[논문 리뷰] Concrete Security Against Adversaries with Quantum Superposition Access to Encryption and Decryption Oracles

Shahram Mossayebi, Rüdiger Schack|arXiv (Cornell University)|2016. 09. 13.

Cryptography and Data Security참고 문헌 8인용 수 6

한 줄 요약

이 논문은 암호화 및 복호화 오라클에 대해 전체 양자 중첩 액세스를 가진 공격자가 존재하는 대칭 암호화를 위한 새로운 양자 보안 모델을 제안한다. 공격자가 실수 또는 순열 상태를 구분할 수 없도록 하는 '실수 또는 순열'(RoP) 불가분성 개념을 제안하며, 이는 중첩 상태 식별 기반 공격을 방지하고, 양자 허위난수 함수와 추적 거리 분석을 통해 구체적인 보안을 달성한다. RoP-CCA 보안은 유한한 질의 복잡도와 지수적 보안 손실을 동반하여 달성 가능하다고 증명한다.

ABSTRACT

In 2013, Boneh and Zhandry introduced the notion of indistinguishability (IND) in chosen plaintext (CPA) and chosen ciphertext (CCA) attacks by a quantum adversary which is given superposition access to an oracle for encryption and decryption queries but is restricted to classical queries in the challenge phase. In this paper we define IND-CPA and IND-CCA notions for symmetric encryption schemes where the adversary has full quantum superposition access to the oracle, and give constructions that achieve these security notions. Our results are formulated in the concrete security framework.

연구 동기 및 목표

• 기존의 양자 후보 암호 기법에서의 보안 모델 격차를 해소하기 위해, 도전자가 암호화 및 복호화 오라클에 대해 고전적 도전 질의가 아닌 전체 양자 중첩 액세스를 가질 수 있도록 보안 모델을 정의하는 것.
• 2013년 Boneh와 Zhandry의 프레임워크처럼 도전 단계에서 양자 중첩 액세스가 가능할 경우 중첩 상태 기반으로 간단한 식별 공격이 가능한 이전 모델의 한계를 극복하는 것.
• 기존의 고전적 질의에서는 표준 개념과 동일하지만, 양자 중첩 기반 식별 공격에 대해 면역인 새로운 불가분성 개념인 '실수 또는 순열'(RoP)을 정의하는 것.
• RoP 모델 하에서 IND-CPA 및 IND-CCA 변형에 대해 구체적 보안을 증명하기 위해 양자 정보 이론적 기법과 추적 거리 한계를 사용하는 것.
• 양자 허위난수 함수(QPRFs)를 기반으로 한 수정된 구조를 사용하여 RoP-CCA 보안이 유한한 질의 복잡도와 지수적 보안 손실을 동반하여 달성 가능함을 보여주는 것.

제안 방법

• 공격자가 실수 오라클과 메시지에 무작위 순열을 적용한 후 암호화하는 오라클을 구분해야 하는 새로운 보안 모델 RoP를 제안하며, 이는 중첩 상태 하에서도 질의 불변성을 보장한다.
• 구체적 보안 프레임워크를 사용하여 공격자의 두 오라클을 구분하는 데 성공 확률을, 공격자의 질의에 의해 유도된 양자 상태 간의 추적 거리로 제한한다.
• 삼각 부등식과 추적 거리 한계를 적용하여, 다중 복호화 질의 동안 공격자의 양자 상태의 진화를 재귀적으로 분석하고 누적 오차 한계를 유도한다.
• 보안성을 유지하기 위해 양자 허위난수 함수(QPRFs)를 구조적 구성 요소로 사용한다. 이는 전체 양자 오라클 액세스 조건 하에서도 안정성을 확보한다.
• 코시-슈바르츠 부등식과 기대값 한계를 사용하여 식별 성공 확률을 분석하고, $ \mathsf{D} \leq 2\sum_{i=1}^{q_d-1}\sqrt{\mathsf{W}_{\rm val,i}} $ 형태의 추적 거리 한계를 도출한다.
• 마르코프 부등식을 적용하여 식별 우연의 꼬리 확률를 제한하고, 최종 보안 한계로 $ \Pr^{Q1}(b'=1) \leq \Pr^{Q0}(b'=1) + (1 + 2n_d^2) \cdot 2^{-n_\tau/4} $ 를 도출한다.

실험 결과

연구 질문

• RQ1 암호화 및 복호화 오라클에 대해 전체 양자 중첩 액세스를 가진 공격자에 대해 대칭 암호화 체계가 보안을 확보할 수 있는가?
• RQ2 전체 양자 오라클 액세스 조건 하에서, 중첩 상태 기반으로 간단한 식별 공격을 피할 수 있는 의미 있는 불가분성 개념을 정의할 수 있는가?
• RQ3 양자 질의의 능력이 증가함에 따라, 이러한 모델에 대해 구체적 보안 한계를 어떻게 도출할 수 있는가?
• RQ4 RoP 개념은 qIND-qCPA 또는 Boneh-Zhandry의 제한된 모델과 같은 기존의 양자 보안 모델과 어떤 관계가 있는가?
• RQ5 유한한 질의 복잡도와 지수적 보안 손실을 동반하여 RoP-CCA 보안을 달성할 수 있는 양자 허위난수 함수를 기반으로 한 안정된 구조를 설계할 수 있는가?

주요 결과

• RoP-CPA 보안 개념은 고전적 질의 조건에서는 표준 실수-난수 보안과 동일하지만, 양자 중첩 기반 식별 공격에 대해 면역이다.
• RoP-CCA 보안 개념은 양자 허위난수 함수(QPRFs)를 기반으로 한 수정된 구조를 사용하여 달성 가능하며, $ \Pr^{Q1}(b'=1) \leq \Pr^{Q0}(b'=1) + (1 + 2n_d^2) \cdot 2^{-n_\tau/4} $ 의 구체적 보안 한계를 가진다.
• 실수와 순열 시나리오에서 공격자의 양자 상태 간의 추적 거리는 $ 2\sum_{i=1}^{q_d-1}\sqrt{\mathsf{W}_{\rm val,i}} $ 로 제한되며, 이는 마르코프 부등식을 통해 추가로 제한된다.
• 식별 우연의 기대값은 $ 2q_d^2 \cdot 2^{-n_\tau/2} $ 로 제한되며, 이는 키 크기 $ n_\tau $ 에 대해 지수적 보안 손실을 초래한다.
• RoP 모델은 Gagliardoni 등 [6]의 보안 개념 분류 외부에 위치하며, 양자 후보 대칭 암호 기법을 위한 별도이자 더 강력할 수 있는 보안 모델을 나타낸다.
• RoP-CCA 보안의 증명은 양자 정보 이론적 기법을 새롭게 활용하며, 다중 오라클 질의를 거쳐 추적 거리 전파 및 재귀적 상태 분석을 포함한다.