[论文解读] The Universal Composable Security of Quantum Message Authentication with Key Recyling

Patrick Hayden, Debbie Leung+1 more|arXiv (Cornell University)|Oct 29, 2016

Quantum Information and Cryptography参考文献 26被引用 12

一句话总结

该论文提出 QA+KG 协议，一种将密钥回收机制整合进非交互式量子认证方案 QA 的量子消息认证协议。通过在认证成功时重用加密密钥，将密钥消耗从线性降低至对数级别，证明了在 Ben-Or–Mayers 框架下的通用组合安全性（UC 安全性），确保在任意组合与联合攻击下具备强安全性。

ABSTRACT

Barnum, Crepeau, Gottesman, Tapp, and Smith (quant-ph/0205128) proposed methods for authentication of quantum messages. The first method is an interactive protocol (TQA') based on teleportation. The second method is a noninteractive protocol (QA) in which the sender first encrypts the message using a protocol QEnc and then encodes the quantum ciphertext with an error correcting code chosen secretly from a set (a purity test code (PTC)). Encryption was shown to be necessary for authentication. We augment the protocol QA with an extra step which recycles the entire encryption key provided QA accepts the message. We analyze the resulting integrated protocol for quantum authentication and key generation, which we call QA+KG. Our main result is a proof that QA+KG is universal composably (UC) secure in the Ben-Or-Mayers model (quant-ph/0409062). More specifically, this implies the UC-security of (a) QA, (b) recycling of the encryption key in QA, and (c) key-recycling of the encryption scheme QEnc by appending PTC. For an m-qubit message, encryption requires 2m bits of key; but PTC can be performed using only O(log m) + O(log e) bits of key for probability of failure e. Thus, we reduce the key required for both QA and QEnc, from linear to logarithmic net consumption, at the expense of one bit of back communication which can happen any time after the conclusion of QA and before reusing the key. UC-security of QA also extends security to settings not obvious from quant-ph/0205128. Our security proof structure is inspired by and similar to that of quant-ph/0205128, reducing the security of QA to that of TQA'. In the process, we define UC-secure entanglement, and prove the UC-security of the entanglement generating protocol given in quant-ph/0205128, which could be of independent interest.

研究动机与目标

• 为解决量子消息认证中高密钥消耗的问题，该方案对 m 量子比特消息需消耗 2m 位密钥。
• 探究 QA 协议中的加密密钥在成功认证后是否可安全回收。
• 建立量子认证中密钥回收的正式安全模型，克服经典密钥安全措施的局限性。
• 证明集成后的 QA+KG 协议具备通用组合安全性（UC 安全性），确保在任意协议组合下的鲁棒性。
• 将量子认证的安全性扩展至原始分析范围之外的更广泛场景，包括联合攻击与动态密钥重用。

提出的方法

• 在非交互式量子认证协议 QA 的基础上增加密钥回收步骤，即在验证成功时重用加密密钥。
• 使用纯度测试码（PTC），其密钥位数为 O(log m + log ε），用于检测错误并确保认证完整性。
• 采用通用组合（UC）框架，将协议建模为与环境和攻击者交互的真实世界实现。
• 通过基于模拟器的论证，将 QA+KG 的安全性分析简化为基于量子隐形传态的协议 TQA’ 的安全性分析。
• 引入并证明了一种基于纯度测试的纠缠态生成协议的 UC 安全性，该协议是构造中的关键组件。
• 应用递归组合性论证，表明在协议组合下，安全参数以加法方式退化。

实验结果

研究问题

• RQ1 在非交互式量子认证协议 QA 中，加密密钥在成功认证消息后是否可安全回收？
• RQ2 将密钥回收机制集成到 QA 协议中后，是否仍能保持在联合量子攻击下的通用组合安全性（UC 安全性）？
• RQ3 如何在保持安全性的前提下，将量子认证的密钥消耗从与消息大小成线性关系降低至对数关系？
• RQ4 QA 协议的安全性是否在与其他密码协议的任意组合下依然稳健？
• RQ5 用于 QA 的纠缠态生成协议在量子环境下是否可被证明具备 UC 安全性？

主要发现

• QA+KG 协议在 Ben-Or–Mayers 模型下实现了通用组合安全性（UC 安全性），确保对任意敌手组合具备鲁棒性。
• 通过在接收时重用加密密钥，协议将净密钥消耗从 2m 位（与消息大小线性相关）降低至 O(log m + log ε) 位，对应失败概率为 ε。
• 通过基于模拟器的论证，将 QA 的安全性正式建立在交互式协议 TQA’ 的安全性之上。
• 基于纯度测试的纠缠态生成协议被证明具备 UC 安全性，其本身可能在认证之外也具有独立研究价值。
• 即使在认证与密钥重用的联合攻击下，密钥回收机制依然安全，其可区分性优势被限制在 2√2ε^(1/3) + 2δ 以内，其中 δ 为远程态制备的失败概率。
• 该证明框架可扩展至经典方案，如带密钥回收的 Wegman-Carter 认证（WC+KG），此时可区分性优势被限制在 ε 以内，对应 ε-几乎强通用 2 哈希函数。