[论文解读] Merkle Puzzles are Optimal

Boaz Barak, Mohammad Mahmoody|arXiv (Cornell University)|Jan 1, 2008

Cryptography and Data Security参考文献 8被引用 4

一句话总结

本文在随机预言机模型中证明，任何诚实参与方可最多发起 n 次查询的密钥交换协议，均可被发起 O(n²) 次查询的攻击者攻破，从而建立了紧致的界限。该结果在常数因子意义下是最优的，因为梅克勒的 n 查询协议无法在少于 Ω(n²) 次查询下被攻破，且该界限在随机置换模型中同样成立。

ABSTRACT

We prove that every key exchange protocol in the random oracle model in which the honest users make at most n queries to the oracle can be broken by an adversary making O(n 2) queries to the oracle. This improves on the previous ˜ Ω(n 6) query attack given by Impagliazzo and Rudich (STOC ’ 89). Our bound is optimal up to a constant factor since Merkle (CACM ’78) gave an n query key exchange protocol in this model that cannot be broken by an adversary making o(n 2) queries. Our result extends to an O(n 2) query attack in the random permutation model, improving on the pervious ˜ Ω(n 12) attack of Impagliazzo and Rudich. This bound again is optimal up to a constant factor since Merkle’s protocol can be adapted to this model as well. 1

研究动机与目标

• 为填补随机预言机模型中密钥交换协议的最佳已知攻击复杂度与安全性之间的差距。
• 在随机预言机模型中建立破译密钥交换协议的查询复杂度的紧致上界。
• 将分析扩展至随机置换模型，并证明 O(n²) 界仍然最优。
• 通过证明不存在攻击者能以 o(n²) 次查询攻破梅克勒的 n 查询密钥交换协议，从而证明该协议的最优性。

提出的方法

• 分析随机预言机模型中密钥交换协议的查询复杂度，重点关注诚实参与方与攻击者所发起的查询次数。
• 使用组合论证方法，限制攻击者相对于诚实参与方查询的可区分查询数量。
• 应用信息论技术，表明任何具有 n 次诚实查询的协议，均会受到 O(n²) 次查询攻击者的威胁。
• 通过将查询复杂度论证适配至置换预言机，将分析扩展至随机置换模型。
• 利用梅克勒原始协议作为匹配的下界，以证明 O(n²) 攻击复杂度的最优性。
• 采用归约方法，表明任何协议都无法在查询受限攻击者下实现优于 O(n²) 的安全性。

实验结果

研究问题

• RQ1 在随机预言机模型中，对于具有 n 次诚实查询的密钥交换协议，攻击者破译该协议所需的查询数的最紧致上界是什么？
• RQ2 O(n²) 攻击界限能否扩展至随机置换模型？该界限是否仍然最优？
• RQ3 梅克勒的 n 查询协议在随机预言机与随机置换模型中，其对抗者查询复杂度是否最优？
• RQ4 破译密钥交换协议的查询复杂度如何随诚实查询数 n 的变化而变化？
• RQ5 在随机预言机模型中，能否弥合最佳已知攻击与已知协议安全性之间的差距？

主要发现

• 本文确立了在随机预言机模型中，任何具有 n 次诚实查询的密钥交换协议，均可被发起 O(n²) 次查询的攻击者攻破。
• 该 O(n²) 界在常数因子意义下是最优的，因为梅克勒协议无法在 o(n²) 次查询下被攻破。
• 在随机置换模型中，相同的 O(n²) 攻击界限依然成立，优于先前的 ˜Ω(n¹²) 界。
• 梅克勒协议在随机预言机与随机置换模型中的最优性均得到确认。
• 该分析弥合了最佳已知攻击与已知协议安全性之间的差距，表明梅克勒构造在渐近意义上是最优的。
• 结果表明，在这些模型中，任何密钥交换协议都无法在查询受限攻击者下实现优于 O(n²) 的安全性。