Unmöglichkeit von Quanten-Bit-Commitment

Bit-Commitment ist ein Protokoll zwischen zwei Parteien, die einander nicht trauen. Alice möchte sich auf ein geheimes Bit 0 oder 1 festlegen, ohne es bereits zu offenbaren. Bob möchte sicher sein, dass sie es später nicht ändern kann.

Jedes Bit-Commitment-Schema muss zwei Eigenschaften erfüllen:

Mechanisch ist das leicht vorstellbar. Alice schreibt ihr Bit auf ein Blatt Papier, sperrt es in eine Box und gibt die Box Bob. Bob hat die Box, aber keinen Schlüssel, kann sie also nicht öffnen (verbergend). Alice hat die Box nicht mehr, kann den Inhalt also nicht tauschen (bindend). Zur Offenbarung schickt sie den Schlüssel, und Bob öffnet sie.

Diese Version des Protokolls beruht jedoch auf physischen Annahmen: ein perfektes Schloss, eine perfekte Box, keine Manipulationsmöglichkeit. Ziel ist es, dasselbe aus Information zu bauen, ohne physische Schließbox.

Hier ist ein natürlich wirkendes Quantenprotokoll. Alice möchte sich auf ein Bit b festlegen. Sie wählt zufällig ein Element aus einer von zwei Mengen:

• guidePages.quantum-bit-commitment.quantumAttempt.bullet0
• guidePages.quantum-bit-commitment.quantumAttempt.bullet1

Sie bereitet das entsprechende Qubit vor und sendet es an Bob. Bob speichert es und tut zunächst nichts.

Zur Offenbarungszeit sagt Alice Bob genau, welchen Zustand sie gesendet hat. Bob misst in der entsprechenden Basis und prüft das Ergebnis. Stimmt es nicht, wird Alice ertappt.

Hat sich Alice auf 0 festgelegt, hat sie mit gleicher Wahrscheinlichkeit entweder |0⟩ oder |1⟩ gesendet. Bob weiß nicht, welches. Aus seiner Sicht ist das Qubit eine völlig zufällige Mischung.

Hat sich Alice auf 1 festgelegt, hat sie mit gleicher Wahrscheinlichkeit entweder |+⟩ oder |−⟩ gesendet. Dieselbe Geschichte: aus Bobs Sicht völlig zufällig.

Und der Knaller: Diese zwei zufälligen Mischungen sind identisch. Bobs Sicht ist buchstäblich dieselbe Dichtematrix, egal ob Alice sich auf 0 oder 1 festgelegt hat. Die Verbergungs-Eigenschaft hält perfekt.

Alice hat das Qubit bereits an Bob gesendet. Sie kann es nicht mehr anfassen. Sie kann also nicht ändern, worauf sie sich festgelegt hat, oder?

Es sieht so aus, als hielte die Bindungs-Eigenschaft. Aber eine der beiden Eigenschaften ist falsch.

Alice muss überhaupt kein ehrliches einzelnes Qubit vorbereiten. Stattdessen bereitet sie zwei Qubits vor, W und X, in einem verschränkten Zustand. Sie sendet X an Bob und behält W selbst.

Aus Bobs Sicht sieht X genau wie zuvor aus. Er kann nicht unterscheiden, ob Alice ehrlich ist oder Verschränkung nutzt. Die Verbergungs-Eigenschaft hält weiter.

Doch Alice hat sich noch auf nichts festgelegt. Sie hat über ihre Hälfte des verschränkten Paares ein Quantenhandle an Bobs Qubit behalten.

Die Bindungs-Eigenschaft ist völlig gescheitert. Alice war nie an eines der Bits gebunden. Das Protokoll sah sicher aus, weil Bob nicht sehen konnte, welcher Zustand gesendet wurde. Der Trick ist, dass der Zustand nie entschieden war.

Das ist kein Mangel eines cleveren Protokolls. Es ist eine Konsequenz daraus, wie die Quantenmechanik funktioniert, unabhängig bewiesen von Dominic Mayers und von Hoi-Kwong Lo & Hoi-Fung Chau 1996/1997. Das Argument ist kurz.

Damit ein Quantenprotokoll perfekt verbergend ist, muss Bobs Sicht identisch sein, egal ob Alice sich auf 0 oder 1 festlegt. In der Sprache der Dichtematrizen: ρ_B(0) = ρ_B(1) auf Bobs Seite.

Es gibt ein Theorem in der Quanteninformatik (Hughston-Jozsa-Wootters): Wenn zwei Purifikationen derselben Dichtematrix existieren, gibt es stets eine Transformation, die Alice allein an ihren eigenen Qubits durchführen kann, um eine in die andere zu überführen.

Diese Transformation ist Alices Trick. Sie kann ihre Festlegung jederzeit von 0 zu 1 (oder umgekehrt) wechseln, ohne dass Bob es bemerkt. Die Bedingung, die das Protokoll verbergend macht, ist dieselbe Bedingung, die Alice das Betrügen garantiert.

BB84 funktionierte, weil die Quantenmechanik Lauschangriffe erkennbar macht. Das ist ein echter Quantenvorteil.

Bit-Commitment scheitert, weil die Quantenmechanik die Bindung nicht erzwingbar macht. Das ist eine echte Quantengrenze.

Das Interessante: beide Seiten stammen aus derselben Physik. Verschränkung ist das, was BB84 und E91 Lauscher erkennen lässt. Sie ist auch das, was Alice beim Bit-Commitment betrügen lässt. Quantenmechanik ist keine Magie. Sie hat konkrete Dinge, die sie kann, und konkrete Dinge, die sie beweisbar nicht kann.