Robust and leakage-resilient device-independent oblivious transfer in MiniQCryp

In de wereld van de cryptografie is het doel vaak om geheimen veilig te houden, zelfs wanneer de betrokken personen elkaar niet volledig kunnen vertrouwen. Twee van de meest fundamentele instrumenten hiervoor zijn "bit commitment" en "oblivious transfer". Bit commitment is als een digitale kluis: één persoon plaatst een geheim in de kluis, vergrendelt deze en geeft de sleutel aan een ander, waarmee wordt bewezen dat het geheim bestaat zonder de inhoud te onthullen. Later kan de kluis worden geopend om aan te tonen dat het geheim er de hele tijd al was. Oblivious transfer is een iets complexere uitwisseling waarbij één persoon twee geheimen bezit, en de andere persoon ervoor kiest om slechts één van de twee te leren, zonder dat de eerste persoon weet welke is gekozen, en zonder dat de tweede persoon iets leert over het andere geheim. Decennialang vereiste het bouwen van deze instrumenten op een veilige manier dat men erop vertrouwde dat de fysieke hardware — lasers, detectoren en computers — precies werkte zoals geadverteerd. Als een apparaat defect of door een onbetrouwbare leverancier gemanipuleerd was, kon de gehele beveiligingsgarantie instorten.

Deze afhankelijkheid van perfecte hardware is een grote zwakte. In een reële scenario kunnen apparaten ruisachtig, imperfect of zelfs stiekem ontworpen zijn om informatie te lekken. Een nieuwe benadering genaamd "device-independent" cryptografie probeert dit op te lossen door de noodzaak om de hardware volledig te vertrouwen weg te nemen. In plaats van te controleren of het apparaat correct werkt, observeren de gebruikers simpelweg de patronen van de antwoorden die het apparaat geeft. Als de antwoorden een specifieke, onmogelijk na te bootsen reeks volgen, kunnen de gebruikers er wiskundig zeker van zijn dat er een veilige uitwisseling heeft plaatsgevonden, ongeacht wat het apparaat daarbinnen feitelijk doet. Echter, eerdere pogingen om dit werkend te krijgen voor complexe taken zoals oblivious transfer liepen tegen een muur aan: ze vereisten ofwel dat de apparaten perfect van elkaar geïsoleerd waren, ofwel dat ze ervan uitgingen dat de apparaten foutloos waren, of ze konden geen veiligheid bewijzen tegen krachtige quantumcomputers.

Een team van onderzoekers heeft deze kloof nu overbrugd. Zij hebben een nieuwe methode geconstrueerd die veilige oblivious transfer en bit commitment mogelijk maakt met onbetrouwbare, defecte en potentieel lekkende quantumapparaten, waarbij uitsluitend wordt vertrouwd op het bestaan van bepaalde wiskundige functies die bekend staan als "one-way functions". Hun werk bewijst dat zelfs als een apparaat ruis bevat, en zelfs als het een kleine, begrensde hoeveelheid informatie lekt, en als de gebruikers alleen hun eigen klassieke computers vertrouwen, zij nog steeds deze cryptografische taken kunnen uitvoeren met een niveau van beveiliging dat standhoudt tegen een aanvaller met een quantumcomputer. De onderzoekers hebben niet alleen gesuggereerd dat dit mogelijk is; ze hebben een volledige, stap-voor-stap constructie geleverd en een rigoureus wiskundig bewijs dat het werkt.

De kern van hun prestatie ligt in de manier waarop zij de imperfecties van de echte wereld aanpakken. In hun systeem gebruiken de twee partijen, laten we ze Alice en Bob noemen, onbetrouwbare apparaten om een spel te spelen gebaseerd op een puzzel die bekend staat als het "Magic Square". In dit spel ontvangen Alice en Bob vragen en moeten ze antwoorden geven die voldoen aan specifieke consistentieregels. Als ze het spel vaak genoeg winnen, bewijst dit dat ze een geheime correlatie delen die niet te vervalsen is. De onderzoekers hebben een protocol ontworpen waarbij Alice en Bob dit spel vele malen parallel spelen. Vervolgens gebruiken ze een slim filterproces: ze controleren een kleine, willekeurige steekproef van de antwoorden om te waarborgen dat de apparaten correct functioneren. Als de steekproef slaagt, gebruiken ze de resterende antwoorden om de geheime sleutels te genereren die nodig zijn voor de transfer.

Een cruciale innovatie in dit werk is de manier waarop zij omgaan met "lekken" (leakage). In een echt laboratorium zou een onbetrouwbare leverancier een verborgen kanaal in het apparaat kunnen hebben gebouwd, waardoor het apparaat informatie naar de buitenwereld kan fluisteren. Eerdere theorieën gingen ervan uit dat deze apparaten volledig geïsoleerd waren. Het nieuwe protocol accepteert dat er enige lekkage kan optreden, maar stelt een strikt budget vast. De apparaten mogen een beperkte hoeveelheid informatie uitwisselen, gemeten in quantum bits, tijdens een enkele ronde van het spel. De onderzoekers hebben bewezen dat zolang deze lekkage binnen dat budget blijft, de beveiliging van het systeem intact blijft. Ze toonden aan dat zelfs als de apparaten op complexe wijze verstrengeld zijn en de aanvaller probeert ze gezamenlijk te meten, de hoeveelheid informatie die de aanvaller kan stelen wiskundig begrensd en onvoldoende is om de code te breken.

De onderzoekers hebben ook de kwestie van "fouten" (faults) aangepakt. Echte apparaten maken fouten; ze kunnen een vraag verkeerd lezen of een foutief antwoord geven door ruis. Een protocol dat perfecte antwoorden eist, zou in een echte laboratoriumomgeving direct falen. De nieuwe constructie is robuust, wat betekent dat het een constante mate van eerlijke fouten kan tolereren. Het maakt gebruik van foutcorrigerende codes om de verschillen te overbruggen tussen wat Alice en Bob beoogden te doen en wat hun ruisgevoelige apparaten daadwerkelijk deden. Dit stelt het systeem in staat correct te functioneren, zelfs wanneer de hardware imperfect is, een kenmerk dat voorheen ontbrak in device-independent protocollen die ook met lekkage om konden gaan.

De constructie werkt in twee verschillende modi, afhankelijk van de omgeving. In de eerste modus, als de apparaten perfect geïsoleerd zijn en het apparaat van de ontvanger elk deel van het spel afzonderlijk meet, kan het systeem een hogere mate van fouten tolereren. In de tweede, meer algemene modus, staat het systeem willekeurige gezamenlijke metingen en begrensde lekkage tussen de laboratoria toe. In deze flexibelere setting werkt het systeem nog steeds, hoewel het een iets groter aantal spelrondes vereist om hetzelfde beveiligingsniveau te handhaven. In beide gevallen groeit de totale hoeveelheid benodigde middelen — tijd, communicatie en apparaatgebruik — op een beheersbare manier naarmate het beveiligingsniveau toeneemt, wat het protocol praktisch maakt voor toekomstige implementatie.

De implicaties van dit werk strekken zich uit voorbij het verzenden van slechts één enkel geheim. Omdat oblivious transfer een fundamentele bouwsteen is voor alle veilige berekeningen, ontsluit dit nieuwe protocol effectief de mogelijkheid om elke veilige berekening uit te voeren tussen partijen die niets vertrouwen behalve hun eigen klassieke computers. Of het nu gaat om twee bedrijven die hun databases vergelijken zonder de data te onthullen, of een groep stemmers die veilig hun stemmen uitbrengt, de onderzoekers hebben aangetoond dat hun methode kan worden opgeschaald naar deze complexe, multi-party scenario's. De beveiliging blijft gewaarborgd, zelfs als sommige van de deelnemers gecorrumpeerd zijn of als de apparaten die zij gebruiken gedeeld worden met een tegenstander.

Wat dit resultaat bijzonder significant maakt, is dat het de noodzaak voor "vertrouwde quantumhardware" wegneemt. In eerdere schema's moesten gebruikers geloven dat de lasers en detectoren correct waren vervaardigd en niet waren gemanipuleerd. In dit nieuwe kader komt de beveiliging volledig voort uit de geobserveerde statistieken van het spel en de wetten van de fysica, geverifieerd via klassieke berekening. De onderzoekers hebben aangetoond dat de apparaten als "black boxes" kunnen worden behandeld: zolang ze de juiste correlaties produceren, is het protocol veilig. Dit verschuift de last van vertrouwen van de fysieke toeleveringsketen naar de wiskundige structuur van het protocol zelf.

De onderzoekers hebben ook de kwestie van "simulatie" aangepakt, wat de gouden standaard is voor het bewijzen van veiligheid in de cryptografie. Ze toonden aan dat voor elke aanval die een tegenstander kan lanceren, er een simulator bestaat die exact dezelfde uitkomst kan reproduceren met behulp van de ideale, theoretische versie van het protocol. Dit betekent dat wat een aanvaller leert van de echte, rommelige wereld van defecte apparaten, net zo gemakkelijk geleerd had kunnen worden uit de perfecte, theoretische wereld. Aangezien de theoretische wereld bekend staat als veilig, moet de echte wereld ook veilig zijn. Dit bewijs houdt stand tegen elke aanvaller die beperkt wordt door de wetten van de quantummechanica, wat garandeert dat het systeem toekomstbestendig is tegen de komst van krachtige quantumcomputers.

Samenvattend vormt dit werk een belangrijke stap voorwaarts in de zoektocht naar werkelijk veilige communicatie. Het plaatst het theoretische concept van device-independent cryptografie in de realiteit van apparaten die ruis bevatten, geïsoleerd zijn en potentieel gecompromitteerd zijn. Door een robuuste foutcorrectiestrategie te combineren met een strikte verantwoording van informatielekken, hebben de onderzoekers een protocol gecreëerd dat zowel praktisch als bewezen veilig is. Ze hebben aangetoond dat we niet hoeven te wachten op perfecte quantumhardware om een veilige toekomst op te bouwen; we kunnen die nu bouwen, met de imperfecte instrumenten die we hebben, door te vertrouwen op de onwrikbare logica van de wiskunde en de vreemde, krachtige correlaties van de quantummechanica.