Towards the Impossibility of Imperfectly Complete Key Agreement in the QROM
تُثبت هذه الورقة أول هجمات غير مشروطة على اتفاق المفتاح الكمي في نموذج أوراكل العشوائي الكمي (QROM) ضمن إعدادات مقيدة محددة تتضمن استعلامات واتصالات كلاسيكية، مما يثبت استحالة التشفير بالمفتاح العام الكمي غير المكتمل تماماً للرسائل الكلاسيكية تحت هذه الظروف.
في العالم الرقمي، غالبًا ما يحتاج غريبان إلى الاتفاق على رمز سري للتواصل بأمان، رغم أنهما لم يلتقيا قط ويتحدثان عبر قناة يمكن لأي شخص التنصت عليها. لعقود من الزمن، اعتمدت الطريقة القياسية للقيام بذلك على لغز رياضي: يقوم أحد الأشخاص بإنشاء مسألة صعبة، ويقوم الآخر بحلها، ليصبح الحل هو سرهم المشترك. وكان المتنصت الذي يحاول التجسس سيضطر إلى حل المسألة نفسها، لكن قوانين الفيزياء الكلاسيكية تشير إلى أنه سيحتاج إلى بذل جهد أكبر بكثير من المشاركين الشرفاء، مما يجعل السر آمنًا. ومع ذلك، فإن صعود الحواسيب الكمومية، التي يمكنها معالجة المعلومات بطرق لا تستطيع الآلات الكلاسيكية القيام بها، قد أثار الشك في هذا الافتراض. لطالما تساءل العلماء عما إذا كانت ميكانيكا الكم تسمح لشخصين بإنشاء مفتاح سري آمن تمامًا من أي متصنت، حتى لو كان يمتلك قدرة حوسبية غير محدودة، أم أن هناك حدًا جوهريًا لمدى أمان مثل هذا النظام.
لقد اتخذ فريق من الباحثين الآن خطوة مهمة نحو الإجابة على ذلك السؤال من خلال إثبات أن نوعًا محددًا من أنظمة مشاركة الأسرار الكمومية مستحيل من الناحية الجوهرية أن يكون آمنًا. لقد ركزوا على سيناريو يحاول فيه طرفان، أليس وبوب، الاتفاق على مفتاح بينما يستمع طرف ثالث، إيف، إليهما. في نموذجهم، يُسمح لأليس وبوب باستخدام حواسيب كمومية قوية ويمكنهما إرسال رسائل توجد في حالة كمومية هشة، ولكن هناك عقبة: في المراحل الأولى من محادثتهما، تُقيد أليس بأن تطرح أسئلة كلاسيكية بسيطة حول مصدر عشوائي مشترك. وقد أثبت الباحثون أنه في ظل هذه الظروف، يمكن لمتصنت يمتلك قدرة حوسبية غير محدودة أن يكسر النظام دائمًا. وقد أظهروا أن إيف يمكنها معرفة المفتاح السري بعدد من المحاولات يمكن التحكم فيه، بشرًا ما كان الطرفان الشريفان محدودين أيضًا بعدد من المحاولات يمكن التحكم فيه. وتستبعد هذه النتيجة إمكانية إنشاء نظام تشفير بالمفتاح العام الكمومي آمن للرسائل القصيرة إذا كانت عملية توليد المفتاح تعتمد على تلك الأسئلة البسيطة المبكرة، حتى لو استخدم بقية النظام تكنولوجيا كمومية متقدمة.
بنى الباحثون برهانهم من خلال تطوير طريقة جديدة للمهاجم لتعلم السر. تخيل المحادثة بين أليس وبوب كسلسلة من الخطوات حيث يطرحون أسئلة على قاموس ضخم وعشوائي لتوليد مفتاحهم. في الخطوة الأولى، تطرح أليس بضعة أسئلة وترسل رسالة إلى بوب. وقد أظهر الباحثون أن المهاجم يمكنه مراقبة هذه الرسالة الأولى ثم تخمين الأسئلة التي طرحتها أليس بشكل منهجي. ومن خلال التركيز على الأسئلة الأكثر احتمالية، يمكن للمهاجم إعادة بناء خريطة جزئية للقاموس الذي استخدمته أليس. وبمجرد بناء هذه الخريطة، يمكن للمهاجم محاكاة عملية أليس بأكملها، بما في ذلك حساباتها الكمومية النهائية، لمعرفة المفتاح السري دون الحاجة أبدًا إلى معرفة القاموس بالكامل. وتعمل هذه التقنية لأن النظام بمجرد تثبيت الأسئلة الأولية، يتصرف بطريقة يمكن للمهاجم تكرارها.
هذا الهجوم ليس مجرد احتمال نظري؛ فقد قدم الباحثون وصفة ملموسة لكيفية قيام المهاجم بذلك. لقد أثبتوا أنه إذا قام الأطراف الشرفاء بعدد معقول من الاستعلامات عن المصدر العشوائي، فيمكن للمهاجم استعادة المفتاح بعدد مماثل من الاستعلامات. وترتبط نسبة نجاح هذا الهجوم مباشرة بمدى تكرار اتفاق الأطراف الشرفاء على مفتاح. فإذا اتفقت أليس وبوب على مفتاح باحتمالية ليست ضئيلة للغاية، يمكن للمهاجم أيضًا النجاح باحتمالية عالية. هذه النتيجة هي نتيجة سلبية قوية: فهي تثبت أنه لا يمكنك بناء نظام آمن في هذا الإعداد المحدد. وقد وسع الباحثون هذا المنطق ليشمل محادثات أكثر تعقيدًا متعددة الجولات، حيث تتبادل أليس وبوب العديد من الرسائل قبل الخطوة الكمومية النهائية. ووجدوا أنه طالما كانت جميع الرسائل والأسئلة المبكرة كلاسيكية، فلا يزال بإمكان المهاجم كسر النظام، بغض النظر عن عدد جولات المحادثة.
إن تداعيات هذا العمل كبيرة لمستقبل التشفير الكمومي. فهي توضح حدود ما هو ممكن. وبينما توفر الحواسيب الكمومية طرقًا جديدة لحماية المعلومات، إلا أنها لا تقدم درعًا سحريًا يجعل جميع أشكال الاتفاق على المفاتيح آمنة. وتحديدًا، إذا كان النظام يعتمد على مرحلة توليد مفتاح كلاسيكية، فإنه يظل عرضة لمتصنت قوي. وقد طبق الباحثون نتائجهم على نوع محدد من التشفير بالمفتاح العام الكمومي، حيث يُستخدم المفتاح العام لتشفير رسالة. وأظهروا أنه إذا كانت عملية توليد المفتاح تستخدم استعلامات كلاسيكية فقط، فإن مثل هذا النظام لا يمكن أن يكون آمنًا ضد مهاجم يمتلك موارد غير محدودة، حتى لو كانت خطوات التشفير وفك التشفير كمومية بالكامل. وهذا يعني أنه لكي تكون هذه الأنظمة آمنة حقًا، يجب أن تتضمن عملية توليد المفتاح نفسها استعلامات كمومية، وهو مطلب أصعب بكثير في التنفيذ.
لا تدعي الدراسة أنها كسرت كل أشكال التشفير الكمومي، ولا تقترح أن كل الاتصالات الكمومية غير آمنة. بل إنها ترسم خطًا دقيقًا في الرمال. فهي تثبت أنه في العالم المحدد حيث تكون التفاعلات المبكرة كلاسيكية، فإن حلم الاتفاق على مفتاح غير قابل للكسر هو أمر مستحيل. لقد حقق الباحثون ذلك من خلال الجمع بين تقنيتين رياضياتيتين قويتين: إحداهما تحدد المسارات الأكثر احتمالًا التي قد يسلكها المهاجم، والأخرى تسمح للمهاجم بإعادة برمجة المصدر العشوائي ليتطابق مع محاكاته. ومن خلال نسج هذه التقنيات معًا، خلقوا سيناريو يصبح فيه منظور المهاجم للنظام غير قابل للتمييز عن منظور الأطراف الشرفاء، مما يسمح له بسرقة السر. يعمل هذا العمل كدليل حاسم لعلماء التشفير، حيث يوضح لهم بالضبط أين لا ينبغي البحث عن الأمان ويوجههم نحو النهج الكمومي الكامل الأكثر تعقيدًا الذي قد لا يزال يحمل مفتاح الأمان الحقيقي.
ملخص تقني: نحو استحالة اتفاق المفاتيح غير كاملة التمام في نموذج الأوراكل العشوائي الكمومي (QROM)
1. بيان المشكلة
تتناول الورقة البحثية أمن بروتوكولات اتفاق المفاتيح بنظام الحوسبة الكمومية والاتصال الكلاسيكي (QCCC) في نموذج الأوراكل العشوائي الكمومي (QROM). وتحديداً، تبحث في جدوى البروتوكولات "غير كاملة التمام" (imperfectly complete)، حيث يتفق الأطراف النزهاء على مفتاح صالح باحتمالية عكسية متعددة الحدود فقط (α>0)، بدلاً من الاتفاق عليه بيقين تام (التمام المثالي).
كانت الأعمال السابقة قد أرست نتائج استحالة غير مشروطة لاتفاق المفاتيح (QCCC) والتشفير بالمفتاح العام الكمومي (QPKE) "كاملة التمام" تحت قيود معينة. ومع ذلك، ظلت حالة البروتوكولات "غير كاملة التمام" ذات الوصول غير المقيد للأوراكل الكمومي من قبل الأطراف النزهاء مسألة مفتوحة. ثمة عائق كبير حدده أوسترين وآخرون (2022) يشير إلى أنه إذا صحت "فرضية المحاكاة" (Simulation Conjecture)، فإن المهاجمين الكلاسيكيين لا يمكنهم كسر هذه البروتوكولات. تتجاوز هذه الورقة الحاجة إلى هذه الفرضية من خلال تقييد وصول الأطراف النزهاء إلى الأوراكل بطرق محددة، مما يسمح بهجمات غير مشروطة من قبل خصوم كموميين غير مقيدين حسابياً.
2. المنهجية والنهج التقني
يبني المؤلفون هجمات غير مشروطة باستخدام مزيج من تقنيات "تعلم الاستعلام الثقيل" (heavy-query learning) و"إعادة البرمجة العشوائية" (random reprogramming). الاستراتيجية الجوهرية تعتمد على وجود مهاجم (إيف) يعترض الاتصالات، ويتعلم مجموعة "ثقيلة" من استعلامات الأوراكل التي أجراها الأطراف النزهاء، ثم يعيد أخذ عينات من رؤى الأطراف النزهاء بشرط معرفة هذا الأوراكل الجزئي لاستعادة المفتاح.
2.1 هجوم الرسالتين
تعتبر الحالة الأولى بروتوكولاً من جولتين حيث:
أليس تجري استعلامات كلاسيكية فقط للأوراكل في الجولة الأولى وترسل رسالة كلاسيكية (m1) إلى بوب.
بوب قد يقوم بحوسبة كمومية تعسفية، ويجري استعلامات كمومية، ويرسل رسالة كمومية (Ψ).
أليس قد تقوم بحوسبة كمومية وتجري استعلامات كمومية في الجولة النهائية.
آلية الهجوم:
تعلم الاستعلام الثقيل: عند استلام m1، تستخدم "إيف" خوارزمية تعلم (بناءً على أوسترين وآخرين، وكيتز وسيلا) لتحديد المدخلات "الثقيلة" — وهي القيم التي يُحتمل أن تستعلم عنها أليس في الجولة الأولى، بشرط m1. تقوم ببناء أوراكل جزئي h عبر الاستعلام عن هذه المدخلات الثقيلة.
إعادة أخذ العينات المشروطة: نظراً لأن استعلامات أليس في الجولة الأولى كلاسيكية، فبمجرد تحديد m1 وسجل الإجابات h، فإن الحالة الكمومية المتبقية لأليس تعتمد فقط على هذه المتغيرات الكلاسيكية. لذلك، يمكن لـ "إيف" أخذ عينة لرؤية جديدة (TA′,SA′) من التوزيع الشرطي ωm1,h.
إعادة البرمجة: تعترض "إيف" رسالة بوب الكمومية Ψ. تقوم بتشغيل خوارزمية أليس النهائية على الحالة المستخرجة SA′ وΨ، باستخدام أوراكل مُعاد برمجتهH[TA′] يتوافق مع السجل المستخرج TA′ في نطاقه ويتصرف مثل الأوراكل الأصلي في بقية المجالات.
التحليل: يتم حصر خسارة الأمن بواسطة مبرهنة إعادة البرمجة العشوائية (كيتز وسيلا). وبما أن احتمال استعلام أليس عن نقطة خارج المجموعة المتعلمة $Dom(h)ضئيل(يتمالتحكمفيهبواسطةمعامل\delta$)، فإن إعادة البرمجة لا تغير بشكل كبير احتمالية قبول الخوارزمية الكمومية.
2.2 هجوم الجولات المتعددة
توسع الحالة الثانية النتيجة لتشمل البروتوكولات ذات عدد جولات تعسفي، بشرط وجود بادئة اتصالات كلاسيكية:
جميع الرسائل واستعلامات الأوراكل خلال الفترة البادئة هي كلاسيكية.
تتضمن الجولة النهائية رسالة كمومية محتملة من بوب وحوسبة كمومية نهائية من أليس.
آلية الهجوم:
المحاكاة الكلاسيكية: تعامل "إيف" الفترة الكلاسيكية البادئة كبروتوكول كلاسيكي مساعد. وبما أنها غير مقيدة حسابياً، يمكنها محاكاة الرؤى الكلاسيكية لأليس وبوب بدقة، بما في ذلك حالاتهم الكمومية المتبقية المشروطة.
متعلم باراك-محمودي: تطبق "إيف" متعلم باراك-محمودي (المخصص أصلاً للبروتوكولات الكلاسيكية) على الرؤى الكلاسيكية المحاكات لتعلم أوراكل جزئي h وضمان أن رؤى أليس وبوب مستقلة تقريباً (حالة منتج) بشرط h.
إعادة أخذ العينات والاقتران: تأخذ "إيف" عينات لرؤى مستقلة لأليس وبوب بشرط h. ثم تقرن هذه الرؤى بأوراكل متسق عبر أخذ عينة لأوراكل أساسي لبوب وإعادة برمجة الأوراكل لأليس.
الهجوم النهائي: تعترض "إيف" الرسالة الكمومية النهائية وتشغل خوارزمية أليس النهائية على الحالة المستخرجة مع الأوراكل المُعاد برمجته.
3. المساهمات والنتائج الرئيسية
3.1 المبرهنات الرئيسية
المبرهنة 1.1 (هجوم الرسالتين): لأي بروتوكول تكون فيه استعلامات المرحلة الأولى لأليس ورسالته كلاسيكية، يوجد مهاجم كمومي غير مقيد حسابياً يستعيد مفتاح بوب باحتمالية >α/2 باستخدام O(poly(q,1/α)) من الاستعلامات. يقوم المهاجم باستعلامات كلاسيكية قبل استجابة بوب واستعلامات كمومية بعدها.
المبرهنة 1.2 (هجوم الجولات المتعددة): بالنسبة للبروتوكولات ذات بادئة استعلامات كلاسيكية ذات طول تعسفي، يوجد هجوم مشابه. تعتمد تعقيد الاستعلام على إجمالي استعلامات الفترة البادئة ولكنها مستقلة عن عدد الجولات.
المبرهنة 1.3 (هجوم QPKE): تعني هذه النتائج أن التشفير بالمفتاح العام الكمومي (QPKE) للرسائل الكلاسيكية (بطول متعدد الحدود) مع توليد مفتاح باستعلامات كلاسيكية لا يمكن أن يكون آمناً وفق معيار IND-CPA ضد المهاجمين غير المقيدين حسابياً الذين يجرون عدداً حدودياً من الاستعلامات، حتى لو كان التشفير وفك التشفير والنصوص المشفرة كمومية.
3.2 تطبيقات محددة
التشفير بالمفتاح العام (PKE) غير كامل التمام من OSP: تطبق الورقة نتائجها على مخطط PKE المشتق من تحضير الحالة المجهولة (OSP) بواسطة بارتوسيك وخورانا (CRYPTO 2025). وتوضح أنه إذا قام مرسل الـ OSP باستعلامات أوراكل عشوائية كلاسيكية فقط، فإن الـ PKE الناتج سيكون غير آمن في نموذج QROM، وتحديداً عندما يكون بروتوكول OSP الأساسي ضئيل الخطأ (أي غير كامل التمام).
التنصت الكلاسيكي: إذا كان البروتوكول بأكمله (بما في ذلك استجابة بوب) كلاسيكياً، فإن الهجوم يتقلص إلى هجوم تنصت كلاسيكي سلبي.
4. الأهمية والادعاءات
تدعي الورقة أنها تحقق تقدماً نحو استحالة اتفاق مفاتيح QCCC غير كاملة التمام من خلال تقديم أول هجمات غير مشروطة في سيناريوهات مقيدة حيث يمتلك الأطراف النزهاء وصولاً غير مقيد للأوراكل الكمومي في المراحل اللاحقة.
تجاوز حاجز المحاكاة: يشير المؤلفون إلى أن الهجوم الكلاسيكي العام تماماً على QCCC غير كاملة التمام سيتطلب دحض "فرضية المحاكاة". ومن خلال تقييد استعلامات الأطراف النزهاء المبكرة لتكون كلاسيكية، تتجاوز هذه الورقة ذلك الحاجز، مما يسمح بهجمات غير مشروطة دون افتراض خطأ الفرضية.
إحكام القيود: تسلط النتائج الضوء على مقايضة حرجة: تعتمد الهجمات على حقيقة أن الاستعلامات المبكرة للأوراكل كلاسيكية. إذا كانت استعلامات الفترة البادئة كمومية، فسيكون الأطراف متشابكين مع الأوراكل، مما يمنع تقنية "إعادة أخذ العينات" المستخدمة هنا. يذكر المؤلفون صراحة أن توسيع هذه النتائج لتشمل الاستعلامات الكمومية في الفترة البادئة يتطلب تقنيات جديدة وهو أمر متروك للعمل المستقبلي.
مفهوم الأمن: تحدد الورقة مفهوماً أمنياً محدداً (استعادة المفتاح عبر الاعتراض) وهو أقوى من معيار CC1QM القياسي بمعنى أنه يتطلب فقط من المهاجم استعادة المفتاح، وليس محاكاة حالة صالحة لأليس. ومع ذلك، فإن هذا كافٍ لكسر أمن IND-CPA لمخططات QPKE المشتقة.
باختصار، توضح الورقة أن الوصول الكلاسيكي للأوراكل خلال المراحل الأولية لبروتوكول اتفاق المفاتيح يعد نقطة ضعف قاتلة للمخططات غير كاملة التمام في نموذج QROM، مما يجعلها غير آمنة ضد المهاجمين الكموميين غير المقيدين حسابياً، حتى لو كانت بقية مراحل البروتوكول كمومية بالكامل.