[論文レビュー] Reply to: 'Reply to: "Comment on: `How much security does Y-00 protocol provide us?` " '

Ranjith Nair, Horace P. Yuen+2 more|ArXiv.org|Sep 13, 2005

Cryptographic Implementations and Security参考文献 8被引用数 4

ひとこと要約

この論文は、Y-00量子鍵配送プロトコルが古典的非ランダムストリーム暗号と同等であるという主張を反証し、代わりにY-00が異位相干渉攻撃下でランダム暗号として機能することを示している。著者らは、プロトコルの量子雑音が決定論的古典的アルゴリズムでは再現できない真正のランダムネスをもたらすことを示し、特に鍵回復攻撃に対して非ランダム暗号よりも強いセキュリティを提供することを確立している。

ABSTRACT

Nishioka et al claim in [1], elaborating on their earlier paper [2], that the direct encryption scheme called Y-00 [3,4] is equivalent to a classical non-random additive stream cipher, and thus offers no more security than the latter. In this paper, we show that this claim is false and that Y-00 may be considered equivalent to a \emph{random} cipher. We explain why a random cipher provides additional security compared to its nonrandom counterpart. Some criticisms in [1] on the use of Y-00 for key generation are also briefly responded to.

研究の動機と目的

• 西岡らが提唱したY-00が古典的非ランダム加法ストリーム暗号と同等であるという主張を反証すること。
• Y-00のセキュリティが真正の量子ランダムネスに起因することを示し、非ランダム暗号ではなくランダム暗号と同等であることを証明すること。
• 異位相測定下における暗号文の表現と復号可能性に関する[1]における誤解を明確にすること。
• 特に距離と損失の制限に関して、Y-00の鍵生成への適用可能性に関する批判に応えること。
• Y-00の古典的暗号に対するセキュリティ優位性が、古典的擬似乱数ではなく、不可削減な量子雑音に起因することを強調すること。

提案手法

• 秘密鍵に基づく位相変調を施したコherent状態を用いたY-00プロトコルの使用を分析する。
• 西岡らが提唱した異位相測定攻撃モデルを評価する。このモデルでは、Eveは位相と振幅を測定し、鍵値を推定しようとする。
• 暗号文が、$ l_{j^{(i)}} $ という1ビットのラベルで表現できるとは言えず、復号に必要な情報が不十分であることを示す。
• 復号に有効なのは、唯一、測定結果の全量 $ \mathbf{J}_N $ であり、これに非ゼロの条件付きエントロピー $ H(\mathbf{J}_N|\mathbf{R}_N, \mathbf{K}_s) \neq 0 $ が生じる。これはランダム暗号の特徴である。
• 情報理論的議論を用いて、プロトコルのセキュリティが古典的非ランダムストリーム暗号に還元可能でないことを証明する。
• 真のランダムネスはアルゴリズム的擬似乱数ではなく、物理的量子雑音に起因しており、高データレートでは古典的シミュレーションが現実的でないことを主張する。

実験結果

リサーチクエスチョン

• RQ1 異位相攻撃下でY-00プロトコルは、古典的非ランダム加法ストリーム暗号に還元可能か？
• RQ2 セキュリティの観点から、Y-00を古典的暗号から区別する量子雑音の役割は何か？
• RQ3 Y-00プロトコルにおいて、1ビットの $ l_{j^{(i)}} $ を用いた暗号文表現は復号に十分か？
• RQ4 チャネル損失が存在する中でも、Y-00プロトコルは情報理論的に安全な鍵生成を可能にするか？
• RQ5 条件付きエントロピーと復号可能性を考慮すると、Y-00と非ランダム暗号との間で主張される同等性がなぜ誤りなのか？

主な発見

• Y-00が古典的非ランダムストリーム暗号と同等であるという主張は誤りであり、プロトコルのセキュリティは決定論的アルゴリズムでは再現できない量子雑音に依存している。
• 異位相測定結果から得られる暗号文 $ \mathbf{J}_N $ は復号に必要かつ十分であり、一方1ビットラベル $ l_{j^{(i)}} $ は不十分であり、$ 10^{-44} $ の失敗確率を伴うとされる復号式を満たさない。
• 条件付きエントロピー $ H(\mathbf{J}_N|\mathbf{R}_N, \mathbf{K}_s) \neq 0 $ が確認され、異位相攻撃モデル下でY-00がランダム暗号として機能することが裏付けられる。
• Y-00プロトコルは、Eveが解くべき探索問題が非ランダム系に存在しないことから、古典的暗号よりもセキュリティ優位性を有する。
• 弱コherent状態を用いた鍵生成においても、Y-00のセキュリティは損なわれない。異位相攻撃下でEveに対して6 dBの優位性が存在し、実用的な鍵生成が可能である。
• [1]で主張された「Mを小さくすると確率的性質が向上する」という主張は誤りであり、より良い状態インターリーブと識別可能性の低下の観点から、Mを大きくすることが好ましい。