🔢 mathematics

Observer-Quotient Security: Composable Leakage Bounds for Hidden State Continuations

Dit artikel introduceert het Observer-Quotient Security-framework, dat composabele real/ideal-emulatiestellingen voor interactieve cryptografische systemen vaststelt door lekbounds over diverse zijkanalen en verborgen toestandscontinuaties te kwantificeren via observer-geïndexeerde experimenten en regeltechnische verfijningen.

Oorspronkelijke auteurs: Faruk Alpay, Levent Sarioglu

Gepubliceerd 2026-07-07

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Faruk Alpay, Levent Sarioglu

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Idee: Wat je ziet vs. Wat er werkelijk gebeurt

Stel je voor dat je naar een goochelaar kijkt die een truc uitvoert. Je ziet de goochelaar een kaart in een doos stoppen, de doos schudden en er een andere kaart uit halen. Voor jouw ogen (de waarnemer) is de truc een mysterie.

Binnenin de doos is de goochelaar echter mogelijk bezig met een complexe reeks bewegingen: kaarten verwisselen, ze schudden, of zelfs de doos zelf veranderen. Deze interne bewegingen zijn de verborgen staat (hidden state).

Dit paper stelt een kritische vraag: Maakt het uit wat de goochelaar binnenin de doos doet als je het niet kunt zien?

Het antwoord is: Het hangt ervan af wie er kijkt en hoe lang ze kijken.

De "Waarnemer" (Observer): Dit is iedereen of alles dat probeert te begrijpen wat er gebeurt. Het kan een hacker zijn, een beveiligingscamera, een energiemeter of een tijdsensor.
De "Quotiënt" (Quotient): Dit is een chique wiskundige term voor "dingen bij elkaar groeperen". Als twee verschillende interne staten (zoals "Kaart A zit in de doos" en "Kaart B zit in de doos") er voor de waarnemer exact hetzelfde uitzien, groepeert de waarnemer ze in dezelfde emmer. Het paper noemt dit de Observer Quotient.
De "Verborgen Continuatie" (Hidden Continuation): Dit is wanneer het systeem verandert binnenin de doos (de staat evolueert), maar binnen dezelfde emmer blijft vanuit het perspectief van de waarnemer. Het systeem beweegt, maar de waarnemer denkt dat er niets is gebeurd.

Het Kernprobleem: De "Stille Beweging"

Het paper betoogt dat veel beveiligingsbewijzen falen omdat ze alleen naar het transcript (het openbare verslag van wat er is gebeurd) kijken. Ze gaan ervan uit dat als het openbare verslag er hetzelfde uitziet, het systeem veilig is.

Maar het paper laat zien dat een systeem een "stille beweging" (een verborgen continuatie) kan maken die het openbare verslag op dit moment niet verandert, maar een valstrik voor de toekomst instelt.

De Analogie van de Vertraagde Lek:
Stel je een geheime teller voor in een computer die elke keer dat je op een knop klikt met één omhoog gaat.

Waarnemer A ziet alleen het eindresultaat op het scherm. Zij zien hetzelfde resultaat of de teller nu op 10 of 11 staat. Voor hen ziet het systeem er identiek uit.
De Stille Beweging: Het systeem verhoogt de teller van 10 naar 11. Het scherm verandert niet.
De Valstrik: Later wordt er een onderhoudspakket verzonden dat onthult dat de teller "oneven" is. Plotseling beseft de waarnemer: "Ah! De teller stond op 10, nu staat hij op 11. Ik kan het verschil zien!"

Het paper zegt: Beveiliging gaat niet alleen over wat je nu ziet; het gaat over de vraag of een toekomstige observatie een beweging kan onthullen die in het verleden stilzwijgend heeft plaatsgevonden.

De Oplossing: Een Nieuwe Manier om Beveiliging te Meten

De auteurs stellen een nieuw framework voor genaamd Observer-Quotient Security. In plaats van alleen te vragen "Is de output hetzelfde?", vragen ze:

Wie is er aan het kijken? (Lezen ze alleen het transcript, of meten ze ook timing, energieverbruik of elektromagnetische golven?)
Wat is de "Emmer"? (Welke interne staten zien er voor deze specifieke kijker hetzelfde uit?)
Kan het systeem bewegen binnen de emmer? (Kan het systeem zijn interne staat veranderen zonder dat de kijker het merkt?)
Kan de kijker het later ontdekken? (Als het systeem binnen de emmer beweegt, kan een toekomstige observatie of een zijkanaal (side-channel) die beweging dan onthullen?)

De "Real vs. Ideal" Test

Het paper gebruikt een "Real/Ideal" spel om beveiliging te bewijzen.

Het Real Game: Het eigenlijke systeem dat draait met al zijn rommelige interne details.
Het Ideal Game: Een perfecte, vereenvoudigde versie waarbij het systeem alleen de "emmer" (het quotiënt) laat zien en de rest verbergt.

Het paper bewijst dat de Real Game veilig is als deze zich exact gedraagt als de Ideal Game vanuit het perspectief van de specifieke waarnemer. Als de Real Game iets doet wat de Ideal Game niet kan (zoals een stille beweging die later lekt), dan faalt het beveiligingsbewijs.

De Control Theory Twist: Betere Sensoren Ontwerpen

Het paper legt ook een link met control theory (hoe ingenieurs systemen ontwerpen om stabiel te blijven).

Het Probleem: Soms is een systeem "blind" voor zijn eigen interne veranderingen omdat de sensoren niet goed genoeg zijn.
De Oplossing: Het paper suggereert dat we beveiliging kunnen behandelen als een ontwerpprobleem. Als we weten dat een "stille beweging" gevaarlijk is, kunnen we de waarnemer herontwerpen (een betere sensor toevoegen) om de "emmer" te doorbreken.
De Trade-off: Het toevoegen van een betere sensor kost geld of vermogen. Het paper biedt een wiskundige manier om te berekenen: "Hoeveel vermindert het toevoegen van deze sensor het risico?" Het helpt ingenieurs te beslissen of een nieuwe sensor de kosten waard is om een beveiligingsgat te dichten.

Belangrijkste Punten in Gewone Mensentaal

Beveiliging is relatief aan de waarnemer. Een systeem kan veilig zijn tegen een hacker die alleen het scherm leest, maar onveilig tegen een hacker die ook meet hoe lang de computer nodig heeft om na te denken.
Stille veranderingen zijn gevaarlijk. Alleen omdat de publieke output niet verandert, betekent niet dat het systeem veilig is. Interne veranderingen kunnen zich opstapelen en later lekken.
Je kunt zijkanalen niet zomaar negeren. Als je bewijst dat een systeem veilig is tegen aanvallen via "alleen het transcript", maar iemand voegt vervolgens een "timing"-sensor toe, is je bewijs direct ongeldig. Je moet het opnieuw bewijzen voor de nieuwe, krachtigere waarnemer.
Wiskunde kan helpen bij het ontwerpen van sensoren. Het paper geeft een formule om ingenieurs te helpen precies te bepalen welke sensoren ze moeten toevoegen om een specif kind soort stille aanval te stoppen, waarbij de kosten van de sensor worden afgewogen tegen de vermindering van het risico.

Samenvattende Metafoor

Denk aan een kluis.

Oude Visie: Als de kluis er vergrendeld uitziet en de draaischijf niet is bewogen, is hij veilig.
Nieuwe Visie (Dit Paper): Zelfs als de draaischijf niet is bewogen, kunnen de interne tandwielen stilzwijgend verschuiven. Als je goed luistert (timing), de warmte voelt (vermogen) of lang genoeg wacht (toekomstige sessies), hoor je misschien de tandwielen klikken.
Het Doel van het Paper: Het geeft een regelboek om te controleren of de tandwielen op een manier verschuiven die later gehoord zou kunnen worden, en het vertelt je hoe je een beter luisterapparaat bouwt (sensor) om ze te betrappen voordat ze een inbraak veroorzaken.

Technische Samenvatting: Observer-Quotient Beveiliging

Probleemstelling

Moderne cryptografische beveiligingsclaims zijn fundamenteel uitspraken over observaties. Twee systeemuitvoeringen kunnen intern verschillen (in hun ruwe staat $X$ ), terwijl ze ononderscheidbaar blijven voor een specifieke klasse van waarnemers. Deze ononderscheidbaarheid is echter fragiel: het kan falen als de klasse van waarnemers wordt verfijnd (bijv. door het toevoegen van timing-, cache-, stroom- of elektromagnetische zijkanalen) of als het systeem ondergaat aan "verborgen continuaties"—interne staatsovergangen die het huidige publieke transcript behouden, maar de staat op een manier veranderen die exploiteerbaar kan zijn bij toekomstige observaties, herhaalde sessies of post-processing.

Het kernprobleem dat wordt aangepakt, is het gebrek aan een verenigd kader dat cryptografische ononderscheidbaarheid, zijkanaal-lekken (side-channel leakage) en controle-theoretische observeerbaarheid onder één enkele geometrische en algebraïsche structuur behandelt. Bestaande definities gaan vaak uit van een vast waarnemersmodel; wanneer dat model verandert (bijv. door een zijkanaal toe te voegen), breken bewijzen vaak zonder een duidelijk mechanisme om het resulterende lek te kwantificeren of om sensoren te ontwerpen die dit kunnen mitigeren.

Methodologie

Het artikel formaliseert Observer-Quotient Beveiliging door de beveiligings-toestandsruimte niet te definiëren als de ruwe implementatiestatus $X$ , maar als de waarnemers-quotiënt $X/\Pi$ , waarbij $\Pi$ een klasse is van toegestane observatiekanalen.

Kernconstructies van de Wiskunde

Waarnemers-quotiënt en Pseudometriek: Het artikel definieert een pseudometriek $d_\Pi(x, x')$ gebaseerd op de totale variatieafstand tussen de output-distributies van alle waarnemers in $\Pi$ . Staten $x, x'$ zijn equivalent ( $x \equiv_\Pi x'$ ) als $d_\Pi(x, x') = 0$ . De quotiëntruimte $X/\Pi$ vertegenwoordigt de "zichtbare" toestandsruimte.
Verborgen Continuaties: Een transitie $T(x)$ is een verborgen continuatie als $T(x) \neq x$ maar $T(x) \equiv_\Pi x$ . Dit zijn interne staatswijzigingen die onzichtbaar zijn voor de huidige klasse van waarnemers.
Interactieve Beveiligingsspellen: Het kader introduceert interactieve spellen met sessie-identificatoren, oracle-forwarding, adaptieve waarnemers-schedulers en post-processing. De beveiligingsdefinitie is een Real/Ideal stelling: een echt spel $G$ emuleert een ideale quotiënt-functionaliteit $F_{\Pi, B}$ als het onderscheidend voordeel van de tegenstander begrensd wordt door de som van specifieke "defect"-termen.
Grensfunctionalen en Dissipativiteit: Om tijdsevolutie en ruis te behandelen, introduceert het artikel scalaire grensfunctionalen $B_\Pi$ en stochastische dissipativiteitscondities. Hiermee kan het systeem bewijzen dat de "lek-vloer" (de residuele onderscheidende voordeel) convergeert naar nul of begrensd blijft, zelfs in aanwezigheid van persistente ruis of implementatie-drift.

Bewijsstrategie

De belangrijkste Real/Ideal stelling wordt bewezen via een volledig geïndexeerde hybride sequentie. Het bewijs ontleedt de beveiligingskloof in benoemde defect-termen:

Waarnemers-defecten: Het falen van de waarnemer om staten binnen een quotiëntklasse te onderscheiden.
Kernel-defecten: Het falen van de transitie-kernel om compatibel te zijn met de quotiënt (d.w.z. het splitsen van equivalente staten in onderscheidbare toekomstige distributies).
Post-processing-defecten: Het falen van de familie van waarnemers om gesloten te zijn onder toegestane transformaties.
Simulator/Interface-defecten: Fouten in het mappen van de echte interface naar de ideale quotiënt-functionaliteit.
Statistische/Residuele termen: Grenzen afgeleid van stochastische dissipativiteit en grens-naar-voordeel mappings.

Belangrijkste Bijdragen

Formele Definitie van Observer-Quotient Beveiligingsspellen: Het artikel definieert een uitgebreide spelstructuur inclusief sessie-identificatoren, adaptieve schedulers en ideale quotiënt-functionaliteiten. Het vestigt een pseudometriek op staten geïnduceerd door de klasse van waarnemers, waardoor het "waarnemermodel" een expliciet parameter van de beveiligingsstelling wordt.
Compositionele Real/Ideal Stelling: Het biedt een stelling die het onderscheidend voordeel van adaptieve omgevingen begrenst. De grens is een som van expliciete, benoemde termen (waarnemer, kernel, post-processing, simulator, statistisch, en residueel), wat modulaire analyse van complexe systemen mogelijk maakt.
Computationele Instanties: Het kader wordt geïnstantieerd voor concrete cryptografische scenario's:
- IND-CPA met Timing-lekken: Een stelling die het voordeel begrenst op basis van ciphertext-alleen beveiliging plus expliciete timing-grensparameters en profiling-ruis.
- Deterministische Encryptie: Een ledger-gebaseerde aanpak die entropieconsumptie bijhoudt tegen alfabetgrootte en vloeiende max-informatie-lekken.
- Nonce-verversende Geauthenticeerde Encryptie: Een statusmachine-analyse die nonce-botsingen en lek-status-drift bijhoudt.
Controle-theoretische Interpretatie en Synthese: Het artikel slaat een brug tussen cryptografie en regeltechniek. Het interpreteert waarnemers-verfijning als sensor-redesign en verborgen continuaties als elementen van een observeerbaarheids-kernel. Het formuleert waarnemersontwerp als een optimalisatieprobleem (bijv. het minimaliseren van lekken onder nut en kostenrestricties) en biedt KKT-condities voor ontspannen sensorselectie.
Algoritmische Verificatie voor Eindige Systemen: Het artikel presenteert constructieve algoritmen voor eindige toestandsautomaten om waarnemers-signaturen te berekenen, quotiënt-compatibiliteit te controleren en partities te verfijnen totdat een stabiele quotiënt wordt bereikt. Dit maakt de automatische detectie van "vertraagde lekkage" mogelijk waarbij staten nu equivalent zijn, maar later onderscheidbaar worden.

Resultaten en Claims

Het artikel claimt dat zijn kader drie voorheen onderscheiden domeinen verenigt:

Cryptografische Ononderscheidbaarheid: Standaard IND-CPA wordt teruggevonden als een speciaal geval waarbij de klasse van waarnemers beperkt is tot transcripten.
Zijkanaal-analyse (Side-Channel Analysis): Het kader modelleert expliciet hoe het toevoegen van een zijkanaal (het verfijnen van $\Pi$ ) de quotiënt grover maakt, wat eerdere bewijzen ongeldig kan maken. Het biedt een methode om de "lek-vloer" te kwantificeren die wordt veroorzaakt door persistente ruis of implementatie-drift.
Veerkrachtige Controle: Het verbindt beveiliging met observeerbaarheid. Een "stealthy attack" wordt gedefinieerd als een inputsequentie die het systeem door de kernel van de waarnemer beweegt. Het artikel demonstreert hoe het toevoegen van sensorrijen (het verfijnen van de waarnemer) de dimensie van de kernel vermindert en de residuele voordeel-grens verlaagt.

Het artikel stelt dat verborgen continuaties alleen ongevaarlijk zijn als de quotiënt-dynamica compatibel is (d.w.z. de transitie-kernel brengt equivalente staten naar equivalente toekomstige distributies). Als de kernel incompatibel is, of als de klasse van waarnemers later wordt verfijnd, kan de verborgen staat worden blootgesteld.

Betekenis

Het artikel betoogt dat beveiligingsclaims inherent relatief zijn aan de klasse van de waarnemer. Een bewijs dat geldig is voor een transcript-alleen waarnemer, is niet automatisch geldig voor een transcript-plus-timing waarnemer. De betekenis van dit werk ligt in:

Explicietheid: Het dwingt de expliciete verklaring van de waarnemersklasse, de horizon en het tegenstandermodel af, wat impliciete aannames voorkomt die tot beveiligingsfouten leiden.
Modulariteit: Door beveiligingsgrenzen te deconstrueren in benoemde defect-termen, stelt het systeemontwerpers in staat om de bron van een beveiligingsfout te isoleren (bijv. is het een kernel-incompatibiliteit of een post-processing probleem?).
Ontwerp-integratie: Het biedt een wiskundige taal om de afweging te maken tussen meetkosten, nut en lekken. In plaats van zijkanaal-mitigatie als een achterafje te behandelen, kadert het sensorontwerp en lekcontrole als een optimalisatieprobleem over de waarnemers-quotiënt.
Kwantitatieve Residuen: Het gaat verder dan de kwalitatieve binaire staten "veilig/onveilig" door kwantitatieve grenzen te bieden op de "residuele voordeel" of "lek-vloer" in aanwezigheid van ruis en drift, wat een realistischer beeld geeft van langetermijnbeveiliging.

Het artikel concludeert dat de "kloof" tussen ruwe staat-gelijkheid en waarnemer-gelijkheid is waar verborgen continuaties leven. Beveiliging wordt niet gehandhaafd door te zorgen dat ruwe staten identiek zijn, maar door te zorgen dat de quotiënt-dynamica compatibel is en dat de grensfunctional (die het lek-gat representeert) naar nul of een verwaarloosbare vloer wordt gedreven.