[논문 리뷰] Authentication of Quantum Messages

Howard Barnum, Claude Crépeau외 3명|University of North Texas Digital Library (University of North Texas)|2002. 05. 20.

Quantum Information and Cryptography인용 수 3

한 줄 요약

이 논문은 송수신자가 고전적 비밀키만을 사용하여 양자 메시지를 안전하게 전송할 수 있는 비상호작용 양자 인증 체계를 제안한다. 양자 오류정정 코드에 기반한 새로운 순수도 테스팅 프로토콜을 활용하여, 보안 매개수에 대해 실패 확률이 지수적으로 작아지는 무조건적 보안을 달성하며, $m$ 큐비트를 인증하기 위해 단지 $2m + O(s)$의 고전적 키 비트만 필요하다. 또한 양자 메시지 인증은 본질적으로 암호화를 수반하며, 양자 상태의 디지털 서명은 불가능하다는 것을 증명한다.

ABSTRACT

Authentication is a well-studied area of classical cryptography: a sender S and a receiver R sharing a classical private key want to exchange a classical message with the guarantee that the message has not been modified by any third party with control of the communication line. In this paper we define and investigate the authentication of messages composed of quantum states. Assuming S and R have access to an insecure quantum channel and share a private, classical random key, we provide a non-interactive scheme that enables S both to encrypt and to authenticate (with unconditional security) an m qubit message by encoding it into m+s qubits, where the failure probability decreases exponentially in the security parameter s. The classical private key is 2m+O(s) bits. To achieve this, we give a highly efficient protocol for testing the purity of shared EPR pairs. We also show that any scheme to authenticate quantum messages must also encrypt them. (In contrast, one can authenticate a classical message while leaving it publicly readable.) This has two important consequences: On one hand, it allows us to give a lower bound of 2m key bits for authenticating m qubits, which makes our protocol asymptotically optimal. On the other hand, we use it to show that digitally signing quantum states is impossible, even with only computational security.

연구 동기 및 목표

• 양자 메시지의 인증 개념을 정식화하여, 복제 금지 정리와 측정에 의한 상태 왜곡으로 인해 고전적 메시지 인증과 구별됨을 밝힘.
• 고전적 비밀키만을 사용하여 $m$ 큐비트 양자 메시지를 효율적이고 비상호작용적으로 인증하고 암호화하는 프로토콜을 설계함.
• 양자 메시지 인증에 필요한 키 크기의 하한을 설정하여, 안정성을 확보하기 위해 $2m$ 비트가 필수적임을 밝힘.
• 측정에 의한 양자 상태 왜곡으로 인해 양자 환경에서는 인증과 암호화가 본질적으로 연결되어 있음을 증명함으로써, 양자 상태의 디지털 서명이 조건부 보안조차도 불가능함을 입증함.

제안 방법

• 공격자 간섭 상황에서도 원본 상태와 인증된 상태가 허용되는 허용도 유지 및 구분 불가능성을 기반으로 양자 메시지 인증을 정의함.
• 모든 파울리 오류가 가족 내 대부분의 코드에서 탐지되는 '커버링 성질'을 가진 양자 오류정정 코드의 가족을 사용하여 순수도 테스팅 프로토콜을 구성함.
• 사영 기하학을 활용하여, $O(s)$의 고전적 통신만으로도 효율적인 순수도 테스팅 프로토콜을 지원하는 명시적 코드 가족을 구축함.
• Lo-Chau 기법을 적용하여 순수도 테스팅 프로토콜의 보안성을 공격자에 의한 도청에 대해 증명함.
• 송신자가 고전적 키와 순수도 테스트를 사용하여 $m$ 큐비트 메시지를 $m+s$ 큐비트로 인코딩하는 방식으로 전체 인증 체계에 순수도 테스팅 프로토콜을 통합함.
• 측정이 양자 상태를 왜곡시킨다는 점을 고려하여, 어떤 인증 체계도 반드시 메시지를 암호화해야 한다는 점을 증명함. 이는 고전적 메시지와는 다름.

실험 결과

연구 질문

• RQ1 송수신자 간의 상호작용 없이 고전적 비밀키만을 사용하여 양자 메시지 인증을 달성할 수 있는가?
• RQ2 무조건적 보안으로 $m$ 큐비트를 인증하기 위해 필요한 최소 키 크기는 얼마이며, 이 하한은 날카로운가?
• RQ3 왜 양자 메시지 인증은 고전적 메시지 인증과 본질적으로 다를까? 특히 암호화의 필수성 측면에서 설명할 수 있는가?
• RQ4 양자역학의 제약 조건을 고려할 때, 조건부 보안이 있더라도 양자 상태의 디지털 서명은 가능한가?
• RQ5 오류 정정을 尝시지 않고도 EPR 쌍의 무결성을 효율적으로 검증할 수 있는 순수도 테스팅 프로토콜을 구성할 수 있는가?

주요 결과

• 제안된 인증 체계는 보안 매개수 $s$에 대해 실패 확률이 지수적으로 작아지며, 원본과 수신된 양자 상태 사이의 허용도를 매우 높게 유지함.
• 이 체계는 $m$ 큐비트를 인증하기 위해 $2m + O(s)$ 비트의 고전적 키가 필요하며, 이 키 크기는 渐近적으로 최적임을 입증함.
• 커버링 성질을 가진 양자 오류정정 코드에 기반한 순수도 테스팅 프로토콜은 단지 $O(s)$의 고전적 통신만으로도 EPR 쌍의 무결성을 효율적으로 검증할 수 있음.
• 논문은 어떤 양자 메시지 인증 체계도 반드시 메시지를 암호화해야 한다는 점을 증명함. 이는 측정이 양자 상태를 왜곡시키기 때문이며, 고전적 메시지에서는 이러한 현상이 발생하지 않음.
• 조금의 보안성 손실이 있더라도, 양자 상태의 디지털 서명은 불가능함을 입증함. 이는 임의의 서명 체계가 높은 허용도로 양자 상태를 구별할 수 있는 방법을 암시하기 때문이며, 이는 양자 불가분성 원리에 위배됨.
• 부분적 키 泄露가 슈퍼디ensa coding을 통해 정보 추출이 가능함을 보여줌으로써, $m$ 큐비트 인증에 대해 $2m$ 비트의 키 크기 하한이 존재함을 입증함. 이에 따라 키는 최소 $2m(1 - \text{poly}(\epsilon))$ 비트 이상을 포함해야 함.