[論文レビュー] Security Notions for Information Theoretically Secure Encryptions

Mitsugu Iwamoto, Kazuo Ohta|arXiv (Cornell University)|Jun 9, 2011

Wireless Communication Security Techniques参考文献 4被引用数 4

ひとこと要約

この論文は、変動距離を用いて定義される情報理論的完全機密性（PS）の3つの変種を調査し、そのうちの1つ—PS_*M(ε)—が他の2つよりも厳密に強いことを示している。残りの2つの変種が本質的に統計的区別不能性（IND）および意味的安全性（SS）に等しいことが証明され、情報理論的暗号におけるコアなセキュリティ概念の階層と関係が明確にされた。

ABSTRACT

This paper is concerned with several security notions for information theoretically secure encryptions defined by the variational (statistical) distance. To ensure the perfect secrecy (PS), the mutual information is often used to evaluate the statistical independence between a message and a cryptogram. On the other hand, in order to recognize the information theoretically secure encryptions and computationally secure ones comprehensively, it is necessary to reconsider the notion of PS in terms of the variational distance. However, based on the variational distance, three kinds of definitions for PS are naturally introduced, but their relations are not known. In this paper, we clarify that one of three definitions for PS with the variational distance, which is a straightforward extension of Shannon's perfect secrecy, is stronger than the others, and the weaker two definitions of PS are essentially equivalent to the statistical versions of indistinguishability and semantic security.

研究の動機と目的

• 変動距離を用いて定義される情報理論的完全機密性の3つの自然な変種の間の関係を明確化すること。
• 変動距離に基づく完全機密性の異なる定義が、同等か別個かという曖昧さを解消すること。
• 統計的INDおよびSSに類する関係を用いて、情報理論的および計算的セキュリティ概念を統合的に理解すること。
• 完全機密性の1つの定義が他の定義よりも厳密に強いことを示し、セキュリティ保証における重要なギャップを浮き彫りにすること。
• 変動距離度量を用いて、情報理論的セキュリティと計算的セキュリティ概念を比較するための形式的枠組みを提供すること。

提案手法

• 変動距離制約を満たす異なるメッセージ、暗号文、および結合分布に基づく3つの完全機密性の変種、すなわち PS_*M(ε)、PS_C*(ε)、PS_CM(ε) を導入する。
• 定理1を用いて、対称鍵暗号において、条件付き分布 P_C|M が暗号化関数と鍵分布によって一意に決定されることを示す。
• ピンスカールの不等式および変動距離の性質を適用し、相互情報量と変動距離との関係を確立することで、セキュリティ定義を情報理論的測度に根拠づける。
• 二重確率的遷移行列 P_C|M を持つ病理的例（Σ_ex）を構築し、PS_*M(ε) が他の2つの定義よりも厳密に強いことを示す。
• PS_C*(ε) および PS_CM(ε) がそれぞれ変動距離のもとで統計的区別不能性（IND）および意味的安全性（SS）に等しいことを示す。
• 後方確率分布 P_M|C を用いて、攻撃者が暗号文からメッセージを推定できる能力を分析し、PS_*M(ε) がすべての暗号文において P_M|C が一様であることを要求することを示す。

実験結果

リサーチクエスチョン

• RQ1 変動距離を用いて定義される3つの完全機密性の変種、すなわち PS_*M(ε)、PS_C*(ε)、PS_CM(ε) は、ε > 0 に対して同等か？
• RQ2 変動距離に基づく完全機密性の定義は、統計的区別不能性（IND）および意味的安全性（SS）とどのように関係するか？
• RQ3 3つのPS変種間に厳密な階層関係があるか。もしあるならば、最も強いのはどれか？
• RQ4 暗号系が統計的IND-セキュアであるが、小さなεに対してはPS_*M(ε)を満たさないことは可能か？
• RQ5 変動距離の境界という観点から、PS_*M(ε) と他の2つの定義との間の定量的ギャップは何か？

主な発見

• 病理的例により、PS_*M(ε) が他の2つよりも厳密に強いことが示された。この例では、PS_*M(ε) が満たされない一方で、他の2つは満たされている。
• 任意のε > 0 に対して、対称鍵暗号系 Σ_ex が存在し、ε = 2/n で PS_C*(ε) および PS_CM(ε)-セキュアであるが、n が大きい場合には PS_*M(ε′)-セキュアであるには ε′ ≥ 1/2 が必要となる。
• 例 Σ_ex は、ε = 2/n で統計的IND(ε)-セキュアを達成し、n が大きくなるにつれてεを任意に小さくできる。
• PS_C*(ε) および PS_CM(ε) は、変動距離のもとで本質的に統計的INDおよび意味的安全性に等しい。
• 例では、変動距離 d(P_M|C(⋅|c), P_M(⋅)) が、c = c₁ または c₂ の非無視的割合の暗号文に対して ε を超えるため、PS_*M(ε) が破綻する。これはεが小さい場合でも同様である。
• 例における遷移行列 P_C|M は二重確率的であり、必要な性質を満たす有効な対称鍵暗号系の存在を保証する。