[論文レビュー] Quantum Security of Cryptographic Primitives

Tommaso Gagliardoni|arXiv (Cornell University)|Jan 1, 2017

Cryptography and Data Security参考文献 82被引用数 13

ひとこと要約

本論文は、量子セキュリティの状況を4つの明確に区別できる分野—QS0（古典的）、QS1（後量子的）、QS2（量子重ね合わせに基づく）、QS3（完全に量子的）—に体系的に分類し、それぞれに対して形式的なセキュリティモデル、構築手法、および不可能性結果を提示する。主な貢献は、量子セキュアな秘密鍵暗号化の統一フレームワークの確立と、非破壊的量子測定を可能にする新技術を用いた、量子ORAM（QORAM）の形式的定式化と構築である。

ABSTRACT

We call quantum security the area of IT security dealing with scenarios where one or more parties have access to quantum hardware. This encompasses both the fields of post-quantum cryptography (that is, traditional cryptography engineered to be resistant against quantum adversaries), and quantum cryptography (that is, security protocols designed to be natively run on a quantum infrastructure, such as quantum key distribution). Moreover, there exist also hybrid models, where traditional cryptographic schemes are somehow `mixed' with quantum operations in certain scenarios. Even if a fully-fledged, scalable quantum computer has yet to be built, recent results and the pace of research in its realization call for attention, lest we suddenly find ourselves one day with an obsolete security infrastructure. For this reason, in the last two decades research in quantum security has experienced an exponential growth in interest and investments. In this work, we propose the first systematic classification of quantum security scenarios, and for each of them we recall the main tools and results, as well as presenting new ones. We achieve this goal by identifying four distinct quantum security classes, or domains, each of them encompassing the security notions and constructions related to a particular scenario. We start with the class QS0, which is `classical cryptography' (meaning that no quantum scenario is considered), where we present some classical constructions and results as a preliminary step. Regarding post-quantum cryptography, we introduce the class QS1, where we discuss in detail the problems arising when designing a classical cryptographic object meant to be resistant against adversaries with local quantum computing power, and we provide a classification of the possible quantum security reductions in this scenario when considering provable security. Moreover, we present results about the quantum security and insecurity of the Fiat-Shamir transformation (a useful tool used to turn interactive identification schemes into digital signatures), and ORAMs (protocols used to outsource a database in a private way). In respect to hybrid classical-quantum models, in the security class QS2 we discuss in detail the possible scenarios where these scenarios arise, and what a correct formalization should be in terms of quantum oracle access. We also provide a novel framework for the quantum security (both in terms of indistinguishability and semantic security) of secret-key encryption schemes, and we give explicit secure constructions, as well as impossibility results. Finally, in the class QS3 we consider all those cryptographic constructions designed to run natively on quantum hardware. We give constructions for quantum encryption schemes (both in the secret- and public-key scenario), and we introduce transformations for obtaining such schemes by conceptually simpler schemes from the class QS2. Moreover, we introduce a quantum version of ORAM, called quantum ORAM (QORAM), aimed at outsourcing in a private way a database composed of quantum data. In proposing a suitable security model and an explicit construction for QORAMs, we also introduce a technique of independent interest which models a quantum adversary able to extract information from a quantum system without disturbing it `too much'. We believe that the framework we introduce in this work will be a valuable tool for the scientific community in addressing the challenges arising when formalizing sound constructions and notions of security in the quantum world.

研究の動機と目的

• 量子コンピューティングの時代における形式的なセキュリティモデルの需要が高まっているのを受けて、これを解決すること。
• 量子ハードウェアの役割に基づいて、量子セキュリティを4つの明確に区別できる分野に分類すること。
• 量子耐性および完全に量子的な暗号プリミティブのための厳密なセキュリティモデルと構築手法を提供すること。
• 量子セキュリティにおける未解決問題、たとえば量子フィアト・シャムール変換や量子ORAMの解決

提案手法

• 4段階の分類を提案：QS0（古典的）、QS1（後量子的）、QS2（量子オラクルアクセス）、QS3（ネイティブ量子暗号）。
• 重ね合わせアクセスを持つ量子攻撃者を想定した、不問別性および意味的セキュリティ定義を満たす新規の量子セキュア秘密鍵暗号フレームワークを導入。
• 量子データを安全に外部に委託するための量子ORAM（QORAM）の形式的モデルを構築。
• 量子攻撃者が量子系から最小限の干渉で古典的情報を抽出できる技術を設計。
• 量子ランダムオラクルモデル（QROM）を用いて、フィアト・シャムール変換および他のプリミティブの量子セキュリティを分析。
• 4つのすべてのドメインにわたる量子セキュアプリミティブの明示的構築および不可能性結果を提供。

実験結果

リサーチクエスチョン

• RQ1 どのようにして量子セキュリティを、明確で整合性のある分野に体系的に分類できるか？
• RQ2 重ね合わせアクセスを持つ量子攻撃者を想定した状況下で、秘密鍵暗号化の正しい形式的セキュリティモデルは何か？
• RQ3 量子ランダムオラクルモデルにおいて、フィアト・シャムール変換を安全に実装することは可能か？
• RQ4 どのようにして量子データのプライベートな外部ストレージを実現できるか？このようなスキームの正しいセキュリティモデルは何か？
• RQ5 完全に量子的な暗号プリミティブの設計における、根本的な制限と可能性は何か？

主な発見

• 本論文は、QS0–QS3の包括的な4ドメイン分類を確立し、量子セキュリティを明確な脅威モデルと構築パラダイムに分類した。
• フィアト・シャムール変換が、量子ランダムオラクルモデルにおいては不正であることが証明され、後量子環境における新たな分析の必要性が浮き彫りになった。
• 重ね合わせアクセス下で、不問別性および意味的セキュリティを満たす新しい量子セキュア秘密鍵暗号化方式が構築された。
• 量子ORAM（QORAM）のための最初の形式的セキュリティモデルと構築手法が提案され、量子データベースへのプライベートアクセスが可能になった。
• 量子系から古典的情報を著しく干渉せずに抽出できる攻撃者をモデル化する新技術が導入され、新たなセキュリティ解析が可能になった。
• 特定の量子セキュア構築に対して不可能性結果が確立され、量子環境下での実現可能性の境界が明確になった。