[论文解读] Non-Malleable Extractors and Codes, with their Many Tampered Extensions

Eshan Chattopadhyay, Vipul Goyal+1 more|arXiv (Cornell University)|May 1, 2015

Cryptography and Data Security被引用 3

一句话总结

本文提出了对多个篡改攻击具有抗性的非陷门提取器和编码的显式构造，实现了种子提取器和两源提取器在最优参数下的性能，其最小熵分别为 $k \geq \log^2 n$ 和 $k \geq n - n^{\Omega(1)}$。本文引入了新颖的技术以确保在篡改下输出的独立性，从而实现首次高效的原像采样，并构建了具有高篡改鲁棒性和恒定速率错误的非陷门编码。

ABSTRACT

Randomness extractors and error correcting codes are fundamental objects in computer science. Recently, there have been several natural generalizations of these objects, in the context and study of tamper resilient cryptography. These are seeded non-malleable extractors, introduced in [DW09]; seedless non-malleable extractors, introduced in [CG14b]; and non-malleable codes, introduced in [DPW10]. However, explicit constructions of non-malleable extractors appear to be hard, and the known constructions are far behind their non-tampered counterparts. In this paper we make progress towards solving the above problems. Our contributions are as follows. (1) We construct an explicit seeded non-malleable extractor for min-entropy $k \geq \log^2 n$. This dramatically improves all previous results and gives a simpler 2-round privacy amplification protocol with optimal entropy loss, matching the best known result in [Li15b]. (2) We construct the first explicit non-malleable two-source extractor for min-entropy $k \geq n-n^{Ω(1)}$, with output size $n^{Ω(1)}$ and error $2^{-n^{Ω(1)}}$. (3) We initiate the study of two natural generalizations of seedless non-malleable extractors and non-malleable codes, where the sources or the codeword may be tampered many times. We construct the first explicit non-malleable two-source extractor with tampering degree $t$ up to $n^{Ω(1)}$, which works for min-entropy $k \geq n-n^{Ω(1)}$, with output size $n^{Ω(1)}$ and error $2^{-n^{Ω(1)}}$. We show that we can efficiently sample uniformly from any pre-image. By the connection in [CG14b], we also obtain the first explicit non-malleable codes with tampering degree $t$ up to $n^{Ω(1)}$, relative rate $n^{Ω(1)}/n$, and error $2^{-n^{Ω(1)}}$.

研究动机与目标

• 解决非陷门提取器在两源和无种子设置下显式构造的缺乏问题。
• 克服现有非陷门编码仅能容忍单次篡改的局限，实现对多次篡改的抗性。
• 为多种篡改场景建立统一的非陷门提取器与编码框架，扩展先前关于篡改鲁棒性的研究。
• 利用新提取器在隐私放大协议中实现最优熵损失与误差界。
• 实现对非陷门提取器的高效原像采样，这对非陷门秘密共享等密码学应用至关重要。

提出的方法

• 通过提取器与纠错码性质的创新组合，构造了最小熵 $k \geq \log^2 n$ 的种子非陷门提取器。
• 利用代数几何与有限域上的随机性提取技术，设计了最小熵 $k \geq n - n^{\Omega(1)}$ 的非陷门两源提取器。
• 提出篡改度 $t$ 最高可达 $n^{\Omega(1)}$ 的概念，将单次篡改模型推广至多次敌意篡改场景。
• 利用里德-所罗门码及其子矩阵性质建模篡改行为，并通过基于秩的子空间论证确保输出独立性。
• 应用秩-零度定理，证明被篡改输入下的原像位于固定大小的子空间中，从而实现均匀采样。
• 构造高效的采样过程 $\textnormal{Samp}_{nm}$，可独立于采样器输入，均匀采样任意输出的原像。

实验结果

研究问题

• RQ1 我们能否为最小熵 $k \geq \log^2 n$ 构造出具有最优熵损失的显式种子非陷门提取器？
• RQ2 能否构建一个针对几乎全最小熵源且误差为亚指数级的非陷门两源提取器？
• RQ3 非陷门提取器与编码能否推广至抵御多次篡改，而非仅单次？
• RQ4 非陷门提取器与编码在安全与效率方面仍保持有效的最大篡改度 $t$ 是多少？
• RQ5 即使在敌意篡改下，我们能否高效地从非陷门提取器输出的原像中采样？

主要发现

• 构造了最小熵 $k \geq \log^2 n$ 的显式种子非陷门提取器，实现了最优熵损失，并支持具有最优参数的两轮隐私放大协议。
• 首次构造了最小熵 $k \geq n - n^{\Omega(1)}$ 的显式非陷门两源提取器，输出大小为 $n^{\Omega(1)}$，误差为 $2^{-n^{\Omega(1)}}$。
• 构造了针对篡改度 $t$ 高达 $n^{\Omega(1)}$ 的非陷门两源提取器，其误差与输出大小与单次篡改情况相同。
• 本文提供了高效的方法，可从非陷门提取器的任意输出原像中均匀采样，这是密码学应用的关键要求。
• 通过利用 [CG14b] 中的联系，首次构造了显式非陷门编码，其篡改度 $t \leq n^{\Omega(1)}$，相对速率 $n^{\Omega(1)}/n$，误差为 $2^{-n^{\Omega(1)}}$。
• 任何输出的原像大小与采样过程的输入无关，确保了均匀性与正确性。