[论文解读] Breaking Symmetric Cryptosystems using Quantum Period Finding

Kaplan, Marc, Gaëtan Leurent+2 more|arXiv (Cornell University)|Feb 18, 2016

Quantum Computing Algorithms and Architecture参考文献 13被引用 6

一句话总结

本文证明，在量子叠加预言机模型下，西蒙的量子周期查找算法可破解广泛使用的对称密码系统——如CBC-MAC、GMAC、GCM、OCB以及多个CAESAR候选算法。该方法在碰撞攻击与滑动攻击中实现了指数级加速，表明经典环境下被认为安全的对称方案在后量子环境下完全失效。

ABSTRACT

Due to Shor's algorithm, quantum computers are a severe threat for public key cryptography. This motivated the cryptographic community to search for quantum-safe solutions. On the other hand, the impact of quantum computing on secret key cryptography is much less understood. In this paper, we consider attacks where an adversary can query an oracle implementing a cryptographic primitive in a quantum superposition of different states. This model gives a lot of power to the adversary, but recent results show that it is nonetheless possible to build secure cryptosystems in it. We study applications of a quantum procedure called Simon's algorithm (the simplest quantum period finding algorithm) in order to attack symmetric cryptosystems in this model. Following previous works in this direction, we show that several classical attacks based on finding collisions can be dramatically sped up using Simon's algorithm: finding a collision requires $Ω(2^{n/2})$ queries in the classical setting, but when collisions happen with some hidden periodicity, they can be found with only $O(n)$ queries in the quantum model. We obtain attacks with very strong implications. First, we show that the most widely used modes of operation for authentication and authenticated encryption e.g. CBC-MAC, PMAC, GMAC, GCM, and OCB) are completely broken in this security model. Our attacks are also applicable to many CAESAR candidates: CLOC, AEZ, COPA, OTR, POET, OMD, and Minalpher. This is quite surprising compared to the situation with encryption modes: Anand et al. show that standard modes are secure with a quantum-secure PRF. Second, we show that Simon's algorithm can also be applied to slide attacks, leading to an exponential speed-up of a classical symmetric cryptanalysis technique in the quantum model.

研究动机与目标

• 评估对称密码系统在具备叠加预言机访问能力的量子攻击者下的安全性。
• 将西蒙算法扩展至处理具有多重碰撞的函数，以改进对对称密码系统脆弱性的分析。
• 证明标准认证与认证加密模式在量子叠加查询下不安全。
• 通过直接量化，首次实现经典密码分析技术——滑动攻击的指数级量子加速。
• 挑战一种假设：即在使用量子安全PRF时，对称密码学在后量子环境下依然安全，特别是针对认证加密方案。

提出的方法

• 将西蒙算法扩展至具有多个隐藏周期的函数，以扩大其在对称密码系统中的适用范围。
• 构建一个量子预言机函数 f(b,x)，编码滑动特性，其中 f(0,x) = P(E_k(x)) ⊕ x 且 f(1,x) = E_k(P(x)) ⊕ x。
• 利用 f(b,x) = f(b⊕1, x⊕k) 的承诺，通过西蒙算法识别周期 s = 1‖k。
• 假设 E_k ∘ P 和 P ∘ E_k 表现为随机置换，以保证误差 ε(f,1‖k) ≤ 1/2，从而验证西蒙算法的应用有效性。
• 利用该量子预言机在 O(n) 次查询内恢复密钥 k，其中 n 为分组大小，相比经典方法的 O(2^n) 显著加速。
• 将相同框架应用于分析消息认证码与认证加密模式中的基于碰撞的攻击，表明其查询复杂度为 O(n)。

实验结果

研究问题

• RQ1 西蒙算法能否被扩展以破解具有多重碰撞的对称密码系统，而不仅限于具有单一隐藏周期的系统？
• RQ2 消息认证与认证加密的标准操作模式在量子叠加查询下是否安全？
• RQ3 能否通过量子周期查找，实现对经典对称密码分析技术（如滑动攻击）的指数级加速？
• RQ4 使用量子安全PRF是否能确保所有对称方案在量子预言机模型下的安全性？
• RQ5 量子周期查找对LRW、Even-Mansour与三轮Feistel等经典安全构造会产生何种影响？

主要发现

• CBC-MAC、PMAC、GMAC、GCM与OCB在量子叠加预言机模型下完全失效，伪造攻击仅需 O(n) 次查询。
• CAESAR候选算法CLOC、AEZ、COPA、OTR、POET、OMD与Minalpher也易受 O(n) 查询攻击，且可利用西蒙算法实现。
• LRW构造在叠加查询下不安全，扩展了经典安全但量子环境下失效的方案类别。
• 通过西蒙算法，块密码的滑动攻击实现指数级加速，查询复杂度从 O(2^n) 降至 O(n)。
• 对使用相同子密钥且无轮常数的密钥交替密码的攻击，相比经典穷举搜索实现二次加速，将TREYFER的破解复杂度从 2^64 降低至 2^44。
• 本研究解决了Boneh与Zhandry提出的一个开放问题：CBC-MAC与NMAC在叠加查询下无法构造出量子安全PRF。