Quantum Vault: Symmetric No-Cloning Protection for Token Issuer and User (Benchmarked on IBM Quantum)

技术摘要：量子保险库（Quantum Vault）：针对代币发行方与用户的对称无克隆保护

问题陈述
目前的量子代币、量子货币和身份认证方案主要依赖于“不可克隆定理”（no-cloning theorem）来防止伪造。在标准架构中，发行代理（如银行）准备一个由经典参数 $(\theta, \phi)$ 定义的量子态 $|\psi\rangle$，将该状态传输给用户，并存储该经典描述 $(\theta, \phi)$ 以备后续验证。虽然不可克隆定理保护了用户的代币不被复制，但这种架构存在一个关键漏洞：如果攻击者从发行方的数据库中窃取了经典侧向信息 $(\theta, \phi)$，他们就可以生成完美的伪造代币，而不会违反不可克隆定理。由于伪造者使用窃取的经典数据进行验证，验证者会接受该伪造代币，而无法察觉安全漏洞。这种针对发行方数据库的“估计并伪造”（estimate-and-forge）攻击，仍然是量子货币和网络提案中一个显著且常被忽视的威胁。

方法论
为了解决这一漏洞，作者提出了**量子保险库（Quantum Vault）**协议，该协议消除了发行方需要存储代币状态经典描述的需求。其方法论包含三个主要步骤：

1. 对称代币生成： 发行方不再存储经典数据，而是准备两个完全相同的哈尔随机（Haar-random）态 $|\psi\rangle^{\otimes N}$ 中的量子代币，其中 $N$ 是由非纠缠独立量子比特组成的系综数量。其中一个代币交给用户，另一个保留在银行的“保险库”中。至关重要的是，所有关于角度 $(\theta, \phi)$ 的经典信息都会被立即丢弃。
2. SWAP 测试认证： 通过使用 SWAP 测试 将用户的代币与保险库中的副本进行对比来进行身份验证。该电路涉及一个辅助量子比特、Hadamard 门以及两个代币量子比特之间的受控 SWAP 操作。辅助量子比特的测量结果产生一个值 $c_n \in \{0, 1\}$。在 $N$ 个量子比特上这些测量结果的平均值 $\bar{c}$ 作为验证的可观测量。
   • 如果状态相同，则 $\bar{c} \approx 0$。
   • 如果状态不同，则 $\bar{c} > 0$。
3. 硬件无关基准测试： 该协议在三台 IBM 量子处理器（Kingston、Fez 和 Marrakesh）上实现并进行了基准测试，使用了 Qiskit SDK。研究利用了遍历近似（ergodic approximation），通过对独立连续电路脉冲进行时间平均，来模拟 $N$ 个量子比特的系综。
4. 安全性建模： 作者模拟了一种“估计并伪造”攻击，即攻击者试图通过对用户代币沿 $x, y, z$ 轴进行 SWAP 测试来重建代币状态 $|\psi\rangle$。攻击者使用极大似然估计（MLE）来重建状态，并随后尝试伪造代币以进行认证。

核心贡献

• 对称保护： 该协议为用户和银行提供了对称保护。双方都不持有经典密钥；安全性完全依赖于量子不可克隆定理和保险库副本的物理存在。
• 银行介导的可验证性： 通过移除经典密钥，银行可以将身份验证接口授权给不可信的第三方（如商家）。这些第三方可以在不克隆代币或获取其状态的情况下，通过保险库副本验证代币的有效性。然而，该方案本质上是非匿名的，因为银行必须知道代币的所有者才能执行对比，从而维持了一个中心化的架构，而非真正的公钥系统。
• 可追溯性与可撤销性： 与匿名量子货币方案不同，量子保险库是非匿名的。由于银行保留了保险库副本，它可以追踪代币的所有权并在必要时撤销代币。
• 安全性量化： 论文通过在不同硬件平台上比较接受真实代币的概率 ($p_b$) 与接受伪造代币的概率 ($p_f$)，对协议的安全性进行了量化。

结果
研究使用 $N=90$ 个量子比特的系综（旨在平衡噪声与离散化效应）以及由 $M=200$ 个代币组成的量子账单进行了基准测试。

• 质量参数： 硬件性能通过质量参数 $Q_a$（振荡幅度/对比度）和 $Q_o$（偏移量）进行表征。Kingston 处理器表现最佳（$Q_a \approx 0.892$），其次是 Fez 和 Marrakesh。
• 假阴性（第一类错误）： 验收阈值 $c^*$ 经过校准，使得真实代币的接受概率 $p_b \geq 0.99$。
• 假阳性（第二类错误）： 对于单个代币，伪造代币被接受的概率 $p_f$ 根据硬件不同在 0.66 到 0.75 之间波动。然而，对于包含 $M=200$ 个代币的量子账单，成功伪造的概率 $P_f$ 呈指数级下降。
  • 即使在表现最差的硬件（Marrakesh）上，采用保守的误差估计，针对 200 个代币账单的成功伪造概率仍为 $P_f < 10^{-10}$。
  • 在表现最好的硬件（Kingston）上，1$\sigma$ 置信区间内的 $P_f$ 范围为 $10^{-33}$ 到 $10^{-21}$，其不确定度的上限达到 $10^{-21}$。
• 权衡： 作者指出，消除经典侧向信息降低了真实代币的认证效率（相比于保留经典数据的协议）。因此，需要更多的代币（较大的 $M$ 值）来达到同等的防伪安全水平。

意义与主张
论文声称，量子保险库通过保护发行方（而非仅仅是用户）为实用的量子货币和网络架构迈出了关键一步。通过证明该协议可以在当前的含噪声中等规模量子（NISQ）硬件上实现极低的伪造概率（$<10^{-10 person}$），作者认为该方案在未来应用中是可行的。

其意义在于从私钥架构（仅银行可验证）转向了一种可以实现公开可验证性的模型，尽管这种可验证性是通过银行介导的接口而非完全去中心化的公钥系统实现的。作者强调，虽然该协议并非针对所有可能攻击（例如，文中提到了替换攻击或侧信道攻击）的完整数学证明，但其在 IBM 量子处理器上的硬件无关基准测试提供了一个实际的性能上限。结果表明，随着硬件的持续演进和优化系综对比技术，量子保险库为量子身份和价值转移提供了一个稳健、可追溯且可撤销的框架。