[论文解读] A Note on Quantum-Secure PRPs

Mark Zhandry|arXiv (Cornell University)|Nov 17, 2016

Cryptography and Data Security参考文献 8被引用 14

一句话总结

本文构建了首个量子安全伪随机置换（PRP），其安全性仅依赖于量子抗性单向函数的存在性。通过将量子安全伪随机函数与一种作为函数到置换转换器（FPC）的格式保持加密构造相结合，作者实现了对能够发起量子叠加查询的敌手具有安全性的PRP，从而解决了后量子密码学中的一个开放问题。

ABSTRACT

We show how to construct pseudorandom permutations (PRPs) that remain secure even if the adversary can query the permutation, both in the forward and reverse directions, on a quantum superposition of inputs. Such quantum-secure PRPs have found numerous applications in cryptography and complexity theory. Our construction combines a quantum-secure pseudorandom function together with constructions of classical format preserving encryption. By combining known results, we show how to construct quantum-secure PRP in this model whose security relies only on the existence of one-way functions.

研究动机与目标

• 为解决Zhandry（2012）提出的开放问题：是否能仅从单向函数构造出量子安全PRP。
• 填补量子安全PRP构造中的空白，此前的工作需要假设量子安全或更强的原 primitive。
• 形式化并利用一种新原 primitive 称为函数到置换转换器（FPC），以连接量子安全PRF与量子安全PRP。
• 证明现有的经典格式保持加密构造可作为全域FPC使用，从而在最小假设下实现量子安全性。

提出的方法

• 引入函数到置换转换器（FPC）的概念，这是一种信息论对象，可将一个函数映射为一个定义在域上的置换。
• 定义FPC在敌手对置换及其逆进行多项式次量子查询时的安全性。
• 使用混合论证法证明：若底层PRF是量子安全的，则所得PRP也是量子安全的。
• 利用已知的格式保持加密构造（例如基于洗牌卡的FPC）的安全性，这些构造即使在敌手可查询整个域时也保持安全。
• 证明当域大小是输入长度的指数级时，此类FPC在敌手进行量子叠加查询时也保持安全。
• 将FPC构造与从单向函数导出的量子安全PRF相结合，最终实现量子安全PRP。

实验结果

研究问题

• RQ1 是否能仅从单向函数本身构造出量子安全PRP，而无需假设PRP构造的量子安全性？
• RQ2 是否存在一种方法，通过一个最小化且形式化的原 primitive，将量子安全PRF转换为量子安全PRP？
• RQ3 当域足够大时，现有的经典格式保持加密构造在量子叠加查询下是否仍保持安全？
• RQ4 能否设计一种函数到置换转换器（FPC），使其安全性在敌手发起多项式次量子查询时依然成立？
• RQ5 是否可能在不依赖强于量子抗性单向函数的假设下，实现量子安全PRP？

主要发现

• 本文构建了首个量子安全PRP，其安全性仅依赖于量子抗性单向函数的存在性。
• 本文引入并形式化了函数到置换转换器（FPC）的概念，这是将量子安全PRF转换为量子安全PRP的关键。
• 作者证明，基于格式保持加密构造（如洗牌卡方法）的FPC在域大小为输入长度的指数级时，即使在量子叠加查询下也保持安全。
• 通过混合论证法建立了最终PRP的安全性，证明其在量子查询下与随机置换不可区分。
• 该构造高效，可应用于需要量子安全对称加密的场景，如 [GHS16] 和 [AC16] 所示。
• 该结果通过证明单向函数足以构造量子安全PRP，从而解决了后量子密码学中的一个重大开放问题。