第九章可证明安全性理论.
可证明安全性理论与方法研究
V ol.16, No.10 ©2005 Journal of Software 软 件 学 报 1000-9825/2005/16(10)1743 可证明安全性理论与方法研究∗冯登国+ (信息安全国家重点实验室(中国科学院 软件研究所),北京 100080)Research on Theory and Approach of Provable SecurityFENG Deng-Guo +(State Key Laboratory of Information Security (Institute of Software, The Chinese Academy of Sciences), Beijing 100080, China) + Corresponding author: Phn: +86-10-62658643, Fax: +86-10-62520469, E-mail: fdg@, Received 2004-07-06; Accepted 2005-08-24Feng DG. Research on theory and approach of provable security. Journal of Software , 2005,16(10):1743−1756. DOI: 10.1360/jos161743Abstract : This paper presents a survey on the theory of provable security and its applications to the design and analysis of security protocols. It clarifies what the provable security is, explains some basic notions involved in the theory of provable security and illustrates the basic idea of random oracle model. It also reviews the development and advances of provably secure public-key encryption and digital signature schemes, in the random oracle model or the standard model, as well as the applications of provable security to the design and analysis of session-key distribution protocols and their advances.Key words : provable security; cryptosystem; security protocol; random oracle model; standard model摘 要: 论述了可证明安全性理论在安全方案与安全协议的设计与分析中的应用,内容主要包括:什么是可证明安全性,可证明安全性理论涉及到的一些基本概念,RO(random oracle)模型方法论的基本思想及其在公钥加密和数字签名等方案中的应用研究进展,标准模型下可证明安全性理论在公钥加密和数字签名等方案中的应用研究进展,以及可证明安全性理论在会话密钥分配协议的设计与分析中的应用研究进展.关键词: 可证明安全性;密码方案;安全协议;RO(random oracle)模型;标准模型中图法分类号: TP309 文献标识码: A目前多数安全协议的设计现状是:(1) 提出一种安全协议后,基于某种假想给出其安全性论断;如果该协议在很长时间,如10年仍不能被破译,大家就广泛接受其安全性论断;(2) 一段时间后可能发现某些安全漏洞,于是对协议再作必要的改动,然后继续使用;这一过程可能周而复始.这样的设计方法存在以下问题:(1) 新的分析技术的提出时间是不确定的,在任何时候都有可能提出新的分析技术;(2) 这种做法使我们很难确信协议的安全性,反反复复的修补更增加了人们对安全性的担心,也增加了实现代价或成本.那么有什么解决办法呢?可证明安全性理论就是针对上述问题而提出的一种解决方案(当然,并非是唯一∗ Supported by the National Grand Fundamental Research 973 Program of China under Grant No.G1999035802 (国家重点基础研究发展规划(973)); the National Natural Science Foundation of China under Grant No.60273027 (国家自然科学基金)作者简介: 冯登国(1965－),男,陕西靖边人,博士,研究员,博士生导师,主要研究领域为网络与信息安全.1744 Journal of Software软件学报 2005,16(10)的解决方案).可证明安全性是指,安全方案或协议的安全性可以被“证明”,但用“证明”一词并不十分恰当,甚至有些误导[1].一般而言,可证明安全性是指这样一种“归约”方法:首先确定安全方案或协议的安全目标.例如,加密方案的安全目标是确保信息的机密性,;然后根据敌手的能力构建一个形式的敌手模型,并且定义它对安全方案或协议的安全性“意味”着什么,对某个基于“极微本原(atomic primitives,是指安全方案或协议的最基本组成构件或模块,例如某个基础密码算法或数学难题等)”的特定方案或协议,基于以上形式化的模型去分析它,“归约”论断是基本工具;最后指出(如果能成功),挫败方案或协议的唯一方法就是破译或解决“极微本原”.换句话讲,对协议的直接分析是不必要的,因为你对协议的任何分析结果都是对极微本原的安全性的分析.可见,称“归约安全”也许比“可证明安全”更恰当.实际上,可证明安全性理论是在一定的敌手模型下证明了安全方案或协议能够达到特定的安全目标,因此,定义合适的安全目标、建立适当的敌手模型是我们讨论可证明安全性的前提条件.可证明安全性理论的应用价值是显而易见的:我们可以把主要精力集中在“极微本原”的研究上,这是一种古老的、基础性的、带有艺术色彩的研究工作;另一方面,如果你相信极微本原的安全性,不必进一步分析协议即可相信其安全性.综上所述,可证明安全性理论本质上是一种公理化的研究方法,其最基础的假设或“公理”是:“好”的极微本原存在.安全方案设计难题一般分为两类:一类是极微本原不可靠造成方案不安全(如用背包问题构造加密方案);另一类是,即使极微本原可靠,安全方案本身也不安全(如DES-ECB等).后一种情况更为普遍,是可证明安全性理论的主要研究范围.必须说明的是,可证明安全性理论也存在一定的局限性:首先必须注意模型规划,即注意所建立的模型都涵盖了哪些攻击.显然,一些基于物理手段的攻击都不包含在内,但这并不意味着可证明安全性的方案就一定不能抵抗这类攻击,而是说未证明可以抵抗这类攻击;其次,即使应用具有可证明安全性的方案,也可能有多种方式破坏安全性:有时证明了安全性,但问题可能是错误的,也可能应用了错误的模型或者协议被错误操作,甚至软件本身可能有“Bugs”.另一个需要注意的问题是基础假设的选取:可证明安全性是以某一假设为基础的,因此一旦该假设靠不住,安全性证明也就没有意义了(当然,不一定意味着可构造对方案的攻击实例);选取基础假设的原则就是“越弱越好”,通常称弱假设为标准假设.基础假设的强弱是比较不同安全方案的重要尺度之一.上述定义较为抽象,下面以RSA为例加以说明.给定某个基于RSA的协议P,如果设计者或分析者给出了从RSA单向函数到P安全性的归约,那么P具有以下转换性质:对于任何声称破译P的敌手(程序)A,以A为“转换算法”的输入,必然导致一个协议Q,Q可被证明破译RSA.结论是:只要你不相信RSA是可破译的,那么上述的Q就不存在,因而P是安全的.对可证明安全性的精确形式化有多种形式,一般是在计算复杂性理论框架下加以讨论,如主要考虑“概率多项式时间(PPT)”的敌手A和转换算法,以及“可忽略”的成功概率.这是一种“渐近”观点,有着广泛的适用范围.具体内容可参见Goldreich的研究综述[2].1.1 基本概念本质上,可证明安全性理论的主要研究途径是规划安全方案或协议的形式化安全模型,不同的安全方案或协议会导致不同的安全模型,而这些安全模型大多基于一些很基本的密码学概念.因此对一些最基本的密码学概念(如加密、签名及其安全性定义等)给予精确的形式化定义是可证明安全性理论的基础组成部分,有助于消除自然语言的语义二义性.下面分别介绍数字签名方案和公钥加密方案的安全模型.定义1(数字签名方案). 一个数字签名方案由以下3种算法组成:(1) 密钥生成算法K.对于输入1k,K产生一对匹配值(k p,k s),分别称为公钥和私钥,K可以是概率算法.k称为安全参数,密钥等因素的规模都依赖于k.(2) 签名算法Σ.给定消息m和(k p,k s),Σ产生签名σ,Σ可以是概率算法.(3) 验证算法V.给定签名σ和消息m以及公钥k p,V检验σ是否是m的对应于公钥k p的合法签名,通常情况冯登国:可证明安全性理论与方法研究1745下,V 是确定性算法.对于任一数字签名方案(K ,Σ,V ),敌手A 的模型如下: A 的目标有如下3个:揭示签名者私钥(完全破译);构造成功率高的伪签名算法(通用伪造);提供一个新的消息-签名对(存在性伪造). 存在性伪造一般并不危及安全,因为输出消息很可能无意义,但这样的方案本身不能确保签名方的身份,例如不能用来确认伪随机元素(如密钥),也不能用来支持非否认.A的两类攻击:未知消息攻击和已知消息攻击.后一种情况中最强的攻击是“适应性选择消息攻击”,即A 可以向签名方询问对任何消息的签名(当然不能询问欲伪造消息的签名,这是一类自明的约定,后文不再注释),因而可能根据以前的答案适应性地修改随后的询问. 定义2(数字签名方案在适应性选择消息攻击下的安全性). 对任一数字签名方案(K ,Σ,V ),如果敌手A 的攻击成功概率]1),,(:)(),(),1(),Pr[(=←←=Σσσm k V k A m K k k Succ p p k s p A s k是可忽略的,则称该方案能够抵抗适应性选择消息攻击.这里,A 可以获得签名Oracle s k Σ(实际上是一个“黑盒”),这模拟了如上所说的“适应性选择消息询问”,而且要求(m ,σ)没有询问过.s k Σ定义3(公钥加密方案). 一个公钥加密方案由以下3种算法组成:(1) 密钥生成算法K .对于输入1k ,K 产生一对匹配值(k p ,k s ),分别称为公钥、私钥,K 是概率算法.(2) 加密算法E .给定消息m 以及公钥k p ,E 产生m 对应的密文C .E 可以是概率算法,这时记为),;,(r m k E p r 表示随机输入.(3) 解密算法D .给定密文C 及私钥k s ,D 产生C 对应的明文m ,一般是确定性算法.一般而言,加密方案的安全目标是单向性(one-wayness,简称OW)的:在不知私钥的情况下,敌手A 在概率空间M ×Ω上成功地对E 求逆的概率是可忽略的(这里,M 是消息空间,Ω是加密方案的随机掷硬币空间),亦即概率]));,(,(:)1(),Pr[(m r m k E k A K k k Succ p p k s p A =←= 是可忽略的.然而,许多应用要求具有更强的安全性.定义4(多项式安全/密文不可区分). 对任一公钥加密方案(K ,E ,D ),如果满足1]),,,(:);,(),(),,(),1(),Pr[(2102110−==←←×b c s m m A r m k E c k A s m m K k k adv b p p k s p A是可忽略的,则称该方案是多项式安全的或密文不可区分的.这里,敌手A =(A 1,A 2)是一个2阶段攻击者(都是PPT 算法),概率取于(b ,r )之上.上述定义形式化了如下性质:敌手了解明文的某些信息(可任选一对消息,其中一个被加密),但它不能从密文得到除明文长度之外的任何信息.敌手的几种攻击类型(相当于敌手拥有的Oracle 数量及性质):(1) CPA(选择明文攻击),该攻击在公钥方案中显然是平凡的;(2) PCA(明文校验攻击),敌手获得明文校验Oracle,用以回答关于任一输入对(m ,c )是否为对应明密对的 询问;(3) CCA(选择密文攻击),除了获得加密Oracle 以外,敌手还获得解密Oracle,即对于任何询问的密文(除了应答密文),Oracle 都给以相应的明文作为回答.这是最强的攻击(根据是否适应性选择密文,还可以细分为CCA1和CCA2).对应以上攻击条件的相应安全性定义,均可用类似于定义4的方法给出,区别仅在于敌手获得的Oracle 数量和性质不一样.对称密码方案的安全性可类似定义.1746 Journal of Software软件学报 2005,16(10) 2 RO模型方法论及其相关研究结果20世纪80年代初,Goldwasser,Micali和Rivest等人首先比较系统地阐述了可证明安全性这一思想,并给出了具有可证明安全性的加密和签名方案[3,4].然而,以上方案的可证明安全性是以严重牺牲效率为代价的,因此以上方案虽然在理论上具有重要意义,但不实用,这种情况严重制约了这一领域的发展.直到20世纪90年代中期出现了“面向实际的可证明安全性(practice-oriented provable-security)”的概念,特别是Bellare和Rogaway提出了著名的RO(random oracle,随机预言)模型方法论[5],才使得情况大为改观:过去仅作为纯理论研究的可证明安全性理论,迅速在实际应用领域取得了重大进展,一大批快捷有效的安全方案相继提出;同时还产生了另一个重要概念:“具体安全性(concrete security or exact security)”,其意义在于,我们不再仅仅满足于安全性的渐近度量,而是可以确切地得到较准确的安全度量.面向实际的可证明安全性理论取得了巨大的成功,已被国际学术界和产业界广为接受;但Canetti和Goldreich对此持有异议[6],并坚持仍在标准模型(standard model)中考虑安全性.Canetti和Goldreich认为:密码方案在RO模型中的安全性和通过“hash函数实现”的安全性之间无必然的因果关系;具体说来,存在这样的实际签名方案和加密方案,它们在RO模型中是安全的,但任何具体实现都是不安全的.这实际上是提出了一个反例.不过,Goldreich也认为,应该明确RO模型方法论并不能作为实际方案安全的绝对证据,但该方法论仍是有意义的,如可以作为一种基本测试——任何实际方案通过这种安全测试是必要的,RO模型方法论至少可以排除很多不安全的设计,虽然并非完备的.Canetti则进一步指出,RO模型方法论虽然存在以上缺点,但它可用于设计简单而有效的协议——可以抵抗许多未知攻击;更重要的是,其基本思想可以用来设计某些安全的理想系统.Pointcheval等人则认为[7],目前还没有人能提出令人信服的关于RO模型实际合法性的反例.文献[6]的反例仅仅是一种理论上的反例,是针对实际目的的“明显错误设计”;RO模型已经被广为接受,并被认为是度量实际安全级别的一种很好的手段;即使并未提供一个正规的安全性证明(像标准模型那样),但在其“安全性论断”(hash函数没有弱点)下,RO模型中的证明确保了整个方案的安全性.更确切些,RO模型可视为对敌手能力的某种限制——敌手的攻击是不考虑任何特殊hash函数实例的一般攻击,而且如果假定存在某些防窜扰设备(如Smart Cards),则RO模型等价于标准模型,这时只要求伪随机函数存在[2].最重要的是,仅就实现效率这一点,RO 模型中的可证明安全性的方案就远远优于那些能够提供标准安全性证明的方案,仅此一点就可以从实际应用中排除当前所有“在标准模型中具有可证明安全性”的方案.事实上,一些有代表性的、有效的标准解决方案,如文献[3,4]中的方案,过于复杂且代价昂贵,归约的复杂性使得难以确定实际安全参数,其有效性也只是相对于过去的标准方案而言.但可以肯定的是,迄今为止,RO模型方法论是可证明安全性理论最成功的实际应用,其现状是:几乎所有国际安全标准体系都要求提供至少在RO模型中可证明安全性的设计,而当前可证明安全性的方案也大都基于RO模型.2.1 RO模型介绍文献[5]中提出如下观点:假定各方共同拥有一个公开的Random Oracle,就可以在密码理论和应用之间架起一座“桥梁”.具体办法是,当设计一个协议P时,首先在RO模型(可看成是一个理想模拟环境)中证明P R的正,然后在实际方案中用“适当选择”的函数h取代该Oracle(潜在论断是理想模拟环境和现实环境在敌手看来是多项式时间计算不可区分的).一般来说,这样设计出来的协议可以和当前协议的实现效率相当.必须指出,这并非是严格意义上的可证明安全性,因为安全性证明仅在RO模型中成立,随后的“取代”过程本质上是一种推测:RO模型中的安全特性可以在标准模型中得以保持.假设我们提出一个协议问题Π(这个问题和h函数“独立”),要设计一个安全协议P解决该问题,可按如下步骤执行:(1) 建立Π在RO模型中的形式定义,RO模型中各方(包括敌手)共享随机Oracle R;(2) 在RO模型中设计一个解决问题Π的有效协议P;(3) 证明P满足Π的定义;冯登国:可证明安全性理论与方法研究1747(4) 在实际应用中用函数h 取代R . 严格说来,h 不可能真的“像”随机函数:首先,其描述较短;其次,所谓的随机Oracle 即hash 函数对每一个新的询问产生一个随机值作为回答(如果问相同的询问2次,回答仍相同),这也是和随机函数的一个微小区别.但这并未改变上述方法论的成功,因为只要求在敌手看来“像”随机函数.此外,h 函数“独立”于Π也是至关重要的(否则可能不安全,可构造反例). 一般来说,函数h 至少要满足以下基本要求:设计上足够保守,能够抵抗各种已知攻击;不会暴露某些相关数学“结构”.文献[5]指出,选择h 并不需要太麻烦,一个适当选择(但并不需过分苛求)的hash 函数就是如上h 函数的一个很好的选择.RO 方法论也易于推广到基于对称密码本原的协议/方案研究,如CBC-MAC,虽然没有hash 函数,但把一个恰当选择的分组密码(如DES)视为随机函数.2.2 归约论断和具体安全性归约论断是可证明安全性理论的最基本工具或推理方法,简单说就是把一个复杂的协议安全性问题归结为某一个或几个难题(如大数分解或求解离散对数等).在RO 模型中的归约论断一般表现为:首先形式化定义方案的安全性,假设PPT 敌手能够以不可忽略的概率破坏协议的安全性(如伪造签名);然后模仿者S (就是设计者或分析者)为敌手提供一个与实际环境不可区分的模拟环境(RO 模型),回答敌手的所有Oracle 询问(模拟敌手能得到的所有攻击条件);最后利用敌手的攻击结果(如一个存在性的伪造签名)设法解决基础难题.如果把RO 模型换成现实模型就得到标准安全性证明.RO 归约论断的一个显著优点是能够提供具体安全性结果.具体地说就是,试图显式地得到安全性的数量特征,这一过程称为“具体安全性处理(concrete or exact treatment of security)”,与前面提到的“渐近”观点有明显区别.其处理结果一般表述为如下形式(举例):“如果DES(本原)可以抵抗这样条件的攻击,即敌手至多获得236个明密对,那么我们的协议就可以抵抗一个能执行t 步操作的敌手发动的攻击,t 值如下…”这样,协议设计者就能够确切地知道具体获得了多少安全保证,不必再笼统地说协议是否安全.例1:文献[8]中研究了CBC MAC 的安全特征,结论是:对任意一个运行时间至多为t 、至多见过q 个正确MAC 值的敌手,成功模仿一个新消息的MAC 值的概率至多为ε+(3q 2n 2+l )/2.这里,l 是基础密码的分组长度,n 是明文消息总数,ε是检测到密码偏离随机行为的概率(在O (nql )时间内).具体安全性处理的一个重要目标就是,在把一个基础极微本原转化成相应协议时,尽可能多地保持极微本原的强度.这表现为要求“紧”的归约方法,因为一个“松”的归约意味着要求采用更长的安全参数,从而降低了 效率.2.3 基于RO 模型方法论的代表性研究结果2.3.1 公钥加密方案第1节的概念推广到RO 模型,即可得到RO 模型中的公钥加密方案的定义.公钥加密方案可以通过PPT 生成器g 来规定:以安全参数1k 为输入,输出一对概率算法(E ,D ),分别称为加、解密算法,D 保密,运行时间以g 的运行时间为界.加密:)(x E y R ←,解密:)(y D x R ←.像定义4一样,称该方案在RO 模型中是CPA 多项式安全的,如果对任意的CP-敌手(选择明文敌手)(F ,A 1),满足).(2/1]),,(:)(};1,0{);(),();1(),(;2Pr[1110n b m E A m E b E F m m g D E R R b R R k μαα+≤=←←←←←∞ 这里,R 表示一般的Oracle,是从{0,1}*到{0,1}∞的函数,2∞表示所有Oracle 的集合,“∞”并非真的无限,只是避免提问“足够长是多长”这类问题,μ(n )是可忽略函数.CCA 安全性:这里的敌手A 称为RS-敌手,即有非一致多项式算法A =(F ,A 1),各自获得一个Oracle R 及一个解密Oracle 的黑盒实现D R ;F 的任务就是提出一对明文10,m m ,A 1被随机给予其中一个的密文α,则只要不允许向解密Oracle D R 询问α(因为禁止提出与最终论断等价的询问),A 1就不可能以不可忽略优势猜中是哪一个1748Journal of Software 软件学报 2005,16(10)明文. 称g 在RO 模型中安全抗CCA 攻击,如果对任意RS-敌手(F ,A 1),满足:).(2/1]),,,(:)(};1,0{);(),();1(),(;2Pr[10,1,10n b m m E A m E b E F m m g D E R R RD R b R D R k μαα+≤=←←←←←∞ Bellare 等人在文献[5]中提出了一个在RO 模型中安全抗CCA 攻击的方案,由于归约并不紧,应用意义并不大,但其设计思想很好地体现了RO 方法论的特点.Bellare 等人把以上思想作了进一步改进,在1994年提出了著名的公钥加密填充方案OAEP [9],可证明是抗CCA2攻击安全的,目前该方案已成为新一代RSA 加密标准.其基本组成是:核心组件是一个Padding 函数,即OAEP G ,H (x ,r )=x ⊕G (r )||r ⊕H (x ⊕G (r )).这里,x 是被加密消息,r 是随机输入;加密算法为E G ,H (x )=f (OAEP G ,H (x ,r )).这里,f 是陷门置换(如RSA 函数).基本设想是构造一个具有良好随机性的“遮掩函数”隐蔽明文的统计特性.2.3.2 数字签名方案Bellare 等人在文献[5]中也给出了一种具有可证明安全性的签名方案.该签名方案要求陷门置换f 具有“均匀分布”的特点,而标准RSA 置换不具有这个性质,因此基于RSA 无法设计该类方案.文献[10]中提出了一种基于RSA 的签名方案:概率签名方案PSS,目前有望成为RSA 签名标准.PSS 引入了概率机制,有更好的安全界.该方案不仅可证明其安全性,而且相应的归约是很紧的,一个敌手伪造签名的能力和对RSA 求逆的能力相当.总之,安全性和分解整数的困难性紧密相关.稍作改进,也可以具有消息恢复性质.目前,其他可证明安全性的签名方案大都是基于识别协议的签名方案,这不是偶然的,前面我们提到Fiat 和Shamir 曾经应用RO 假设试图构造一个安全性和因子分解一样困难的签名方案[11],并证明了其与识别协议的等价性.例如,文献[12]中的主要工作是:对基于Fiat-Shamir 识别协议的签名方案[11]作了具体安全性分析,通过交换应答和承诺的顺序改进设计了一类新的Fiat-Shamir 类型签名方案(E-swap 签名方案),具有更好的具体安 全性.其他一些进展可参见文献[13−15]等.文献[15]基于计算Diffie-Hellman(CDH)假设,对一个源于Schnorr 签名的改进方案EDL 给出了归约很紧的安全性证明,使得该签名方案得到了业界的广泛重视.另外,值得特别说明的是,文献[13]对于完善RO 模型方法论具有重大贡献,即提出了以Folklore 引理为代表的一般安全论断,主要适用于许多基于识别协议的签名方案,特别是证明了迄今为止唯一一个ElGamal 变形签名方案MEG 的安全性.基本方法是,Oracle 重放(replay)攻击,即在RO 模型中实施归约化证明时,重放多项式个不同(但有一定联系)的随机Oracle(这相当于为敌手提供多个模拟环境),然后敌手若能以不可忽略概率伪造多个签名,设计者或分析者就能根据其内在关联求解基础难题(如DLP).缺点是归约还不够紧. 3 标准模型中可证明安全性理论研究的一些重要进展文献[3,4]是满足标准安全性证明的早期有代表性的方案.实际上,前面的结果已经包含了许多这方面的内容,如一些基本概念等,这里我们简要介绍一些近年来的结果.文献[16]研究了数字签名方案中的hash 函数设计应用问题,降低了对hash 函数的要求;文献[17]提出了一类基于强RSA 假设的数字签名方案.其共同之处是都不把hash 函数形式化为RO.文献[17]的安全性证明实际上是用满足强计算假设的hash 函数取代了RO.3.1 基于padding 函数的RSA 签名方案克服RSA 签名方案同态缺陷的一种通用解决方案就是先对消息应用padding 函数作用,然后对结果作解密运算(签名).文献[16]中的主要结果是:基于padding 函数、对一组消息的RSA 签名与对多个分组消息的RSA 签名的安全性等价.而且这里并不要求hash 函数为Random Oracle 或具有自由碰撞性质,只是假设存在某个安全的、用于签署固定长度消息的padding 函数μ;利用它就可以构造一个用于签署任意长度消息的安全padding 方案.但该文在一般标准安全论断研究方面并未有多少进展.冯登国:可证明安全性理论与方法研究17493.2 没有随机Oracle 的安全签名方案(Hash -and -Sign 模式) 文献[17]基于强RSA 假设(即对任意的RSA 模*,nZ s n ∈,要在多项式时间内找到一个满足r e =s mod n 的二元组(e ,r )(e >1)是不可能的),提出了一种抵抗适应性选择消息攻击的签名方案,仍属于Hash-and-Sign 结构.密钥和参数说明类似于RSA,注意公钥为*,nZ s pq n ∈=.签名算法本身很简单:e =h (R ,M ),签名σ是s 模n 的e 次根;验证算法略.在安全性论断研究方面,文献[17]不再把hash 函数视为RO,而是把hash 函数视为具有某些特定性质(如整除难处理性等)的随机函数h (R ,M ).这里,R 是随机数.特别之处在于:既充分利用RO 安全论断的优点,又用一个假想的随机性Oracle 取代RO,即假设已知h 的随机输入因素也对解决强RSA 难题毫无帮助.文献[17]希望这种“相对模型方法论”能够替代RO 方法论,但显然其假设过强(虽然文献[17]认为仍是现实的),归约也不紧,更重要的是目前看不到有推广应用的可能,文献[17]也承认这一点.3.3 Cramer -Shoup 加密方案Cramer 和Shoup [18]于1998年提出了第一个比较实际的标准模型下可证明安全的公钥加密方案,该方案的困难假设是判定性Diffie-Hellman 问题.由于其安全性归约是在标准的杂凑函数假设(抗碰撞)下得到的,并不依赖于随机预言模型,所以受到了很大的关注.设G 是有限域*p Z 的阶为q 的子群,p ,q 为素数,且q |p −1,g 1和g 2是G 中两个随机的非单位元的元素.设),(21x x x =,),(21y y y =,),(21z z z =表示在0和q −1之间的数对;),(21g g g =,),(21u u u =表示G 中的元素对;r 是1和q −1之间的随机数,记),(2121x x x g g g =,),(2121rx rx rx g g g =.假设H 是合适的抗碰撞杂凑函数.用户Alice 的私钥是3对随机产生的数x ,y ,z ,其公钥由3个群元素,x g c =,y g d =z g e =组成.加密:为了发送消息m ∈G ,Bob 选择一个随机数r ,令r g u 11=,r g u 22=,m e w r =,然后计算),,(21w u u H h =和rh r d c v =.Bob 把四元组),,,(21v w u u 作为密文发送给Alice.解密:要解密),,,(21v w u u ,Alice 首先计算),,(21w u u H h =,然后利用她的私钥计算,hy x u +这个结果应该等于v (因为rh r rhy rx hy x d c g u ==++).如果它不等于v ,Alice 就拒绝该消息;如果通过这个检验,Alice 继续进行解密:把w 除以u z ,因为r rx z e g u ==,而m e w r =,所以这就是明文m .对于Cramer-Shoup 加密方案,如果存在一个自适应选择密文攻击的敌手能够破坏定义4中给出的安全性,那么就可以构造一个算法来求解判定性Diffie-Hellman 问题.容易看出,Cramer-Shoup 加密方案实际上是ElGamal 公钥加密方案的一个变型,而后者显然是不能抵抗选择密文攻击的.与ElGamal 方案相比,Cramer-Shoup 方案的一个重要设计思想,是增加了密文的合法性检验,即在其密文中增加了冗余v ,解密者通过检查u x +hy =v 来判断密文的合法性.而正是这个密文合法性检验条件,使得解密Oracle 不能帮助敌手来发动有效的攻击,这也是目前所有的抵抗选择密文攻击的加密方案的重要设计思想之一.4 会话密钥分配(SDK )协议的可证明安全性研究通信双方在充满恶意的环境中传送数据,一般需要确保数据的机密性和可认证性.要达到此目的,必须加密和认证被传送的数据,这就需要密钥,而密钥通常需要通过会话密钥分配(SKD)协议来实现.当前最常见的是三方SKD 协议(可信方参与),因此下文的论述以此为重点.最早的、最流行的三方密钥分配系统是1978年提出的NS 系统[19],并且有许多具体候选方案.之后的数年,又有10多个SKD 协议出现.但是,似乎所有这些工作都存在这样的“怪圈”:提出一个协议;然后是不断地试图破译;不断地修补.实际上,Needham 和Schroeder 在一开始就提出了警告:这样开发的协议容易有微妙的弱点,且不易在正常操作中检测到,很有必要研究验证协议正确性的技术.作为对这种警告的证实,文献[20]指出了一种NS 协议的bug,许多相关协议都有类似的缺陷.如此漫长的攻击历史使得人们终于达成这样的共识:要解决会话密钥分配问题,仅仅由作者给出一个协议、并且作者本人找不到可行的攻击手段是远远不够的.Burrows,Abadi 和Needham [21]试图通过使用特定目的的逻辑来解决这个问题,即著名的BAN 逻辑.形式化。
密码学假设
可证明安全性理论信息安全是信息社会赖以生存的根基，现代密码学是信息安全技术的核心，它建立在保证合法用户算法的有效性和敌手恢复被保护信息的不可行性之间的鸿沟之上，引入了计算复杂度理论，将攻破的“不可能性”转化为“不可行性”，因此也有人称之为复杂度理论密码学。
可证明安全性正是基于计算“不可行性”构建起来的理论，它将密码学方案的安全性归约为公认的计算难题，不仅是一种证明方法，也是一种设计协议的方法。
它使密码学从一门艺术变成为一门科学，并且也成为现代密码学领域中理论工作的主线。
特别是人们对国际密码标准进行大量分析之后，越来越意识到可证明安全性的重要性，可证明安全性也已成为任何一个密码协议的基本要求。
它对密码学的影响重大，并且对密码学实践也有重要的意义。
目前多数密码体制的设计采取的做法是：提出一种方案后，基于某种假设对方案做出具体的安全性分析，然后给出其安全性论断，如果该方案在较长时间内不能被破解，大家就广泛接受其安全性论断;如果在一段时间后发现安全漏洞，就对方案再作必要的修改，然后继续使用。
这种做法让人们对方案的安全性增加了不可靠感，而且从根本上难以避免受到新技术的分析和攻击.可证明安全性理论就是针对上述问题而提出的一种解决方案，可证明安全可理解为密码方案或协议的安全性可以被证明，换一句说，可证明安全理论的目的是要构建一种可以被证明是安全的体制，它能防止一些未知攻击。
安全性是可以证明的思想最初是由Goldwasser和Micali提出，他们将概率引入了密码学，强调多项式时间和可忽略的成功概率等。
随着对可证明安全性的进一步研究，密码学界意识到它不但对密码学的理论影响重大，且对密码学实践也有重要的意义，目前已成为了国内外密码学界最为关注的问题之一，同时可证明安全性也己成为了设计密码协议的公认要求。
可证明安全性理论是一种归约方法，它通过定义适当的安全目标(一般地，加密方案的安全目标是保密性，签名方案的安全目标是不可伪造性)，然后在一定的敌手模型下证明方案或协议能够达到既定的安全目标。
【计算机研究与发展】_可证明安全性_期刊发文热词逐年推荐_20140726
科研热词 随机预言机模型 路由协议 访问控制 组合公钥体制 移动自组网 版权保护 水印认证 椭圆曲线 数字水印 完全零知识证明 安全模型 多级安全 基于身份加密 双线性映射 匿名性 动态源路由 位委托 不干扰模型 uc框架 mov归约 blp模型
2011年 序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18
2011年 科研热词 推荐指数 标准模型 2 可证明安全 2 门限秘密共享 1 认证密钥交换协议 1 移动代码 1 最小割 1 最大流 1 最优修复集 1 攻击图 1 推广的选择身份安全模型 1 承诺 1 安全评估 1 安全 1 基于分级身份的签名 1 加密电路 1 h-cdh问题 1 gap diffie-hellman 1 canetti-krawczyk模型 1
2012年 序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30
科研热词 推荐指数 可证安全 2 霍尔逻辑 1 长期私钥 1 认证密钥协商 1 自认证公钥 1 细胞自动机 1 线性加密 1 短群签名 1 椭圆曲线密码 1 标准模型 1 数据持有性验证 1 数据恢复 1 操作语义 1 形式化验证 1 密钥交换 1 存储安全 1 子秘密演化 1 基于身份的认证密钥协商协议 1 可靠性 1 双线性对 1 内存模型 1 内存安全 1 保密性 1 传感器网络 1 代理签名 1 云存储 1 临时私钥 1 中间人攻击 1 pkg前向安全性 1 cdh问题 1
推荐指数 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1
吴超 安全科学原理 第九章 安全社会科学原理 读书笔记
吴超安全科学原理第九章安全社会科学原理读书笔记《安全科学原理》作为安全科学与工程学科的经典教材•，深入浅出地阐述了安全科学的基本原理。
在第九章“安全社会科学原理”中，作者吴超教授为我们揭示了安全科学与社会科学之间的密切关系。
这一章的内容不仅对于安全工程技术人员，而且对于任何对社会现象感兴趣的读者来说，都具有很高的参考价值。
首先，吴教授强调了社会因素在安全科学中的重要性。
他指出，无论是工业生产还是日常生活，许多事故的发生都与社会因素密切相关。
例如，人为的操作失误、管理不善、文化背景差异等都可能导致事故的发生。
因此，理解这些社会因素如何影响安全是至关重要的。
在这一章中，吴教授详细介绍了社会因素如何影响人的行为，进而影响安全。
他通过引用大量的实证研究，展示了社会压力、组织文化、群体行为、人际互动等因素如何影响个体的决策和行为，进而影响事故的发生率。
此外，他还深入探讨了社会结构、社会经济地位、教育水平等因素如何影响安全。
这一章也提到了如何从社会科学的角度来提高安全性。
吴教授提出了一些具体的策略和方法，如改变组织文化、强化安全意识教育、建立有效的激励机制等。
这些方法不仅有助于提高生产效率，更有助于减少事故的发生，保护人们的生命财产安全。
此外，吴教授还对社会学在安全科学中的应用进行了深入的探讨。
他指出，社会学的研究方法可以为安全科学研究提供新的视角和工具。
例如，通过社会调查、访谈、观察等方法可以深入了解事故发生的原因和背景，从而为预防事故提供更有针对性的建议。
在阅读这一章的过程中，我深感安全科学并不是孤立的学科，而是与社会科学紧密相连的。
只有将安全科学与社会科学相结合，才能更全面地理解事故发生的机理，更有效地预防和减少事故的发生。
总的来说，第九章“安全社会科学原理”是《安全科学原理》中非常有深度的一章。
它不仅拓展了我的知识视野，也让我对安全科学有了更深入的理解。
我相信，无论是对于专业的安全工程师，还是对于关心安全的普通读者来说，这一章都具有很高的阅读价值。
互联网安全密码学中的可证明安全性理论
互联网安全密码学中的可证明安全性理论互联网的快速发展和普及给我们的生活带来了巨大的便利与机遇，但与此同时，也面临着各种安全风险。
密码学作为一门研究信息安全的学科，以其独特的方式帮助我们保障数据的机密性和完整性。
而在密码学中的一个重要概念就是可证明安全性理论。
本文将深入探讨互联网安全密码学中可证明安全性理论的基本概念、应用及其重要性。
一、可证明安全性理论的基本概念可证明安全性理论是密码学中的一个重要分支，其目标是通过数学方法来证明密码系统和协议的安全性。
可证明安全性理论主要涉及到密码学的基础问题，如公钥密码学、数字签名和认证协议等。
在可证明安全性理论中，安全性是通过构造攻击者模型，并通过纳什均衡理论、信息论、生成函数等数学工具来证明密码系统的安全性。
这种证明是建立在严格的数学原理和算法推导上的，因此具有较高的可靠性。
二、可证明安全性理论的应用可证明安全性理论在互联网安全领域有着广泛的应用。
下面将介绍几个典型的应用案例。
1. 公钥密码学公钥密码学是一种基于不对称加密算法的密码系统，可证明安全性理论帮助我们证明了一些公钥加密算法的安全性，如RSA算法、椭圆曲线密码算法等。
这些算法的安全性是建立在数学难题的困难性上的，攻击者只有在解决这些数学难题的前提下才能破解密码。
2. 数字签名数字签名是保证数据完整性和身份认证的一种方式，可证明安全性理论提供了数学上的证明，证明数字签名算法是在合理的安全假设下是不可伪造的。
常用的数字签名算法有RSA数字签名算法和DSA数字签名算法。
3. 安全协议在互联网通信中，各种通信协议在保证安全性方面起着重要作用。
可证明安全性理论可以用来分析和证明各种安全协议的安全性，如安全的密钥交换协议、零知识证明协议等。
三、可证明安全性理论的重要性可证明安全性理论在互联网安全领域的重要性不可忽视。
以下是几个重要的原因。
1. 提供安全性保障可证明安全性理论通过严谨的数学证明，确保了密码系统和协议的安全性。
第九章 可证明安全性理论
定义2 如果一个公钥加密体制在适应性选 择密文攻击下是多项式安全的，我们就说 该体制是安全的。
引理1 一个可展（Malleability）的加密 体制在适应性选择密文攻击下是不安全 的。
证明：假设一个加密体制是可展的，当给 定一个目标密文cb时，我们可以把它修改成 一个相关的密文cb *。这种相关的关系也应 该存在于和mb和mb*。然后敌手利用解密预 言机（解密盒）来获得cb *的明文。最后敌 手根据mb*来恢复mb。
（2）语义安全性
语义安全性与完美安全性类似，只是我们 只允许敌手具有多项式有界的计算能力。 从形式上说，无论敌手在多项式时间内能 从密文中计算出关于明文的什么信息，他 也可以在没有密文的条件下计算出这些信 息。换句话说，拥有密文并不能帮助敌手 找到关于明文的任何有用信息。
（3）多项式安全性
我们很难显示一个加密体制具有语义安全 性，然而，我们却可以比较容易显示一个 加密体制具有多项式安全性。多项式安全 性也称为密文不可区分性。幸运的是，如 果一个加密体制具有多项式安全性，那么 我们可以显示该体制也具有语义安全性。 因此，为了显示一个加密体制是语义安全 的，我们只需要显示该体制是多项式安全 的。
我们假设一个敌手（一个概率算法）能够 以一个不可忽略的概率攻破RSA的某个安 全概念（比方说语义安全性）。对于一个 安全参数(安全参数用于测量密钥长度的大 小，比如在RSA中，安全参数可能是模数n 的比特数)为k的密码体制，如果敌手成功 的概率大于1/p（k），我们就说这个敌手 以一个不可忽略的概率成功，这里的p是一 个以k为变量的多项式。
因此，敌手获得了密文c对应的明文m。
ElGamal的安全性
引理4 如果DDH问题是困难的，那么ElGamal加密 体制在选择明文攻击下是多项式安全的。 证明：为了显示ElGamal是多项式安全的，我们首 先假设存在一个能够攻破ElGamal多项式安全性的 多项式时间算法A，然后我们给出一个使用算法A作 为子程序的算法B来解决DDH问题。
《安全学原理》课程笔记
《安全学原理》课程笔记第一章绪论1.1 安全问题的产生和认识过程1. 安全问题的起源- 早期人类社会：人类面临的主要安全问题是自然灾害和野兽的威胁。
随着火的利用和工具的发明，人类开始有能力抵御这些威胁。
- 农业社会：农业生产带来了新的安全问题，如农作物的病虫害、农业机械的伤害等。
- 工业社会：工业革命带来了生产力的巨大提升，但同时也带来了工业事故、职业病的增加。
2. 安全问题的认识过程- 经验阶段：早期人类对安全的认识主要基于经验，通过事故发生后总结教训，形成一些简单的安全规则。
- 科学阶段：19世纪末至20世纪初，随着科学技术的进步，人们开始运用科学方法研究事故原因，提出预防措施。
- 系统管理阶段：20世纪中后期，安全科学逐渐形成，人们开始从系统管理的角度预防和控制事故。
1.2 安全的概念1. 安全的定义- 安全是指在一定的时间和空间范围内，通过合理的措施，保障人的生命、财产、环境不受损害或威胁的状态。
2. 安全与危险的关系- 安全与危险是相互对立的概念。
危险是指可能导致人员伤害、财产损失、环境破坏的因素或状态。
- 安全工作的目标是识别和控制危险，降低事故发生的概率和损失。
1.3 安全的基本特征1. 预防性- 安全工作必须具有前瞻性，通过风险评估和预防措施，提前消除或减少潜在的危险。
2. 全局性- 安全问题涉及社会生活的各个方面，包括生产、生活、环境等，需要全方位考虑。
3. 系统性- 安全工作是一个系统工程，涉及政策、管理、技术、教育等多个环节，需要系统化运作。
4. 持续性- 安全工作不是一次性的活动，而是一个持续的过程，需要不断检查、评估和改进。
1.4 安全科学及其发展1.4.1 安全科学的概念与研究对象1. 安全科学的概念- 安全科学是一门跨学科的综合性科学，它研究人与环境、机器、物质等相互作用中的安全与健康问题。
2. 安全科学的研究对象- 事故现象：研究事故的发生机理、规律和影响因素。
- 风险管理：研究如何识别、评估和控制风险。
现代密码学教学大纲
现代密码学教学大纲现代密码学是网络空间安全的核心基础。
通过本门课程的学习，能够了解现代密码学基本理论，掌握现代密码学基本技术，理解各类密码算法的应用场景和相关的安全需求，培养信息安全意识，掌握安全需求分析的方法，并了解现代密码学的未来发展方向。
课程概述本课程共分为9章，第1章概述，介绍密码学的基本概念、密码学的发展简史和古典密码算法。
第2章到第6章是按照密码算法的设计思路和功能不同来划分，分别是流密码、分组密码、公钥密码、杂凑函数、数字签名，第7章密码协议主要介绍Diffie-Hellman密钥交换和Shamir秘密分享方案，更复杂的一些密码协议可在后续“网络安全协议”课程中学习。
第8章将介绍可证明安全理论的初步知识。
第9章将介绍一些密码学研究的前沿方向，比如属性基加密、全同态加密、后量子密码学等。
授课目标1、掌握分析保密通信系统中安全需求分析的方法。
2、理解密码学的基本概念、基本原理和一些典型的密码算法的原理。
3、理解各类密码算法的应用场景和相关的安全需求。
课程大纲第一章概述1.1 密码学的基本概念1.2 中国古代密码艺术1.3 外国古代密码艺术1.4 密码学发展简史1.5 密码分析学1.6 古典密码算法第一章单元测试第一章单元作业第二章流密码2.1 流密码的基本概念2.2 有限状态自动机2.3 二元序列的伪随机性2.4 线性反馈移位寄存器2.5 m-序列2.6 m-序列的伪随机性2.7 m-序列的安全性2.8 非线性序列12.9 非线性序列22.10 A5流密码算法第二章单元测验第二章单元作业第三章分组密码3.1 分组密码的基本概念3.2 SP网络3.3 Feiste密码l结构3.4 DES算法简介3.5 DES轮函数及密钥编排3.6 DES的安全性3.7 3DES3.8 分组密码的工作模式（上）3.9 分组密码的工作模式（下）3.10 有限域基础3.11 AES算法简介3.12 AES的轮函数3.13 AES的密钥编码及伪代码3.14 SM4算法第三章单元测验第三章单元作业第四章公钥密码4.1 公钥密码的基本概念4.2 完全剩余系4.3 简化剩余系4.4 欧拉定理4.5 RSA加密算法4.6 群的概念4.7 循环群4.8 ElGamal加密4.9 实数域上的椭圆曲线4.10 有限域上的椭圆曲线4.11 椭圆曲线密码学第四章单元测验第四章单元作业第五章Hash函数5.1 Hash概念和基本要求5.2 生日攻击5.3 SHA-1算法第五章单元测验第六章数字签名6.1 数字签名的基本概念6.2 RSA签名算法6.3 ElGamal签名算法6.4 DSS签名算法6.5 ElGamal类签名算法6.6 特殊性质的签名算法第六章单元测验第七章密码协议7.1 Diffie-Hellman 密钥交换7.2 Shamir 秘密分享第七章单元测验第八章可证明安全8.1 Boneh-Franklin身份基加密算法第九章密码学的新方向9.1 属性基加密9.2 全同态加密9.3 后量子密码学预备知识信息安全数学基础、线性代数、信息安全导论参考资料1．现代密码学（第四版），杨波，清华大学出版社，2017。
密码学算法的安全性分析
密码学算法的安全性分析密码学算法是保护信息安全的重要工具，它们被广泛应用于网络通信、数据远程传输以及身份认证等领域。
密钥安全作为密码学算法的核心问题，一直以来备受关注。
在密码学中，安全性分析是评估密码学算法抵御各种攻击的能力，从而确保信息的机密性和完整性。
本文将对密码学算法的安全性分析进行介绍和讨论。
首先，密码学算法安全性的评估基于攻击模型。
攻击模型定义了攻击者与系统进行交互的方式和能力，从而确定了攻击者可以获取的信息量。
一种典型的攻击模型是被动攻击者模型，即攻击者只能观察到加密或解密过程中的信息，但无法直接对算法进行攻击。
另一种常见的攻击模型是选择明文攻击(SPA)模型，其中攻击者能够选择明文并观察其相应的密文。
有时还会考虑主动攻击者模型，即攻击者可以主动干预算法的执行过程。
其次，安全性分析主要关注密码学算法的抗攻击能力。
在密码学中，常见的攻击方法包括穷举攻击、差分攻击、线性攻击以及冲突攻击等。
安全性分析的目标是评估算法在面对这些攻击方法时的强度。
穷举攻击是指通过穷举所有可能的密钥来获取明文的攻击方式。
差分攻击和线性攻击则是基于统计分析对算法的弱点进行利用。
冲突攻击则是试图找到相同的散列值或密钥值。
通过对这些攻击方法的分析，可以确定密码学算法在特定攻击模型下的安全性。
此外，安全性分析还会涉及密码学算法的密钥长度和随机性。
密钥长度是指用于加密和解密过程中的密钥的位数。
一般来说，密钥长度越长，穷举攻击的难度越大，算法越安全。
随机性是指算法生成密钥和加密数据时所使用的随机数。
良好的随机性能够提高算法的安全性，使得攻击者难以预测密钥和密文。
在进行安全性分析时，还需要考虑到密码学算法的可证明安全性。
可证明安全性是指密码学算法的安全性可以通过数学证明得到保证。
这种方法通常基于复杂数学问题的难解性，例如大整数的质因数分解或离散对数问题。
常见的可证明安全算法包括RSA、Elgamal和椭圆曲线密码学等。
通过数学证明，可以确保密码学算法在理论上是安全的。
安全的评估理论
安全的评估理论
安全的评估理论是指用于评估和分析系统、组织或环境中的安全性能和风险的一系列理论和方法。
这些理论和方法可以帮助决策者获取对系统的安全性能和面临的风险的全面了解，以便采取相应的安全措施和管理策略。
以下是一些常用的安全的评估理论：
1. 风险评估理论（Risk Assessment Theory）：风险评估是衡量系统面临的安全风险的过程。
这个理论提供了一种框架，用于确定系统中各种威胁和漏洞对系统造成的潜在损害和可能性。
2. 弹性安全性理论（Resilience Theory）：弹性安全性理论探讨系统或组织在遭受攻击、灾难或事故等压力下的适应能力和恢复能力。
该理论关注系统的弹性和应对措施，以减少潜在损害和提高系统的复原能力。
3. 控制理论（Control Theory）：控制理论研究如何设计和实施控制策略，以保持系统的安全性能在可接受范围内。
该理论关注通过控制和监测来减少系统中的风险和威胁。
4. 安全决策理论（Security Decision Theory）：安全决策理论研究决策者在面对不确定性和复杂性时，如何做出合理的安全决策。
该理论包括计算模型和方法，用于评估和选择安全方案和措施。
5. 渗透测试理论（Penetration Testing Theory）：渗透测试理论
研究如何模拟恶意攻击者的行为，以评估系统中的脆弱性和漏洞。
该理论提供了一种方法来测试系统的实际安全性能，并提供相应的修复建议。
这些安全的评估理论相互关联，可以提供全面而综合的安全评估方法。
选择合适的理论和方法取决于所评估系统的特点、风险和目标。
1.4-香农理论简介
第四节Shannon理论简介密码体制安全性标准计算安全性(computational security) 可证明安全性(provable security)无条件安全性(unconditional security)计算安全性这种度量涉及到攻击密码体制所作的计算上的努力。
如果使用最好的算法攻破一个密码体制需要至少N次操作，这里的N是一个特定的非常大的数字，我们可以定义这个密码体制是计算安全的。
可证明安全性另外一种途径是将密码体制的安全性归结为某个经过深入研究的数学难题。
例如，可以证明这样一类命题：如果给定的整数是不可分解的，那么给定的密码体制是不可破解的。
我们称这种类型的密码体制是可证明安全的。
注: 这种途径只是说明了安全性和另一个问题是相关的，并没有完全证明是安全的。
无条件安全性这种度量考虑的是对攻击者的计算量没有限制的时候的安全性。
即使提供了无穷的计算资源，也是无法被攻破的，我们定义这种密码体制是无条件安全的。
问题:计算安全性、可证明安全性、无条件安全性中哪种安全标准更实用?在上面三种安全标准的判定中，只有无条件安全性和信息论有关，即通过信息论来证明传递过程中无信息泄露。
下面来建立密码学中的信息论模型。
密码学中的信息论模型密码系统的保密性能及破译一个密码系统都和信息论密切相关。
我们知道，信息的传输是由通信系统完成的，而信息的保密则是由密码系统来完成。
在通信过程中发送方发出的信息在信道中进行传输时往往受到各种干扰，使m出错而变成m′，一般m′≠m。
合法接收者要从m′恢复m，必须识别m′中哪些信息是出错的。
为此他要求发送方对m进行适当编码，即按一定的规则增加部分码字，使合法接收者通过译码器把m′中的错误纠正过来。
对消息m进行加密的作用类似于对m进行干扰，密文c相当于被干扰的信息m′，破译者相当于在有干扰的信道下的接收者, 他要设法去掉这种“干扰”恢复原明文。
密码系统图示信源M加密器解密器信宿M信道m c c m密钥k破译者c这样便出现了如下问题: 密码设计者在设计密码体制时, 要尽可能地使破译者从密文c中少获得原明文信息, 而破译者则要从密文c中尽可能多地获得原明文信息。
信息安全考试题库（附答案）
信息安全考试题库（附答案）考试内容: 信息安全的要素、威胁、Hash函数的相关概念、计算机病毒特性及理解方面的要点1，信息安全的基本概念(安全的定义信息技术安全概述网络攻击的形式等 )2，信息保密技术(古典加密对称加密非对称加密RAS划重点两种密码体制和其代表方法)3，信息认证技术(信息摘要函数，数字签名，身份认证技术 )4，密钥管理技术(概念基础密钥管理知识密钥管理系统)5，访问控制技术(模型、基本要素、相关要素实现机制) 访问级别审计之类的不考6，网络攻击和防范(主要网络攻击技术：计算机病毒技术) 防火墙之类的不考考试形式:闭卷考试1，判断(讲过的知识点的灵活运用)10分2，填空(关键知识点)20分3，简答(基本，核心的部分言简意赅的说清楚就好)40分4，计算(要求详细过程，主要是实验内容对实验之外的内容也要关注)30分信息保密注意实验和平时作业习题：Q1、常见信息安全威胁（至少列出十种）信息破坏、破坏信息完整性、拒绝服务、非法使用（非授权访问）、窃听、业务流分析、假冒、旁路控制、授权侵犯、特洛伊木马、陷阱门、抵赖、重放、计算机病毒、人员不慎、媒体废弃、物理入侵、窃取、业务欺骗Q2、衡量密码体制安全性的方法？1、计算安全性：度量破译密码体制所需计算上的努力2、可证明安全性：通过规约的方式为密码安全性提供证据，如果使用某种具体方法破译一个密码体制，就有可能有效的解决一个公认困难的数学问题类比： NP完全问题的规约3 无条件安全性：假设攻击者具有无限的计算资源和计算能力时，密码体制仍然安全Q3、以p=5，q=7为例，简述RSA算法的加密和解密过程 // 自选密钥Eg：n=p*q=35f(n)=(p-1)(q-1)=24若gcd(e,f(n))=1 则取 e=5由d=e-1modf(n) 可取d=5加密：若明文为Z，m值为26，则m e=265=11881376，密文c=m e mod n=31 解密：密文为31，则c d=315=28629151 解密m=c d mod n=26 即ZQ4：满足什么条件的Hash函数是安全的？如果对于原像问题、第二原像问题、碰撞问题这三个问题都是难解的，则认为该Hash函数是安全的。
安全协议第二版课后习题
安全协议第二版课后习题一、判断题1.一个人叮以通过执行一. 系列的步骤来完成-项任务构成协议。
2.通过执行协议必须完成某项任务或达成某项共识。
3.在公钥协议中，数字证书可离线担保实体确实是公钥的所有者。
4.对不同类型的安全协议，存在着不同的攻击，而且新的攻击方法在不断产生。
5.协议中使用的密码算法被认为是抽象的并且不能对密码分析免疫。
6.安全协议又称为密码协议。
7.密钥协商可以不需要任何的可信第三方来完成。
8.协议的参与者通常是完全信任的人。
9.当用户接收到的信息都是二进制串时，用户无法判断是否是经过加密等处理。
10.重放属于对安全协议攻击类型中的篡改。
二、填空题1.协议运行环境中的角色是（）、攻击者、可信第三方。
2.电子商务协议最关注（），即协议应保证交易的双方都不能通过损害对方的利益而得到其不应该得到的利益。
3.在重放中，攻击者介入协议运行，通过（）再重放的方式实现攻击。
4.当用户接收到的信息都是二二进制串时，用户无法判断二进制串是否经过加密等处理，（），就是利用这一点使得用户将一个消息错误的解释成其他的消息。
5.抵抗类型攻击的方法有很多，有的使用每次改变消息元素的顺序，确保每次的加密密钥不同。
或者在消息中添加（）或（）的类型信息。
6.（）是攻击者选择或更改证$信息来攻击协议的运行。
7.（）是指安全方案和协议的最基本组成构建或模块。
8.攻击者可以通过（）获取协议运行中所传输的消息。
9.可证明安全理论最成功的实际应用是（）10.理论上任何安全多方计算问题都可以通过（）协议来解决。
三、名词解释1.协议2.安全协议3.攻击者4.可信第三方5.DoS攻击四、简答题1.安全协议的安全性质有哪些?2.最常用最基本的安全协议分为哪儿类?3.安全协议的三大理论分析方法是哪些?4.已知A和B已经共享一个密钥，并且分别选择随机数Na和Nb。
A,B 的协议过程如下:(1) A->B:{Na}k(2) A->B:{Nb}k，Na(3) A->B:Nb。
【计算机应用】_可证明安全性_期刊发文热词逐年推荐_20140726
推荐指数 3 2 2 2 2 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1
2010年 序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52
2012年 序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52
科研热词 可证明安全性 随机预言模型 随机预言机模型 双线性对 公钥加密体制 随机预言器 防陷害性 门限签名 适应性选择密文攻击 认证密钥协商 认证协议 认证与密钥协商协议 计算diffie-hellman问题 自认证公钥 网络状态 网络安全性 紧安全性归约 算法模型 秘密分享 离散对数 盲签密 盲签名 灰盒分析 标准模型 无证书密码系统 数字签名 攻击图 密钥分配 安全性分析 失败-停止签名 多重数字签名 基于身份 因子分解 可证明安全 可证安全 可认证群密钥协商 双线性映射 动态群签名 动态情况 决策diffie-hellman问题 不可伪造性 n叉树 bdh假设 3g安全
2008年 序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29
第九章 可证明安全性理论
如果： Adv ≤ 1 p (k ) 我们就称这个加密体制是多项式安全的，其中p(k) 是一个多项式函数，k是一个足够大的安全参数。
A
三种基本的攻击模型
选择明文攻击（Chosen Plaintext Attack, CPA）， 选择密文攻击（Chosen Ciphertext Attack, CCA） 适应性选择密文攻击（Adaptive Chosen Ciphertext Attack, CCA2）。
RSA的安全性
定义4 给定m1和m2的加密，如果能在不知 道m1或m2的条件下确定m1m2的加密结果， 我们就说该加密体制具有同态性质 （homomorphic property）。 根据以下方程知，RSA具有同态性质：
(m1m2 ) mod n (m mod n)(m2 mod n)mod n
（1）完美安全性
如果一个具有无限计算能力的敌手从给定的 密文中不能获取明文的任何有用信息，我们 就说这个加密体制具有完美安全性或信息论 安全性。根据Shannon理论知道，要达到完 美安全性，密钥必须和明文一样长并且相同 的密钥不能使用两次。然而，在公钥密码体 制中，我们假设加密密钥可以用来加密很多 消息并且通常是很短的。因此，完美安全性 对于公钥密码体制来说是不现实的。
① 选择明文攻击
在选择明文攻击中，敌手被告知各种各样 的密文。敌手可以访问一个黑盒，这个黑 盒只能执行加密，不能进行解密。既然在 公钥密码体制中任何人都可以访问加密函 数，即任何人都可自己产生一些明文密文 对，选择明文攻击模拟了一种非常弱的攻 击模型。
② 选择密文攻击
选择密文攻击也称为午餐攻击，是一种比选择 明文攻击稍强的攻击模型。在选择密文攻击中， 敌手可以访问一个黑盒，这个黑盒能进行解密。 在午餐时间，敌手可以选择多项式个密文来询 问解密盒，解密盒把解密后的明文发送给敌手。 在下午时间，敌手被告知一个目标密文，要求 敌手在没有解密盒帮助的情况下解密目标密文， 或者找到关于明文的有用信息。 在上面给出的多项式安全性的攻击游戏中，选 择密文攻击允许敌手在寻找阶段询问解密盒， 但是在猜测阶段不能询问解密盒。
密码学中的可证明安全性 杨波
如果敌手已知某个密文，不能得出所对应的明文的完 整信息，该公钥加密方案称为单向加密（One way encryption，简称OWE），是一个很弱的安全概念，因为不能 防止敌手得到明文的部分信息。
杨波
Cryptology
语义安全 IBE的背景 IBE的安全性 选择明文安全的IBE方案 选择密文安IN全D的-ICBPEA方案IND-CCA IND-CCA2 EUF-CMA 规约
1 初始化：挑战者产生系统ℰ ，敌手获得系统的公开钥; 2 挑战：敌手输出两个长度相同的消息m0 和m1 。挑战者
随机选择b ∈ {0, 1} ，将mb 加密，并将密文（称为目标 密文）给敌手;
杨波
Cryptology
语义安全 IBE的背景 IBE的安全性 选择明文安全的IBE方案 选择密文安IN全D的-ICBPEA方案IND-CCA IND-CCA2 EUF-CMA 规约
杨波
Cryptology
语义安全 IBE的背景 IBE的安全性 选择明文安全的IBE方案 选择密文安IN全D的-ICBPEA方案IND-CCA IND-CCA2 EUF-CMA 规约
公钥加密方案在选择明文攻击下的不可区分性
例：ElGamal加密算法
1 密钥产生：设G是阶为大素数q的群,g为G的生成元，随 机选x ∈ Zq*,计算y = gx modq. 以x为秘密钥，(y, g, q)为 公开钥。
杨波IBE的安全性 选择明文安全的IBE方案 选择密文安IN全D的-ICBPEA方案IND-CCA IND-CCA2 EUF-CMA 规约
科学实验与思维实验
图1-1: 科学实验与思维实验
杨波
Cryptology
安全行为科学理论课件
2023/9/24
安全行为科学理论[1]
第1节 安全行为科学理论
. 1、安全行为科学的概念
. 安全行为科学是把社会学、心理学、生理学、人 类学、文化学、经济学、语言学、法律学等多学 科基础理论应用到安全管理和事故预防的活动中， 为保障人类安全、健康和安全生产服务的一门应 用性科学。
安全行为科学理论[1]
. 群体安全行为：
. 各成员相互依赖，行为上相互作用，彼此影响， 各成员有我们同属于一群的感受。
. 领导安全行为：
. 领导是一种行为与影响力。
安全行为科学理论[1]
. 3、研究安全行为的方法
. 观察法 . 谈话法 . 问卷法 . 测试法
安全行为科学理论[1]
. 4、研究内容
安全行为科学理论[1]
第2节 企业安全管理模式
. 1、对象化安全管理模式
. 1)以人为中心的企业安全管理模式
. 把管理的核心对象集中于生产作业人员
. 2)以管理为中心的企业安全管理模式
. 一切事故原因皆源于管理缺陷
安全行为科学理论[1]
. 2、程序化的安全管理模式
. 1)事后型
. 事故发生－调查原因－分析原因－提出整改对策－实 施对策－评价－新的对策
. 一般国家采取“三方原则”的管理体制或模式。 . 即：国家－雇主－雇员三方利益协调原则
安全行为科学理论[1]
. 2、我国安全生产管理机制
. 五方结构：国家、政府(行业)、社会(中介)、 企业(法人)、工会(员工)的管理要素。
. 机制为：
. 政府监管与指导 . 企业实施与保障 . 员工权益与自律 . 社会监督与参与 . 中介支持与服务
. 2)预防型
密码学可证明安全的几种方法
密码学可证明安全的几种方法
密码学的安全性通常是通过证明其抵抗特定攻击的难度来评估的。
以下是密码学中几种常见的可证明安全的方法：
1. 理论证明：这种方法通过使用数学证明来证明密码方案的安全性。
例如，Diffie-Hellman密钥交换协议的安全性可以通过
数学证明基于数论或离散对数的难解性来得到保证。
2. 归约证明：这种方法将密码学问题归约到一个已知的难题上，通过证明已知难题的安全性来间接证明密码方案的安全性。
例如，将密码方案的安全性归约到离散对数问题或大整数的分解问题。
3. 零知识证明：零知识证明是一种交互式证明协议，用于证明某个秘密信息的真实性，而不泄露该信息的任何详细内容。
通过使用零知识证明，可以证明密码方案的某些属性而不泄露密钥或其他敏感信息。
4. 难解性假设：这种方法基于某些普遍接受的数学假设，如离散对数问题的难解性或大整数的分解问题的难解性。
如果这些假设成立，那么相应的密码方案应该是安全的。
需要注意的是，虽然这些方法可以提供一定程度上的安全性保证，但它们并不意味着密码方案是绝对安全的。
密码学的安全性还依赖于实现和使用的细节，以及攻击者的能力和资源。
因此，在设计和使用密码方案时，仍然需要综合考虑多个因素来确保安全性。
第8章可证明安全性理论
RSA-OAEP
定理1 在随机预言模型中，我们将G和H模 拟成随机预言机。假设RSA问题是一个困 难问题，RSA-OAEP加密方案在适应性选 择密文攻击下是语义安全的。
将CPA体制变成CCA2体制
假设我们有一个在选择明文攻击下是语义安全的公钥加密体制，如ElGamal。 这样的体制应该是非确定性的。我们可以将加密函数写为： E(m, r) 其中，m是需要加密的消息，r是输入的随机数。解密函数用D(c)表示。对于 ElGamal加密体制来说，我们有： E(m, r)=(gr, myr) Fujisaki和Okamoto显示了如何将在选择明文攻击下是语义安全的体制转变成 在适应性选择密文攻击下是语义安全的体制。他们的结论只适用于随机预言 模型。我们在这里只给出转变方法，详细的证明请参考相关文献。 我们将上述的加密函数变为： 其中H是Hash函数，解密函数变为： 我们需要检查是否有下式成立： 如果上式成立，我们恢复消息，否则，我们返回该密文是不合法的。 对于ElGamal体制来说，加密算法变为 这个算法的效率比原始算法要稍低一些。
如果没有一个敌手能以大于一半的概率赢得以下游戏，我们就称这个加密体制具有密文不可区分性， 或具有多项式安全性。这个敌手A被告知某个公钥y及其相应的加密函数fy。敌手A进行以下两个阶 段： 寻找阶段：敌手A选择两个明文m0和m1。 猜测阶段：敌手A被告知其中一个明文mb的加密结果，这里的b是保密的。敌手A的目标是以大于一 半的概率猜对b的值。 从这个游戏可以看出，一个具有多项式安全性的加密体制一定是一个概率性加密体制。否则，敌手 A在猜测阶段就可以计算： c1=fy(m1) 并测试是否有c1=cb成立。如果成立，敌手A就可以成功推断b =1，否则b=0。既然敌手A总能简单 地猜测b的值，敌手A的优势定义为：
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
从这个游戏可以看出，一个具有多项式安全性的 加密体制一定是一个概率性加密体制。否则，敌 手A在猜测阶段就可以计算： c1=fy(m1) 并测试是否有c1=cb成立。如果成立，敌手A就可 以成功推断b =1，否则b=0。既然敌手A总能简单 地猜测b的值，敌手A的优势定义为：
1 Adv A Pr( A(cb , y, m0 , m1 ) b) 2
攻击模型
① 被动攻击 在被动攻击中，敌手被告知一个公钥，要求产 生一个选择性伪造或存在性伪造。这是一种比 较弱的攻击模型。 ② 积极攻击 积极攻击中最强的攻击是适应性选择消息攻击 （adaptive chosen messages attacks），即 敌手可以访问一个签名预言机，它能够产生合 法的签名。敌手的目标是产生一个消息的签名， 当然这个消息不能是已经询问过签名预言机的 消息。
① 选择明文攻击
在选择明文攻击中，敌手被告知各种各样 的密文。敌手可以访问一个黑盒，这个黑 盒只能执行加密，不能进行解密。既然在 公钥密码体制中任何人都可以访问加密函 数，即任何人都可自己产生一些明文密文 对，选择明文攻击模拟了一种非常弱的攻 击模型。
② 选择密文攻击
选择密文攻击也称为午餐攻击，是一种比选择 明文攻击稍强的攻击模型。在选择密文攻击中， 敌手可以访问一个黑盒，这个黑盒能进行解密。 在午餐时间，敌手可以选择多项式个密文来询 问解密盒，解密盒把解密后的明文发送给敌手。 在下午时间，敌手被告知一个目标密文，要求 敌手在没有解密盒帮助的情况下解密目标密文， 或者找到关于明文的有用信息。 在上面给出的多项式安全性的攻击游戏中，选 择密文攻击允许敌手在寻找阶段询问解密盒， 但是在猜测阶段不能询问解密盒。
③ 适应性选择密文攻击
适应性选择密文攻击是一种非常强的攻击 模型。除了目标密文外，敌手可以选择任 何密文对解密盒进行询问。目前普遍认为， 任何新提出的公钥加密算法都应该在适应 性选择密文攻击下达到多项式安全性。
语义安全
定义1 如果一个公钥加密体制在适应性选 择密文攻击（adaptive chosen ciphertext attacks）下是语义安全的，我们就说该体 制是安全的。
8.1 可证明安全性理论的基本概念
公钥加密体制的安全性概念 数字签名体制的安全性概念 随机预言模型
1.公钥加密体制的安全性概念
（1）完美安全性(perfect security) （2）语义安全性(Semantic security) （3）多项式安全性(polynomial security)
（2）语义安全性
语义安全性与完美安全性类似，只是我们 只允许敌手具有多项式有界的计算能力。 从形式上说，无论敌手在多项式时间内能 从密文中计算出关于明文的什么信息，他 也可以在没有密文的条件下计算出这些信 息。换句话说，拥有密文并不能帮助敌手 找到关于明文的任何有用信息。
（3）多安全 性，然而，我们却可以比较容易显示一个 加密体制具有多项式安全性。多项式安全 性也称为密文不可区分性。幸运的是，如 果一个加密体制具有多项式安全性，那么 我们可以显示该体制也具有语义安全性。 因此，为了显示一个加密体制是语义安全 的，我们只需要显示该体制是多项式安全 的。
2．数字签名体制的安全性概念
对于数字签名体制，存在以下几种伪造类 型： （1）完全攻破:敌手能够产生与私钥持有者 相同的签名，这相当于恢复出了私钥。 （2）选择性伪造:敌手能够伪造一个他选择 的消息的签名。 （3）存在性伪造:敌手能够伪造一个消息的 签名，这个消息可能仅仅是一个随机比特 串
定义2 如果一个公钥加密体制在适应性选 择密文攻击下是多项式安全的，我们就说 该体制是安全的。
引理1 一个可展（Malleability）的加密 体制在适应性选择密文攻击下是不安全 的。
证明：假设一个加密体制是可展的，当给 定一个目标密文cb时，我们可以把它修改成 一个相关的密文cb *。这种相关的关系也应 该存在于和mb和mb*。然后敌手利用解密预 言机（解密盒）来获得cb *的明文。最后敌 手根据mb*来恢复mb。
如果： Adv ≤ 1 p (k ) 我们就称这个加密体制是多项式安全的，其中p(k) 是一个多项式函数，k是一个足够大的安全参数。
A
三种基本的攻击模型
选择明文攻击（Chosen Plaintext Attack, CPA）， 选择密文攻击（Chosen Ciphertext Attack, CCA） 适应性选择密文攻击（Adaptive Chosen Ciphertext Attack, CCA2）。
第8章 可证明安全 性理论
可证明安全性(Provable security)
可证明安全性是指这样一种“归约”方法：首 先确定密码体制的安全目标，例如，加密体制 的安全目标是信息的机密性，签名体制的安全 目标是签名的不可伪造性；然后根据敌手的能 力构建一个形式化的安全模型，最后指出如果 敌手能成功攻破密码体制，则存在一种算法在 多项式时间内解决一个公认的数学困难问题。
（1）完美安全性
如果一个具有无限计算能力的敌手从给定的 密文中不能获取明文的任何有用信息，我们 就说这个加密体制具有完美安全性或信息论 安全性。根据Shannon理论知道，要达到完 美安全性，密钥必须和明文一样长并且相同 的密钥不能使用两次。然而，在公钥密码体 制中，我们假设加密密钥可以用来加密很多 消息并且通常是很短的。因此，完美安全性 对于公钥密码体制来说是不现实的。
如果没有一个敌手能以大于一半的概率赢得以下 游戏，我们就称这个加密体制具有密文不可区分 性，或具有多项式安全性。这个敌手A被告知某个 公钥y及其相应的加密函数fy。敌手A进行以下两个 阶段： 寻找阶段：敌手A选择两个明文m0和m1。 猜测阶段：敌手A被告知其中一个明文mb的加密结 果，这里的b是保密的。敌手A的目标是以大于一 半的概率猜对b的值。