[论文解读] Quantum trapdoor functions from classical one-way functions

Andrea Coladangelo|arXiv (Cornell University)|Feb 24, 2023

Quantum-Dot Cellular Automata被引用 4

一句话总结

本文引入了量子陷门函数（QTFs），这是一种新颖的密码学原原子，可实现仅使用纯量子公钥的公钥加密，其构造基于量子安全单向函数。该构造利用了从单向函数生成的伪随机态，并通过将安全性归约至一个涉及哈尓随机态的信息理论态判别任务来证明安全性，表明即使攻击者获得多项式数量的公钥副本，量子公钥依然可以是安全的。

ABSTRACT

We formalize and study the notion of a quantum trapdoor function. This is an efficiently computable unitary that takes as input a "public" quantum state and a classical string $x$, and outputs a quantum state. This map is such that (i) it is hard to invert, in the sense that it is hard to recover $x$ given the output state (and many copies of the public state), and (ii) there is a classical trapdoor that allows efficient inversion. We show that a quantum trapdoor function can be constructed from any quantum-secure one-way function. A direct consequence of this result is that, assuming just the existence of quantum-secure one-way functions, there exists a public-key encryption scheme with a (pure) quantum public key.

研究动机与目标

• 正式定义量子陷门函数（QTF）的概念，即一种单位变换，其在无经典陷门的情况下难以逆向计算，但拥有陷门后可高效逆向计算。
• 证明量子陷门函数可基于量子安全单向函数构造，弥合了经典单向函数与量子公钥密码学之间的鸿沟。
• 证明此类QTF可导出公钥加密方案，其中公钥为纯量子态，即使攻击者拥有其多项式数量的副本也依然安全。
• 探讨在量子环境下，基于支持量子消息复制的认证量子通信模型，对两轮密钥交换协议的影响。

提出的方法

• 构造方法利用了由单向函数生成的伪随机态（PRS），其理论基础由Ji、Liu和Song（2018）提出，并由Brakerski和Shmueli（2019）进一步证明其安全性。
• 评估密钥 $\ket{\text{eval}}$ 是从经典种子生成的伪随机量子态，而陷门可高效生成该态并实现函数的逆向计算。
• 安全性通过将试图逆向QTF的攻击者归约为解决涉及哈尓随机态的态判别任务来证明，利用了态生成过程的伪随机性。
• 公钥加密方案的构造方式与经典陷门函数类似：公钥为 $\ket{\text{eval}}$，加密过程包括计算 $f(x)$ 和 $x$ 的一个硬币位，消息与该硬币位进行异或操作。
• 两轮密钥交换协议使用量子公钥作为第一轮消息，第二轮发送经量子加密的随机字符串，其安全性依赖于底层量子公钥加密方案的CPA安全性。
• 该模型假设存在一个量子认证信道，允许攻击者获取多项式数量的量子消息副本，从而刻画了公钥广泛分发的场景。

实验结果

研究问题

• RQ1 能否在量子环境下从单向函数构造陷门函数，使得公钥为量子态？
• RQ2 是否可能仅基于量子安全单向函数的存在，实现仅使用纯量子公钥的公钥加密？
• RQ3 支持量子环境下安全两轮密钥交换的认证量子通信的正确模型是什么？
• RQ4 当攻击者可访问多个公钥副本时，量子公钥加密的安全性与经典公钥加密有何不同？

主要发现

• 量子陷门函数可从任意量子安全单向函数构造而成，从而在量子环境下确立了一种新型密码学原原子。
• 该构造依赖于伪随机态（PRS）框架，其中评估密钥为从经典种子生成的伪随机量子态。
• 安全性通过将逆向问题归约为涉及哈尓随机态的态判别任务来证明，该任务在信息论上是困难的。
• 在相同假设下，即使攻击者拥有公钥的多项式数量副本，仍可构造出使用纯量子公钥的公钥加密方案。
• 通过使用量子公钥加密方案，实现了两轮密钥交换协议，假设存在一个允许攻击者收集多个量子消息副本的量子认证信道。
• 结果表明，尽管量子公钥在实际效率上不具优势，但其作为公开信息在概念上是可行的，并凸显了经典与量子公开信息之间的根本性差异。