[論文レビュー] Merkle Puzzles are Optimal

Boaz Barak, Mohammad Mahmoody|arXiv (Cornell University)|Jan 1, 2008

Cryptography and Data Security参考文献 8被引用数 4

ひとこと要約

この論文は、ランダムオракルモデルにおいて、正しく動作する参加者が高々 n 回のクエリを行う鍵共有プロトコルは、O(n²) 回のクエリを行う攻撃者によって破られることが証明されており、タイトなバウンドを確立している。この結果は定数倍の要因を除いて最適であり、Merkleの n クエリプロトコルは Ω(n²) 回のクエリを要しない限り破られないため、同じバウンドはランダム置換オラクルモデルでも成り立つ。

ABSTRACT

We prove that every key exchange protocol in the random oracle model in which the honest users make at most n queries to the oracle can be broken by an adversary making O(n 2) queries to the oracle. This improves on the previous ˜ Ω(n 6) query attack given by Impagliazzo and Rudich (STOC ’ 89). Our bound is optimal up to a constant factor since Merkle (CACM ’78) gave an n query key exchange protocol in this model that cannot be broken by an adversary making o(n 2) queries. Our result extends to an O(n 2) query attack in the random permutation model, improving on the pervious ˜ Ω(n 12) attack of Impagliazzo and Rudich. This bound again is optimal up to a constant factor since Merkle’s protocol can be adapted to this model as well. 1

研究の動機と目的

• ランダムオラクルモデルにおける鍵共有プロトコルの攻撃複雑度と安全性の間のギャップを埋める。
• ランダムオラクルモデルにおける鍵共有プロトコルを破る際のクエリ複雑度のタイトな上界を確立する。
• 分析をランダム置換オラクルモデルに拡張し、O(n²) バウンドが依然として最適であることを示す。
• Merkleの n クエリ鍵共有プロトコルの最適性を示す。具体的には、o(n²) クエリでは破られないことの証明を行う。

提案手法

• 正しく動作する参加者のクエリ数と攻撃者のクエリ数に注目し、ランダムオラクルモデルにおける鍵共有プロトコルのクエリ複雑度を分析する。
• 組合せ的議論を用いて、正しく動作する参加者のクエリに対して、攻撃者が区別可能なクエリの数を制限する。
• 情報理論的技術を適用し、n 個の正しく動作するクエリを持つ任意のプロトコルが、O(n²) クエリ攻撃者に対して脆弱であることを示す。
• 置換オラクルに適応したクエリ複雑度の議論を用いて、ランダム置換オラクルモデルへの分析を拡張する。
• Merkleの元々のプロトコルを、O(n²) 攻撃複雑度の下界として用い、その最適性を証明する。
• 還元的アプローチを用いて、クエリ制限付き攻撃者に対して O(n²) よりも良い安全性を達成できるプロトコルは存在しないことを示す。

実験結果

リサーチクエスチョン

• RQ1 ランダムオラクルモデルにおいて、正しく動作する参加者が n 回のクエリを行う鍵共有プロトコルを破るために、攻撃者が必要なクエリ数のタイトな上界は何か？
• RQ2 O(n²) 攻撃バウンドはランダム置換オラクルモデルへ拡張可能であり、依然として最適か？
• RQ3 Merkleの n クエリプロトコルは、ランダムオラクルおよびランダム置換オラクルモデルの両方において、攻撃者のクエリ複雑度の観点で最適か？
• RQ4 正しく動作する参加者のクエリ数 n に対して、鍵共有プロトコルを破るクエリ複雑度はどのようにスケーリングするか？
• RQ5 ランダムオラクルモデルにおいて、既知のプロトコルの安全性と最良の攻撃の間のギャップを埋められるか？

主な発見

• この論文は、ランダムオラクルモデルにおいて、正しく動作する参加者が n 回のクエリを行う鍵共有プロトコルは、O(n²) 回のクエリを行う攻撃者によって破られることを確立している。
• この O(n²) バウンドは定数倍の要因を除いて最適であり、Merkleのプロトコルは o(n²) クエリでは破られないためである。
• 同じ O(n²) 攻撃バウンドはランダム置換オラクルモデルでも成り立ち、以前の ˜Ω(n¹²) バウンドを改善している。
• Merkleのプロトコルの最適性は、ランダムオラクルおよびランダム置換オラクルモデルの両方で確認されている。
• 分析により、既知のプロトコルの安全性と最良の攻撃の間のギャップが埋まり、Merkleの構成が漸近的に最適であることが示された。
• 結果として、これらのモデルにおいて、クエリ制限付き攻撃者に対して O(n²) よりも良い安全性を達成できる鍵共有プロトコルは存在しないことが示された。