[论文解读] Modulus Computational Entropy

Maciej Skórski|arXiv (Cornell University)|Feb 8, 2013

Physical Unclonable Functions (PUFs) and Hardware Security参考文献 8被引用 6

一句话总结

本文引入了模计算熵（modulus computational entropy），一种强化的计算熵定义，使得泄漏链式法则仅依赖于当前泄漏，而非历史泄漏。它通过确保熵损失仅取决于新泄漏 $ Z_{\ell+1} $，而非先前泄漏 $ (Z_1,\ldots,Z_\ell) $ 的大小，解决了先前定义中的关键局限性，并统一了现有的计算熵与泄漏鲁棒性概念。

ABSTRACT

The so-called {\em leakage-chain rule} is a very important tool used in many security proofs. It gives an upper bound on the entropy loss of a random variable $X$ in case the adversary who having already learned some random variables $Z_{1},\ldots,Z_{\ell}$ correlated with $X$, obtains some further information $Z_{\ell+1}$ about $X$. Analogously to the information-theoretic case, one might expect that also for the \emph{computational} variants of entropy the loss depends only on the actual leakage, i.e. on $Z_{\ell+1}$. Surprisingly, Krenn et al.\ have shown recently that for the most commonly used definitions of computational entropy this holds only if the computational quality of the entropy deteriorates exponentially in $|(Z_{1},\ldots,Z_{\ell})|$. This means that the current standard definitions of computational entropy do not allow to fully capture leakage that occurred "in the past", which severely limits the applicability of this notion. As a remedy for this problem we propose a slightly stronger definition of the computational entropy, which we call the \emph{modulus computational entropy}, and use it as a technical tool that allows us to prove a desired chain rule that depends only on the actual leakage and not on its history. Moreover, we show that the modulus computational entropy unifies other,sometimes seemingly unrelated, notions already studied in the literature in the context of information leakage and chain rules. Our results indicate that the modulus entropy is, up to now, the weakest restriction that guarantees that the chain rule for the computational entropy works. As an example of application we demonstrate a few interesting cases where our restricted definition is fulfilled and the chain rule holds.

研究动机与目标

• 解决标准计算熵定义无法支持仅依赖于当前泄漏而非先前泄漏历史的链式法则的问题。
• 解决现有定义在先前泄漏规模增大时导致计算质量指数级下降的问题，从而限制了实际适用性。
• 提出一种新的、更强的定义——模计算熵，以恢复泄漏场景下的清晰链式法则。
• 在单一、连贯的框架下统一看似无关的信息泄漏与链式法则概念。
• 证明模计算熵是仍能保证计算熵有效链式法则的最弱限制。

提出的方法

• 将模计算熵作为基于不可区分性的标准计算熵定义的改进形式提出。
• 使用基于区分器的框架定义新概念，即若无高效区分器能以显著优势区分两组分布，则认为它们彼此接近。
• 证明模计算熵的链式法则仅依赖于新泄漏 $ Z_{\ell+1} $ 的大小，而不依赖于历史 $ (Z_1,\ldots,Z_\ell) $。
• 利用概率采样和集中不等式（如切尔诺夫不等式）构造采样器 $ h(z) $，以估计区分器在条件分布上的期望值。
• 利用 [OG09] 中关于基于 NP oracle 的电路规模估计结果，处理区分器类包含 NP 电路的情形。
• 建立平方不可区分性条件，以限制条件分布之间的 $ L^2 $-距离，从而推导出 $ L^1 $-距离的上界，进而确定计算熵。

实验结果

研究问题

• RQ1 能否建立一个仅依赖于当前泄漏 $ Z_{\ell+1} $ 而与先前泄漏 $ (Z_1,\ldots,Z_\ell) $ 无关的计算熵链式法则？
• RQ2 为何标准计算熵定义无法支持此类链式法则？其结构缺陷是什么，导致泄漏历史越长则性能指数级下降？
• RQ3 是否存在对标准定义的最小强化，可在不牺牲计算可行性的情况下恢复清晰的链式法则？
• RQ4 所提出的模计算熵与已知的其他计算熵及泄漏鲁棒性概念有何关系？
• RQ5 该新定义能否应用于泄漏按顺序发生的实际密码学构造中？

主要发现

• 模计算熵的定义使得泄漏链式法则中熵损失仅取决于新泄漏 $ Z_{\ell+1} $ 的大小，而不受先前泄漏 $ (Z_1,\ldots,Z_\ell) $ 大小的影响。
• 本文证明：若 $ X|Z $ 与 $ Y|Z $ 是 $ (s,\epsilon) $-平方不可区分的，且 $ \widetilde{\mathbf{H}}_{\infty}(Y|Z) \geq k $，则 $ \mathbf{H}^{\text{Metric},s,\sqrt{\epsilon}}(X|Z) \geq k $，从而建立了定量链式法则。
• 采样器 $ h(z) $ 的构造确保，只要 $ \mathbf{H}_{\infty}(Y|Z) \geq k' = k + \log(1/\delta) $ 且 $ \delta = \epsilon'^2/64 $，则区分器 $ D'' $ 能以至少 $ \epsilon'^2/64 $ 的优势区分 $ (X,Z) $ 与 $ (Y,Z) $。
• 在 NP-oracle 情形下，该方法使用概率算法以高概率和小误差估计电路大小，从而即使在精确计数困难时也能构造出 $ h(z) $。
• 模计算熵统一了各种计算熵与泄漏鲁棒性的概念，表明其是仍能支持有效链式法则的最弱限制。
• 结果表明，所提出的定义对于清晰链式法则而言既是必要也是充分的，使其成为未来涉及顺序泄漏的安全证明中的基础性工具。