技术摘要：Shamir 秘密共享的量子泄漏韧性

问题陈述

本文研究了基于素数域 $\mathbb{F}_p$ 的标准、未经修改的 Shamir 秘密共享方案的量子泄漏韧性。虽然 Shamir 方案广泛应用于阈值密码学和安全多方计算，但其安全性保证传统上假设未经授权的集合无法获知关于秘密的任何信息。在实践中，通过侧信道可能会暴露部分信息（泄漏）。

作者将局部泄漏韧性的研究从经典设置（对手获得每个份额的短经典输出，例如 1 比特）扩展到了量子设置。在该模型中，每个参与者的设备接收一个经典份额，并向可能进行联合测量的对手输出单个量子比特（或少量量子比特）。研究进一步探讨了泄漏设备之间，或设备与对手之间的预共享纠缠如何影响安全性。

研究方法

本文结合使用有限域傅里叶分析和最大距离可分（MDS）码的性质来限制两个秘密状态之间的区分优势。

1. Pauli-Fourier 约化：

   • 每个份额的泄漏被建模为密度矩阵 $\rho_i(y_i)$。作者将其在 Pauli 基下展开：$\rho_i(y) = \frac{1}{2}(I + r_{i,X}(y)X + r_{i,Y}(y)Y + r_{i,Z}(y)Z)$。
   • 他们定义了一个基于 Pauli 系数函数平方幅值的“傅里叶预算” $W_i(a)$。
   • 利用 Parseval 等式和 Pauli 算子的正交性，区分优势被限制在对偶 Shamir 码 $C^\perp_0$ 的求和之上：
     $$\text{Adv} \leq \sum_{a \in C^\perp_0 \setminus \{0\}} \prod_{i=1}^n \sqrt{W_i(a_i)}$$
   • 这把量子安全性问题简化为控制对偶码上的加权和，类似于经典的泄漏证明，但由于系数具有矩阵性质而变得更加复杂。

2. 处理纠缠与分块：

   • 不相交分块： 对于在不相交分块内共享纠缠（但不在块间或与对手之间共享）的设备，作者应用了块 MDS Brascamp-Lieb 不等式。这使他们能够界定由傅里叶系数的迹范数乘积组成的求和。
   • 与对手的纠缠： 对于一组与对手共享任意纠缠的设备 $E$，作者使用了一个约化论证。他们表明，如果对手获知了 $E$ 的经典份额，则剩余系统的安全性可以归约为一个拥有 $n-r$ 个参与者和 $t-r$ 阈值的未纠缠 Shamir 方案。

3. 负面结果（攻击）：

   • 论文构造了一个特定的攻击，利用在 $t$ 个设备间共享的 GHZ 态。通过应用依赖于其份额的相位偏移并在 Pauli-X 基下进行测量，这些设备可以以很高的优势区分秘密，即使它们仅输出一个经典比特。

核心贡献与结果

1. 无纠缠量子泄漏

作者证明，只要阈值率 $\tau = t/n$ 超过特定的常数 $\tau^\star \approx 0.73339$，Shamir 秘密共享对于无纠缠的局部单量子比特泄漏是安全的。

• 结果： 如果 $\tau > \tau^\star + \eta$（对于固定的 $\eta > 0$），则区分优势是指数级微小的（$2^{-\Omega(n)}$）。
• 技术： 这是使用块大小 $b=1$ 的块 MDS Brascamp-Lieb 不等式推导出的。

2. 不相交纠缠块

安全性被扩展到以下场景：设备被划分为具有固定最大大小 $b$ 的不相交块，块内设备可以共享纠缠并进行联合计算，但块与块之间以及块与对手之间是独立的。

• 结果： 当阈值率足够高（$\tau > \tau^\star(b)$）时，安全性成立；随着块大小 $b$ 的增加，所需的阈值率趋近于 1。
• 细节： 论文中的表 1 列出了等块大小下的充分阈值（例如，对于 $b=2$，$\tau \approx 0.933$；对于 $b=3$，$\tau \approx 0.987$）。

3. 带有对手纠缠的泄漏

论文分析了线性数量的设备（$r = \delta n$）与彼此及对手共享任意纠缠的情况。

• 结果： 如果“剩余”率满足以下条件，则安全性成立：
  $$\frac{\tau - \delta}{1 - \delta} > \tau^\star$$
  这意味着，对于固定的阈值率 $\tau > \tau^\star$，即使有线性比例的设备（$\delta < \frac{\tau - \tau^\star}{1 - \tau^\star}$）与对手共享纠缠，安全性仍能维持。

4. 负面结果：GHZ 攻击

作者展示了如果 $t$ 个设备共享一个 GHZ 态，该方案在经典单比特泄漏下也会变得不安全。

• 机制： $t$ 个设备共享一个 GHZ 态。每个设备根据其份额应用一个相位，并在 X 基下进行测量。输出的乘积能以 $\cos^2(\pi/(2p)) \approx 1 - O(p^{-2})$ 的优势揭示秘密。
• 含义： 这种攻击不需要与对手产生纠缠，只需要泄漏设备之间存在纠缠，它确立了在保持安全性前提下，能够共享任意纠缠的最大设备数量在 $n$ 中是线性的（直到常数因子），但最优比例仍是一个开放问题。

重要性与主张

论文声称其开启了对广泛使用的、未经修改的标准 Shamir 秘密共享方案进行量子泄漏韧性研究的工作。

• 标准方案的鲁棒性： 结果表明，只要阈值率足够高（高于 $\approx 0.733$），标准的 Shamir 方案在面对量子泄漏时仍能保持强大的安全性保证，而无需新的共享算法或协议变更。
• 纠缠的角色： 该工作强调了一个关键区别：虽然无纠缠的量子泄漏在较高阈值下是可以处理的，但泄漏设备之间存在的任意纠缠（特别是 $t$ 个设备间的 GHZ 态）甚至可以在经典输出的情况下破坏安全性。
• 最优性： 作者对其界限的最优性持谦逊态度。他们指出，充分阈值 $\tau^\star \approx 0.733$ 高于已知的经典界限（$\approx 0.668$），并提出了是否可以缩小这一差距的问题。同样，与安全性兼容的纠缠设备的精确最优比例被作为一个开放问题留下了。

论文总结道，量子泄漏韧性从根本上取决于泄漏输出的大小以及泄漏设备可获得的纠缠结构。