[論文レビュー] Commutative-like Encryption: A New Characterization of ElGamal

Wei Dai|arXiv (Cornell University)|Nov 16, 2010

Coding theory and cryptography参考文献 8被引用数 7

ひとこと要約

本稿では、結合的暗号の緩和版である「可換に似た暗号（commutative-like encryption）」を導入する。これは、厳密な結合的暗号よりも制限が少なく、同時に鍵のセキュリティと機能的性質を保持する。本稿は、ElGamal暗号方式が決定的Diffie-Hellman（DDH）仮定の下で、この新しい定式化を満たすことを示し、プライバシーと正しさの保証が強化された1対nの無作為選択送信（1-out-of-n oblivious transfer）などの応用を可能にする。

ABSTRACT

Commutative encryption is a useful but rather strict notion in cryptography. In this paper, we deny a loose variation of commutative encryption-commutative-like encryption and give an example: the generalization of ElGamal scheme. The application of the new variation is also discussed.

研究の動機と目的

• 実用的な結合的暗号方式の不足を補うために、より緩い制約を持つ代替案を提示すること。
• 標準的な暗号的仮定の下で、ElGamal暗号が新しい「可換に似た」性質を満たすことを示すこと。
• この一般化された概念を用いて、無作為選択送信のような安全で合成可能なプロトコルを実現すること。
• 理論的な結合的暗号と実用的な公開鍵暗号方式（例：ElGamal）との間のギャップを埋めること。

提案手法

• 結合的暗号の緩和版として「可換に似た暗号」を定義し、選択平文攻撃に対するセキュリティの下で、暗号化関数が同定不能性の意味で可換であることを保証する。
• 再暗号化と復号化操作が意味的セキュリティを保持することを示すことにより、ElGamal方式を可換に似た暗号の候補として形式化する。
• 決定的Diffie-Hellman（DDH）仮定を用いて、異なる鍵での暗号化値の分布が計算的にランダムな分布と区別不能であることを証明する。
• 可換に似た性質を用いて1対nの無作為選択送信プロトコルを構築する：受信者は暗号文を選び、それを再暗号化し、送信者はそれを復号・再暗号化して返送する。
• この方式の関数的可換性により、$ D_{x_B}(D_{x_A}(E_{x_B}(E_{x_A}(m_i)))) = m_i $ が成り立つことを利用する。
• DDH仮定に依存することで、送信者がどのメッセージが選択されたかを学習できないように、プライバシーを保証する。

実験結果

リサーチクエスチョン

• RQ1 ElGamalのような一般的な公開鍵方式が満たすような、結合的暗号の緩和版を定義できるか？
• RQ2 ElGamal暗号方式は、安全な再暗号化と合成可能なプロトコルを支えるのに十分な構造的性質を有しているか？
• RQ3 可換に似た暗号を用いて、強力なプライバシー保証を持つ安全な無作為選択送信プロトコルを構築できるか？
• RQ4 どの仮定（例：DDH）の下で、可換に似た設定において暗号化値の同定不能性が保たれるか？

主な発見

• ElGamal暗号方式は、決定的Diffie-Hellman（DDH）仮定の下で、提案された可換に似た暗号の定義を満たす。
• 分布 $ \big\langle g^{k_A}, g^{k_A x}, g^{k_B}, g^{k_B x} \big\rangle $ は、ランダムな $ z $ に対して $ \big\langle g^{k_A}, g^{k_A x}, g^{k_B}, z \big\rangle $ と計算的に区別不能であり、これは意味的セキュリティを保証する。
• 本方式に基づく1対nの無作為選択送信プロトコルは正しく動作する：受信者は正確に選択されたメッセージ $ m_i $ を取得し、送信者は選択内容を一切学習しない。
• プロトコルは受信者のプライバシーを保つ：送信者は再暗号化された暗号文からどのメッセージが選択されたかを特定できない。
• 本方式では、個々の成分の再暗号化を必要とせず、安全な再暗号化を維持しつつ、効率的かつ正しく動作する。
• 本構成により、ElGamalは厳密には可換ではないが、完全な可換性を要する通常のプロトコルの多くをサポートできることを示している。