[论文解读] Concrete Security Against Adversaries with Quantum Superposition Access to Encryption and Decryption Oracles

Shahram Mossayebi, Rüdiger Schack|arXiv (Cornell University)|Sep 13, 2016

Cryptography and Data Security参考文献 8被引用 6

一句话总结

本文提出了一种新的量子安全对称加密安全模型，其中敌手可对加密和解密预言机拥有完整的量子叠加访问权限。该文提出了‘真实或置换’（RoP）不可区分性概念，可防止基于叠加态判别攻击，并通过量子伪随机函数和迹距离分析实现具体安全，证明RoP-CCA安全性在有界查询复杂度下可实现，且安全损失呈指数级。

ABSTRACT

In 2013, Boneh and Zhandry introduced the notion of indistinguishability (IND) in chosen plaintext (CPA) and chosen ciphertext (CCA) attacks by a quantum adversary which is given superposition access to an oracle for encryption and decryption queries but is restricted to classical queries in the challenge phase. In this paper we define IND-CPA and IND-CCA notions for symmetric encryption schemes where the adversary has full quantum superposition access to the oracle, and give constructions that achieve these security notions. Our results are formulated in the concrete security framework.

研究动机与目标

• 为填补后量子密码学中的空白，定义一种敌手可对加密和解密预言机拥有完整量子叠加访问权限的安全模型，而非受限于经典挑战查询。
• 克服先前模型（如Boneh与Zhandry在2013年提出的框架）的局限性——该框架中挑战阶段的量子叠加访问会导致基于叠加态的平凡区分攻击。
• 定义一种新的不可区分性概念，即‘真实或置换’（RoP），其在经典查询下与标准概念等价，但对基于量子叠加的区分攻击具有免疫性。
• 在RoP模型下，利用量子信息理论技术与迹距离界，证明IND-CPA与IND-CCA变体的具体安全性。
• 证明RoP-CCA安全性可通过基于量子伪随机函数（QPRFs）的改进构造实现，且明确给出优势与查询次数和密钥大小的关系边界。

提出的方法

• 提出一种新安全模型RoP，敌手必须在加密预言机与先对消息应用随机置换后再加密的预言机之间进行区分，以确保在叠加态下查询的不变性。
• 采用具体安全框架，通过敌手查询所诱导的量子态之间的迹距离，界定敌手区分两个预言机的优势。
• 应用三角不等式与迹距离界，递归分析敌手在多次解密查询中量子态的演化，推导累积误差界。
• 采用量子伪随机函数（QPRFs）作为构建模块，确保即使在完整量子预言机访问下，构造仍保持安全。
• 利用柯西-施瓦茨不等式与期望界分析成功区分的概率，得出迹距离界的形式为 $ \mathsf{D} \leq 2\sum_{i=1}^{q_d-1}\sqrt{\mathsf{W}_{\rm val,i}} $。
• 应用马尔可夫不等式界定区分优势的尾部概率，最终得出安全界 $ \Pr^{Q1}(b'=1) \leq \Pr^{Q0}(b'=1) + (1 + 2n_d^2) \cdot 2^{-n_\tau/4} $。

实验结果

研究问题

• RQ1 是否存在一种对称加密方案，可抵御敌手对加密与解密预言机拥有完整量子叠加访问权限的攻击？
• RQ2 是否可能在完整量子预言机访问下定义一种有意义的不可区分性概念，以避免基于叠加态的平凡区分攻击？
• RQ3 在量子查询能力增强的背景下，如何为该模型推导具体的安全边界？
• RQ4 RoP概念与现有量子安全模型（如qIND-qCPA或Boneh-Zhandry的受限模型）之间存在何种关系？
• RQ5 能否基于量子伪随机函数构建一个安全构造，实现RoP-CCA安全性，且具有有界查询复杂度与指数级安全损失？

主要发现

• RoP-CPA安全性概念在经典查询下与标准真实-随机安全性等价，但对基于量子叠加的区分攻击具有免疫性。
• RoP-CCA安全性可通过基于量子伪随机函数的改进构造实现，具体安全边界为 $ \Pr^{Q1}(b'=1) \leq \Pr^{Q0}(b'=1) + (1 + 2n_d^2) \cdot 2^{-n_\tau/4} $。
• 敌手在真实与置换场景下其量子态之间的迹距离被限制在 $ 2\sum_{i=1}^{q_d-1}\sqrt{\mathsf{W}_{\rm val,i}} $，并进一步通过马尔可夫不等式进行界定。
• 区分优势的期望值被限制在 $ 2q_d^2 \cdot 2^{-n_\tau/2} $，导致安全损失随密钥大小 $ n_\tau $ 呈指数级下降。
• RoP模型不属于Gagliardoni等人[6]的分类体系，表明其代表一种独立且可能更具鲁棒性的后量子对称密码学安全模型。
• RoP-CCA安全性的证明依赖于新颖的量子信息理论技术，包括递归态分析与多预言机查询下迹距离的传播。