Gitterbasierte Kryptosysteme (Ajtai-Dwork, Regev) Sebastian Pape

Transkript

1 Gtterbaserte Kryptosysteme (Ajta-Dwork, Regev) Sebastan Pape

2 Überblck Motvaton Gtter SVP, usvp, Gtterbassredukton Kryptosysteme Ajta-Dwork Regev (2003), Regev (2005) Zusammenfassung Gtterbaserte Kryptosysteme 2

3 Motvaton Standard -Kryptographe z.b. Faktorseren, dskrete Logarthmen durch Quantencomputer lösbar Gtter-baserte Kryptographe z.t. Worst-Case-Härte (AD, Regev NTRU) bs jetzt ncht durch Quantencomputer lösbar kene besseren Quantenalgorthmen bekannt Gtterbaserte Kryptosysteme 3

4 Gtter Bass: b 1,, b n n ϒ n Gtter: Σλ b für λ n Was st der kürzeste Vektor? Gtterbaserte Kryptosysteme mal@sebastan-pape.de 4

5 Shortest Vector Problem Doch ncht so lecht? exp. Approx. polyn. Laufzet LLL, Schnorr exakte Ber. exp. Laufzet Approx. auf 2 NP-Hart (rand. Redukton) determ. Redukt. offen Gtterbaserte Kryptosysteme mal@sebastan-pape.de 5

6 unque Shortest Vector Problem 1 kürzester Vektor st bs auf Faktor f(n) endeutg (1+ε) n -usvp-alg. n 1/4- usvp ncht NPhart? f( n) 1/4 n (1 + ε ) n Gtterbaserte Kryptosysteme mal@sebastan-pape.de 6 1 P

7 Gtterbassredukton gesucht: Bass aus kurzen, orthogonalen Vektoren verschedene Defntonen von reduzerten Basen Gtterbaserte Kryptosysteme 7

8 (d,m)-gtter Gtter L Bass B mt Länge M (n-1) dmensonal Hyperebene H L H Abstand zu H : d L > d endeutg wenn d > M L (d,m) Hdden Hyperplane Assumpton Gtterbaserte Kryptosysteme mal@sebastan-pape.de 8

9 Kryptosysteme Ajta-Dwork (1996) Goldrech, Goldwasser, Halev (1997) Ngyuen, Stern (1998, 1999) Oded Regev (2003) Oded Regev (2005) Gtterbaserte Kryptosysteme 9

10 Kryptosysteme II Gemensamketen btwese Verschlüsselung probablstsche Verschlüsselung Scherhet beruht auf Worst-Case-Problemen brechen des KS Lösung für belebge Instanz des Problems benutzen Rauschen Ajta-Dwork, Regev (2003) ncht scher gegen CCA folgt fast drekt aus Reduktonsbewesen Gtterbaserte Kryptosysteme 10

11 Ajta-Dwork Gtter genereren Genereren zufällge Bass für L mt b M wähle d n 5 M wähle b n mt Abstand d d L 2d von H Gtterbaserte Kryptosysteme mal@sebastan-pape.de 11

12 Ajta-Dwork Schlüssel Prvater Schlüssel belebge Bass von L = L (d,m) oder H Öffentlcher Schlüssel zufällge Bass B` für L M Gtterbaserte Kryptosysteme mal@sebastan-pape.de 12

13 Ajta-Dwork Verschlüsselung 1 u zufällger Punkt u 0 v + w zufällger Punkt v n L Störung w = pert(n 3 M,m) Störung pert(r,m) m 4n zufällge Vektoren aus der Kugel mt Radus R Gtterbaserte Kryptosysteme mal@sebastan-pape.de 13

14 Ajta-Dwork Entschlüsselung u H zu H orthogonaler Enhetsvektor. frac <u H, z> / d L 0: m Berech mr/d L von 0 oder 1 1: sonst Gtterbaserte Kryptosysteme mal@sebastan-pape.de 14

15 Ajta-Dwork Hauptvarante (Skzze) prvater Schlüssel st zufällger Vektor u H öffentlcher Schlüssel snd verrauschte Gtterpunkte der durch u H erzeugten Hyperebenen, Tel der Gtterpunkte spannt Parallelepped PE auf V0:Wahl zufällger Punkte des PK Summe und Redukton n PE V1: zufällger Punkt n PE E: <z,u H > fast ganzzahlg 0 Gtterbaserte Kryptosysteme mal@sebastan-pape.de 15

16 Ajta-Dwork Zusammenfassung Orgnalsystem von Ajta und Dwork Entschlüsselungsfehler O(n 8 )-usvp Goldrech, Goldwasser, Halev besetgen Fehler O(n 7 )-usvp 1 Angrff von Nguyen und Stern mt n 0,5-ε -SVP-Approx. Parameter fuer AD zu schlecht fuer realstschen Ensatz n=32, PK~20MB,1b 768B 1/4 n (1 + ε ) n Gtterbaserte Kryptosysteme mal@sebastan-pape.de 16? P

17 Regev (2003) Schlüssel Genereren grosse, ganze Zahl N Prvater Schlüssel h [ N,2 N) Öffentlcher Schlüssel m = O(log N) Zahlen a aus {0, 1,, N-1} nahe be ganzzahlgen Velfachen von N / h Index 0, so dass a 0 nahe be enem ungeraden Velfachen von N / h h muss N ncht telen Gtterbaserte Kryptosysteme mal@sebastan-pape.de 17

18 Regev (2003) Verschlüsselung Öffentlcher Schlüssel m = O(log N) Zahlen a aus {0, 1,, N-1} nahe be ganzzahlgen Velfachen von N / h Index 0, so dass a 0 nahe be enem ungeraden Velfachen von N / h h muss N ncht telen Verschlüsselung 0: Summe aus ener zufällgen Telmenge {a 1,, a m } modulo N 1: we Verschlüsselung von 0, aber a 0 / 2 adderen Gtterbaserte Kryptosysteme mal@sebastan-pape.de 18

19 Regev (2003) Entschlüsselung Verschlüsselung 0: Summe aus ener zufällgen Telmenge {a 1,, a m } modulo N 1: we Verschlüsselung von 0, aber a 0 / 2 adderen Entschlüsselung betrachte Rest von z / (N/h) 0: klen 1: sonst Grund a nahe be Velf. N/h also auch alle Summen a 0 / 2 wet entfernt Gtterbaserte Kryptosysteme mal@sebastan-pape.de 19

20 Regev (2003) Hash m=o(log N) Zufallszahlen aus {0, 1,, N-1} Hashfunkton: m f( b) = ba mod N mt b {0,1} = 1 m Kollson: m = 1 ba 0 mod N mt b { 1, 0,1} m Gtterbaserte Kryptosysteme mal@sebastan-pape.de 20

21 Regev (2003) Scherhet (Skzze) Unterscheden zwschen 0 und 1 bzw. fnden enes Kollsonsvektors Unterscheden zwschen Glechvertelung U und ener Vertelung T h um ganzzahlge Velfache von 1/h für en unbekanntes h O(n 1,5 )-usvp Gtterbaserte Kryptosysteme mal@sebastan-pape.de 21

22 Regev (2003) Zusammenfassung Gtter werden nur mplzt benutzt Scherhet beruht auf O(n 1,5 )-usvp AD: (O(n 7 )-usvp) ncht nur Publc-Key- System, sondern auch Hash-Funkton 1 1/4 n (1 + ε ) n? P Gtterbaserte Kryptosysteme mal@sebastan-pape.de 22

23 Regev (2005) Schlüssel Genereren m, p, Wahrschenlchketsvertelung χ auf p Prvater Schlüssel s n p Vorberetung a,..., a Öffentlcher Schlüssel: ( ab, ) mt 1 e,..., e nach χ 1 m m b = a, s + e n p p Gtterbaserte Kryptosysteme mal@sebastan-pape.de 23

24 Regev (2005) Verschlüsselung Vorberetung a,..., a Öffentlcher Schlüssel: ( ab, ) mt 1 e,..., e nach χ 1 m m b = a, s + e n p p Verschlüsselung zufällge Telmenge S aus [m] 0: 1: ( a, b) S S p ( a, b) S 2 + S Gtterbaserte Kryptosysteme mal@sebastan-pape.de 24

25 Regev (2005) Entschlüsselung Verschlüsselung zufällge Telmenge S aus [m] Entschlüsselung von (a,b): 0: 1: ( a, b) S S p ( a, b) S 2 + S 0: b - <a,s> st näher an 0 als an p/2 1: sonst Gtterbaserte Kryptosysteme mal@sebastan-pape.de 25

26 Regev (2005) Entschlüsselung II Entschlüsselung: 0: b - <a,s> st näher an 0 als an p/2 1: sonst b = ( e +< a, s > ) S e p / 2 wegen 2 χ b < as, >= S S S b < a, s >= S ( e +< a, s > ) < a, s >= e S Gtterbaserte Kryptosysteme mal@sebastan-pape.de 26

27 Regev (2005) - Zusammenfassung Scherhet beruht auf Worst-Case Quantum- Härte von SVP und SIVP (O(n 1,5 )-Approx.) Redukton benutzt QC, Kryptosystem ncht Redukton auch klasssch? effzenter Öffentlcher Schlüssel: O(n 4 ) O(n 2 ) Nachrchten: O(n 2 ) O(n) Gtterbaserte Kryptosysteme mal@sebastan-pape.de 27

28 Zusammenfassung Kryptosysteme noch zu neffzent bs jetzt kene Quantenalgorthmen, de klasssche be Gtterproblemen übertreffen Quantencomputer unter bestmmten Annahmen bs n 2,5 -usvp Evtl. zukunftsträchtg (Worst-Case!) Effzenz stärkere Angrffe Gtterbaserte Kryptosysteme mal@sebastan-pape.de 28