[论文解读] Trevisan's extractor in the presence of quantum side information

Anindya De, Christopher Portmann+2 more|DSpace@MIT (Massachusetts Institute of Technology)|Dec 30, 2009

Quantum Computing Algorithms and Architecture被引用 3

一句话总结

本文证明了Trevisan的提取器构造在敌手持有量子侧信息时依然安全，证明其在量子安全环境下的鲁棒性。作者利用Trevisan框架的模块化特性，构建了种子长度为多对数级、熵损失接近最优的抗量子提取器，使其适用于量子密码学和现实侧信息模型下的随机性回收应用。

ABSTRACT

Randomness extraction involves the processing of purely classical information and is therefore usually studied in the framework of classical probability theory. However, such a classical treatment is generally too restrictive for applications, where side information about the values taken by classical random variables may be represented by the state of a quantum system. This is particularly relevant in the context of cryptography, where an adversary may make use of quantum devices. Here, we show that the well known construction paradigm for extractors proposed by Trevisan is sound in the presence of quantum side information. We exploit the modularity of this paradigm to give several concrete extractor constructions, which, e.g, extract all the conditional (smooth) min-entropy of the source using a seed of length poly-logarithmic in the input, or only require the seed to be weakly random.

研究动机与目标

• 在存在量子侧信息的情况下，建立Trevisan提取器构造的安全性，这对量子安全密码学至关重要。
• 通过证明当侧信息为量子时，条件最小熵仍是可提取随机性的有效度量，将经典提取器理论扩展至量子设置。
• 构建种子长度小、熵损失低的实用抗量子提取器，适用于隐私放大和随机性回收等应用。
• 分析Trevisan提取器的修改版本（如使用多变量码或弱种子）在存在量子侧信息时是否仍保持安全。
• 识别构建实用、抗量子的双源提取器及高效实现中的开放问题。

提出的方法

• 适配基于两阶段过程的Trevisan提取器框架：第一阶段为基于设计的种子生成，第二阶段对输入的每个子集应用1比特提取器。
• 使用弱$(t,r)$-设计生成$m$个种子子集，确保充分的随机性扩展，同时在存在量子侧信息时仍保持安全性。
• 对每个子集应用误差为$rac{\rho^2}{9m^2}$的1比特提取器$C$，确保最终输出在给定量子侧信息条件下统计上接近均匀分布。
• 采用平滑条件最小熵$H_{\text{min}}^{\text{ε}}(X|E)$作为安全度量，证明满足$H_{\text{min}}(X|E) \to \text{uniform output}$的提取器对量子敌手是安全的。
• 将提取器与长度为$d = O(\frac{1}{\beta^2 \nu} \log n)$的弱随机种子结合，其中$\nu$控制熵损失，$\beta$控制误差，当$\beta, \nu$为常数时，$d = O(\log n)$。
• 采用组合技术实现接近最优的熵损失，输出长度$m = n^{\alpha - \gamma} - o(1)$，与条件最小熵仅相差次多项式因子。

实验结果

研究问题

• RQ1 当侧信息为量子而非经典时，Trevisan的提取器构造是否仍能保持安全？
• RQ2 从源中提取全部条件最小熵的抗量子提取器，其最小种子长度是多少？
• RQ3 使用多变量码或弱种子的Trevisan提取器修改版本，在存在量子侧信息时是否可证明安全？
• RQ4 抗量子提取器的熵损失与经典版本相比如何？是否可进一步最小化？
• RQ5 是否存在维持低运行时间和小种子大小的抗量子提取器实用实现？

主要发现

• 证明了Trevisan的提取器框架对量子侧信息具有安全性，扩展了其在量子密码协议中的适用性。
• 构建了一个种子长度为$d = O(\frac{1}{\beta^2 \gamma} \log n)$、种子最小熵为$s = (1 - \frac{\frac{1}{2} - \beta}{c})d$的抗量子$(n^\gamma m + 8\log m + 8\log 1/\varepsilon + O(1), \varepsilon)$-强提取器，当$\beta, \gamma$为常数时，$d = O(\log n)$。
• 提取器实现输出长度$m = n^{\alpha - \gamma} - o(1) = H_{\min}(X|E)^{1 - \frac{\gamma}{\alpha}} - o(1)$，几乎提取全部条件最小熵。
• 展示了种子长度$d = O(\log^3 n)$、种子熵$s = d - O(\sqrt[3]{d})$的构造可提取源的全部最小熵，熵损失与$d$线性相关。
• 论文表明，使用1比特提取器和设计的Trevisan提取器修改版本仍具有抗量子性，将结果扩展至Raz等人和Lu等人的构造。
• 本工作留下开放问题：使用多变量码（如[TZS06, SU05]）或次多项式熵源的高级构造是否仍具有抗量子性，提示未来研究方向。