[논문 리뷰] Reply to: 'Reply to: "Comment on: `How much security does Y-00 protocol provide us?` " '

Ranjith Nair, Horace P. Yuen외 2명|ArXiv.org|2005. 09. 13.

Cryptographic Implementations and Security참고 문헌 8인용 수 4

한 줄 요약

이 논문은 Y-00 양자 키 분배 프로토콜이 고전적 비랜덤 스트림 암호와 동일하다는 주장에 반박하며, 이는 이면에서 이뤄지는 이방형 공격 하에서 Y-00이 랜덤 암호로 기능한다는 것을 입증한다. 저자들은 프로토콜의 양자 노이즈가 결정론적 고전 알고리즘으로 재현할 수 없는 진정한 랜덤성을 제공함으로써, 비랜덤 암호보다 더 강력한 보안을 제공함을 보여주며, 특히 키 복구 공격에 대해 강력한 보안을 확보한다.

ABSTRACT

Nishioka et al claim in [1], elaborating on their earlier paper [2], that the direct encryption scheme called Y-00 [3,4] is equivalent to a classical non-random additive stream cipher, and thus offers no more security than the latter. In this paper, we show that this claim is false and that Y-00 may be considered equivalent to a \emph{random} cipher. We explain why a random cipher provides additional security compared to its nonrandom counterpart. Some criticisms in [1] on the use of Y-00 for key generation are also briefly responded to.

연구 동기 및 목표

• Nishioka 등이 제기한 Y-00이 고전적 비랜덤 덧셈 스트림 암호와 동일하다는 주장을 반박하기 위해.
• Y-00의 보안이 진정한 양자 랜덤성에서 기인하며, 이는 비랜덤 암호가 아니라 랜덤 암호와 동일시됨을 입증하기 위해.
• 이방형 측정 하에서 암호문 표현 및 복호화 가능성에 대한 [1]에서의 오해를 명확히 하기 위해.
• 특히 거리 및 손실 제한 조건을 고려할 때 Y-00의 키 생성 적용 가능성에 대한 비판에 응답하기 위해.
• Y-00의 고전 암호보다 보다 뛰어난 보안 이점이 결정 불가능한 양자 노이즈에서 기인하며, 고전적 의사랜덤성에서 기인하지 않는다는 것을 강화하기 위해.

제안 방법

• 비밀 키에 기반한 위상 변조를 사용하는 코herent 상태를 활용한 Y-00 프로토콜의 작동 방식 분석.
• Nishioka 등이 제안한 이방형 측정 공격 모델 평가. 여기서 애완은 위상과 진폭을 측정하여 키 값을 유추하려 시도한다.
• 암호문이 단일 비트 레이블 $ l_{j^{(i)}} $로 표현될 수 없다는 것을 입증함. 이는 복호화에 필요한 정보가 부족하기 때문이다.
• 복호화에 유효한 것은 오직 전체 측정 결과 $ \mathbf{J}_N $ 뿐이며, 이는 비영인 조건부 엔트로피 $ H(\mathbf{J}_N|\mathbf{R}_N, \mathbf{K}_s) \neq 0 $ 를 유도함. 이는 랜덤 암호의 특징이다.
• 정보 이론적 논증을 통해 프로토콜의 보안이 고전적 비랜덤 스트림 암호로 환원될 수 없음을 증명함.
• 진정한 랜덤성은 알고리즘적 의사랜덤성에서 기인하는 것이 아니라 물리적 양자 노이즈에서 기인하므로, 고속 데이터 전송 시 고전적으로 시뮬레이션하는 것은 실현 가능성이 떨어진다고 주장함.

실험 결과

연구 질문

• RQ1 이방형 공격 하에서 Y-00 프로토콜이 고전적 비랜덤 덧셈 스트림 암호로 환원될 수 있는가?
• RQ2 보안 측면에서 Y-00을 고전 암호와 구별하는 데서 양자 노이즈의 역할은 무엇인가?
• RQ3 Y-00 프로토콜에서 단일 비트 $ l_{j^{(i)}} $ 를 사용한 암호문 표현이 복호화에 충분한가?
• RQ4 채널 손실이 존재하더라도 Y-00 프로토콜이 정보 이론적으로 안전한 키 생성을 가능하게 하는가?
• RQ5 조건부 엔트로피와 복호화 가능성 측면에서 Y-00과 비랜덤 암호 간의 동등성 주장이 왜 잘못되었는가?

주요 결과

• Y-00이 고전적 비랜덤 스트림 암호와 동일하다는 주장은 틀리며, 프로토콜의 보안은 결정론적 알고리즘으로 재현할 수 없는 양자 노이즈에 기반한다.
• 이방형 측정 결과에서 유도된 암호문 $ \mathbf{J}_N $ 는 복호화에 필수적이고 충분하며, 단일 비트 레이블 $ l_{j^{(i)}} $ 는 부족하여 주장된 $ 10^{-44} $ 실패 확률로도 복호화 식을 충족하지 못한다.
• 조건부 엔트로피 $ H(\mathbf{J}_N|\mathbf{R}_N, \mathbf{K}_s) \neq 0 $ 는 이방형 공격 모델 하에서 Y-00가 랜덤 암호로 기능함을 확인한다.
• Y-00 프로토콜은 양자 노이즈가 애완에게 검색 문제를 유도함으로써 고전 암호보다 보안 이점이 있다.
• 약한 코herent 상태를 사용한 키 생성에도 불구하고, 이방형 공격 하에서 애완에 비해 6 dB의 이득이 존재하여 실용적인 키 생성이 가능하다.
• [1]에서 제기한 작은 $ M $ 이 확률적 성질을 향상시킨다는 주장은 잘못되었으며, 더 큰 $ M $ 이 더 나은 상태 인터리빙과 더 낮은 구분 가능성으로 인해 바람직하다.