04 2 using block annotated tủ tài liệu bách khoa

Online
  Cryptography
  Course
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

 
 
 
 
 
 
 
 
 
  Dan
  Boneh
 

Using
 block
 ciphers
 
Modes
 of
 opera6on:
 
one
 6me
 key
 

 
 
 
 

 
 
 
 example:
 
 
 
 encrypted
 email,
 new
 key
 for
 every
 message.
 
Dan
 Boneh
 


Using
 PRPs
 and
 PRFs
 
Goal:
 
 build
 “secure”
 encryp6on

 from
 a
 secure
 PRP
 
 
 (e.g.
 AES).
 
This
 segment:
 
 
 
 one-­‐%me
 keys
 
1.  Adversary’s
 power:
 
 
 
 
 
 
 
 

 

 Adv
 sees
 only
 one
 ciphertext
 
 
 (one-­‐6me
 key)
 
3.  Adversary’s
 goal:
 
 
 
 
 
 

 Learn
 info
 about
 PT
 from
 CT
 
 
 (seman6c
 security)
 

 
Next
 segment:
 
 
 many-­‐6me
 keys
 
 
 (a.k.a
 
 chosen-­‐plaintext
 security)
 
Dan
 Boneh
 


Incorrect
 use
 of
 a
 PRP
 
Electronic
 Code
 Book
 (ECB):

 
PT:

m1
 

m2
 

CT:

c1
 

c2
 

Problem:
 
 
 
 
–  if
 
 
 
 m1=m2
 
 
 

 
 then
 
 
 c1=c2
 
Dan
 Boneh
 


In
 pictures
 

(courtesy
 B.
 Preneel)
 

Dan
 Boneh
 


Seman6c
 Security
 (one-­‐6me
 key)
 

EXP(0):
 

Chal.
 
k←K
 

m0
 ,
 m1
 
 ∈
 M
 :
 
 
 
 |m0|
 =
 |m1|
 

Adv.
 A
 

c
 ←
 E(k,m0)

 

b’
 ∈
 {0,1}
 

one
 6me
 key
 
 ⇒
 
 
 adversary
 sees
 only
 one
 ciphertext
 
EXP(1):
 

Chal.
 
k←K
 

m0
 ,

 m1
 
 ∈
 M
 :
 
 
 
 |m0|
 =
 |m1|
 
c
 ←
 E(k,m1)
 

Adv.
 A
 

b’
 ∈
 {0,1}
 

AdvSS[A,OTP]
 =
 |
 Pr[

 EXP(0)=1
 ]
 −
 
 Pr[
 EXP(1)=1
 ]
 |
 
 
 should
 be
 “neg.”
 
Dan
 Boneh
 


ECB
 is
 not
 Seman6cally
 Secure
 
ECB
 is
 not
 seman6cally
 secure

 for
 messages
 that
 contain
 
 
more
 than
 one
 block.
 
b∈{0,1}
 
Two
 blocks
 

Chal.
 
k←K
 

m0 = “Hello World”
m1 = “Hello Hello”

Adv.
 
 A
 

(c1,c2)
 ←
 E(k,
 mb)
 

Then
 
 AdvSS
 [A,
 ECB]
 =
 1
 
 

If
 
 c1=c2
 output
 0,
 
 else
 output
 1
 
Dan
 Boneh
 

Secure
 Construc6on
 I
 
Determinis6c
 counter
 mode
 from
 a
 PRF
 
 F
 :
 
•  EDETCTR
 (k,
 m)
 
 =
 
 

⊕
 

 

m[0]
 

m[1]
 

…
 

m[L]
 

F(k,0)
 

F(k,1)
 

…
 

F(k,L)
 

c[0]
 

c[1]
 

…
 

c[L]
 

⇒
 
 
 Stream
 cipher
 built
 from
 a
 PRF
 
 
 (e.g.
 
 AES,
 3DES)
 
Dan
 Boneh
 


Det.
 counter-­‐mode
 security
 
Theorem:

 
 
 
 For
 any
 L>0,
 

 If
 F
 is
 a
 secure
 PRF
 over
 (K,X,X)
 then
 
 

 EDETCTR
 is
 sem.
 sec.
 cipher
 over
 (K,XL,XL).
 

 

 In
 par6cular,
 
 for
 any
 eff.
 adversary
 A
 adacking
 EDETCTR


 
 


 there
 exists
 a
 n
 eff.
 PRF
 adversary
 B
 
 s.t.:
 

 


 


 AdvSS[A,
 EDETCTR]
 =
 2
 ⋅
 AdvPRF[B,
 F]
 


 AdvPRF[B,
 F]
 
 is
 negligible
 
 (since
 F
 is
 a
 secure
 PRF)
 

Hence,
 AdvSS[A,
 EDETCTR]
 
 must
 be
 negligible.
 

Dan
 Boneh
 


Proof
 
m0
 ,
 m1
 

chal.
 
k←K
 

c
 ←
 

m0
 

⊕
 
F(k,0)
 …
 F(k,L)
 

adv.
 A
 

≈p
 

chal.
 
f←Funs
  c
 ←
 

m0
 ,
 m1
 

b’≟1

 

k←K
 

c
 ←
 

m1
 

⊕
 
F(k,0)
 …
 F(k,L)
 

adv.
 A
 

b’≟1
 

m0
 

adv.

 A
 
⊕
 

f(0)
 …
 f(L)
 

b’≟1
 

≈p
 

≈p
 

chal.
 

m0
 ,
 m1
 

≈p
 

chal.
 
r←{0,1}n
  c
 ←
 

m0
 ,
 m1
 
m1
 
f(0)
 …
 f(L)
 

adv.
 A
 
⊕
 

b’≟1
 
Dan
 Boneh
 

End
 of
 Segment
 

Dan
 Boneh