[論文レビュー] The Universal Composable Security of Quantum Message Authentication with Key Recyling

Patrick Hayden, Debbie Leung+1 more|arXiv (Cornell University)|Oct 29, 2016

Quantum Information and Cryptography参考文献 26被引用数 12

ひとこと要約

この論文は、非インタラクティブな量子認証方式QAに鍵再利用を統合した量子メッセージ認証プロトコルQA+KGを提案する。認証に成功した場合に暗号鍵を再利用することで、メッセージサイズに対して線形から対数的へと鍵消費量を削減し、Ben-Or–Mayersフレームワークにおける汎用的合成安全性（UCセキュリティ）を証明した。これは、任意の合成や共同攻撃に対しても堅牢なセキュリティを保証する。

ABSTRACT

Barnum, Crepeau, Gottesman, Tapp, and Smith (quant-ph/0205128) proposed methods for authentication of quantum messages. The first method is an interactive protocol (TQA') based on teleportation. The second method is a noninteractive protocol (QA) in which the sender first encrypts the message using a protocol QEnc and then encodes the quantum ciphertext with an error correcting code chosen secretly from a set (a purity test code (PTC)). Encryption was shown to be necessary for authentication. We augment the protocol QA with an extra step which recycles the entire encryption key provided QA accepts the message. We analyze the resulting integrated protocol for quantum authentication and key generation, which we call QA+KG. Our main result is a proof that QA+KG is universal composably (UC) secure in the Ben-Or-Mayers model (quant-ph/0409062). More specifically, this implies the UC-security of (a) QA, (b) recycling of the encryption key in QA, and (c) key-recycling of the encryption scheme QEnc by appending PTC. For an m-qubit message, encryption requires 2m bits of key; but PTC can be performed using only O(log m) + O(log e) bits of key for probability of failure e. Thus, we reduce the key required for both QA and QEnc, from linear to logarithmic net consumption, at the expense of one bit of back communication which can happen any time after the conclusion of QA and before reusing the key. UC-security of QA also extends security to settings not obvious from quant-ph/0205128. Our security proof structure is inspired by and similar to that of quant-ph/0205128, reducing the security of QA to that of TQA'. In the process, we define UC-secure entanglement, and prove the UC-security of the entanglement generating protocol given in quant-ph/0205128, which could be of independent interest.

研究の動機と目的

• m-キュービットのメッセージに対して2mビットの鍵を必要とする量子メッセージ認証における高い鍵消費量を是正すること。
• QAプロトコルにおける暗号鍵が、認証に成功した後、安全に再利用可能かどうかを調査すること。
• 古典的鍵セキュリティ手法の限界を克服するため、鍵再利用を含む量子認証の形式的セキュリティモデルを確立すること。
• 統合されたQA+KGプロトコルの汎用的合成安全性（UCセキュリティ）を証明し、任意のプロトコル合成に対する堅牢性を保証すること。
• 元の分析を超えて、共同攻撃や動的鍵再利用を含むより広範な設定へと量子認証のセキュリティを拡張すること。

提案手法

• 認証が成功した際に暗号鍵を再利用する鍵再利用ステップを、非インタラクティブ量子認証プロトコルQAに追加する。
• O(log m + log ε)ビットの鍵を用いた純度テスト符号（PTC）を用いて誤りを検出し、認証の整合性を保証する。
• プロトコルを実世界の実装と環境・攻撃者との相互作用としてモデル化するため、汎用的合成（UC）フレームワークを用いる。
• QA+KGのセキュリティ分析を、シミュレータに基づく議論により、トランスポートベースのプロトコルTQA’のセキュリティに還元する。
• 純度テストに基づくエンタングルメント生成プロトコルを導入し、それがUCセキュアであることを証明する。これは構成の重要な要素である。
• 再帰的合成性の議論を用いて、合成に伴いセキュリティパラメータが加法的に劣化することを示す。

実験結果

リサーチクエスチョン

• RQ1 非インタラクティブ量子認証プロトコルQAにおける暗号鍵は、メッセージ認証に成功した後、安全に再利用可能か？
• RQ2 QAに鍵再利用を統合することで、共同量子攻撃下でも汎用的合成安全性（UCセキュリティ）が保持されるか？
• RQ3 メッセージサイズに対して線形から対数的へと鍵消費量を削減しつつ、セキュリティを維持するにはどうすればよいか？
• RQ4 QAプロトコルのセキュリティは、他の暗号プロトコルとの任意の合成に対しても堅牢か？
• RQ5 QAで用いられるエンタングルメント生成プロトコルは、量子環境下でUC-セキュアであると証明可能か？

主な発見

• QA+KGプロトコルは、Ben-Or–Mayersモデルにおいて汎用的合成安全性（UCセキュリティ）を達成し、任意の攻撃者による合成に対しても堅牢であることを保証する。
• 認証に成功した際に暗号鍵を再利用することで、メッセージサイズに比例する2mビット（線形）の鍵消費量を、失敗確率εに対してO(log m + log ε)ビットへ削減する。
• シミュレータに基づく議論により、QAのセキュリティを、インタラクティブなTQA’プロトコルのセキュリティに還元することで、形式的に確立する。
• 純度テストに基づくエンタングルメント生成プロトコルはUC-セキュアであると証明され、認証以外の文脈でも独立した関心を引く可能性がある。
• 鍵再利用のメカニズムは、認証と鍵再利用に対する共同攻撃下でも安全であり、識別可能差は2√2ε^(1/3) + 2δ以内に抑えられる（遠隔状態準備における失敗確率δ）。
• 証明フレームワークは、鍵再利用を伴うWegman-Carter認証（WC+KG）のような古典的スキームへも拡張可能であり、ε-ほぼ強くユニバーサル2ハッシュ関数を用いる場合、識別可能差はε以内に抑えられる。