[논문 리뷰] Modulus Computational Entropy

Maciej Skórski|arXiv (Cornell University)|2013. 02. 08.

Physical Unclonable Functions (PUFs) and Hardware Security참고 문헌 8인용 수 6

한 줄 요약

이 논문은 현재의 유출에만 의존하는 체인 규칙을 가능하게 하는 계산적 엔트로피의 강화된 정의인 모듈러스 계산적 엔트로피를 도입한다. 기존 정의의 핵심적 한계를 해결하여 엔트로피 손실이 이전의 유출 $(Z_1,\ldots,Z_\ell)$ 의 크기와는 무관하고 오직 새로운 유출 $ Z_{\ell+1} $ 에만 의존하도록 보장하며, 기존의 계산적 엔트로피와 유출 내성 개념을 통합한다.

ABSTRACT

The so-called {\em leakage-chain rule} is a very important tool used in many security proofs. It gives an upper bound on the entropy loss of a random variable $X$ in case the adversary who having already learned some random variables $Z_{1},\ldots,Z_{\ell}$ correlated with $X$, obtains some further information $Z_{\ell+1}$ about $X$. Analogously to the information-theoretic case, one might expect that also for the \emph{computational} variants of entropy the loss depends only on the actual leakage, i.e. on $Z_{\ell+1}$. Surprisingly, Krenn et al.\ have shown recently that for the most commonly used definitions of computational entropy this holds only if the computational quality of the entropy deteriorates exponentially in $|(Z_{1},\ldots,Z_{\ell})|$. This means that the current standard definitions of computational entropy do not allow to fully capture leakage that occurred "in the past", which severely limits the applicability of this notion. As a remedy for this problem we propose a slightly stronger definition of the computational entropy, which we call the \emph{modulus computational entropy}, and use it as a technical tool that allows us to prove a desired chain rule that depends only on the actual leakage and not on its history. Moreover, we show that the modulus computational entropy unifies other,sometimes seemingly unrelated, notions already studied in the literature in the context of information leakage and chain rules. Our results indicate that the modulus entropy is, up to now, the weakest restriction that guarantees that the chain rule for the computational entropy works. As an example of application we demonstrate a few interesting cases where our restricted definition is fulfilled and the chain rule holds.

연구 동기 및 목표

• 기존 표준 계산적 엔트로피 정의가 현재의 유출에만 의존하는 체인 규칙를 지원하지 못하는 실패를 해결한다.
• 기존 정의가 이전 유출의 크기에 따라 계산적 품질이 지수적으로 악화되는 문제를 해결하여 실용적 적용 가능성을 제한한다.
• 유출 시나리오에 대해 깔끔한 체인 규칙를 복원할 수 있는 더 강력한 새로운 정의인 모듈러스 계산적 엔트로피를 제안한다.
• 정보 유출과 체인 규칙에 관련된 서로 다른 개념들을 단일이고 일관된 프레임워크 아래 통합한다.
• 모듈러스 계산적 엔트로피는 여전히 유효한 체인 규칙을 보장하는 데 필요한 가장 약한 제약 조건임을 보여준다.

제안 방법

• 표준의 구분 기반 계산적 엔트로피 정의의 개선으로서 모듈러스 계산적 엔트로피를 도입한다.
• 분포들이 효율적인 구분자가 그들을 유의미한 우위로 구분할 수 없을 경우에만 가까운 것으로 간주하는, 구분자 기반 프레임워크를 사용해 새로운 개념을 정의한다.
• 체인 규칙를 증명하여 그 결과가 오직 새로운 유출 $ Z_{\ell+1} $ 의 크기에만 의존하고 이전 역사 $ (Z_1,\ldots,Z_\ell) $ 에는 의존하지 않도록 한다.
• 확률적 샘플링과 농도 불등식(예: 체르노프 불등식)을 사용하여 조건부 분포 위에서 구분자의 기대값을 추정하는 샘플러 $ h(z) $ 를 구성한다.
• 구분자 클래스에 NP 회로가 포함된 경우를 다루기 위해 [OG09]의 결과를 활용하여 회로 크기를 추정하는 NP-오라클 기반 방법을 적용한다.
• 조건부 분포 간의 $ L^2 $-거리에 상한을 두기 위해 제곱 구분 가능성 조건을 설정하며, 이는 $ L^1 $-거리에 대한 상한을 이끌어내고, 결과적으로 계산적 엔트로피에 대한 상한을 제공한다.

실험 결과

연구 질문

• RQ1 현재의 유출 $ Z_{\ell+1} $ 에만 의존하고 이전의 유출 $ (Z_1,\ldots,Z_\ell) $ 와는 무관한 계산적 엔트로피의 체인 규칙를 설정할 수 있는가?
• RQ2 표준 계산적 엔트로피 정의가 이러한 체인 규칙를 지원하지 못하는 이유는 무엇이며, 이로 인해 발생하는 이론적 결함은 무엇인가?
• RQ3 기존 정의의 최소한의 강화로써 깔끔한 체인 규칙를 복원하면서도 계산의 실용성을 유지할 수 있는가?
• RQ4 제안된 모듈러스 계산적 엔트로피는 다른 알려진 계산적 엔트로피 및 유출 내성 개념과 어떻게 관련이 있는가?
• RQ5 이 새로운 정의는 순차적으로 유출이 발생하는 실제 암호 구조에 적용될 수 있는가?

주요 결과

• 모듈러스 계산적 엔트로피 정의는 엔트로피 손실이 이전의 유출 $ (Z_1,\ldots,Z_\ell) $ 의 크기와는 무관하고 오직 새로운 유출 $ Z_{\ell+1} $ 의 크기에만 의존하는 유출 체인 규칙를 가능하게 한다.
• 논문은 $ X|Z $ 가 $ Y|Z $ 와 $ (s,\epsilon) $-제곱 구분 가능하고 $ \widetilde{\mathbf{H}}_{\infty}(Y|Z) \geq k $ 이면 $ \mathbf{H}^{\text{Metric},s,\sqrt{\epsilon}}(X|Z) \geq k $ 임을 증명하여 정량적 체인 규칙를 확립한다.
• 샘플러 $ h(z) $ 의 구성은 $ \mathbf{H}_{\infty}(Y|Z) \geq k' = k + \log(1/\delta) $ 이고 $ \delta = \epsilon'^2/64 $ 라면, 구분자 $ D'' $ 가 $ (X,Z) $ 와 $ (Y,Z) $ 를 최소 $ \epsilon'^2/64 $ 의 우위로 구분할 수 있음을 보장한다.
• NP-오라클 케이스에서는 정확한 수세기 계산이 어려운 상황에서도 확률적 알고리즘을 사용해 회로 크기를 높은 확률과 작은 오차로 추정함으로써 $ h(z) $ 를 구성할 수 있다.
• 모듈러스 계산적 엔트로피는 다양한 계산적 엔트로피 및 유출 내성 개념을 통합하며, 여전히 유효한 체인 규칙를 지원하는 데 필요한 가장 약한 제약 조건임을 보여준다.
• 결과적으로 제안된 정의가 깔끔한 체인 규칙를 위해 필수적이고 충분함을 입증하여 향후 순차적 유출을 포함한 보안 증명의 기초 도구가 될 수 있음을 보여준다.