[论文解读] Equivalence of the Random Oracle Model and the Ideal Cipher Model, Revisited

Thomas Holenstein, Robin Künzler+1 more|arXiv (Cornell University)|Nov 4, 2010

Cryptography and Data Security参考文献 3被引用 4

一句话总结

本文通過展示此前聲稱與可逆隨機排列無差別的六輪費斯道爾結構實際上因具體區分攻擊而失敗，重新審視了隨機Oracle模型與理想密碼模型之間的等價性。為解決此問題，作者證明十四輪費斯道爾結構可實現無差別性，並提出一種新穎的證明策略，為每輪分配獨特角色，以避免較短結構中存在的弱點。

ABSTRACT

We consider the cryptographic problem of constructing an invertible random permutation from a public random function (i.e., which can be accessed by the adversary). This goal is formalized by the notion of indifferentiability of Maurer et al. (TCC 2004). This is the natural extension to the public setting of the well-studied problem of building random permutations from random functions, which was first solved by Luby and Rackoff (Siam J. Comput., '88) using the so-called Feistel construction. The most important implication of such a construction is the equivalence of the random oracle model (Bellare and Rogaway, CCS '93) and the ideal cipher model, which is typically used in the analysis of several constructions in symmetric cryptography. Coron et al. (CRYPTO 2008) gave a rather involved proof that the six-round Feistel construction with independent random round functions is indifferentiable from an invertible random permutation. Also, it is known that fewer than six rounds do not suffice for indifferentiability. The first contribution (and starting point) of our paper is a concrete distinguishing attack which shows that the indifferentiability proof of Coron et al. is not correct. In addition, we provide supporting evidence that an indifferentiability proof for the six-round Feistel construction may be very hard to find. To overcome this gap, our main contribution is a proof that the Feistel construction with eigthteen rounds is indifferentiable from an invertible random permutation. The approach of our proof relies on assigning to each of the rounds in the construction a unique and specific role needed in the proof. This avoids many of the problems that appear in the six-round case.

研究动机与目标

• 探討在隨機Oracle與理想密碼模型背景下，六輪費斯道爾結構聲稱可無差別地模擬可逆隨機排列的正確性。
• 識別並展示針對科羅等人（CRYPTO 2008）先前證明中使用的模擬器的具體區分攻擊。
• 在理想密碼模型下建立費斯道爾結構正確且穩健的無差別性證明，從而恢復隨機Oracle與理想密碼模型之間的等價性。
• 開發一種新穎的證明技術，為費斯道爾結構中的每輪分配特定且獨特的角色，以避免較短結構中出現的病態現象。

提出的方法

• 提出一種區分攻擊，利用六輪費斯道爾結構中模擬器行為的不一致性，表明模擬器無法完美模擬理想密碼。
• 提出十四輪費斯道爾結構作為安全替代方案，其中每輪在證明結構中被賦予獨特角色，以避免衝突與一致性問題。
• 採用三階段模擬框架：(1) 以隨機函數取代置換，(2) 引入費斯道爾結構，(3) 移除模擬器以與理想模型進行比較。
• 使用機率分析來限制模擬過程中「壞事件」（如不一致查詢或衝突）的機率，表明其發生機率可忽略不計。
• 應用模擬器隨機性與表上均勻分佈之間的映射論證，證明統計距離受 $ \frac{4 \cdot 10^{19} \cdot q^{10}}{2^n} $ 限制。
• 利用關於鏈長與查詢集的引理，限制可能衝突的數量，確保模擬器行為在統計上與理想原 primitive 無法區分。

实验结果

研究问题

• RQ1 在理想密碼模型下，六輪費斯道爾結構是否真正可無差別地模擬可逆隨機排列？
• RQ2 能否針對科羅等人先前證明中使用的模擬器構建區分攻擊？
• RQ3 費斯道爾結構要實現對可逆隨機排列的無差別性，最少需要多少輪？
• RQ4 能否設計一種新穎的證明技術，通過為每輪分配獨特角色，避免先前方法中的缺陷？

主要发现

• 針對六輪費斯道爾結構中模擬器的具體區分攻擊被成功演示，從而否定了科羅等人先前的證明。
• 十四輪費斯道爾結構被證明可無差別地模擬可逆隨機排列，為隨機Oracle與理想密碼模型之間的等價性奠定了正確基礎。
• 模擬器輸出與理想模型之間的統計距離受 $ \frac{8 \cdot 10^{19} \cdot q^{10}}{2^n} $ 限制，當 $ n $ 較大時可忽略不計。
• 證明顯示，對於良好輸入，模擬器行為與理想密碼無法區分，失敗機率（壞事件）受 $ \frac{4 \cdot 10^{19} \cdot q^{10}}{2^n} $ 限制。
• 為每輪分配獨特角色的方法可防止短結構（特別是六輪變體）中常見的衝突與一致性問題。