정적과 비정적 양자 비트 커밋의 불가능성 재검토

초록

본 논문은 Mayers‑Lo‑Chau(M LC) 무조건적 불가능 정리를 정적 양자 비트 커밋에만 적용된다는 기존 주장에 반박한다. 전체 양자 상태가 사전 고정되지 않아도 M LC 정리는 비정적 양자 비트 커밋에도 그대로 성립한다는 것을 증명하고, Choi 등이 제안한 비정적 프로토콜을 분석하여 그 한계를 보여준다. 또한 바인딩을 가정하고 은폐성을 부정하는 새로운 증명 방식을 제시한다.

상세 분석

이 논문은 양자 비트 커밋(QBC) 분야에서 가장 근본적인 무조건적 불가능 정리인 Mayers‑Lo‑Chau(M LC) 정리의 적용 범위를 재조명한다. 기존 문헌에서는 M LC 정리가 “전체 시스템의 양자 상태가 커밋 단계 이후까지 고정(static)되어 있다”는 전제 하에만 유효하다고 해석했으며, 따라서 비정적(non‑static) QBC—즉, 커밋 단계에서 수신자(Bob)의 초기 상태가 무작위이며 커밋자(Alice)가 알 수 없는 경우—에 대해서는 별도의 보안 가능성이 남아 있다고 주장했다.

저자들은 먼저 M LC 정리의 핵심 논증을 재구성한다. 정리는 “완전 은폐성(ρ_B⁰ = ρ_B¹) → 존재하는 로컬 유니터리 S_A가 Alice에게 비트 값을 자유롭게 전환시킬 수 있다”는 Gisin‑Hughston‑Jozsa‑Wootters 정리를 기반으로 한다. 여기서 중요한 점은 S_A의 존재 여부가 Bob의 초기 상태 |ϕ_i^B⟩에 의존하지 않는다는 것이다. 비정적 상황에서는 |ϕ_i^B⟩가 무작위이지만, 은폐성을 만족하려면 모든 가능한 |ϕ_i^B⟩에 대해 ρ_B⁰와 ρ_B¹가 동일해야 한다. 저자는 이를 수식적으로 전개하여, 어떤 |ϕ_i^B⟩가 주어지든 동일한 밀도 행렬을 만들기 위해서는 반드시 a_{ij}^{0}a_{iq}^{0*}=a_{ij}^{1}a_{iq}^{1*} (식 1) 가 성립해야 함을 보인다. 이 조건이 만족되면 S_A를 명시적으로 구성할 수 있음을 증명한다(식 2‑4). 따라서 비정적 QBC에서도 완전 은폐성을 가정하면 바인딩이 깨지는 것이 필연이다.

다음으로 저자들은 Choi 등이 제안한 비정적 QBC 프로토콜을 상세히 검토한다. 이 프로토콜은 신뢰된 제3자(TTP)를 도입해 Alice와 TTP가 N개의 Bell 상태를 공유하고, TTP가 무작위 측정을 수행한 뒤 결과를 비밀로 유지한다. 커밋 단계에서 Alice는 비트에 따라 M,N 혹은 J,K 연산을 적용하고, 보조 시스템 A′를 이용해 확률적 혼합을 만든다. 공개 단계에서 TTP가 측정 결과를 공개함으로써 Bob이 Alice의 비트를 검증한다. 저자는 이 구조가 실제 두 당사자 간의 순수 QBC가 아니라 양자 비밀 공유와 유사함을 지적한다. 특히 TTP가 없을 경우, Alice는 Bob의 초기 상태를 알 수 없으므로 S_A를 구성할 수 없다는 논리를 내세우지만, 은폐성을 완전 만족한다면 앞서 증명한 대로 S_A가 존재하게 되므로 프로토콜은 바인딩을 잃는다.

마지막으로 논문은 “바인딩을 전제로 은폐성을 부정한다”는 새로운 증명 전략을 제시한다. 기존 M LC 정리는 “은폐 → 비바인딩”을 보였지만, 저자들은 “바인딩 → 비은폐”를 대칭적으로 증명함으로써 두 속성이 동시에 만족될 수 없음을 양방향으로 확립한다. 이를 위해 Uhlmann 정리와 피라미드 구조의 순수화(purification) 기법을 활용해, 바인딩이 성립한다면 반드시 어떤 |ϕ_i^B⟩에 대해 ρ_B⁰≠ρ_B¹가 되므로 은폐성이 깨진다는 논리를 전개한다.

결과적으로, 논문은 M LC 정리가 정적·비정적 구분 없이 모든 두 당사자 QBC에 적용된다는 강력한 결론을 도출한다. 비정적 프로토콜이라 하더라도 완전 은폐성을 만족하려면 반드시 바인딩이 파괴되고, 반대로 바인딩을 유지하려면 은폐성이 손상된다. 따라서 양자 비트 커밋은 근본적으로 불가능하다는 기존 무조건적 불가능 정리를 더욱 일반화한다.