Универсальная компоновка - Universal composability

В рамках универсальная компоновка (UC)^[1] представляет собой универсальную модель для анализа криптографических протоколов. Это гарантирует очень высокие защитные свойства. Протоколы остаются безопасными, даже если они произвольно скомпонованы с другими экземплярами того же или другого протоколы. Безопасность определяется в смысле эмуляции протокола. Интуитивно говорят, что протокол эмулирует другой, если никакая среда (наблюдатель) не может различить выполнение. Буквально протокол может имитировать другой протокол (без доступа к коду). Понятие безопасности выводится косвенно. Предположим протокол ${displaystyle P_ {1}}$ безопасен по определению. Если другой протокол ${displaystyle P_ {2}}$ эмулирует протокол ${displaystyle P_ {1}}$ так что никакая среда не отличает эмуляцию от выполнения протокола, тогда эмулируемый протокол ${displaystyle P_ {2}}$ так же безопасен, как протокол ${displaystyle P_ {1}}$ .

Идеальная функциональность

Идеальная функциональность - это протокол, в котором доверенная сторона, которая может общаться по совершенно безопасным каналам со всеми участниками протокола, вычисляет желаемый результат протокола. Мы говорим, что криптографический протокол, который не может использовать такую доверенную сторону, выполняет идеальную функциональность, если протокол может имитировать поведение доверенной стороны для честных пользователей, и если точка зрения, которую злоумышленник узнает путем атаки на протокол, неотличима от что может быть вычислено симулятор взаимодействует только с идеальной функциональностью.

Модель вычислений

Вычислительная модель универсальной компоновки - это модель интерактивного Машины Тьюринга которые могут активировать друг друга, записывая записи на ленту общения друг друга. Интерактивная машина Тьюринга - это форма многоленточная машина Тьюринга и обычно используется для моделирования вычислительных аспектов сети связи в криптография.

Коммуникационная модель

Коммуникационная модель в простой среде UC очень проста. Сообщения отправляющей стороны передаются злоумышленнику, который может заменить эти сообщения сообщениями по своему выбору, которые доставляются принимающей стороне. Это тоже Модель угроз Долева-Яо. (На основе вычислительной модели все стороны моделируются как интерактивные машины Тьюринга)

Все модели связи, которые добавляют дополнительные свойства, такие как конфиденциальность, подлинность, синхронизация, или же анонимность моделируются с использованием собственной идеальной функциональности. Идеальная коммуникационная функция принимает сообщение на входе и создает сообщение на выходе. (Более ограниченные) полномочия противника ${displaystyle {mathcal {A}}}$ моделируются с помощью (ограниченной) способности противника взаимодействовать с этой идеальной функцией.

Идеальный канал с аутентификацией: Для оптимального идеального аутентифицированного канала идеальная функциональность ${displaystyle {mathcal {F}} _ {mathsf {Auth}}}$ принимает сообщение ${displaystyle m}$ с вечеринки с личностью ${displaystyle P}$ в качестве ввода и выводит то же сообщение вместе с идентификатором ${displaystyle P}$ получателю и противнику. Смоделировать способность противника задерживать асинхронная связь функциональность ${displaystyle {mathcal {F}} _ {mathsf {Auth}}}$ может сначала отправить сообщение противнику ${displaystyle {mathcal {A}}}$ и доставит только сообщение ${displaystyle m, P}$ как только он получит команду сделать это в качестве ответа.

Идеальный безопасный канал: В идеале безопасный канал, идеальная функциональность ${displaystyle {mathcal {F}} _ {mathsf {Sec}}}$ выводит только личность отправителя и получателю, и противнику, в то время как сообщение раскрывается только получателю. Это моделирует требование, чтобы безопасный канал был как аутентифицированным, так и частным. Чтобы смоделировать некоторую утечку передаваемой информации, ${displaystyle {mathcal {F}} _ {mathsf {Sec}}}$ может раскрыть злоумышленнику информацию о сообщении, например длина сообщения. Асинхронная связь моделируется с помощью того же механизма задержки, что и для ${displaystyle {mathcal {F}} _ {mathsf {Auth}}}$ .

Более продвинутые каналы

Хотя технические средства и физические предположения, лежащие в основе анонимного и псевдонимного общения, очень разные,^[2] моделирование таких каналов с использованием идеальных функций аналогично. Смотрите также луковая маршрутизация и Анонимный P2P. Аналогичные функции могут быть определены для широковещательная связь, или же синхронное общение.

Идеальный анонимный канал: В идеале анонимный канал, идеальный функционал, ${displaystyle {mathcal {F}} _ {mathsf {Anon}}}$ принимает сообщение ${displaystyle m}$ с вечеринки с личностью ${displaystyle P}$ в качестве ввода и выводит то же сообщение, но без раскрытия личности ${displaystyle P}$ получателю и противнику.

Идеальный псевдонимный канал: В идеале псевдонимный канал, участники сначала регистрируют уникальные псевдонимы с идеальным функционалом ${displaystyle {mathcal {F}} _ {mathsf {Pseu}}}$ . Сделать перевод ${displaystyle {mathcal {F}} _ {mathsf {Pseu}}}$ принимает сообщение ${displaystyle m}$ и псевдоним ${displaystyle nym}$ получателя в качестве входных данных. Идеальный функционал ищет владельца псевдонима и передает сообщение ${displaystyle m, nym}$ без раскрытия личности отправителя.

Эти формализации абстрагируются от деталей реализации конкретных систем, реализующих такие каналы. В чистом виде идеальная функциональность может оказаться неосуществимой. Возможно, потребуется ослабить функциональность, передав дополнительную информацию злоумышленнику (Степень анонимности ). С другой стороны, каналы связи могут быть физическими,^[3]^[4] например а мобильное устройство может создать анонимный канал, постоянно меняя его местоположение перед передачей сообщений, не содержащих идентификаторы.

Невозможность результатов

Не существует немного обязательств протокол, который универсально компонуется в Стандартная модель Интуиция заключается в том, что в идеальной модели симулятор должен извлекать значение для фиксации из входных данных среды. Это позволило бы получателю в реальном протоколе извлечь зафиксированное значение и нарушить безопасность протокола. Этот результат невозможности может быть применен к другим функциям.

Предположения о настройке и доверии

Чтобы обойти вышеуказанный результат невозможности, требуются дополнительные предположения. Дополнительные настройки и допущения о доверии, такие как общая эталонная строковая модель и предположение о доверенном Центр сертификации также моделируются с использованием идеальных функциональных возможностей UC.

Споры и другие модели

Реактивная симулируемость ^[5] аналогичная модель, разработанная одновременно с универсальной моделью совместимости.
Реферат / Конструктивная криптография ^[6]^[7] является более поздней универсальной моделью для составного анализа криптографических протоколов.
Модель GNUC и IITM - это переформулировка универсальной возможности компоновки другим исследователем (в частности, Виктор Шуп и Ральф Кестерс), которые повлияли на новые версии канонической модели Ран Канетти.