[論文レビュー] Multi-theorem (Malicious) Designated-Verifier NIZK for QMA

Omri Shmueli|arXiv (Cornell University)|Jul 25, 2020

Cryptography and Data Security参考文献 21被引用数 5

ひとこと要約

本稿は、LWE仮定の下で、QMAに対する最初のマルチ定理・再利用可能・悪意ある指定検証者非インタラクティブゼロ知識（MDV-NIZK）証明システムを提示する。セキュリティは最小限の信頼で達成され、セットアップに共通のランダムストリングのみを用いる。これにより、任意の検証者が公開鍵／秘密鍵を生成しても（悪意を持っても）ゼロ知識性と妥当性が保たれる。

ABSTRACT

We present the first non-interactive zero-knowledge argument system for QMA with multi-theorem security. Our protocol setup constitutes an additional improvement and is constructed in the malicious designated-verifier (MDV-NIZK) model (Quach, Rothblum, and Wichs, EUROCRYPT 2019), where the setup consists of a trusted part that includes only a common uniformly random string and an untrusted part of classical public and secret verification keys, which even if sampled maliciously by the verifier, the zero knowledge property still holds. The security of our protocol is established under the Learning with Errors Assumption. Our main technical contribution is showing a general transformation that compiles any sigma protocol into a reusable MDV-NIZK protocol, using NIZK for NP. Our technique is classical but works for quantum protocols and allows the construction of a reusable MDV-NIZK for QMA.

研究の動機と目的

• NPに対しては存在するが、QMAに対してはマルチ定理セキュアなNIZKプロトコルの欠如に応える。
• 古典的NIZK（NP）と量子NIZK（QMA）の間のセットアップ信頼性と再利用可能性のギャップを埋める。
• 最小限の信頼を伴う再利用可能なQMA用MDV-NIZKを構築する。
• 唯一信頼されるのは共通のランダムストリングであり、検証鍵が悪意を持って生成されてもゼロ知識性が保たれるセットアップを可能にする。
• 任意のシグマプロトコルを、NP用NIZKを用いて再利用可能なMDV-NIZKに変換する一般的コンパイラー技術を提供する。

提案手法

• 任意のシグマプロトコルを、NP用NIZKを用いて再利用可能なMDV-NIZKに変換する一般的変換を導入する。
• 回路プライバシーを備えた階層的完全準同型暗号（FHE）を用いて、NP証明のホモモーフィック評価を可能にする。
• 偽造不能性関数（PRF）および偽造不能性鍵付き公開鍵暗号（PKE）を用いて、検証鍵生成を抽出されたランダムネスに束縛する。
• 複数のクエリフェーズにわたるハイブリッドアーギュメントを用いて、証明オракルをシミュレートしつつ不変性を保つ。
• 下位のNP用NIZKの適応的ゼロ知識性とFHEの回路プライバシーを活用し、ハイブリッド間で統計的および計算的不変性を確保する。
• プローバ側のチェックを統合し、暗号化された検証鍵が抽出されたランダムネスと整合することを検証することで、妥当性と正しさを保証する。

実験結果

リサーチクエスチョン

• RQ1 標準仮定の下で、最小限の信頼を伴うマルチ定理QMA用NIZKを構築可能か？
• RQ2 検証者が悪意を持って検証鍵を生成しても、ゼロ知識セキュリティを達成可能か？
• RQ3 一般的コンパイラー技術により、任意のシグマプロトコルを再利用可能なMDV-NIZKに変換可能か？
• RQ4 共通のランダムストリングのみを信頼するセットアップが、QMA用MDV-NIZKモデルで十分なセキュリティを提供するか？
• RQ5 量子計算と古典的暗号技術を組み合わせることで、再利用可能で非インタラクティブな量子ゼロ知識証明を構築可能か？

主な発見

• 本稿は、LWE仮定の下で、QMAに対する最初のマルチ定理・再利用可能・悪意ある指定検証者NIZKを構築する。
• セキュリティは、唯一共通のランダムストリングが信頼されるモデルで達成され、検証者が公開鍵／秘密鍵を悪意を持って生成しても問題ない。
• 検証鍵が攻撃者によって生成されても、計算的ゼロ知識性が保たれ、プライバシーが維持される。
• 主な技術的貢献は、任意のシグマプロトコルをNP用NIZKを用いて再利用可能なMDV-NIZKに変換する一般コンパイラーの構築である。
• FHEの回路プライバシー、PKEの安全性、および量子シグマプロトコルの特別ゼロ知識性を根拠とした、ハイブリッドの系列による不変性の確立に依拠する。
• 構成は統計的妥当性と計算的ゼロ知識性を達成し、標準仮定（LWE、FHE、PKE、NP用NIZKの安全性）へのセキュリティ還元を実現する。