[논문 리뷰] Trust enhancement by multiple random beacons

Charles H. Bennett, John A. Smolin|ArXiv.org|2002. 01. 06.

Cryptography and Data Security참고 문헌 2인용 수 3

한 줄 요약

이 논문은 여러 개의 무작위 빛발을 사용하여 XOR 연산으로 출력을 융합함으로써, 최소한 하나의 빛발이 정직할 경우에라도 예측 불가능하고 안전한 무작위 스트림을 생성하는 신뢰성 향상 프로토콜을 제안한다. 이 방법은 특히 빛발들이 시공간적으로 분리된 경우에 사기 공격의 위험을 크게 줄이며, 계산 능력이 뛰어난 적대자가 존재할 경우 해시 기반 대안보다 우월하다.

ABSTRACT

Random beacons-information sources that broadcast a stream of random digits unknown by anyone beforehand-are useful for various cryptographic purposes. But such beacons can be easily and undetectably sabotaged, so that their output is known beforehand by a dishonest party, who can use this information to defeat the cryptographic protocols supposedly protected by the beacon. We explore a strategy to reduce this hazard by combining the outputs from several noninteracting (eg spacelike-separated) beacons by XORing them together to produce a single digit stream which is more trustworthy than any individual beacon, being random and unpredictable if at least one of the contributing beacons is honest. If the contributing beacons are not spacelike separated, so that a dishonest beacon can overhear and adapt to earlier outputs of other beacons, the beacons' trustworthiness can still be enhanced to a lesser extent by a time sharing strategy. We point out some disadvantages of alternative trust amplification methods based on one-way hash functions.

연구 동기 및 목표

• 불량 운영자나 하드웨어 백도어로 인해 단일 무작위 빛발이 사전 계산 공격을 받는 취약성을 해결하기 위해.
• 일부 빛발이 손상된 경우에도 상호작용이 없는 여러 빛발을 융합하여 무작위 빛발 출력의 신뢰도를 높이는 프로토콜을 설계하기 위해.
• 시공간적으로 분리된 빛발의 XOR 기반 융합이 최소한 하나의 빛발이 정직할 경우 결과 스트림이 여전히 예측 불가능해지는 것을 입증하기 위해.
• 계산 능력이 뛰어난 적대자가 존재할 경우, 시간적으로 연속되거나 순차적인 빛발 구성에서 해시 기반 융합 방법이 편향 공격에 취약한 것을 보여주기 위해.
• 적대자 능력과 빛발 동기화 조건에 따라 다양하게 변화하는 가정 하에 XOR, 시간 공유, 해시 기반 융합 프로토콜의 보안 특성을 비교하기 위해.

제안 방법

• n개의 상호작용이 없는(예: 시공간적으로 분리된) 무작위 빛발의 출력을 비트 단위 XOR으로 융합하여 결과 스트림 R_XOR를 생성한다.
• 시공간적으로 분리되지 않은 빛발을 대상으로 시간 공유 프로토콜(R_TS)을 사용하며, 각 빛발이 순환 스케줄에 따라 사용되어 예측 가능성 감소를 도모한다.
• R_XOR와 R_TS의 문자당 최소 엔트로피를 분석하여, 둘 다 k개의 불량 빛발이 있을 경우 (n−k)/n log ℓ의 값을 달성함을 보여준다.
• 계산 능력이 뛰어난 적대자(Eve)가 특정 입력을 선택하여 출력의 특정 비트를 강제로 설정함으로써 해시 기반 융합 R_h의 출력을 편향시킬 수 있음을 입증한다.
• 시간적으로 연속된 구성에서 Eve는 정직한 빛발의 출력을 관찰한 후 입력을 브루트 포스로 탐색하여 R_h의 최대 수십 비트를 목표 문자열과 일치시킬 수 있음을 보여준다.
• 예측 가능성 패턴을 비교하면, R_h는 특정 비트를 제어할 수 있게 하며, R_TS는 위치 제어 없이 반의 예측 불가능성을 유도한다.

실험 결과

연구 질문

• RQ1 XOR를 통해 여러 무작위 빛발을 융합할 경우, 일부 빛발이 불량일 경우에도 결과 스트림이 여전히 예측 불가능한가?
• RQ2 XOR와 시간 공유 프로토콜을 사용할 때, 정직한 빛발의 수가 늘어날수록 결과 스트림의 신뢰성은 어떻게 변화하는가?
• RQ3 적대자가 상당한 계산 능력을 확보하고 있을 경우, R_h와 같은 해시 기반 융합 방법이 XOR 또는 시간 공유보다 왜 덜 안전한가?
• RQ4 빛발 간 동기화(시공간적 분리 대비 시간적 순서)가 융합된 무작위 스트림의 보안에 어떤 영향을 미치는가?
• RQ5 특정 비트 제어가 가능한 부분 예측 가능성은 암호화 응용 분야에서 어떤 경우에 더 유해하고, 어떤 경우에 덜 해로운가?

주요 결과

• 시공간적으로 분리된 빛발의 XOR 기반 융합은 최소한 하나의 빛발이 정직할 경우 결과 스트림 R_XOR가 완전히 무작위이고 예측 불가능하며, 문자당 최적의 최소 엔트로피 (n−k)/n log ℓ를 달성한다.
• 시간 공유 프로토콜 R_TS는 R_XOR와 동일한 최소 엔트로피 (n−k)/n log ℓ를 확보하며, 모든 빛발이 시공간적으로 분리되지 않아도 예측 불가능성을 보장한다.
• 계산 능력이 뛰어난 적대자는 특정 입력 선택을 통해 해시 기반 융합 R_h의 출력을 편향시킬 수 있으며, 특히 빛발들이 시간적으로 순차적으로 구성된 경우 첫 번째 비트를 0으로 강제로 설정할 수 있다.
• 시간적 순서 구성에서 강력한 Eve는 정직한 빛발의 출력을 관찰한 후 입력을 탐색하여 R_h의 최대 수십 비트를 목표 문자열과 일치시킬 수 있으며, 정확한 일치 확률은 약 1/e이다.
• 해시 기반 융합 R_h는 특정 비트 제어가 가능하기에 XOR 또는 시간 공유보다 덜 안전하며, 반면 시간 공유 방식은 위치 제어 없이 반의 비트만 예측 불가능하게 만든다.
• 시간 브라켓 기반 영상 인증에 있어서 R_TS는 R_h보다 바람직한데, 일부 제어 불가능한 도전 과제는 많은 부분 제어 가능한 도전 과제를 시뮬레이션하는 것보다 더 어렵기 때문이다.