[論文レビュー] How to Subvert Backdoored Encryption: Security Against Adversaries that Decrypt All Ciphertexts

Thibaut Horel, Sunoo Park+2 more|arXiv (Cornell University)|Feb 21, 2018

Cryptography and Data Security参考文献 20被引用数 10

ひとこと要約

この論文は、政府がバックドア付き鍵を備えた暗号化方式を義務づける世界においても、市民が、義務づけられた方式の意味的セキュリティを活用することで、検出不能かつ微細な通信を実現できることを示している。暗号化された通信のペイロードに二重ソース抽出器を適用することで、攻撃者が全鍵を保有していても、正常な暗号通信と区別できないように、秘密のメッセージを埋め込むプロトコルを構築している。

ABSTRACT

We study secure and undetectable communication in a world where governments can read all encrypted communications of citizens. We consider a world where the only permitted communication method is via a government-mandated encryption scheme, using government-mandated keys. Citizens caught trying to communicate otherwise (e.g., by encrypting strings which do not appear to be natural language plaintexts) will be arrested. The one guarantee we suppose is that the government-mandated encryption scheme is semantically secure against outsiders: a perhaps advantageous feature to secure communication against foreign entities. But what good is semantic security against an adversary that has the power to decrypt? Even in this pessimistic scenario, we show citizens can communicate securely and undetectably. Informally, there is a protocol between Alice and Bob where they exchange ciphertexts that look innocuous even to someone who knows the secret keys and thus sees the corresponding plaintexts. And yet, in the end, Alice will have transmitted her secret message to Bob. Our security definition requires indistinguishability between unmodified use of the mandated encryption scheme, and conversations using the mandated encryption scheme in a modified way for subliminal communication. Our topics may be thought to fall broadly within the realm of steganography: the science of hiding secret communication in innocent-looking messages, or cover objects. However, we deal with the non-standard setting of adversarial cover object distributions (i.e., a stronger-than-usual adversary). We leverage that our cover objects are ciphertexts of a secure encryption scheme to bypass impossibility results which we show for broader classes of steganographic schemes. We give several constructions of subliminal communication schemes based on any key exchange protocol with random messages (e.g., Diffie-Hellman).

研究の動機と目的

• 政府がバックドア付き鍵を備えた暗号化方式を義務づける世界において、安全で検出不能な通信が可能かどうかを調査すること。
• 攻撃者が暗号化方式を制御し、すべての暗号文を復号可能な状況における微細通信の課題に対処すること。
• 二名の参加者が、正常に見える暗号化通信を介して秘密のメッセージをやり取りできるプロトコルを構築すること。攻撃者が全鍵を保有していても検出不能である。
• 攻撃者が義務づけられた暗号化方式を用いて、通常の通信と微細通信を区別できないようなセキュリティモデルを形式化すること。
• 強力な攻撃者に対処するため、ステガノグラフィーにおける不可能性結果を、下位の暗号化方式の意味的セキュリティをリソースとして活用することで克服すること。

提案手法

• 政府が義務づけた暗号化方式の意味的セキュリティを、攻撃者が全鍵を保有していても微細通信の基盤として活用すること。
• 二重ソース抽出器（例：Raz [2005] より）を用いて、暗号文とメッセージのペアからほぼ一様な乱数を抽出し、攻撃者に対して一様性と区別不能性を保証すること。
• アリスとボブの二名参加者間のプロトコルを設計し、暗号文が義務づけられた方式において意味的に妥当に見えるが、抽出器の出力を介して秘密のメッセージを符号化すること。
• 交換される暗号文の分布が、攻撃者が秘密鍵を把握していても、通常の通信と統計的に区別不能であることを保証すること。
• 公開パラメータと鍵交換（例：Diffie-Hellman）を用いたセットアップ段階を構築し、共有された乱数を確保することで、安全な微細通信を可能にすること。
• 確率的および決定的抽出技術を組み合わせたハイブリッドアプローチを適用し、通信ラウンド数を最小限に抑え、効率を向上させること。

実験結果

リサーチクエスチョン

• RQ1 攻撃者が暗号化方式を制御し、すべての復号鍵を保有している状況でも、微細通信を実現できるか？
• RQ2 攻撃者が暗号文の分布を自由に選択できる（すなわち、攻撃的カバーテキスト選択あり）状況でも、検出不能な通信が可能か？
• RQ3 意味的セキュリティを備えた暗号化方式を、強力な攻撃者に対処するためのステガノグラフィー通信のプリミティブとして再利用できるか？
• RQ4 安全な微細通信プロトコルを構築するために必要な最小限の仮定（例：擬似乱数メッセージを伴う鍵交換）は何か？
• RQ5 決定的抽出器を用いることで、セットアップ段階における乱数を排除し、通信ラウンド数を削減し、効率を向上させられるか？

主な発見

• 攻撃者が全秘密鍵を保有していても、通常の暗号化通信と区別不能な二名参加者用微細通信プロトコルが構築された。
• プロトコルは、出力長が $ \tilde{O}("log") $ の二重ソース抽出器の存在に依存しており、通信ラウンドごとに $ \tilde{O}(\text{log}) $ ビットの秘密メッセージを送信可能である。
• 任意の $ \rho > 0 $ に対して、次メッセージの分布の最小エントロピーが $ \frac{1}{2} + \rho $ 以上であれば、プロトコルは劣化解析的誤差 $ \tilde{\text{O}}(\text{log}) $ で統計的区別不能性を達成する。
• 擬似乱数メッセージを伴う鍵交換プロトコル（例：Diffie-Hellman）が存在するという仮定の下で、構成は安全である。これは広く信頼されている。
• 暗号化方式が回路サイズが有界または定数深さ（AC⁰）のクラスに制限される場合、決定的抽出器を用いることができ、セットアップ段階における乱数の必要性を排除できる可能性がある。
• 定理4.1の不可能性結果は、暗号化方式が固定されたクラスから選ばれるという仮定により回避され、決定的抽出器の使用が可能になり、効率が向上する。