[논문 리뷰] Universal Construction of Cheater-Identifiable Secret Sharing Against Rushing Cheaters Based on Message Authentication

Masahito Hayashi, Takeshi Koshiba|arXiv (Cornell University)|2017. 01. 16.

Cryptography and Data Security참고 문헌 15인용 수 3

한 줄 요약

이 논문은 메시지 인증을 사용하여 빠른 배신자에 대한 저항성과 정당한 다수의 필요 없이도 작동하는 배신자 식별 가능한 비밀 분할(CISS)의 보편적 구성법을 제시한다. '개별 식별'과 '공동 식별' 모델을 도입함으로써, 비밀 재구성과 정확한 배신자 탐지가 가능해지며, 참가자 수의 절반 이상이 악성일 경우에도 안정적으로 작동한다. 보안 파rameter ℓ를 독립적으로 조정할 수 있고, 계산 오버헤드도 낮다.

ABSTRACT

For conventional secret sharing, if cheaters can submit possibly forged shares after observing shares of the honest users in the reconstruction phase then they cannot only disturb the protocol but also only they may reconstruct the true secret. To overcome the problem, secret sharing scheme with properties of cheater-identification have been proposed. Existing protocols for cheater-identifiable secret sharing assumed non-rushing cheaters or honest majority. In this paper, we remove both conditions simultaneously, and give its universal construction from any secret sharing scheme. To resolve this end, we propose the concepts of "individual identification" and "agreed identification".

연구 동기 및 목표

• 기존의 배신자 식별 가능한 비밀 분할(CISS) 프로토콜이 비정지 배신자 또는 정당한 다수를 전제로 하는 한계를 해결하기 위해.
• CISS 프로토콜에서 신뢰할 수 있는 서버나 중심화된 식별 기능이 필요 없도록 하기 위해.
• 모든 기반 비밀 분할 기법에 적용 가능한 보편적 구성법을 제공하기 위해.
• 보안 파rameter ℓ를 비밀 크기 및 유한체 크기에서 독립적으로 선택할 수 있도록 하기 위해.
• 강력한 배신자 식별 보장을 유지하면서도 계산 복잡도 O(ℓ log ℓ)를 달성하기 위해.

제안 방법

• 두 가지 새로운 모델 도입: '개별 식별'(각 플레이어별 개인적 배신자 탐지) 및 '공동 식별'(모든 플레이어 간 공통으로 합의된 배신자 탐지).
• 토플리츠 행렬 기반 메시지 인증 코드(MAC)를 사용하여 샘플을 소유주와 연결하고 변조를 탐지한다.
• 기존의 비밀 분할 기법과 MAC 기반의 무결성 검사를 조합하여 보편적 CISS 프로토콜을 구성한다.
• 이중 라운드 프로토콜 구조 적용: 첫 번째 라운드에서는 인증된 샘플을 배포하고, 두 번째 라운드에서는 비밀을 재구성하며 MAC를 사용해 무결성을 검증한다.
• 재구성 단계에서 다수결을 적용하여, 절반 이상의 플레이어가 배신자일 경우의 일관성 결함을 탐지한다.
• 보안 파arameter ℓ를 샘플 크기 및 유한체 크기와 독립적으로 유지하기 위해, 오류 확률이 2⁻ℓ인 매개변수화된 MAC 체계를 사용한다.

실험 결과

연구 질문

• RQ1 정당한 다수 없이도 빠른 배신자에 저항하는 보편적 CISS 프로토콜을 구성할 수 있는가?
• RQ2 분산 환경에서 배신자 식별을 개인적으로(개별적) 및 공개적으로 검증 가능하게(공동으로) 어떻게 실현할 수 있는가?
• RQ3 기존의 작업들과 비교해 본다면, 이러한 프로토콜의 계산 및 통신 오버헤드는 어떻게 되는가?
• RQ4 보안 파arameter ℓ를 원래 비밀 분할 기법의 파arameter와 독립적으로 선택할 수 있는가?
• RQ5 개별 식별 모델과 공동 식별 모델 간의 탐지 정확도 및 내성성 측면에서의 성능 트레이드오프는 무엇인가?

주요 결과

• 제안된 개별 식별을 위한 CISS 프로토콜은 참가자 수의 절반 이상이 악성일 경우에도 배신자를 정확히 식별할 수 있으며, 빠른 공격자에 대한 강력한 내성성을 확보한다.
• 공동 식별 모델은 참가자 수의 절반 미만이 배신자일 경우에만 정확히 배신자를 식별할 수 있지만, 여전히 강력한 탐지 보장을 제공한다.
• 배신자 식별 성공 확률가 1−2⁻ℓ일 경우, 프로토콜의 계산 복잡도는 O(ℓ log ℓ)이며, 실용적 구현에 매우 효율적이다.
• m=1일 때 프로토콜의 오버헤드는 2^(ℓ(2n−1))이며, 이는 [11]의 프로토콜에 비해 (n²(n+1))^(4n+1)2^(ℓ(4n+1))의 오버헤드보다 현저히 낮아 기하급수적 스케일링에서 큰 향상을 보였다.
• 비밀 크기 및 유한체 크기와 독립적으로 보안 파arameter ℓ를 선택할 수 있도록 하여, F₂와 같은 작은 체를 사용하더라도 보안을 손상시키지 않는다.
• 메시지 인증 기반의 모듈러한 구성 덕분에, 원래 기법에 대한 수정 없이도 모든 비밀 분할 기법에 보편적으로 적용 가능하다.