Key Agreement in Cryptography

Transkript

1 Diss. ETH No Information-Theoretically and ComputationallySecure Key Agreement in Cryptography A dissertation submitted to the SWISS FEDERAL INSTITUTEOF TECHNOLOGY ZÜRICH for the clegree of Doctor of Technical Sciences presented by STEFAN WOLF Dipl. Math. ETH born September 14. L969 in Schaflhausen Citizen ot Swit-zerland acccptcd on the recommendation of Prof. Dr. Ueh Maurer, examiner Prof. Dr. Claude Crepeau, co-examiner 1999

2 Abstract One of the central problems in cryptography is secure message transmission over insecure Channels. By the use of classical Symmetriecryptosystems, this problem can be recluced to the one of generating a secret key by insecure com.municat.ion. The security of such secret-key agreement can be based cither on the computational ha.rdn.ess of certain numbertheoretic problems, or on Information theory. Examplcs of both types of key distribution are analyzed. In the information-theoretic model, Maurer's setting of secret-key agreement by public discussion from common Information and carlier scenarios, based on noisy communication Channels, by Wyner and by Csiszär and Körner, are eonsidered. It is shown that in the noisy- Channel modeis, as also in Maurer's model. the generated secret key can have a much higher security levei than pre.viou.sly believed and demanded. By using recent results from the theory of extractors. it is shown that such a strenger key can even be generated at the same rate as a key that is secure only with respect to the previous, weaker definition. Furtheimore. conditions on the Joint distribution of the legitimate partners' and the adversary's knowledgc aie given for the possibility and impossibilitv of information-theoretic secret-key agreement. In this context. a new Information measure, the intrinsic conditional Informa tion, is introdutvd. and evidenre is piovided which suggests that this qua.nt.ity is directly connected to the possibility of secret-key agreement. The case of key agreement secure even against active adversaries is also eonsidered. An efsciej.itiy-yer.ifi.ableciiteiion is given that allows for deeiding whethci such key agiecmcn: is possible at all in a specific Situa tion. Finally. iwo protocols aie described for the important special case of px.iva.cy aniplification, i.e.. t.ransforming a common partially-secrct string into a virtually-secret key. in the presenee of an active adve.rsa.ry. The conditions for these protocols to work howcvci are stticter than in

3 the passive-adversary case. Both protocols are based on novel interactivc identification and message-authenticationmcthods requiring only partially-secret key. a In the computational model, we consider a number of question re lated to the security of the Diffie-Hellmankey-agreement protocol. For instance, the relationship between the discretc-logarithm problem, the Diffie-Hellmanproblern, and the Diffie-Hellmandecision problemis studied. The security of the Diffie-Hellmanprotocol is directly based on the hardncss of the computational and decisional variants of the Diffie- Hellman problem. It is shown that with respect to generic algorithms, i.e., gcneral-purpose algorithms that work in any group of a certain order, the Diffie-Hellmanproblem and the discrete-logarithm problem are computa.tiona.lly equivaleut for certain, but not for all group Orders. The Diffie-Hellmandecision problem, which is to rccognize a correct Solution to the Diffie-Hellmanproblem. is not generically computationally equivalent to the Diffie-Hellmanproblem for any non-trivial group order. Finally, additional related problems are studied with respect to generic algorithms, such as the computation of roots in cyclic groups, or the improvement of a faulty Diffie-Hellmanoracle. In all cases, the derived lower bounds turn out to nearlv match the running times of the fastest generic algorithms. This lcads to a complete Classificationof the Problems of filterest with respect to generic algorithms.

4 Zusammenfassung Eines der zentralen Probleme der Kryptographie ist die sichere Übertra gung von Nachrichten über unsicherekanäle. Klassische symmetrische dieses Problem auf die Erzeu Verschlüsselungsmethoden erlauben es, gung sicherer Schlüssel mittels unsicherer Kommunikation zu reduzieren. Die Sicherheit von Verfahren zur Schlüsselgenerierung kann einerseits auf der berechenmässigen Schwierigkeit gewisser zahlentheoretischer Pro bleme oder andererseits auf informationstheoretischenargumenten be ruhen. Wir analysieren Verfahren zur Schlüsselverteilung beiderlei Typs. Im informationstheoretischenmodell betrachtenwir das Szenariovon Maurer, welches Schlüsselerzeugungmittels öffentlicherko.mmunilcat.ion erlaubt unter der Voraussetzung, dass die beiden Parteien, wie aber auch der Gegner, gewisse korrelierte Information besitzen. Weitere Beispiele sind die Szenarien von Wyner sowie von Csiszär und Körner, die auf der Existenz verrauschterkommunikationskanälcberuhen. Wir zeigen, dass in den letzteren Modellen, wie auch in Maurers Modell, die Bedingungen an die Sicherheit des erzeugten Schlüssels viel strenger sein können als bisher angenommen und gefordert. Neueste Resultate aus der Theorie der sogenannten Extraktoren lassen den Beweis zu. dass ein Schlüssel, der bezüglich der restriktiven Definition sicher ist, mit derselben Rate erzeugt, werden kann wie ein Schlüssel, der nur sicher zu sein braucht im Sinne der herkömmlichen Definition. Ferner leiten wir Bedingun gen her, unter denen informationstheoretischsichere Schlüsselerzeugung möglich bzw. sicher nicht möglich ist. In diesem Zusammenhangwird ein neues In.forma.tio.nsma.ss, die bedingte intrinsische Information,definiert. Wir analysieren Beispiele, welche die Vermutung erhärten, dass dieses Mass direkt zusammenhängt mit der Möglichkeit beweisbar sicherer Schlüsselgenerierung. Wir betrachten auch Protokolle für Schlüsselverteilung, die nicht nur gegen passive, sondern auch gegen aktive Gegner.

5 welche die Kommunikation nicht nur abhören, sondern auch versuchen, Meldungen einzufügen, zu verändern oder sogar zu löschen, sicher sind. Wir beschreiben ein effizient verifizierbares Kriterium um zu entschei den, ob in einer gewissen Situation solche Schlüsselerzeugungüberhaupt möglich sein kann. Schliesslichwerden zwei neue Protokolle beschrieben für sogenannte "Privacy Amplificatioir" (Transformation eines teilweise sicheren in einen kürzeren, aber sicheren Schlüssel), die auch gegen einen aktiven Gegner sicher sind. Die Bedingungen an den anfänglich un sicheren Schlüssel sind allerdings stärker als im Falle eines nur passiven Gegners. In beiden Protokollenwird eine neue Idcntifikations-und Nachrichtcnauthentisierungstcchnikverwendet, die interaktiv ist und auch dann funktioniert, wenn der benützte Schlüssel einen nur niedrigen Grad an Sicherheit besitzt. Im Modell berechenmässiger Sicherheit analysieren wir das Diffie- Hellman-Protokoll zur Schlüsselvereinbarung. Unter anderem verglei chen wir das sogenannte Problem des diskreten Logarithmus mit ver schiedenen Varianten des Diffie-Hellman-Problcms,welches ein Gegner lösen muss, um das erwähnte Protokollzu brechen. Es wird gezeigt, dass in bezug auf generisehe Algorithmen, die in allen möglichen Gruppen einer gewissen Ordnung anwendbar sind, das Diffie-Hellman-Problem zwar für gewisse, sicher aber nicht für alle Gruppenordnungen berechenmässig äquivalent zum Problem ist. diskrete Logarithmen in clor entsprechenden Gruppe zu berechnen. Ferner zeigen wir, dass die Auf gabe, eine korrekte Lösung des Diffie-Hcllman-Problemsnur zu erkennen (d.h. von einer falschen zu unterscheiden), nie in einem gene.risch.en Sinn berechenmässig äquivalent ist zum Diffie-Hellman-Problem. Schliesslich untersuchen wir weitere Berechnung^- und Entscheidungsprobleme in zyklischen Gruppen, wie z.b. das Ziehen von Wurzeln oder die Trans formation eines fehlerhaften sogenannten Diffie-Hellman-Orakelsin ein zuverlässiges. In den meisten Fällen sind die hergeleiteten theoreti schen Komplexitätsuntergrenzen nahezu identisch mit der tatsächlichen Laufzeit der besten gcnerisclieu Algorithmen. Dies führt zu einer kom pletten Klassifikation der betrachtetenproblemeim natürlichenrechenmodell der geneilehen Algorithmen.