Even-Mansour 密码密钥恢复攻击的量子查询下界

Even-Mansour（EM）密码是著名的分组密码构造之一。Kuwakado 与 Morii 证明量子敌手仅需 $O(n)$ 次非自适应量子查询即可恢复其 $n$ 比特密钥。尽管 EM 密码及其变体对经典敌手的安全性已得到充分理解，但目前对其量子安全性所知甚少。为更好地理解 EM 密码的量子安全性或量子敌手的能力极限，我们研究了 EM 密码密钥恢复的量子查询复杂度，并证明即便允许自适应查询，每个量子算法也需要 $\Omega(n)$ 次量子查询才能完成密钥恢复。因此，Kuwakado 与 Morii 的量子攻击在常数因子内具有最优查询复杂度，即便使用自适应量子查询也无法在渐近意义上改进它。