BBS Γεννήτριες ΨευδοτυχαίωνΑριθμών
BBS Γεννήτριες ΨευδοτυχαίωνΑριθμών
Εισαγωγή στη κρυπτογραφία 2013
Δημητρέλλος Παναγιώτης
Εισαγωγή
•Δημοσιεύτηκε το 1986 από τουςL.Blum,M.Blum,M.Shub στο περιοδικό SIAM.
•Πραγματεύεται τη κατασκευή γεννητριών οι οποίεςπαράγουν ακολουθίες ψευδοτυχαίων αριθμών.(δηλαδή ακολουθίες που δε μπορούμε αποδοτικάνα υπολογίσουμε χωρίς κάποια δεδομένα)
•Κατασκευή και απόδειξη ασφάλειας δύογεννητριών.
A Simple Unpredictable Pseudo-Random Number Generator
Ορισμοί
•Ορισμός: Γεννήτρια τυχαίων αριθμών ονομάζεται έναςαλγόριθμος ο οποίος παράγει ανεξάρτητα καιαντικειμενικά bits,ισοδύναμα με ένα «τίμιο» νόμισμα.
•Ορισμός: Γεννήτρια ψευδο-τυχαίων τυχαίων αριθμώνονομάζεται ένας αλγόριθμος ο οποίος με είσοδο ένασύνολο seed (δυαδική ακολουθία n) παράγει μια επίσηςδιαδική ακολουθία I(n),μήκους poly(n),η οποία δεδιακρίνεται από μια τυχαία,και δεν υπάρχει αποδοτικόςτρόπος πρόβλεψης επόμενων και προηγούμενων όρωνενός όρου της ακολουθίας.
A Simple Unpredictable Pseudo-Random Number Generator
Ορισμοί
•Σχόλιο: Η ψευδο-τυχαία ακολουθία δηλαδή,ενώ δενείναι πράγματι τυχαία,δε διακρίνεται αποδοτικά από μιατυχαία ακολουθία.
•Ορισμός: (Ισοδύναμα),μια γεννήτρια ψευδο-τυχαίωναριθμών λέγεται σε πολυωνυμικό χρόνο unpredictableαν και μόνο αν για κάθε πεπερασμένο τμήμα τηςακολουθίας αυτής,αφαιρώντας αμερόληπτα έναστοιχείο του, μια μηχανή Turing(ΤΜ) δε δύναται νααποφασίσει,σε πολυωνυμικόχρόνο,αποτελεσματικότερα από ένα «τίμιο»νόμισμα,πιο στοιχείο είναι αυτό.
A Simple Unpredictable Pseudo-Random Number Generator
Ιδιότητες
Οι επιθυμητές ιδιότητες μιας τέτοιας γεννήτριας είναι:
1)Να δέχονται «μικρό» σε μήκος input.
2)Να εξάγουν πολυωνυμικά μεγαλύτερου μήκουςoutput.
3)Να τερματίζουν σε πολυωνυμικό χρόνο (γρήγορα).
4)Να είναι σε πολυωνυμικό χρόνο unpredictable.
A Simple Unpredictable Pseudo-Random Number Generator
Ορισμοί
•Ορισμός: ‘Ενας πρώτος αριθμός P λέγεται πρώτος κατάBlum αν P ≡3(mod 4)
•Ορισμός: Δοθείσης δυαδικής ακολουθίας xi ,η συνάρτησηparity(xi) δίνει ως έξοδο το τελευταίο ψηφίο της xi
•Ορισμός: ‘Ενας ακέραιος λέγεται τετραγωνικόυπόλοιπο mod n αν και μόνο αν υπάρχει κάποιοτέτοιο ώστε να ισχύει: .Το σύνολο τωντετραγωνικών υπολοίπων συμβολίζεται ως QRn ,και τοσυμπλήρωμά του ως QΝRn .
A Simple Unpredictable Pseudo-Random Number Generator
Αλγόριθμος (BBS)
•Σχόλιο: Οι Blum,Blum,Shub σχεδίασαν το παρακάτωαλγόριθμο παραγωγής ψευδο-τυχαίων αριθμών καιαπέδειξαν τη κρυπτογραφική του ασφάλεια και τις«επιθυμητές» του ιδιότητες.Ο αλγόριθμος βασίζεταισε έναν επαναλαμβανόμενο τετραγωνισμό καιεξαγωγή του τελευταίου bit.Η εκτέλεσή του έχει ωςεξής:
Βήμα 1: Επιλέγουμε p,q πρώτους κατά Blum με p q.
Βήμα 2: Υπολογίζουμε N=pq
A Simple Unpredictable Pseudo-Random Number Generator
Αλγόριθμος (BBS)
Βήμα 3: Επιλέγουμε αριθμό s και υπολογίζουμε
x0=s2 mod N
Βήμα 4: Επαναλαμβάνουμε από i=1 μέχρι όσοθέλουμε:
return bi
A Simple Unpredictable Pseudo-Random Number Generator
Αλγόριθμος (BBS)
•Σχόλιο: ‘Οπως παρατηρούμε ο αλγόριθμος έχειπολυωνυμική πολυπλοκότητα ως προς το μήκος τηςεισόδου,και συμπεραίνουμε πως δοθέντος ενόςόρου η εύρεση του προηγουμένου βασίζεται στοπρόβλημα των τετραγωνικών υπολοίπων (QRP).
•Θεώρημα 1: Αν N=PQ και P≡Q≡ 3(mod 4).Τότεκάθε τετραγωνικό υπόλοιπο mod N ,έστω x ,έχειακριβώς τέσσερις (4) τετραγωνικές ρίζες από τιςοποίες μια ακριβώς αποτελεί τετραγωνικό υπόλοιποmod N .Ας το συμβολίσουμε ως .
A Simple Unpredictable Pseudo-Random Number Generator
Επεξήγηση
A Simple Unpredictable Pseudo-Random Number Generator
Είναι ασφαλές;
•Υπόθεση: (QR Assumption) Κάθε πιθανοτικόςαλγόριθμος πολυωνυμικού χρόνου που δοθέντοςκάποιου (+1) ,όπου N=PQ με P,Qprimes,έχει πιθανότητα να αποφανθεί σωστά για τοαν το x είναι τετραγωνικό υπόλοιπο mod N μέχρι
+ε, όπου το ε είναι αμελητέο ως προς length(N).
Δηλαδή η χρήση του αλγορίθμου αυτού είναι σχεδόντο ίδιο αποτελεσματική με τη ρίψη ενός «τίμιου»νομίσματος και απόφαση σύμφωνα με τοαποτέλεσμά του.
A Simple Unpredictable Pseudo-Random Number Generator
Είναι ασφαλές;
•Ορισμός:’Εστω p περιττός πρώτος αριθμός.Για
το σύμβολο Legendre ορίζεται:
•Ορισμός: ‘Εστω n περιττός αριθμός με .
Για το σύμβολο Jacobi ορίζεται:
Είναι ασφαλές;
•Λήμμα: Χωρίς τη γνώση των P,Q η αναπαραγωγή τηςακολουθίας προς τους προηγούμενους όρους είναιδυσκολότερη από τη παραγοντοποίηση του N=PQ.
Απόδειξη: ‘Εστω με =-1.Υπολογίζουμε τοx0=x2 mod N και έστω με κάποιο αλγόριθμοβρίσκουμε το x-1.Τότε μπορούμε μέσω τουευκλείδιου αλγορίθμου να βρούμε πολυωνυμικά τοgcd(x+ x-1,N) ,και επειδή N=PQ έχουμεgcd(x+ x-1,N)=P ή Q συνεπώς γνωρίζοντας τον έναν
A Simple Unpredictable Pseudo-Random Number Generator
Είναι ασφαλές;
από τους δύο παράγοντες έχουμε λύσει τοπρόβλημα της παραγοντοποίησης του Ν.Συνεπώς:
•Λήμμα: Αν N=PQ , με P,Q primes έχουμε:
QRN x mod P QRN και x mod Q QRN
•Λήμμα: p πρώτος κατά Blum
A Simple Unpredictable Pseudo-Random Number Generator
Είναι ασφαλές;
•Λήμμα: ‘Εστω N=PQ , με P,Q Blum primes.Τότε οιαριθμοί x,-x έχουν το ίδιο σύμβολο Jacobi.
•Λήμμα: ‘Εστω N=PQ , με P,Q Blum primes.Tότε γιακάθε έχουμε:
QRN
•Λήμμα: Αν κάποιος γνωρίζει τα P,Q και έναν όρο τηςακολουθίας μπορεί αποδοτικά δοθέντος ενός x0 ναυπολογίσει το x-1 .
A Simple Unpredictable Pseudo-Random Number Generator
Τελικά είναι...
•Θεώρημα: Υποθέτουμε ότι διαθέτουμε αλγόριθμο Αο οποίος υπολογίζει την ισοτιμία του ,τότεμπορούμε να κατασκευάσουμε αλγόριθμο Β οοποίος θα αποφασίζει με την ίδια πιθανότητα ναεπιτυχίας με τον Α για το αν το x είναι τετραγωνικόυπόλοιπο.
Ιδέα:Κατασκευάζουμε τον Β έτσι ώστε
και το ζητούμενο προκύπτει σχετικά εύκολα.
A Simple Unpredictable Pseudo-Random Number Generator
Χαρακτηριστικά
•Η ακολουθία που προκύπτει χαρακτηρίζεται απόκαθορισμένη περίοδο ανάλογη με το μήκους τουinput ίση με λ(λ(Ν)),όπου λ είναι η συνάρτηση τουCarmichael και ορίζεται ως:
και
A Simple Unpredictable Pseudo-Random Number Generator
Εφαρμογές
•Κρυπτογραφία δημοσίου κλειδιού:
Ο Bob θέλει να στείλει ένα εμπιστευτικό μύνημα mστην Αλίκη.Η Αλίκη δημοσιεύει τον αριθμό
όπου πρώτοι κατά Blum,και ισχύει
Κρυπτογράφηση: Ο Bob επιλέγει κάποιο το
εισάγει στη γεννήτρια BBS και λαμβάνει z ίδιουμήκους με το m.’Ετσι εφαρμόζει one-time pad στο mμε κλειδί το z και στέλνει στην Αλίκη τα εξής:
A Simple Unpredictable Pseudo-Random Number Generator
Εφαρμογές
Αποκρυπτογράφηση: Η Αλίκη μέσω του ιδιωτικούτης κλειδιού υπολογίζει τα καιμέσω της XOR αποκρυπτογραφεί το μύνημα.
Συμπερασματικά:
Αλίκη Bob
Βιβλιογραφία
•[1] L. ADLEMAN, On distinguishing prime numbers from composite numbers, Proc. 21stIEEE Symposium on Foundations of Computer Science, 1980, pp. 387-408.
•[2] E. BACH, How to generate random integers with known factorization, submitted forpublication.
•[3] P. BILLINGSLEY, Ergodic Theory and Information, John Wiley, New York, 1965.
•[4] M. BLUM, Coin flipping by telephone, in Proc. IEEE Spring COMPCON, 1982, pp. 133-137.
•[5] M. BLUM AND S. MICALI, How to generate cryptographically strong sequences ofpseudo random bits,IEEE 23rd Symposium on the Foundations of Computer Science(1982), pp. 112-117.
•[6] G. BRASSARD, On computationally secure authentication tags requiring short secretshared keys, in Advances in Cryptology, Proc. of Crypto 82, ed. D. Chaum, R. L. Rivestand A. T. Sherman,Plenum Press, New York, 1983, pp. 79-86.
•[7] R. SOLOVAY AND V. STRASSEN, A fast Monte-Carlo test for primality, this Journal, 6(1977), pp.84-85.
•[8] J. VON NEUMANN, Various techniques used in connection with random digits,Collected Works, vol. 5, Macmillan, New York, 1963, pp. 768-770.
A Simple Unpredictable Pseudo-Random Number Generator
