[论文解读] Using Hash-Based Signatures to Bootstrap Quantum Key Distribution

Sébastien Kunz-Jacques, Paul Jouguet|arXiv (Cornell University)|Sep 13, 2011

Cryptography and Data Security参考文献 1被引用 5

一句话总结

本文提出使用基于哈希的签名，特别是结合默克尔树的拉蒙特签名，以消除在量子密钥分发（QKD）系统中对预共享密钥的需求。通过利用普遍可组合安全证明，本文表明此类签名可安全地在未经认证的经典信道上引导QKD，仅依赖于标准密码学假设，如单向函数和抗碰撞性函数。

ABSTRACT

Quantum Key Distribution is a secret distribution technique that requires an authenticated channel. This channel is usually created on top of an un-authenticated communication medium using unconditionally secure Message Authentication Codes (MAC) and an initial common secret. We examine the consequences of replacing this MAC algorithm by a cryptographic hash-based signature algorithm, like the Lamport algorithm. We show that provided one-way functions exist, the Lamport algorithm or its variants can be instantiated in a secure way in the Universally Composable sense, and can therefore be plugged into any QKD protocol with a composable security proof in a secure manner. This association, while relying on short-term computational hardness assumptions, results in an increase of the practical security of QKD and eases its deployment.

研究动机与目标

• 解决QKD协议中为认证经典信道而需要预共享密钥的实际挑战。
• 探索替代对称消息认证码（MAC）的方案，后者依赖于公共密钥，而这类密钥在实际部署中难以安全实现。
• 研究是否可使用计算安全的非对称数字签名——特别是基于哈希的签名——来引导QKD，同时不损害其前向安全性。
• 在普遍可组合（UC）框架中正式证明所提方案的安全性，确保与QKD集成时具备可组合安全性。
• 证明使用基于哈希的签名所带来的安全损失在实践中微乎其微且可接受，尤其考虑到消除了预共享密钥的益处。

提出的方法

• 采用拉蒙特一次性签名方案作为核心原 primitive，其依赖于单向函数的存在性。
• 使用默克尔树将多个拉蒙特签名聚合为单个公钥，实现无状态、多用途签名，且仅使用一个公钥。
• 集成伪随机生成器（PRNG），从单一种子派生所有拉蒙特私钥，以提高效率和密钥管理能力。
• 在普遍可组合（UC）框架中证明组合方案的安全性，表明伪造抵抗性取决于底层的单向函数和抗碰撞性函数。
• 使用抗碰撞性哈希函数实现所需的密码学原 primitive，确保在标准假设下的实际可行性与安全性。
• 分析安全损失因子为 $2^H$，其中 $H$ 为默克尔树的深度，并表明当 $H$ 较小（例如 $H < 10$）时，该损失在实践中可忽略不计。

实验结果

研究问题

• RQ1 基于哈希的签名能否与QKD协议安全组合，从而消除对预共享密钥的需求？
• RQ2 在QKD背景下，使用拉蒙特签名与默克尔树是否能提供可组合安全性？
• RQ3 签名方案中安全损失因子 $2^H$ 的实际影响是什么？能否在不损害安全性的前提下将其最小化？
• RQ4 与传统的基于MAC的认证相比，该方案在部署复杂性和长期安全保证方面有何差异？
• RQ5 使用PRNG从单一种子生成多个拉蒙特密钥，是否能在UC模型下保持整体方案的安全性？

主要发现

• 拉蒙特签名与默克尔树的结合，在UC框架中实现了 $(t, r[2^H(2 heta_{ ext{OW}} + heta_{ ext{RG}} + heta_{ ext{CR}}) + heta_{ ext{CR'}}], r)$-安全的签名功能实现。
• 通过使用浅层默克尔树（例如 $H < 10$），将安全损失因子 $2^H$ 保持在较小水平，从而最小化对整体安全界的影响。
• 该方案在标准假设下保持安全：单向函数用于防止原像攻击，抗碰撞性哈希函数用于抵抗碰撞攻击。
• 使用PRNG从单一种子生成多个拉蒙特私钥不会损害安全性，前提是PRNG本身是安全的（$ heta_{ ext{RG}}$-安全）。
• 该方法可在无需预共享密钥的情况下实现QKD引导，显著简化部署，同时保持前向安全性。
• 该方案的安全性仅持续到初始QKD运行结束，从而减少了对计算假设的长期依赖。