离散対数反定-茨城大学.PPTVIP

* confidential * 選択平文攻撃 署名 オラクル 敵 公開鍵 （平文*、署名文*） 平文 m 署名文 σ * confidential * ランダム?オラクル?モデルにおける選択平文攻撃 署名 オラクル 敵 Hオラクル 公開鍵 （平文*、署名文*） 平文 m 署名文 σ 乱数 c=H(m,x) (m, x) * confidential * 定理 ROモデルにおいて、 　Schnorrの署名に対し、確率εで 偽造に成功する敵Aが存在する。 　ただし、 　AはHオラクルに高々h回質問すると仮定する。 Schnorrの認証法において、確率ε/hで なりすましに成功する敵Bが存在する。 * confidential * ランダム?オラクル?モデルにおける選択平文攻撃 署名 オラクル 敵 A Hオラクル 公開鍵 v （m*、c*, y*） 平文 mi 署名文 σi 乱数 cj=H(mj,xj) (mj, xj) * confidential * なりすましの敵 B 署名 オラクル 偽造の 敵 A Hオラクル v （m*、c*, y*） 平文 mi 署名文 σi 乱数 cj=H(mj,xj) (mj, xj) 公開鍵 v なりすますぞ！ * confidential * Bのなりすまし戦略 偽造の敵Aは、Hオラクルに 　 偽造用の(m*, x*)をk番目に質問する。 偽造の 敵A Hオラクル (m*,x*) B 相手 * confidential * Bはkをランダムに推測 Bは、x*をAに送る。 B 相手 x* 敵 Hオラクル (m*,x*) ＝ * confidential * Bのなりすまし戦略 相手がc*を返してきた。 B 相手 x* c* 敵 Hオラクル (m*,x*) ＝ * confidential * Bのなりすまし戦略 Bは、c*=H(m*,x*)とする。 B 相手 x* c* 敵 A Hオラクル (m*,x*) c*=H(m*,x*) Bの内部 ＝ * confidential * Bは、Aを最後まで走らせる Aは、偽造(m*,c*,y*)を出力する。 B 相手 x* c* 敵 A Hオラクル (m*,x*) c*=(m*,x*) Bの内部 (m*, c*, y*) * confidential * Bは、このy*を相手に返す。 (m*,c*,y*)及びx*は正しい偽造なので、 　　検査式　x*=g y* v c* mod pを満たす B 相手 x* c* 敵 A Hオラクル (m*,x*) c*=H(m*,x*) Bの内部 (m*, c*, y*) y* * confidential * よって、相手はacceptする。 (m*,c*,y*)及びx*は正しい偽造なので、 　　検査式　x*=g y* v c* mod pを満たす B 相手 x* c* 敵 A Hオラクル (m*,x*) c*=H(m*,x*) Bの内部 (m*, c*, y*) y* accept * confidential * これで、Bはなりすましに成功。 (m*,c*,y*)及びx*は正しい偽造なので、 　　検査式　x*=g y* v c* mod pを満たす B 相手 x* c* 敵 A Hオラクル (m*,x*) c*=H(m*,x*) Bの内部 (m*, c*, y*) y* accept * confidential * さて、Bは署名オラクルをどうシミュレート 署名 オラクル 敵 A Hオラクル v （m*、c*, y*） 平文 mi 公開鍵 v B * confidential * 零知識性の証明の要領で 署名 オラクル 敵 A Hオラクル v （m*、c*, y*） 平文 mi 公開鍵 v ci, yi ←ランダム xi←gyivci 署名文　σi=(ci,yi) * confidential * Hオラクルのシミュレート 署名 オラクル 敵 A Hオラクル v （m*、c*, y*） 平文 mi (mi, xi) 公開鍵 v ci, yi ←ランダム xi←gyivci σi=(ci,yi) * confidential * ci=H(mi,xi) とすれば、σi=(ci,yi)は検査式を満たす 署名 オラクル 敵 A Hオラクル v （m*、c*, y*） 平文 mi ci=H(mi,xi) (mi, xi) 公開鍵 v ci, yi ←ランダム xi←gyivci σi=(ci,yi) * confidential * 平文m, 署名文σ＝(c,y)の検査法 x=gyvc mod p　とおく。 c=H(m,x) をチェック * confidential * Bは、両オラ