Oráculos H e StrongRevealSessionKey

6.1 SEGURANÇA DO GNT3 NO MODELO LBG SOB BDH 91 H(ID_i, ID_j, E_i, E_j, Z, K, L, M, N) Prossegue com os passos descritos na seção6.1.2.

Test(Π^s_i,j) Se Π^s_i,j não é a sessão de Teste, aborta. Senão,S joga uma moedab∈ {0,1}. Se b= 0, devolve a chave de sessão; caso contrário sorteia e devolve um número aleatório r ∈ {0,1}^k para o adversário.

Finalização do Jogo

Assim que A naliza o jogo, S devolve answerBDH. Se a probabilidade de sucesso de A é P r[A], então a probabilidade de sucesso de S é P r[S]≥ P r[A]/(9q₀q²₁). Se A tem vantagem não negligenciável em diferenciar um número aleatório da chave de sessão é porqueAconsultouH com valores corretos de Z, K, L, M, N. Nesse caso, answerBDH contém o valor e(cP, abP), conforme cálculos apresentados na seção6.1.2. Então S resolve o problema Gap-BDH em tempo polinomial

emk, o que contradiz a hipótese de diculdade do Gap-BDH.

Tabela 6.2: Casos possíveis e inserção do desao BDH

1 2 3 4 5 6 7 8 9

Chave A B A B A B A B A B A B A B A B A B

ID:Q₁ bP bP bP bP bP cP

PK:xP aP bP x x aP x x bP x cP cP x x x x x x x

Eph:rP x aP bP bP aP x x x cP cP x x

Desao mpk=aP

em: Z1 Z3 Z2 Z4 M1 M2 K1 K2 K3

(aP, bP, cP)desao BDH (x)simulador desconhece componente secreto

• Asubstitui a chave pública de IDi e, portanto,S não conhecexi

• Asubstitui a chave pública de IDj e, portanto, S não conhecexj

• Aescolhe ativamente o valor temporário de ID_j e, portanto, S não conhecer_j

Podemos supor queS conhece r_i, pois, se A ativamente alterarr_iP e entregar outro valor a ID_j, não haverá sessão com matching (a não ser com probabilidade negligenciável).

Sejam os componentes de Z nomeados como segue:

Z = (xixjP

| {z }

Z1

, xirjP

| {z }

Z2

, rirjP

| {z }

Z3

, rixjP

| {z }

Z4

)

No pior dos casos, A consulta StrongRevealSessionKey antes de consultar H e S é inca-paz de calcular os valores Z₁, Z₂. Porém S pode ainda responder de forma consistente, numa eventual consulta posterior deA a H(IDi, IDj, Ei, Ej,(Z1, Z2, Z3, Z4), K, L, M, N), vericando se e(x_iP, x_jP) =^? e(Z₁, P) e see(x_iP, r_jP)=^? e(Z₂, P). Se ambas igualdades valem e demais entradas deHcorrespondem aos valores queS consegue calcular, entãoS responde a mesma chaveSK, pois se trata de sessões com matching.

Sessões que Envolvem A ou B Alvos do Teste

O simulador embute os valores do desao BDH em pontos estratégicos do protocolo, de modo a induzir o adversário a realizar cálculos com esses valores. Para cada uma das nove possibilidades queApossui para tentar quebrar a segurança do protocolo,S insere os componentes do desao em parâmetros especícos dos participantes A e B da sessão de Teste, ou em parâmetros do sistema.

Na Tabela 6.2, são relacionadas as possíveis estratégias que A pode empregar e que chaves são associadas aos valores do desao.

A última linha da Tabela 6.2 indica as variáveis que ocorrem no protocolo e que capturam o cálculo dee(cP, abP), ou seja, a resposta do desao. ObviamenteS não sabe calcular essa resposta, mas mostraremos que se A apresenta vantagem não negligenciável, é porque conhece elementos sucientes para que a solução seja calculada. Tais elementos são entregues por A ao simulador, sempre que ele realiza consultas ao oráculoH. Observe que as variáveisK eLdo protocolo podem ser reescritas como indicado na Tabela 6.3. O fatores de M e N e os componentes de Z também são nomeados para facilitar a leitura dos cálculos.

QuandoS embute uma das entradas do desao BDH em uma chave, automaticamente torna-se desconhecido o respectivo valor secreto. Por exemplo, quando aP é atribuído como valor de chave pública de A, isto é, xAP = aP, S desconhece xA por desconhecer a. Nos casos 5 a 9, a chave

6.1 SEGURANÇA DO GNT3 NO MODELO LBG SOB BDH 93 pública mestra recebe o valor aP e, por isso, S não tem acesso ao valor da chave mestra secreta.

Quando Q_A1 = bP, nos casos 5, 7 e 9, S desconhece a chave parcial secreta d_A1 =abP, pois não sabe calcularab. Na Tabela6.2, são indicados com x outros componentes secretos aos quaisS não tem acesso. São os casos em queAé permitido substituir a chave pública ou escolher ativamente o valor temporário de sessão, preservando ainda a característica de sessão fresh e com matching.

Tabela 6.3: Nomenclatura das Variáveis K =e(rBP, dA1)

| {z }

K1

·e(QB1, rAsP)

| {z }

K2

·e(QB1, dA1)

| {z }

K3

·e(rBP, rAsP)

| {z }

K4

L=e(r_BP, d_A2)

| {z }

L1

·e(Q_B2, r_AsP)

| {z }

L2

·e(Q_B2, d_A2)

| {z }

L3

·e(r_BP, r_AsP)

| {z }

L4(=K4)

M =e(xBP, dA1)

| {z }

M1

·e(QB1, xAsP)

| {z }

M2

N =e(xBP, dA2)

| {z }

N1

·e(QB2, xAsP)

| {z }

N2

Z = (xAxBP

| {z }

Z1

, xArBP

| {z }

Z2

, rArBP

| {z }

Z3

, rAxBP

| {z }

Z4

)

De acordo com a denição de sessão fresh, se não houver sessão matching, o participante que responde ao iniciador não pode ser totalmente corrompido. O simulador precisa tratar corretamente as situações em queBse envolve em sessões integralmente corrompidas, isto é, com um participante C desonesto. Esse cenário é tratado como subcaso dos casos 1, 4, 5, 6, 8 e 9. Analogamente,S deve lidar corretamente com as sessões em queAinterage com o participanteCdesonesto; essa situação é tratada como subcaso de todos os nove casos. Na Tabela 6.4, esses cenários são detalhados para os casos 5 a 9, que são os mais críticos para S.

Na sequência, vamos analisar separadamente cada um dos nove casos sobre sessões que envolvem A e/ouB, participantes do Teste. Para o caso 1, descrevemos em detalhes os passos deS; os casos 2, 3 e 4 são análogos ao 1. Os casos 5 a 9 são similares entre si, pois neles fazemos uso dos teoremas Trapdoor Test para contornar as diculdades do simulador em calcular valores que são dependentes de dados que desconhece, garantindo respostas sempre consistentes.

Caso 1

Se S adivinhar que A usará como estratégia o caso 1, o desao BDH é embutido em Z₁. Para tanto, antes do início do jogo,S denexAP =aP exBP =bP, isto é, as chaves públicas dos alvos do Teste recebem as entradas do desao.

(a) Se AconsultaH(A, B, E_A, E_B, Z, K, L, M, N)

S verica seZ1 fornecido em Z contém abP, testando see(aP, bP)=^? e(P, Z1) caso sim, answerBDH←e(cP, Z₁)

S procura(A, B, E_A, E_B, Z, K, L, M, N,∗) na listaH^lst se encontrar, responde o valorSK armazenado

caso contrário, procura(A, B, E_A, E_B,(∗,∗, Z₃, Z₄), K, L, M, N,∗)

se encontrar, atualiza os valores Z₁, Z₂ e responde o valor SK armazenado caso contrário, sorteia SK∈ {0,1}^k, cria novo registro emH^lst e respondeSK.

Se AconsultaH(A, C, EA, EC, Z, K, L, M, N),S realiza operações similares.

Tabela 6.4: Casos na redução: cenário para o simulador

Desao BDH=(aP, bP, cP) Simulador desconhece (além de msk=a), Caso embutido eme(cP, abP), nas sessões envolvendo:

com(mpk=aP)e: A e B (alvos de Teste) A eC (C6=B) C e B (C6=A) Q_A1 =bP d_A1, d_A2 d_A1, d_A2 x_C, x_B

5 QA2 =yP −zbP xA, xB, rB xA, xC, rA, rC rC, rB

x_BP =cP x_Ax_BP, x_Ar_BP Z, K4 Z, K4

M₁=e(x_BP, d_A1) K₁, L₁, M₁, N₁ K₁, L₁, M₁, N₁

Q_B1 =bP d_B1, d_B2 x_A, x_C d_B1, d_B2 6 QB2 =yP −zbP xA, xB, rB rA, rC xC, xB, rC, rB

xAP =cP xArBP Z, K4 Z, K4

M₂=e(x_AP, d_B1) M₂, N₂ K₂, L₂, M₂, N₂

Q_A1 =bP não se aplica:

7 Q_A2 =yP −zbP idem caso 5 idem caso 5 B não pode

rBP =cP ser totalmente

K₁ =e(r_BP, d_A1) revelado

Q_B1 =bP d_B1, d_B2

8 Q_B2 =yP −zbP x_A, x_B, r_A, r_B idem caso 6 idem caso 6

rAP =cP Z, K4

K2 =e(r_AP, d_B1) K2, L2, M2, N2

QA1 =bP dA1, dA2

9 Q_A2 =y_AP −zbP d_B1, d_B2 idem caso 5 idem caso 6 QB1 =cP xA, xB, rB

QB2 =yBP −zcP xAxBP, xArBP K₃ =e(Q_B1, d_A1) K₁, K₃, L₁, L₃, M, N

Se AconsultaH(C, B, E_C, E_B, Z, K, L, M, N) e S não encontrar essas entradas na lista, procura(C, B, E_C, E_B,∗,∗, L, M, N,∗)

se encontrar, atualiza os valores Z, K e responde o valor SK armazenado caso contrário, sorteiaSK ∈ {0,1}^k, cria novo registro emH^lst e respondeSK. (b) Se Aconsulta StrongRevealSessionKey(A, B, s)

S calculaZ₃, Z₄, K, L, M, N, usando dados que conhece procura(A, B, EA, EB,(∗,∗, Z₃, Z4), K, L, M, N,∗) emH^lst

se encontrar registros na forma(A, B, E_A, E_B,(Z₁, Z₂, Z₃, Z₄), K, L, M, N, SK), testa see(x_AP, x_BP)=^? e(Z₁, P) e se e(x_AP, r_BP)=^? e(Z₂, P)

se ambas igualdades valem, respondeSK

caso contrário, sorteiaSK, cria novo registro com valores nulos paraZ₁, Z₂, e respondeSK. Se Aconsulta StrongRevealSessionKey(A, C, s),S realiza operações similares.

Se Aconsulta StrongRevealSessionKey(C, B, s) eS não encontrar as entradas emH^lst,

6.1 SEGURANÇA DO GNT3 NO MODELO LBG SOB BDH 95 S calculaK₁, K₂, K₃, L, M, N, usando dados que conhece

procura(C, B, E_C, E_B,(∗,∗,∗,∗),∗, L, M, N,∗)

se encontrar registros na forma(C, B, EC, EB,(Z1, Z2, Z3, Z4), K, L, M, N, SK) , testa see(x_CP, x_BP)=^? e(Z₁, P), see(x_CP, r_BP)=^? e(Z₂, P),

see(rCP, rBP)=^? e(Z3, P), e se e(rCP, xBP)=^? e(Z4, P) calculaK =K₁·K₂·K₃·e(Z₃, aP)e testa se K =^? K calculaL=L₁·L₂·L₃·e(Z₃, aP) e testa se L=^? L se todas igualdades valem, respondeSK

caso contrário, sorteia SK, cria novo registro com valores nulos paraZ, K, e respondeSK.

Caso 2

Similar ao caso 1, porém o desao BDH é embutido em Z₃. S não sabe calcular Z₃, K₄ (além deZ4 nos subcasos) mas é capaz responder de forma consistente, usando os dados conhecidos para calcular os demais valores e realizar os testes necessários.

Caso 3

Similar ao caso 1, porém o desao BDH é embutido em Z₂. S não sabe calcular Z₂ (além de Z1, Z3, Z4, K4 nos subcasos), mas é capaz responder de forma consistente, usando as mesmas estratégias do caso 1.

Caso 4

Similar ao caso 1, porém o desao BDH é embutido emZ₄.Snão sabe calcularZ₃, Z₄, K₄(além deZ1, Z2nos subcasos), mas é capaz responder de forma consistente, usando as mesmas estratégias do caso 1.

Caso 5

Se S adivinhar queA usará como estratégia o caso 5, o desao BDH é embutido em M₁. Para tanto, antes do início do jogo,S denempk=aP,QA1 =bP e xBP =cP, isto é, a chave pública de B guarda uma das entradas do desao e a chave secreta parcial d_A1 guarda abP. Para se tirar proveito do teorema Trapdoor Test, o oráculo H₂ é denido para que Q_A2 = yP −zQ_A1, o que implica que a chave secreta parcialdA2 =yP−zdA1. Os valoreszeysão escolhidos e armazenados por S. Por meio do Trapdoor Test, mesmo sem conhecer os valores de d_A1 e d_A2, S é capaz de detectar quando Afornece M₁=e(cP, d_A1) eN₁ = (cP, d_A2).

(a) Se AconsultaH(A, B, EA, EB, Z, K, L, M, N)

S verica seM₁ contém a resposta ao desao, calculando M₂, N₂ e M₁ = _M^M

2 eN₁= _N^N

2 e testando se (M₁)^z·N₁ =^? e(aP, cP)^y (Trapdoor Test) caso sim, answerBDH←M1

S verica se já foi calculada chave para a sessão em questão ou uma matching

caso sim, atualiza entradas incompletas no registro de H^lst se for preciso e devolve a chave caso contrário, sorteia SK, cria novo registro emH^lst e respondeSK.

Se AconsultaH(A, C, EA, EC, Z, K, L, M, N)ou H(C, B, EC, EB, Z, K, L, M, N)

S realiza operações similares às do caso 1.

(b) Se Aconsulta StrongRevealSessionKey(A, B, s)

S calcula as variáveis de que é capaz e procura(A, B, E_A, E_B,(∗,∗, Z₃, Z₄),∗,∗,∗,∗,∗) emH^lst se encontrar registros na forma(A, B, EA, EB, Z1, Z2, Z3, Z4, K, L, M , N , SK),

calculaK₁ = _K ^K

2·K₃·K₄ L₁ = _L ^L

2·L₃·L₄ M₁ = _M^M

2 e N₁ = _N^N

2

testa se(K₁)^z·L₁=^? e(aP, r_BP)^y e se (M₁)^z·N₁ =^? e(aP, cP)^y (Trapdoor Test) e(xAP, xBP)=^? e(Z1, P) e se e(xAP, rBP)=^? e(Z2, P)

se todas igualdades valem, respondeSK

caso contrário, sorteiaSK, cria novo registro com valores nulos para as variáveis que S desconhece e respondeSK.

Se Aconsulta StrongRevealSessionKey(A, C, s), analogamente, S calculaK1, L1, M1, N1 da mesma forma e

testa se(K₁)^z·L₁=^? e(aP, r_cP)^y e se (M₁)^z·N₁=^? e(aP, x_cP)^y (Trapdoor Test) e prossegue igualmente.

Se Aconsulta StrongRevealSessionKey(C, B, s) eS não encontrar as entradas emH^lst, S calcula as variáveis de que é capaz e procura(A, B, E_A, E_B,∗,∗,∗, M, N,∗)em H^lst se encontrar registros na forma(A, B, EA, EB, Z, K, L, M, N, SK),

testa a consistência dos componentes de Z da mesma forma que no caso 1 calculaK =K1·K2·K3·e(Z3, aP)e testa se K =^? K

calculaL=L1·L2·L3·e(Z3, aP) e testa se L=^? L se todas igualdades valem, respondeSK

caso contrário, sorteiaSK, cria novo registro com valores nulos para as variáveis que S desconhece e respondeSK.

Caso 6

Similar ao caso 5, porém o desao BDH é embutido em M₂, isto é, S dene mpk = aP, QB1 = bP, xAP = cP e QB2 = yP −zQB1. Vamos detalhar apenas o caso em que A solicita a chave de uma sessão que envolveB e um participanteC desonesto.

(b) Se Aconsulta StrongRevealSessionKey(C, B, s)e S não encontrar as entradas emH^lst, S calcula as variáveis de que é capaz e procura(C, B, EC, EB,∗,∗,∗,∗,∗,∗) emH^lst se encontrar registros na forma(C, B, EC, EB, Z, K, L, M , N , SK),

testa a consistência dos componentes deZ da mesma forma que no caso 1 calculaK2 = ^K

K1·K3·e(Z3,aP) L2= ^L

L1·L3·e(Z3,aP) M2 = _M^M

1 e N2 = _N^N

1

testa se(K2)^z·L2 ?

=e(aP, rcP)^y e se (M2)^z·N2 ?

=e(aP, xcP)^y (Trapdoor Test) se todas igualdades valem, respondeSK

caso contrário, sorteiaSK, cria novo registro com valores nulos para as variáveis que S desconhece e responde SK.

6.1 SEGURANÇA DO GNT3 NO MODELO LBG SOB BDH 97 Caso 7

Similar ao caso 5, porém o desao BDH é embutido emK1, isto é,Sdenempk=aP,QA1 =bP, r_BP =cP e Q_A2 =yP −zQ_A1.

Caso 8

Similar ao caso 5, porém o desao BDH é embutido emK₂, isto é,Sdenempk=aP,Q_B1 =bP, rAP =cP e QB2 =yP −zQB1. Os cálculos que testam a consistência dos dados fornecidos por A e que permitem S responder de forma coerente são similares aos apresentados no caso 6 (b).

Caso 9

Similar ao caso 5, porém o desao BDH é embutido em K₃, isto é, S dene mpk = aP, QA1 =bP e QB1 =cP. Para poder realizar os testes de consistência, dene QA2 =yAP −zQA1 e Q_B2 =y_BP −zQ_B1.

(a) Se AconsultaH(A, B, E_A, E_B, Z, K, L, M, N)

S verica seK3 contém a resposta ao desao, calculando as variáveis que conhece e K⁰ = _K^K

2·K4 L⁰ = _L^L

2·L4 U2= [L⁰]^−1z V2= [K⁰]^−z U₁ =

e(aP, y_AcP +y_BbP−^y_z^A(r_BP +y_BP))_1+z¹ V₁=e(Q_B2, y_AaP)^1+z1 h_e(bP,y

BaP) e(rBP,yAP)

i_1+z^z

W1 = _U¹

1 ·h

K⁰ U2

i ¹

1+z W2 =V1·h

L⁰ V2

i ^z

1+z

e testando se ^W2

W1z2

=? _[e(aP,cP^e(aP,P_)yA·e(aP,bP^)yAyB _)yB]z (teste do trapdoor BDH variante 1, pág. 42) e se M^zN =^? e(aP, x_AP)^yB ·e(aP, x_BP)^yA (teste do trapdoor BDH variante 2, pág. 43) caso passe em todos os testes,answerBDH←W1

S verica se já foi calculada chave para a sessão em questão ou uma matching

caso sim, atualiza entradas incompletas no registro de H^lst se for preciso e devolve a chave caso contrário, sorteia SK, cria novo registro emH^lst e respondeSK.

Se AconsultaH(A, C, E_A, E_C, Z, K, L, M, N)ou H(C, B, E_C, E_B, Z, K, L, M, N) S realiza operações similares às do caso 1.

(b) Se Aconsulta StrongRevealSessionKey(A, B, s)

S calcula as variáveis de que é capaz e procura(A, B, E_A, E_B,(∗,∗, Z₃, Z₄),∗,∗,∗,∗,∗) se encontrar registros na forma(A, B, E_A, E_B, Z1, Z2, Z3, Z4, K, L, M , N , SK),

verica a consistência deZ1 eZ2 da mesma forma que no caso 5 (b) e

testa a consistência de K, L, M , N efetuando os mesmos cálculos e testes do caso 9 (a) caso passe em todos os testes, respondeSK

caso contrário, sorteia SK, cria novo registro com valores nulos para as variáveis que S desconhece e respondeSK.

Se Aconsulta StrongRevealSessionKey(A, C, s) S realiza operações similares às do caso 5 (b).

Se Aconsulta StrongRevealSessionKey(C, B, s) S realiza operações similares às do caso 6 (b).

Cálculos Usados no Caso 9

Para tratar o caso 9, usamos os seguintes cálculos, de forma a viabilizar a aplicação do teste do trapdoor:

K⁰ = _K^K

2·K4 =e(rBP, dA1)·e(QB1, dA1) =e(rBP, abP)·e(cP, abP) L⁰ = _L^L

2·L4 =e(r_BP, d_A2)·e(Q_B2, d_A2) =e(r_BP, abP)^−z·e(r_BP, y_AaP)·e(Q_B2, d_A2) U2 = [L⁰]^−1z =e(r_BP, abP)·[e(r_BP, y_AaP)·e(Q_B2, d_A2)]^−1z

W₁ = U₁· K⁰

U_{2 1+z}¹

= U1·h

e(cP, abP)·[e(rBP, yAaP)·e(QB2, dA2)]^1z i_1+z¹

= U1·h

e(cP, abP)^(1+z)·[e(rBP, yAaP)·e(yAyBP−yAzcP −yBzbP, aP)]^1z i ¹

1+z

= U₁·h e(y_A

z (r_BP+y_BP)−y_AcP −y_BbP, aP)i_1+z¹

·e(cP, abP)

= e(cP, abP)

V₂ = [K⁰]^−z = [e(r_BP, abP)·e(Q_B1, d_A1)]^−z

W₂ = V₁· L⁰

V2

_1+z^z

= V1·

e(rBP, yAaP)·e(QB2, dA2) e(QB1, dA1)^−z

_1+z^z

= V1·h

e(r_BP, y_AaP)·e(Q_B2, d_A2)·e(y_BP−Q_B2, y_AaP −d_A2)^1/zi_1+z^z

= V₁·h

e(r_BP, y_AaP)·[e(zcP, y_AaP)·e(y_BP, zabP−y_AaP)]^1zi_1+z^z

·e(Q_B2, d_A2)

= V1·h

e(rBP, yAaP)·[e(zcP, yAaP)·e(yBbP, zaP)·e(yBP,−y_AaP)]^1z i ^z

1+z ·e(QB2, dA2)

= V1·[e(zrBP, yAaP)·e(zcP, yAaP)·e(yBbP, zaP)·e(yBP,−y_AaP)]^1+z1 ·e(QB2, dA2)

= V₁·[e(zr_BP−Q_B2, y_AaP)·e(y_BbP, zaP)]^1+z1 ·e(Q_B2, d_A2)

= e(Q_B2, d_A2)

No documento Criptogra a de chave pública sem certi cado (páginas 113-120)