Rygorystyczny dowód bezpieczeństwa dla kwantowych pieniędzy Wiesnera?

W swoim słynnym artykule „Conjugate Coding” (napisanym około 1970 r.) Stephen Wiesner zaproponował schemat pieniądza kwantowego, który jest bezwarunkowo niemożliwy do sfałszowania, zakładając, że bank emitujący ma dostęp do ogromnej tabeli liczb losowych i że banknoty można przynieść z powrotem do banku w celu weryfikacji. W schemacie Wiesner, każdy banknot składa się z klasycznych „numer seryjny” wraz z kwantowego stanu pieniędzy | ψ s ⟩ składający się z n unentangled qubitach, każda albo$s$$|\psi_s\rangle$$n$

$$|0\rangle,\ |1\rangle,\ |+\rangle=(|0\rangle+|1\rangle)/\sqrt{2},\ \text{or}\ |-\rangle=(|0\rangle-|1\rangle)/\sqrt{2}.$$

Bank pamięta klasyczny opis dla każdego s . A zatem, kiedy | * F s ⟩ doprowadza się z powrotem do banku w celu weryfikacji, bank może mierzyć każdą qubit z | * F s ⟩ w odpowiedniej podstawie (albo { | 0 ⟩ , | 1 ⟩ } lub | + ⟩ , | - ⟩ ) i sprawdzić, czy robi poprawnych wyników.$|\psi_s\rangle$$s$$|\psi_s\rangle$$|\psi_s\rangle$$\{|0\rangle,|1\rangle\}$${|+\rangle,|-\rangle}$

Z drugiej strony, ze względu na relację niepewności (lub alternatywnie, twierdzenie o braku klonowania), „intuicyjnie oczywiste” jest, że jeśli fałszerz, który nie zna prawidłowych podstaw, próbuje skopiować , a prawdopodobieństwo tego, że zarówno stanów wyjściowych fałszerza za przechodzi testu sprawdzającego banku może być co najwyżej c n , dla pewnej stałej c < 1 . Ponadto, powinno to być prawdą niezależnie od tego, jaką strategię fałszerz korzysta, zgodnie z mechaniką kwantową (np nawet jeśli fałszerz używa fantazyjne pomiarów splątane na | * F s ⟩ ).$|\psi_s\rangle$$c^n$$c<1$$|\psi_s\rangle$

Jednak pisząc artykuł o innych programach pieniądza kwantowego, mój współautor i ja zdaliśmy sobie sprawę, że nigdzie nie widzieliśmy ścisłego dowodu powyższego roszczenia ani wyraźnej górnej granicy : ani w oryginalnej pracy Wiesnera, ani w żadnej późniejszej .$c$

Czy opublikowano taki dowód (z górną granicą )? Jeśli nie, to czy można wyciągnąć taki dowód w mniej lub bardziej prosty sposób z (powiedzmy) przybliżonych wersji Twierdzenia o braku klonowania, lub wyniki dotyczące bezpieczeństwa schematu kwantowego podziału klucza BB84?$c$

Aktualizacja: W świetle poniższej dyskusji z Joe Fitzsimonem powinienem wyjaśnić, że szukam czegoś więcej niż tylko ograniczenia bezpieczeństwa BB84. Zamiast tego szukam wyraźnej górnej granicy prawdopodobieństwa udanego podrabiania (tj. Na ) --- i idealnie, także trochę zrozumienia, jak wygląda optymalna strategia fałszowania. To znaczy, czy optymalna strategia po prostu mierzy każdy kubit | ψ s ⟩ niezależnie, na przykład w oparciu$c$$|\psi_s\rangle$

$$\{ \cos(\pi/8)|0\rangle+\sin(\pi/8)|1\rangle, \sin(\pi/8)|0\rangle-\cos(\pi/8)|1\rangle \}?$$

Czy może istnieje zaplątana strategia fałszowania, która działa lepiej?

Aktualizacja 2: Obecnie najlepsze znane mi strategie fałszowania to (a) powyższa strategia oraz (b) strategia, która po prostu mierzy każdy kubit w Podstawa i „nadzieje na najlepsze.” Co ciekawe, obie te strategie okazują się osiągnąć prawdopodobieństwo sukcesu (5/8) ⁿ . Tak więc, moim przypuszczeniem jest, że (5/8) ⁿ może być właściwą odpowiedzią. W każdym razie fakt, że 5/8 jest niższy$\{|0\rangle,|1\rangle\}$ związany na c wyklucza jakikolwiek argument bezpieczeństwa dla schematu Wiesnera, który jest „zbyt” prosty (na przykład jakikolwiek argument prowadzący do tego, że fałszerz nie może nic nie robić, a zatem prawidłowa odpowiedź to c = 1/2).

Aktualizacja 3: Nie, poprawna odpowiedź to (3/4) ⁿ ! Zobacz wątek do dyskusji poniżej odpowiedzi Abla Moliny.

Wygląda na to, że tę interakcję można modelować w następujący sposób:

1. Alice przygotowuje jeden ze stanów , | 101 ⟩ , ( | 0 ⟩ + | 1 ⟩ ) | 10 ⟩ / $|000\rangle$$|101\rangle$ ,(|0⟩-|1⟩)| 11⟩/$(|0\rangle+|1\rangle)|10\rangle/\sqrt{2}$ , zgodnie z pewnym rozkładem prawdopodobieństwa, i wysyła pierwszy kubit do Boba.$(|0\rangle-|1\rangle)|11\rangle/\sqrt{2}$
2. Bob wykonuje dowolny kanał kwantowy, który wysyła swój kubit do dwóch kubitów, które następnie są zwracane Alice.
3. Alice wykonuje pomiar rzutowy na czterech kubitach znajdujących się w jej posiadaniu.

Jeśli się nie mylę (i przepraszam, jeśli tak), mieści się to w formalizmie Gutoskiego i Watrousa przedstawionym tu i tutaj , co oznacza, że:

1. Z twierdzenia 4.9 w drugim z nich optymalne jest, aby Bob działał niezależnie, gdy Alice powtarza ten proces z kilkoma kubitami w niezależny sposób, jeśli celem Boba jest zawsze oszukiwanie Alice.
2. Możliwe jest uzyskanie wartości c z małego programu półfinałowego. Więcej informacji na temat uzyskania tego programu można znaleźć w części 3 tutaj . Zobacz komentarze do kodu cvx dla programu i jego wartości.

$\alpha |0\rangle + \beta |1\rangle$$\alpha$$\beta\in \mathbb{R}\:$

$$\left(\frac{1}{2}+ \frac{1}{\sqrt{8}}\right)^{2n} \approx .72855^n$$ $n$$(\frac{5}{8})^n$

$\sum_{i=1}^2 A_i \rho A_i^\dagger$

$$A_1 = \left( \begin{array}{cc} \frac{1}{2}+\frac{1}{\sqrt{8}} & 0\\ 0 & \frac{1}{\sqrt{8}}\\ 0 & \frac{1}{\sqrt{8}}\\ \frac{1}{2}-\frac{1}{\sqrt{8}} & 0 \end{array} \right) \ \ \ \ A_2 = \left(\begin{array}{cc} 0& \frac{1}{2}-\frac{1}{\sqrt{8}} \\ \frac{1}{\sqrt{8}}&0\\ \frac{1}{\sqrt{8}}&0\\ 0&\frac{1}{2}+\frac{1}{\sqrt{8}} \end{array} \right) .$$

$\sum_{i=1}^2 A_i \rho A_i^\dagger$

$$A_1 = \frac{1}{\sqrt{12}}\left( \begin{array}{cc} 3 & 0\\ 0 & 1\\ 0 & 1\\ 1 & 0 \end{array} \right) \ \ \ \ A_2 = \frac{1}{\sqrt{12}}\left(\begin{array}{cc} 0& 1 \\ 1&0\\ 1&0\\ 0&3 \end{array} \right) .$$

Wyraźnie pochodzą one z tej samej rodziny transformacji, ale zostały zoptymalizowane pod kątem spełnienia różnych funkcji celu. Wydaje się, że ta rodzina transformacji kowariantnych została podana przez

$$A_1 = \frac{1}{\sqrt{2x^2+4y^2}}\left( \begin{array}{cc} x+y & 0\\ 0 & y\\ 0 & y\\ x-y & 0 \end{array} \right) \ \ \ \ A_2 = \frac{1}{\sqrt{2x^2+4y^2}}\left(\begin{array}{cc} 0& x-y \\ y&0\\ y&0\\ 0&x+y \end{array} \right) .$$

Nie znam opublikowanego dowodu bezpieczeństwa. Sądzę, że najprostszy sposób i najsilniejsze ograniczenie wynikałoby z przybliżonego braku klonowania, ale myślę, że potrzebujesz wersji specjalnej dla stanów BB84. Nawet redukcja z BB84 nie jest oczywista, ponieważ warunek bezpieczeństwa dla BB84 jest inny.

Sądzę, że można uzyskać dowód bezpośrednio w wyniku dowodu bezpieczeństwa szyfrowania niemożliwego do sklonowania ( quant-ph / 0210062 ). Nie będzie to miało ścisłej górnej granicy prawdopodobieństwa oszustwa, ale przynajmniej zapewni bezpieczeństwo.

$\rho_k$

Można to wykorzystać do stworzenia schematu pieniądza kwantowego: Bank A wykorzystuje niesklonowane szyfrowanie do szyfrowania losowego ciągu „wiadomości”. Istnieje niesklonowalny schemat szyfrowania, który jest w zasadzie BB84, więc może to dać schemat Weisnera. Ewa przechwytuje pieniądze, wchodzi w interakcję z nimi i wysyła zmodyfikowany oryginał do Banku B. Próbuje również wykonać kopię, która trafia do Banku C. Banki B i C akceptują, jeśli podany im stan przejdzie test podsłuchiwania szyfrowania nie podlegającego klonowaniu , a jeśli dekodują poprawny losowy ciąg „wiadomości”. Nieklonowalna właściwość szyfrowania b mówi, że z dużym prawdopodobieństwem albo kopia B nie przejdzie testu podsłuchu, albo kopia C nie zawiera prawie żadnych informacji o wiadomości. Jest to silniejsze niż to konieczne, ale wystarczające do udowodnienia bezpieczeństwa.

Dla najlepszego ataku asymptotycznego wyobrażam sobie, dzięki kwantowi de Finetti, że najlepszy atak zbiorowy jest taki sam, jak najlepszy atak indywidualny.