[论文解读] How to Subvert Backdoored Encryption: Security Against Adversaries that Decrypt All Ciphertexts

Thibaut Horel, Sunoo Park+2 more|arXiv (Cornell University)|Feb 21, 2018

Cryptography and Data Security参考文献 20被引用 10

一句话总结

本文证明，即使在政府强制要求使用带后门密钥的加密方案——允许其解密所有通信——的世界中，公民仍可仅利用强制方案的语义安全性，实现不可检测的隐性通信。通过在密文上应用两源提取器，作者构建了一种协议，将秘密信息嵌入看似正常的加密流量中，使拥有完整解密权限的对手也无法察觉。

ABSTRACT

We study secure and undetectable communication in a world where governments can read all encrypted communications of citizens. We consider a world where the only permitted communication method is via a government-mandated encryption scheme, using government-mandated keys. Citizens caught trying to communicate otherwise (e.g., by encrypting strings which do not appear to be natural language plaintexts) will be arrested. The one guarantee we suppose is that the government-mandated encryption scheme is semantically secure against outsiders: a perhaps advantageous feature to secure communication against foreign entities. But what good is semantic security against an adversary that has the power to decrypt? Even in this pessimistic scenario, we show citizens can communicate securely and undetectably. Informally, there is a protocol between Alice and Bob where they exchange ciphertexts that look innocuous even to someone who knows the secret keys and thus sees the corresponding plaintexts. And yet, in the end, Alice will have transmitted her secret message to Bob. Our security definition requires indistinguishability between unmodified use of the mandated encryption scheme, and conversations using the mandated encryption scheme in a modified way for subliminal communication. Our topics may be thought to fall broadly within the realm of steganography: the science of hiding secret communication in innocent-looking messages, or cover objects. However, we deal with the non-standard setting of adversarial cover object distributions (i.e., a stronger-than-usual adversary). We leverage that our cover objects are ciphertexts of a secure encryption scheme to bypass impossibility results which we show for broader classes of steganographic schemes. We give several constructions of subliminal communication schemes based on any key exchange protocol with random messages (e.g., Diffie-Hellman).

研究动机与目标

• 探究在一个政府强制使用带后门密钥加密方案的世界中，是否可能实现安全且不可检测的通信。
• 解决当攻击者控制加密方案并能解密所有密文时的隐性通信挑战。
• 构建一种协议，使双方可通过看似正常的加密通信交换秘密信息，且对拥有完整密钥的攻击者不可检测。
• 形式化一种安全模型，使攻击者无法通过强制使用的加密方案区分正常通信与隐性通信。
• 通过利用底层加密方案的语义安全性作为隐性通信的资源，克服隐写术中的不可能性结果。

提出的方法

• 利用政府强制使用的加密方案的语义安全性作为隐性通信的基础，即使攻击者掌握所有密钥亦成立。
• 使用两源提取器（例如，Raz [2005]）从密文与消息对中提取接近均匀的随机性，确保对攻击者而言与均匀分布不可区分。
• 设计一种两方协议，使爱丽丝与鲍勃交换的密文在强制方案下看似语义有效，但通过提取器输出编码秘密信息。
• 确保交换密文的分布即使在攻击者知晓密钥的情况下，也与正常通信统计不可区分。
• 通过公开参数与密钥交换（例如，Diffie-Hellman）构建初始化阶段，建立共享随机性，以实现安全的隐性传输。
• 采用混合方法，结合概率与确定性提取技术，目标是减少通信轮数并提高效率。

实验结果

研究问题

• RQ1 在攻击者控制加密方案并持有所有解密密钥的环境中，是否可以实现隐性通信？
• RQ2 当攻击者可选择密文分布（即攻击者选择载体）时，是否可能实现不可检测的通信？
• RQ3 在强大攻击者存在的情况下，能否将加密方案的语义安全性重新用作隐写通信的原 primitive？
• RQ4 构建安全隐性通信协议所需的最小假设是什么（例如，使用伪随机消息的密钥交换）？
• RQ5 能否使用确定性提取器消除初始化阶段的随机性，从而减少通信轮数并提高效率？

主要发现

• 构建了一种两方隐性通信协议，即使对拥有所有密钥的攻击者而言，其行为也与正常加密通信不可区分。
• 该协议依赖于输出长度为 $ \tilde{O}("\text{log}"\text{)} $ 的两源提取器，每轮通信可编码 $ \tilde{O}(\text{log} \text{)} $ 位的秘密信息。
• 对于任意 $ \rho > 0 $，若下一条消息的分布具有至少 $ \frac{1}{2} + \rho $ 的最小熵，则协议可实现统计不可区分性，且误差可忽略 $ \tilde{\text{O}}(\text{log} \text{)} $。
• 该构造在假设存在使用伪随机消息的密钥交换协议（例如，Diffie-Hellman）的前提下是安全的，此类协议被广泛认为是安全的。
• 若加密方案被限制在有界电路大小或常数深度（AC⁰）的类别中，则可使用确定性提取器，从而可能消除初始化阶段的随机性。
• 通过假设加密方案从固定类别中选取，绕过了定理 4.1 中的不可能性结果，从而可使用确定性提取器并提升效率。