并行可逆卵石游戏：分析 iMHF 的后量子安全性

经典的（并行）黑卵石游戏是一种有用的抽象，可用于分析使用静态数据依赖图 $G$ 评估函数 $f$ 所需的资源（空间、时空、累积空间）。在密码学领域中，特别令人感兴趣的是由有向无环图（DAG）$G$ 和加密哈希函数 $H$ 定义的数据无关内存困难函数 $f_{G,H}$。图 $G$ 的卵石复杂性刻画了多次评估 $f_{G,H}$ 的摊还代价，以及在固定域 $\mathcal{X}$ 上运行暴力原像攻击的总代价，即给定 $y \in \{0,1\}^*$ 找到 $x \in \mathcal{X}$ 使得 $f_{G,H}(x)=y$。经典攻击者至少需要评估函数 $f_{G,H}$ $m=|\mathcal{X}|$ 次，而运行 Grover 算法的量子攻击者仅需对评估函数 $f_{G,H}$ 的量子电路 $C_{G,H}$ 进行 $\mathcal{O}(\sqrt{m})$ 次黑盒调用。因此，为分析量子攻击的代价，理解量子电路 $C_{G,H}$ 的时空代价（等价于宽度乘以深度）至关重要。我们首先观察到，图 $G$ 的合法黑卵石策略并不一定意味着存在具有可比复杂性的量子电路——这与经典情形相反，在经典情形中 $G$ 的任何高效卵石策略都对应于一个具有可比复杂性、评估 $f_{G,H}$ 的算法。受此观察启发，我们引入了一种新的并行可逆卵石游戏，它刻画了量子计算中无删除定理所施加的额外限制。我们应用这一新的可逆卵石游戏分析了若干重要图的可逆时空复杂性：线图、Argon2i-A、Argon2i-B 和 DRSample。（完整摘要见论文。）