[논문 리뷰] Quantum Attacks on Classical Proof Systems - The Hardness of Quantum Rewinding

Andris Ambainis, Ansis Rosmanis외 1명|arXiv (Cornell University)|2014. 04. 28.

Cryptography and Data Security참고 문헌 17인용 수 4

한 줄 요약

이 논문은 시그마-프로토콜, 피아트-샤미르 구성, 페슈린의 체계와 같은 고전적으로 안전한 증명 체계가 표준 고전적 가정 하에서 오라클 분리 기법을 통해, 고전적 안전성에도 불구하고 양자 공격자에 의해 깨질 수 있음을 보여준다. 핵심 기법인 '한 개 선택 기법'(pick-one trick)은 공격자가 두 개를 찾을 수는 없지만 하나의 유효한 증거 또는 응답을 찾을 수 있도록 하여, 양자 중첩과 측정 붕괴의 성질을 악용하여 양자 재시작 기법을 무너뜨린다.

ABSTRACT

Quantum zero-knowledge proofs and quantum proofs of knowledge are inherently difficult to analyze because their security analysis uses rewinding. Certain cases of quantum rewinding are handled by the results by Watrous (SIAM J Comput, 2009) and Unruh (Eurocrypt 2012), yet in general the problem remains elusive. We show that this is not only due to a lack of proof techniques: relative to an oracle, we show that classically secure proofs and proofs of knowledge are insecure in the quantum setting. More specifically, sigma-protocols, the Fiat-Shamir construction, and Fischlin's proof system are quantum insecure under assumptions that are sufficient for classical security. Additionally, we show that for similar reasons, computationally binding commitments provide almost no security guarantees in a quantum setting. To show these results, we develop the "pick-one trick", a general technique that allows an adversary to find one value satisfying a given predicate, but not two.

연구 동기 및 목표

• 고전적으로 안전한 증명 체계가 양자 환경에서도 여전히 안전한지 조사하기.
• 불안전성이 증명 기법의 한계에서 비롯되는지, 프로토콜 자체의 본질적 결함에서 비롯되는지 판단하기.
• 양자 재시작과 양자 상태 복제 금지 원리의 제약을 우회하는 일반적인 양자 공격 기법 개발하기.
• 컴퓨터적으로 바인딩된 암호화 기반 암호화 및 표준 0지식 증명 체계가 양자 공격 하에서 실패하는지 보여주기.
• 고전적 기법이 실패하는 상황에서 양자 공격자가 고전적 증명 체계를 깰 수 있음을 보여주는 오라클 분리 구축하기.

제안 방법

• 공격자가 특정 조건을 만족하는 응답을 하나만 찾을 수 있고 두 개를 찾을 수는 없는 양자 공격 전략인 '한 개 선택 기법'을 도입한다. 이는 양자 상태 간섭을 악용한다.
• 오라클 모델을 사용하여 고전적 안전성 가정이 유지되지만 양자 공격이 성공하는 상대화된 세계를 구성한다.
• 대칭군의 표현 이론을 활용하여 공격 프레임워크 내에서 양자 알고리즘의 행동을 분석한다.
• 양자 상태를 복제하지 않고도 암호화 및 응답 단계를 조작함으로써 시그마-프로토콜, 피아트-샤미르, 페슈린의 체계를 깨는 공격자를 구성한다.
• 양자 재시작이 양자 상태 복제 금지 원리로 인해 실패하며, 워츠, 운루흐 등의 기존 양자 재시작 기법이 일반적인 지식 증명 체계에 대해 충분하지 않음을 보여준다.
• 완벽하거나 무시할 수 있는 음성도 보장되더라도, 양자 측정과 상태 붕괴의 구조를 악용하여 공격자가 유효한 증명을 위조할 수 있음을 입증한다.

실험 결과

연구 질문

• RQ1 시그마-프로토콜과 같은 고전적으로 안전한 증명 체계가 양자 공격자에 대해 여전히 안전한가?
• RQ2 양자 재시작의 실패는 증명 기법의 한계에서 비롯되는가, 프로토콜 자체의 본질적 결함에서 비롯되는가?
• RQ3 고전적 가정 하에서 피아트-샤미르 변환과 페슈린의 증명 체계가 양자 공격자에 의해 깨질 수 있는가?
• RQ4 컴퓨터적으로 바인딩된 암호화 기반 암호화는 양자 랜덤 오라클 모델에서 어느 정도까지 안전한가?
• RQ5 양자 상태 복제 금지 원리는 양자 재시작 기반 지식 증명 체계의 보안을 본질적으로 무너뜨리는가?

주요 결과

• 고전적으로 안전한 시그마-프로토콜은 고전적 가정(특수 음성, 계산적 음성) 하에서도 양자 환경에서는 불안전하다.
• 피아트-샤미르 변환은 표준 가정 하에서 고전적으로 안전하지만, 양자 랜덤 오라클 모델에서는 불안전하다.
• 고전적으로 안전한 페슈린의 증명 체계는 고전적 음성 조건을 만족하더라도, 양자 공격자가 '한 개 선택 기법'을 사용하여 깨뜨릴 수 있다.
• 컴퓨터적으로 바인딩된 암호화 기반 암호화는 양자 환경에서 거의 보안이 없으며, 양자 공격자가 여러 개의 유효한 열기 방법을 찾을 수 있다.
• 한 개 선택 기법은 공격자가 하나의 유효한 증거 또는 응답을 찾을 수는 있지만 두 개를 찾을 수는 없도록 하여, 양자 간섭을 이용해 표준 재시작 보안을 우회한다.
• 고전적 기법이 실패하는 상황에서 양자 공격자가 고전적으로 안전한 증명 체계를 깰 수 있음을 보여주는 오라클 분리를 구성하였다.