[논문 리뷰] An online attack against Wiesner's quantum money

Andrew Lutomirski|arXiv (Cornell University)|2010. 10. 01.

Quantum Computing Algorithms and Architecture참고 문헌 4인용 수 16

한 줄 요약

이 논문은 은행이 무효화된 지폐를 파기하지 않고 반환할 경우 위스너의 양자 지폐 프로토콜이 온라인 공격에 취약하다는 것을 입증한다. 특수하게 준비된 상태를 은행에 쿼리함으로써 공격자는 선형 시간에 한 번에 한 큐비트씩 지폐의 양자 상태를 학습할 수 있으며, 단지 n번의 쿼리로 원본 지폐를 완벽하게 복제할 수 있다.

ABSTRACT

Wiesner's quantum money [5] is a simple, information-theoretically secure quantum cryptographic protocol. In his protocol, a mint issues quantum bills and anyone can query the mint to authenticate a bill. If the mint returns bogus bills when it is asked to authenticate them, then the protocol can be broken in linear time.

연구 동기 및 목표

• 실제 구현 조건에서 위스너의 양자 지폐 프로토콜의 보안성을 조사하기 위해.
• 은행의 검증 서비스에 온라인 액세스할 수 있는지가 프로토콜 보안을 악용당할 수 있는지 분석하기 위해.
• 은행이 무효 검증 응답 중에 양자 상태를 泄露할 경우 정보 이론적 보안이 깨질 수 있음을 입증하기 위해.
• 완벽하게 기능하는 양자 은행이라도 손상된 지폐를 반환할 경우 효율적인 공격이 가능해질 수 있음을 보여주기 위해.

제안 방법

• 공격자는 알려진 일련번호와 목표 큐비트의 X기저 켤레인 테스트 상태를 포함하는 c-q 상태를 준비한다.
• 공격자는 상태 (s, X_i |$_s⟩) 를 은행에 쿼리하여 i번째 큐비트가 Z기저 또는 X기저에 있는지 확인한다.
• 은행이 INVALID로 응답하면, 반환된 상태는 |ψ₁⟩⋯|ψᵢ⁻¹⟩|ψᵢ⊥⟩|ψᵢ₊₁⟩⋯|ψₙ⟩ 가 되며, 이는 원래 큐비트가 Z기저 고유상태였음을 나타낸다.
• 은행이 VALID로 응답하면, 원래 큐비트는 X기저 고유상태였고, 공격자는 직접 X기저에서 측정할 수 있다.
• 공격자는 각 큐비트에 대해 이 과정을 반복하여 n번의 쿼리로 전체 상태 기술을 학습한다.
• 상태를 학습한 후, 공격자는 원하는 수만큼 복제를 준비하고 검증할 수 있다.

실험 결과

연구 질문

• RQ1 은행이 무효 지폐를 반환할 경우, 공격자가 은행의 행동을 악용해 위스너 지폐의 양자 상태를 재구성할 수 있는가?
• RQ2 은행이 무효 상태를 반환할 경우, 전체 양자 지폐 상태를 학습하기 위해 필요한 최소 쿼리 수는 얼마인가?
• RQ3 은행이 응답 프로토콜을 통해 양자 정보를 泄露할 경우, 복제 금지 정리가 여전히 위스너의 양자 지폐를 보호하는가?
• RQ4 공격자가 은행의 응답(VALID/INVALID)만을 사용해 개별 큐비트의 Z기저 또는 X기저 상태를 구분할 수 있는가?
• RQ5 은행의 검증 서비스에 오라클처럼 액세스할 수 있는 유일한 방법으로 비밀 양자 상태를 체계적으로 재구성할 수 있는가?

주요 결과

• 이 공격은 지폐에 포함된 큐비트 수 n에 대해 은행에 정확히 n번의 쿼리로 위스너의 양자 지폐 프로토콜을 무력화한다.
• 은행이 무효 지폐를 반환할 경우, 공격자는 응답(VAILD 또는 INVALID)을 관찰하여 각 큐비트가 Z기저 또는 X기저에 있는지 여부를 결정할 수 있다.
• 은행이 무효 지폐를 반환할 경우, 공격자는 대상 큐비트에서 원래 상태와 수직인 상태를 확보하게 되며, 이를 통해 원래 상태의 기저를 추론할 수 있다.
• 각 큐비트의 기저와 값이 학습된 후, 공격자는 전체 양자 상태를 재구성하고 완벽한 복제를 생성할 수 있다.
• 이 공격은 양자 상태 단층 촬영 또는 복잡한 알고리즘을 필요로 하지 않으며, 단지 단일 큐비트 연산과 Z기저 또는 X기저에서의 측정만을 사용한다.
• 은행이 무효 지폐를 파기하지 않을 경우, 심지어 완벽하게 구현된 은행이라도 프로토콜의 정보 이론적 보안이 깨진다.