Anais - Engenharia de Redes de Comunicação - UnB

simulação.
Respostas aos Oráculos
Uma vez iniciado o jogo, o simulador deve responder às consultas realizadas pelo adversário
aos oráculos disponíveis. O comportamento do simulador para tratar essas consultas
varia de acordo com cada um dos nove casos. Os oráculos H e RevealSessionKey,
que respectivamente calcula e revela a chave de sessão, são os mais críticos a serem
tratados pelo simulador. Por esse motivo, eles serão descritos mais detalhadamente no
Apêndice A.1. Os demais oráculos são tratados como segue:
H 1 (ID i ). Se S está simulando os casos 5 a 9, S embute convenientemente as entradas
do desafio BDH:
• casos 5, 7 e 9: H 1 (A) = bP , ou seja, Q A1 é definido como bP
• casos 6 e 8: H 1 (B) = bP , ou seja, Q B1 é definido como bP
• caso 9: H 1 (B) = cP , ou seja, Q B1 é definido como cP
Para os demais participantes nos casos 5 a 9 e para os casos 1 a 4, S escolhe l i ∈ Z q
ao acaso e responde l i P . Todas as respostas e os valores l i são armazenados em
uma lista.
H 2 (ID i ). Análogo a H 1 , porém S sorteia z, y ∈ Z q (ou z, y A , y B , para o caso 9) e define:
• casos 5 e 7: H 2 (A) = yP −zbP , ou seja, Q A2 é definido como yP −zQ A1
• casos 6 e 8: H 2 (B) = yP −zbP , ou seja, Q B2 é definido como yP −zQ B2
• caso 9: H 2 (A) = y A P − zbP , isto é, Q A2 = y A P − zQ A1 e
H 2 (B) = y B P − zcP , ou seja, Q B2 = y B P − zQ B1
Para os demais participantes nos casos 5 a 9 e para os casos 1 a 4, S escolhe p i ∈
Z q ao acaso e responde p i P . Todas as respostas e os valores p i são armazenados
em uma lista.
RequestPublicKey(ID i ). S responde x i P .
EstablishParty(ID i , x i P ). O simulador cria o usuário desonesto com identificador
(ID i ), caso ainda não exista, chamando os oráculos H 1 , H 2 . S registra a chave
pública x i P , define x i =⊥. Nos casos 5 a 9, entrega ao adversário a chave secreta
parcial (d i1 = l i aP, d i2 = p i aP ); nos casos 1 a 4, S recebe a chave secreta parcial
como entrada à consulta ao oráculo e a armazena.
Send(Π s i,j, m). Se a sessão Π s i,j ainda não existe, S cria uma sessão para onwner ID i e
peer ID j , com estado indefinido e com o papel de emissor (se m = λ) ou receptor
(em caso contrário). Se m = λ e Π s i,j é sessão de Teste, então define r iP = aP
(nos casos 2 e 4) ou r i P = cP (no caso 8). Se m ≠ λ, Π s i,j é sessão de Teste
com papel de receptor, então define r i P = bP (nos casos 2 e 3) ou r i P = cP
(no caso 7). Nos demais casos, S escolhe r i ao acaso. S executa o protocolo,
extraindo r B P de m quando necessário, atualiza o estado da sessão e entrega r i P
ao adversário.
RevealPartialKey(ID i ). Se S está tratando os casos 1 a 4, aborta. Se ID i = A e S está
tratando os casos 5, 7 ou 9, aborta. Se ID i = B e S está tratando os casos 6, 8
ou 9, aborta. Caso contrário, responde a chave secreta parcial (d i1 = l i aP, d i2 =
p i aP ).
RevealSecretValue(ID i ). Se x i =⊥, aborta. Se ID i = A e S está tratando os casos 1,
3 ou 6, aborta. Se ID i = B e S está tratando os casos 1, 4 ou 5, aborta. Caso
contrário, responde o valor secreto x i .
274