[論文レビュー] Modulus Computational Entropy

Maciej Skórski|arXiv (Cornell University)|Feb 8, 2013

Physical Unclonable Functions (PUFs) and Hardware Security参考文献 8被引用数 6

ひとこと要約

この論文は、計算的エントロピーの強化された定義であるモジュラス計算的エントロピーを導入し、過去の漏洩に依存しない現在の漏洩にのみ依存する漏洩連鎖則を可能にする。従来の定義の主要な限界を解消し、エントロピー損失が過去の漏洩 $(Z_1,\ldots,Z_\ell)$ のサイズに依存しないで、新しい漏洩 $ Z_{\ell+1} $ のみに依存することを保証する。また、既存の計算的エントロピーと漏洩耐性の概念を統一する。

ABSTRACT

The so-called {\em leakage-chain rule} is a very important tool used in many security proofs. It gives an upper bound on the entropy loss of a random variable $X$ in case the adversary who having already learned some random variables $Z_{1},\ldots,Z_{\ell}$ correlated with $X$, obtains some further information $Z_{\ell+1}$ about $X$. Analogously to the information-theoretic case, one might expect that also for the \emph{computational} variants of entropy the loss depends only on the actual leakage, i.e. on $Z_{\ell+1}$. Surprisingly, Krenn et al.\ have shown recently that for the most commonly used definitions of computational entropy this holds only if the computational quality of the entropy deteriorates exponentially in $|(Z_{1},\ldots,Z_{\ell})|$. This means that the current standard definitions of computational entropy do not allow to fully capture leakage that occurred "in the past", which severely limits the applicability of this notion. As a remedy for this problem we propose a slightly stronger definition of the computational entropy, which we call the \emph{modulus computational entropy}, and use it as a technical tool that allows us to prove a desired chain rule that depends only on the actual leakage and not on its history. Moreover, we show that the modulus computational entropy unifies other,sometimes seemingly unrelated, notions already studied in the literature in the context of information leakage and chain rules. Our results indicate that the modulus entropy is, up to now, the weakest restriction that guarantees that the chain rule for the computational entropy works. As an example of application we demonstrate a few interesting cases where our restricted definition is fulfilled and the chain rule holds.

研究の動機と目的

• 標準的な計算的エントロピー定義が、過去の漏洩履歴に依存しない現在の漏洩にのみ依存する連鎖則をサポートできないという失敗を解決すること。
• 既存の定義が過去の漏洩のサイズに応じて計算的品質が指数関数的に劣化することによる実用的適用の制限を解消すること。
• 現在の漏洩にのみ依存する明確な連鎖則を回復するための、より強い定義「モジュラス計算的エントロピー」を提案すること。
• 情報漏洩と連鎖則に関する、見かけ上関係のない概念を、一つの整合的で整合性のある枠組みに統合すること。
• モジュラス計算的エントロピーが、計算的エントロピーにおける有効な連鎖則を保証するための、最小限の制限であることを示すこと。

提案手法

• 標準的な区別可能性に基づく計算的エントロピー定義の強化として、モジュラス計算的エントロピーを導入する。
• 効率的な区別者（distinguisher）がそれらを顕著に区別できない場合に、確率分布が近いとみなす区別者ベースのフレームワークを用いて、新たな概念を定義する。
• 連鎖則が過去の履歴 $(Z_1,\ldots,Z_\ell)$ に依存せず、新しい漏洩 $ Z_{\ell+1} $ のサイズにのみ依存する、モジュラス計算的エントロピーの連鎖則を証明する。
• 確率的サンプリングと集中不等式（例：チェルノフの不等式）を用いて、条件付き分布上の区別者の期待値を推定するサンプラー $ h(z) $ を構築する。
• 区別者クラスにNP回路が含まれる場合に備え、[OG09] の結果を活用して、回路サイズのNPオракルに基づく推定を行う。
• 条件付き分布間の $ L^2 $-距離を抑え込むための二乗区別可能性条件を確立し、これにより $ L^1 $-距離が抑えられ、結果として計算的エントロピーが制限されることを示す。

実験結果

リサーチクエスチョン

• RQ1 過去の漏洩 $(Z_1,\ldots,Z_\ell)$ に依存せず、現在の漏洩 $ Z_{\ell+1} $ のみに依存する計算的エントロピーの連鎖則を確立できるか？
• RQ2 標準的な計算的エントロピー定義が、なぜこのような連鎖則をサポートできないのか、漏洩履歴に伴う指数的劣化を引き起こす構造的欠陥は何か？
• RQ3 明確な連鎖則を回復するための、標準定義の最小限の強化は存在するか？
• RQ4 提案されたモジュラス計算的エントロピーは、他の既知の計算的エントロピーおよび漏洩耐性の概念とどのように関係しているか？
• RQ5 この新しい定義は、漏洩が逐次的に発生する実用的な暗号構成に適用可能か？

主な発見

• モジュラス計算的エントロピーの定義により、エントロピー損失が過去の漏洩 $(Z_1,\ldots,Z\ell)$ のサイズに依存せず、新しい漏洩 $ Z_{\ell+1} $ のサイズにのみ依存する漏洩連鎖則が可能になる。
• 論文は、$ X|Z $ が $ Y|Z $ に対して $(s,\epsilon)$-二乗区別可能であり、かつ $ \widetilde{\mathbf{H}}_{\infty}(Y|Z) \geq k $ ならば、$ \mathbf{H}^{\text{Metric},s,\sqrt{\epsilon}}(X|Z) \geq k $ が成り立つことを証明し、定量的連鎖則を確立した。
• サンプラー $ h(z) $ の構築により、$ \mathbf{H}_{\infty}(Y|Z) \geq k' = k + \log(1/\delta) $ かつ $ \delta = \epsilon'^2/64 $ のとき、区別者 $ D'' $ が $ (X,Z) $ と $ (Y,Z) $ を $ \epsilon'^2/64 $ 以上の優位性で区別できることが保証される。
• NPオラクルの場合、正確なカウントが難しい場合でも、確率的アルゴリズムを用いて回路サイズを高確率かつ小さな誤差で推定でき、これにより $ h(z) $ の構築が可能になる。
• モジュラス計算的エントロピーは、さまざまな計算的エントロピーおよび漏洩耐性の概念を統合し、依然として有効な連鎖則を保証するための最小限の制限であることが示された。
• 結果として、提案された定義が明確な連鎖則を保証するための必要十分条件であることが示され、今後の逐次的漏洩を伴うセキュリティ証明の基盤的ツールであることが明らかになった。