Post-Quantum Cryptography for Long-Term Security

1. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November1 Niels Mache, struktur AG
Post-Quantum Cryptography
Relevanz, Funktion, Empfehlung

2. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November2 Niels Mache, struktur AG
Inhalt
1.Relevanz
2.Was ist ein Quantencomputer?
3.Qbits
4.Experiment 1: Zweite harmonische Generierung
5.Experiment 2: Polarisationsmessung an Quanten
6.Quantengatter
7.Qbit Kontrolle
8.Geschichte
9.Diffie-Hellman Schlüsselaustausch
10.Shor's Verfahren
11.Empfehlungen
12.Forschung in Stuttgart
13.Mitmachen!
14.Referenzen/Literatur

3. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November3 Niels Mache, struktur AG
Relevanz
Digitale Signatur
Archivierung,
Revisionssicherheit
Datenübertragung
Primär von Interesse:
Langzeitperspektive für die
Informationssicherheit

4. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November4 Niels Mache, struktur AG
Relevanz
Relevanz für die europäische Industrie in Bezug auf
(verschlüsselten) Long-Term Storage in the Cloud.
Zitat: "for example, news reports in April 2014 indicated that
Microsoft inserts tracking information into documents stored
on OneDrive. Data from hundreds of millions of users is thus
centralized on a few sites, giving those sites incredible power.
Today this data is sold en masse to advertisers, exposed en
masse to attackers, and subjected to increasingly
sophisticated systems of censorship. "

5. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November5 Niels Mache, struktur AG
Was ist ein Quantencomputer?
Im Vergleich zur Turing Maschine mit ihren 2
Zuständen 0 und 1 kodiert ein
Quantencomputer Information als Quantenbits,
oder Qbits, die in Superposition existieren
können.
Qubits werden durch Atome, Ionen, Photonen
oder Elektronen repräsentiert.

6. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November6 Niels Mache, struktur AG
Quantencomputer
Die Quantenzustände (qbits) befinden sich anfänglich in
Superposition (verschränkte Zustände). Zu Beginn einer
Berechnung hat jedes qbit nicht zwei Zustände
sondern beide Zustände.
Beispiel mit 2-qbits : |0|0>, |0|1>,|1|0>,|1|1>
Zustand eines N-qbit Registers angegeben durch
2N-dimensionalen Vektorraum.
Ein 1000-qbit Register hätte verschränkt gleichzeitig 21000 =
10301 Zustände.
Vergleich: im uns bekannten, sichtbaren Universum gibt es
höchstens 2.5 *1079 Atome.

7. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November7 Niels Mache, struktur AG
Quantencomputer - Qbits

8. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November8 Niels Mache, struktur AG
Quantencomputer
Inherent parallele Informationsverarbeitung
Die Geschwindigkeit eines 30-Qbit
Quantencomputers entspräche möglicherweise
der Geschwindigkeit von 10 Teraflop/s eines
konventionellen, sequenziellen Binärcomputers
[David Deutsch]
Jedoch: Koherenz vieler Quantenbits große
technische Herausforderung
Vergleich: 33 Petaflop/s schnellster Computer (Juni 2015)

9. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November9 Niels Mache, struktur AG
Experiment 1
DPSS Laser (DPSSFD): Im nichtlinearen optischen Prozess (NLO) können jeweils
2 Quanten absorbiert und ein Quant doppelter Energie (halbe Wellenlänge)
emitiert werden (2-te harmonische Frequenz). Zufällige Entdeckung 1961 als
“Second Harmonic Generation” durch Peter Franken et al. at Univ. of Michigan,
nach Konstruktion des ersten Lasers (Theodore Harold Maiman).
AlGaAs
Laserdiode
@ 808 nm
Nd:YVO4
Nd:YAG
Nd:YLF
Kaliumtitanylphosphat (KTP)
Lithiumborat (BFO)
532 nm1064 nm808 nm

10. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November10 Niels Mache, struktur AG
Experiment 1, cont
Entanglement, Verschränkung

11. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November11 Niels Mache, struktur AG
Experiment 2
Polarisationsfilter (linear)

12. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November12 Niels Mache, struktur AG
Experiment 2
Polarisationsfilter (linear)

13. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November13 Niels Mache, struktur AG
Quantum Entanglement

14. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November14 Niels Mache, struktur AG
Quantengatter mit einem Eingang
Quelle: Wikipedia

15. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November15 Niels Mache, struktur AG
Quantengatter mit 2 Eingängen
Quelle: Wikipedia

16. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November16 Niels Mache, struktur AG
Quantengatter mit 3 Eingängen
Quelle: Wikipedia

17. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November17 Niels Mache, struktur AG
QUBIT Kontrolle
Optische Kavitäten (optical traps)
Lichtwellen für Einschluß und Kontrolle von
Atomen, Stickstoff-Fehlstellen-Zentren (NV-
Zentren) in Diamant, Kernspins
Quantenpunkte (Quantum dots)
Kavitäten in Halbleitermaterialien zum
Einschluß und Kontrolle von Elektronen
Ionenfallen (Ion traps)
Ioneneinschluss durch optische oder
magnetische Felder oder Kombination beider
Einzelatome (Impurities)
Verunreinigungen (Dotierung) in
Halbleitermaterialien mit einzelne Atomen
(Elektronen , Spins)
Supraleiter (Superconductors, Josephson
circuits)
Supraleitende Gatter/Schaltkreise , Kontrolle
von Cooper-Paaren

18. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November18 Niels Mache, struktur AG
Anfänge
1968 erstmals Formulierung eines
Quantumcomputers mit Elektronenspins als
Quantenbits
1980-1985 Quantumcomputing Formulierung
durch Paul Beniof, Yuri Manin, Richard
Feynman und David Deutsch

19. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November19 Niels Mache, struktur AG
Fortschritte
2001 IBM Almaden Research Center
Kernspinresonanz System mit 7-qubits (Shor's
Algorithmus
2007 D-Wave (Kanada) demonstriert 16-qubit
Quantencomputer
2011 Rainer Blatt, Institut für Experimentalphysik
Univ. Innsbruck Ionenfalle mit 14 Calciumatomen
2013 Google Quantum Artificial Intelligence Lab,
kündigt einen 512-qubit D-Wave
Quantencomputer an

20. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November20 Niels Mache, struktur AG
Fortschritte, cont.
Oktober 2015 Die UNSW University of
Sydney New South Wales ein Qbit Logikgatter
demonstriert. Das Bauelement mit zwei
Eingängen ist implementiert in Silizium, d.h.
auf Basis von Standard Fertigungstechniken.
Die Entwicklung eines Qbit Logikgatters stellt
einen bedeutenden Meilenstein auf dem Weg
zum Quantencomputer dar.

21. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November21 Niels Mache, struktur AG
NSA Forschung
Anfang 2014 wird durch Dokumente des NSA
contractors Edward Snowden enthüllt, dass
that die U.S. National Security Agency (NSA)
ein 79.7 Millionen US$ Forschungsprogramm
mit dem Titel "Penetrating Hard Targets"
etablierte um Quantencomputer für das
Knacken von Verschlüsselungsverfahren zu
entwickeln.
* NSA seeks to build quantum computer that could crack most
types of encryption". Washington Post. 2. Januar 2014.

22. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November22 Niels Mache, struktur AG
Diffie-Hellman Key Exchange

23. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November23 Niels Mache, struktur AG
Shor's Algorithmus
Polynomielle Laufzeit
Quelle: Wikipedia

24. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November24 Niels Mache, struktur AG
PQCRYPTO: Empfehlung für
Public-key encryption
For public-key encryption the currently used algorithms based on
RSA and ECC are easily broken by quantum computers. Code-based
cryptography has been studied since 1978 and has withstood
attacks very well, including attacks using quantum computers.
PQCRYPTO recommends the following parameters as included in
McBits [4] to achieve 2128 post-quantum security:
McEliece with binary Goppa codes using length n = 6960,
dimension k = 5413 and adding t = 119 errors.
Examples of other choices under evaluation: (1) Quasi-cyclic MDPC
codes [14] for McEliece with parameters at least n = 216 +6,k = 215
+3,d = 274 and adding t = 264 errors. (2) The Stehl ́e–Steinfeld
version [17] of the NTRU [10] lattice-based cryptosystem.

25. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November25 Niels Mache, struktur AG
Empfehlung Autoren Imperfect
Forward Secrecy
Our findings indicate that one of the key recommendations from security experts in response
to the threat of mass surveillance promotion of DHE-based TLS ciphersuites offering “perfect
forward secrecy” over RSA-based cipher suite may have actually reduced security for many
hosts. In this section, we present concrete recommendations to recover the expected security
of Diffie-Hellman as it is used in mainstream Internet protocols.
Transition to elliptic curves. Transitioning to elliptic curve Diffie-Hellman (ECDH) key exchange
with appropriate parameters avoids all known feasible cryptanalytic attacks. Current elliptic
curve discrete log algorithms for strong curves do not gain as much of an advantage from
precomputation. In addition, ECDH keys are shorter than in “mod p” Diffie-Hellman, and
shared-secret computations are faster. Unfortunately, the most widely supported ECDH
parameters, those specified by NIST, are now viewed with suspicion due to NSA influence on
their design, despite no known or suspected weaknesses. These curves are undergoing
scrutiny, and new curves, such as Curve25519, are being standardized by the IRTF for use in
Internet protocols. We recommend transitioning to elliptic curves where possible; this is
the most effective long-term solution to the vulnerabilities described in this paper.
Increase minimum key strengths. Server operators should disable DHE_EXPORT and
configure DHE ciphersuites to use primes of 2048 bits or larger. Browsers and clients
should raise the minimum accepted size for Diffie-Hellman groups to at least 1024 bits in order
to avoid downgrade attacks when communicating with servers that still use smaller groups.
Primes of less than 1024 bits should not be considered secure, even against an attacker
with moderate resources.

26. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November26 Niels Mache, struktur AG
Unsere Empfehlung
In TLS gibt es derzeit keinen Weg "abhörsicher"
DHE zu “verhandeln”. Möglicherweise wird
TLSv1.3 keine DHE Ciphers enthalten.
DHE nicht mehr verwenden, sobald das IETF
eine Empfehlung zu ChaCha20-Poly1305,
Curve25519 und Ed25519 herausgegeben hat.
In der Zwischenzeit DHE mit 2048-Bit +
Parameter. Die aktuell kleinste Schlüssellänge
im Chrome-Browser mit 1024-Bit definitiv
nicht sicher.

27. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November27 Niels Mache, struktur AG
Forschung in Stuttgart
In Stuttgart forscht
Prof. Jörg Wrachtrup
an Solid State
Quantum Nitrogen-
Vacancy (NV) Kavitäten
in Diamantkristallen.
Wird derzeit jedoch
primär für Sensoren
benutzt.

28. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November28 Niels Mache, struktur AG
Mitmachen
Bei der struktur AG, Stuttgart
Softwareingenieure (C/C++,D,Go)
Physiker
E-Techniker/Schaltungsdesigner
Verilog, VHDL, Eagle

29. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November29 Niels Mache, struktur AG
Referenzen
Crucial hurdle overcome in quantum computing, October 5, 2015
http://phys.org/news/2015-10-crucial-hurdle-quantum.html
EU Horizon 2020 ICT-645622 PQCRYPTO Post-Quantum
Cryptography for Long-Term Security
http://cordis.europa.eu/project/rcn/194347_en.html
Initial recommendations of long-term secure post-quantum
systems
http://pqcrypto.eu.org/docs/initial-recommendations.pdf
Golem: http://www.golem.de/news/quantencomputer-erste-
empfehlungen-fuer-post-quanten-kryptographie-1509-116166.html
Imperfect Forward Secrecy: How Diffie-Hellman Fails in Practice
https://weakdh.org/imperfect-forward-secrecy-ccs15.pdf
RSA Numbers - https://en.wikipedia.org/wiki/RSA_numbers

30. 16. November 2015 4. No-Spy-Konferenz, 13.-15. November30 Niels Mache, struktur AG
Referenzen
Violation of Heisenberg’s Measurement-
Disturbance Relationship by Weak
Measurements arXiv:1208.0034v2 [quant-ph]
15 Aug 2012
The quantum state cannot be interpreted
statistically arXiv:1111.3328v1 [quant-ph] 14
Nov 2011