[论文解读] Polynomial-Time, Semantically-Secure Encryption Achieving the Secrecy Capacity

Mihir Bellare, Stefano Tessaro|arXiv (Cornell University)|Jan 16, 2012

Cryptography and Data Security被引用 36

一句话总结

本文提出了首个多项式时间、语义安全的加密方案，实现了无线盗听信道模型中的保密容量。通过将容量逼近的纠错码与带种子的提取器相结合，并利用一种新颖的构造方法——ItE，该方案在确保最优传输速率的同时，对计算能力无限的攻击者实现了信息论意义上的安全，从而解决了编码与密码学领域长达30年的开放问题。

ABSTRACT

In the wiretap channel setting, one aims to get information-theoretic privacy of communicated data based only on the assumption that the channel from sender to receiver is noisier than the one from sender to adversary. The secrecy capacity is the optimal (highest possible) rate of a secure scheme, and the existence of schemes achieving it has been shown. For thirty years the ultimate and unreached goal has been to achieve this optimal rate with a scheme that is polynomial-time. (This means both encryption and decryption are proven polynomial time algorithms.) This paper finally delivers such a scheme. In fact it does more. Our scheme not only meets the classical notion of security from the wiretap literature, called MIS-R (mutual information security for random messages) but achieves the strictly stronger notion of semantic security, thus delivering more in terms of security without loss of rate.

研究动机与目标

• 解决长期存在的开放问题：构造一个多项式时间的加密方案，使其在无线盗听信道模型中实现保密容量。
• 提供一种满足语义安全（强于经典互信息安全）的方案，同时保持最优传输速率。
• 设计一种模块化、高效且可黑箱使用的纠错码机制，避免与码结构进行复杂集成。
• 证明所提出的方案中，加密与解密过程均可被严格证明为多项式时间。

提出的方法

• 该方案采用一种新颖的构造方法——ItE（先解密再加密），将带种子的提取器与线性纠错码进行组合。
• ItE接收一个消息，先应用线性码生成密文，再利用带种子的提取器对密文进行混淆，以隐藏原始消息。
• 安全性依赖于一个规则的、输出线性的、可分离的反演器，该反演器针对的是一个 (k − n·(lg(|OutA|) −H(ChA) + δ), α)-提取器。
• 该构造确保攻击者即使能获取到传输信号的噪声版本，其对密文的观察也无法获得关于明文的可忽略信息。
• 采用基于有限域的提取器，通过调节参数以实现保密容量，该参数基于接收方与攻击者信道的容量进行设定。
• 方案通过使用容量逼近的线性码（依据引理5.10）并精心选择提取器参数，实现速率与安全性的平衡。

实验结果

研究问题

• RQ1 是否存在一种多项式时间的加密方案，能够实现无线盗听信道的保密容量？
• RQ2 在保持最优速率的前提下，是否可能在无线盗听模型中实现语义安全（强于互信息安全）？
• RQ3 能否以黑箱方式使用纠错码，以在无线盗听场景中同时实现可靠性和安全性？
• RQ4 使用多项式时间算法实现保密容量所需的最小安全开销是多少？
• RQ5 该构造能否推广至二元对称信道之外的任意对称信道？

主要发现

• 所提出的方案在交叉概率满足 pR < pA 的二元对称信道中，实现了保密容量 h₂(pA) − h₂(pR)。
• 该方案为多项式时间：加密与解密均可在消息长度的多项式时间内完成。
• 实现了语义安全，即攻击者无法以优于可忽略的优势区分任意两个消息的加密结果。
• 该方案的安全性界为 Advds(SE; ChAn) ≤ 6 · 2−√n(s)，随着 s 增大，该值趋于零，从而确保强安全性。
• 该方案的传输速率在极限情况下趋近于 h₂(pA) − h₂(pR)，与理论保密容量一致。
• 该构造可扩展至具有 l 位输入的一般对称信道，安全性与速率边界按因子 l 进行调整。