[论文解读] Quantum Attacks on Classical Proof Systems - The Hardness of Quantum Rewinding

Andris Ambainis, Ansis Rosmanis+1 more|arXiv (Cornell University)|Apr 28, 2014

Cryptography and Data Security参考文献 17被引用 4

一句话总结

该论文表明，在标准经典假设下，经典安全的证明系统——如sigma-协议、Fiat-Shamir构造以及Fischlin方案——在量子环境下是不安全的，通过一种预言机分离方法证明，即使在经典安全的前提下，量子攻击者仍可攻破这些系统。其核心技巧是‘选一个’技巧（pick-one trick），使攻击者能够找到一个有效的见证或响应，但无法找到两个，从而利用不可克隆定理破坏量子重放机制。

ABSTRACT

Quantum zero-knowledge proofs and quantum proofs of knowledge are inherently difficult to analyze because their security analysis uses rewinding. Certain cases of quantum rewinding are handled by the results by Watrous (SIAM J Comput, 2009) and Unruh (Eurocrypt 2012), yet in general the problem remains elusive. We show that this is not only due to a lack of proof techniques: relative to an oracle, we show that classically secure proofs and proofs of knowledge are insecure in the quantum setting. More specifically, sigma-protocols, the Fiat-Shamir construction, and Fischlin's proof system are quantum insecure under assumptions that are sufficient for classical security. Additionally, we show that for similar reasons, computationally binding commitments provide almost no security guarantees in a quantum setting. To show these results, we develop the "pick-one trick", a general technique that allows an adversary to find one value satisfying a given predicate, but not two.

研究动机与目标

• 探究在量子环境下，经典安全的证明系统是否仍保持安全。
• 确定不安全性的根源是源于证明技术的局限性，还是协议本身固有的缺陷。
• 开发一种通用的量子攻击技术，绕过量子重放和不可克隆定理的约束。
• 证明即使在计算绑定承诺和标准零知识证明系统中，也存在量子攻击下的失败。
• 建立一种预言机分离，表明量子攻击者可在经典技术失效的情况下攻破经典安全的证明系统。

提出的方法

• 提出‘选一个’技巧——一种量子攻击策略，使攻击者能够找到满足谓词的一个有效响应，但无法找到两个，从而利用量子态干涉实现攻击。
• 使用预言机模型构建一个相对化世界，在该世界中经典安全假设成立，但量子攻击能够成功。
• 应用对称群的表示理论，分析攻击框架下量子算法的行为。
• 构造攻击者，通过操纵承诺和响应阶段，无需克隆量子态，从而攻破sigma-协议、Fiat-Shamir和Fischlin方案。
• 利用量子重放因不可克隆定理而失效的事实，证明现有量子重放技术（如Watrous、Unruh）对通用知识证明系统不充分。
• 证明即使在完美或可忽略的错误概率下，量子攻击者仍可通过利用量子测量和态坍缩的结构，伪造有效证明。

实验结果

研究问题

• RQ1 经典安全的证明系统（如sigma-协议）是否仍能抵御量子攻击者？
• RQ2 量子重放失败是证明技术的局限性，还是协议本身固有的缺陷？
• RQ3 在经典假设下，量子攻击者能否攻破Fiat-Shamir变换和Fischlin的证明系统？
• RQ4 在量子随机预言机模型中，计算绑定承诺在多大程度上仍保持安全？
• RQ5 不可克隆定理是否从根本上破坏了基于量子重放的零知识证明的安全性？

主要发现

• 即使在经典假设下满足特殊声音性与计算声音性，经典安全的sigma-协议在量子环境下仍不安全。
• Fiat-Shamir变换在量子随机预言机模型中不安全，尽管其在标准经典假设下是安全的。
• Fischlin的证明系统虽在经典环境下安全，但量子攻击者仍可利用‘选一个’技巧攻破，即使底层协议在经典下是声音的。
• 计算绑定承诺在量子环境下几乎不提供安全保障，因为量子攻击者可找到多个有效打开方式。
• ‘选一个’技巧使攻击者能找出一个有效见证或响应，但无法找出两个，通过利用量子干涉绕过标准重放安全性。
• 构建了一种预言机分离，证明量子攻击可攻破经典安全的证明系统，从而表明不安全性并非仅源于证明技术的局限。