道格拉斯·斯特比拉;米歇尔·莫斯卡 后量子密钥交换用于互联网和开放量子安全项目。 （英语） Zbl 1412.94213号 Avanzi，Roberto（编辑）等人，《密码学选定领域——SAC 2016》。第23届国际会议，2016年8月10日至12日，加拿大北卡罗来纳州圣约翰。修订了选定的论文。查姆：斯普林格。莱克特。注释计算。科学。10532, 14-37 (2017). 摘要：设计抵抗量子计算机攻击的公钥密码系统是当前密码研究和标准化的一个重要领域。为了对未来的量子计算机保密今天的通信，应用程序和协议必须开始探索使用抗量子密钥交换和加密。在本文中，我们探讨了一般的后量子密码术和具体的密钥交换。我们回顾了两个基于格问题的抗量子密钥交换协议：BCNS15，基于错误环学习问题，以及Frodo，基于错误学习问题。我们单独讨论了它们的安全性和性能特征，并在传输层安全性（TLS）协议的上下文中进行了讨论。我们介绍了Open Quantum Safe项目，这是一个用于制作抗量子密码原型的开源软件项目，其中包括liboq，一个抗量子算法的C库，以及我们将liboq集成到流行的开源应用程序和协议中，包括广泛使用的OpenSSL库。有关整个系列，请参见[Zbl 1378.94001号]. 引用于9文件 MSC公司： 94A60 密码学 软件：麦克比特;liboq;BKZ公司;开放源码软件 PDF格式BibTeX公司 XML格式引用 \textit{D.Stebila}和\textit{M.Mosca}，莱克特。注释计算。科学。10532，14-37（2017；Zbl 1412.94213） 全文： 内政部 参考文献： [1] Ajtai，M.：生成格问题的硬实例（扩展抽象）。收录于：第28届ACM STOC，第99-108页。ACM出版社，1996年5月·兹布尔0921.11071 [2] Ajtai，M.，Dwork，C.：具有最坏情况/平均情况等效性的公钥密码系统。收录于：第29届ACM STOC，第284-293页。ACM出版社，1997年5月·Zbl 0962.68055号 [3] Albrecht，M.R.，Player，R.，Scott，S.：关于错误学习的具体难度。Cryptology ePrint Archive，报告2015/046（2015）。http://eprint.iacr.org/2015/046 ·Zbl 1352.94023号 [4] Alkim，E.，Ducas，L.，Pöppelmann，T.，Schwabe，P.：后量子密钥交换——一个新的希望。收件人：USENIX Security 2016。USENIX协会，2016年8月。https://eprint.iacr.org/2015/1092 [5] 阿普勒巴姆，B。；现金，D。；佩克特，C。；Sahai，A。；Halevi，S.，《基于困难学习问题的快速加密原语和循环安全加密》，《密码学进展-密码2009》，595-618（2009），海德堡：斯普林格，海德伯格·兹比尔1252.94044 ·doi:10.1007/978-3-642-03356-8_35 [6] DJ伯恩斯坦；周，T。；施瓦布，P。；贝托尼，G。；Coron，J-S，McBits:快速恒定时间基于代码的加密，密码硬件和嵌入式系统-CHES 2013，250-272（2013），海德堡：斯普林格，海德伯格·Zbl 1353.94035号 ·doi:10.1007/978-3-642-40349-1_15 [7] DJ伯恩斯坦；奥斯瓦尔德，E。；Fischlin，M.，SPHINCS：实用无状态基于散列的签名，密码学进展-EUROCRYPT 2015，368-397（2015），海德堡：斯普林格，海德伯格·Zbl 1370.94488号 [8] Blazy，O.，Chevalier，C.，Ducas，L.，Pan，J.：基于LWE的精确平滑投影哈希函数。Cryptology ePrint Archive，报告2013/821（2013）。http://eprint.iacr.org/2013/821 [9] Bos，J.W.，Costello，C.，Ducas，L.，Mironov，I.，Naehrig，M.，Nikolaenko，V.，Raghunathan，A.，Stebila，D.：佛罗多：摘下戒指！来自LWE的实用、量子安全密钥交换。包含：ACM CCS 2016。ACM出版社，2016年10月。https://eprint.iacr.org/2016/659 [10] Bos，J.W.，Costello，C.，Naehrig，M.，Stebila，D.：TLS协议的后量子密钥交换，来自带错误的环学习问题。2015年IEEE安全与隐私研讨会，第553-570页。IEEE计算机学会出版社，2015年5月 [11] Bos，J.W.，Naehrig，M.，van de Pol，J.：理想格中最短向量的筛选：实用观点。Cryptology ePrint Archive，报告2014/880（2014）。http://eprint.iacr.org/2014/880 ·Zbl 1428.94063号 [12] Braithwaite，M.：谷歌安全博客：后量子密码实验，2016年7月。https://security.googleblog.com/2016/07/teriating-with-post-quantum.html [13] Buchmann，J。；Dahmen，E。；Hülsing，A。；Yang，B-Y，XMSS——一种基于最小安全假设的实用前向安全签名方案，《后量子密码术》，117-129（2011），海德堡：Springer，Heidelberg·Zbl 1298.94082号 ·doi:10.1007/978-3-642-25405-58 [14] 陈，Y。；Nguyen，PQ；Lee，DH；Wang，X.，BKZ 2.0：更好的晶格安全估计，密码学进展-ASIACRYPT 2011，1-20（2011），海德堡：施普林格，海德堡·Zbl 1227.94037号 ·doi:10.1007/978-3-642-25385-0_1 [15] 科斯特洛，C。；Longa，P。；Naehrig，M。；Robshaw，M。；Katz，J.，《超奇异同构的高效算法——Diffie-Hellman》，《密码学进展——密码体制2016》，572-601（2016），海德堡：斯普林格·Zbl 1384.94046号 ·doi:10.1007/978-3-662-53018-4_21 [16] Cramer，R.，Ducas，L.，Wesolowski，B.：短Stickelberger类关系及其在理想SVP中的应用。Cryptology ePrint Archive，报告2016/885（2016）。http://eprint.iacr.org/2016/885 ·Zbl 1411.94057号 [17] Devoret，MH；Schoelkopf，RJ，《量子信息的超导电路：展望》，《科学》，339，6124，1169-1174（2013）·doi:10.1126/science.1231930 [18] Dierks，T.，Rescorla，E.：传输层安全（TLS）协议1.2版。RFC 5246（拟议标准），2008年8月。http://www.ietf.org/rfc/rfc5246.txt [19] Ding，J.，Xie，X.，Lin，X.：一个基于带错误学习问题的简单可证明安全密钥交换方案。Cryptology ePrint Archive，报告2012/688（2012）。http://eprint.iacr.org/2012/688 [20] Feo，LD；饶，D。；Plót，J.，《从超奇异椭圆曲线等基因走向抗量子密码系统》，J.Math。加密。，8, 3, 209-247 (2014) ·Zbl 1372.94419号 [21] Fluhrer，S.：基于环-LWE的密钥交换与密钥共享重用的密码分析。Cryptology ePrint Archive，报告2016/085（2016）。http://eprint.iacr.org/2016/085 [22] Fujioka，A.、Suzuki，K.、Xagawa，K.和Yoneyama，K.：单向安全密钥封装机制的实用和量子后认证密钥交换。载于：Chen，K.，Xie，Q.，Qiu，W.，Li，N.，Tzeng，W.G.（编辑）ASIACCS 13，第83-94页。ACM出版社，2013年5月 [23] 藤崎，E。；冈本，T。；Imai，H。；Zheng，Y.，《如何以最低成本增强公钥加密的安全性》，《公钥密码术》，53-68（1999），海德堡：施普林格出版社·Zbl 0964.94020号 ·doi:10.1007/3-540-49162-7_5 [24] Gong，B.，Zhao，Y.：小型域攻击，并重新访问Eurocrypt’15中基于RLWE的认证密钥交换。Cryptology ePrint Archive，报告2016/913（2016）。http://eprint.iacr.org/2016/913 [25] Gueron，S.，Schlieker，F.：加速R-LWE量子后密钥交换。密码学电子打印档案，报告2016/467（2016）。http://eprint.iacr.org/2016/467 [26] 霍夫斯坦，J。；Pipher，J。；希尔弗曼，JH；Buhler，JP，NTRU:一种基于环的公钥密码系统，算法数论，267-288（1998），海德堡：Springer，Heidelberg·Zbl 1067.94538号 ·doi:10.1007/BFb0054868 [27] Jager，T。；科勒，F。；Schäge，S。；Schwenk，J。；Safavi-Naini，R。；Canetti，R.，《关于标准模型中TLS-DHE的安全性》，《密码学进展-密码2012》，273-293（2012），海德堡：斯普林格·Zbl 1296.94121号 ·doi:10.1007/978-3642-32009-5_17 [28] J.Katz。；Vaikuntanathan，V。；Matsui，M.，Smooth projective hashing and password-based authenticated key exchange from lattices，Advances in Cryptology-ASIACRYPT 2009，636-652（2009），海德堡：斯普林格·Zbl 1267.94122号 ·doi:10.1007/978-3-642-10366-7_37 [29] Laarhoven，T。；Gennaro，R。；Robshaw，M.，使用角位置敏感散列筛选格中的最短向量，《密码学进展-密码2015》，3-22（2015），海德堡：斯普林格，海德伯格·Zbl 1336.94060号 ·doi:10.1007/978-3-662-47989-6_1 [30] Lamport，L.：从单向函数构造数字签名。技术报告SRI-CSL-98，SRI国际计算机科学实验室，1979年10月 [31] 林德纳，R。；佩克特，C。；Kiayias，A.，《基于LWE加密的更好密钥大小（和攻击）》，《密码学主题-CT-RSA 2011》，319-339（2011），海德堡：斯普林格，海德伯格·Zbl 1284.94088号 ·doi:10.1007/978-3642-19074-221 [32] Longa，P.，Naehrig，M.：加速数论变换，实现更快的基于理想晶格的密码学。Cryptology ePrint Archive，报告2016/504（2016）。http://eprint.iacr.org/2016/504 ·Zbl 1398.94137号 [33] 柳巴舍夫斯基，V。；佩克特，C。；Regev，O。；Gilbert，H.，《理想格与环上错误的学习》，《密码学进展-EUROCRYPT 2010》，1-23（2010），海德堡：斯普林格·Zbl 1279.94099号 ·doi:10.1007/978-3642-13190-51 [34] 柳巴舍夫斯基，V。；佩克特，C。；Regev，O。；约翰逊，T。；Nguyen，PQ，《环-LWE加密的工具包》，《密码学进展-EUROCRYPT 2013》，35-54（2013），海德堡：斯普林格，海德伯格·Zbl 1300.94082号 ·doi:10.1007/978-3-642-38348-9_3 [35] 松本，T。；Imai，H。；巴斯托，D.，《用于有效签名验证和消息加密的公共二次多项式偶》，《密码学进展-EUROCRYPT’88，419-453》（1988），海德堡：斯普林格，海德伯格·Zbl 0655.94013号 ·doi:10.1007/3-540-45961-8_39 [36] McEliece，R.：一种基于代数编码理论的公钥密码系统。DSN进度报告42-441978年1月和2月。http://ipnpr.jpl.nasa.gov/progress_report2/42-44/44N.PDF [37] 梅克尔，RC；Brassard，G.，一种经认证的数字签名，《密码学进展-密码体制89年诉讼》，218-238（1990），纽约：Springer，纽约·数字对象标识代码：10.1007/0-387-34805-0_21 [38] Mosca，M.：量子计算机时代的网络安全：我们准备好了吗？《加密电子打印档案》，报告2015/1075（2015）。http://eprint.iacr.org/2015/1075 [39] 国家安全局：NSA Suite B密码学：密码学今天，2015年8月。https://www.nsa.gov/ia/programs/suiteb_cryptography/ [40] Niederreiter，H.，Knapsack型密码系统和代数编码理论，Prob。控制信息理论。Problemy Upravlenija i Teorii Informacii，15，159-166（1986）·Zbl 0611.94007号 [41] Ong，H。；施诺尔，CP；Chaum，D.，《通过二次型近似表示的签名》，《密码学》1983年第117-131页（1983年），纽约：Plenum出版社，纽约·Zbl 1486.94155号 [42] 佩克特，C。；Reingold，O.，《基于格的密码学的一些最新进展》，《密码学理论》，72-72（2009），海德堡：斯普林格出版社·Zbl 1213.94127号 ·doi:10.1007/978-3642-00457-55 [43] 佩克特，C。；Mosca，M.，《互联网的晶格密码术》，《后量子密码术》（Post-Quantum cryptography），197-219（2014），查姆：斯普林格，查姆·Zbl 1383.94037号 [44] Peikert，C.，《晶格密码术十年》，Found。趋势理论。计算。科学。，10283-424（2016）·Zbl 1391.94788号 ·数字对象标识代码：10.1561/0400000074 [45] Peikert，C.：如何（不）实例化环-LWE。Cryptology ePrint Archive，报告2016/351（2016）。http://eprint.iacr.org/2016/351 ·Zbl 1421.94066号 [46] Regev，O.：关于格、错误学习、随机线性码和密码学。收录人：Gabow，H.N.，Fagin，R.（编辑），第37届ACM STOC，第84-93页。ACM出版社，2005年5月·Zbl 1192.94106号 [47] 施耐德，M。；Youssef，A。；Nitaj，A。；Hassanien，AE，理想格中最短向量的筛选，密码学进展-AFRICACRYPT 2013，375-391（2013），海德堡：斯普林格，海德伯格·兹比尔1312.94090 ·doi:10.1007/978-3-642-38553-7_22 [48] 肖尔，P.W.：《量子计算的算法：离散对数和因子分解》，载于第35届FOCS，第124-134页。IEEE计算机学会出版社，1994年11月 [49] 张杰。；张，Z。；丁，J。；斯努克，M。；达格伦。；奥斯瓦尔德，E。；Fischlin，M.，《理想格的认证密钥交换》，《密码学进展-EUROCRYPT 2015》，719-751（2015），海德堡：斯普林格，海德伯格·Zbl 1375.94164号 此参考列表基于出版商或数字数学图书馆提供的信息。其项与zbMATH标识符进行启发式匹配，可能包含数据转换错误。在某些情况下，zbMATH Open的数据对这些数据进行了补充/增强。这试图尽可能准确地反映原始论文中列出的参考文献，而不要求完整或完全匹配。