[논문 리뷰] Universally composable privacy amplification against quantum adversaries

Renato Renner, Robert Koenig|ArXiv.org|2004. 03. 18.

Cryptography and Data Security참고 문헌 11인용 수 14

한 줄 요약

이 논문은 두 번째로 보편적인 해싱이 초기 문자열에 대해 양자 정보를 보유한 공격자 조건에서도 보편적으로 구성 가능한 프라이버시 암호화를 제공함을 입증한다. 이는 추출된 키가 강력한 구성 가능한 보안 정의 하에 안전하다는 것을 보이며, 조건부 본 네움안 엔트로피를 기반으로 키 길이에 대한 渐近적으로 최적의 하한을 유도한다. 이는 고전 결과를 양자 환경으로 일반화하며, BB84 및 B92와 같은 프로토콜의 보안성을 임의의 맥락에서 보장한다.

ABSTRACT

Privacy amplification is the art of shrinking a partially secret string Z to a highly secret key S. We show that, even if an adversary holds quantum information about the initial string Z, the key S obtained by two-universal hashing is secure, according to a universally composable security definition. Additionally, we give an asymptotically optimal lower bound on the length of the extractable key S in terms of the adversary's (quantum) knowledge about Z. Our result has applications in quantum cryptography. In particular, it implies that many of the known quantum key distribution protocols are universally composable.

연구 동기 및 목표

• 양자 공격자에 대한 프라이버시 암호화의 보안성을 보편적으로 구성 가능한 보안 정의 하에 입증하는 것.
• 양자 키 분배(QKD)에서 기존의 보안 정의와 더 강력한 구성 가능한 프레임워크 사이의 격차를 메우는 것.
• 공격자가 양자 정보를 보유할 경우 추출 가능한 비밀 키 길이에 대한 渐진적으로 타당한 하한을 도출하는 것.
• 조건부 본 네움안 엔트로피를 사용하여 고전적 키 추출률을 양자 환경으로 일반화하는 것.

제안 방법

• 실제 키와 이상적으로 균일하게 분포된 키 사이의 거리에 기반한 보편적으로 구성 가능한 보안 정의를 사용한다.
• 두 번째로 보편적인 해싱을 적용하여, 공격자가 Z에 대한 양자 정보를 보유하고 있을지라도 부분적으로 비밀인 문자열 Z를 고도로 비밀스러운 키 S로 변환한다.
• 최소 엔트로피와 스무스 엔트로피 프레임워크를 사용하여 공격자의 지식을 정량화하며, 특히 스무스 최소 엔트로피와 스무스 최대 엔트로피를 사용한다.
• 조건부 본 네움안 엔트로피를 사용하여 추출 가능한 키 길이의 하한을 도출한다: s ≥ S([Z⊗ρ]) − S([ρ]) − 2 log₂(1/(4ε)) + o(n).
• 이 하한을 사용하여 BB84 및 B92와 같은 QKD 프로토콜의 구성 가능성을 입증하며, 이를 [5]에서 제시한 일반 QKD 프로토콜의 보안성과 연결한다.
• 슈어의 부등식과 젠센의 부등식을 사용하여 트레이스 노름과 밀도 연산자의 고유값에 대한 하한을 유도하며, 엔트로피 기반 분석을 뒷받침한다.

실험 결과

연구 질문

• RQ1 공격자가 Z에 대해 양자 정보를 보유할 경우 두 번째로 보편적인 해싱이 프라이버시 암호화에 대해 보편적으로 구성 가능한 보안을 제공할 수 있는가?
• RQ2 양자 공격자가 존재할 경우 추출 가능한 비밀 키 길이에 대한 渐진적으로 최적의 하한은 무엇인가?
• RQ3 공격자가 양자 시스템을 보유할 경우 BB84 및 B92와 같은 알려진 QKD 프로토콜의 보안성은 여전히 구성 가능한가?
• RQ4 양자 환경에서의 키 추출률은 조건부 본 네움안 엔트로피와 어떻게 관련이 있는가?
• RQ5 추출 가능한 키 길이에 대한 하한은 점근적 i.i.d. 극한에서 타당한가?

주요 결과

• 두 번째로 보편적인 해싱을 통한 키 길이는 S([Z⊗ρ]) − S([ρ]) − 2 log₂(1/(4ε)) + o(n)로 하한이 매겨지며, 여기서 S는 본 네움안 엔트로피를 의미한다.
• 이 하한은 i.i.d. 극한에서 점근적으로 타당하며, n → ∞일 때 키 길이가 H(Z|ρ) = S([Z⊗ρ]) − S([ρ])에 수렴함을 의미한다.
• 추출된 키의 보안성은 보편적으로 구성 가능하며, 이는 임의의 더 큰 프로토콜의 구성 요소로 사용될 때에도 안전함을 의미한다.
• 이 결과는 BB84 및 B92를 포함한 많은 알려진 QKD 프로토콜이 Ben-Or 등 [8]의 프레임워크 하에서 보편적으로 구성 가능하다는 것을 암시한다.
• 점근적 i.i.d. 경우의 키 비율 R은 R = H(Z|ρ) = S([Z⊗ρ]) − S([ρ])로 주어지며, 이는 고전적 조건부 엔트로피 결과를 일반화한다.
• 분석 결과, 양자 공격자 조건 하에서 프라이버시 암호화의 보안성이 구성 가능함을 입증하며, 이는 이전 연구에서 더 약한 보안 정의를 사용한 격차를 해결한다.