Noise-limited secret key agreement with twin optical physically unclonable functions

Technische Samenvatting: Ruis-gelimiteerde geheime sleutelovereenkomst met tweeling optische fysiek onkopieerbare functies

Probleemstelling
Fysiek Onkopieerbare Functies (PUF's) maken gebruik van fabricage-geïnduceerde willekeur om unieke apparaatvingerafdrukken te genereren, wat intrinsieke weerstand tegen klonen biedt. Hoewel Optische PUF's (O-PUF's) veelbelovend zijn voor authenticatie en sleutelopslag, blijft het vaststellen van een gemeenschappelijke geheime sleutel tussen twee verschillende gebruikers een uitdaging. Traditionele benaderingen vertrouwen vaak op vertrouwde registratiedatabases, de fysieke overdracht van apparaten, of de transmissie van optische uitdagingen (challenges), wat logistieke en beveiligingskwetsbaarheden introduceert. Bovendien, hoewel recente experimentele demonstraties de haalbaarheid hebben aangetoond van het fabriceren van "tweeling" O-PUF's (paren apparaten met zeer gecorreleerde responsen), zijn de informatie-theoretische condities voor het extraheren van een veilige geheime sleutel uit deze gecorreleerde apparaten onder realistische ruiscondities nog niet rigoureus gekwantificeerd. Specifiek ontbreekt een analyse met betrekking tot de impact van fabricagevariabiliteit, omgevingsruis, lekkage van hulpgegevens (helper-data) en de overhead van foutreconciliatie op de bereikbare lengte van de geheime sleutel.

Methodologie
De auteurs stellen een hardware-gebaseerd platform voor voor cryptografische sleutelgeneratie met behulp van tweeling optische PUF's. De methodologie omvat:

1. Fysische Modellering: De O-PUF wordt gemodelleerd als een lineair verstrooiingsproces waarbij een gedisordeerd token een invoerlichtveld transformeert in een speckle-patroon. De transmissiematrix $T$ van het token wordt behandeld als een willekeurige complexe Gaussische variabele.
2. Tweeling PUF Simulatie: Om tweelingapparaten te modelleren, introduceren de auteurs een neutrale referentie-transmissiematrix $T^{(0)}$. Twee tweelingmatrices, $T^{(A)}$ en $T^{(B)}$, worden gegenereerd door onafhankelijke complexe Gaussische perturbaties toe te voegen aan $T^{(0)}$. Dit simuleert fabricage-geïnduceerde variabiliteit ($\sigma_F$) en omgevingsruis ($\sigma_E$) zonder aan te nemen dat het ene apparaat een kopie van het andere is.
3. Sleutelextractie: De optische speckle-patronen worden verwerkt met Gabor-filters en mediaan-drempelwaarde-bepaling om binaire ruwe sleutels ($k_A$ en $k_B$) van lengte $n$ te genereren. Het verschil tussen deze sleutels wordt gekwantificeerd door de Bit Error Rate (BER), aangeduid als $Q$.
4. Informatie-theoretisch Protocol: Er is een expliciet sleutel-overeenkomstprotocol ontwikkeld dat uit drie stadia bestaat:
   • Secure Sketch (Foutreconciliatie): Alice berekent een syndroom (hulpgegevens) $s_A$ van haar ruwe sleutel met behulp van een lineaire foutcorrigerende code (bijv. BCH) en stuurt dit naar Bob. Bob gebruikt $s_A$ om fouten in zijn ruwe sleutel $k_B$ te corrigeren om $k_A$ te herstellen.
   • Privacy Amplification (Privacyversterking): Beide partijen passen een two-universal hashfunctie toe op hun gereconcilieerde sleutels om de informatie die via het publieke syndroom is gelekt te elimineren, waardoor een definitieve geheime sleutel ontstaat.
5. Beveiligingsanalyse: De beveiliging wordt geanalyseerd tegen een passieve tegenstander met toegang tot het publieke kanaal maar zonder fysieke toegang tot de PUF's. De auteurs leiden ondergrenzen af voor de uiteindelijke lengte van de geheime sleutel $\ell$ met behulp van de conditionele min-entropie $H_{\min}(k_A | s_A)$ en de Leftover Hash Lemma.

Belangrijkste Bijdragen

• Expliciet Protocol: Het artikel presenteert een volledig, expliciet informatie-theoretisch sleutel-overeenkomstprotocol voor tweeling PUF's, waarin secure sketches, foutreconciliatie en privacyversterking zijn geïntegreerd.
• Kwantitatieve Grenzen: De auteurs leiden kwantitatieve ondergrenzen af voor de uiteindelijke lengte van de geheime sleutel als functie van de lengte van de ruwe sleutel, de foutmarge ($Q$) en de redundantie van de foutcorrigerende code.
• Ruisregime Analyse: De studie identificeert specifieke ruisregimes (gedefinieerd door de standaarddeviaties van fabricage en omgeving) waar veilige sleutelovereenkomst haalbaar is. Het toont aan dat bij matige ruisniveaus ($\sigma_F, \sigma_E \lesssim 0.14$), de resulterende BER laag genoeg is ($Q \lesssim 0.1$) om efficiënte reconciliatie met standaardcodes zoals BCH mogelijk te maken.
• Vergelijking van Codingschema's: Het werk vergelijkt praktische codes (BCH) met near-capacity schema's (LDPC, polar codes). Het laat zien dat hoewel BCH-codes effectief zijn in lage ruisregimes, near-capacity codes noodzakelijk zijn om positieve sleutelpercentages te behouden in hoge ruisregimes ($Q > 0.1$).
• QKD Integratie: Het artikel stelt een specifieke toepassing voor waarbij tweeling O-PUF's dienen als een mechanisme om een initiële vooraf gedeelde sleutel te vestigen voor Quantum Key Distribution (QKD) systemen, waarmee het bootstrapping-probleem wordt aangepakt zonder te vertrouwen op computationele aannames of vertrouwde derde-partij databases.

Resultaten

• Haalbaarheid: Veilige sleutelovereenkomst is haalbaar wanneer de fabricage- en omgevingsruis gecontroleerd zijn zodat de BER onder ongeveer 0,1 blijft. In dit regime is de redundantie die nodig is voor foutcorrectie beheersbaar (bijv. voor $n=1023$, is de redundantie ongeveer 70% voor $Q \approx 0.07$).
• Sleutellengte Schattingen: Voor een ruwe sleutellengte van $n=1023$ en een beveiligingsparameter $\epsilon = 2^{-25}$, levert het protocol positieve geheime sleutellengtes op in lage- tot matige ruisregimes. Bijvoorbeeld, bij $Q=0.07$ levert een BCH-code een definitieve sleutel van ongeveer 253 bits op.
• Hoge Ruislimieten: In hoge ruisregimes ($Q > 0.1$) falen standaard BCH-codes om positieve sleutellengtes te produceren vanwege excessieve redundantie. Echter, near-capacity reconciliatieschema's (met inefficientiefactoren $f \approx 1.05$) kunnen nog steeds positieve sleutellengtes opleveren, zelfs bij $Q=0.3$, mits de ruwe sleutellengte voldoende groot is om de finite-size penalties te compenseren.
• Authenticatie: De auteurs merken op dat hoewel de fysieke PUF's veilig zijn, het klassieke communicatiekanaal geauthenticeerd moet worden om actieve aanvallen (bijv. man-in-the-middle) te voorkomen die de sleutels kunnen desynchroniseren of de privacyversterking kunnen beïnvloeden. Echter, in de specifieke context van het voeden van QKD, zou een mismatch veroorzaakt door manipulatie simpelweg de QKD-sessie afbreken, waardoor de veiligheid van het QKD-protocol zelf behouden blijft.

Betekenis en Claims
Het artikel claimt het eerste werk te zijn dat een fysiek model van gecorreleerde tweeling optische PUF's combineert met een expliciet informatie-theoretisch sleutel-overeenkomstprotocol dat inclusief kwantitatieve lekkage-analyse is. De auteurs benadrukken dat hun raamwerk platform-onafhankelijk is en kan worden toegepast op andere gecorreleerde PUF-technologieën (zoals koolstof-nanobuis-gebaseerde PUF's), zolang deze voldoende vergelijkbare binaire sleutels genereren.

De betekenis van het werk ligt in het bieden van een rigoureuze theoretische basis voor het gebruik van tweeling PUF's in cryptografische toepassingen. Het gaat verder dan experimentele demonstraties van correlatie door de specifieke ruisdrempels en coderingseisen te definiëren die nodig zijn voor veilige sleutelgeneratie. De auteurs positioneren de afgeleide BER-drempels niet als fundamentele beperkingen van het tweeling-PUF-concept, maar als prestatiedoelen voor praktische implementaties. Zij argumenteren dat verbeteringen in fabricage en foutcorrectie de effectieve BER kunnen verlagen, waardoor het bereik van haalbare toepassingen wordt uitgebreid. Ten slotte benadrukt het artikel het potentieel van tweeling PUF's om het initiële sleuteldistributieprobleem in QKD-netwerken op te lossen zonder te vertrouwen op computationele aannames of vooraf gedeelde sleutels die in databases zijn opgeslagen.