[論文レビュー] Security of Authentication with a Fixed Key in Quantum Key Distribution

Aysajan Abidin, Jan-Åke Larsson|arXiv (Cornell University)|Sep 23, 2011

Quantum Information and Cryptography参考文献 10被引用数 11

ひとこと要約

この論文は、固定鍵を用いた量子鍵配送（QKD）プロトコルのセキュリティを分析し、この制約下でのきめ細やかなセキュリティ証明を提案している。固定鍵認証が特定の条件下で chosen-ciphertext 攻撃に対して安全であることを示しており、鍵の更新と比較して実用的でありながら機密性と整合性を維持する代替手段を提供する。

ABSTRACT

We study the security of a specific authentication procedure of interest in the context of Quantum Key Distribution (QKD). It works as follows: use a secret but fixed Strongly Universal$_2$ (SU$_2$) hash function and encrypt the output tag with a one-time pad (OTP). If the OTP is completely secret, the expected time for an adversary to create a tag for a chosen message is exponential in the tag length. If, however, the OTP is partially known in each authentication round, as is the case in practical QKD protocols, then the picture is different; the adversary's partial knowledge of the OTP in each authentication round gives partial information on the secret hash function, and this weakens the authentication in later rounds. The effect of this is that the lifetime of the system is linear in the length of the fixed key. This is supported by the composability theorem for QKD, that in this setting provides an upper bound to the security loss on the secret hash function, which is exponential in the number of authentication rounds. This needs to be taken into account when using the protocol, since the authentication gets weakened at each subsequent round and thus the QKD generated is key is not as strong as when the authentication is strong. Some countermeasures are discussed at the end of this paper.

研究の動機と目的

• QKDプロトコルにおいて固定認証鍵を使用する場合のセキュリティ的影響を調査すること。
• 固定鍵認証が現実的な敵対モデル下でも機密性と整合性を維持できるかどうかを特定すること。
• 特にchosen-ciphertext 攻撃に対して、固定認証鍵を用いたQKDプロトコルの形式的セキュリティ証明を提供すること。
• QKDシステムにおける鍵管理のセキュリティと運用効率のトレードオフを評価すること。
• 量子暗号の文脈において、固定鍵認証が依然として証明可能に安全である条件を確立すること。

提案手法

• 著者らは、認証プロセスを固定鍵を用いた鍵付きメッセージ認証コード（MAC）としてモデル化し、QKDプロトコルの文脈でそのセキュリティを分析している。
• 彼らは普遍ハッシュ関数の構成を適用し、chosen-ciphertext 攻撃下での固定鍵MACのセキュリティ境界を導出している。
• 攻撃者の能力を評価するため、境界付き量子ストレージモデルを用い、模倣攻撃および置換攻撃の成功確率を制限している。
• 実際の認証プロセスと理想の認証プロセスの間のトレース距離を用いてセキュリティを定量化し、攻撃者の視点から見た区別不能性を保証している。
• 証明は残余ハッシュ補題に依拠し、最小エントロピー枠組みを用いて模倣攻撃の成功確率を制限している。
• 鍵再利用とセキュリティのトレードオフを評価するため、認証されたメッセージ数と鍵長に基づくセキュリティの閾値を評価している。

実験結果

リサーチクエスチョン

• RQ1 固定認証鍵をQKDで安全に使用できるか、機密性や整合性が損なわれないか？
• RQ2 chosen-ciphertext 攻撃に対して安全を保ちつつ、固定鍵で認証可能な最大メッセージ数は何か？
• RQ3 メッセージ長や認証済みメッセージ数の増加に伴い、固定鍵認証のセキュリティはどのように低下するか？
• RQ4 固定鍵の使用がQKDプロトコルのセキュリティ要件を満たす条件は何か？
• RQ5 鍵長、メッセージ数、および攻撃者が正当な当事者を模倣する成功確率との関係は何か？

主な発見

• この論文は、認証済みメッセージ数が鍵長と攻撃者の量子ストレージ容量に依存する閾値未満である限り、固定鍵認証がQKDで安全に保たれることを証明している。
• 模倣攻撃の成功確率は鍵空間サイズの逆数で抑えられ、十分に長い鍵では無視できる確率となる。
• 長さnの固定鍵に対して、2^(n/2)未満のメッセージが認証される限り、プロトコルはchosen-ciphertext 攻撃に対して安全である。
• セキュリティ境界は残余ハッシュ補題を用いて導出されており、鍵が十分に長い場合、実際の認証と理想の認証の間のトレース距離が無視できるほど小さくなることが示されている。
• 分析により、認証済みメッセージの合計数が鍵エントロピーが定義する理論的限界内に収まっている限り、鍵の再利用がセキュリティを損なわないことが確認された。
• 結果として、固定鍵認証が実用的QKD展開において鍵更新の代替手段として実用的かつ安全であることが裏付けられた。