De viktigaste resultaten av detta arbete är nya allmänna krypteringssystem som, under antagandet om quadratic residuosity (QR) (eller Paillier's beslutsmässiga sammansatta residuosity (DCR) antagande), uppnå nyckelberoende meddelandesäkerhet samt hög motståndskraft mot hemligt nyckelläckage och hög motståndskraft mot förekomsten av extra indata. I synnerhet, enligt vad vi kallar undergruppen oskiljaktighet antagande, som QR och DCR är specialfall, kan vi konstruera ett system som har: • Nyckelberoende meddelande (cirkulärt) säkerhet. Uppnår säkerhet även när kryptera affin funktioner av sin egen hemliga nyckel (i själva verket w.r.t. affina "nyckelcyklar" av fördefinierad längd. Vårt system uppfyller också kraven för att utöka nyckelberoende meddelandesäkerhet till bredare klasser av funktioner utöver affina funktioner med hjälp av tidigare tekniker av [BGK, ePrint09] eller [BHHI, Eurocrypt10]. • Läckageförslitning. Kvarstår säkra även om någon motstående lågentropi (effektivt beräkningsbar) funktion av den hemliga nyckeln ges till motståndaren. Ett korrekt urval av parametrar möjliggör en "läckhastighet" på (1 – o(1)) av längden på den hemliga nyckeln. • Stödinsatssäkerhet. Kvarstår säkra även om någon tillräckligt svår att invertera (effektivt beräkningsbar) funktion av den hemliga nyckeln ges till motståndaren. Vår plan är den första att uppnå nyckelberoende säkerhet och extraingång säkerhet baserat på DCR och QR antaganden. Tidigare system som uppnådde dessa egenskaper var beroende av antingen DDH- eller LWE-antagandena. Det föreslagna systemet är också det första som uppnår läckageresiliens för läckagehastighet (1 – o(1)) av den hemliga nyckellängden, enligt antagandet om QR. Vi noterar att läckagetåliga system enligt DCR- och QR-antagandena, för det begränsade fallet av sammansatta moduler produkt av säkra primer, var underförstådda av arbetet av [NS, Crypto09], med hash bevissystem. Enligt QR:s antagande ger dock kända konstruktioner av hashsäkra system endast en läckagehastighet av o(1) av den hemliga nyckellängden. Nyckelberoende meddelanden. Bristen på standardsäkerhetsdefinitionen i det fall där den enkla texten som ska krypteras beror på den hemliga nyckeln märktes redan i [GM84]. Senare konstaterades att denna situation inte är så osannolik och ibland till och med önskvärd [CL01, ABHS05, LC03]. Svart, Rogoway och Shrimpton [BRS02] formellt definierade KDM- säkerhet: angriparen kan få krypteringar av (effektiva) funktioner som den väljer, tagna från någon specificerad klass av funktioner F, tillämpas på den hemliga nyckeln. Kravet är att angriparen inte kan avgöra om alla dess frågor besvaras med kryptering av någon konstant symbol 0, istället för de begärda värdena. Denna definition utvidgas till fallet med många (säg n) användare som kan kryptera varandras hemliga nycklar: angriparens frågor innehåller nu en funktion som ska tillämpas på alla hemliga nycklar, och en identitet på användaren vars öppna nyckel ska användas för att kryptera. Detta senare fall kallas KDM (n) - säkerhet medan enanvändarfallet kallas KDM (1) - säkerhet. Boneh, Halevi, Hamburg och Ostrovsky [BHHO08] konstruerade ett allmänt krypteringssystem som är KDM (n) säker w.r.t. Alla afffin funktioner, 1 enligt beslut Diffie-Hellman (DDH) antagande, för alla polynom n. Detta första resultat följdes av arbetet av Applebaum, Cash, Peikert och Sahai [AVS09] som bevisade att en ändring av Regev s system [Reg05] är också KDM säker w.r.t. alla affina funktioner, under inlärning med fel (LWE) antagande. Senare arbeten av Brakerski, Goldwasser och Kalai [BGK09] och av Barak, Haitner, Hofheinz och Ishai [BHI09] presenterade varje allmän och olika tekniker för att utöka KDMsäkerhet till rikare klasser av funktioner. I [BGK09] införs begreppet entropi-δ KDM-säkerhet. Ett system är entropi-σ KDM-säker om det förblir KDM-säker även om den hemliga nyckeln provtas från en högentropi distribution, snarare än en enhetlig. De visar att ett system med entropiε KDM-säkerhet innebär ett system som är KDM-säkert w.r.t. I stort sett varje fördefinierad uppsättning funktioner av polynom kardinalitet. I [BHHI09] introduceras begreppet riktad kryptering med öppen nyckel. Ett riktat krypteringssystem kan ses som en kombination av oöverträffad överföring och kryptering: det är möjligt att kryptera på ett sådant sätt att chiffertexten kan dekrypteras endast om en viss del av den hemliga nyckeln tar ett fördefinierat värde. De visar att ett riktat krypteringssystem innebär ett KDM-säkert system w.r.t. alla funktioner som kan beräknas av kretsar av någon fördefinierad (polynomiell) storlek. Dessa två resultat uppnår ojämförlig prestanda. Medan i den förra, den offentliga nyckeln och chiffertext längder beror på storleken på funktionsklassen (men inte på dess komplexitet) och är oberoende av antalet användare n, i den senare den offentliga nyckelstorleken beror inte på funktionsklassen, men chiffertext längd är linjär i produkten av n gånger komplexiteten i funktionerna. Läckageförslitning. Arbetet med kalla kängor attacker av Halderman et al. [HSH + 08], gav upphov till begreppet öppen kryptering motståndskraftig mot (bundna) minnesläckage attacker, presenteras av Akavia, Goldwasser och Vaikuntanathan [AGV09] och ytterligare utforskas av Naor och Segev [NS09]. I sin definition, säkerhet innehar även om angriparen får viss information av sitt val (beroende på värdet av den offentliga nyckeln) på systemets hemliga nyckel, så länge den totala mängden information läckt inte överstiger en a-prioriterad information teoretiska bundna. Mer formellt kan angriparen begära och ta emot f (sk) för en längdbegränsad funktion f. 2 [AGV09, NS09] presenterade öppen nyckel kryptering system som är motståndskraftiga mot läckage av även en 1 − o(1) fraktion av den hemliga nyckeln (vi
Brabrski och Goldwasser REF föreslog en läckagetålig PKE under undergruppen oskiljbarhet, vilket är en teoretisk prestandautvärdering för att förbättra läckagehastigheten.
Circular and leakage resilient public-key encryption under subgroup indistinguishability
{'venue': 'IACR Cryptology ePrint Archive', 'journal': 'IACR Cryptology ePrint Archive', 'mag_field_of_study': ['Computer Science', 'Mathematics']}