[论文解读] Trust enhancement by multiple random beacons

Charles H. Bennett, John A. Smolin|ArXiv.org|Jan 6, 2002

Cryptography and Data Security参考文献 2被引用 3

一句话总结

本文提出一种基于多个随机信标 XOR 融合的可信度增强协议，通过异或其输出生成更不可预测且更安全的随机流，确保只要至少一个信标诚实，输出即不可预测。该方法显著降低了被破坏的风险，尤其在信标时空分离时效果更佳，优于易受计算能力强的攻击者偏置的基于哈希的替代方案。

ABSTRACT

Random beacons-information sources that broadcast a stream of random digits unknown by anyone beforehand-are useful for various cryptographic purposes. But such beacons can be easily and undetectably sabotaged, so that their output is known beforehand by a dishonest party, who can use this information to defeat the cryptographic protocols supposedly protected by the beacon. We explore a strategy to reduce this hazard by combining the outputs from several noninteracting (eg spacelike-separated) beacons by XORing them together to produce a single digit stream which is more trustworthy than any individual beacon, being random and unpredictable if at least one of the contributing beacons is honest. If the contributing beacons are not spacelike separated, so that a dishonest beacon can overhear and adapt to earlier outputs of other beacons, the beacons' trustworthiness can still be enhanced to a lesser extent by a time sharing strategy. We point out some disadvantages of alternative trust amplification methods based on one-way hash functions.

研究动机与目标

• 解决单个随机信标因恶意操作员或硬件后门导致预计算破坏的脆弱性问题。
• 设计一种协议，通过组合多个非交互式信标来增强对随机信标输出的可信度，即使部分信标已被攻破。
• 证明时空分离的多个信标通过异或融合后，只要至少一个信标诚实，生成的输出流即保持不可预测性。
• 表明基于哈希的融合方法在时序或顺序信标配置下，易受计算能力强的攻击者通过偏置攻击影响。
• 在不同假设的攻击者能力与信标同步条件下，比较异或、时分复用和基于哈希的融合协议的安全特性。

提出的方法

• 通过按位异或操作组合 n 个非交互式（如时空分离）随机信标的输出，生成结果随机流 R_XOR。
• 对非时空分离的信标使用时分复用协议（R_TS），通过轮换使用各信标以降低可预测性。
• 分析 R_XOR 和 R_TS 的每字符最小熵，表明两者均达到 (n−k)/n log ℓ，其中 k 为恶意信标数量。
• 证明计算能力强的攻击者（Eve）可通过选择特定输入，对基于哈希的融合输出 R_h 实施偏置攻击。
• 表明在时序配置下，Eve 在观察到诚实信标输出后，可通过对输入暴力搜索，强制使 R_h 的多达几十比特与目标字符串匹配。
• 对比可预测性模式：R_h 允许攻击者控制特定比特，而 R_TS 则使一半比特不可预测，且攻击者无法控制其位置。

实验结果

研究问题

• RQ1 通过异或方式组合多个随机信标，是否能生成即使部分信标不诚实也保持不可预测的结果流？
• RQ2 在使用异或与时分复用协议时，组合流的可信度如何随诚实信标数量的增加而变化？
• RQ3 为何当攻击者具备显著计算能力时，基于哈希的融合方法（如 R_h）不如异或或时分复用方法安全？
• RQ4 信标的同步方式（时空分离 vs. 时序分离）对组合随机流的安全性有何影响？
• RQ5 在何种场景下，输出的部分可预测性（如对特定比特的控制）对密码学应用更具或更少破坏性？

主要发现

• 时空分离信标的异或融合生成的结果流 R_XOR 在至少一个信标诚实的情况下，为完全随机且不可预测，每字符达到最优最小熵 (n−k)/n log ℓ。
• 时分复用协议 R_TS 与 R_XOR 具有相同的最小熵 (n−k)/n log ℓ，即使所有信标未实现时空分离，也能确保不可预测性。
• 计算能力强的攻击者可通过策略性输入选择，对基于哈希的融合 R_h 输出实施偏置，例如强制首位为 0。
• 在时序配置下，强大的 Eve 可在观察到诚实信标输出后，通过搜索输入使 R_h 的多达几十比特与目标字符串匹配，精确匹配的成功概率约为 1/e。
• 基于哈希的融合 R_h 不如异或或时分复用安全，因其允许攻击者控制输出的特定比特，而时分复用仅使一半比特不可预测且无位置控制。
• 在时间区间视频认证场景中，R_TS 优于 R_h，因为少数不可控挑战比大量部分可控挑战更难模拟。