[논문 리뷰] Security Notions for Information Theoretically Secure Encryptions

Mitsugu Iwamoto, Kazuo Ohta|arXiv (Cornell University)|2011. 06. 09.

Wireless Communication Security Techniques참고 문헌 4인용 수 4

한 줄 요약

이 논문은 변동 거리(variational distance)를 통해 정의된 정보이론적 완전기밀성(PS)의 세 가지 변종을 조사하며, 그 중 하나인 PS_*M(ε)가 나머지 두 가지보다 엄격히 강력하다는 것을 입증한다. 나머지 두 변종은 각각 통계적 구분 불가능성(IND)과 의미론적 안전성(SS)과 본질적으로 동일하다는 것을 보여주며, 정보이론적 암호화의 핵심 보안 개념들 간의 계층 구조와 관계를 명확히 한다.

ABSTRACT

This paper is concerned with several security notions for information theoretically secure encryptions defined by the variational (statistical) distance. To ensure the perfect secrecy (PS), the mutual information is often used to evaluate the statistical independence between a message and a cryptogram. On the other hand, in order to recognize the information theoretically secure encryptions and computationally secure ones comprehensively, it is necessary to reconsider the notion of PS in terms of the variational distance. However, based on the variational distance, three kinds of definitions for PS are naturally introduced, but their relations are not known. In this paper, we clarify that one of three definitions for PS with the variational distance, which is a straightforward extension of Shannon's perfect secrecy, is stronger than the others, and the weaker two definitions of PS are essentially equivalent to the statistical versions of indistinguishability and semantic security.

연구 동기 및 목표

• 변동 거리 기반으로 정의된 정보이론적 완전기밀성의 세 가지 자연스러운 변종 간의 관계를 명확히 하는 것.
• 변동 거리 기반으로 정의된 완전기밀성의 다양한 정의가 동치인지 여부에 대한 모호함을 해결하는 것.
• 정보이론적 보안과 계산적 보안 개념을 통계적 IND와 SS와의 관계를 통해 통합적으로 이해하는 것.
• 완전기밀성의 한 정의가 다른 정의보다 엄격히 강력하다는 것을 입증하여 보안 보장의 핵심적 격차를 부각하는 것.
• 변동 거리 측도를 활용해 정보이론적 보안과 계산적 보안 개념을 비교하는 형식적 프레임워크를 제공하는 것.

제안 방법

• 메시지, 암호문, 그리고 공동 분포를 포함한 다양한 변동 거리 제약 조건을 기반으로 한 세 가지 완전기밀성 변종인 PS_*M(ε), PS_C*(ε), PS_CM(ε)를 도입한다.
• 정리 1을 활용하여 대칭 키 암호화에서 조건부 분포 P_C|M이 암호화 함수와 키 분포에 의해 결정됨을 증명한다.
• Pinsker의 부등식과 변동 거리 성질을 적용하여 상호정보량과 변동 거리 간의 관계를 설정하며, 보안 정의를 정보이론적 측도에 기반하게 한다.
• 전이 행렬 P_C|M가 이중 스토케스틱인 병리적 예시(Σ_ex)를 구성하여, PS_*M(ε)가 나머지 두 정의보다 엄격히 강력하다는 것을 보여준다.
• PS_C*(ε)와 PS_CM(ε)가 각각 변동 거리 기반으로 통계적 구분 불가능성(IND)과 의미론적 안전성(SS)과 동치임을 입증한다.
• 암호문에서 메시지를 추론할 수 있는 적대자의 사후 확률 분포 P_M|C를 분석하여, PS_*M(ε)가 모든 암호문에서 P_M|C의 균일성을 요구한다는 것을 보여준다.

실험 결과

연구 질문

• RQ1 변동 거리 기반으로 정의된 정보이론적 완전기밀성의 세 변종—PS_*M(ε), PS_C*(ε), PS_CM(ε)—은 ε > 0 일 때 상호 동치인가?
• RQ2 변동 거리 기반으로 정의된 완전기밀성 정의는 통계적 구분 불가능성(IND)과 의미론적 안전성(SS)과 어떻게 관련이 있는가?
• RQ3 세 가지 PS 변종 간에 엄격한 계층 구조가 존재하는가? 만약 존재한다면, 가장 강력한 것은 무엇인가?
• RQ4 작은 ε에 대해 PS_*M(ε)를 만족하지 못함에도 불구하고, 통계적 IND-보안을 갖는 암호시스템은 존재하는가?
• RQ5 변동 거리 기준으로 PS_*M(ε)와 나머지 두 정의 사이의 정량적 격차는 무엇인가?

주요 결과

• 병리적 예시를 통해 PS_*M(ε)가 나머지 두 정의보다 엄격히 강력하다는 것이 입증되었으며, 후자는 성립하더라도 전자는 성립하지 않을 수 있다.
• 모든 ε > 0 에 대해, 대칭 키 암호시스템 Σ_ex가 ε = 2/n 일 때 PS_C*(ε) 및 PS_CM(ε)-보안을 만족하지만, n 이 크면 PS_*M(ε′)-보안을 확보하기 위해선 ε′ ≥ 1/2 가 필요하다.
• 예시 Σ_ex 는 ε = 2/n 일 때 통계적 IND(ε)-보안을 달성하며, n 이 증가함에 따라 이를 임의로 작게 만들 수 있다.
• PS_C*(ε)와 PS_CM(ε)는 변동 거리 기반으로 각각 통계적 구분 불가능성과 의미론적 안전성과 본질적으로 동치이다.
• 예시에서 변동 거리 d(P_M|C(⋅|c), P_M(⋅)) 는 일부 암호문(c = c₁ 또는 c₂)에 대해 ε 를 초과하며, 이는 ε 이더라도 PS_*M(ε) 위반을 초래한다.
• 예시에서 전이 행렬 P_C|M 는 이중 스토케스틱이므로, 요구 조건을 만족하는 타당한 대칭 키 암호시스템이 존재함을 보장한다.