[論文レビュー] Concrete Security Against Adversaries with Quantum Superposition Access to Encryption and Decryption Oracles

Shahram Mossayebi, Rüdiger Schack|arXiv (Cornell University)|Sep 13, 2016

Cryptography and Data Security参考文献 8被引用数 6

ひとこと要約

この論文は、攻撃者が暗号化および復号オラクルの両方に対して完全な量子重ね合わせアクセスを持つような、新しい量子耐性のある対称暗号のセキュリティモデルを導入する。攻撃者が重ね合わせ状態の識別に依存する攻撃を防ぐために、'実物か置換か'（RoP）の区別不能性という概念を提唱し、量子擬似乱数関数とトレース距離解析を用いて具体的なセキュリティを達成する。RoP-CCAセキュリティは、クエリ数が有界で、指数関数的セキュリティロスを伴う条件下で達成可能であることが証明される。

ABSTRACT

In 2013, Boneh and Zhandry introduced the notion of indistinguishability (IND) in chosen plaintext (CPA) and chosen ciphertext (CCA) attacks by a quantum adversary which is given superposition access to an oracle for encryption and decryption queries but is restricted to classical queries in the challenge phase. In this paper we define IND-CPA and IND-CCA notions for symmetric encryption schemes where the adversary has full quantum superposition access to the oracle, and give constructions that achieve these security notions. Our results are formulated in the concrete security framework.

研究の動機と目的

• 攻撃者が古典的なチャレンジクエリに制限されず、暗号化および復号オラクルの両方に対して完全な量子重ね合わせアクセスを持つセキュリティモデルを定義することで、後続の量子暗号におけるギャップを埋める。
• ボーネとジャンドリが2013年に提唱したフレームワークのような既存のモデルの制限を克服する。そのモデルでは、チャレンジ段階における量子重ね合わせアクセスが、重ね合わせ状態に基づく自明な識別攻撃を可能にする。
• 古典的クエリでは標準的な概念と同等であるが、量子重ね合わせに基づく識別攻撃に対して免疫である新しい区別不能性概念、すなわち'実物か置換か'（RoP）を定義する。
• トレース距離の境界を用いた量子情報理論的技術を用いて、RoPモデル下でのIND-CPAおよびIND-CCAの両方の変種に対して具体的なセキュリティを証明する。
• 量子擬似乱数関数（QPRFs）を用いた修正された構成を用いて、RoP-CCAセキュリティが、クエリ数と鍵サイズの観点から明示的な境界を伴って達成可能であることを示す。

提案手法

• 攻撃者が、暗号化オラクルと、メッセージにランダムな置換を適用した後に暗号化するオラクルのどちらかを区別しなければならない、RoPという新しいセキュリティモデルを提唱する。これにより、重ね合わせ状態におけるクエリ不変性が保証される。
• 具体的なセキュリティフレームワークを用いて、攻撃者のクエリによって誘発される量子状態のトレース距離を用いて、2つのオラクルを区別する攻撃者の利得を境界付ける。
• 三角不等式とトレース距離の境界を用いて、複数回の復号クエリにわたる攻撃者の量子状態の進化を再帰的に解析し、累積誤差境界を導出する。
• 量子擬似乱数関数（QPRFs）を構築の基盤とし、攻撃者が完全な量子オラクルアクセスを持つ状況下でも、構成が安全であることを保証する。
• コーシー＝シュワルツの不等式と期待値の境界を用いて、識別成功の確率を解析し、$ \mathsf{D} \leq 2\sum_{i=1}^{q_d-1}\sqrt{\mathsf{W}_{\rm val,i}} $ の形のトレース距離境界を導出する。
• マーキョフの不等式を適用して、識別利得の尾部確率を境界付ける。最終的なセキュリティ境界として、$ \Pr^{Q1}(b'=1) \leq \Pr^{Q0}(b'=1) + (1 + 2n_d^2) \cdot 2^{-n_\tau/4} $ を得る。

実験結果

リサーチクエスチョン

• RQ1 攻撃者が暗号化および復号オラクルの両方に対して完全な量子重ね合わせアクセスを持つ場合、対称暗号方式は安全に保たれるか？
• RQ2 完全な量子オラクルアクセス下でも、重ね合わせ状態に基づく自明な識別攻撃を回避できる意味のある区別不能性概念を定義することは可能か？
• RQ3 量子クエリのパワーが増加している状況下で、このようなモデルに対する具体的なセキュリティ境界をどのように導出できるか？
• RQ4 RoP概念と、qIND-qCPA やボーンとジャンドリの制限付きモデルのような既存の量子セキュリティモデルとの関係は何か？
• RQ5 量子擬似乱数関数を用いて、クエリ数が有界で、指数関数的セキュリティロスを伴うRoP-CCAセキュリティを達成する安全な構成を構築することは可能か？

主な発見

• RoP-CPAセキュリティ概念は、古典的クエリ下では標準的な実物かランダムのセキュリティと同等であるが、量子重ね合わせに基づく識別攻撃に対して免疫である。
• RoP-CCAセキュリティ概念は、量子擬似乱数関数（QPRFs）に基づく修正された構成を用いて達成可能であり、明示的なセキュリティ境界 $ \Pr^{Q1}(b'=1) \leq \Pr^{Q0}(b'=1) + (1 + 2n_d^2) \cdot 2^{-n_\tau/4} $ を有する。
• 実際の状況と置換状況における攻撃者の量子状態間のトレース距離は $ 2\sum_{i=1}^{q_d-1}\sqrt{\mathsf{W}_{\rm val,i}} $ で境界付けられ、さらにマーキョフの不等式を用いてさらに境界付けられる。
• 識別利得の期待値は $ 2q_d^2 \cdot 2^{-n_\tau/2} $ で境界付けられ、鍵サイズ $ n_\tau $ に対して指数関数的セキュリティロスが生じる。
• RoPモデルは、ガリアルディオーニら[6]の分類においてはカバーされていないため、後続の量子暗号における対称暗号のための別個で、おそらくより強固なセキュリティモデルを示している。
• RoP-CCAセキュリティの証明は、再帰的状態解析や複数のオラクルクエリにわたるトレース距離の伝播を含む、新しい量子情報理論的技術に依存している。