⚛️ quantum physics

CRT-Decomposed $Σ$ -Protocols for CSIDH

यह शोधपत्र CSIDH के लिए एक CRT-विघटित (decomposed) $\Sigma$ -प्रोटोकॉल प्रस्तुत करता है जो बिना किसी ह्यूरिस्टिक धारणाओं के पूर्ण पूर्णता (perfect completeness), शून्य-ज्ञान (zero-knowledge), और QROM में कुशल स्ट्रैट-लाइन एक्सट्रैक्शन (straight-line extraction) प्राप्त करता है, जबकि यह अपनी बीजगणितीय शुद्धता को कठोरता से सत्यापित करता है और यह प्रदर्शित करता है कि इसकी सुरक्षा वर्तमान में बड़े अभाज्य गुणनखंडों वाले भविष्य के मापदंडों पर निर्भर करती है क्योंकि CRT हॉप कर्व्स (hop curves) के प्रकाशित होने पर शास्त्रीय हमले की लागत में महत्वपूर्ण कमी आती है।

मूल लेखक: I. Dey, I. Cherkaoui

प्रकाशित 2026-09-23

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: I. Dey, I. Cherkaoui

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

डिजिटल दुनिया में, गोपनीयता अक्सर एक नाजुक संतुलन पर टिकी होती है: एक उपयोगकर्ता अपनी पहचान या लेनदेन के विशिष्ट विवरणों को प्रकट किए बिना यह साबित करना चाहता है कि उसके पास पैसा खर्च करने या किसी सेवा तक पहुँचने का अधिकार है। यह 'ब्लाइंड सिग्नेचर' (blind signatures) का क्षेत्र है, जो एक क्रिप्टोग्राफिक उपकरण है जो एक बैंक को एक सिक्के को प्रमाणित करने की अनुमति देता है बिना यह देखे कि उसे कहाँ खर्च किया जाएगा। दशकों से, इन प्रणालियों की सुरक्षा बड़े नंबरों से जुड़ी गणितीय पहेलियों पर टिकी रही है, लेकिन शक्तिशाली क्वांटम कंप्यूटरों का उदय उन पहेलियों को हल करने की धमकी देता है, जिससे वर्तमान गोपनीयता सुरक्षाएँ अप्रचलित हो जाती हैं। इससे निपटने के लिए, वैज्ञानिक एलिप्टिक कर्व्स (elliptic curves) की ज्यामिति पर आधारित एक अलग प्रकार के गणित की ओर मुड़ रहे हैं, विशेष रूप से 'आइसोजेनी-आधारित क्रिप्टोग्राफी' (isogeny-based cryptography) नामक एक विधि। यह दृष्टिकोण कर्व्स के बीच एक अद्वितीय प्रकार के संचलन का उपयोग करता है जो एक दिशा में करना आसान है लेकिन दूसरी दिशा में उल्टा करना अविश्वसनीय रूप से कठिन है, जो एक ऐसा सुरक्षा आधार बनाता है जिसे क्वांटम मशीनें आसानी से नहीं तोड़ सकतीं। हालाँकि, इस आधार पर व्यावहारिक प्रणालियाँ बनाना कठिन रहा है क्योंकि गुप्त कुंजी (secret key) के ज्ञान को सिद्ध करने के मानक तरीके अक्सर एक ऐसी प्रक्रिया पर निर्भर करते हैं जो क्वांटम विरोधियों का सामना करने पर विफल हो जाती है।

साउथ ईस्ट टेक्नोलॉजिकल यूनिवर्सिटी, आयरलैंड के शोधकर्ताओं की एक टीम ने इन प्रमाणों को निर्मित करने का एक नया तरीका विकसित किया है जो पिछले तरीकों की घातक कमजोरियों से बचता है। उनका कार्य एक विशिष्ट प्रणाली पर केंद्रित है जिसे CSIDH के रूप में जाना जाता है, जो एलिप्टिक कर्व्स के बीच जाने के लिए 'क्लास ग्रुप' (class group) नामक एक गणितीय संरचना का उपयोग करता है। शोधकर्ताओं ने पाया कि जब इस समूह की आंतरिक संरचना पूरी तरह से ज्ञात होती है, जैसा कि CSIDH-512 नामक एक विशिष्ट संस्करण के लिए है, तो इसे 'चाइनीज रिमाइंडर थ्योरम' (Chinese Remainder Theorem) के रूप में ज्ञात एक क्लासिक गणितीय सिद्धांत का उपयोग करके छोटे, स्वतंत्र टुकड़ों में तोड़ा जा सकता है। गुप्त कुंजी को एक एकल, अखंड ब्लॉक के रूप में मानने के बजाय, उन्होंने एक ऐसा प्रोटोकॉल डिज़ाइन किया जो प्रत्येक छोटे टुकड़े के ज्ञान को अलग से सिद्ध करता है। यह संरचनात्मक परिवर्तन सिस्टम को सरल अंकगणित का उपयोग करके प्रमाण से सीधे गुप्त कुंजी निकालने की अनुमति देता है, बजाय एक जटिल, बार-बार होने वाले अनुमान लगाने के खेल के जिसे क्वांटम कंप्यूटर बाधित कर सकते हैं।

उनकी उपलब्धि का मूल एक नए प्रकार का इंटरैक्टिव प्रूफ (interactive proof) है जो पूर्णतः पूर्ण (perfectly complete) और जासूसी के विरुद्ध पूर्णतः सुरक्षित (perfectly secure) है। इस प्रणाली में, एक प्रूवर (prover) और एक वेरीफायर (verifier) यह पुष्टि करने के लिए संदेशों का आदान-प्रदान करते हैं कि प्रूवर को एक गुप्त कुंजी का ज्ञान है, बिना उस कुंजी को प्रकट किए। शोधकर्ताओं ने सिद्ध किया कि यदि एक प्रूवर एक ही चरण के लिए दो अलग-अलग चुनौतियों का सफलतापूर्वक उत्तर दे सकता है, तो उत्तरों को घटाकर और एक एकल विभाजन (division) करके गुप्त कुंजी को तुरंत प्राप्त किया जा सकता है। यह प्रक्रिया, जिसे वे 'अलजेब्रिक एक्सट्रैक्शन' (algebraic extraction) कहते हैं, बिना किसी रीवाइंड या पुनरारंभ के एक सीधी रेखा में होती है। यह एक महत्वपूर्ण अंतर है क्योंकि समान प्रणालियों के लिए पिछले सुरक्षा प्रमाणों में हमलावर को एक पिछली स्थिति में वापस ले जाने (rewind) के लिए एक तकनीक का उपयोग किया जाता था ताकि गलती कराई जा सके, जो एक ऐसी तकनीक है जिसे क्वांटम कंप्यूटर के विरुद्ध न्यायसंगत नहीं ठहराया जा सकता जो रुक नहीं सकता या कॉपी नहीं हो सकता। इस चरण को हटाकर, नया प्रोटोकॉल सुरक्षा का एक ऐसा मार्ग प्रदान करता है जो भविष्य में भी कायम रहता है जहाँ क्वांटम कंप्यूटर आम होंगे।

यह सुनिश्चित करने के लिए कि उनका डिज़ाइन केवल एक सैद्धांतिक विचार नहीं था, टीम ने CSIDH-512 समूह के सटीक मापदंडों का उपयोग करके एक कंप्यूटर पर संपूर्ण प्रणाली को लागू किया। उन्होंने दस हजार यादृच्छिक उदाहरणों पर प्रोटोकॉल के गणितीय तर्क को सत्यापित किया, यह पुष्टि करते हुए कि बीजगणितीय चरण हर बार ठीक वैसे ही काम करते हैं जैसा कि भविष्यवाणी की गई थी। उन्होंने हमले के तहत सिस्टम कैसे व्यवहार करेगा, यह मापने के लिए सिमुलेशन भी चलाए। इन परीक्षणों ने पुष्टि की कि सिस्टम की सुरक्षा अपेक्षित गणितीय नियमों का पालन करती है, जिसमें इसे तोड़ने की कठिनाई राउंड की संख्या बढ़ने के साथ अनुमानित रूप रूप से बढ़ती है। हालाँकि, शोधकर्ता अपने दृष्टिकोण की सीमाओं को पहचानने में भी सावधान थे। उन्होंने प्रदर्शित किया कि जबकि समस्या को छोटे टुकड़ों में तोड़ना गुप्त कुंजी के निष्कर्षण को संभव बनाता है, यह सिस्टम को एक विशिष्ट प्रकार के हमले के प्रति भी उजागर करता है जो कुंजी को तोड़ने की कठिनाई को कम कर देता है। वर्तमान CSIDH-512 मापदंडों के लिए, यह कमी सुरक्षा को लगभग 2^128.6 ग्रुप एक्शन इवैल्यूएशन से घटाकर 2^67.3 इवैल्यूएशन कर देती है, जो एक महत्वपूर्ण गिरावट है जो वर्तमान मापदंडों को 128-बिट क्लासिकल सुरक्षा के लिए अपर्याप्त बनाती है।

परिणामस्वरूप, शोधकर्ता निष्कर्ष निकालते हैं कि हालांकि उनका निर्माण गणितीय रूप से सही और संरचनात्मक रूप से पूर्ण है, लेकिन यह वर्तमान CSIDH-512 मापदंडों पर तत्काल तैनाती के लिए अभी सुरक्षित नहीं है। सिस्टम पूरी तरह से काम करता है, लेकिन वही विशेषता जो इसे कुशल बनाती है—मध्यवर्ती चरणों का प्रदर्शन—उसे एक ज्ञात हमले के तरीके के प्रति असुरक्षित भी बनाती है। उनका तर्क है कि समाधान भविष्य के उन मापदंडों के सेट में निहित है जहाँ गणितीय घटक बहुत बड़े होंगे। यदि समूह को बहुत बड़े व्यक्तिगत प्राइम फैक्टर्स से बनाया जाता है, तो मध्यवर्ती चरणों को उजागर करने से होने वाली सुरक्षा हानि नगण्य हो जाएगी, और सिस्टम सुरक्षित रहेगा। उनके पेपर ने मौजूदा योजनाओं के साथ उनके तरीके की तुलना भी की, यह नोट करते हुए कि हालांकि उनके हस्ताक्षर वर्तमान में बड़े हैं, लेकिन यह एक ऐसे सुरक्षा मॉडल के लिए व्यापार (trade-off) है जो क्वांटम खतरों का सामना करने पर घटता नहीं है। यह कार्य एक कठोर प्रदर्शन है कि बीजगणितीय संरचना जटिल, त्रुटिपूर्ण सुरक्षा प्रमाणों की जगह ले सकती है, बशर्ते कि अंतर्निहित नंबरों को नई कमजोरियों का सामना करने के लिए पर्याप्त सावधानी से चुना जाए।

तकनीकी सारांश: CSIDH क्लास ग्रुप एक्शन के लिए CRT-विघटित Σ-प्रोटोकॉल

समस्या विवरण
यह शोध पत्र आइसोजेनी-आधारित ब्लाइंड सिग्नेचर और पहचान प्रोटोकॉल (identification protocols) की सुरक्षा प्रमाणों में एक महत्वपूर्ण कमजोरी को संबोधित करता है, विशेष रूप से वे जो CSIDH (कम्यूटेटिव सुपरसिंगुलर आइसोजेनी डिफी-हेलमैन) ग्रुप एक्शन पर निर्मित हैं। वर्तमान अत्याधुनिक स्कीमें (जैसे CSI-Otter, Tanuki) इंटरैक्टिव पहचान प्रोटोकॉल पर निर्भर करती हैं जिनके सुरक्षा रिडक्शन फोर्किंग लेम्मा (forking lemma) पर आधारित हैं। यह लेम्मा एक गुप्त कुंजी (secret key) निकालने के लिए क्वांटम एडवरसरी को "रिवाइंडिंग" (rewinding) करने की आवश्यकता रखता है, जो एक ऐसी प्रक्रिया है जिसमें द्विघातीय सुरक्षा हानि (quadratic security loss) होती है और जो उन क्वांटम एडवर्सरीज के विरुद्ध सैद्धांतिक रूप से अमान्य है जिनके आंतरिक स्टेट्स को क्लोन नहीं किया जा सकता है। फलस्वरूप, ये प्रमाण इस हानि की भरपाई के लिए बड़े और धीमे मापदंडों (parameters) का उपयोग करने के लिए मजबूर करते हैं। यह शोध पत्र समूह क्रिया (group action) के बीजगणितीय ढांचे का लाभ उठाकर इस रिवाइंडिंग चरण को समाप्त करने के लिए स्ट्रेट-लाइन एक्सट्रैक्शन (straight-line extraction) को सक्षम करने का प्रयास करता है।

कार्यप्रणाली (Methodology)
लेखक एक ज़ीरो-नॉलेज प्रूफ ऑफ नॉलेज (Σ-protocol) का निर्माण करते हैं जो CSIDH आइडियल क्लास ग्रुप के चाइनीज रिमाइंडर थ्योरम (CRT) संरचना का उपयोग करता है। यह दृष्टिकोण केवल तभी लागू होता है जब समूह की संरचना सटीक रूप से ज्ञात हो, जो वर्तमान में केवल CSIDH-512 द्वारा पूरी की गई स्थिति है।

CRT विघटन (Decomposition): क्रम $N$ वाले क्लास ग्रुप $C\ell(\mathcal{O})$ को प्रत्येक अभाज्य घात गुणनखंडों (prime power factors) के अनुरूप स्वतंत्र चक्रीय घटकों में विभाजित किया जाता है। गुप्त कुंजी $s$ को प्रत्येक अभाज्य गुणनखंड $q_i$ के मॉड्यूल में घटकों $s_i$ में विभाजित किया जाता है।
हॉप कर्व्स (Hop Curves): प्रोटोकॉल समूह क्रिया के मध्यवर्ती अवस्थाओं (intermediate states) का प्रतिनिधित्व करने वाले "हॉप कर्व्स" ( $F_0, \dots, F_k$ ) का प्रकाशन करता है। प्रत्येक हॉप $i$ , विशिष्ट सबग्रुप $\langle h_i \rangle$ के भीतर एक वेक्टरइजेशन समस्या (vectorization problem) के अनुरूप है जिसका क्रम $q_i$ है।
प्रोटोकॉल संरचना: प्रोटोकॉल में $k$ हॉप शामिल हैं, जिनमें से प्रत्येक $t$ समानांतर राउंड में निष्पादित होता है। प्रत्येक राउंड में, प्रूवर (prover) एक रैंडम डिस्प्लेसमेंट के लिए कमिट करता है, वेरीफायर (verifier) एक बाइनरी चुनौती ( $c \in \{0,1\}$ ) जारी करता है, और प्रूवर एक मान $z$ के साथ उत्तर देता है।
बीजगणितीय निष्कर्षण (Algebraic Extraction): मानक प्रमाणों के विपरीत, जिन्हें अलग-अलग चुनौतियों के साथ दो स्वीकार्य ट्रांसक्रिप्ट खोजने के लिए रिवाइंडिंग की आवश्यकता होती है, यह प्रोटोकॉल गुप्त कुंजी को एक क्लोज्ड-फॉर्म बीजगणितीय सूत्र के माध्यम से पुनः प्राप्त करने की अनुमति देता है। एक ही कमिटमेंट के लिए दो स्वीकार्य ट्रांसक्रिप्ट मिलने पर, गुप्त घटक केवल प्रतिक्रियाओं का अंतर ( $z_0 - z_1$ ) है, जिसके बाद मॉड्यूलर इनवर्जन और CRT पुनर्संयोजन (recombination) किया जाता है।
QROM कंपाइलेशन: चूंकि प्रत्येक राउंड में ठीक दो प्रतिक्रियाएं होती हैं, इसलिए यह प्रोटोकॉल अन्रह के ट्रांसफॉर्म (Unruh's transform) के अनुकूल है। यह इस बात की अनुमति देता है कि इंटरैक्टिव प्रोटोकॉल को क्वांटम रैंडम ऑरेकल मॉडल (QROM) में स्ट्रेट-लाइन एक्सट्रैक्शन के साथ एक नॉन-इंटरैक्टिव प्रूफ ऑफ नॉलेज में परिवर्तित किया जा सके, जिससे फोर्किंग लेम्मा को पूरी तरह से टाला जा सके।

प्रमुख योगदान
शोध पत्र के पांच प्राथमिक योगदान हैं:

औपचारिक परिभाषा: यह क्रिप्टोग्राफिक ग्रुप एक्शन्स के लिए वीक एक्सट्रैक्टेबिलिटी (weak extractability) को औपचारिक रूप देता है, जो एक ऐसी सुरक्षा धारणा को परिभाषित करता है जहाँ एक एक्सट्रैक्टर स्वीकार्य ट्रांसक्रिप्ट का उपयोग करके (बिना लैटिस रिडक्शन या ह्यूरिस्टिक्स के) केवल रिंग ऑपरेशंस के माध्यम से गुप्त कुंजी को पुनः प्राप्त कर सकता है।
प्रोटोकॉल निर्माण ( $\Pi_{CRT}$ ): यह चार गुणों को सिद्ध करने वाला एक प्रोटोकॉल बनाता है:
- परफेक्ट कम्पलीटनेस (Perfect Completeness): ईमानदार प्रूवर हमेशा सफल होते हैं।
- परफेक्ट स्पेशल HVZK: ट्रांसक्रिप्ट असीमित पर्यवेक्षकों के लिए भी गुप्त जानकारी प्रकट नहीं करते हैं।
- 2-स्पेशल साउंडनेस: गुप्त कुंजी को दो ट्रांसक्रिप्ट के माध्यम से सरल घटाव और मॉड्यूलर इनवर्जन के माध्यम से बीजगणितीय रूप से पुनः प्राप्त किया जा सकता है।
- नॉलेज एरर (Knowledge Error): बिना कुंजी के प्रूवर के सफल होने की संभावना $2^{-t}$ है।
मशीन सत्यापन: लेखकों ने CSIDH-512 के सटीक 258-बिट मॉड्यूल पर अपने बीजगणितीय स्तर को लागू किया। उन्होंने 10,000 रैंडम इंस्टेंस का सत्यापन किया, जिससे पुष्टि हुई कि बीजगणितीय निष्कर्षण पूरी तरह से काम करता है और प्रोटोकॉल लॉजिक वास्तविक आइसोजेनी की गणना किए बिना बना रहता है।
परिणामों की सीमा निर्धारण (नकारात्मक परिणाम):
- चैलेंज स्पेस सीमा: CRT विघटन प्रति-राउंड चैलेंज स्पेस को बड़ा नहीं करता है; बाइनरी चुनौतियां आवश्यक बनी रहती हैं जब तक कि कई कर्व्स प्रकाशित न किए जाएं, जिससे की-साइज़ बढ़ जाता है।
- सुरक्षा लागत: हॉप कर्व्स का प्रकाशन की रिकवरी की क्लासिकल सुरक्षा को $\approx 2^{128.6}$ से घटाकर $\approx 2^{67.3}$ ग्रुप एक्शन इवैल्यूएशन कर देता है। ऐसा इसलिए है क्योंकि समस्या सबसे बड़े घटक पर मीट-इन-द-मिडल हमलों द्वारा हल किए जाने वाले स्वतंत्र वेक्टरइजेशन इंस्टेंस में विभाजित हो जाती है।
QROM सुरक्षा: शोध पत्र सिद्ध करता है कि जब इस प्रोटोकॉल को अन्रह के ट्रांसफॉर्म के माध्यम से संकलित किया जाता है, तो यह QROM में ऑनलाइन एक्सट्रैक्शन के साथ एक नॉन-इंटरैक्टिव प्रूफ प्रदान करता है, जो मल्टीप्लिकेटिव फोर्किंग-लेम्मा लॉस को हटा देता है।

परिणाम और मात्रात्मक विश्लेषण

इंस्टेंशिएशन (Instantiation): इस योजना को CSIDH-512 पर स्थापित किया गया है। क्लास ग्रुप के 5 अभाज्य गुणनखंड हैं (बिट लंबाई: 2, 6, 21, 96, 135)।
सुरक्षा सीमाएँ:
- क्लासिकल: सुरक्षा सबसे बड़े अभाज्य गुणनखंड ( $q_{max} \approx 2^{135}$ ) द्वारा सीमित है। मीट-इन-द-मिडल हमला लागत $O(\sqrt{q_{max}}) \approx 2^{67.3}$ है। शोध पत्र नोट करता है कि प्रकाशित हॉप कर्व्स के कारण यह निर्माण CSIDH-512 के लिए 128-बिट क्लासिकल सुरक्षा प्राप्त नहीं करता है।
- क्वांटम: सुरक्षा कुपरबर्ग-शैली के सीव्स (sieves) द्वारा सीमित है, जो अन्य CSIDH स्कीम्स के समान है।
प्रदर्शन:
- सिग्नेचर साइज: $t=128$ राउंड और $k=5$ घटकों के लिए, सिग्नेचर का आकार लगभग 24.1 KiB है (CSI-FiSh के 263 B और CSI-Otter के 8 KiB की तुलना में)।
- कंप्यूटेशन: बीजगणितीय निष्कर्षण और सिमुलेशन माइक्रोसेकंड से भी कम समय लेते हैं। प्रमुख लागत आइसोजेनी इवैल्यूएशन (अनुमानित 40 ms प्रति एक्शन) बनी हुई है, जिससे पूर्ण प्रोटोकॉल के लिए कुल साइनिंग समय लगभग 25.6 सेकंड हो जाता है।
सिमुलेशन: मोंटे कार्लो सिमुलेशन ने पुष्टि की कि साउंडनेस एरर 95% विश्वास अंतराल के भीतर सैद्धांतिक $2^{-t}$ सीमा के अनुरूप है।

महत्व और दावे
शोध पत्र का दावा है कि यह निर्माण ज्ञात-संरचना वाले क्लास ग्रुप्स (जैसे CSIDH-512) के लिए संरचनात्मक रूप से पूर्ण और सही है। इसका प्राथमिक महत्व आइसोजेनी-आधारित प्रूफ ऑफ नॉलेज के लिए एक क्वांटम-सेफ सुरक्षा रिडक्शन प्रदान करना है, जो रिवाइंडिंग चरण को समाप्त करता है, जो कि पोस्ट-क्वांटम सुरक्षा प्रमाणों में एक ज्ञात भेद्यता है।

हालाँकि, लेखक ट्रेड-ऑफ्स के बारे में स्पष्ट हैं:

सुरक्षा पर विनम्रता: यह योजना CSIDH-512 के लिए 128-बिट स्तर पर मात्रात्मक रूप से सुरक्षित नहीं है क्योंकि हॉप कर्व्स के प्रकाशन से सुरक्षा कम हो जाती है। लेखक कहते हैं कि यह निर्माण "केवल भविष्य के पैरामीटर सेट्स के लिए मात्रात्मक रूप से सुरक्षित है जिनके क्लास नंबर के बड़े अभाज्य गुणनखंड हैं" (उदाहरण के लिए, जहाँ प्रत्येक गुणनखंड $\ge 256$ बिट्स है)।
कोई जादुई समाधान नहीं: CRT विघटन साउंडनेस के लिए आवश्यक राउंड की संख्या को कम नहीं करता है; यह केवल निष्कर्षण तंत्र को बदलता है।
भविष्य का कार्य: शोध पत्र इस प्रूफ ऑफ नॉलेज पर आधारित ब्लाइंड सिग्नेचर के निर्माण और इसकी अनफोर्जेबिलिटी (unforgeability) के एंडोमोर्फिज्म रिंग समस्या के साथ टाइट रिडक्शन को भविष्य के कार्य के रूप में छोड़ देता है।

संक्षेप में, शोध पत्र एक गणितीय रूप से कठोर, मशीन-वेरिफाइड प्रोटोकॉल प्रस्तुत करता है जो CSIDH-आधारित प्रूफ ऑफ नॉलेज के लिए "रिवाइंडिंग समस्या" को हल करता है, जो QROM-सुरक्षित ब्लाइंड सिग्नेचर के लिए एक मार्ग प्रदान करता है, लेकिन इसके बदले में बड़े सिग्नेचर साइज और वर्तमान पैरामीटर सेट्स के लिए कम क्लासिकल सुरक्षा चुकानी पड़ती है।

इसी तरह के और पेपर