[论文解读] A Framework for Efficient Adaptively Secure Composable Oblivious Transfer in the ROM

Paulo S. L. M. Barreto, Bernardo David+3 more|arXiv (Cornell University)|Oct 23, 2017

Cryptography and Data Security被引用 16

一句话总结

本文提出了一种新颖的框架，用于在随机预言模型中构建轮数最优、普遍可组合（UC）的不经意传输协议，且对主动自适应敌手具有安全性。该框架利用具备特定代数性质的公钥加密方案——公钥空间具有群结构，且公钥与随机元素不可区分——从而在低噪声LPN、McEliece、QC-MDPC、LWE和CDH假设下实现高效实例化，首次基于编码假设构建了自适应安全的UC-OT协议，并与以往工作相比达到近似最优的效率。

ABSTRACT

Oblivious Transfer (OT) is a fundamental cryptographic protocol that finds a number of applications, in particular, as an essential building block for two-party and multi-party computation. We construct a round-optimal (2 rounds) universally composable (UC) protocol for oblivious transfer secure against active adaptive adversaries from any OW-CPA secure public-key encryption scheme with certain properties in the random oracle model (ROM). In terms of computation, our protocol only requires the generation of a public/secret-key pair, two encryption operations and one decryption operation, apart from a few calls to the random oracle. In~terms of communication, our protocol only requires the transfer of one public-key, two ciphertexts, and three binary strings of roughly the same size as the message. Next, we show how to instantiate our construction under the low noise LPN, McEliece, QC-MDPC, LWE, and CDH assumptions. Our instantiations based on the low noise LPN, McEliece, and QC-MDPC assumptions are the first UC-secure OT protocols based on coding assumptions to achieve: 1) adaptive security, 2) optimal round complexity, 3) low communication and computational complexities. Previous results in this setting only achieved static security and used costly cut-and-choose techniques.Our instantiation based on CDH achieves adaptive security at the small cost of communicating only two more group elements as compared to the gap-DH based Simplest OT protocol of Chou and Orlandi (Latincrypt 15), which only achieves static security in the ROM.

研究动机与目标

• 设计一种在随机预言模型中对主动自适应敌手具有安全性的普遍可组合（UC）不经意传输协议。
• 在保持低计算和通信开销的前提下，实现轮数最优（2轮）。
• 首次基于编码假设（低噪声LPN、McEliece、QC-MDPC）构建自适应安全的UC-OT协议，并实现最优效率。
• 构建一种基于CDH的OT协议，其效率与Chou-Orlandi最简OT相当，但基于更弱的假设且支持自适应安全性。
• 通过识别公钥加密方案的两个关键代数性质，统一并推广现有构造，从而实现安全且高效的UC-OT。

提出的方法

• 协议使用一种公钥空间在操作'⋆'下构成群的公钥加密方案。
• 接收方生成密钥对，并使用随机预言从群中采样一个随机元素q，然后计算另一个公钥，使得pk₀ ⋆ pk₁ = q。
• 发送方使用这两个公钥通过随机预言对随机种子进行加密，加密结果用于生成一次性密钥垫以加密输入消息。
• 发送方发送两个密文；接收方仅解密与其选择位对应的密文，从而确保发送方隐私和接收方正确性。
• 安全性依赖于两个性质：(1) 公钥与群中随机元素不可区分；(2) 当pk₀和pk₁的乘积为群中随机元素时，无法同时解密两个密文。
• 通过验证相应PKE方案是否满足所需性质，该构造在多种假设下得以实例化，包括低噪声LPN、McEliece、QC-MDPC、LWE和CDH。

实验结果

研究问题

• RQ1 能否在最小通信和计算开销下，基于自适应安全性构建轮数最优、普遍可组合的不经意传输协议？
• RQ2 能否利用编码基础假设（如低噪声LPN、McEliece和QC-MDPC）构建首个自适应安全的UC-OT协议？
• RQ3 能否构建一种基于CDH的OT协议，其效率与Chou-Orlandi最简OT相当，但基于更弱的假设且对自适应敌手具有安全性？
• RQ4 公钥加密方案的哪些代数性质能够支持在随机预言模型中高效且安全地构造UC-OT？
• RQ5 该框架能否被泛化以支持多种假设（包括LWE、QR、DCR和NTRU），并实现可证明的安全性和效率？

主要发现

• 所提出的框架实现了2轮、在随机预言模型中对主动自适应敌手具有安全性的普遍可组合不经意传输。
• 协议仅需一次公钥生成、两次加密、一次解密以及少量随机预言调用，计算开销极低。
• 通信开销极小：仅需一个公钥、两个密文以及三个大小为消息长度的二进制字符串，通信效率高。
• 首次基于低噪声LPN、McEliece和QC-MDPC假设实现了UC安全的OT协议，其性能比以往自适应安全构造高出数个数量级。
• 基于CDH的实例化在效率上与Chou-Orlandi最简OT（仅实现静态安全性）相当，但仅增加两个额外群元素，并在标准CDH假设下支持自适应安全性。
• QC-MDPC的实现结果表明：密钥生成约需101.59千周期（128位安全强度），加密约需73.85千周期，解密约需1,758.66千周期，证明了其实际可行性。