Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

70
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
69
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
• βl,m der durchschnittliche Wert, den T einer von PBG generierten m-Bit-Folge zuordnet, wenn
der Sicherheitsparameter l ist (wobei der Durchschnitt über die Schlüssel und Startwerte gebildet
wird, die beim Sicherheitsparameter l erzeugt werden).
echte
Zufallszahl
Sicherheitsparameter
ll
Damit gilt formaler, d.h. bei Umstellung des formalen Parameters m auf beliebiges Polynom Q(l):
Schlüsselgen.
=
Schlüssel- u.
Startwertgen.
n, s
Ein PBG besteht T gdw.
Für alle Polynome Q und alle t > 0 gilt: Für alle genügend großen l liegt βl,Q(l) im Intervall αQ(l) ±
1/lt .
n,s
geheimer Schlüssel =
Schlüssel u. Startwert
Zu dieser „stärksten“ Forderung sind die folgenden 3 äquivalent (aber leichter beweisbar):
Für jede erzeugte endliche Anfangs-Bitfolge, bei der ein beliebiges (das rechte, linke) Bit fehlt,
kann jeder polynomial zeitbeschränkte Algorithmus P (Prädiktor) das fehlende Bit „nur raten“
(d.h. nicht besser voraussagen als mit Wahrscheinlichkeit 1/2± 1/lt .).
Klartext
x
Entschlüsselung:
Erzeuge
b b b ...,
0 1 2
addiere
Klartext Verschlüsse- Schlüsseltext
lung: Erzeuge
x
k(x)
b b b ...,
= x x x ... 0 1 2
0 1 2 addiere = x 0 ⊕ b 0 ,
x 1 ⊕ b 1 , …
Beweisideen (indirekte Beweise):
Geheimer Bereich
1. (Einfacher Teil) Jeder Prädiktor ist auch als Test zu verwenden: Man nimmt von der zu testenden
Folge alle Bits bis auf eines, gibt sie als Eingabe in den Prädiktor und vergleicht das Ergebnis mit
dem richtigen Bit aus der Folge. Das Testergebnis ist 1, wenn der Prädiktor richtig geschätzt hat,
und 0 sonst. Der Wert αm ist 1/2, denn bei echten Zufallsfolgen kann jeder Prädiktor nur mit
Wahrscheinlichkeit 1/2 richtig schätzen. Wenn der Prädiktor also auf PBG-Folgen wesentlich
anders (besser) schätzt, hat der PBG diesen Test nicht bestanden.
Bild 3-18: Pseudo-one-time-pad
Dabei muß statt des langen one-time-pads nur noch der kurze Schlüssel und Startwert des PBG
ausgetauscht werden.
Forderung an Pseudo-one-time-pad: Für jeden polynomial beschränkten Angreifer soll das
Pseudo-one-time-pad bis auf einen verschwindenden Anteil der Fälle so sicher wie one-time-pad sein.
2. (Schwierigerer Teil) Zu zeigen: Aus jeder der 3 schwächeren Forderungen folgt die „stärkste“.
Wir nehmen also an, es gebe irgendeinen Test T, den PBG nicht besteht, und zeigen, daß es
dann auch einen Prädiktor gibt, der ein Bit von PBG zu gut voraussagt. Hier wird das für das
linke Bit gezeigt.
Für ein t > 0, ein Polynom Q und unendlich viele l liegt βl,Q(l) außerhalb, z.B. oberhalb, des
Intervalls αQ(l) ± 1/lt .
Man wirft nun T eine Bitfolge aus 2 Teilen vor, mit den Längen j + k = Q(l), und zwar ist der
linke Teil echt zufällig und der rechte von PBG generiert. Man vergleicht immer zwei benachbarte
Typen von Folgen.
Die Idee dazu ist, daß wenn kein polynomialer Test (also auch kein polynomialer Angreifer) die
Pseudo-one-time-pads und die echten one-time-pads unterscheiden kann, es dann bzgl. polynomialer
Angreifer auch keinen Unterschied machen kann, ob man mit einem Pseudo-one-time-pad oder einem
echten one-time-pad verschlüsselt.
echt zufällig____
Aj+1 = {r1 ... rj rj +1 b1 ... bk } ergibt Testergebnisse näher bei αQ(l) Aj = {r1 ... rj b0 b1 ... bk } ergibt Testergebnisse weiter weg, z.B. höher.
von PBG generiert
Obiges muß mindestens für ein j gelten, da A0 die PBG-Folgen sind und AQ(l) die echten Zufallsfolgen
Daraus konstruiert man einen Prädiktor für die Bitfolge b1 ... bk folgendermaßen: Man wählt sich
eine echte Zufallsfolge r1 ... rj dazu und wendet zweimal den Test T an, nämlich
T auf {r1 ... rj 0 b1 ... bk }: Nenne das Ergebnis α0 T auf {r1 ... rj 1 b1 ... bk }: Nenne das Ergebnis α1 Rate b0 = 0 mit Wahrscheinlichkeit 1/2 + 1/2 (α0 - α1 ).
(Genauer: [BlBS_86 Seite 375f])
3.4.3 Der s 2 -mod-n-Generator
Forderungen an PBG
„Stärkste“ Forderung: PBG besteht jeden probabilistischen Test T polynomialer Laufzeit.
Dabei heißt „besteht“: Der Test kann Folgen, die der PBG erzeugt, nicht mit signifikanter
Wahrscheinlichkeit von echten Zufallsbitfolgen unterscheiden.
Ein probabilistischer Test T polynomialer Laufzeit ist ein probabilistischer, polynomial
zeitbeschränkter Algorithmus, der jeder Eingabe aus {0, 1} * (also einer endlichen Folge, die er
testen soll) eine reelle Zahl aus [0, 1] zuordnet. (Der Wert hängt im allgemeinen von den
Zufallsentscheidungen in T ab.)
Die Grundidee ist nun, daß nicht jede einzelne Folge betrachtet wird (denn jede einzelne endliche
Folge kann ja mit gleicher Wahrscheinlichkeit von einem echten Zufallsgenerator erzeugt werden,
d.h. von der Zufälligkeit einer einzelnen Folge zu sprechen, ist für die Kryptographie sinnlos). Statt
dessen vergleicht man den Durchschnittswert des Tests für die PBG-Folgen mit dem Durchschnittswert
für echte Folgen. Wenn im Mittel bei beiden Sorten von Folgen dasselbe herauskommt,
kann der Test nicht helfen, die PBG-Folgen von den echten Zufallsfolgen zu unterscheiden.
Sei dazu
• αm der durchschnittliche Wert, den T einer echt zufälligen m-Bit-Folge zuordnet (d.h. der
Erwartungswert bei Gleichverteilung über alle m-Bit-Folgen überhaupt), und
Der s2-mod-n-Generator ist ein bestimmter Pseudozufallsbitfolgengenerator, der mit Quadraten (und
der Schwierigkeit des Wurzelziehens bzw. des Entscheidens, ob etwas ein Quadrat ist) arbeitet.