密码学中的归约证明

karry_ming

已于 2024-05-26 22:54:00 修改

阅读量720

点赞数 20

分类专栏：可证明安全文章标签：密码学

于 2024-02-15 09:46:05 首次发布

本文链接：https://blog.csdn.net/qq_44722300/article/details/136118439

版权

可证明安全专栏收录该内容

4 篇文章 0 订阅

订阅专栏

Probailistic and Game based Security

Encryption. $Gen(1^n)\rightarrow k;Enc(k,m)\rightarrow c;Dec(k,c)\rightarrow m'$

Correct. $\forall m\in \mathcal{M},\mathcal{A} \;\mathrm{wins\; if\;} b'=b$
$Pr[k\leftarrow Gen(1^n);Enc(k,m)\rightarrow c;Dec(k,c)\rightarrow m':m=m']=1$
在这里插入图片描述

Security. $\forall PPT\; \mathcal{A},\exists\; neg(n)$
$Pr[Gen(1^n)\rightarrow k;\mathcal{A}(1^n)\rightarrow m_0,m_1,st;b\leftarrow \{0,1\};Enc(k,m_b)\rightarrow c;\mathcal{A}(st,c)\rightarrow b';b=b]=\frac{1}{2}+neg(n)$

Reduction Proofs- What are they?

Theorem. $\mathrm{Y \;secure} \Rightarrow \mathrm{X\; secure}$

Proof. $\mathrm{X\; not\; secure} \rightarrow \mathrm{Y\; not\; secure}$

如果 $\exists \mathrm{PPT}\; \mathcal{A}$ 能够攻破 $\mathrm{X}$ , 那我们可以构造 $\mathrm{PPT}\; \mathcal{B}$ 能够攻破 $\mathrm{Y}$ ，即：
$\exists \;\mathrm{PPT}\; \mathcal{B}\; \mathrm{breaks\; Y}\Rightarrow \nexists \;\mathrm{PPT}\; \mathcal{A} \;\mathrm{breaks}\; \mathrm{X}$

在这里插入图片描述

归约的三条规则：

PPT. 归约中构造 $\mathcal{B}$ 是 PPT；
Simulation. 对 $\mathcal{A}$ 而言， $\mathcal{B}$ 构造 X 方案的模拟者跟真实的挑战者一样， $\mathcal{A}$ 不可区分；
Probability. IF $\mathcal{A}$ has non-neg advantage break X $\Rightarrow$ $\mathcal{B}$ has non-neg advantage break Y，那么就可以说明方案 X 是安全的。

Reduction Proof Example - PRF Family

Theorem. 如果 $F$ 是一个安全的 PRF (Pseudorandom Function) 家族，那么 $Z$ 是一个安全的 PRF 家族。其中 $Z_k(x)$ 定义为：if $x = k$ , return $0$ ; else, return $F_k(x)$ 。

Proof. 如果存在一个 PPT 敌手 $\mathcal{A}$ ， $\mathcal{A}$ 可以以不可忽略的优势区分 $Z_k$ 和一个随机函数，那么我可以构造一个 PPT 敌手 $\mathcal{B}$ ， $\mathcal{B}$ 能够以不可忽略的优势区分 $F_k$ 和一个随机函数。

在这里插入图片描述

如果 $\mathcal{A}$ 能够区分 $y$ 是 Random 或 Pseudorandom，那么就可以区分 $y^{'}$ 是 Random 或 Pseudorandom。

我们之前说明的要证明三个要素成立：

PPT. 我们要使得敌手 $\mathcal{B}$ 的算法是 PPT，假设 $\mathcal{A}$ 询问 $p (n)$ 次询问以获取一个多项式 $P$ ，那么 $\mathcal{B}$ 也向其自己的挑战者发起 $p (n)$ 次询问。那么 $\mathcal{B}$ 的运行时间 = $p (n)$ 个询问时间 + $\mathcal{A}$ 的运行时间：
$p(n)\times O(1)+q(n)(\mathrm{A's\; running\; time\; is\; PPT})+p(n)+2(\mathrm{security\; parameters\; and \;output})=poly(n)$
Indistinguishable. 对于所有的真实挑战者来说，只有在 $\mathcal{A}$ 询问 $x = k$ 时，引起了差异，因为 $Z_k(x)=0$ ，而 $\mathcal{B}$ 会返回 $F_k(x)$ ，但这个情况的概率是可忽略的：
$\forall x\ne k,B\; \mathrm{computes}\; Z_k(x)=F_k(x) .\; \mathrm{For\; a\; random\; key\;} k,\; Pr[A\; \mathrm{queries}\; x=k]=\frac{P(n)}{|k|}=neg(n)$
Success Probability. $Pr[\mathcal{B}\mathrm{\; distinguishes}]=Pr[\mathcal{A}\mathrm{ \;distinguishes}]=\epsilon(n)=non-neg(n)$ （这里的 non-neg 是我们的假设，假设 $\mathcal{A,B}$ 能够以不可忽略的优势区分 $F_k,Z_k$ 函数与一个随机数函数的区别）

Random Oracle Model

随机预言机是一个映射函数，该函数要求如果有相同的输入，必须返回相同的输出。

Random Oracle: $D\rightarrow R$

我们可以将随机预言机视为查找表 (Lookup Table)

在这里插入图片描述

且随机预言机的算法是：

在这里插入图片描述

我们可以结合随机预言机来构造归约证明：

Thm. $\pi_1 \Rightarrow_{RO} \pi_2$
Proof. $\neg \pi_2 \Rightarrow_{RO} \neg \pi_1$

在这里插入图片描述

要求：构造 ROM 的算法必须是多项式时间和多项式空间

RSA Encryption ROM Proof

$\mathrm{Gen}(1^n): p,q\rightarrow \mathrm{prime(length=n)}; N=p\cdot q; \phi(n)=(p-1)(q-1); e\cdot d=1 \mathrm{mod}\; (p-1)(q-1);sk=(N,d),pk=(N,e)$
$\mathrm{Enc}(pk,m)\rightarrow c: r\leftarrow Z_N^*;c_1=r^e \mathrm{mod}\; N;y=\mathrm{RO}(r);c_2=y\oplus m$

$\mathrm{Dec}(sk,c)\rightarrow m: r=c_1^d \mathrm{mod}\; N=(r^e)^d=r^{ed} \mathrm{mod}\; N; y=\mathrm{RO}(r); m=c_2 \oplus y$

$\mathrm{Correctness}:ed=k\phi(N)+1; ed=1 \mathrm{mod}\; \phi(n); r^{ed} \mathrm{mod}\; N\rightarrow r^{k\phi(N)}\cdot r \mathrm{mod}\; N=r$
$\mathrm{RSA\; Assumption}: \forall\; \mathrm{PPT} \mathcal{A}, \exists \mathrm{neg}(n),\; \mathrm{Pr}[\mathrm{Gen}(1^n)\rightarrow N,e,d;x\leftarrow Z_N^*: \mathcal{A}(1^n,N,e,x^e)\rightarrow x]=\mathrm{neg}(n)$
Theorem. $\mathrm{RSA\; Assumption \; Secure\Rightarrow_{RO} \pi \; is \; CPA}$
Proof. $\mathrm{\mathcal{A}\; breaks\; \pi\Rightarrow_{RO} \mathcal{B}\; breaks\; RSA \;Assumption}$

在这里插入图片描述

归约构造会出现两种情况：

$z^e =x^e \mathrm{mod}\; N,\mathrm{Then: \mathcal{A}\; breaks\; \pi ,\;\mathcal{B}\; breaks\; RSA\; Assumption}.$
$\mathcal{A}\; \mathrm{never \;query}\; z=z^e=x^e \;\mathrm{mod}\; N.\mathrm{Then: RSA\; Assumption \; Secure\Rightarrow_{RO} \pi \; is \; CPA}$

$\mathcal{A}$ 只输出了一个 bit $b^{'}$ ，那么 $\mathcal{B}$ 如何才能输出 $x$ 呢（ $\mathcal{B}$ 是不知道 $x$ 的），如果 $b^{'} = b$ ，那么意味着 $\mathcal{A}$ 选择的是正确的 $m_b$ ，那么 $y=c_2 \oplus m_b$ ，可以在 ROM 的 Lookup Table 中查询对应的 $z$ ， $z$ 也就是正确的 $x$ 。