Tight Security for BBS Signatures
Diese Arbeit löst die offene Frage der engen Sicherheit für BBS-Signaturen, indem sie eine neuartige enge Reduktion für den häufigsten Fall bereitstellt, in dem jede Nachricht höchstens einmal signiert wird, während sie gleichzeitig mittels Meta-Reduktion beweist, dass keine enge algebraische Reduktion auf die q-SDH-Annahme existiert, wenn mehrere Signaturen pro Nachricht zulässig sind.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor, in der jeder Beweise erbringen muss, wer er ist, um bestimmte Gebäude zu betreten, Dinge zu kaufen oder abzustimmen. In der realen Welt verwenden wir physische Ausweise oder Schlüssel, aber in der digitalen Stadt verwenden wir digitale Signaturen. Denken Sie an eine digitale Signatur wie an ein einzigartiges, unfälschbares Wachssiegel auf einem Brief. Es beweist, dass der Brief von Ihnen stammt und nicht manipuliert wurde.
Nun stellen Sie sich eine spezielle Art von Siegel vor, das nicht nur sagt: „Dies ist von Alice.“ Es ermöglicht Alice auch zu beweisen, dass sie eine Bürgerin ist, ohne ihren Namen preiszugeben, oder zu beweisen, dass sie über 18 Jahre alt ist, ohne ihr Geburtsdatum zu zeigen. Das ist die Magie von datenschutzwahrenden Signaturen (privacy-preserving signatures). Eines der beliebtesten „Siegeldesigns“, das in dieser Stadt verwendet wird, heißt BBS-Signaturen (benannt nach den Forschern, die sie erfunden haben). Sie sind so nützlich, dass große Gruppen wie die W3C und die IRTF derzeit die offiziellen Regelwerke (Standards) schreiben, um sicherzustellen, dass alle sie korrekt verwenden.
Aber hier ist der Haken: In der Welt der Kryptografie vertrauen wir nicht darauf, dass ein Siegel stark ist, nur weil es robust aussieht. Wir benötigen einen mathematischen Beweis, der besagt: „Wenn ein Dieb versucht, dieses Siegel zu brechen, wird er scheitern, es sei denn, er kann ein Problem lösen, das für einen Computer unmöglich schwer ist.“ Dies wird als Sicherheitsbeweis bezeichnet. Die große Frage, die dieses Paper behandelt, lautet: Wie „eng“ ist dieser Beweis?
In der Mathematik ist ein „enger“ (tight) Beweis wie eine direkte Linie vom Scheitern des Diebes zum schwierigen Problem. Ein „loser“ (loose) Beweis ist wie ein langer, gewundener Pfad, auf dem der Dieb vielleicht unterwegs ausrutschen kann, was das Siegel schwächer erscheinen lässt, als es eigentlich ist. Wenn ein Beweis zu lose ist, müssen wir die Siegel (die Schlüssel) viel größer machen, um sicher zu bleiben, was alles verlangsamt. Dieses Paper untersucht, ob der BBS-Siegel einen engen Beweis hat oder ob er von Natur aus lose ist, und die Antwort verändert, wie wir die Sicherheit der digitalen Stadt aufbauen.
Das große Siegel-Rätsel: Eng vs. Lose
Die Geschichte der BBS-Signaturen ist ein wenig wie eine Detektivgeschichte mit zwei verschiedenen Verdächtigen. Lange Zeit wussten Sicherheitsexperten, dass eine etwas andere Version des Siegels, genannt BBS+, einen „engen“ Sicherheitsbeweis hatte. Das bedeutete, wir wussten genau, wie stark es war. Die ursprüngliche BBS-Version war jedoch effizienter (schneller und kleiner), weshalb jeder diese verwenden wollte. Das Problem? Der einzige Beweis, den wir für das ursprüngliche BBS hatten, war „lose“. Es war so, als würde man sagen: „Wir glauben, dass dieses Schloss sicher ist, aber unsere Mathematik legt nahe, dass ein Dieb eine Chance von 1 zu einer Million hat, es zu knacken, also machen wir das Schloss einfach riesig, um sicherzugehen.“
Dieses Paper, geschrieben von Rutchathon Chairattana-Apirom, Dennis Hofheinz und Stefano Tessaro, tritt an, um dieses Rätsel zu lösen. Sie stellen eine einfache, aber entscheidende Frage: Ist die Losigkeit des BBS-Beweises nur ein Fehler, den wir beheben können, oder ist es ein grundlegender Makel, der nicht zu vermeiden ist?
Die gute Nachricht: Ein enges Schloss für eindeutige Nachrichten
Die Autoren befassen sich zuerst mit der häufigsten Art, wie Menschen diese Signaturen verwenden: das Signieren einer Nachricht einmalig. In der realen Welt ist das so, als würde man eine Eintrittskarte für ein Konzert unterschreiben. Man kauft ein Ticket und erhält eine Signatur. Man kauft normalerweise nicht dasselbe Ticket zweimal mit denselben Details.
Das Paper beweist, dass, wenn man BBS-Signaturen in diesem „Einmal-Szenario“ verwendet (was genau so, wie die neuen offiziellen Standards es planen), der Sicherheitsbeweis eng gemacht werden kann. Die Autoren haben eine brandneue mathematische Strategie entwickelt, um zu zeigen, dass das Brechen dieses Siegels genauso schwer ist wie das Lösen des zugrunde liegenden „unmöglichen“ mathematischen Problems.
Um ihren Trick zu verstehen, stellen Sie sich vor, der Siegelmacher (der Computer) hat einen Beutel mit speziellen „Tags“ (Zahlen), die er auf die Signaturen setzen kann. In den alten, losen Beweisen musste der Siegelmacher raten, welchen Tag der Dieb zu kopieren versuchen würde, und diese Vermutung war ein schwaches Glied. Die Methode der Autoren ist wie ein Meistermagier. Sie bereiten im Voraus einen „Vorrat“ an Tags vor. Wenn ein Benutzer eine Signatur anfordert, prüft der Magier, ob er einen „magischen“ Tag verwenden kann, der hilft, einen Dieb später zu überführen. Wenn nicht, verwendet er einen „Dummy“-Tag aus dem Vorrat.
Die Magie geschieht in der Mathematik: Die Autoren zeigen, dass die „magischen“ Tags und die „Dummy“-Tags für einen externen Beobachter (oder einen Dieb) exakt gleich aussehen. Sie sind ununterscheidbar. Da der Dieb nicht unterscheiden kann, welches welches ist, muss der Magier nicht raten. Er kann die Falle jedes Mal perfekt aufstellen. Das bedeutet, dass die Sicherheit der BBS-Signatur, wenn sie für eindeutige Nachrichten verwendet wird, so stark ist, wie die Mathematik es erlaubt. Kein zusätzlicher „Sicherheitsspielraum“ ist nötig.
Die schlechte Nachricht: Die Losigkeit ist bei wiederholten Nachrichten unvermeidlich
Doch die Geschichte nimmt eine Wendung. Was ist, wenn jemand versucht, die gleiche Nachricht mehrmals zu signieren? Vielleicht möchte jemand eine „Ich bin ein Student“-Nachricht für jeden Kurs unterschreiben, den er belegt. Die Autoren fragen dann: Können wir hier immer noch einen engen Beweis erhalten?
Die Antwort ist ein hartes Nein.
Unter Verwendung einer cleveren Technik namens „Meta-Reduktion“ (was so ist, als würde ein Detektiv den Dieb interviewen, um zu sehen, wie er das Schloss knacken würde), beweisen die Autoren, dass kein enger Beweis möglich ist, wenn dieselbe Nachricht mehr als einmal signiert werden kann. Sie zeigen, dass jeder Sicherheitsbeweis, der in diesem Szenario behauptet, „eng“ zu sein, eigentlich lügt.
Stellen Sie sich einen Dieb vor, der beschließt, dieselbe „Student“-Signatur 1.000 Mal anzufordern. Die Autoren beweisen, dass jeder Sicherheitsbeweis, der in dieser Situation versuchen würde, „eng“ zu sein, mit einer Wahrscheinlichkeit von etwa 1 zu 1.000 scheitern müsste. Das ist kein Bug; es ist ein Feature der Mathematik. Die „Losigkeit“ (ein Faktor , wobei die Anzahl der Signaturen ist) ist inhärent. Wenn man versucht, hier einen engen Beweis zu erzwingen, versucht man im Grunde, einen Kreis zu quadrieren.
Dieses Ergebnis ist ein zweischneidiges Schwert. Einerseits bestätigt es, dass die „losen“ Beweise, die wir zuvor gesehen haben, nicht einfach schlechte Mathematik waren, sondern das Beste, was wir erreichen konnten, für wiederholte Nachrichten. Andererseits sagt es uns, dass wir, wenn wir die stärkstmöglichen Sicherheitsgarantien wollen, beim „Einmal-Nutzungsmodell“ (der determinisierten Signierung) bleiben müssen, das die neuen Standards übernehmen.
Warum das für Ihr digitales Leben wichtig ist
Was bedeutet das also für den Durchschnittsbürger? Es bedeutet, dass die Standards, die gerade für digitale IDs und anonyme Anmeldeverfahren geschrieben werden, auf festem Boden stehen. Die Autoren haben bewiesen, dass die Version der BBS-Signaturen, zu der sich die Welt bewegt (bei der man eine Nachricht einmalig signiert), so sicher ist, wie wir es mathematisch garantieren können.
Sie haben uns auch vor Zeitverschwendung bewahrt. Vor diesem Paper hätten Forscher vielleicht Jahre damit verbracht, nach einem „engen“ Beweis für die Version mit wiederholten Nachrichten zu suchen, in der Hoffnung, sie noch sicherer zu machen. Dieses Paper schließt diese Tür und beweist, dass ein solcher Beweis nicht existiert. Stattdessen sagt es Ingenieuren: „Versuchen Sie nicht, die Version mit wiederholten Nachrichten enger zu machen; stellen Sie einfach sicher, dass Sie die Version für die einmalige Nutzung verwenden, dann sind Sie sicher.“
Letztendlich ist dieses Paper ein Sieg für die Klarheit. Es zieht eine helle Linie zwischen dem, was möglich ist und was nicht in der Welt der digitalen Privatsphäre. Es sagt uns, dass für die häufigsten Anwendungsfälle die BBS-Signatur eine Festung mit keinen verborgenen Rissen ist, vorausgesetzt, wir verwenden sie so, wie sie konzipiert wurde.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.