Anais - Engenharia de Redes de Comunicação - UnB

Duas sessões são consideradas com matching se: (1) envolvem os mesmos participantes,
(2) se na primeira sessão um participante é o emissor e o outro o receptor, então
na segunda sessão os participantes devem inverter os papéis e (3) as mensagens de saída
de uma sessão são iguais às de entrada na outra e vice-versa. Uma sessão é considerada
fresh se:
• ela se encerrou e o adversário não revelou a chave de sessão;
• nenhum de seus participantes teve mais que dois segredos corrompidos;
• não existe sessão com matchingque tenha tido sua chave secreta revelada.
O adversário pode realizar uma única consulta ao oráculo de Teste, sobre uma sessão
necessariamente fresh. Para responder esse oráculo, o simulador joga uma moeda não
viciada para escolher se entrega a verdadeira chave da sessão de Teste ou um número
aleatório. O adversário vence o jogo contra o simulador se puder advinhar qual foi o
resultado da moeda jogada. A vantagem do adversário é definida como a distância entre
0,5 e a probabilidade dele vencer o jogo.
Um protocolo CL-AKA é dito seguro se qualquer adversário, externo ou interno
mal intencionado, tem vantagem negligenciável sob o parâmetro de segurança.
A descrição formal desses conceitos e modelo segue [Bellare e Rogaway 1993a] e
[LaMacchia et al. 2007].
4. Novo Protocolo CL-AKA Seguro no Modelo Estendido
Passamos a descrever um novo protocolo CL-AKA que pode ser demonstrado seguro no
modelo estendido, descrito na Seção 3. Os parâmetros do sistema incluem um emparelhamento
bilinear e : G×G → G T , três funções de hash criptográficas H : {0, 1} ∗ → {0, 1} k
H 1 : {0, 1} ∗ → G e H 2 : {0, 1} ∗ → G, além da chave mestra pública sP , calculada a
partir da chave mestra secreta s do KGC. Um usuário identificado por sua identidade,
digamos A, possui um valor público (Q A1 = H 1 (A), Q A2 = H 2 (A)), um par para chave
secreta parcial (d A1 = sQ A1 , d A2 = sQ A2 ), que é calculado e entregue pelo KGC de
forma segura, um valor secreto x A e a correspondente chave pública x A P .
Para estabelecerem uma chave secreta em comum, dois usuários A e B escolhem
seus valores secretos temporários, respectivamente r A , r B ∈ Z q , e calculam r A P e r B P .
Então trocam as seguintes mensagens
A → B : E A = (r A P, x A P ) B → A : E B = (r B P, x B P )
Ao receberem a mensagem do parceiro, verificam a pertinência a G 2 e:
A calcula:
B calcula:
K = e(r B P + Q B1 , r A sP + d A1 ) K = e(r A P + Q A1 , r B sP + d B1 )
L = e(r B P + Q B2 , r A sP + d A2 ) L = e(r A P + Q A2 , r B sP + d B2 )
M = e(x B P, d A1 ) · e(Q B1 , x A sP ) M = e(x A P, d B1 ) · e(Q A1 , x B sP )
Z = (x A x B P, x A r B P, r A r B P, r A x B P ) Z = (x B x A P, r B x A P, r B r A P, x B r A P )
SK = H(A, B, E A , E B , K, L, M, Z) SK = H(A, B, E A , E B , K, L, M, Z)
4.1. Segurança do Novo Protocolo
Para a segurança do protocolo proposto, apresentamos uma redução do problema Diffie-
Hellman Bilinear Lacunar (Gap-BDH) para o problema de se construir um algoritmo que
diferencie um número aleatório de uma chave secreta calculada pelo protocolo proposto.
269