[論文レビュー] A Cryptographic Treatment of the Wiretap Channel

Mihir Bellare, Stefano Tessaro+1 more|arXiv (Cornell University)|Jan 10, 2012

Wireless Communication Security Techniques参考文献 30被引用数 58

ひとこと要約

この論文は情報理論と現代暗号の橋渡しを果たし、より強力で同等の指標として相互情報量セキュリティ（MIS）と意味的セキュリティ（SS）を用いてワイヤートラップチャネルのセキュリティを再定義する。両者は証明された同等性を持つ。抽出器を用いた明示的で効率的な暗号化方式を導入し、ノイズのある攻撃者チャネルでも強力な情報理論的プライバシーを達成する。従来の非構成的で弱いセキュリティの手法の限界を解消する。

ABSTRACT

The wiretap channel is a setting where one aims to provide information-theoretic privacy of communicated data based solely on the assumption that the channel from sender to adversary is "noisier" than the channel from sender to receiver. It has been the subject of decades of work in the information and coding (I&C) community. This paper bridges the gap between this body of work and modern cryptography with contributions along two fronts, namely metrics (definitions) of security, and schemes. We explain that the metric currently in use is weak and insufficient to guarantee security of applications and propose two replacements. One, that we call mis-security, is a mutual-information based metric in the I&C style. The other, semantic security, adapts to this setting a cryptographic metric that, in the cryptography community, has been vetted by decades of evaluation and endorsed as the target for standards and implementations. We show that they are equivalent (any scheme secure under one is secure under the other), thereby connecting two fundamentally different ways of defining security and providing a strong, unified and well-founded target for designs. Moving on to schemes, results from the wiretap community are mostly non-constructive, proving the existence of schemes without necessarily yielding ones that are explicit, let alone efficient, and only meeting their weak notion of security. We apply cryptographic methods based on extractors to produce explicit, polynomial-time and even practical encryption schemes that meet our new and stronger security target.

研究の動機と目的

• 符号理論における情報理論的セキュリティと現代暗号基準の間のギャップを埋めるために、セキュリティ定義を統合する。
• 既存の相互情報量セキュリティ（mis-r）が実世界の応用において不十分であることを特定し、より強固な代替案を提案する。
• 新しい強力なセキュリティ基準を満たす明示的で効率的かつ実用的な暗号化方式を開発し、非構成的で存在証明にとどまる手法から脱却する。
• 相互情報量セキュリティと意味的セキュリティという、根本的に異なる2つのセキュリティ定義の間の同等性を確立することで、2つの研究分野を統合する。
• 画期的な設計手法を導入する：暗号化原子（抽出器）からセキュリティを設計し、その後にエラー訂正を追加する。逆に、エラー訂正を優先するのではなく、この順序を逆転させる。

提案手法

• 相互情報量セキュリティ（MIS）—mis-rの強化版—と、現代暗号から適応した意味的セキュリティ（SS）という2つの新しいセキュリティ指標を提案する。
• ワイヤートラップ設定において、区別可能セキュリティ（DS）と意味的セキュリティ（SS）が同等であることを証明し、強固な理論的基盤を確立する。
• 抽出器を暗号化ツールとして用い、新しいセキュリティ基準を満たす明示的で多項式時間の暗号化方式を構築する。
• 抽出器に基づく実用的な暗号化方式であるXtX構成を導入し、新しい指標に基づくセキュリティを保証する。
• 定理5.9という一般化された還元技術を考案し、スプライトアドバーサリー・チャネル上でのシステム的ECCのrs-r利得を、恒等関数のセキュリティとコードの冗長性に基づいて上限付ける。
• チャネル劣化と推測確率の補題（補題5.10および5.11）を適用し、セキュリティ還元を証明する。これにより、セキュリティは冗長性とチャネル固有のノイズにのみ依存することが示される。

実験結果

リサーチクエスチョン

• RQ1 特にmis-rを含む、既存のワイヤートラップチャネルのセキュリティ指標は、アプリケーションレベルのセキュリティを保証する上でどこが不十分なのか？
• RQ2 ワイヤートラップチャネルの文脈において、相互情報量セキュリティ（MIS）と意味的セキュリティ（SS）の関係は何か？また、これらは同等であるか？
• RQ3 より強いセキュリティ定義を満たす、明示的で効率的かつ実用的な暗号化方式を、ワイヤートラップモデルで構築できるか？
• RQ4 エラー訂正を優先するのではなく、暗号化原子を優先するセキュリティフレームワークに、エラー訂正コードをどのように統合できるか？
• RQ5 スプライトアドバーサリー・チャネル上でのシステム的ECCのセキュリティを、同じチャネル上での恒等関数のセキュリティに還元できるか？どのような条件下で可能か？

主な発見

• MISと意味的セキュリティ（SS）はワイヤートラップチャネル設定において同等であり、情報理論と現代暗号の両分野を統合する強力な統一的セキュリティ基準を提供する。
• 提案されたXtX構成は、実用的で明示的な暗号化方式であり、区別可能セキュリティ（DS）を達成し、したがって意味的セキュリティを満たす。抽出器を用いることで、強力なプライバシー保証を実現する。
• 定理5.9は、システム的ECCおよびスプライトアドバーサリー・チャネルに対して、コードのrs-r利得が2^r倍の恒等関数のrs-r利得に上限づけられることを示している。ここでrはコードの冗長性である。
• 数値推定により、バイナリ対称チャネル（BSC）において、r冗長ビットを持つシステム的コードのrs-r利得は、最大で2^r × (1 - p)^uであることが示され、実用的設計に有用な上限を提供する。
• セキュリティは、同じチャネル上での恒等関数のセキュリティに還元可能であり、ECCの複雑さとチャネルのノイズの影響を分離できる。これにより、モジュラーかつスケーラブルな設計が可能になる。
• 抽出器を用い、セキュリティを最優先にした設計から段階的に方式を構築することで、効率的で実装可能な方式を生み出した。これは、従来の非構成的アプローチとは対照的である。