[論文レビュー] A Note on Quantum Security for Post-Quantum Cryptography

Fang Song|arXiv (Cornell University)|Sep 8, 2014

Cryptography and Data Security被引用数 7

ひとこと要約

本稿では、量子に強い単方向関数から得られるハッシュツリー署名が、量子選択メッセージ攻撃に対して依然として安全であることを保証するため、古典的セキュリティ証明を量子環境に拡張する一般枠組みを提案する。量子に強い還元を特定することで、古典的セキュリティ保証（例えば、存在的 forgery に対する耐性）を量子攻撃者に対しても持ち運べる。

ABSTRACT

Shor's quantum factoring algorithm and a few other efficient quantum algorithms break many classical crypto-systems. In response, people proposed post-quantum cryptography based on computational problems that are believed hard even for quantum computers. However, security of these schemes against \emph{quantum} attacks is elusive. This is because existing security analysis (almost) only deals with classical attackers and arguing security in the presence of quantum adversaries is challenging due to unique quantum features such as no-cloning. This work proposes a general framework to study which classical security proofs can be restored in the quantum setting. Basically, we split a security proof into (a sequence of) classical security reductions, and investigate what security reductions are "quantum-friendly". We characterize sufficient conditions such that a classical reduction can be "lifted" to the quantum setting. We then apply our lifting theorems to post-quantum signature schemes. We are able to show that the classical generic construction of hash-tree based signatures from one-way functions and and a more efficient variant proposed in~\cite{BDH11} carry over to the quantum setting. Namely, assuming existence of (classical) one-way functions that are resistant to efficient quantum inversion algorithms, there exists a quantum-secure signature scheme. We note that the scheme in~\cite{BDH11} is a promising (post-quantum) candidate to be implemented in practice and our result further justifies it. Finally we demonstrate the generality of our framework by showing that several existing works (Full-Domain hash in the quantum random-oracle model~\cite{Zha12ibe} and the simple hybrid arguments framework in~\cite{HSS11}) can be reformulated under our unified framework.

研究の動機と目的

• 量子特徴（重ね合わせやノーコピーサイエンス）が原因で、古典的セキュリティ証明が量子攻撃者に対して失敗するという課題に対処すること。
• 特に後量子暗号において、どの古典的セキュリティ還元が量子環境に「持ち上げられる」かを特定すること。
• 古典的還元が量子攻撃の下でも有効であるかどうかを判定する、体系的で検証可能な基準を提供すること。
• フレームワークの適用可能性を示すために、一般的かつ効率的なハッシュツリー署名スキームの量子セキュリティを証明すること。
• 既存の量子セキュア証明（例：量子ランダムオракルモデルにおけるもの）を、単一でモジュラーな枠組みに統合・再定式化すること。

提案手法

• 古典的セキュリティ証明を、古典的還元の系列に分解する。
• 還元のステップが量子環境に持ち上げ可能であるための十分条件を同定することで、「量子に強い還元」を定義する。
• 還元ステップの構造的性質に基づき、ゲーム更新還元を持ち上げるための単純で検証可能な基準を形式化する。
• 量子攻撃者を古典的ゲームベースフレームワーク内でシミュレートするインタプリタを構築することで、古典的還元の翻訳を可能にする。
• 持ち上げ定理を適用して、一般ハッシュツリー署名構成と [BDH11] で提示された最適化版が、単方向関数が量子反転に耐性を持つ限り、量子セキュアであることを示す。
• 既存の結果（例：Zhandry の QRO モデルにおける FDH や HSS11 のハイブリッド的議論）を提案されたフレームワーク内に再定式化し、汎用性を示す。

実験結果

リサーチクエスチョン

• RQ1 量子力学的攻撃者である場合、どの古典的セキュリティ還元が保持されるか？
• RQ2 還元に対してどのような構造的条件が、量子攻撃者との共存を保証するか？
• RQ3 単方向関数から得られる古典的一般ハッシュツリー署名構成は、量子選択メッセージ攻撃に対して安全に証明できるか？
• RQ4 [BDH11] で提案されたハッシュツリー署名の効率的バージョンは、量子ランダムオラクルモデルにおいても安全に保たれるか？
• RQ5 既存の量子セキュア証明（例：QRO モデルやハイブリッド的議論）は、単一のフレームワーク下で統合・モジュラー化可能か？

主な発見

• 提案された枠組みは、古典的セキュリティ還元が量子環境に持ち上げられるための十分条件を同定し、モジュラーな量子セキュリティ解析を可能にする。
• 単方向関数が量子反転に耐性を持つ限り、古典的一般ハッシュツリー署名構成は量子セキュアであることが証明された。
• [BDH11] のより効率的なハッシュツリー署名バージョンも、同じ仮定の下で量子セキュアであることが示され、後量子環境における実用的導入を正当化する。
• Zhandry の量子ランダムオラクルモデルにおける Full-Domain Hash の結果が、フレームワーク内に再定式化され、その適合性とモularity を示した。
• このフレームワークは、既存の結果を統合・一般化し、[HSS11] のハイブリッド的議論に関する結果を含むが、それらを基本的プリミティブの範囲を越えて広く適用可能であることを示した。
• 持ち上げ定理は、証明を再導出することなく、新しい後量子スキームの量子セキュリティを評価するための実用的で検証可能な基準を提供する。