On Reducing Cryptographic Assumptions

Transkript

1 DISS. ETH NO On Reducing Cryptographic Assumptions A thesis submitted to attain the degree of DOCTOR OF SCIENCES of ETH ZURICH (Dr. sc. ETH Zurich) presented by ROBIN KÜNZLER MSc in Computer Science, ETH Zurich born on citizen of St. Margrethen, SG, Switzerland accepted on the recommendation of Prof. Dr. Thomas Holenstein, examiner Prof. Dr. Mohammad Mahmoody, co-examiner Prof. Dr. Ueli Maurer, co-examiner 2014

2 Abstract Cryptography aims at designing schemes that are provably and unconditionally secure. Unfortunately, for most cryptographic tasks we only manage to provide practical schemes that are secure under an unproven assumption. For example, one assumes that a computational problem (such as factoring) cannot be solved by efficient algorithms, or that a component of the scheme (such as a hash function or a block cipher) behaves ideally. It is desirable to use assumptions that are as weak as possible, and thus we would like to better understand how they are related. This thesis studies the relations between such assumptions. In the first part we investigate how two widely used idealized components are related. The first one, a Random Oracle, idealizes a hash function, i.e. a function that maps any arbitrarily long input to a fixed-length digest. The second, an Ideal Cipher, is used to model a block cipher. Security proofs that assume one of these ideal components are called proofs in the Random Oracle Model or the Ideal Cipher Model, respectively. There are hundreds of papers that prove security in these models, and many schemes that are widely used in practice solely enjoy such proofs. It is natural to ask if a proof in one of the models implies a proof in the other one, i.e. if it is possible to securely construct an ideal cipher from a random oracle and vice versa. The associated security goal is formalized by the notion of indifferentiability as introduced by Maurer, Renner and Holenstein (TCC 2004). With respect to indifferentiability, Coron et al. (LNCS 2005) showed that a random oracle can be constructed from an ideal cipher. Our main result is the first construction of an ideal cipher that is indifferentiable from a random oracle. This implies that (in a well-defined sense) the random oracle model and the ideal cipher model are equivalent. The second part of the thesis is related to the question whether cryptography can be based on the assumption that P NP. For most interesting cryptographic tasks it is known that security implies P NP, and thus it is natural to ask if the opposite is true, i.e. if P NP implies security. A natural way to give a positive answer to this question is to provide a reduction that, iii

3 iv given (black-box) access to any attacker of the cryptographic scheme under consideration, efficiently decides an NP-complete problem. There are several negative results that show the following: the existence of some variant of such a reduction (for some given task) allows to give a constant-round interactive proof for conp, i.e. it implies conp AM. This implies that the polynomial hierarchy collapses, which can be seen as a weaker form of P = NP and is believed to be unlikely. We first consider the question whether P NP implies the existence of one-way functions. Such a function is easy to compute on any input and hard to invert on average, and it allows to securely realize a variety of cryptographic tasks such as encryption and digital signatures. For this problem, Bogdanov and Trevisan (FOCS, 2003) give a negative result of the kind we described above: they show that the existence of a non-adaptive reduction (i.e. a reduction that produces all its oracle queries at once) to base one-way functions on P NP implies conp AM, resulting in a collapse of the polynomial hierarchy. We replace two of the subprotocols they use by employing a protocol by Haitner et al. (CCC, 2010) that allows to verify the histogram of probability distributions. This underlines the usefulness of histogram verification, and our protocols provide a new intuition for the original result. Interactive sampling protocols are protocols that allow a computationally bounded verifier to sample elements from a probability distribution with the help of an all-powerful prover. Such protocols are a crucial ingredient of the above-mentioned protocols for placing conp in AM. We give a new constantround protocol that allows the verifier to sample elements x from a probability distribution P which is held by the prover. If the prover is honest, the verifier outputs (x, P(x)) with probability close to P(x). In case the prover is dishonest, one may hope for the following guarantee: if the verifier outputs (x, p), then the probability that the verifier outputs x is close to p. Simple examples show that this cannot be achieved. Instead, we show that the following weaker condition holds (in a well defined sense) on average: If (x, p) is output, then p is an upper bound on the probability that x is output. Our protocol yields a new transformation to turn interactive proofs where the verifier uses private random coins into proofs with public coins. The verifier has better running time compared to the well-known Goldwasser-Sipser transformation (STOC, 1986). For constant-round protocols, we only lose an arbitrarily small constant in soundness and completeness, while our publiccoin verifier calls the private-coin verifier only once.

4 Zusammenfassung Das Ziel der Kryptografie ist es, Systeme zu entwickeln, die beweisbar und bedingungslos sicher sind. Leider sind aber für die meisten kryptografischen Aufgaben die bekannten praktischen Systeme nur unter unbewiesenen Annahmen sicher. Zum Beispiel nehmen wir an, dass es für ein bestimmtes Problem (wie das Faktorisieren) keine effiziente Lösungsmethode gibt, oder dass eine Komponente des Systems (wie beispielsweise eine Hashfunktion oder ein Block Cipher) ein ideales Verhalten aufweist. Es ist wünschenswert, dass die getroffenen Annahmen möglichst schwach sind und deshalb möchten wir besser verstehen wie diese Annahmen zueinander in Beziehung stehen. In dieser Dissertation studieren wir Zusammenhänge zwischen solchen Annahmen. Im ersten Teil untersuchen wir die Beziehung zwischen zwei weit verbreiteten idealen Komponenten. Die erste Komponente, ein Random Oracle, idealisiert eine Hashfunktion. Eine solche Funktion bildet eine beliebig lange Eingabe auf eine Ausgabe mit fixer Länge ab. Die zweite Komponente, ein Ideal Cipher, wird benutzt um einen Block Cipher zu modellieren. Sicherheitsbeweise, die die Existenz einer dieser idealen Komponenten annehmen, heissen Beweise im Random Oracle Modell oder im Ideal Cipher Modell. Es gibt hunderte von Publikationen, die Sicherheit in einem dieser Modelle beweisen, und für viele in der Praxis benutze Systeme kennen wir nur Beweise dieser Art. Es ist natürlich zu fragen, ob ein Beweis in einem der Modelle einen Beweis im anderen Modell impliziert. Das heisst, wir fragen ob es möglich ist, auf eine sichere Art ein Random Oracle aus einem Ideal Cipher zu bauen und umgekehrt. Das entsprechende Sicherheitsziel wird durch das Konzept namens Indifferentiability formalisiert, welches von Maurer, Renner und Holenstein (TCC 2004) eingeführt wurde. Coron et al. (LNCS 2005) haben gezeigt, dass man im Rahmen von Indifferentiability ein Random Oracle aus einem Ideal Cipher bauen kann. Unser Hauptresultat ist die erste Konstruktion eines Ideal Cipher, der indifferentiable von einem Random Oracle ist. Daraus folgt (in einem wohldefinierten Sinn) die Äquivalenz des Random Oracle Modells und des Ideal Cipher Modells. v

5 vi Im zweiten Teil dieser Dissertation geht es um die Frage, ob die Annahme P NP sichere Kryptografie impliziert. Für die meisten interessanten kryptografischen Aufgaben wissen wir, dass Sicherheit P NP impliziert. Somit ist es natürlich zu fragen ob das Gegenteil auch wahr ist, das heisst, ob P NP Sicherheit impliziert. Eine natürliche Art diese Frage positiv zu beantworten ist eine Reduktion zu geben, die mit (black-box) Zugriff auf einen Angreifer des Kryptosystems ein NP-vollständiges Problem entscheidet. Es gibt mehrere negative Resultate, die das Folgende zeigen: Wenn eine bestimmte Variante einer solchen Reduktion (für eine bestimmte kryptografische Aufgabe) existiert, dann gibt es einen interaktiven Beweis für conp mit konstant vielen Runden (das heisst, dann ist conp AM). Daraus folgt dass die Polynomialzeithierarchie kollabiert, was man als eine schwächere Form von P = NP sehen kann, und als unwahrscheinlich gilt. Zuerst betrachten wir die Frage, ob P NP die Existenz von Einwegfunktionen impliziert. Eine solche Funktion ist für jede Eingabe einfach zu berechnen und im Durchschnitt schwierig zu invertieren. Einwegfunktionen erlauben es, für viele Aufgaben (wie Verschlüsselung oder digitale Unterschriften) sichere Systeme zu geben. Bogdanov und Trevisan (FOCS, 2003) geben ein negatives Resultat von der Art wie wir sie oben beschrieben haben: Sie zeigen, dass aus der Existenz einer nicht-adaptiven Reduktion (das heisst, einer Reduktion die alle ihre Orakel-Anfragen auf einmal generiert), die Einwegfunktionen auf P NP basiert, folgt dass conp AM ist, was in einem Kollaps der Polynomialzeithierarchie resultiert. Wir ersetzen zwei der Teilprotokolle aus diesem Beweis unter Verwendung eines Protokolls von Haitner et al. (CCC, 2010), das Histogramme von Wahrscheinlichkeitsverteilungen verifiziert. Dies unterstreicht die Nützlichkeit der Histogrammverifikation, und unsere Protokolle geben eine neue Intuition für das ursprüngliche Resultat. Interaktive Sampling Protokolle sind Protokolle die es einem effizienten Verifizierer mit der Hilfe eines allmächtigen Beweisers erlauben, Elemente von einer Wahrscheinlichkeitsverteilung zu wählen. Solche Protokolle sind zentrale Komponenten der oben erwähnten Protokolle, die conp in AM platzieren. Wir geben ein neues Protokoll mit konstant vielen Runden, das es dem Verifizierer erlaubt Elemente x von einer Wahrscheinlichkeitsverteilung P zu wählen, welche nur der Beweiser kennt. Falls der Beweiser ehrlich ist, dann gibt der Verifizierer (x, P(x)) mit Wahrscheinlichkeit nahe bei P(x) aus. Falls der Beweiser unehrlich ist, könnte man auf folgende Garantie hoffen: Falls der Verifizierer (x, p) ausgibt, dann ist die Wahrscheinlichkeit dass x ausgegeben wird nahe bei p. Leider zeigen einfache Beispiele, dass kein Protokoll diese Eigenschaft erfüllen kann. Stattdessen zeigen wir, dass die folgende schwächere Garantie (in einem wohldefinierten Sinn) im Durchschnitt gilt: Falls (x, p) ausgegeben wird, dann ist p eine obere Schranke an die Wahrscheinlichkeit

6 vii dass x ausgegeben wird. Unser Protokoll kann verwendet werden, um interaktive Beweise in denen der Verifizierer geheime Zufällige Entscheidungen treffen kann in Beweise zu transformieren, in denen der Beweiser alle zufälligen Entscheidungen sieht. Im Vergleich zur bekannten Transformation von Goldwasser und Sipser (STOC, 1986) garantiert unsere Transformation eine bessere Laufzeit für den Verifizierer. Für Protokolle mit konstant vielen Runden verlieren wir nur eine beliebig kleine Konstante in Soundness und Completeness, während der ursprüngliche Verifizierer nur einmal aufgerufen wird.