[论文解读] Multi-theorem (Malicious) Designated-Verifier NIZK for QMA

Omri Shmueli|arXiv (Cornell University)|Jul 25, 2020

Cryptography and Data Security参考文献 21被引用 5

一句话总结

本文在学习错误（LWE）假设下，首次提出了适用于QMA的多命题可复用恶意指定验证者非交互式零知识（MDV-NIZK）论证系统。该系统通过仅使用公共随机字符串进行设置，实现了最小信任的安全性，允许任何验证者生成公钥/私钥验证密钥（甚至恶意地），同时保持零知识性和正确性。

ABSTRACT

We present the first non-interactive zero-knowledge argument system for QMA with multi-theorem security. Our protocol setup constitutes an additional improvement and is constructed in the malicious designated-verifier (MDV-NIZK) model (Quach, Rothblum, and Wichs, EUROCRYPT 2019), where the setup consists of a trusted part that includes only a common uniformly random string and an untrusted part of classical public and secret verification keys, which even if sampled maliciously by the verifier, the zero knowledge property still holds. The security of our protocol is established under the Learning with Errors Assumption. Our main technical contribution is showing a general transformation that compiles any sigma protocol into a reusable MDV-NIZK protocol, using NIZK for NP. Our technique is classical but works for quantum protocols and allows the construction of a reusable MDV-NIZK for QMA.

研究动机与目标

• 解决尽管NP已有NIZK协议，但QMA仍缺乏多命题安全NIZK协议的问题。
• 弥合经典NIZK在NP上的设置信任与量子NIZK在QMA上的可复用性之间的差距。
• 在最小信任环境下构建QMA的可复用MDV-NIZK协议。
• 实现一种仅信任公共随机字符串的设置机制，且验证密钥可由恶意方生成而不破坏零知识性。
• 提出一种通用编译技术，将任意Sigma协议转化为基于NP-NIZK的可复用MDV-NIZK。

提出的方法

• 提出一种通用变换，利用NP-NIZK将任意Sigma协议编译为可复用的MDV-NIZK。
• 使用带电路隐私的分层全同态加密（FHE），以支持NP证明的同态计算。
• 采用伪随机函数（PRF）和伪随机密钥公钥加密（PKE），将验证密钥生成与提取的随机性绑定。
• 通过多个查询阶段的混合论证，模拟证明预言机的同时保持不可区分性。
• 利用底层NP-NIZK的自适应零知识性以及FHE的电路隐私性，确保混合过程中的统计与计算不可区分性。
• 集成证明方检查机制，验证加密的验证密钥与提取随机性的一致性，以保障正确性与安全性。

实验结果

研究问题

• RQ1 能否在标准假设下，以最小信任构建QMA的多命题NIZK？
• RQ2 当验证者恶意生成验证密钥时，是否仍能实现零知识安全性？
• RQ3 能否设计一种通用编译技术，将任意Sigma协议转化为QMA的可复用MDV-NIZK？
• RQ4 仅将公共随机字符串作为唯一可信设置组件，是否足以在QMA的MDV-NIZK模型中保证安全性？
• RQ5 能否结合量子计算与经典密码学工具，构建一个可复用、非交互式的量子零知识论证系统？

主要发现

• 本文在学习错误（LWE）假设下，首次构造了适用于QMA的多命题、可复用、恶意指定验证者NIZK协议。
• 安全模型中仅需信任公共随机字符串，且验证者可恶意生成公钥与私钥验证密钥。
• 即使验证密钥由攻击者生成，协议仍能保证计算意义上的零知识性，保护隐私。
• 主要技术贡献是一个通用编译器，可将任意Sigma协议转化为基于NP-NIZK的可复用MDV-NIZK。
• 证明依赖一系列混合论证，通过FHE的电路隐私性、PKE的安全性以及量子Sigma协议的特殊零知识性，建立不可区分性。
• 该构造实现了统计正确性与计算零知识性，安全归约至标准假设：LWE、FHE、PKE与NP-NIZK的安全性。