[論文レビュー] Trust enhancement by multiple random beacons

Charles H. Bennett, John A. Smolin|ArXiv.org|Jan 6, 2002

Cryptography and Data Security参考文献 2被引用数 3

ひとこと要約

本稿では、複数のランダムビーコンの出力をXORすることで、少なくとも1つのビーコンが誠実であれば予測不能でより安全なランダムストリームを生成する信頼性向上プロトコルを提案する。この方法により、特にビーコンが空間的分離されている場合、破壊のリスクが著しく低減され、計算能力が優れた敵対者による偏り攻撃に強いハッシュベースの代替手法よりも優れる。

ABSTRACT

Random beacons-information sources that broadcast a stream of random digits unknown by anyone beforehand-are useful for various cryptographic purposes. But such beacons can be easily and undetectably sabotaged, so that their output is known beforehand by a dishonest party, who can use this information to defeat the cryptographic protocols supposedly protected by the beacon. We explore a strategy to reduce this hazard by combining the outputs from several noninteracting (eg spacelike-separated) beacons by XORing them together to produce a single digit stream which is more trustworthy than any individual beacon, being random and unpredictable if at least one of the contributing beacons is honest. If the contributing beacons are not spacelike separated, so that a dishonest beacon can overhear and adapt to earlier outputs of other beacons, the beacons' trustworthiness can still be enhanced to a lesser extent by a time sharing strategy. We point out some disadvantages of alternative trust amplification methods based on one-way hash functions.

研究の動機と目的

• 不正な運用者やハードウェアバックドアによる前もって計算可能な破壊攻撃に対して脆弱な単一ビーコンの脆弱性を是正すること。
• 一部のビーコンが侵害されていても、相互作用のない複数のビーコンを組み合わせることで、ランダムビーコン出力に対する信頼性を高めるプロトコルを設計すること。
• 少なくとも1つのビーコンが誠実であれば、空間的分離されたビーコンのXORベース融合により、結果のストリームが予測不能であることを示すこと。
• 計算能力が優れた敵対者（Eve）による偏り攻撃にさらされやすい、時空的（timelike）または逐次的ビーコン構成におけるハッシュベース融合手法の脆弱性を示すこと。
• 敵対者の能力とビーコンの同期に関する仮定が異なる条件下で、XOR、時分割（time-sharing）、ハッシュベース融合プロトコルのセキュリティ特性を比較すること。

提案手法

• n個の相互作用のない（例：空間的分離された）ランダムビーコンの出力をビット単位のXORで融合し、結果のランダムストリームR_XORを生成する。
• 空間的分離されていないビーコンに対しては、時分割プロトコル（R_TS）を用い、各ビーコンをローテーションスケジュールで使用することで予測可能性を低減する。
• R_XORとR_TSの1文字あたりの最小エントロピーを分析し、両者ともkが不正なビーコン数である場合、(n−k)/n log ℓの値を達成することを示す。
• 計算能力が優れた敵対者（Eve）は、特定の入力を選択することで、ハッシュベース融合R_hの出力を偏らせられることを示す。
• 時空的構成では、Eveが誠実なビーコンの出力を観測した後、入力に対してブルートフォースで探索することで、R_hの最大数10〜20ビットを所望の文字列に一致させられることを示す。
• 予測可能性のパターンを比較：R_hでは敵対者が特定のビットを制御可能である一方、R_TSでは位置に制御不能な半数のビットが予測不能になる。

実験結果

リサーチクエスチョン

• RQ1 XORで複数のランダムビーコンを融合させることで、一部のビーコンが不正であっても予測不能な結果ストリームが得られるか？
• RQ2 XORと時分割プロトコルを用いる場合、誠実なビーコンの数が増えるに従い、結合ストリームの信頼性はどのように変化するか？
• RQ3 計算能力が優れた敵対者が存在する状況で、R_hのようなハッシュベース融合手法がXORや時分割よりも脆弱である理由は何か？
• RQ4 ビーコンの同期（空間的分離 vs. 時空的分離）が、結合されたランダムストリームのセキュリティに与える影響は何か？
• RQ5 特定のビットの制御が可能である部分的な予測可能性（例：特定ビットの制御）が、暗号的応用において、より深刻な損害を及ぼす場面はどのようなものか？

主な発見

• 空間的分離されたビーコンのXORベース融合により得られる結果ストリームR_XORは、少なくとも1つのビーコンが誠実であれば完全にランダムかつ予測不能であり、1文字あたりの最適最小エントロピー(n−k)/n log ℓを達成する。
• 時分割プロトコルR_TSもR_XORと同様に、(n−k)/n log ℓの最小エントロピーを達成し、すべてのビーコンが空間的分離されていなくても予測不能性を保証する。
• 計算能力が優れた敵対者（Eve）は、戦略的な入力選択により、ハッシュベース融合R_hの出力を偏らせることができ、特にビーコンが時空的分離されている場合、特定のビット（例：最上位ビットを0に固定）を強制できる。
• 時空的構成では、Eveが誠実なビーコンの出力を観測した後、入力に対してブルートフォースで探索することで、R_hの最大数10〜20ビットを所望の文字列に一致させられ、正確な一致の成功率は約1/eとなる。
• ハッシュベース融合R_hは、敵対者が出力の特定ビットを制御できるのに対し、時分割は位置に制御不能な半数のビットを予測不能にするにとどまるため、XORや時分割に比べてR_hはより脆弱である。
• 時刻帯による動画認証の文脈では、R_TSはR_hよりも好ましい。なぜなら、数個の制御不能な挑戦は、多数の部分的に制御可能な挑戦を模倣するのよりも困難であるからである。