Quantum-Aware Key Rank for Side-Channel Attacks evaluation

在数字安全领域，密钥的强度往往通过尝试窃取密钥而非破解数学逻辑来测试。当一台计算机加密数据时，它会通过其功耗或电磁信号泄露微量信息。安全专家捕捉这些被称为“迹象”（traces）的泄露，并利用它们来缩小可能密钥的范围。这类攻击通常不会立即找到正确的密钥，而是会留下一个长长的、有序的候选名单，而真正的密钥就隐藏在名单中间的某个位置。这个密钥在名单上的位置被称为其“秩”（rank）。如果秩较低，密钥就容易被找到；如果秩较高，则意味着该密钥实际上是安全的。几十年来，安全实验室一直测量这个“秩”，以判定一个设备是否安全，其前提假设是攻击者将使用标准计算机来搜索剩余的可能性。

然而，随着量子计算机的到来，游戏规则正在发生变化。这些机器基于不同的物理原理运行，理论上可以比任何经典计算机更快地搜索可能性列表。Yevgen Kotukh 的一项新研究解决了一个关键的认知空白：当攻击者先使用经典计算机收集初始线索，然后转而使用量子计算机完成最后的工作时，情况会如何？研究表明，量子计算机提供的加速并不像之前的一些理论所暗示的那样具有戏剧性或普遍性。事实证明，这种优势完全取决于剩余待搜索的候选数量以及量子计算机被允许运行的时间。

研究人员建立了一个详细的模型来模拟这种特定的混合型攻击者。他们设想了这样一个场景：黑客首先从设备中收集功耗迹象，并使用标准软件创建一个潜在密钥的排名列表。这个列表可能包含数十亿个候选者。随后，黑客利用该列表并运行量子算法来寻找正确的密钥。研究证明，对于任何具有特定剩余候选数量的单一设备，量子计算机提供的加速程度恰好与该数量的平方根成正比。这意味着，如果一台经典计算机需要检查一百万个密钥，量子计算机可能只需要检查一千个。这是一个显著的改进，但并非此前一些更抽象的理论所预测的那种神奇的指数级速度爆炸。那些早期的理论认为量子计算机可以更快，但这项新研究表明，那些预测是基于对许多不同设备的计算结果进行平均得出的，而不是针对单次攻击的具体现实情况。

该研究的一个核心部分涉及量子计算机的物理极限。这些机器目前并不完美；在它们的量子态发生坍缩之前，只能执行一定数量的操作。研究人员对量子电路的深度施加了严格限制，代表了未来量子计算机在一年或十年内能采取的最大步骤数。他们发现，只有当剩余密钥的数量低于某个阈值时，二次加速效应才会生效。如果候选列表过长，量子计算机被迫并行运行许多个自身的副本，以在时间限制内完成任务。这种并行化会消耗掉加速优势，使其降级为简单的常数倍增。对于像 AES-128 这样的现代加密标准，当密钥的“秩”达到特定点（大约对应于 2 的 59 次方）时，这种优势的“窗口期”就会关闭。超过这个点，量子计算机不再具有指数级的速度优势；它仅提供固定的倍数提升，在某些情况下，这种优势微乎其微，几乎可以忽略不计。

为了帮助安全实验室适应这一新现实，作者引入了一个名为“量子感知密钥秩”（quantum-aware key rank）的新指标。该工具允许评估人员将他们已经计算出的标准“秩”转换为能够反映针对特定时间限制下的量子攻击者安全水平的数值。例如，如果一个设备的经典“秩”表明它是安全的，那么其“量子感知秩”可能会显示它实际上是脆弱的，因为量子计算机可以在允许的时间内找到密钥。研究提供了这些转换的清晰公式，表明为了保持与量子对手同等的安全水平，设备需要比以前认为的更高的经典“秩”。具体而言，对于深度限制在 2 的 40 次方的量子计算机，一个设备需要保留约 2 的 74 次方的经典“秩”，才能在安全性上等同于一个拥有 2 的 48 次方经典“秩”的设备。

研究还比较了量子计算机利用泄露信息寻找密钥的两种不同方式。一种方法涉及准备一种能够反映每个密钥可能性的特殊量子态，另一种方法则是以结构化的方式搜索密钥块。研究发现，在典型的现实世界攻击所见的这类数据泄露中，这两种方法的性能非常接近。决定因素不在于哪种方法在理论上更快，而在于实现更复杂方法所需的硬件成本。研究人员在小型玩具密码和真实的 AES 加密模型上模拟了这些攻击，以验证他们的理论。他们发现，对于具有低信噪比的典型攻击，一个拥有巨大门电路预算（gate budget）的量子攻击者，其价值相当于多出了 22 个功耗迹象的经典攻击者。换句话说，量子优势是真实存在的，但它是受限且可预测的。

这项工作解决了安全界两种相互矛盾观点之间的张力：一种观点认为量子计算机将提供超快的指数级优势，另一种观点则认为由于硬件限制，它们可能完全无法提供优势。研究表明，这两种观点都是正确的，但它们适用于不同的情况。超快优势是针对许多种可能场景的平均表现，而受限的二次方优势才是任何单次真实攻击中所发生的情况。通过提供具体的指标和对极限的清晰理解，这项研究为安全评估人员提供了准确评估量子攻击风险所需的工具。它将对话从推测转向了计算，确保随着量子技术的成熟，我们的防御措施能够进行精准的调整，而非仅仅依靠猜测。