[論文レビュー] A Restrained Paillier Cryptosystem and Its Applications for Access Control of Common Secret

Xiaojuan Dong, Weiming Zhang+3 more|arXiv (Cornell University)|Dec 19, 2019

Cryptography and Data Security参考文献 15被引用数 4

ひとこと要約

本稿では、加法的および乗法的準同型性を用いて混合暗号文を生成することで、改変されたPaillier方式における強力な秘密鍵の復号能力を制限する、制限付きPaillier暗号方式を提案する。強力な鍵は混合暗号文を復号して乗法的暗号文を明らかにすることができるが、平文を復元することはできず、これにより、証明可能かつ低計算コストの安全な共有秘密のアクセス制御および鍵管理プロトコルが可能になる。

ABSTRACT

The modified Paillier cryptosystem has become extremely popular and applied in many fields, owning to its additive homomorphism. This cryptosystem provides weak private keys and a strong private key. A weak private key only can decrypt ciphertexts under the corresponding public key. The strong private key can decrypt all ciphertexts even under different public keys. When the modified Paillier cryptosystem is applied in a system, the member, often the system administrator, has the strong private key and can decrypt all ciphertexts. If this system administrator is attacked or compromised, the security of the application system absolutely break down. Thus, it is important to stop the decryption of the strong private key. To address this issue, we propose an restrained version of the modified Paillier cryptosystem (Restrained-Paillier), by endowing the multiplicative homomorphism. We perform the additive encryption on the multiplicative ciphertext and generate the mixed ciphertext, which can not be decrypted by the strong private key. Based on this Restrained-Paillier, we develop two applications. Firstly, we realize access control of common secret of two owners. In our scheme, only one owner cannot access secret. Secondly, we present three protocols for identity distribution and key management, identity authentication and private key recovery. Security analysis shows that the Restrained-Paillier cryptosystem can resist the chosen plaintext attack. The experimental results illustrate the utility and efficiency of the proposed protocols.

研究の動機と目的

• 改変されたPaillier暗号方式における強力な秘密鍵の暴露が引き起こす深刻なセキュリティリスクに対処すること。
• システム管理者（強力な鍵を保有）が、いかに危険にさらされても、平文を復号できないように、鍵の復号能力を乗法的暗号文に限定すること。
• 加法的および乗法的準同型性を両方サポートしつつ、平文の復号が弱い鍵にのみ可能であるような暗号方式を設計すること。
• 新規暗号方式に基づく、身分の分配、鍵管理、認証、および秘密鍵の回復に関する実用的プロトコルを開発すること。
• 計算および通信のオーバーヘッドの観点から、提案されたプロトコルの効率性とセキュリティを評価すること。

提案手法

• 制限付きPaillier暗号方式は、まずメッセージを乗法的に暗号化し、その結果に加法的暗号化を適用することで、混合暗号文を形成することで、加法的および乗法的準同型性を統合する。
• 強力な秘密鍵λは、混合暗号文を復号して乗法的暗号文を回復できるが、乗法的暗号文をさらに復号して平文を取得することはできない。
• 平文は、乗法的暗号文に関連する対応する弱い秘密鍵θによってのみ復元可能である。
• システムは、N²における平方剰余の群内で改変されたPaillierの設定を用い、a ∈ Zₙ* をランダムに選び、a mod N ≠ 1 を満たすように生成元gを慎重に選定する。
• 鍵生成プロセスではλがシェアに分割されるが、コアとなるメカニズムは、λの復号範囲が混合暗号文に限定されている構造的制限に依存する。
• 共通秘密のアクセス制御、身分の分配、鍵管理、認証、および秘密鍵の回復プロトコルは、混合暗号文の準同型性およびアクセス制限に基づいて構築される。

実験結果

リサーチクエスチョン

• RQ1 改変されたPaillier暗号方式における強力な秘密鍵の復号能力を、完全なデータ漏洩を防ぐために効果的に制限できるか？
• RQ2 加法的および乗法的準同型性を用いて、平文を復号できるのは弱い鍵に限るようなハイブリッド暗号文フォーマットを構築できるか？
• RQ3 制限付き復号モデルに基づく、安全で効率的な身分管理およびアクセス制御プロトコルを構築できるか？
• RQ4 標準的なPaillierベースの方式と比較して、提案されたプロトコルの計算および通信オーバーヘッドはどの程度か？
• RQ5 制限付き条件下でも、制限付きPaillier暗号方式は chosen-plaintext 擊ちに対して安全であるか？

主な発見

• 制限付きPaillier暗号方式は、強力な秘密鍵λが混合暗号文を復号して乗法的暗号文を回復できるとしても、平文を復号できないことを明確に示している。
• 共通秘密のアクセス制御プロトコルは、2人の所有者が同時に存在しない限り、いずれの個人でも秘密を復元できないことを保証している。
• 身分の分配および鍵管理プロトコル（IdDis & KeyMan）は、512ビットNの場合に計算コストが34.172ms、2048ビットNでは130.623msに増加する。
• 秘密鍵回復プロトコル（PrivKeyRec）は著しく効率的であり、512ビットNでは0.296ms、2048ビットNでは4.324msのコストである。
• 身分認証プロトコル（IdAuth）は、2048ビットNの場合に1534.70バイトの通信コストを有し、リクエスタ側での計算時間は190.095msである。
• ACCSプロトコルの通信オーバーヘッドは4つのプロトコルの中で最も高く、PrivKeyRecは最も低いことから、機能性と帯域幅のトレードオフが顕在化している。