[論文レビュー] Breaking One-Round Key-Agreement Protocols in the Random

Oracle Model, Miroslava Sotáková|arXiv (Cornell University)|Jan 1, 2008

Cryptography and Data Security参考文献 2被引用数 2

ひとこと要約

この論文は、ランダムオракルモデルにおいて、盗聴者（Eve）がO(n²)回のオラクルクエリを用いて、1ラウンドの鍵共有プロトコル——特にMerkleのPuzzles——を破ることができることを証明している。これは、このようなプロトコルを破るために必要なクエリ数のタイトな上界を確立する。この結果は、長年にわたり予想されてきた1ラウンド設定における2次的セキュリティ境界を裏付けるものであり、BarakとMahmoody-Ghidaryによる最近の複数ラウンド結果を独立に裏付けている。

ABSTRACT

In this work we deal with one-round key-agreement protocols, called Merkle’s Puzzles, in the random oracle model, where the players Alice and Bob are allowed to query a random permutation oracle n times. We prove that Eve can always break the protocol by querying the oracle O(n 2 ) times. The long-time unproven optimality of the quadratic bound in the fully general, multi-round scenario has been proven recently by Barak and MahmoodyGhidary. The results in this paper have been found independently of their work. In this work we prove the tight upper-bound on the number of queries needed to break a keyagreement protocol in the random oracle model. The key-agreement protocol called Merkle’s puzzles, developed by Merkle in 1974 a published in 1978 [3] is one of the earliest example of public-key encryption. Following the protocol, two parties can agree on a secret-key by exchanging messages, assuming that they share no secrets beforehand. Informally, Alice creates a message for Bob in the following way - she constructs a large number of puzzles of moderate difficulty, each of them being possible to solve with Bob’s computational resources. All of them are in the form of an encrypted message with an unknown key that is short enough to allow the brute force attack. After receiving the message from Alice, Bob chooses one puzzle uniformly at random and solves it. The solution contains an identifier and a key. Bob encrypts the identifier with the key, and announces it back to Alice. The solution of the puzzle solved by Bob becomes Alice’s and Bob’s secret-key. Since the puzzle’s identifier is sent to Alice as a message encrypted with a key that is unknown to Eve, the eavesdropper’s best strategy to attack the key-agreement protocol is to solve as many puzzles as possible. To achieve constant probability of success, she has to solve a constant fraction of them, which might require much more computational power than Alice and Bob have. In a similar way we construct a key-agreement protocol in the random oracle scenario, where the computational difficulty of key-agreement is expressed by the number of oracle queries that

研究の動機と目的

• ランダムオラクルモデルにおいて、1ラウンド鍵共有プロトコルを破るために敵が必要なオラクルクエリ数の、可能な限りタイトな上界を確立すること。
• 完全に一般化された複数ラウンド設定において、2次的クエリバウンドが最適であるかどうかという長年の未解決問題を、1ラウンドケースに焦点を当てて解決すること。
• BarakとMahmoody-Ghidaryの最近の複数ラウンド結果とは独立して、MerkleのPuzzlesを破るために必要なO(n²)クエリ複雑性の最適性を、自己完結的な証明で示すこと。
• ランダムオラクルモデルにおいてMerkleのPuzzlesのセキュリティを形式化し、解析することで、プロトコルが依然として安全であるとされる計算的仮定を明確にすること。

提案手法

• AliceがBobにn個のパズルを送る1ラウンドの相互作用として鍵共有プロトコルをモデル化し、各パズルを解くには1回のオラクルクエリが必要であるとする。
• オラクルがランダム置換であると仮定し、敵が共有鍵を回復するために必要なクエリ数によってプロトコルのセキュリティを定義する。
• Eveの最良戦略を分析する：一定の割合のパズルを解くことで定数の成功確率を達成する戦略であり、これは期待値としてO(n²)回のクエリを要する。
• 確率的解析を用いて、O(n²)回未満のクエリでプロトコルを破る戦略は存在しないことを示し、上界のタイトさを確立する。
• パズルシステムの構造を活用して、適応的クエリ戦略でさえも、クエリ数がO(n²)で抑えられることを示す。
• 特にBarakとMahmoody-Ghidaryの複数ラウンド証明と比較することで、1ラウンド設定における独立性と関連性を強調する。

実験結果

リサーチクエスチョン

• RQ1 MerkleのPuzzlesを破るために必要なO(n²)クエリバウンドが、1ラウンドのランダムオラクルモデルにおいてタイトな上界として証明できるか？
• RQ2 盗聴者がランダムオラクルモデルにおいて、O(n²)回未満のクエリでプロトコルを破る戦略を持つことができるか？
• RQ3 クエリ複雑性の観点から、1ラウンド鍵共有モデルと複数ラウンドモデルの間にはどのような違いがあるか？
• RQ4 敵がプロトコルを破るために定数の成功確率を達成するために必要なオラクルクエリの最小数は何か？
• RQ5 ランダムオラクルモデルは、1ラウンド鍵共有プロトコルのセキュリティをタイトに特徴づけることができるか？

主な発見

• この論文は、盗聴者がランダムオラクルモデルにおいてO(n²)回のオラクルクエリを用いてMerkleのPuzzlesを破ることができることを確立しており、これが最適であることを示している。
• O(n²)クエリバウンドはタイトであり、これよりはるかに少ないクエリ数でプロトコルを破る戦略は存在しない。
• この結果は、1ラウンド設定における2次的セキュリティ境界を裏付けるものであり、BarakとMahmoody-Ghidaryによる最近の複数ラウンド結果を独立に裏付けている。
• 分析により、適応的クエリ戦略であっても、必要なクエリ数が漸近的にO(n²)のまま保たれることを示している。
• 証明により、定数の成功確率を達成するためには、パズルの一定割合を解く必要があり、これにはO(n²)回のクエリが必要であることが示されている。
• 本研究は、1ラウンドモデルにおけるセキュリティバウンドの自己完結的かつ形式的な証明を提供し、鍵共有プロトコルの基礎的理解に貢献している。