[論文レビュー] Quantum attacks against iterated block ciphers

Marc Kaplan|arXiv (Cornell University)|Oct 6, 2014

Quantum Computing Algorithms and Architecture参考文献 16被引用数 27

ひとこと要約

この論文は反復ブロック暗号に対する量子攻撃を調査し、二重暗号化が、量子攻撃者に対してはMeet-in-the-Middle攻撃の量子化によって限界のあるセキュリティ強化をもたらす一方で、4回の反復では古典的攻撃と比較してより優れた量子攻撃の利点を示している。一般化された敵対者法と量子ウォークフレームワークを用いて、二重暗号化では時間計算量が$N^{2/3}$である量子攻撃が達成可能であり、反復によるセキュリティ強化が量子攻撃に対しては古典的攻撃と比較して効果が低いことを示している。

ABSTRACT

We study the amplification of security against quantum attacks provided by iteration of block ciphers. In the classical case, the Meet-in-the-middle attack is a generic attack against those constructions. This attack reduces the time required to break double iterations to only twice the time it takes to attack a single block cipher, given that the attacker has access to a large amount of memory. More abstractly, it shows that security by composition does not achieve exact multiplicative amplification. We present a quantized version of this attack based on an optimal quantum algorithm for the Element Distinctness problem. We then use the generalized adversary method to prove the optimality of the attack. An interesting corollary is that the time-space tradeoff for quantum attacks is very different from what classical attacks allow. This first result seems to indicate that composition resists better to quantum attacks than to classical ones because it prevents the quadratic speedup achieved by quantizing an exhaustive search. We investigate security amplification by composition further by examining the case of four iterations. We quantize a recent technique called the dissection attack using the framework of quantum walks. Surprisingly, this leads to better gains over classical attacks than for double iterations, which seems to indicate that when the number of iterations grows, the resistance against quantum attacks decreases.

研究の動機と目的

• 反復ブロック暗号が量子攻撃者に対してセキュリティを強化するかどうかを分析すること、特に古典的攻撃モデルと量子攻撃モデルを比較すること。
• 特に一般化された敵対者法と量子ウォークを用いた量子アルゴリズムの有効性が、反復ブロック暗号構造に対する攻撃に与える影響を調査すること。
• 合成によるセキュリティ強化が、量子攻撃に対しては古典的攻撃と比較してどれほど効果的であるかを、特に2回暗号化および4回暗号化の構成に対して特定すること。
• 反復暗号に対する量子攻撃の時間的・空間的効率を評価し、特に時間×空間積という観点から古典的攻撃と比較すること。

提案手法

• 量子探索とアモニチュード増幅を用いて古典的Meet-in-the-Middle攻撃を量子化し、二重暗号化に対して$O(N^{2/3})$の時間計算量を達成する。
• 一般化された敵対者法を適用して、量子クエリ計算量の下界を証明し、二重暗号化において量子化されたMeet-in-the-Middle攻撃が最適であることを示す。
• 量子ウォークフレームワークを用いて、古典的分散攻撃の量子化版を4回暗号化に拡張する。
• 既知の古典的分散アルゴリズムをベンチマークとして用い、量子攻撃と古典的攻撃の時間および時間×空間積を比較する。
• ブロック暗号をランダム置換として扱い、攻撃者が暗号化/復号化関数へのオракルアクセスを持つブラックボックスモデルを採用する。
• 反復回数の増加に伴う量子攻撃のスケーリング特性を分析し、一般化された敵対者法を高反復数に拡張する際の制限を同定する。

実験結果

リサーチクエスチョン

• RQ1 量子攻撃は反復ブロック暗号を古典的攻撃よりも効率的に破ることができるか？また、合成によって量子環境下でのセキュリティ強化がより効果的であるか？
• RQ2 一般化された敵対者法の枠組みにおいて、量子化されたMeet-in-the-Middle攻撃は二重暗号化に対して最適であるか？
• RQ3 時間および時間×空間積という観点から、4回暗号化に対する量子攻撃の性能は古典的攻撃と比べてどうか？
• RQ4 反復暗号に対する古典的攻撃と量子攻撃の間で、時間と空間のトレードオフにどのような根本的差異があるか？
• RQ5 一般化された敵対者法または量子ウォークフレームワークを任意の$r$に対する$r$-暗号化に拡張できるか？また、スケーリングの制限は何か？

主な発見

• 二重暗号化の場合、最適な量子攻撃の時間計算量は$O(N^{2/3})$であり、これは量子化されたMeet-in-the-Middle攻撃によって達成され、一般化された敵対者法を用いて最適性が証明されている。
• 量子攻撃の時間×空間積は、古典的攻撃とは根本的に異なり、量子攻撃者は古典的攻撃者とは異なる方法で時間と空間をトレードオフできる。
• 4回の反復の場合、量子化された分散攻撃は最適な古典的攻撃よりも優れた時間および時間×空間積の利点を達成しており、量子攻撃に対する抵抗性が反復回数の増加に伴い低下していることを示唆している。
• 4回暗号化に対する量子攻撃は、時間および時間×空間積の両面で古典的分散攻撃を上回っており、複数回暗号化が量子攻撃者に対するセキュリティ強化にあまり効果的でないことを示している。
• 一般化された敵対者法は二重暗号化のケースにおいて最適性を正当に証明できたが、反復回数が$r > 2$に拡張される際には、合成定理における乗法的要因のため、未解決の課題のままである。
• 結果から、後量子セキュリティの観点では、鍵長の増加が反復よりも効果的である可能性があり、量子複雑性ツールが量子暗号解析に新たな洞察を提供することが示唆されている。