後量子匿名証明を用いた後量子Privacy Pass

概要

後量子暗号の匿名証明方式は、一般向けゼロ知識証明を用いてその属性に関する任意の述語を表示できることが知られており、これは量子敵対者に対して安全である [Fischlin, CRYPTO 2006]。 従来、このような一般的な実装は実用性の欠如と性能の問題を伴うと考えられてきた。しかし、注意深い選択と最適化を行うことで、このような方式は驚くほど良好な性能を発揮することが可能である。 実際、後量子的な無関連トークンの単純な問題に対しては、この方式は先進的な後量子的なブラインド署名と競合できる性能を発揮する。これは後量子版のPrivacy Passに必要なものである。 具体的には、我々が提案するDilithium2のSTARK対応バージョンであるzkDilithiumを用いて構築された後量子Privacy Passでは、トークンサイズ（85–175KB）と生成時間（0.3–5秒）のトレードオフが可能であり、証明のセキュリティレベルは115ビットである。これらのトークンの検証は20–30ミリ秒で行うことができる。これらのトークンは実用的であり、従来のトークンに比べてアップロード時間に1秒未満しか追加されないことを、測定研究によって裏付けている。 最後に、我々のアプローチの明確な利点を指摘する。汎用ゼロ知識証明によって得られる柔軟性である。これは、プライバシーが非協力性に依存しないようにする、Privacy Passのレート制限バージョンを構築できる点で示されている。