Универсальное квантовое хеширование Текст научной статьи по специальности «Математика»

____________УЧЕНЫЕ ЗАПИСКИ КАЗАНСКОГО УНИВЕРСИТЕТА

Том 156, кн. 3 Физико-математические науки

2014

УДК 519.71

УНИВЕРСАЛЬНОЕ КВАНТОВОЕ ХЕШИРОВАНИЕ

Ф.М. Аблаев, М.Ф. Аблаев, А.В. Васильев

Аннотация

Предложен метод квантового хеширования, комбинирующий известные конструкции универсальных хеш-семейств с квантовыми односторонними функциями. Определено понятие квантового хеш-генератора и предложен подход для построения большого числа различных квантовых хеш-функций. Конструкция основана на объединении классических е-универсальных хеш-семейств и заданного семейства функций - квантового хеш-генератора. Предложенная конструкция обладает свойствами устойчивого представления информации классическими кодами с исправлением ошибок, а также возможностью высоконадежного представления информации квантовыми системами. В частности, предложена квантовая хеш-функция, основанная на коде Рида - Соломона, и доказано, что данная конструкция является оптимальной в смысле необходимого числа кубитов.

Ключевые слова: квантовые вычисления, квантовые коммуникации, квантовое хеширование.

Введение

Хеширование имеет ряд важных приложений в различных областях информатики, в частности, криптографические протоколы с открытым ключом основываются на криптографических хеш-функциях. Хеш-функции строятся так, чтобы преобразовывать входные последовательности большой длины (теоретически - любой длины) в короткие хеш-коды (на практике - фиксированной длины).

В последнее десятилетие появилось несколько подходов (в литературе известно по крайней мере два подхода) к построению понятия квантовой функции.

Первый подход предложен в работе [1], в которой определяется семейство «классически-классических» функций, аргументами и значениями которых являются классические последовательности. Такие функции предположительно являются односторонними не только для классических, но и для квантовых алгоритмов. Авторы называют их квантовыми односторонними функциями.

Другой подход к определению квантовой функции сформулирован в работе [2]. Их функции «классически-квантовые», то есть аргументами функции являются классические последовательности, значениями - квантовые состояния. Другая «классически-квантовая» функция определена в работе Бурмана и др. [3]. Данная функция построена на основе двоичных кодов, исправляющих ошибки (в [3] использованы коды Джастесена). В [2, 3] доказано, что предложенные функции являются односторонними в смысле невозможности восстановления исходного слова по его квантовому образу.

Путем использования «классически-квантовых» функций на основе двоичных кодов, исправляющих ошибки, предложены различные сценарии построения квантовых систем цифровой подписи [2, 4, 5].

В настоящей работе мы анализируем определенные в [2, 3] «классически-квантовые» функции и вводим понятие «классически-квантовой» хеш-функции,

7

8

Ф.М. АБЛАЕВ И ДР.

которое является естественным обобщением понятия «классически-квантовой» односторонней функции. Мы предлагаем «классически-квантовые» хеш-функции, исследуем их криптографические свойства, рассматриваем подходы к построению универсального квантового хеширования.

1. Предварительные сведения

Квантовая односторонняя функция была определена в [2]. Классически-кван-товой функцией будем называть функцию вида

ф : {0,1}n ^ (H2)®8, ф : w ^ \фЫ), где

(H2)®s = H2 = пт

обозначает 2s-мерное гильбертово пространство, описывающие состояния s кубит.

Пример 1. Слово w £ {0,1}n при начальном состоянии \ф(е)) = \0) = 1\0) + + 0\1) кубита кодируется в следующее состояние \ф(w)) кубита:

( 2 nw i—> cos ---

V 2n

Здесь двоичное слово w = wo ... wn-1 также рассматривается как число w = wo +

+ wi21 + ■ ■ ■ + wn-i 2n 1.

Очевидно, что разные последовательности w и v могут стать «практически неотличимыми», если вектора ^(w)) и \ф(v)) близки. Последнее будет нарушать требование стойкости к коллизиям.

Отметим, что в различных статьях (см., например, [4, 5]) также неявно подразумевается наличие дополнительного свойства, обеспечивающего устойчивость к квантовым коллизиям, при этом само понятие квантовой коллизии не определяется. Необходимость введения данного понятия заключается в том, что при квантовом хешировании коллизии в классическом понимании отсутствуют, так как порождаемые квантовой хеш-функцией состояния различны для различных исходных сообщений. Однако сравнение квантовых хеш-кодов подразумевает выполнение вероятностной процедуры измерения квантовых состояний, что может приводить к ошибкам, связанным с коллизиями.

Квантовой коллизией будем называть ситуацию, когда процедура, проверяющая равенство квантовых хеш-кодов, ошибочно выдает совпадение различных исходных сообщений. Такой процедурой может быть хорошо известный SWAP-тест [3] или специфический для квантовой хеш-функции алгоритм. В любом случае процедура проверки связана с понятием различимости квантовых состояний. И поскольку неортогональные состояния не могут быть достоверно различены, потребуем, чтобы они были «почти ортогональны». Для формализации данного понятия введем следующее определение.

Определение 1. Состояния \ф1) и \ф2) называются S-ортогональными, если

\(ф1 \ ф2)\ < S (1)

Таким образом, для квантовой хеш-функции важна S-ортогональность квантовых хеш-кодов различных слов, то есть они должны успешно проходить тесты на неравенство. Рассмотрим подробнее возможные процедуры проверки равенства.

ф : (w, \0))

УНИВЕРСАЛЬНОЕ КВАНТОВОЕ ХЕШИРОВАНИЕ

9

REVERSE -тест. В тех случаях, когда необходимо проверить, является ли квантовое состояние ^(w)) хеш-кодом некоторого классического слова v, можно применить процедуру, которую мы называем REVERSE-тест (идея такого теста для случая, когда v задается квантовым состоянием |v), была описана в [2], однако эта процедура не получила собственного названия). Суть теста заключается в применении инвертированной процедуры создания квантового хеша, то есть его «раскручивание до начального» состояния.

Формально, пусть процедура создания хеш-кода слова w состоит в применении унитарного преобразования U(w) к начальному состоянию |0), то есть |^(w)) = = U(w)|0). Тогда REVERSE-тест заключается в применении U-1(v) к квантовому хешу |-0(w)) и проверке полученного состояния. Если v = w, то результатом преобразования U-1(v)|-0(w)) всегда будет |0), и REVERSE-тест выдаст равенство; в противном случае результирующее состояние будет S-ортогонально к |0), поскольку унитарные преобразования сохраняют скалярное произведение:

(|0), U-1(v)^(w))) = (U-1(v)|^(v)), U-1(v)|^(w))) = (|^(v)), |ФН)) < S. (2)

Таким образом, при v = w REVERSE-тест может ошибаться с вероятностью S. При этом предлагаемый вариант квантового хеширования позволяет применять REVERSE-тест со сколь угодно малой вероятностью ошибки S.

Отметим, что здесь мы не учитываем погрешности реализации операторов U(w) и U-1(w).

SWAP-тест. Для сравнения двух квантовых состояний (в частности, хеш-кодов) часто используется SWAP-тест [3], задаваемый следующей схемой:

|0)

Mw))

^(v))

Данный тест выдает результат |^(w)) = |^(v)), если при измерении первый кубит оказывается в состоянии |0). В работе [3] показано, что SWAP-тест обладает следующим свойством.

Свойство 1. Вероятность получения состояния |0) в результате SWAP-теста равна

2 (i + КфМ | ^(v))|2).

Таким образом, при |^(w)) = |^(v)) данный тест не ошибается, а в случае |-0(w)) = |^(v)) вероятность ошибки зависит от скалярного произведения |^(w)) и |-0(v)) - она минимальна (близка к 1/2), если эти состояния будут ортогональны или «почти ортогональны» [2].

Таким образом, свойство S-ортогональности квантовых состояний является важным качеством для обеспечения устойчивости к квантовым коллизиям, в связи с эти введем понятие S -устойчивости.

Определение 2. Назовем квантовую функцию ф : w ^ |^(w)) S-устойчивой (кратко S-R), если для любой пары сообщений w, w', w = w' выполняется:

КФМ | Ф(w'))| < S, то есть их образы S-ортогональны.

10

Ф.М. АБЛАЕВ И ДР.

Объединением понятия квантовой односторонней функции и определения 2 является следующее определение классически-квантовой хеш-функции.

Определение 3. Назовем функцию

ф : {0,1}n ^ (H2)®8

S-R (n; s)-квантовой хеш-функцией, если она является квантовой односторонней и S-устойчивой функцией.

Положим X = {0,1}n, K = |X| = 2n. Следующая теорема, дающая нижнюю оценку на число требуемых кубит для выбранной степени устойчивости S, верна также для конечных алфавитов Я, отличных от {0,1}.

Теорема 1. Пусть функция ф : X ^ (H2)®s является S -устойчивой. Тогда s > log log |X| - log log (l + ^2/(1 - S)j - 1.

Доказательство. Из определения нормы |||ф)|| = \J(ф | ф) следует, что

11|ф)-|ф')112 = 1ИФ)Н2 + 11|ф')112 - 2(ф|ф').

Следовательно, для произвольной пары w, w' различных слов из X имеем

ll^(w)) - > V2(1 - S)-

Положим Д = ^/2(1 - S).

Рассмотрим множество Ф = {|ф(w)) : w G X} точек в пространстве (H2)®s. Если описать сферы радиуса Д/2 с центрами в точках |ф) G Ф, тогда все такие сферы могут пересекаться только по окружности. Все эти K сфер располагаются в сфере радиуса 1 + Д/2. Объем сферы радиуса r в комплексном пространстве (H2)®s равен cr2 + . Константа c определяется метрикой пространства (H2)®s.

Таким образом, имеем, что число K ограничено сверху числом «малых сфер» в «большой сфере»:

c(1 + Д/2)2°+1

K

с(Д/2)

2s + i

Следовательно,

s > log log K - log log (1 + л/2/(1 - S)) - 1.

□

Следующее свойство непосредственно следуют из определения 3 и свойства 1.

Свойство 2. Если функция ф : w ^ ^(w)) является S -R (n; s) -квантовой хеш-функцией, тогда SWAP-тест различает квантовые хеш-коды двух слов

w = w' с вероятностью ^(1 - S2).

Доказательство. Согласно свойству 1 вероятность ошибки SWAP-теста для различных исходных состояний описывается выражением ^ (1 + |^(w) | ф^'))|2) . Таким образом, поскольку для S-устойчивой функции |^(w) | ф(w'))| < S, SWAP-тест различает квантовые хеш-коды двух слов w = w' с вероятностью ^(1-S2). □

УНИВЕРСАЛЬНОЕ КВАНТОВОЕ ХЕШИРОВАНИЕ

11

Отметим, что вероятность ошибки SWAP-теста можно уменьшить до любого наперед заданного е > 0 с помощью стандартной процедуры повтора, то есть применяя SWAP-тест на k = O(log1/e) независимых копиях сравниваемых состояний. Другими словами, для надежного сравнения в качестве квантового хеша для и £ {0,1}n можно использовать функцию

ф' : и ^ |ф'(и)},

представляемую формулой

|Ф'(и)} = |ф(и)}®к = |ф(и)} &■■■(& |ф(и)}.

В этом случае общее число кубит для хеширования слов увеличивается в k = = O(log(1/e)) раз.

Кроме того, заметим, что S-устойчивость также обеспечивает стойкость к коллизиям второго рода, так как невозможно подобрать два различных сообщения, которые бы SWAP-тест ошибочно принимал за равные с вероятностью, близкой к 1.

В завершение данного раздела представим первые две квантовые хеш-функции, основанные на известных конструкциях квантовых методов отпечатков, предложенных в работах [3] и [6].

1.1. Квантовая функция отпечатков («булева (двоичная) конструкция»). В работе [3] Бурман и др. определили квантовую одностороннюю функцию

fE : и ^ |fE(и)}

на двоичных словах и £ {0,1}n, основанную на двоичных кодах, исправляющих ошибки (конкретно на коде Джастесена) E : {0,1}n ^ {0,1}m. Такую функцию авторы назвали квантовым отпечатком (quantum fingerprint) и и определили следующим образом:

.. m — 1

| fE(и)} = |i} |Ei(и)},

где т = cn, E^u) обозначает i-й бит E(и). Квантовая функция fE представима также в следующем виде:

|fE (и)}

—1

£ |':>

i=0

1

cos

nEj(w)

2

|0} + sin

nEi (и) 2

Свойство 3. Для S « 9/10+ 1/(15c) квантовая функция отпечатков fE является S-R (n; O(logn)) -квантовой хеш-функцией.

Доказательство. В [3] доказано, что функция fE является квантовой односторонней функцией и S-устойчивой к коллизиям при S « 9/10 + 1/(15c). □

1.2. Обобщенная квантовая функция отпечатков («q-я конструкция»). Рассматриваемая ниже конструкция квантовой хеш-функции является (в определенном смысле) обобщением конструкции булева варианта квантовой функции отпечатков на случай q > 2 и может быть названа q -й квантовой функцией отпечатков.

Пусть q = 2n, B = {bi : bi £ {0,..., q — 1}}. Классически-квантовая функция

фъв : {0,1}n ^ (H2)®(log |B| + 1)

12

Ф.М. АБЛАЕВ И ДР.

определяется следующим образом. Для сообщения M £ {0,1}n полагаем

\ФЧ,Б (M)>

1

тш

2n6jM

q

\0> + sin

2n6jM

q

(3)

Теорема 2. Для произвольного S > 0 существует множество B С Zq такое, что \B\ = |"(2/S2) ln(2q)], и функция фqB является S-R (n; O(logn + log1/S)) -квантовой хеш-функцией.

Доказательство. Для доказательства теоремы достаточно доказать, что функция фq,Б является односторонней и S-устойчивой.

Для доказательства S-устойчивости фq}Б понадобятся следующие вспомогательные сведения.

Определение 4. Дискретным преобразованием характеристической функции множества B С Zq называется функция

/б (l)

ьеБ

exp i

2nbl

q

ГГ wm \/б (l)\ ,/m \Re(/B (l))\ T, r r

v J i=o \B\ v J i=o \B\

те [7], A(B) дает некоторую меру «хаотичности» множества B: чем меньше A(B), тем более «случайно» устроено множество B. Мы определили S(B) подобным образом, но оно использует лишь вещественную часть /б (l). Очевидно, S(B) < A(B).

Для построения нашей техники нам понадобится B с наименьшим возможным S(B). В [7] была предложена конструкция, позволяющая для е =

получить множество B, для которого \B\ = (log q)O(1) и A(B) < е. Кроме того, в работе [8] была доказана следующая лемма.

(log q)O(1)

\B\

Лемма 1. Для любого е £ (0,1) существует множество B, для которого 2

- ln(2q) и S(B) < е.

Заметим, что в [8] не применялось обозначение S(B), вместо этого использова-1 v -ч 2nbl

лась запись 7-^7 у, cos--.

\B\

ьеБ

q

Зафиксируем S £ (0,1) и выберем множество B, удовлетворяющее условиям леммы 1 при е = S2 .В этом случае функция фq,Б является S-устойчивой, так как для любых W1 = W2

\^q,B (w1) \ фq,Б (w2)>\ =

1

W\

|Б|

El 2nb»wi 2nbjW2 2nb»wi 2nbjW2

( cos------cos---------+ sin-------sin

\B\

E

cos

2nbj(wi - W2)

< S(B) < S.

Б

1

q

(4)

Таким образом, функция фq,Б хеширует n-битные сообщения в квантовые состояния из O(log n + log1/S) кубит и обеспечивает S-ортогональность квантовых хеш-кодов.

□

УНИВЕРСАЛЬНОЕ КВАНТОВОЕ ХЕШИРОВАНИЕ

13

2. Универсальное квантовое хеширование

Рассмотренные выше конструкции квантовых хеш-функций fE и фув объединяет следующее. Обе конструкции определяют «квантово-параллельно-равно-амплитудно-контролируемое» преобразование одного кубита. Каждое такое преобразование генерируется (задается) функциями из соответствующих специальных семейств.

Пусть G = {gi,... ,gD} - семейство функций вида gj : X ^ Fq.

Обобщением рассмотренных выше конструкций является следующее.

Определение 5 (Генератор квантовых хеш-функций). Пусть G = = {gi,...,g_D} - семейство функций вида gj : X ^ Fq, I > 1. Для g £ G пусть фд - классически-квантовая функция фд : X ^ (H2)®1, определяемая по правилу

21 —1

фд : W фд (w)) = ^2 «i(g(w))l*}, (5)

i=0

где коэффициенты Oj(g(w)), i £ {0,..., 2l — 1}, состояния формируются (задаются) функцией gj в процессе считывания w. Пусть, далее, d = log D. Определим классически-квантовую функцию фа : X ^ (H2)®(d+l) по правилу

фа : w ^ |фа(w))

D-1

TD Y, |j)lфд3 (w))

D j=0

(6)

Будем говорить, что семейство G генерирует 5-R (K; d + I) -квантовую хеш-функцию фа, и будем называть G 5-R (K; d + I)-квантовым генератором, если функция фа является 5-R (K; d + I)-квантовой хеш-функцией.

В терминах определения 5 и описанных выше квантовых хеш-функций на основе квантовой функции отпечатков и обобщенной квантовой функции отпечатков имеем, что семейство FE = {E0,... , Em-1}, где Ej : {0,1}n ^ {0,1}, Ефп) - это

i-й бит Е(п), и семейство Hq,B = {hi,... h|в|}, где hj(w) = 6jw (mod q), являются генераторами квантовых хеш-функций fE и ф^в соответственно.

2.1. е-универсальное квантовое хеширование. Выше приведены две конструкции (булева и q-я) генераторов квантовых хеш-функций на основе методов отпечатков. Ниже предлагается подход построения квантовых хеш-функций, основанный на применении композиции классических семейств е-универсальных хеш-функций и некоторого заданного генератора квантовых хеш-функций. Известно, что конструкции классических семейств е-универсальных хеш-функций связаны с кодами, исправляющими ошибки (см., например, [9]). Данный подход открывает возможности построения новых квантовых хеш-функций на основе уже имеющихся. В частности, ниже показывается, что конструкция кодов Рида-Соломона эффективна для построения квантовых хеш-функций.

Терминология и система обозначений в теории кодов, исправляющих ошибки, сформировались более пятидесяти лет назад. Поэтому ниже мы будем следовать принятым стандартам. Параметры k, n будут обозначать длину исходного слова и длину его кода соответственно.

Мы используем определения из работы [9].

• Пусть X, |X| = K, - область определения, а Y, |Y| = M, - область значений, где K > M. Хеш-функция f - это отображение f : X ^ Y, хеширующее длинные исходные слова в короткие слова-образы.

14

Ф.М. АБЛАЕВ И ДР.

• Пусть q - степень простого числа, Fq - поле, £к - множество слов длины к над алфавитом £. В дальнейшем будем полагать X = £к или X = Fq и Y = Fq .

N хеш-семейство - это множество F = {fi,... fN} N хеш-функций fi : X ^ Y.

Дополнительно полагаем, что функции f семейства F эффективно вычислимы - имеется полиномиальный по времени алгоритм вычисления f (w) по w (полиномиальный по времени от длины w).

• е-универсальное хеш-семейство. N хеш-семейство F называется е-универсальным, если для двух различных элементов w,w' £ X существуют не более еп функций f £ F таких, что f (w) = f (w'). В работе [9] используется обозначение е-U (N; K, M) для обозначения е-универсальных хеш-семейств.

Случай е = 1/N известен как универсальное хеширование.

Пусть K = |X|, M = |Y|, F = {fi,..., fn} является семейством функций fi : X ^ Y.

Пусть H = {hi,..., Ht} является семейством функций hj : Y ^ Fq . Для f £ F и h £ H определим суперпозицию g = f о h,

g : X ^ Fq

как

g(w) = (f о h)(w) = h(f (w)).

Определим композицию G семейств F и H следующим образом:

G = F о H = {g = f о h : f £ F,h £ H}.

Теорема 3. Пусть F = {fi,...,fN} является эффективным е -универсальным (N; K,M) хеш-семейством. Пусть l > 1, H = {hi,. . .Ht } является S -R (M; log T + l) -квантовым хеш-генератором, log K > log N + log T + l.

Тогда композиция G = F о H является Д -R (K; s) квантовым хеш-генератором, причем

s = log N + log T + l (7)

и

Д < е + S. (8)

Доказательство. Введем следующую запись для композиции G = F о H:

G = {gij = fi о hj : * £ I,j £ J}

где I = {1,..., N}, J = {1,..., T}.

При этом S-R (M; log T + l) -квантовый хеш-генератор H генерирует S-R (M; log T + l)-квантовую хеш-функцию

фн : v ^-L V |j)[фн,(v)). (9)

Vt 1 3

Для s = log N + log T + l, используя семейство G, определим отображение

фа : X ^ (H2)®s

как

^G(w)) = Ф/N^ |i)0|^H (fi(w))). (10)

УНИВЕРСАЛЬНОЕ КВАНТОВОЕ ХЕШИРОВАНИЕ

15

Докажем Д -устойчивость функции фа ■ Рассмотрим пару w, w' различных элементов X и скалярное произведение (фа^) | фа^')} ■ Используя линейность скалярного произведения, получаем

(фаЫ 1 фа(Л)} = nn E (фн(fi(w))1 фн(fi(w'))}. (11)

iei

Для пары w, w' определим два множества индексов /bad и /good:

/bad = {i G / : fi(w) = fi(w')}, /good = {i G / : fi(w) = fi(w')}.

Тогда получаем

|(фа(ш) 1 фаК)}|< nn XI |(фн(fi(w)) 1 фн(fi(w'))}| +

ieIbad

+ 1 E 1(фн(fi(w)) Iфн(fi(w'))}|. (12)

ie Igood

Хеш-семейство F является e-универсальным, так как

|/bad | < eN.

Квантовая функция фн : Y ^ (H2)logявляется S-устойчивой, поскольку для произвольной пары v, v' различных элементов Y скалярное произведение их образов принимает значение

|(фн(v) 1 фн(v')}| < S. (13)

Наконец, из (12) и двух предыдущих неравенств получаем, что

|(фаЫ |фаЫ)}| < e + ЕЕs < e + S. (14)

Последнее неравенство (14) доказывает Д-устойчивость фа (w) (например, для Д = e + S), что завершает доказательство неравенства (8).

Чтобы завершить доказательство теоремы, нам осталось показать, что функция фа может быть представлена в виде (6). Из (9) и (10) мы получаем, что

|фаЫ} = ^Е |i} 0 ( ^Е |j} 1фь^(fi(w))

Используя запись (5), представим (15) в следующем виде (6):

|фаМ}

1

dNT

Е

iei, jeJ

|ij}E(w)).

(15)

(16)

□

2.2. Конструкции квантового хеширования, основанные на классическом универсальном хешировании. Следующее утверждение является следствием теоремы 3 и является основой для дальнейшего построения квантовых хеш-функций в явном виде. Пусть q является степенью простого числа и Fq является полем, S G (0,1) ■ Пусть Hg,q = {hi,...h|B|}, где hi(w) = biw (mod q), является генератором квантовой хеш-функции (3). Обозначим |X| = K ■

16

Ф.М. АБЛАЕВ И ДР.

Теорема 4. Пусть F = {/i,...,/n } является эффективным е -универсальным (N; K, q) хеш-семейством, где f : X ^ Fq. Тогда для произвольного S > 0 семейство G = F о Hg,q является Д -R (K; s) -квантовым хеш-генератором, где

s < log N + loglog q + 2log1/S + 3 (17)

и

Д < е + S. (18)

Доказательство. Семейство Hg q = {hi,..., hr}, где hi : Fq ^ Fq, T = = r(2/S2)ln(2q)), l = 1, является S-R (q; s)-квантовым хеш-генератором при s = log T +1 < log n + log log q + 2 log 1/S + 3. □

В оставшейся части раздела мы приводим примеры квантовых хеш-функций, основанных на универсальных линейных семействах хеш-функций и кодах, исправляющих ошибки.

2.3. Квантовое хеширование и коды, исправляющие ошибки. Пусть q является степенью простого числа и Fq является полем. (n,k,d,)-код, исправляющий ошибки, называется линейным с Я = Fq, и C = {C(w) : w G Sk} -подпространство пространства F)(. Мы будем обозначать такой линейный код как [n,k,d]q -код.

Теорема 5. Пусть C является [n, k, d]q -кодом. Тогда для произвольного S G G (0,1) существует Д -R (qk; s) -квантовый хеш-генератор G, где Д = (1-d/n)+S и s < log n + log log q + 2 log 1/S + 4 .

Доказательство. В [10] было доказано следующее свойство. Имея [n, k, d]q-код C, мы можем в явном виде построить (1 — d/n)-U (n; qk; q) хеш-семейство Fc .

По теореме 4 композиция G = Fc о Hg,q является Д-R (qk; s) квантовым хеш-генератором, где Д = (1 — d/n) + S и s < log n + log log q + 2 log 1/S + 4. □

2.4. Квантовые хеш-функции на основе конструкции кода Рида — Соломона. В качестве примера приведем конструкцию квантовой хеш-функции, используя код Рида-Соломона.

Пусть q является степенью простого числа. Расширенный код Рида - Соломона -это линейный код

Crs : (Fq)k ^ (Fq)n (19)

с параметрами [n,k,n — (k — 1)]q, где k < n = q, который задается следующим образом. Каждому слову w G (Fq )k, w = wowi ...wk-i, ставится в соответствие полином

k-i

Pw (x) = ^2 wix\ (20)

i=0

Для кодирования слова w вычисляем Pw (x) во всех q элементах a G Fq:

Crs(w) = (Pw(0)Pw(1)... Pw(q — 1)). (21)

Используя коды Рида -Соломона, мы получаем следующее утверждение.

Теорема 6. Пусть q является степенью простого числа, 1 < k < q. Тогда для произвольного S G (0, 1) существует Д -R (qk; s) -квантовый хеш-генератор k1

Grs , где Д <------+ S и s < log (q log q) + 2 log 1/S + 4 .

q

УНИВЕРСАЛЬНОЕ КВАНТОВОЕ ХЕШИРОВАНИЕ

17

Доказательство. Код Рида-Соломона CRg является [q,k,q-(k — 1)]q-кодом, где k < q. Тогда согласно теореме 5 семейство Grs является Д-R (qk; s) -квантовым хеш-генератором с требуемыми параметрами. □

В частности, выбрав q G [ck, c'k] для постоянной c < c', получаем, что S < 1/c+ + S для S G (0, 1), и в соответствии с теоремой 1

log (q log q) — log log (l + ^2/(1 - S)) — log c'/2 < s < log (q log q) + 2log1/S + 4. (22)

Таким образом, коды Рида-Соломона имеют достаточно хорошие параметры устойчивости S, и нам нужно построить квантовую хеш-функцию фр,g для s кубитов.

2.5. Эффективные конструкции семейства Grs и функции фа^S.

Определим (k — 1)/q-U (q; ; q) -хеш-семейство Frg = {fa : a G Fq} на основе

кода Crs следующим образом. Для a G Fq определим fa : (Fq)k ^ Fq как

k-1

fa (wo ...Wk-i) = £ Wia\ (23)

i=0

Пусть Hs,q = {hi,..., hT}, где hj : Fq ^ Fq и T = [(2/S2) ln 2q] . Для s = log q + + log T +1 композиция Grs = Frs о Hg,q определяет функцию

Фам : (Fq)k ^ (H2)®s

для слова w G (Fq)k следующим образом:

^Grs (w)) =

1

—

|a) 0

aGFq

-G V j}® (Coe2nhfW))|0) +S,n2,hj (f°(W))|1)

VT ' V q q

(24)

Работа выполнена за счет средств субсидии, выделенной в рамках государственной поддержки Казанского (Приволжского) федерального университета в целях повышения его конкурентоспособности среди ведущих мировых научнообразовательных центров, а также гранта РФФИ № 14-07-00878-а.

Summary

F.M. Ablayev, M.F. Ablayev, A.V. Vasilev. Universal Quantum Hashing.

In the paper we propose a method of quantum hashing which mostly combines the existing constructions of universal hash families with quantum one-way functions. Next, we define the concept of a quantum hash generator and present an approach for building a large number of various quantum hash functions. The construction is based on the integration of a classical e -universal hash family and a given family of functions - quantum hash generator. The proposed construction combines the properties of robust representation of information by classical error-correcting codes together with the possibility of highly reliable representation of information by quantum systems. In particular, we present a quantum hash function based on the Reed-Solomon code and prove that this construction is optimal in the sense of the number of qubits needed.

Keywords: quantum computations, quantum communications, quantum hashing.

18

Ф.М. АБЛАЕВ И ДР.

Литература

1. Kashefi E., Kerenidis I. Statistical Zero Knowledge and quantum one-way functions // Theor. Comput. Sci. - 2007. - V. 378, No 1. - P. 101-116. - doi: 10.1016/j.tcs.2007.03.013.

2. Gottesman D., Chuang I. Quantum Digital Signatures: arXiv:quant-ph/0105032. - 2001. -URL: http://arxiv.org/abs/quant-ph/0105032.

3. Buhrman H., Cleve R., Watrous J., de Wolf R. Quantum Fingerprinting // Phys. Rev. Lett. - 2001. - V. 87, No 16. - P. 167902-1-167902-4. - doi: 10.1103/PhysRevLett.87. 167902.

4. Lu X., Feng D. Quantum digital signature based on quantum one-way functions // The 7th Int. Conf. on Advanced Communication Technology (ICACT’2005). - 2005. - V. 1. -P. 514-517.

5. Zhou J., Zhou Y., Niu X., Xian Y. Quantum proxy signature scheme with public verifiability // Science China Physics, Mechanics and Astronomy. - 2011. - V. 54, No 10. -P. 1828-1832. - doi: 10.1007/s11433-011-4457-z.

6. Ablayev F., Vasiliev A. Algorithms for Quantum Branching Programs Based on Fingerprinting // Electr. Proc. in Theor. Comput. Sci. - 2009. - V. 9. - P. 1-11.

7. Razborov A.A., Szemeredi E., Wigderson A. Constructing Small Sets that are Uniform in Arithmetic Progressions // Combinatorics, Probability & Computing. - 1993. - V. 2. -P. 513-518.

8. Ablayev F., Vasiliev A. On the Computation of Boolean Functions by Quantum Branching Programs via Fingerprinting // Electronic Colloquium on Computational Complexity (ECCC). - 2008. - V. 15. - Art. 059. - URL: http://www.eccc.uni-trier.de/report/ 2008/059/, свободный.

9. Stinson D.R. On the Connections between Universal Hashing, Combinatorial Designs and Error-Correcting Codes // Proc. Congressus Numerantium 114. - 1996. - P. 7-27.

10. Bierbrauer J., Johansson T., Kabatianskii G., Smeets B. On Families of Hash Functions via Geometric Codes and Concatenation // Advances in Cryptology - CRYPTO’93 / By ed. D.R. Stinson. - Berlin; Heidelberg: Springer, 1994. - P. 331-342.

Поступила в редакцию

05.08.14

Аблаев Фарид Мансурович - доктор физико-математических наук, заведующий кафедрой теоретической кибернетики, Казанский (Приволжский) федеральный университет, г. Казань, Россия.

E-mail: fablayev@gmail.com

Аблаев Марат Фаридович - младший научный сотрудник лаборатории квантовой информатики, Казанский (Приволжский) федеральный университет, г. Казань, Россия.

E-mail: mablayev@gmail.com

Васильев Александр Валерьевич - кандидат физико-математических наук, доцент кафедры системного анализа и информационных технологий, Казанский (Приволжский) федеральный университет, г. Казань, Россия.

E-mail: Alexander. Vasiliev@kpfu.ru