加密方案的安全概念及RO模型基础.docxVIP

加密方案的安全概念和RO模型基础 刘亚敏 liuyamin@iie.ac.cn 2016.7.28 大纲 安全概念 安全目标 攻击模型 RO模型 发展 性质 问题 安全概念 安全目标基本：单向性(onewayness, OW) 单向陷门函数：RSA，带陷门的LWE，… 奉天承运 皇帝诏曰 奉天承运 皇帝诏曰 Enc 安全目标进阶：语义安全（semantic security, SS） [GM84] S. Goldwasser, S. Micali. Probabilistic Encryption. 奉天承运 皇帝诏曰 Enc 安全目标进阶：不可区分性(indistinguishability, IND) 奉天承运 皇帝诏曰 朕就是 这样汉子 [GM84] S. Goldwasser, S. Micali. Probabilistic Encryption. Enc Enc 安全目标进阶：不可延展性(non-malleability, NM) [DDN91] D. Dolev, C. Dwork, and M. Naor. Non-malleable Cryptography. 赏黄金千两 Enc 赏黄金千两 赏黄金万两 Modify Dec 赏黄金万两 安全目标进阶：不可延展性(non-malleability, NM) Challenger 此定义形式不一定正确，待理解 安全目标：强弱 攻击模型：被动敌手(passive adversary) Wire-tapping 攻击模型：选择明文攻击(chosen plaintext attacks, CPA) Challenger [GM84] S. Goldwasser, S. Micali. Probabilistic Encryption. CPA在公钥中是平凡的。 安全概念：IND-CPA Challenger [GM84] S. Goldwasser, S. Micali. Probabilistic Encryption. 攻击模型：非自适应选择密文攻击(non-adaptive chosen ciphertext attacks, CCA1) Challenger [NY90] M. Naor, M. Yung. Public-Key Cryptosystem Provably Secure against Chosen Ciphertext Attacks. 安全概念：IND-CCA1 攻击模型：非自适应选择密文攻击(non-adaptive chosen ciphertext attacks, CCA1) Challenger 安全概念： NM-CCA1 攻击模型：自适应选择密文攻击(adaptive chosen ciphertext attacks, CCA2) Challenger [RS91] C. Rackoff, D. R. Simon. Non-Interactive Zero-Knowledge Proof of Knowledge and Chosen Ciphertext Attack. 安全概念： IND-CCA2 攻击模型：自适应选择密文攻击(adaptive chosen ciphertext attacks, CCA2) Challenger 安全概念： NM-CCA2 六种安全概念之间的关系 [BDPR98] M. Bellare, A. Desai, D. Pointcheval, and P. Rogaway. Relations Among Notions of Security for Public-Key Encryption Schemes. IND-CCA2成为公钥加密的标准安全性 强度够，易处理 上层协议需求：如基于口令的密钥交换（PAKE）协议 现实攻击 Bleichenbacher对PKCS #1 V1.5的攻击：实际上还没有发挥出CCA2的全部威力 Manger对PKCS #1 V2.0 (RSA-OAEP)的攻击：方案已经是CCA2安全，写成标准后引入了漏洞…… [Ble98] D. Bleichenbacher. Chosen Ciphertext Attacks against Protocols Based on the RSA Encryption Standard PKCS#1. [Man01] J. Manger. A Chosen Ciphertext Attack on RSA Optimal Asymmetric Encryption Padding (OAEP) as Standardized in PKCS #1 v2.0. I