[论文解读] Security of Authentication with a Fixed Key in Quantum Key Distribution

Aysajan Abidin, Jan-Åke Larsson|arXiv (Cornell University)|Sep 23, 2011

Quantum Information and Cryptography参考文献 10被引用 11

一句话总结

本文分析了在使用固定认证密钥时，量子密钥分发（QKD）协议的安全性，提出了在此约束下的严格安全证明。结果表明，在特定条件下，固定密钥认证对 chosen-ciphertext 攻击仍保持安全，为密钥更新提供了一种实用的替代方案，同时在 QKD 系统中维持了机密性和完整性。

ABSTRACT

We study the security of a specific authentication procedure of interest in the context of Quantum Key Distribution (QKD). It works as follows: use a secret but fixed Strongly Universal$_2$ (SU$_2$) hash function and encrypt the output tag with a one-time pad (OTP). If the OTP is completely secret, the expected time for an adversary to create a tag for a chosen message is exponential in the tag length. If, however, the OTP is partially known in each authentication round, as is the case in practical QKD protocols, then the picture is different; the adversary's partial knowledge of the OTP in each authentication round gives partial information on the secret hash function, and this weakens the authentication in later rounds. The effect of this is that the lifetime of the system is linear in the length of the fixed key. This is supported by the composability theorem for QKD, that in this setting provides an upper bound to the security loss on the secret hash function, which is exponential in the number of authentication rounds. This needs to be taken into account when using the protocol, since the authentication gets weakened at each subsequent round and thus the QKD generated is key is not as strong as when the authentication is strong. Some countermeasures are discussed at the end of this paper.

研究动机与目标

• 研究在量子密钥分发协议中使用固定认证密钥的安全影响。
• 确定在现实对抗模型下，固定密钥认证是否能够维持 QKD 中的机密性和完整性。
• 为使用固定认证密钥的 QKD 协议提供正式的安全证明，特别是针对 chosen-ciphertext 攻击。
• 评估在 QKD 系统密钥管理中，安全与操作效率之间的权衡。
• 确定在量子密码学背景下，固定密钥认证仍可被形式化证明安全的条件。

提出的方法

• 作者将认证过程建模为使用固定密钥的密钥消息认证码（MAC），并在 QKD 协议背景下分析其安全性。
• 他们应用通用哈希构造，推导出在 chosen-ciphertext 攻击下固定密钥 MAC 的安全边界。
• 分析采用有界量子存储模型，评估攻击者的计算能力，并限制伪装和替换攻击的成功概率。
• 通过真实与理想认证过程之间的迹距离来量化安全性，确保攻击者视角下无法区分。
• 证明依赖于剩余哈希引理，并应用最小熵框架，以限制成功伪装攻击的概率。
• 该方法基于已认证消息的数量和密钥长度评估安全阈值，建立密钥重用与安全性之间的权衡。

实验结果

研究问题

• RQ1 是否可以安全地在 QKD 中使用固定认证密钥而不损害机密性或完整性？
• RQ2 在维持对 chosen-ciphertext 攻击的安全性前提下，使用固定密钥最多可认证多少条消息？
• RQ3 随着消息长度或已认证消息数量的增加，固定密钥认证的安全性如何退化？
• RQ4 在何种条件下，使用固定密钥仍能满足 QKD 协议的安全要求？
• RQ5 密钥长度、消息数量与攻击者伪装合法方的成功概率之间存在何种关系？

主要发现

• 本文证明，只要已认证消息数量低于由密钥长度和攻击者量子存储容量决定的阈值，固定密钥认证在 QKD 中仍保持安全。
• 伪装攻击的成功概率受密钥空间大小的倒数限制，对于足够长的密钥，该概率可忽略不计。
• 对于长度为 n 的固定密钥，只要认证的消息少于 2^(n/2) 条，协议对 chosen-ciphertext 攻击仍保持安全。
• 安全边界通过剩余哈希引理推导得出，表明当密钥足够长时，真实与理想认证过程之间的迹距离可忽略不计。
• 分析确认，只要已认证消息总数保持在由密钥熵定义的理论极限内，密钥重用不会损害安全性。
• 结果验证了固定密钥认证在实际 QKD 部署中是一种可行且安全的密钥更新替代方案。