[論文レビュー] Fair coin flipping: tighter analysis and the many-party case

Niv Buchbinder, Iftach Haitner+2 more|arXiv (Cornell University)|Jan 16, 2017

Cryptography and Data Security被引用数 10

ひとこと要約

本稿では、定数 t に対して偏り O(1/m^{1/2 + Θ(1)}) を達成する新しい t パarty、m ラウンドのコインフラッピングプロトコルを提示する。これは、[9] の O(1/m^{1/2}) の偏りおよび [32] の三者に対する O(log³m/m) の偏りを改善するものである。本稿では、攻撃戦略を分析するための新しい線形計画法の双対性フレームワークを導入し、不正多数の下でのマルチパーティーフェアコインフラッピングにおける偏りの tighter な境界を可能にする。

ABSTRACT

In a multi-party fair coin-flipping protocol, the parties output a common (close to) unbiased bit, even when some corrupted parties try to bias the output. In this work we focus on the case of dishonest majority, ie at least half of the parties can be corrupted. [19] [STOC 1986] has shown that in any m-round coin-flipping protocol the corrupted parties can bias the honest parties' common output bit by Θ(1/m). For more than two decades the best known coin-flipping against majority was the protocol of [9] [Manuscript 1985], who presented a t-party, m-round protocol with bias [EQUATION]. This was changed by the breakthrough result of [42] [TCC 2009], who constructed an m-round, two-party coin-flipping protocol with optimal bias Θ(1/m). Recently, [32] [STOC 14] constructed an m-round, three-party coin-flipping protocol with bias O(log3m/m). Still for the case of more than three parties, against arbitrary number of corruptions, the best known protocol remained the [EQUATION]-bias protocol of [9].We make a step towards eliminating the above gap, presenting a t-party, m-round coin-flipping protocol, with bias [EQUATION]. This improves upon the [EQUATION]-bias protocol of [9] for any t ≤ 1/2 · log log m, and in particular for t ∈ O(1), this yields an 1/m1/2+Θ(1)-bias protocol. For the three-party case, this yields an [EQUATION]-bias protocol, improving over the the O(log3m/m)-bias protocol of [32]. Our protocol generalizes that of [32], by presenting an appropriate protocols for the remaining parties to interact in, in the case that some parties abort or caught cheating ([32] only presented a two-party defense protocol, which limits their final protocol to handle three parties).We analyze our new by presenting a new paradigm for analyzing fairness of coin-flipping protocols. We map the set of adversarial strategies that try to bias the honest parties outcome in the protocol to the set of the feasible solutions of a linear program. The gain each strategy achieves is the value of the corresponding solution. We then bound the the optimal value of the linear program by constructing a feasible solution to its dual.

研究の動機と目的

• 不正多数の下でのマルチパーティーフェアコインフラッピングにおける偏りの境界のギャップを埋めること、特に t > 3 パーティーの場合に焦点を当てる。
• t ≤ 1/2 · log log m の場合に、長年にわたり知られていた O(1/m^{1/2}) の偏りプロトコル [9] を改善すること。
• [32] の三者プロトコルを、より多くのパーティを扱えるように一般化し、不正または中止を行うパーティに対する防御メカニズムを拡張すること。
• 線形計画法の双対性を用いた、コインフラッピングプロトコルにおける公平性のための新しい分析的パラダイムを構築すること。

提案手法

• 攻撃戦略が出力に偏りをもたらすのを、目的関数値が戦略の利得に対応する線形計画法の実行可能解にマッピングする。
• 双対線形計画法を構築し、プライマルの最適値を双対の実行可能解を提示することで境界づける。
• [32] の二者防御プロトコルを一般化し、t パーティーの相互作用をサポートする。これにより、より大きなグループにおける中止や不正に対するレジリエンスが可能になる。
• プライマルと双対の解の双対ギャップを用いて、最大達成可能偏りのタイトな上界を導出する。
• 任意の数の改ざん済みパーティを想定したプロトコルを分析するため、m ラウンド設定に適用する。
• 攻撃行動の構造を活用し、戦略空間を凸集合としてモデル化することで、最適化に基づく分析を可能にする。

実験結果

リサーチクエスチョン

• RQ1 不正多数の下で t > 3 パーティーの場合に、マルチパーティーフェアコインフラッピングの偏りを O(1/m^{1/2}) よりも低く抑えることは可能か？
• RQ2 二者防御メカニズム [32] を、三名を超える参加者を含む t パーティーのプロトコルにどのように拡張できるか？
• RQ3 線形計画法の双対性を用いて、コインフラッピングプロトコルにおける最大偏りを境界づける統一的分析フレームワークを構築できるか？
• RQ4 t が m と共に増加する m ラウンド、t パーティーのコインフラッピングで達成可能な最もタイトな偏りは何か？
• RQ5 双対線形計画法アプローチは、攻撃戦略評価のための従来の技術よりもタイトな境界をもたらすか？

主な発見

• 提案されたプロトコルは、任意の定数 t に対して偏り O(1/m^{1/2 + Θ(1)}) を達成し、t ≤ 1/2 · log log m の場合に [9] の O(1/m^{1/2}) の偏りを改善する。
• 三者の場合、プロトコルは偏り O(1/m^{1/2 + Θ(1)}) を達成し、[32] の O(log³m/m) の偏りを上回る。
• 新規の線形計画法の双対性フレームワークは、従来の手法よりも攻撃者による偏りの tighter な上界を提供する。
• 双対解の構築は、プライマル戦略空間の最適値を効果的に境界づけ、正確な偏り分析を可能にする。
• 一般化された防御メカニズムにより、三名を超える t パーティーの設定において、不正または中止を行うパーティを処理できる。
• このフレームワークは任意の t および m に対して拡張可能であり、マルチパーティーフェアコインフラッピングにおける公平性分析のスケーラブルな手法を提供する。