An´ alises sobre CL-PKE-Proposto - Proposta de Esquemas de Criptografia e de Assinatura sob Mod

E Emparelhamento bilinear

X eXponencia¸c˜ao nos grupos multiplicativos

M Multiplica¸c˜ao escalar nos grupos aditivos

m multiplica¸c˜ao de pontos nos grupos multiplicativos

S Soma de pontos nos grupos aditivos

H c´alculo de Hash

Tabela 7.1: Opera¸c˜oes sobre grupos bilineares, em ordem de complexidade (e legenda)

7.2 An´alises sobre CL-PKE-Proposto

Seguem coment´arios e an´alises sobre nosso esquema CL-PKE-Proposto.

7.2.1 Viabilidade de Implementa¸c˜ao

Levando-se em conta o resumo apresentado por (GALBRAITH; PATERSON; SMART, 2006), a respeito do uso de emparelhamentos bilineares em esquemas criptográficos, chegamos à con-clusão de que CL-PKE-Proposto e demais esquemas relacionados estudados são todos pass´ıveis de serem implementados, ou seja, podem ser implementados na prática, desde que os grupos estejam definidos sobre corpos de caracter´ıstica prima grande (e grau de imersão 2). Isso é devido à escolha de emparelhamentos simétricos, na defini¸cão de todos os esquemas que podem ser comparados com CL-PKE-Proposto.

Detalhes sobre a viabilidade de implementa¸cão da fun¸cão de hash H1 : {0, 1}^∗ → G∗ 1 é descrita em (BONEH; FRANKLIN, 2001).

7.2.2 Eficiˆencia Computacional

Considerando-se que as opera¸cões mais caras envolvidas nos esquemas são respectivamente as listadas na tabela 7.1, podemos obter uma compara¸cão de tempo computacional para cripto-grafar e decriptocripto-grafar textos, com cada um dos esquemas CL-PKE. A tabela 7.2 relaciona, em ordem cronológica de publica¸cão, os esquemas relacionados com CL-PKE-Proposto, totalizando as opera¸cões que envolvem pontos da curva.

Pela tabela 7.2, é poss´ıvel observar que, em implementa¸cões t´ıpicas, CL-PKE-Proposto deve ser o mais veloz para criptografar mensagens, pois requer apenas um cálculo de emparelhamento

7.2 An´alises sobre CL-PKE-Proposto 90

Criptografia Decriptografia

Esquema CL-PKE E X M H E X M H

(AL-RIYAMI; PATERSON, 2003)

3 1 1 4 1 0 1 3

(AL-RIYAMI; PATERSON, 2005)

1 1 2 5 1 0 2 4

(CHENG; COMLEY, 2005)

1 1 2 4 1 0 2 3

CL-PKE-Proposto 1 1 2 3 1 0 2 2

Tabela 7.2: Quantidade de opera¸c˜oes sobre grupos nos esquemas CL-PKE

e menor quantidade de hash que todos os antecessores.

Para decriptografar, o esquema de (AL-RIYAMI; PATERSON, 2003) apresenta a solu¸cão mais eficiente, entre todos. Nosso esquema é ligeiramente mais veloz que o de (CHENG; COM-LEY, 2005), por usar uma fun¸cão de hash a menos.

Salientamos que o uso de menor número de opera¸cões de hash ocorre não apenas nos algoritmos de criptografia e decriptografia. No próprio algoritmo de inicializa¸cões de CL-PKE-Proposto, fazem parte dos parâmetros públicos do sistema apenas três fun¸cões de hash, a menor quantidade dentre todos os esquemas.

Se forem implementadas técnicas semelhantes às de (BONEH; BOYEN, 2004a), para eli-mina¸cão da hipótese de oráculos aleatórios, o cálculo de hash se torna mais caro, porém a eficiência de nosso algoritmo de decriptografia se torna praticamente equivalente à do mais veloz (ver se¸cão 8.2.2).

7.2.3 Uso de Espa¸co

A tabela 7.3 lista os tamanhos de chave p´ublica, de texto leg´ıvel e de texto cifrado, requeridos pelos esquemas. Por essa tabela, pode-se observar que CL-PKE-Proposto requer chaves p´ublicas de bom tamanho frente aos demais esquemas. E, potencialmente, produz cifras menores que seus antecessores.

Considerando-se que o tamanho da mensagem para CL-PKE-Proposto, em bits, é m − k0, e n para os demais esquemas, é poss´ıvel realizar uma compara¸cão dos tamanhos da cifras produzidas, fazendo n = m − k0. Para determinadas escolhas de m e k0, com k0polinomial em m, o esquema proposto produz cifras de menor tamanho conforme se vê na tabela 7.4.

7.2 An´alises sobre CL-PKE-Proposto 91

Tamanhos (em bits)

Esquema CL-PKE chave p´ublica mensagem leg´ıvel mensagem cifrada

(AL-RIYAMI; PATERSON, 2003)

2g n g + 2n

(AL-RIYAMI; PATERSON, 2005)

g n g + 2n

(CHENG; COMLEY, 2005)

g n g + 2n

CL-PKE-Proposto

g m − k

g + m

Tabela 7.3: Tamanhos requeridos na representa¸c˜ao de elementos nos esquemas CL-PKE

(em que g ´e o tamanho em bits para representar um ponto de G

)

k₀ < n, limitado porém a uma rela¸cão polinomial entre k₀ e m(= n + k₀). Isto é, deve valer k0(n) = O(n1/c), para alguma constante c > 1. Nessas condi¸cões, nosso esquema é mais econômico no uso de memória e de banda em canais de comunica¸cão.

Valor de k

com m = n + k

Tamanho da cifra de CL-PKE-Proposto

k

> n m > 2n maior que a dos antecessores

k

= n m = 2n igual a dos antecessores

k

< n m < 2n menor que a dos antecessores

Tabela 7.4: Tamanho relativo do texto cifrado em CL-PKE-Proposto

7.2.4 Modelo de Seguran¸ca

Os esquemas estudados de CL-PKE alcan¸cam um n´ıvel de seguran¸ca que pode ser comprovado. Cada um, entretanto, usa uma hipótese de problema dif´ıcil, nas demonstra¸cões de seguran¸ca contra adversários Tipo-II. Na tabela 7.5, são relacionados os problemas considerados dif´ıceis computacionalmente. Sob a hipótese da dificuldade desses problemas é que foram poss´ıveis as demonstra¸cões de seguran¸ca.

Conforme discutido na se¸cão 3.5.3, é sabido que BDH é reduzido para CDH, e que GDH resolve CDH se existir um oráculo DDH. Desse modo, as redu¸cões adotadas na demonstra¸cão de seguran¸ca para CL-PKE-Proposto usam uma hipótese mais restritiva que seus antecessores, no caso de ataques Tipo-II (o que configura uma desvantagem para nossa proposta). Entre-tanto, cabe lembrar que o modelo de adversários de (CHENG; COMLEY, 2005) é mais fraco

7.2 An´alises sobre CL-PKE-Proposto 92

que o do nosso CL-PKE-Proposto, pois resolvemos adotar o mesmo modelo de (AL-RIYAMI; PATERSON, 2003) e (AL-RIYAMI; PATERSON, 2005) (veja se¸c˜ao 4.4, para mais detalhes).

Problemas Reduzidos aos Advers´arios

Esquema CL-PKE Advers´ario Tipo-I Advers´ario Tipo-II

(AL-RIYAMI; PATERSON, 2003)

BDH CDH

(AL-RIYAMI; PATERSON, 2005)

BDH CDH

(CHENG; COMLEY, 2005)

BDH GDH

CL-PKE-Proposto BDH BDH

Tabela 7.5: Problemas Pressupostos Dif´ıceis nas Demonstra¸c˜oes de Seguran¸ca

Acreditamos ser poss´ıvel o desenvolvimento de outra seqüência de redu¸cões para a demons-tra¸cão de seguran¸ca para adversários Tipo-II, de modo que CDH (ou GDH) seja reduzido ao problema do KGC conseguir decriptografar textos em CL-PKE-Proposto, sem conhecimento da informa¸cões secretas de seus usuários.

Em (ZHANG; FENG, 2005) e em (LIBERT; QUISQUATER, 2006) é apresentada uma forma de ataque aos esquemas de (AL-RIYAMI; PATERSON, 2003) e (AL-RIYAMI; PATER-SON, 2005) e respectivas corre¸cões são sugeridas. Nosso CL-PKE-Proposto não sofre o mesmo tipo de ataque, bem como o de (CHENG; COMLEY, 2005), pois ambos já embutem a sugestão de corre¸cão.

7.2.5 Resumo de Vantagens e Desvantagens

De acordo com o descrito nas se¸c˜oes imediamente anteriores a esta, ´e poss´ıvel resumir os se-guintes pontos de vantagem para CL-PKE-Proposto:

• Velocidade: em implementa¸c˜oes t´ıpicas, CL-PKE-Proposto deve ser o mais veloz para criptografar textos.

• Tamanho de cifras e de chaves p´ublicas: CL-PKE-Proposto requer menor tamanho de chaves p´ublicas e pode produzir cifras menores.

• Menor número de fun¸cões de hash: há uma fun¸cão de hash a menos, nos parâmetros públicos de CL-PKE-Proposto.

Notamos os seguintes pontos de desvantagem para CL-PKE-Proposto (ou pontos que poderiam ser aprimorados):

No documento Proposta de Esquemas de Criptografia e de Assinatura sob Modelo de Criptografia de Chave Pública sem Certificado. Denise Hideko Goya (páginas 94-98)