[論文レビュー] Improving the security of arbitrated quantum signature protocols

Zhiwei Sun, Ruigang Du+1 more|arXiv (Cornell University)|Jul 13, 2011

Quantum Information and Cryptography参考文献 3被引用数 9

ひとこと要約

この論文は、量子ワンタイムパンチ暗号を用いる仲裁型量子署名（AQS）プロトコルにおける深刻なセキュリティ欠陥を特定し、署名者アリスがボブの秘密鍵を取得し、署名を否認できるという問題を明らかにしている。著者らは、二重の署名コピーとボブによる事前検証を導入した改訂版AQS方式を提案し、アリスの否認攻撃および存在的偽造攻撃の両方に対して耐性を持つようにし、 entangled state を使用しないことで無条件の安全性を達成している。

ABSTRACT

Arbitrated quantum signatures (AQS), for signing quantum message, have been proposed. It was claimed that the AQS schemes could guarantee unconditional security. However, in this paper, we show that all the presented AQS protocols are insecure if quantum one-time pad encryption is used where the signer Alice can always successfully acquire Bob's secret key and disavow any of her signatures. The detailed attack strategies and security analysis are described. Furthermore, the original version of the protocols is revised and accordingly the security of the AQS protocols are improved. And meanwhile we present a method to against Alice's disavowal proposed by Gao et al. (arXiv:1106.4398v1).

研究の動機と目的

• 既存の仲裁型量子署名（AQS）プロトコルが量子ワンタイムパンチ暗号を用いる場合に、根本的なセキュリティ上の脆弱性が存在することを特定し、それを実証すること。
• 署名者アリスがボブの秘密鍵を抽出し、署名を否認できることを示し、プロトコルの整合性を損なうこと。
• アリスの否認と存在的偽造攻撃の両方を防ぐように改訂されたAQSプロトコルを設計すること。
• 従来のAQS方式の利点（たとえば、単純さや無条件の安全性）を維持しながら、より強固な仕組みを実現すること。
• エンタングルド状態を用いない実用的で、従来の改善済み方式よりも実装が容易なプロトコルを提供すること。

提案手法

• ランダムキー r を用いて、非可換ユニタリ演算子 M_r を介して変換されたメッセージ |P′⟩ を生成する新しいAQSプロトコルを導入する。
• |P′⟩ を三つの異なる暗号文に変換する：アリスとボブの共有鍵 K_AB を用いた |R_AB⟩、仲裁者用のアリスの鍵 K_A を用いた |S_A⟩₁、およびボブの内部検証用の同じ鍵 K_A を用いた |S_A⟩₂。
• 仲裁者にデータを転送する前に、ボブが |R_AB⟩ と |S_A⟩ の二つのコピーの整合性を検証することを要件とする。
• 検証パラメータ V_T と V_B の公開発表により、透明性を確保し、検証中の改ざんを検出可能にする。
• ボブが |S_A⟩₂ を保持し、仲裁者から返された |Y_B⟩ と照合することで、イヴやアリスによる改ざんを検出可能にする。
• すべての整合性チェックに合格した場合にのみ、メッセージと署名が受け入れられ、その時点でアリスが鍵 r を公開して |P⟩ を復元する。

実験結果

リサーチクエスチョン

• RQ1 既存のAQSプロトコルにおける量子ワンタイムパンチは、署名者によってボブの秘密鍵を抽出するために悪用可能か？
• RQ2 アリスは現在のAQSプロトコルでどのようにして署名を否認できるのか？ その背後にある要因は何か？
• RQ3 アリスの否認と存在的偽造攻撃の両方を防ぐために、AQSプロトコルにどのような変更が必要か？
• RQ4 エンタングルド状態を用いずに安全なAQS方式を構築可能か？ また、単純さと無条件の安全性を維持できるか？
• RQ5 既存の認証済みバージョンよりも実装が容易な実用的なAQSプロトコルを設計可能か？ また、既知の攻撃に対して耐性を持つか？

主な発見

• 量子ワンタイムパンチを用いた元々のAQSプロトコルは、アリスがボブの秘密鍵を抽出し、署名を否認できるため、セキュリティ上不適切である。
• アリスは、プロトコルの設計上の欠陥により、ボブの秘密鍵を取得した後、任意のメッセージについて署名を偽造できる。
• ボブが |P′⟩ と |S_A⟩ の整合性を仲裁者に送信する前に検証する必要があることで、アリスの否認攻撃が防止される。
• 整合性が保証され、認証済みの署名のみが処理されるようにすることで、Gaoらの存在的偽造攻撃に対しても耐性を持つ。
• 新しいプロトコルは、従来のAQS方式の利点（たとえば、エンタングルド状態を必要としないこと、無条件の安全性）をすべて維持しながら、耐性を強化している。
• 従来の認証済みAQS方式よりも実装が容易で、複雑な量子メッセージ認証を回避するため、より実用的である。