Wiesner量子货币的严格安全证明？

斯蒂芬·维斯纳（Stephen Wiesner）在其著名的论文“共轭编码”（1970年左右）中提出了一种量子货币方案，该方案无条件地不可伪造，前提是发卡银行可以使用巨大的随机数表，并且可以携带钞票回到银行进行验证。在Wiesner的方案中，每张钞票由一个经典的“序列号”以及一个由量子比特组成的量子货币状态组成，每个量子比特| ψ 小号$s$$|\psi_s\rangle$$n$

$$|0\rangle,\ |1\rangle,\ |+\rangle=(|0\rangle+|1\rangle)/\sqrt{2},\ \text{or}\ |-\rangle=(|0\rangle-|1\rangle)/\sqrt{2}.$$

该银行还记得的经典描述每一个。因此，当将带回银行进行验证时，银行可以以正确的基础测量每个量子位（或），并检查其是否获得正确的结果。小号| ψ 小号 ⟩ | ψ 小号 ⟩ { | 0 ⟩ ，| 1 ⟩ } | + ⟩ ，| - $|\psi_s\rangle$$s$$|\psi_s\rangle$$|\psi_s\rangle$$\{|0\rangle,|1\rangle\}$${|+\rangle,|-\rangle}$

另一方面，由于不确定性关系（或者说，无克隆定理），如果不知道正确碱基的伪造者试图复制，那么“直观上就很明显”。对于某些常数，造假者的两个输出状态均通过银行的验证测试的概率最多为。此外，无论伪造者采用哪种策略，都应采用与量子力学一致的策略（例如，即使伪造者在上使用奇特的纠缠测量），也应如此。ç Ñ ç < 1 | ψ 小号$|\psi_s\rangle$$c^n$$c<1$$|\psi_s\rangle$

但是，在撰写有关其他量子货币方案的论文时，我和我的合著者意识到我们从未在任何地方看到上述要求的严格证据，或者在没有明确的上限：无论是在Wiesner的原始论文还是以后的任何论文中， 。$c$

所以，有这样的证明（与上限）已经公布？如果不是，那么可以从（例如）无克隆定理的近似版本中以某种或多或少的直接方式得出这样的证明，或者是关于BB84量子密钥分配方案的安全性的结果吗？$c$

更新：根据下面与Joe Fitzsimons的讨论，我应该澄清，我正在寻找的不仅仅是降低BB84安全性的方法。而是，我正在寻找成功伪造的可能性的明确上限（即），并且理想情况下，还应该对最佳伪造策略的模样有所了解。即，最优策略是否简单地独立地测量每个量子位| ψ 小号$c$$|\psi_s\rangle$

$$\{ \cos(\pi/8)|0\rangle+\sin(\pi/8)|1\rangle, \sin(\pi/8)|0\rangle-\cos(\pi/8)|1\rangle \}?$$

还是有一个纠结的伪造策略做得更好？

更新2：现在，我知道最好的伪造策略是（a）以上策略，和（b）简单地以基础测量每个qubit的策略，希望最好。” 有趣的是，这两种策略最终都实现了（5/8）ⁿ的成功概率。因此，我目前的猜测是（5/8）ⁿ可能是正确的答案。无论如何，5/8是c 的下界这一事实排除了Wiesner方案“太简单”的任何安全性论证（例如，任何论证伪造者都可以做到的事情都是不平凡的，因此正确的答案是c = 1/2）。$\{|0\rangle,|1\rangle\}$

更新3：不，正确的答案是（3/4）ⁿ！请参阅下面的讨论线程Abel Molina的答案。

似乎可以通过以下方式对这种交互进行建模：

1. 爱丽丝准备以下状态之一：，，，，根据一定的概率分布，并将第一个量子比特发送给Bob。| 101 ⟩ （| 0 ⟩ + | 1 ⟩ ）| 10 ⟩ / $|000\rangle$$|101\rangle$（|0⟩-|1⟩）| 11⟩/$(|0\rangle+|1\rangle)|10\rangle/\sqrt{2}$$(|0\rangle-|1\rangle)|11\rangle/\sqrt{2}$
2. 鲍勃执行任意量子通道，将其量子位发送到两个量子位，然后将其返回给爱丽丝。
3. 爱丽丝对自己拥有的四个量子位执行投影测量。

如果我对此没有错（如果是，我很抱歉），那么这属于此处和此处介绍的Gutoski和Watrous的形式主义之内，这意味着：

1. 从第二定理4.9中可以看出，如果Bob的目的始终是愚弄Alice，那么当Alice以几个独立的方式用几个量子位重复此过程时，最好让Bob独立行动。
2. 可以从一个小的半定程序中获得c的值。您可以在此处的第3节中找到有关如何获取此程序的更多详细信息。有关程序及其值的cvx代码，请参见注释。

克隆BB84状态的问题被覆盖在纸 “相位协变量子克隆”由达格玛Bruß，米尔科Cinchetti，G.莫罗D'阿里亚诺，和Chiara的Macchiavello [ 物理学修订版A， 62， 012302（2000），方程。36]。它们为这些状态提供了一个最佳克隆器（对于任何状态与，也是一个最佳克隆器）。他们没有使用与您所要求的相同的保真度进行优化，但是我怀疑他们的克隆器最适合您的问题。其克隆器给出成功概率 为假冒α β ＆Element; $\alpha |0\rangle + \beta |1\rangle$$\alpha$$\beta\in \mathbb{R}\:$Ñ（

$$\left(\frac{1}{2}+ \frac{1}{\sqrt{8}}\right)^{2n} \approx .72855^n$$ $n$BB84指出，比。$(\frac{5}{8})^n$

更新：Bruß等人的最佳克隆器由 给出$\sum_{i=1}^2 A_i \rho A_i^\dagger$

$$A_1 = \left( \begin{array}{cc} \frac{1}{2}+\frac{1}{\sqrt{8}} & 0\\ 0 & \frac{1}{\sqrt{8}}\\ 0 & \frac{1}{\sqrt{8}}\\ \frac{1}{2}-\frac{1}{\sqrt{8}} & 0 \end{array} \right) \ \ \ \ A_2 = \left(\begin{array}{cc} 0& \frac{1}{2}-\frac{1}{\sqrt{8}} \\ \frac{1}{\sqrt{8}}&0\\ \frac{1}{\sqrt{8}}&0\\ 0&\frac{1}{2}+\frac{1}{\sqrt{8}} \end{array} \right) .$$

通过Abel准定程序的解决方案找到的最佳克隆器为 ，其中：$\sum_{i=1}^2 A_i \rho A_i^\dagger$

$$A_1 = \frac{1}{\sqrt{12}}\left( \begin{array}{cc} 3 & 0\\ 0 & 1\\ 0 & 1\\ 1 & 0 \end{array} \right) \ \ \ \ A_2 = \frac{1}{\sqrt{12}}\left(\begin{array}{cc} 0& 1 \\ 1&0\\ 1&0\\ 0&3 \end{array} \right) .$$

这些显然来自相同的转换族，但已进行了优化以满足不同的目标功能。这个协变变换族似乎由

$$A_1 = \frac{1}{\sqrt{2x^2+4y^2}}\left( \begin{array}{cc} x+y & 0\\ 0 & y\\ 0 & y\\ x-y & 0 \end{array} \right) \ \ \ \ A_2 = \frac{1}{\sqrt{2x^2+4y^2}}\left(\begin{array}{cc} 0& x-y \\ y&0\\ y&0\\ 0&x+y \end{array} \right) .$$

我不知道已发布的安全性证明。我认为最简单的方法和最强的界限来自近似的不克隆，但是我想您需要专门针对BB84状态的版本。由于BB84的安全性条件不同，因此即使从BB84还原也不太明显。

我确实认为，由于不可克隆加密的安全性证明（quant-ph / 0210062），您可以直接获得证明。这不会对作弊概率有严格的上限，但至少可以提供安全性。

在不可克隆的加密中，A使用量子态向B发送经典消息。（A和B共享一个秘密密钥。）安全性条件有两个：a）当Eve截获初始传输时，她没有获得任何有关消息的信息。b）无论夏娃采取什么策略，要么她很可能被鲍勃抓住，要么当密钥为k时她的剩余状态几乎没有关于消息的信息。b表示，如果不太可能抓到Eve，即使她后来了解到A和B所使用的密钥，她也不会保留有关该消息的信息。这被解释为无克隆结果：夏娃可以窃取密文，但她不能在不弄乱鲍勃收到的消息的情况下进行复制。$\rho_k$

这可以用于创建量子货币方案：银行A使用不可克隆的加密来对随机字符串“消息”进行加密。有一个不可克隆的加密方案，基本上是BB84，因此可以提供Weisner的方案。夏娃拦截了这笔钱，与之互动，然后将修改后的原件发送给银行B。她还尝试制作一份副本，然后交给银行C。银行B和C接受是否提供给他们的状态通过了不可克隆的加密窃听测试，以及它们是否解码了正确的随机“消息”字符串。不可克隆的加密属性b表示，很有可能B的副本未通过窃听测试，或者C的副本几乎不包含有关消息的信息。这比需要的要强，但是足以证明安全性。

对于最佳的渐进式攻击，我想，由于量子de Finetti的原因，最佳的集体攻击与最佳的个人攻击相同。