[論文レビュー] Using Hash-Based Signatures to Bootstrap Quantum Key Distribution

Sébastien Kunz-Jacques, Paul Jouguet|arXiv (Cornell University)|Sep 13, 2011

Cryptography and Data Security参考文献 1被引用数 5

ひとこと要約

本稿では、量子鍵配送（QKD）システムにおける事前共有秘密の必要性を排除するために、ハッシュベースの署名、特にランポート署名とメルクル木を組み合わせた手法を提案する。普遍的組成可能（universally composable）な安全証明を活用し、一方向関数や衝突耐性関数といった標準的な暗号的仮定に基づいて、認証されていない古典的チャネル上でも安全にQKDをブートストラップできることが示された。

ABSTRACT

Quantum Key Distribution is a secret distribution technique that requires an authenticated channel. This channel is usually created on top of an un-authenticated communication medium using unconditionally secure Message Authentication Codes (MAC) and an initial common secret. We examine the consequences of replacing this MAC algorithm by a cryptographic hash-based signature algorithm, like the Lamport algorithm. We show that provided one-way functions exist, the Lamport algorithm or its variants can be instantiated in a secure way in the Universally Composable sense, and can therefore be plugged into any QKD protocol with a composable security proof in a secure manner. This association, while relying on short-term computational hardness assumptions, results in an increase of the practical security of QKD and eases its deployment.

研究の動機と目的

• QKDプロトコルにおける古典的チャネルの認証に事前共有秘密を必要とする実用的課題に対処すること。
• 共通秘密に依存する対称型メッセージ認証コード（MAC）の代替策を検討すること。これは実際の展開において安全に導入することが難しい。
• 計算的に安全な非対称デジタル署名、特にハッシュベースのもの——が、前向き秘密性を損なわずにQKDをブートストラップできるかを検討すること。
• 提案された方式の安全性を、普遍的組成可能（UC）フレームワーク内で形式的に証明すること。これにより、QKDと統合された際の組成可能安全を保証する。
• ハッシュベースの署名を用いることによる安全損失が最小限に抑えられ、実用的に許容可能であることを示すこと。特に、事前共有秘密を排除できる利点を踏まえて。

提案手法

• 一方向関数の存在に依存するランポート一回性署名方式をコアプリミティブとして採用する。
• メルクル木を用いて複数のランポート署名を1つの公開鍵に集約し、状態なしで複数回使用可能な署名が可能となる。
• 擬似乱数生成器（PRNG）を導入し、1つのシードからすべてのランポート秘密鍵を導出することで、効率性と鍵管理の改善を図る。
• 一方向関数および衝突耐性関数の安全性に依存する、組み合わせた方式のUCフレームワーク内での安全性を証明する。
• 衝突耐性ハッシュ関数を用いて必要な暗号プリミティブを実装し、標準仮定に基づく実用的妥当性と安全性を確保する。
• 安全損失要因を $2^H$ として分析し、$H$ をメルクル木の深さとする。$H < 10$ のような小さな $H$ を用いることで、実用的に無視できる程度の損失に抑えられることを示す。

実験結果

リサーチクエスチョン

• RQ1 ハッシュベースの署名をQKDプロトコルと安全に組み合わせることで、事前共有秘密の必要性を排除できるか？
• RQ2 ランポート署名とメルクル木を組み合わせた場合、QKD文脈において組成可能安全を達成できるか？
• RQ3 署名方式における安全損失要因 $2^H$ の実用的影響は何か？また、安全性を損なわずにこれを最小限に抑えることができるか？
• RQ4 展開の複雑さと長期的な安全保証の観点から、従来のMACベースの認証と比較して、本方式の安全性はどのように異なるか？
• RQ5 1つのシードから複数のランポート鍵をPRNGで生成することで、UCモデル下での全体的な方式の安全性を維持できるか？

主な発見

• ランポート署名とメルクル木の組み合わせにより、UCフレームワーク内では $(t, r[2^H(2 heta_{ ext{OW}} + heta_{ ext{RG}} + heta_{ ext{CR}}) + heta_{ ext{CR'}}], r)$-安全な署名機能の実装が達成される。
• 浅いメルクル木（例：$H < 10$）を用いることで、$2^H$ の安全損失要因が小さく抑えられ、全体の安全境界への影響が最小限に抑えられる。
• 方式は標準仮定に基づいて安全である：一方向関数によるプリイメージ抵抗性と、衝突耐性ハッシュ関数による衝突耐性。
• PRNGを用いて1つのシードから複数のランポート秘密鍵を生成しても、PRNGが安全（$ heta_{ ext{RG}}$-安全）であれば、安全性に影響を及ぼさない。
• 本手法により、事前共有秘密が不要なQKDブートストラップが可能となり、展開が大幅に容易化されつつ、前向き秘密性を維持できる。
• 方式の安全性は、初期のQKD実行期間に限定され、長期的な計算的仮定への依存が減少する。