[논문 리뷰] The Universal Composable Security of Quantum Message Authentication with Key Recyling

Patrick Hayden, Debbie Leung외 1명|arXiv (Cornell University)|2016. 10. 29.

Quantum Information and Cryptography참고 문헌 26인용 수 12

한 줄 요약

이 논문은 비상호작용 양자 인증 체계 QA에 키 재사용 기능을 통합한 QA+KG라는 양자 메시지 인증 프로토콜을 제안한다. 인증에 성공할 때마다 암호화 키를 재사용함으로써 메시지 크기의 선형에서 로그형으로 키 소비를 감소시키며, Ben-Or–Mayers 프레임워크에서 보편적 구성가능성(Ubiquitous Composability, UC) 보안성을 입증한다. 이는 임의의 조합과 동시 공격에 대한 강력한 보안을 보장한다.

ABSTRACT

Barnum, Crepeau, Gottesman, Tapp, and Smith (quant-ph/0205128) proposed methods for authentication of quantum messages. The first method is an interactive protocol (TQA') based on teleportation. The second method is a noninteractive protocol (QA) in which the sender first encrypts the message using a protocol QEnc and then encodes the quantum ciphertext with an error correcting code chosen secretly from a set (a purity test code (PTC)). Encryption was shown to be necessary for authentication. We augment the protocol QA with an extra step which recycles the entire encryption key provided QA accepts the message. We analyze the resulting integrated protocol for quantum authentication and key generation, which we call QA+KG. Our main result is a proof that QA+KG is universal composably (UC) secure in the Ben-Or-Mayers model (quant-ph/0409062). More specifically, this implies the UC-security of (a) QA, (b) recycling of the encryption key in QA, and (c) key-recycling of the encryption scheme QEnc by appending PTC. For an m-qubit message, encryption requires 2m bits of key; but PTC can be performed using only O(log m) + O(log e) bits of key for probability of failure e. Thus, we reduce the key required for both QA and QEnc, from linear to logarithmic net consumption, at the expense of one bit of back communication which can happen any time after the conclusion of QA and before reusing the key. UC-security of QA also extends security to settings not obvious from quant-ph/0205128. Our security proof structure is inspired by and similar to that of quant-ph/0205128, reducing the security of QA to that of TQA'. In the process, we define UC-secure entanglement, and prove the UC-security of the entanglement generating protocol given in quant-ph/0205128, which could be of independent interest.

연구 동기 및 목표

• 양자 메시지 인증에서 메시지 크기 m 큐비트에 대해 2m 비트의 높은 키 소비 문제를 해결하기 위해.
• QA 프로토콜의 암호화 키가 성공적인 인증 후에 안전하게 재사용될 수 있는지 조사하기 위해.
• 기존의 고전적 키 보안 조치의 한계를 극복하기 위해 키 재사용을 위한 형식적 보안 모델을 수립하기 위해.
• 통합된 QA+KG 프로토콜의 보편적 구성가능성(Ubiquitous Composability, UC) 보안성을 입증하여, 임의의 프로토콜 조합에 대한 강건성을 확보하기 위해.
• 기존 분석을 넘어서 더 넓은 환경, 즉 동시 공격과 동적 키 재사용을 포함한 상황에서도 양자 인증 보안을 확장하기 위해.

제안 방법

• 성공적인 검증 시 암호화 키를 재사용하는 키 재사용 단계를 비상호작용 양자 인증 프로토콜 QA에 통합한다.
• 오차 탐지 및 인증 무결성 확보를 위해 O(log m + log ε)의 키 비트를 사용하는 순수성 테스트 코드(Purity Test Code, PTC)를 활용한다.
• 실제 환경과 공격자와의 상호작용을 모델링하기 위해 보편적 구성가능성(Ubiquitous Composability, UC) 프레임워크를 사용한다.
• QA+KG의 보안 분석을 시뮬레이터 기반의 추론을 통해 텔레포테이션 기반 프로토콜 TQA’의 보안으로 환원한다.
• 순수성 테스트 기반의 얽힘 생성 프로토콜을 도입하고, 이를 보편적 구성가능성(Ubiquitous Composability, UC) 보안성으로 입증한다. 이는 구조의 핵심 구성 요소이다.
• 재귀적 구성가능성 추론을 적용하여, 조합 시 보안 파rameter가 덧셈적으로 악화됨을 보여준다.

실험 결과

연구 질문

• RQ1 비상호작용 양자 인증 프로토콜 QA의 암호화 키는 성공적인 메시지 인증 후에 안전하게 재사용될 수 있는가?
• RQ2 QA에 키 재사용 기능을 통합함으로써, 동시 양자 공격 하에서 보편적 구성가능성(Ubiquitous Composability, UC) 보안성이 유지되는가?
• RQ3 메시지 크기의 로그형으로 키 소비를 줄이면서도 보안성을 유지하기 위해 키 소비를 어떻게 줄일 수 있는가?
• RQ4 QA 프로토콜의 보안성은 다른 암호 프로토콜과의 임의의 조합에 대해 강건한가?
• RQ5 QA에서 사용되는 얽힘 생성 프로토콜은 양자 환경에서 UC-보안성으로 입증될 수 있는가?

주요 결과

• QA+KG 프로토콜은 Ben-Or–Mayers 모델에서 보편적 구성가능성(Ubiquitous Composability, UC) 보안성을 확보하여, 임의의 악성 조합에 대한 강건성을 보장한다.
• 성공 시 암호화 키를 재사용함으로써 메시지 크기의 선형에서 O(log m + log ε) 비트로 순수 키 소비를 감소시킨다. 실패 확률이 ε일 경우.
• 시뮬레이터 기반 추론을 통해 QA의 보안성을 텔레포테이션 기반 프로토콜 TQA’의 보안으로 환원함으로써 QA의 보안을 체계적으로 입증한다.
• 순수성 테스트 기반의 얽힘 생성 프로토콜은 UC-보안성으로 입증되었으며, 이는 인증 이외의 맥락에서도 별도의 관심을 끌 수 있다.
• 키 재사용 메커니즘은 인증과 키 재사용에 동시에 공격을 가하는 상황에서도 안전하며, 구분 가능성 우월도는 실패 확률 δ에 대해 2√2ε^(1/3) + 2δ 이하로 제한된다. 원격 상태 준비에서의 오차 확률은 δ이다.
• 증명 프레임워크는 웨그먼-카터 인증에 키 재사용을 통합한 WC+KG와 같은 고전적 체계로도 확장 가능하며, 이 경우 구분 가능성 우월도는 ε-거의-강력한 2-해시 함수에 대해 ε 이하로 제한된다.