🔢 mathematics

Observer-Quotient Security: Composable Leakage Bounds for Hidden State Continuations

Dieses Paper führt das Observer-Quotient-Security-Framework ein, welches komponierbare Real/Ideal-Emulations-Theoreme für interaktive kryptographische Systeme etabliert, indem es Leckage-Schranken über diverse Seitenkanäle und verborgene Zustandsfortsetzungen durch beobachterindexierte Experimente und regelungstechnische Verfeinerungen quantifiziert.

Ursprüngliche Autoren: Faruk Alpay, Levent Sarioglu

Veröffentlicht 2026-07-07

📖 6 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Faruk Alpay, Levent Sarioglu

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Die Kernidee: Was man sieht vs. was tatsächlich passiert

Stellen Sie sich vor, Sie beobachten einen Zauberer bei einem Trick. Sie sehen, wie der Zauberer eine Karte in eine Box legt, sie schüttelt und eine andere Karte herauszieht. Für Ihre Augen (den Beobachter) ist der Trick ein Mysterium.

Im Inneren der Box führt der Zauberer jedoch möglicherweise eine komplexe Serie von Bewegungen aus: Er tauscht Karten aus, mischt sie oder verändert sogar die Box selbst. Diese internen Bewegungen sind der verborgene Zustand (hidden state).

Diese Arbeit stellt eine kritische Frage: Spielt es eine Rolle, was der Zauberer im Inneren der Box macht, wenn man es nicht sehen kann?

Die Antwort lautet: Es kommt darauf an, wer zuschaut und wie lange man zusieht.

Der „Beobachter“ (Observer): Das ist jeder oder alles, was versucht herauszufinden, was gerade passiert. Es könnte ein Hacker, eine Sicherheitskamera, ein Strommesser oder ein Zeitsensor sein.
Der „Quotient“ (Quotient): Dies ist ein mathematischer Fachbegriff für das „Zusammenfassen von Dingen“. Wenn zwei verschiedene interne Zustände (wie „Karte A ist in der Box“ und „Karte B ist in der Box“) für den Beobachter exakt gleich aussehen, gruppiert der Beobachter sie in denselben Eimer. Die Arbeit nennt dies den Observer-Quotienten.
Die „verborgene Fortsetzung“ (Hidden Continuation): Dies geschieht, wenn sich das System im Inneren der Box verändert (der Zustand entwickelt sich weiter), aber aus der Sicht des Beobachters im selben „Eimer“ bleibt. Das System bewegt sich, aber der Beobachter denkt, es sei nichts passiert.

Das Kernproblem: Die „stille Bewegung“

Die Arbeit argumenttiert, dass viele Sicherheitsbeweise fehlschlagen, weil sie nur das Transkript (die öffentliche Aufzeichnung dessen, was passiert ist) betrachten. Sie gehen davon aus, dass das System sicher ist, wenn die öffentliche Aufzeichnung gleich aussieht.

Doch die Arbeit zeigt, dass ein System eine „stille Bewegung“ (eine verborgene Fortsetzung) vollziehen kann, die die öffentliche Aufzeichnung im jetzigen Moment nicht verändert, aber eine Falle für die Zukunft vorbereitet.

Die Analogie des verzögerten Lecks:
Stellen Sie sich einen geheimen Zähler in einem Computer vor, der jedes Mal hochzählt, wenn Sie auf eine Schaltfläche klicken.

Beobachter A sieht nur das Endergebnis auf dem Bildschirm. Er sieht das gleiche Ergebnis, egal ob der Zähler bei 10 oder 11 steht. Für ihn sieht das System identisch aus.
Die stille Bewegung: Das System erhöht den Zähler von 10 auf 11. Der Bildschirm verändert sich nicht.
Die Falle: Später wird ein Wartungspaket gesendet, das enthüllt, dass der Zähler eine „ungerade Zahl“ ist. Plötzlich erkennt der Beobachter: „Ah! Der Zähler stand bei 10, jetzt steht er bei 11. Ich kann den Unterschied feststellen!“

Die Arbeit besagt: Sicherheit bedeutet nicht nur, was man jetzt sieht; es geht darum, ob eine zukünftige Beobachtung eine Bewegung offenbaren kann, die in der Vergangenheit stillschweigend stattgefunden hat.

Die Lösung: Ein neuer Weg, Sicherheit zu messen

Die Autoren schlagen ein neues Framework namens Observer-Quotient Security vor. Anstatt nur zu fragen: „Ist der Output derselbe?“, fragen sie:

Wer schaut zu? (Liest jemand nur das Transkript oder misst er auch Zeit, Stromverbrauch oder elektromagnetische Wellen?)
Was ist der „Eimer“? (Welche internen Zustände sehen für diesen spezifischen Beobachter gleich aus?)
Kann sich das System innerhalb des Eimers bewegen? (Kann das System seinen internen Zustand ändern, ohne dass der Beobachter es bemerkt?)
Kann der Beobachter es später erwischen? (Wenn das System sich innerhalb des Eimers bewegt, kann eine zukünftige Beobachtung oder ein Seitenkanal diese Bewegung offenbaren?)

Der „Real vs. Ideal“-Test

Die Arbeit verwendet ein „Real/Ideal“-Spiel, um Sicherheit zu beweisen.

Das Reale Spiel: Das tatsächliche System, das mit all seinen unordentlichen internen Details läuft.
Das Ideale Spiel: Eine perfekte, vereinfachte Version, bei der das System nur den „Eimer“ (den Quotienten) zeigt und alles andere verbirgt.

Die Arbeit beweist, dass das Reale Spiel sicher ist, wenn es sich aus der Perspektive des spezifischen Beobachters exakt wie das Ideale Spiel verhält. Wenn das Reale Spiel etwas tut, das das Ideale Spiel nicht tun kann (wie eine stille Bewegung, die später Informationen preisgibt), bricht der Sicherheitsbeweis zusammen.

Der Kontrolltheorie-Kniff: Bessere Sensoren entwerfen

Die Arbeit verbindet dies auch mit der Regelungstechnik (Control Theory – wie Ingenieure Systeme entwerfen, um stabil zu bleiben).

Das Problem: Manchmal ist ein System gegenüber seinen eigenen internen Änderungen „blind“, weil die Sensoren nicht gut genug sind.
Die Lösung: Die Arbeit legt nahe, dass wir Sicherheit wie ein Designproblem behandeln können. Wenn wir wissen, dass eine „stille Bewegung“ gefährlich ist, können wir den Beobachter neu gestalten (einen besseren Sensor hinzufügen), um den „Eimer“ aufzubrechen.
Der Kompromiss: Das Hinzufügen eines besseren Sensors kostet Geld oder Energie. Die Arbeit bietet einen mathematischen Weg, um zu berechnen: „Wie viel reduziert das Hinzufügen dieses Sensors das Risiko?“ Dies hilft Ingenieuren zu entscheiden, ob ein neuer Sensor den Kosten wert ist, um eine Sicherheitslücke zu schließen.

Die wichtigsten Erkenntnisse in einfacher Sprache

Sicherheit ist relativ zum Beobachter. Ein System kann gegen einen Hacker, der nur den Bildschirm liest, sicher sein, aber unsicher gegen einen Hacker, der auch misst, wie lange der Computer zum Nachdenken braucht.
Stille Veränderungen sind gefährlich. Nur weil der öffentliche Output sich nicht ändert, bedeutet das nicht, dass das System sicher ist. Interne Änderungen können sich ansammeln und später Informationen preisgeben.
Man kann Seitenkanäle nicht einfach ignorieren. Wenn Sie beweisen, dass ein System gegen „nur Transkript“-Angriffe sicher ist, aber dann jemand einen „Timing“-Sensor hinzufügt, ist Ihr Beweis sofort ungültig. Sie müssen ihn für den neuen, mächtigeren Beobachter neu führen.
Mathematik kann helfen, Sensoren zu entwerfen. Die Arbeit liefert eine Formel, die Ingenieuren hilft, genau zu bestimmen, welche Sensoren sie hinzufügen müssen, um eine bestimmte Art von verstecktem Angriff zu stoppen, wobei die Kosten des Sensors gegen die Reduzierung des Risikos abgewogen werden.

Zusammenfassende Metapher

Denken Sie an einen Tresor.

Alte Sichtweise: Wenn der Tresor verschlossen aussieht und das Drehrad sich nicht bewegt hat, ist er sicher.
Neue Sichtweise (Diese Arbeit): Selbst wenn sich das Rad nicht bewegt, könnten sich die internen Zahnräder im Stillen verschieben. Wenn man genau hinhört (Timing), die Hitze fühlt (Stromverbrauch) oder lange genug wartet (zukünftige Sitzungen), könnte man das Klicken der Zahnräder hören.
Das Ziel der Arbeit: Sie liefert ein Regelwerk, um zu prüfen, ob sich die Zahnräder so verschieben, dass sie später hörbar sein könnten, und sie sagt Ihnen, wie Sie ein besseres Hörgerät bauen (Sensor), um sie zu erfassen, bevor sie eine Sicherheitsverletzung verursachen.

Technisches Resümee: Observer-Quotient-Sicherheit

Problemstellung

Moderne kryptographische Sicherheitsassertions sind fundamental Aussagen über Beobachtungen. Zwei Systemausführungen können intern unterschiedlich sein (in ihrem Rohzustand $X$ ), während sie für eine bestimmte Klasse von Beobachtern ununterscheidbar bleiben. Diese Ununterscheidbarkeit ist jedoch fragil: Sie kann scheitern, wenn die Beobachterklasse verfeinert wird (z. B. durch Hinzufügen von Zeit-, Cache-, Leistungs- oder Elektromagnetismus-Seitenkanälen) oder wenn das System „verborgene Fortsetzungen“ (hidden continuations) durchläuft – interne Zustandsübergänge, die den aktuellen öffentlichen Transkriptzustand bewahren, aber den Zustand so verändern, dass er durch zukünftige Beobachtungen, wiederholte Sitzungen oder Post-Processing ausnutzbar wird.

Das Kernproblem besteht im Fehlen eines vereinheitlichten Rahmens, der kryptographische Ununterscheidbarkeit, Seitenkanal-Leakage und kontrolltheoretische Beobachtbarkeit unter einer einheitlichen geometrischen und algebraischen Struktur behandelt. Bestehende Definitionen nehmen oft ein festes Beobachtermodell an; wenn sich dieses Modell ändert (z. B. durch Hinzufügen eines Seitenkanals), brechen Beweise oft ohne einen klaren Mechanismus zusammen, der das resultierende Leakage quantifiziert oder Sensoren entwirft, die es mildern können.

Methodik

Das Paper formalisiert die Observer-Quotient-Sicherheit, indem es den Sicherheitszustandsraum nicht als den Rohimplementierungszustand $X$ , sondern als den Beobachter-Quotienten $X/\Pi$ definiert, wobei $\Pi$ eine Klasse zulässiger Beobachtungskanäle ist.

Zentrale mathematische Konstrukte

Beobachter-Quotient und Pseudometrik: Das Paper definiert eine Pseudometrik $d_\Pi(x, x')$ basierend auf der Totalvariation zwischen den Ausgabeverteilungen aller Beobachter in $\Pi$ . Zustände $x, x'$ sind äquivalent ( $x \equiv_\Pi x'$ ), wenn $d_\Pi(x, x') = 0$ . Der Quotientenraum $X/\Pi$ repräsentiert den „sichtbaren“ Zustandsraum.
Verborgene Fortsetzungen (Hidden Continuations): Ein Übergang $T(x)$ ist eine verborgene Fortsetzung, wenn $T(x) \neq x$ , aber $T(x) \equiv_\Pi x$ gilt. Dies sind interne Zustandsänderungen, die für die aktuelle Beobachterklasse unsichtbar sind.
Interaktive Sicherheitsspiele: Das Framework führt interaktive Spiele mit Sitzungsidentifikatoren, Oracle-Weiterleitung, adaptiven Beobachter-Schedulern und Post-Processing ein. Die Sicherheitsdefinition ist ein Real/Ideal-Theorem: Ein reales Spiel $G$ emuliert eine ideale Quotienten-Funktionalität $F_{\Pi, B}$ , wenn der Unterscheidungsnachteil des Angreifers durch die Summe spezifischer „Defekt“-Terme begrenzt ist.
Randfunktionalitäten und Dissipativität: Um Zeitentwicklung und Rauschen zu handhaben, führt das Paper skalare Randfunktionalitäten $B_\Pi$ und stochastische Dissipativitätsbedingungen ein. Diese ermöglichen es, zu beweisen, dass die „Leakage-Untergrenze“ (das verbleibende Unterscheidungsmerkmal) gegen Null konvergiert oder beschränkt bleibt, selbst bei anhaltendem Rauschen oder Implementierungsdrift.

Beweisstrategie

Das Haupt-Real/Ideal-Theorem wird über eine vollständig indexierte Hybridsequenz bewiesen. Der Beweis zerlegt die Sicherheitslücke in benannte Defekt-Terme:

Beobachter-Defekte: Versagen des Beobachters, Zustände innerhalb einer Quotientenklasse zu unterscheiden.
Kernel-Defekte: Versagen des Übergangskernels, mit dem Quotienten kompatibel zu sein (d. h. das Aufspalten äquivalenter Zustände in unterscheidbare zukünftige Verteilungen).
Post-Processing-Defekte: Versagen der Beobachterfamilie, unter zulässigen Transformationen abgeschlossen zu sein.
Simulator-/Interface-Defekte: Fehler bei der Abbildung des realen Interfaces auf die ideale Quotienten-Funktionalität.
Statistische/Residuale Terme: Schranken, die aus stochastischer Dissipativität und Rand-zu-Vorteil-Abbildungen abgeleitet werden.

Zentrale Beiträge

Formale Definition von Observer-Quotient-Sicherheitsspielen: Das Paper definiert eine umfassende Spielstruktur inklusive Sitzungsidentifikatoren, adaptiver Scheduler und idealer Quotienten-Funktionalitäten. Es etabliert eine Pseudometrik auf Zuständen, induziert durch die Beobachterklasse, wodurch das „Beobachtermodell“ zu einem expliziten Parameter des Sicherheitstheorems wird.
Kompositionales Real/Ideal-Theorem: Es liefert ein Theorem, das den Unterscheidungsnachteil adaptiver Umgebungen begrenzt. Die Schranke ist eine Summe expliziter, benannter Terme (Beobachter, Kernel, Post-Processing, Simulator, statistisch und residual), was die modulare Analyse komplexer Systeme ermöglicht.
Komputationelle Instanziierungen: Das Framework wird für konkrete kryptographische Szenarien instanziiert:
- IND-CPA mit Timing-Leakage: Ein Theorem, das den Vorteil basierend auf Ciphertext-only-Sicherheit plus expliziten Timing-Randparametern und Profiling-Rauschen begrenzt.
- Deterministische Verschlüsselung: Ein Ledger-basierter Ansatz, der den Entropiekonsum gegenüber der Alphabetgröße und dem glatten maximalen Informations-Leakage verfolgt.
- Nonce-Refreshing Authenticated Encryption: Eine Zustandsautomaten-Analyse, die Nonce-Kollisionen und den Leakage-Zustandsdrift verfolgt.
Kontrolltheoretische Interpretation und Synthese: Das Paper schlägt eine Brücke zwischen Kryptographie und Kontrolltheorie. Es interpretiert Beobachter-Verfeinerung als Sensor-Redesign und verborgene Fortsetzungen als Elemente eines Observability-Kernels. Es formuliert das Beobachter-Design als Optimierungsproblem (z. B. Minimierung des Leakage unter Nutzen- und Kostenbeschränkungen) und liefert KKT-Bedingungen für die relaxierte Sensorauswahl.
Algorithmische Verifikation für endliche Systeme: Das Paper präsentiert konstruktive Algorithmen für endliche Zustandsautomaten, um Beobachter-Signaturen zu berechnen, die Kompatibilität von Quotienten zu prüfen und Partitionen zu verfeinern, bis ein stabiler Quotient erreicht ist. Dies ermöglicht die automatisierte Detektion von „verzögertem Leakage“, bei dem Zustände jetzt äquivalent, später aber unterscheidbar sind.

Ergebnisse und Ansprüche

Das Paper behauptet, dass sein Framework drei zuvor getrennte Domänen vereinheitlicht:

Kryptographische Ununterscheidbarkeit: Standard-IND-CPA wird als Spezialfall wiederhergestellt, in dem die Beobachterklasse auf Transkripte beschränkt ist.
Seitenkanal-Analyse: Das Framework modelliert explizit, wie das Hinzufügen eines Seitenkanals (die Verfeinerung von $\Pi$ ) den Quotienten vergröbert und potenziell frühere Beweise ungültig macht. Es bietet eine Methode, um das „Leakage Floor“ zu quantifizieren, das durch persistentes Rauschen oder Implementierungsdrift verursacht wird.
Resiliente Kontrolle: Es verbindet Sicherheit mit Beobachtbarkeit. Ein „stealthy attack“ wird als eine Eingangssequenz definiert, die das System durch den Kernel des Beobachters bewegt. Das Paper zeigt, wie das Hinzufügen von Sensor-Zeilen (die Verfeinerung des Beobachters) die Dimension des Kernels reduziert und die verbleibende Vorteilsschranke senkt.

Das Paper demonstriert, dass verborgene Fortsetzungen nur dann harmlos sind, wenn die Quotienten-Dynamik kompatibel ist (d. h. der Übergangskernel äquivalente Zustände auf äquivalente zukünftige Verteilungen abbildet). Wenn der Kernel inkompatibel ist oder die Beobachterklasse später verfeinert wird, kann der verborgene Zustand exponiert werden.

Die Bedeutung dieser Arbeit liegt in der Tatsache, dass Sicherheits-Assertions inhärent relativ zur Beobachterklasse sind. Ein Beweis, der für einen Transkript-basierten Beobachter gültig ist, ist nicht automatisch für einen Transkript-plus-Timing-Beobachter gültig. Die Bedeutung liegt in:

Explizitheit: Es erzwingt die explizite Deklaration der Beobachterklasse, des Horizonts und des Angreifermodells, um implizite Annahmen zu verhindern, die zu Sicherheitsfehlern führen.
Modularität: Durch die Zerlegung der Sicherheitsgrenzen in benannte Defekt-Terme ermöglicht es Designern, die Quelle eines Sicherheitsfehlers zu isolieren (z. B. ob es ein Kernel-Inkompatibilität oder ein Post-Processing-Problem ist).
Design-Integration: Es bietet eine mathematische Sprache, um zwischen Messkosten, Nutzen und Leakage abzuwägen. Anstatt Seitenkanal-Mitigation als Nachtrag zu behandeln, rahmt es Sensor-Design und Leakage-Kontrolle als Optimierungsproblem über den Beobachter-Quotienten ein.
Quantitative Residuen: Es geht über qualitative binäre Zustände (sicher/unsicher) hinaus und liefert quantitative Schranken für das „verbleibende Vorteil“ oder das „Leakage Floor“ in Gegenwart von Rauschen und Drift, was eine realistischere Langzeitschätzung ermöglicht.

Das Paper schließt mit der Feststellung, dass die „Lücke“ zwischen Rohzustandsgleichheit und Beobachtergleichheit der Ort ist, an dem verborgene Fortsetzungen existieren. Sicherheit wird nicht dadurch gewährleistet, dass Rohzustände identisch sind, sondern dass die Quotienten-Dynamik kompatibel ist und die Randfunktionale (die das Leakage-Gap repräsentiert) gegen Null oder eine vernachlässigbare Untergrenze getrieben wird.