[論文レビュー] A New Family of Practical Non-Malleable Diffie-Hellman Protocols

Andrew Chi-Chih Yao, Yunlei Zhao|arXiv (Cornell University)|May 5, 2011

Cryptography and Data Security参考文献 26被引用数 3

ひとこと要約

本稿では、HMQVを凌駂数の安全性、効率性、導入のしやすさにおいて上回る、実用的で非改ざん性を有するDiffie-Hellman鍵交換プロトコルの新族であるOAKEおよびsOAKEを紹介する。ランダムオракルモデルにおいて非改ざん性のある共同知識証明（NMJPOK）を活用することで、キーコンプリセントス・スプーフィング（KCI）や弱い前向き機密性（wPFS）に対する耐性を含む、より強いセキュリティ保証を達成している。一方で、CKフレームワークの範囲を超えたHMQVにおける新たな脆弱性も特定している。

ABSTRACT

Cryptography algorithm standards play a key role both to the practice of information security and to cryptography theory research. Among them, the MQV and HMQV protocols ((H)MQV, in short) are a family of (implicitly authenticated) Diffie-Hellman key-exchange (DHKE) protocols that are widely standardized and deployed. In this work, from some new perspectives and approaches and under some new design rationales and insights, we develop a new family of practical implicitly authenticated DHKE protocols, which enjoy notable performance among security, privacy, efficiency and easy deployment. We make detailed comparisons between our new DHKE protocols and (H)MQV, showing that the newly developed protocols outperform HMQV in most aspects. Along the way, guided by our new design rationales, we also identify a new vulnerability (H)MQV, which brings some new perspectives (e.g., computational fairness) to the literature.

研究の動機と目的

• HMQVを安全性、効率性、展開のしやすさにおいて上回る、実用的で暗黙的認証を備えたDiffie-Hellman鍵交換プロトコルの新族を設計すること。
• 安全な同時鍵交換プロトコルを構築するための、非改ざん性のある共同知識証明（NMJPOK）を含む、新たな設計根拠とツールを開発すること。
• Canetti-Krawczyk（CK）セキュリティフレームワークの範囲外にある、HMQVに以前未知の脆弱性が存在することを特定・分析すること。
• 新しいプロトコル（s）OAKEが、標準仮定の下でKCI攻撃や弱い前向き機密性（wPFS）に対する耐性といった、より強いセキュリティ特性を達成できることを示すこと。
• 新しい設計原理やツール（例：非改ざん性抽出可能単方向関数（NME-OWF））が、鍵交換を越えてゼロ知識証明やIDベース暗号に応用可能であることを確立すること。

提案手法

• プロトコル族は、非改ざん性のある共同知識証明（NMJPOK）と呼ばれる新たな原 primitive に基づいている。これは、同時環境下で秘密鍵およびDH指数の両方の知識証明を非改ざん性を保って行える。
• OAKEおよびsOAKEプロトコルは、NMJPOKを用いて、公開鍵と一時的指数を結合することで、改ざんおよびスプーフィング攻撃を防止する。
• セキュリティはランダムオラクルモデルにおいて、計算的Diffie-Hellman（CDH）および一般化されたCDH（GDH）仮定への還元を用いて証明されている。
• 効率性の向上と実用的導入の支援を目的として、オフライン事前計算を設計に組み込んでいる。
• セッション鍵計算の公平性を確保し、相手の静的秘密鍵を完全に把握していても、セッションが「クリーン」であればセッション鍵がランダムと区別不能であることを保証している。
• 形式的セキュリティモデルを適用し、クリーンセッション、キーコンプリセントス・スプーフィング（KCI）、弱い前向き機密性（wPFS）の定義を含め、プロトコルの性質を厳密に分析している。

実験結果

リサーチクエスチョン

• RQ1 HMQVを安全性、効率性、展開のしやすさにおいて上回る、DHKEプロトコルの新族を設計可能か？
• RQ2 同時で攻撃的環境下で非改ざん性のある知識証明を達成するためには、どのような新たな設計原理と暗号的ツールが必要か？
• RQ3 HMQVプロトコルは、Canetti-Krawczyk（CK）セキュリティフレームワークの範囲外にある脆弱性を有するか？
• RQ4 新しいプロトコルが、標準仮定の下でキーコンプリセントス・スプーフィング（KCI）および弱い前向き機密性（wPFS）に対する耐性を達成可能か？
• RQ5 非改ざん性抽出可能単方向関数（NME-OWF）のような、新しい設計根拠とツールからどのような広範な暗号的応用が生じ得るか？

主な発見

• OAKEおよびsOAKEプロトコルは、ランダムオラクルモデルにおいてGDH仮定の下でキーコンプリセントス・スプーフィング（KCI）攻撃に対して耐性を示し、そのセキュリティは下位のOAKE-HDR/sOAKE-HDR構成に依存する。
• プロトコルは標準的なCDH仮定の下で弱い前向き機密性（wPFS）を達成しており、より強い仮定や複雑な偽造生成構成を必要としない。
• HMQVに、セッション鍵計算の公平性および非改ざん性証明合成の状況を含む、CKフレームワークの範囲外にある新たな脆弱性が特定された。
• 新しい設計根拠とツール（例：NMJPOK）は、鍵交換にとどまらず、非改ざん性抽出可能単方向関数（NME-OWF）のような新たな構成を可能にするなど、独立した価値を持つことが示された。
• sOAKEプロトコルは、セキュリティ、機微性、効率性、導入のしやすさの最適なバランスを達成しており、実世界のシステムにおけるHMQVの代替として強く候補となる。
• 本稿では、HMQVが新しく特定された脆弱性に対して、CKフレームワークにおけるその正当なセキュリティと(s)OAKEの他の利点を犠牲にせずに安全に修正できないことを示している。