杂提取技术的依赖简化了未来的证明过程。
模块化框架： 通过引入相关 UPO，本文提供了一条实现广泛功能性（超越仅限于点函数）的模块化路径，这些功能性是在自然安全定义下的，包括需要辅助信息泄露的应用。

作者强调，其结果依赖于标准的后量子假设（iO, OWF, LWE），并在纯模型下运行，对于这些特定结果并不依赖于理想化模型（如量子随机预言机模型 QROM）。