[論文レビュー] Physical Randomness Extractors: Generating Random Numbers with Minimal Assumptions

Kai-Min Chung, Yaoyun Shi+1 more|arXiv (Cornell University)|Feb 19, 2014

Quantum Mechanics and Applications参考文献 37被引用数 38

ひとこと要約

本稿では、独立な複数のソースや信頼できるデバイスを必要とせず、物理法則の妥当性のみに依存して、単一の弱いランダムソースからほぼ一様なランダムビットを生成する物理的ランダムネス抽出器を提案する。本手法は、近似的に最適な誤差と量子攻撃者に対するロバスト性を備え、近似的に最適な誤差で無限大のランダムネス拡張を達成する。これは、未熟なデバイスを用いたプロトコルにおける合成セキュリティを保証するための新規な等価性補題を活用することで実現される。

ABSTRACT

How to generate provably true randomness with minimal assumptions? This question is important not only for the efficiency and the security of information processing, but also for understanding how extremely unpredictable events are possible in Nature. All current solutions require special structures in the initial source of randomness, or a certain independence relation among two or more sources. Both types of assumptions are impossible to test and difficult to guarantee in practice. Here we show how this fundamental limit can be circumvented by extractors that base security on the validity of physical laws and extract randomness from untrusted quantum devices. In conjunction with the recent work of Miller and Shi (arXiv:1402:0489), our physical randomness extractor uses just a single and general weak source, produces an arbitrarily long and near-uniform output, with a close-to-optimal error, secure against all-powerful quantum adversaries, and tolerating a constant level of implementation imprecision. The source necessarily needs to be unpredictable to the devices, but otherwise can even be known to the adversary. Our central technical contribution, the Equivalence Lemma, provides a general principle for proving composition security of untrusted-device protocols. It implies that unbounded randomness expansion can be achieved simply by cross-feeding any two expansion protocols. In particular, such an unbounded expansion can be made robust, which is known for the first time. Another significant implication is, it enables the secure randomness generation and key distribution using public randomness, such as that broadcast by NIST's Randomness Beacon. Our protocol also provides a method for refuting local hidden variable theories under a weak assumption on the available randomness for choosing the measurement settings.

研究の動機と目的

• 複数の独立したソースを必要とする古典的ランダムネス抽出における根本的制限、すなわち実用的に検証できない独立性を解消すること。
• 最小限の仮定で、あらゆる強力な量子攻撃者に対しても安全なランダムネス生成プロトコルを設計すること。
• 信頼できない量子デバイスを用いて、単一の弱いソースから無限大のランダムネス拡張を実現すること。
• 未熟なデバイスプロトコルにおける合成セキュリティを厳密に確立するためのフレームワークを、新規の等価性補題を用いて構築すること。
• NISTのランダムネスビーコンのような公開ランダムネスソースを用いた、安全なランダムネス生成と鍵配布の実現可能性を示すこと。

提案手法

• プロトコルは、二つのランダムネス拡張プロトコルを相互にフィードバックすることで、無限大の拡張を達成するマスタープロトコルを用いる。これにより、ロバスト性とセキュリティが保証される。
• 物理的抽出器を形式的に定義し、抽象的な誤差モデルを導入することで、ロバスト性とセキュリティを厳密に分析する。
• 主な技術的貢献は、最小限の仮定のもとで、未熟なデバイスプロトコルにおける合成セキュリティを証明する等価性補題である。
• 本構成は、トレヴィザンの抽出器やミラー＝シープロトコルのような量子セキュア抽出器を用い、シードレスかつ単一ソース抽出に適合させたものである。
• セキュリティは、量子力学の完全性に依存しており、攻撃者が非量子的演算を活用できないと仮定する。
• プロトコルは定数レベルの実装の不正確さに耐えられ、近似的に最適な誤差パラメータを維持する。

実験結果

リサーチクエスチョン

• RQ1 複数のソース間の独立性を要件とせず、単一の弱いソースから無限大のランダムネス拡張を達成できるか？
• RQ2 物理法則のみを仮定として用いて、あらゆる強力な量子攻撃者に対しても安全なランダムネス抽出器を構築できるか？
• RQ3 複数の未熟なデバイスプロトコルを合成する際、どのような条件下で合成セキュリティが保証されるか？
• RQ4 NISTのランダムネスビーコンのような公開ランダムネスソースを、ランダムネス生成や鍵配布に安全に使用できるか？
• RQ5 実用的に証明可能なセキュアなランダムネス生成を達成するための最小限の仮定の組み合わせは何か？

主な発見

• 提案された物理的ランダムネス抽出器は、定数レベルの実装の不正確さが存在しても、単一の弱いソースから近似的に最適な誤差で無限大のランダムネス拡張を達成する。
• 等価性補題は、未熟なデバイスプロトコルにおける合成セキュリティを証明する一般原理を提供し、ロバストで安全なランダムネス生成を可能にする。
• プロトコルは、あらゆる強力な量子攻撃者に対してもロバストで安全であり、誤差境界が $\exp(-\Omega(k^{\nu}))$ の形（$\nu > 0$）をとる。
• 本構成により、NISTのランダムネスビーコンのような公開ランダムネスソースを用いた安全なランダムネス生成と鍵配布が可能になる。
• プロトコルは、測定設定のランダムネスに関する弱い仮定のもとで、局所的隠れ変数理論を反証するのにも利用可能である。
• 誤差が定数レベルの場合はデバイス数が効率的にスケーリングされるが、暗号レベルのセキュリティを達成するためには誤差パラメータの逆数に対して多項式的スケーリングを維持する。