情報理論的なセキュリティモデルでは、ビットコミットメントによって忘却的な転送が行われますか？

互いに信頼しない2人のarbitrarily意的に強力な参加者がいるとします。彼らはビットコミットメントにアクセスできます（たとえば、あるプレイヤーが他のプレイヤーに渡すことができるが、最初のプレイヤーが2番目のプレイヤーにキーを与えるまで開けられないデータを含む封筒）。これを使用して忘却型転送プロトコルを構築できますか。これは、プレーヤーが不正行為を検出するために最後にすべての封筒を開くことに同意した場合でも（たとえば、ポーカーハンドがプレイされた後、全員が自分のカードを公開することに同意します）？

忘却転送は暗号学的に普遍的であるため、ビットコミットメントから忘却転送を取得できないと仮定し、ビットコミットメントと言う参照を見つけることができませんが、それを行うことができない証拠はどこかにありますか？

最後に、プレイヤーがクオンタムである場合、誰も問題を見ていませんか？

reference-request cr.crypto-security

— ピーター・ショー
ソース

mathoverflowに関する質問のコメントでは、quantum Oblivious Transferは量子ビットコミットメント（参照あり）と同等であると記述されています：mathoverflow.net/questions/32801/…。

— M.アラガン

これら2つの論文は、無条件に安全な量子ビットコミットメントが不可能であることを示しています。量子忘却転送を実行できる場合、量子ビットコミットメントを実行できることを意味するため、無条件に安全な量子忘却転送も不可能であることを示します。私が疑問に思っているのは、量子プロトコルで動作する（ブラックボックスとして）ビットコミットメントが与えられている場合、量子プロトコルの忘却型転送を行うこともできます。

— ピーターショー

もう少し背景が必要かもしれません。私は、ビットコミットメントが与えられると、それを使用して量子プロトコルで忘却の転送を達成するかなり単純なスキームを持っていると思います。（1）忘却転送が厳密に強力であるという古典的な証拠が何であるかを知り、それらが量子ケースに適用されないことを確認し、（2）誰もこれを以前に観察したかどうかを知りたい。量子忘却型転送とビットコミットメントに関する文献は、マイヤーズとローとチャウがノーゴー定理を証明したときにいくつかのセキュリティの証拠が崩れたため、検索するのが困難です。

— ピーターショー

文献をもう少し調べてみると、1991年のBennett、Brassard、Crépeau、およびSkubiszewskaの論文（springerlink.com/content/k6nye3kay7cm7yyx）の量子レジームに、ビットコミットメント==>忘却型転送の証拠があります。

— ピーターショー

@M。Alaggan：上記のコメントを急に却下したことをおLetび申し上げます。あなたが言及したMathOverflowコメントの著者は、おそらくそれらが同等であることを知っていたので、実際、そのコメントは私が上記のコメントで見つけた参照証明につながる書誌上の道に私を置きました。本当にありがとう。

— ピーターショー

回答:

いいえ、コミットメントはOTよりも厳密に複雑度が低くなります。これを確認する簡単な方法は、マルチパーティ計算問題の複雑性： TCC 2009のMaji、Prabhakaran、Rosulekによる2者対称セキュア関数評価のケースで取られたアプローチだと思います（免責事項：自己宣伝！）。その論文では、統計的セキュリティを備えたUCモデルの理想的なコミットメントへのアクセスを与えられた場合に何ができるかを特徴付ける結果があります。

（悪質な敵に対して）統計的に安全なプロトコルがあったと仮定 OTのための理想的なブラックボックスビットコミットメントへのアクセスを使用しては。そして、は正直だが好奇心の強い敵に対しても安全でなければなりません（おそらく見かけほど簡単ではありませんが、どちらかを示すことはそれほど難しくありません）。しかし、コミットのために簡単な正直だが好奇心protocol盛なプロトコルでを構成し、セットアップなしで統計的に安全な正直だが好奇心盛なOTプロトコルを持つことができます。しかし、これは不可能であることが知られています。 $\pi$ $\pi$ $\pi$

それを見る別の方法はImpagliazzo-Rudichを通してです。計算に制限のないパーティとランダムなオラクルがある場合、コミットメントを行うことはできますが（必要なのは一方向の関数であるため）、キー合意のようなことはできません。したがって、OTはできません。

— みけろ
ソース

@Mikero：それは本当に素晴らしく、シンプルな証拠です。

— ピーターショー

古典的なビットのOT（すなわち、古典的な理想世界）の場合、議論は量子プロトコル/敵に対して行われます。OTがqbitsを操作する場合、問題が生じる可能性があります。「見た目ほど簡単ではないが難しいことではない」というステップには、シミュレータが環境によって提供される入力を常に使用するというWLOGの記述が含まれます。これは、表示する必要があるOTのプロパティです（シミュレーターが与えられたものを送信しなかった場合、出力は顕著な確率で不正確になるため、シミュレーションは不健全になります）。環境が与えることができる場合は、再議論する必要があります/ OTからqbitsを受信します。

— mikero

@Mikero：前のコメントがわかりません。OTがキュービットを操作しないとはどういう意味ですか？両者は古典的なビットで通信するだけですが、量子プロセッサを持っているかもしれないということですか？これは、ビットコミットメントであっても、OTの情報理論的な安全なプロトコルが存在しないという事実から生じます。

— ピーターショー

「量子OTプロトコル」とは、量子プロトコルの可能性がある古典的なOT（OT機能のみがビットを認識する）を意味するのか、環境が量子ビットを認識し、OTが量子ビットを送受信するOTを意味するのかを検討しています。前者の場合、私は同じ議論が修正されずに通過すると思います。おそらく後者の場合を意味します。量子世界に反例が本当にある場合、量子ビットのOTには、シミュレーションが正直だが好奇心real盛な実世界の敵を正直だが好奇心ideal盛な理想の敵にマッピングするという特性がありません。面白い！

— mikero

私があなたの質問を正しく理解していれば、ベネットら論文と私の証明は、OTを実装するための参加者間の量子メッセージを含む、古典的なOTに関するものです。

— ピーターショー

量子の場合、量子プロトコルを使用した（古典的な）ビットコミットメントに基づいて（古典的な）忘却型転送を構築する最初のプロトコルは、1991年にBennett、Brassard、CrépeauおよびSkubiszewska（http://www.springerlink.com/content / k6nye3kay7cm7yyx /）、ただし、完全なセキュリティの証明は、Damgaard、Fehr、Lunemann、Salvail、およびSchaffnerによってhttp://arxiv.org/abs/0902.3918で最近提供されました

マルチパーティ計算の拡張とユニバーサル互換性フレームワークでの証明については、Unruhの研究を参照してください：http ://arxiv.org/abs/0910.2912

— クリスチャン・シャフナー
ソース