Проблема социалистического миллионера - Socialist millionaire problem

В криптография, то проблема социалистического миллионера^[1] это тот, в котором два миллионера хотят определить, равно ли их богатство, не раскрывая друг другу никакой информации о своем богатстве. Это вариант Проблема миллионера^[2][3] при этом два миллионера хотят сравнить свое богатство, чтобы определить, у кого больше всего богатства, не раскрывая друг другу никакой информации о своем богатстве.

Часто используется как криптографический протокол это позволяет двум сторонам проверять идентичность удаленной стороны с помощью общего секрета, избегая атаки «злоумышленник посередине» без неудобств, связанных с ручным сравнением отпечатков открытого ключа через внешний канал. Фактически можно использовать относительно слабый пароль / кодовую фразу на естественном языке.

Мотивация

У Алисы и Боба есть секретные ценности ${displaystyle x}$ и ${displaystyle y}$, соответственно. Алиса и Боб хотят узнать, ${displaystyle x = y}$ не позволяя ни одной из сторон узнать что-либо еще о секретной ценности другой стороны.

Пассивный злоумышленник, просто шпионящий за сообщениями, которыми обмениваются Алиса и Боб, ничего не узнает. ${displaystyle x}$ и ${displaystyle y}$, даже если ${displaystyle x = y}$.

Даже если одна из сторон нечестна и отклоняется от протокола, этот человек не может узнать больше, чем если ${displaystyle x = y}$.

Активный злоумышленник, способный произвольно вмешиваться в общение Алисы и Боба ( человек посередине ) не может узнать больше, чем пассивный злоумышленник, и не может повлиять на результат протокола, кроме как заставить его выйти из строя.

Следовательно, протокол может использоваться для проверки подлинности того, имеют ли две стороны одинаковую секретную информацию. Популярный пакет криптографии мгновенных сообщений Сообщения без записи использует протокол социалистического миллионера для аутентификации, в котором секреты ${displaystyle x}$ и ${displaystyle y}$ содержат информацию об открытых ключах долгосрочной аутентификации обеих сторон, а также информацию, введенную самими пользователями.

Протокол обмена сообщениями без записи

Государственный автомат реализации протокола социалистического миллионера (СМП).

Протокол основан на теория групп.

Группа премьер порядок ${displaystyle p}$ и генератор ${displaystyle h}$ согласованы априори, и на практике обычно фиксируются в данной реализации. Например, в протоколе обмена сообщениями без записи ${displaystyle p}$ является фиксированным 1536-битным простым числом. ${displaystyle h}$ является генератором подгруппы простого порядка группы ${displaystyle (mathbb {Z} / pmathbb {Z}) ^ {*}}$, а все операции выполняются по модулю ${displaystyle p}$, или другими словами, в подгруппе мультипликативная группа, ${displaystyle (mathbb {Z} / pmathbb {Z}) ^ {*}}$.

К ${displaystyle langle h | a ,, браслет}$, обозначим безопасное многостороннее вычисление, Обмен ключами Диффи-Хеллмана-Меркла, что для целых чисел ${displaystyle a}$, ${displaystyle b}$, возвращает ${displaystyle h ^ {ab}}$ каждой партии:

• Алиса считает ${displaystyle h ^ {a}}$ и отправляет его Бобу, который затем вычисляет ${displaystyle left (h ^ {a} ight) ^ {b} эквивалент h ^ {ab}}$.
• Боб вычисляет ${displaystyle h ^ {b}}$ и отправляет его Алисе, которая затем вычисляет ${displaystyle left (h ^ {b} ight) ^ {a} эквивалент h ^ {ba}}$.

${displaystyle h ^ {ab} Equiv h ^ {ba}}$ как умножение в ${displaystyle (mathbb {Z} / pmathbb {Z}) ^ {*}}$ ассоциативно. Обратите внимание, что эта процедура небезопасна от человек посередине атаки.

Протокол социалистического миллионера^[4] имеет только несколько шагов, которые не являются частью вышеупомянутой процедуры, и безопасность каждого зависит от сложности дискретный логарифм проблема, как и выше. Все отправленные значения также включают доказательства с нулевым разглашением, что они были созданы в соответствии с протоколом.

Часть безопасности также полагается на случайные секреты. Однако, как написано ниже, протокол уязвим для отравления, если Алиса или Боб выберут любой из ${displaystyle a}$, ${displaystyle b}$, ${displaystyle alpha}$, или же ${displaystyle eta}$ быть нулевым. Чтобы решить эту проблему, каждая сторона должна проверить во время Диффи-Хеллман обмены, что ни один из ${displaystyle h ^ {a}}$, ${displaystyle h ^ {b}}$, ${displaystyle h ^ {alpha}}$, или же ${displaystyle h ^ {eta}}$ что они получают, равно 1. Также необходимо проверить, что ${displaystyle P_ {a} eq P_ {b}}$ и ${displaystyle Q_ {a} eq Q_ {b}}$.

	Алиса	Многопартийность	Боб
1	Сообщение ${displaystyle x}$ Случайный ${displaystyle a, alpha, r}$	Общественные ${displaystyle p, h}$	Сообщение ${displaystyle y}$ Случайный ${displaystyle b, eta, s}$
2		Безопасный ${displaystyle g = langle h | a, bangle}$
3		Безопасный ${displaystyle gamma = langle h | alpha, eta angle}$
4	Тест ${displaystyle h ^ {b} уравнение 1}$, ${displaystyle h ^ {eta} уравнение 1}$		Тест ${displaystyle h ^ {a} уравнение 1}$, ${displaystyle h ^ {alpha} eq 1}$
5	${displaystyle {egin {align} P_ {a} & = gamma ^ {r} Q_ {a} & = h ^ {r} g ^ {x} end {align}}}$		${Displaystyle {начало {выровнено} P_ {b} & = гамма ^ {s} Q_ {b} & = h ^ {s} g ^ {y} конец {выровнено}}}$
6		Небезопасный обмен ${displaystyle P_ {a}, Q_ {a}, P_ {b}, Q_ {b}}$
7		Безопасный ${displaystyle c = leftlangle left.Q_ {a} Q_ {b} ^ {- 1} ight | alpha, eta ightangle}$
8	Тест ${displaystyle P_ {a} eq P_ {b}}$, ${displaystyle Q_ {a} eq Q_ {b}}$		Тест ${displaystyle P_ {a} eq P_ {b}}$, ${displaystyle Q_ {a} eq Q_ {b}}$
9	Тест ${displaystyle c = P_ {a} {P_ {b}} ^ {- 1}}$		Тест ${displaystyle c = P_ {a} {P_ {b}} ^ {- 1}}$

Обратите внимание, что:

${displaystyle {egin {выравнивается} P_ {a} {P_ {b}} ^ {- 1} & = gamma ^ {r} gamma ^ {- s} = gamma ^ {rs} & = h ^ {alpha eta ( rs)} конец {выровнено}}}$

и поэтому

${displaystyle {egin {выровнено} c & = left (Q_ {a} Q_ {b} ^ {- 1} ight) ^ {alpha eta} & = left (h ^ {r} g ^ {x} h ^ {- s} g ^ {- y} ight) ^ {alpha eta} = left (h ^ {rs} g ^ {xy} ight) ^ {alpha eta} & = left (h ^ {rs} h ^ {ab ( xy)} ight) ^ {alpha eta} = h ^ {alpha eta (rs)} h ^ {alpha eta ab (xy)} & = left (P_ {a} {P_ {b}} ^ {- 1} ight) h ^ {альфа эта ab (xy)} конец {выровнено}}}$.

Поскольку случайные значения хранятся в секрете другой стороной, ни одна из сторон не может заставить ${displaystyle c}$ и ${displaystyle P_ {a} {P_ {b}} ^ {- 1}}$ быть равным, если ${displaystyle x}$ равно ${displaystyle y}$, в таком случае ${displaystyle h ^ {alpha eta ab (x-y)} = h ^ {0} = 1}$. Это доказывает правоту.

Смотрите также

• Доказательство с нулевым разглашением

Рекомендации

внешняя ссылка

• Описание протокола OTR-сообщений версии 2
• Проблема социалистического миллионера - объясните, как будто мне пять
• Goldbug Messenger, который использует реализацию протокола социалистического миллионера.