技术摘要：窃听者盲态远程准备及其在量子公钥加密中的应用
1. 问题陈述
远程状态准备（Remote State Preparation, RSP）是量子密码学中的一个基本原语，它允许经典客户端仅通过经典通信指导量子服务器准备特定的量子态。现有的 RSP 构建是量子计算-经典通信（QCCC）模型的核心，支持委托计算、量子性证明和量子公钥加密（QPKE）等应用。
然而，目前的 RSP 协议面临两个显著的局限性：
强假设： 所有已知的构建都依赖于“陷门”（trapdoor）密码学原语，最显著的是陷门无环函数（Trapdoor Claw-Free Functions, TCFs）。对陷门的依赖是一个主要的开放问题，因为降低密码学假设（例如，降低到单向函数或代数结构）仍然是密码学研究的主要目标。安全开销： 标准的 RSP 定义要求“恶意服务器盲性”（malicious-server blindness），即确保即使服务器偏离协议，也无法获知关于状态的信息。这种强安全概念通常需要复杂的协议和特定的假设。
本文研究了一个较弱形式的 RSP 是否仍能支持有意义的密码学应用，同时能够从较弱的、无需陷门的假设 中构建出来。具体而言，作者提出了以下问题：
是否可以从具有放宽安全保证的 RSP 协议中推导出有用的应用？
是否可以在不使用陷门的情况下构建出这种较弱的 RSP？
2. 方法论与定义
窃听者盲态远程准备 (EB-RSP)
作者引入了一种新的原语，称为窃听者盲态远程准备（Eavesdropper-Blind Remote State Preparation, EB-RSP） 。它放宽了标准的盲性要求：
标准盲性： 量子证明者（服务器）必须对准备的状态一无所知，即使它是恶意的。EB-RSP 盲性： 协议仅对于观察验证者与证明者之间诚实交互产生的经典转录（transcript）的外部窃听者 是盲的。诚实的证明者本身被允许知道其准备的状态。
形式化定义： 一个 EB-RSP 协议涉及一个经典验证者 V V V P P P
正确性： P P P ∣ + θ ⟩ = 1 2 ( ∣ 0 ⟩ + e i θ ∣ 1 ⟩ ) |+\theta\rangle = \frac{1}{\sqrt{2}}(|0\rangle + e^{i\theta}|1\rangle) ∣ + θ ⟩ = 2 1 ( ∣0 ⟩ + e i θ ∣1 ⟩) θ ∈ Θ N = { k ⋅ 2 π N ∣ 0 ≤ k ≤ N − 1 } \theta \in \Theta_N = \{k \cdot \frac{2\pi}{N} \mid 0 \le k \le N-1\} θ ∈ Θ N = { k ⋅ N 2 π ∣ 0 ≤ k ≤ N − 1 } V V V θ \theta θ 窃听者盲性： 给定诚实执行的转录，任何量子多项式时间（QPT）窃听者都无法将真实的 θ \theta θ Θ N \Theta_N Θ N
作者特别关注两消息 EB-RSP 协议（一条来自 V V V P P P
密码学假设
本文基于**单向群作用（One-Way Group Actions, OWGAs）**构建 EB-RSP。
群作用： 一个满足群作用公理的映射 ⋆ : G × X → X \star: G \times X \to X ⋆ : G × X → X 自由（半正则）： 如果 g ⋆ x = x g \star x = x g ⋆ x = x g = 1 g = 1 g = 1 单向性： 给定 ( x , s ⋆ x ) (x, s \star x) ( x , s ⋆ x ) s ′ s' s ′ s ′ ⋆ x = s ⋆ x s' \star x = s \star x s ′ ⋆ x = s ⋆ x 关键区别： 与 TCFs 不同，OWGAs 本身并不为验证者提供用于反转函数的陷门。该构建依赖于群作用的代数性质 来抵消未知参数。
3. 核心贡献与结果
A. 基于 OWGAs 的两消息 EB-RSP 构建
作者提出了一个基于自由 OWGAs 的具体两消息 EB-RSP 协议，其中 G = Z p λ G = \mathbb{Z}_p^\lambda G = Z p λ p p p
协议概览：
验证者 (V V V 采样 x 0 ∈ X x_0 \in X x 0 ∈ X r , s ∈ G r, s \in G r , s ∈ G x 1 = ( − s ) ⋆ x 0 x_1 = (-s) \star x_0 x 1 = ( − s ) ⋆ x 0 ( x 0 , x 1 , r ) (x_0, x_1, r) ( x 0 , x 1 , r ) P P P 证明者 (P P P
在 b ∈ { 0 , 1 } b \in \{0,1\} b ∈ { 0 , 1 } g ∈ G g \in G g ∈ G
计算叠加态下的 g ⋆ x b g \star x_b g ⋆ x b
测量输出寄存器，使状态坍缩为“爪”（claw）态 ∣ 0 , g 0 ⟩ + ∣ 1 , g 0 + s ⟩ |0, g_0\rangle + |1, g_0 + s\rangle ∣0 , g 0 ⟩ + ∣1 , g 0 + s ⟩
计算与 r r r
测量以获得结果 g g g z z z V V V
输出状态 ∣ + θ ⟩ |+\theta\rangle ∣ + θ ⟩ θ = ⟨ s , z ⋅ r + g ⟩ ⋅ 2 π p \theta = \langle s, z \cdot r + g \rangle \cdot \frac{2\pi}{p} θ = ⟨ s , z ⋅ r + g ⟩ ⋅ p 2 π
验证者 (V V V 使用其秘密 s s s g , z g, z g , z θ \theta θ
构建的意义：
无需陷门： 验证者不需要陷门来计算 θ \theta θ g 0 g_0 g 0 安全性： 安全性依赖于量子 Goldreich-Levin 定理 。由于 g g g ⟨ s , z ⋅ r + g ⟩ \langle s, z \cdot r + g \rangle ⟨ s , z ⋅ r + g ⟩ θ \theta θ 泛化： 通过运行并行的子程序，该协议可以扩展到复合 N N N
B. 从 EB-RSP 构建 QPKE
作者证明了两消息 EB-RSP 足以构建具有经典公钥和量子密文的量子公钥加密（QPKE） 。
构建（黑盒）：
密钥生成 (KeyGen)： 运行 n n n 由验证者的第一条消息组成，私钥 由验证者的第一条消息组成，私钥 由验证者的第一条消息组成，私钥 加密 (Enc)： 为了加密一位比特 b b b 实例运行 E B − R S P 计算以生成状态 实例运行 EB-RSP 计算以生成状态 实例运行 E B − R S P 计算以生成状态 。然后应用酉算子 。然后应用酉算子 。然后应用酉算子 来根据 来根据 来根据 解密 (Dec)： 解密者使用 $sk恢复 恢复 恢复 ，应用 ，应用 ，应用 b b b
安全性： QPKE 的 IND-CPA 安全性直接取决于底层 EB-RSP 的窃听者盲性 。由于窃听者无法将随机角度 θ \theta θ θ + b ⋅ shift \theta + b \cdot \text{shift} θ + b ⋅ shift
C. 对现有基于 TCF 协议的适配
论文观察到，现有的基于纯 TCF 的 RSP 构建（例如 [BKM+25]）可以适配到两消息 EB-RSP 模型中。通过合并消息并注意到在诚实执行中基于 TCF 的“副产物比特”（byproduct bit）与角度无关，这些协议也满足窃听者盲性。这由此产生了第二种基于纯 TCFs 的 QPKE 构建。
4. 重要性与主张
本文声称具有以下重要性：
首个无需陷门的 RSP 型原语： 据作者所知，这是第一个具有有用密码学应用的无需陷门原语的 RSP 型原物 。它证明了代数假设（OWGAs）可以取代陷门假设来处理特定的 RSP 任务。更弱的安全，相同的效用： 本研究确立了窃听者盲性 （一种比恶意服务器盲性更弱的安全概念）足以构建具有经典公钥的 QPKE。这表明标准 RSP 的强安全要求对于某些应用而言可能是不必要的，这可能允许更简单的协议和更弱的假设。模块化方法： 作者提供了一个从两消息 EB-RSP 到 QPKE 的通用黑盒归约。这实现了状态准备原语与其在加密中应用的解耦，允许对这两个组件中的任何一个进行模块化改进。基础性步骤： 虽然该构建目前限于特定的群作用，并且尚未实现可验证的 RSP 或针对恶意服务器的无需陷门的 RSP，但它为减少量子密码方案背后的密码学假设提供了“第一步”。
局限性与开放问题：
该构建目前适用于 N N N
论文并未声称构建了可验证的 RSP 或针对恶意服务器的盲 RSP（且无需陷门）；它明确将此作为一个开放的研究方向。
所生成的 QPKE 方案产生的是量子密文 ，而非经典密文（这与某些基于 TCF 的构建有所不同）。
总之，本文开启了对一种较弱的 RSP 概念（EB-RSP）的研究，利用单向群作用构建了它而无需陷门，并证明了其构建 QPKE 的充分性，从而扩展了量子密码学中可用假设的版图。