54、量子世界中的 Merkle 谜题

量子世界中的 Merkle 谜题

1. 引言

在量子计算崛起的背景下，传统的加密方案面临着新的挑战。1974 年，Ralph Merkle 提出了首个用于不安全信道上安全通信的非机密方案。当合法通信方愿意投入与参数 N 成正比的计算量时，窃听者若想破解他们的通信，需花费与 N² 成正比的时间，这是合法方计算量的二次方。然而，在量子世界中，Merkle 的方案完全不安全。但如果合法方也被允许使用量子计算，其安全性可以部分恢复。

此前的研究遗留了两个主要问题：
1. 能否在量子世界中恢复经典世界中可能的二次安全性？
2. 如果合法方仅使用经典计算，而窃听者拥有量子计算机，是否还能实现任何安全性？

为解决这些问题，我们提出了两个新颖的密钥分配协议。

2. Merkle 原始方案及其破解与部分修复

2.1 Merkle 原始方案

Merkle 在 1974 年提出的方案，用现代术语描述，假设 f 是一个单向置换。双方猜测关键词，对猜测进行单向加密（即计算 f(x)）并传输给对方。若双方碰巧猜测到相同的关键词，通过比较加密版本可发现，并将该关键词用作建立通信链路的密钥。

如果 f 的定义域中有 N² 个点，双方各猜测 O(N) 个关键词，根据生日悖论的变体，很可能双方会猜测到相同的关键词。窃听者若想获取该密钥，只能对揭示的公共加密关键词进行 f 的逆运算，平均需要尝试定义域中一半的点，即需要 Ω(N²) 次对 f 的调用，这是合法方计算量的二次方。

2.2 量子攻击与部分补救

当窃听者拥有量子计算机时，Merkle 的原始方案可被 Grover 算法破解。Gr