Robust and leakage-resilient device-independent oblivious transfer in MiniQCryp

In der Welt der Kryptographie ist das Ziel oft, Geheimnisse sicher aufzubewahren, selbst wenn die beteiligten Personen einander nicht voll vertrauen können. Zwei der grundlegendsten Werkzeuge hierfür sind „Bit-Commitment“ und „Oblivious Transfer“ (unbewusster Transfer). Bit-Commitment ist wie ein digitaler Tresor: Eine Person legt ein Geheimnis hinein, verschließt es und gibt dem anderen den Schlüssel, wodurch bewiesen wird, dass das Geheimnis existiert, ohne es zu enthüllen. Später kann der Tresor geöffnet werden, um zu zeigen, dass das Geheimnis die ganze Zeit über dort war. Oblivious Transfer ist ein etwas komplexerer Austausch, bei dem eine Person zwei Geheimnisse besitzt und die andere Person sich entscheidet, nur eines davon zu erfahren, ohne dass die erste Person weiß, welches ausgewählt wurde, und ohne dass die zweite Person etwas über das andere Geheimnis erfährt. Jahrzehntelang erforderte der Aufbau dieser Werkzeuge eine sichere Ausführung, indem man darauf vertraute, dass die physische Hardware – Laser, Detektoren und Computer – exakt so funktionierte, wie sie beworben wurde. Wenn ein Gerät fehlerhaft war oder von einem unehrlichen Anbieter manipuliert worden war, konnte die gesamte Sicherheitsgarantie zusammenbrechen.

Dieses Vertrauen auf perfekte Hardware ist eine große Schwachstelle. In einem realen Szenario können Geräte verrauscht, unvollkommen oder sogar heimlich darauf ausgelegt sein, Informationen preiszugeben. Ein neuer Ansatz namens „geräteunabhängige“ (device-independent) Kryptographie versucht, dieses Problem zu lösen, indem er die Notwendigkeit beseitigt, der Hardware überhaupt vertrauen zu müssen. Anstatt zu prüfen, ob das Gerät korrekt arbeitet, beobachten die Benutzer lediglich die Muster der Antworten, die das Gerät liefert. Wenn die Antworten einem spezifischen, unmöglich zu fälschenden Muster folgen, können die Benutzer mathematisch sicher sein, dass ein sicherer Austausch stattgefunden hat, unabhängig davon, was das Gerät im Inneren tatsächlich macht. Bisherige Versuche jedoch, dies für komplexe Aufgaben wie den Oblivious Transfer umzusetzen, stießen an Grenzen: Sie erforderten entweder, dass die Geräte perfekt voneinander isoliert waren, setzten voraus, dass die Geräte makellos waren, oder konnten keine Sicherheit gegen leistungsstarke Quantencomputer garantieren.

Ein Team von Forschern hat nun diese Lücke geschlossen. Sie haben eine neue Methode konstruiert, die einen sicheren Oblivious Transfer und Bit-Commitment unter Verwendung unzuverlässiger, fehlerhafter und potenziell Informationen preisgebender Quantengeräte ermöglicht, wobei sie sich nur auf die Existenz bestimmter mathematischer Funktionen, bekannt als Einwegfunktionen, verlassen. Ihre Arbeit beweist, dass selbst wenn ein Gerät verrauscht ist, sofern es eine geringe, begrenzte Menge an Informationen preisgibt und die Benutzer nur ihren eigenen klassischen Computern vertrauen, sie diese kryptographischen Aufgaben mit einem Sicherheitsniveau durchführen können, das gegenüber einem Quantencomputer Bestand hat. Die Forscher haben nicht nur vorgeschlagen, dass dies möglich sei; sie haben eine vollständige, schrittweise Konstruktion und einen strengen mathematischen Beweis geliefert, dass es funktioniert.

Der Kern ihrer Leistung liegt darin, wie sie die Unvollkommenheiten der realen Welt handhaben. In ihrem System nutzen die beiden Parteien, nennen wir sie Alice und Bob, unzuverlässige Geräte, um ein Spiel basierend auf einem Rätsel namens „Magic Square“ (Magisches Quadrat) zu spielen. In diesem Spiel erhalten Alice und Bob Fragen und müssen Antworten geben, die bestimmte Konsistenzregeln erfüllen. Wenn sie das Spiel häufig genug gewinnen, beweist dies, dass sie eine geheime Korrelation teilen, die nicht gefälscht werden kann. Die Forscher entwarfen ein Protokoll, bei dem Alice und Bob dieses Spiel viele Male parallel durchführen. Sie verwenden dann einen geschickten Filterprozess: Sie überprüfen eine kleine, zufällige Stichprobe der Antworten, um sicherzustellen, dass die Geräte korrekt arbeiten. Wenn die Stichprobe besteht, verwenden sie die verbleibenden Antworten, um die benötigten geheimen Schlüssel für den Transfer zu generieren.

Eine entscheidende Innovation dieser Arbeit liegt darin, wie sie mit „Leakage“ (Informationsabfluss) umgehen. In einem echten Labor könnte ein unehrlicher Anbieter einen versteckten Kanal in das Gerät eingebaut haben, der es dem Gerät ermöglicht, der Außenwelt Informationen zuzuflüstern. Frühere Theorien gingen davon aus, dass diese Geräte vollständig isoliert seien. Das neue Protokoll akzeptiert, dass ein gewisser Informationsabfluss stattfinden kann, setzt aber ein strenges Budget. Den Geräten ist es erlaubt, eine begrenzte Menge an Informationen, gemessen in Quantenbits, während einer einzigen Runde des Spiels auszutauschen. Die Forscher haben bewiesen, dass, solange dieser Informationsabfluss innerhalb dieses Budgets bleibt, die Sicherheit des Systems intakt bleibt. Sie zeigten, dass selbst wenn die Geräte auf komplexe Weise verschränkt sind und der Angreifer versucht, sie gemeinsam zu messen, die Menge der Informationen, die der Angreifer stehlen kann, mathematisch begrenzt und unzureichend ist, um den Code zu brechen.

Die Forscher befassten sich auch mit „Fehlern“. Reale Geräte machen Fehler; sie könnten eine Frage falsch lesen oder aufgrund von Rauschen eine falsche Antwort ausgeben. Ein Protokoll, das perfekte Antworten verlangt, würde in einem echten Labor sofort scheitern. Die neue Konstruktion ist robust, was bedeutet, dass sie eine konstante Rate an ehrlichen Fehlern tolerieren kann. Sie verwendet Fehlerkorrekturverfahren, um die Differenzen zwischen dem, was Alice und Bob beabsichtigt hatten, und dem, was ihre verrauschten Geräte tatsächlich getan haben, zu bereinigen. Dies ermöglicht es dem System, korrekt zu funktionieren, selbst wenn die Hardware unvollkommen ist – eine Eigenschaft, die zuvor in geräteunabhängigen Protokollen, die auch mit Informationsabfluss umgehen konnten, fehlte.

Die Konstruktion arbeitet in zwei verschiedenen Modi, abhängig von der Umgebung. Im ersten Modus, wenn die Geräte perfekt isoliert sind und das Gerät des Empfängers jeden Teil des Spiels separat misst, kann das System eine höhere Fehlerrate tolerieren. Im zweiten, allgemeineren Modus erlaubt das System beliebige gemeinsame Messungen und begrenzten Informationsabfluss zwischen den Laboren. In diesem flexibleren Setting funktioniert das System dennoch, erfordert jedoch eine etwas größere Anzahl an Spielrunden, um das gleiche Sicherheitsniveau aufrechtzuerhalten. In beiden Fällen wächst die Gesamtmenge der Ressourcen – Zeit, Kommunikation und Gerätenutzung – in einer handhabbaren Rate, wenn das Sicherheitsniveau steigt, was das Protokoll praktikabel für zukünftige Implementierungen macht.

Die Auswirkungen dieser Arbeit erstrecken sich über das bloße Senden eines einzelnen Geheimnisses hinaus. Da Oblivious Transfer ein grundlegender Baustein für alle sicheren Berechnungen ist, ermöglicht dieses neue Protokoll effektiv die Durchführung jeder sicheren Berechnung zwischen Parteien, die nichts außer ihren eigenen klassischen Computern vertrauen. Ob es zwei Unternehmen sind, die ihre Datenbanken vergleichen, ohne die Daten preiszugeben, oder eine Gruppe von Wählern, die Stimmen sicher abgibt – die Forscher zeigten, dass ihre Methode auf diese komplexen Multi-Parteien-Szenarien skalierbar ist. Die Sicherheit bleibt bestehen, selbst wenn einige der Teilnehmer korrumpiert sind oder wenn die von ihnen verwendeten Geräte mit einem Angreifer geteilt werden.

Was dieses Ergebnis besonders bedeutsam macht, ist, dass es die Notwendigkeit einer „vertrauenswürdigen Quantenhardware“ beseitigt. In früheren Schemata mussten die Benutzer glauben, dass die Laser und Detektoren korrekt hergestellt wurden und nicht manipuliert worden waren. In diesem neuen Rahmen kommt die Sicherheit vollständig aus den beobachteten Statistiken des Spiels und den Gesetzen der Physik, verifiziert durch klassische Berechnung. Die Forscher haben demonstriert, dass die Geräte als Black Boxes behandelt werden können: Solange sie die richtigen Korrelationen erzeugen, ist das Protokoll sicher. Dies verlagert die Last des Vertrauens von der physischen Lieferkette auf die mathematische Struktur des Protokolls selbst.

Die Forscher adressierten auch das Thema der „Simulation“, was der Goldstandard für den Nachweis von Sicherheit in der Kryptographie ist. Sie zeigten, dass für jeden Angriff, den ein Angreifer starten könnte, ein Simulator existiert, der exakt dasselbe Ergebnis unter Verwendung der idealen, theoretischen Version des Protokolls reproduzieren kann. Das bedeutet, dass das, was ein Angreifer aus der realen, unvollkommenen Welt lernt, er genauso leicht auch aus der perfekten, theoretischen Welt hätte lernen können. Da die theoretische Welt als sicher gilt, muss auch die reale Welt sicher sein. Dieser Beweis hält gegen jeden Angreifer stand, der durch die Gesetze der Quantenmechanik begrenzt ist, was das System zukunftssicher gegenüber der Entstehung leistungsstarker Quantencomputer macht.

Zusammenfassend lässt sich sagen, dass diese Arbeit einen bedeutenden Schritt nach vorn in dem Bestreben nach wahrhaft sicherer Kommunikation darstellt. Sie verankert das theoretische Konzept der geräteunabhängigen Kryptographie in einer Realität, in der Geräte verrauscht, isoliert und potenziell kompromittiert sind. Durch die Kombination einer robusten Fehlerkorrekturstrategie mit einer strengen Abrechnung des Informationsabflusses haben die Forscher ein Protokoll geschaffen, das sowohl praktikabel als auch nachweislich sicher ist. Sie haben gezeigt, dass wir nicht auf perfekte Quantenhardware warten müssen, um eine sichere Zukunft aufzubauen; wir können sie jetzt bauen, mit den unvollkommenen Werkzeugen, die wir haben, indem wir uns auf die unerschütterliche Logik der Mathematik und die seltsamen, mächtigen Korrelationen der Quantenmechanik verlassen.