[논문 리뷰] A Framework for Efficient Adaptively Secure Composable Oblivious Transfer in the ROM

Paulo S. L. M. Barreto, Bernardo David외 3명|arXiv (Cornell University)|2017. 10. 23.

Cryptography and Data Security인용 수 16

한 줄 요약

이 논문은 난수 오라클 모델에서 활성적이고 적응형 대상자에 대해 안전한 2라운드 최적의 라운드 수를 갖는 보편적으로 구성 가능한(UC) 무작위 전송 프로토콜을 설계하는 새로운 프레임워크를 제시한다. 이 프레임워크는 공개키 암호화 스킴의 특정 대수적 성질—공개키 공간에 군 구조가 존재하고, 공개키가 무작위 원소와 구분 불가능하다는 것—을 활용하여, 저노이즈 LPN, McEliece, QC-MDPC, LWE 및 CDH 가정 하에서 효율적인 구현이 가능하며, 코딩 가정에 기반한 첫 번째 적응형 보안 UC-OT 프로토콜을 제공하고, 이전 연구 대비 거의 최적의 효율성을 확보한다.

ABSTRACT

Oblivious Transfer (OT) is a fundamental cryptographic protocol that finds a number of applications, in particular, as an essential building block for two-party and multi-party computation. We construct a round-optimal (2 rounds) universally composable (UC) protocol for oblivious transfer secure against active adaptive adversaries from any OW-CPA secure public-key encryption scheme with certain properties in the random oracle model (ROM). In terms of computation, our protocol only requires the generation of a public/secret-key pair, two encryption operations and one decryption operation, apart from a few calls to the random oracle. In~terms of communication, our protocol only requires the transfer of one public-key, two ciphertexts, and three binary strings of roughly the same size as the message. Next, we show how to instantiate our construction under the low noise LPN, McEliece, QC-MDPC, LWE, and CDH assumptions. Our instantiations based on the low noise LPN, McEliece, and QC-MDPC assumptions are the first UC-secure OT protocols based on coding assumptions to achieve: 1) adaptive security, 2) optimal round complexity, 3) low communication and computational complexities. Previous results in this setting only achieved static security and used costly cut-and-choose techniques.Our instantiation based on CDH achieves adaptive security at the small cost of communicating only two more group elements as compared to the gap-DH based Simplest OT protocol of Chou and Orlandi (Latincrypt 15), which only achieves static security in the ROM.

연구 동기 및 목표

• 난수 오라클 모델에서 활성적이고 적응형 대상자에 대해 안전한 보편적으로 구성 가능한(UC) 무작위 전송 프로토콜을 설계하는 것.
• 낮은 계산 및 통신 오버헤드를 유지하면서도 2라운드 최적의 라운드 수를 달성하는 것.
• 저노이즈 LPN, McEliece, QC-MDPC와 같은 코딩 가정에 기반한 첫 번째 적응형 보안 UC-OT 프로토콜을 제공하는 것.
• Chou-Orlandi의 가장 단순한 OT와 동일한 효율성을 갖는 CDH 기반 OT 프로토콜을 설계하여 더 약한 가정 하에서 적응형 보안을 확보하는 것.
• 안전성과 효율성의 증명이 가능한 프레임워크를 일반화하기 위해, 보안 및 효율성을 가능하게 하는 공개키 암호화 스킴의 두 가지 핵심 대수적 성질을 규명하는 것.

제안 방법

• 공개키 공간이 '⋆'로 표기된 연산에 대해 군을 이룬다는 조건을 만족하는 공개키 암호화 스킴을 사용한다.
• 수신자는 키 쌍을 생성하고, 난수 오라클을 통해 무작위 원소 q를 추출한 후, pk₀ ⋆ pk₁ = q 를 만족하는 다른 공개키를 계산한다.
• 송신자는 두 공개키를 사용하여 난수 오라클을 통해 무작위 시드를 암호화하고, 이를 통해 일회용 패드를 생성하여 입력 메시지를 암호화한다.
• 송신자는 두 개의 암호문을 전송하고, 수신자는 자신의 선택 비트에 해당하는 암호문만 복호화함으로써 송신자 비밀보장성과 수신자 정확성을 확보한다.
• 보안성은 두 성질에 기반한다: (1) 군 내에서 공개키가 무작위 원소와 구분 불가능하다는 것, (2) pk₀와 pk₁의 곱이 무작위 군 원소일 경우, 둘 다 복호화할 수 없다는 것.
• 각각의 PKE 스킴이 요구 조건을 충족하는지 확인함으로써, 저노이즈 LPN, McEliece, QC-MDPC, LWE 및 CDH 등 다양한 가정 하에서 구현 가능하다.

실험 결과

연구 질문

• RQ1 적응형 보안을 확보하면서도 최소한의 통신 및 계산 오버헤드를 갖는 2라운드 최적의 라운드 수를 갖는 보편적으로 구성 가능한 무작위 전송 프로토콜을 설계할 수 있는가?
• RQ2 저노이즈 LPN, McEliece, QC-MDPC와 같은 코딩 기반 가정을 사용하여 첫 번째 적응형 보안 UC-OT 프로토콜을 설계할 수 있는가?
• RQ3 CDH 기반 OT 프로토콜이 Chou-Orlandi의 가장 단순한 OT와 동일한 효율성을 갖되, 더 약한 가정 하에서 적응형 대상자에 대해 보안을 확보할 수 있는가?
• RQ4 난수 오라클 모델에서 UC-OT를 효율적이고 안전하게 구성하는 데 기여하는 공개키 암호화 스킴의 대수적 성질은 무엇인가?
• RQ5 LWE, QR, DCR, NTRU 등 다양한 가정을 지원할 수 있도록 프레임워크를 일반화하고, 증명 가능한 보안성과 효율성을 확보할 수 있는가?

주요 결과

• 제안된 프레임워크는 난수 오라클 모델에서 활성적이고 적응형 대상자에 대해 안전한 2라운드 보편적으로 구성 가능한 무작위 전송을 달성한다.
• 프로토콜은 단 한 번의 공개키 생성, 두 번의 암호화, 한 번의 복호화, 그리고 몇 번의 난수 오라클 호출만을 요구하여 최소한의 계산 오버헤드를 갖는다.
• 통신 비용은 매우 낮다: 한 개의 공개키, 두 개의 암호문, 그리고 메시지 크기와 같은 세 개의 이진 문자열만 필요하여 통신 효율성이 뛰어나다.
• 저노이즈 LPN, McEliece, QC-MDPC 가정에 기반한 첫 번째 UC-보안 무작위 전송 프로토콜을 달성하였으며, 이는 이전의 적응형 보안 구현 대비 몇 개의 지수 차수만큼 뛰어난 성능을 보인다.
• CDH 기반 구현은 Chou-Orlandi의 가장 단순한 OT와 동일한 효율성을 갖지만, 추가로 두 개의 군 원소만 더 사용하고, 표준 CDH 가정 하에서 적응형 보안을 지원한다.
• QC-MDPC에 대한 구현 결과는 키 생성에 약 101.59킬로사이클(128비트 보안), 암호화에 약 73.85킬로사이클, 복호화에 약 1,758.66킬로사이클 소요되었으며, 실용적인 구현 가능성을 입증한다.