[논문 리뷰] A Restrained Paillier Cryptosystem and Its Applications for Access Control of Common Secret

Xiaojuan Dong, Weiming Zhang외 3명|arXiv (Cornell University)|2019. 12. 19.

Cryptography and Data Security참고 문헌 15인용 수 4

한 줄 요약

이 논문은 암호화된 메시지에 대해 추가적 및 곱셈적 호모모르피를 통해 혼합 암호문을 생성함으로써 수정된 Paillier 체계에서 강력한 개인키의 복호화 능력을 제한하는 Restrained-Paillier 암호체계를 제안한다. 강력한 키는 혼합 암호문을 복호화하여 곱셈적 암호문을 회복할 수 있지만 평문을 복원할 수 없으며, 이는 증명 가능성이 있고 계산 부담이 낮은 공유 비밀번호 및 키 관리 프로토콜에 대한 안전한 액세스 제어를 가능하게 한다.

ABSTRACT

The modified Paillier cryptosystem has become extremely popular and applied in many fields, owning to its additive homomorphism. This cryptosystem provides weak private keys and a strong private key. A weak private key only can decrypt ciphertexts under the corresponding public key. The strong private key can decrypt all ciphertexts even under different public keys. When the modified Paillier cryptosystem is applied in a system, the member, often the system administrator, has the strong private key and can decrypt all ciphertexts. If this system administrator is attacked or compromised, the security of the application system absolutely break down. Thus, it is important to stop the decryption of the strong private key. To address this issue, we propose an restrained version of the modified Paillier cryptosystem (Restrained-Paillier), by endowing the multiplicative homomorphism. We perform the additive encryption on the multiplicative ciphertext and generate the mixed ciphertext, which can not be decrypted by the strong private key. Based on this Restrained-Paillier, we develop two applications. Firstly, we realize access control of common secret of two owners. In our scheme, only one owner cannot access secret. Secondly, we present three protocols for identity distribution and key management, identity authentication and private key recovery. Security analysis shows that the Restrained-Paillier cryptosystem can resist the chosen plaintext attack. The experimental results illustrate the utility and efficiency of the proposed protocols.

연구 동기 및 목표

• 수정된 Paillier 암호체계에서 강력한 개인키가 노출될 경우 모든 암호화된 데이터가 위협받을 수 있는 심각한 보안 위험을 해결하기 위해.
• 시스템 관리자가 강력한 키를 보유하고 있더라도 만약 해킹되더라도 평문을 복호화할 수 없도록 하기 위해, 키의 복호화 능력을 오직 곱셈적 암호문으로만 제한하기 위해.
• 덧셈적 및 곱셈적 호모모르피를 모두 지원하면서도 평문은 오직 약한 키만 복호화할 수 있도록 하는 암호체계를 설계하기 위해.
• 새로운 암호체계를 기반으로 신원 배포, 키 관리, 인증 및 개인키 복구에 대한 실용적인 프로토콜을 개발하기 위해.
• 제안된 프로토콜의 계산 및 통신 부담 측면에서 효율성과 보안성을 평가하기 위해.

제안 방법

• 제약 있는 Paillier 암호체계는 먼저 메시지를 곱셈적으로 암호화한 후 그 결과에 덧셈 암호화를 적용함으로써 덧셈적 및 곱셈적 호모모르피를 통합하여 혼합 암호문을 형성한다.
• 강력한 개인키 λ는 혼합 암호문을 복호화하여 곱셈적 암호문을 회복할 수 있지만, 곱셈적 암호문을 더 이상 평문으로 복호화할 수는 없다.
• 평문은 오직 곱셈적 암호문과 관련된 해당 약한 개인키 θ를 통해만 복원 가능하다.
• 시스템은 N² 모듈로의 이차 잔여군에서 수정된 Paillier 설정을 사용하며, 임의의 a ∈ Zₙ*에서 유도된 특별히 선택된 생성자 g를 사용한다. 이때 a mod N ≠ 1 이어야 한다.
• 키 생성 과정은 λ를 분할 공유하지만, 핵심 메커니즘은 λ의 복호화 범위가 혼합 암호문으로 제한되어 있음을 보장한다.
• 공통 비밀번호 액세스 제어, 신원 배포, 키 관리, 인증 및 개인키 복구 프로토콜는 혼합 암호문의 호모모르피 성질과 액세스 제한 조건에 기반하여 구축된다.

실험 결과

연구 질문

• RQ1 수정된 Paillier 암호체계에서 강력한 개인키의 복호화 능력을 효과적으로 제한하여, 만약 해킹되더라도 전체 데이터 노출을 방지할 수 있는가?
• RQ2 덧셈적 및 곱셈적 호모모르피를 조합하여 혼합 암호문 형식을 구성할 수 있는가? 이 경우 평문은 오직 약한 키만 복호화할 수 있는가?
• RQ3 제약된 복호화 모델 기반으로 안전하고 효율적인 신원 관리 및 액세스 제어 프로토콜를 설계할 수 있는가?
• RQ4 제안된 프로토콜의 계산 및 통신 부담은 표준 Paillier 기반 시스템과 비교해 어떻게 되는가?
• RQ5 제약 조건이 적용된 상황에서 Restrained-Paillier 암호체계가 선택 평문 공격에 대해 여전히 보안을 유지하는가?

주요 결과

• 제약 있는 Paillier 암호체계는 강력한 개인키 λ가 혼합 암호문을 복호화하여 곱셈적 암호문을 회복할 수는 있지만, 평문을 복호화할 수 없음을 성공적으로 보장한다.
• 공통 비밀번호 액세스 제어 프로토콜는 두 주체가 함께 있어야만 비밀번호를 복원할 수 있도록 보장하며, 개별적으로는 접근할 수 없다.
• 신원 배포 및 키 관리 프로토콜(IdDis & KeyMan)은 N이 512비트일 경우 계산 비용이 34.172ms이며, 2048비트일 경우 130.623ms로 증가한다.
• 개인키 복구 프로토콜(PrivKeyRec)은 훨씬 더 효율적이며, N이 512비트일 경우 0.296ms, 2048비트일 경우 4.324ms의 비용을 차지한다.
• 신원 인증 프로토콜(IdAuth)은 N이 2048비트일 경우 통신 비용이 1534.70바이트이며, 요청자 측에서 계산 시간은 190.095ms이다.
• ACCS 프로토콜의 통신 부담은 네 가지 프로토콜 중 가장 높으며, PrivKeyRec는 가장 낮아 기능성과 대역폭 사이의 상충 관계를 보여준다.