セキュリティパラメータ

暗号化において、セキュリティ パラメータは、敵対者が暗号化方式を破ることがどれだけ「困難」であるかを測定する方法です。セキュリティ パラメータには、計算セキュリティパラメータと統計セキュリティ パラメータの 2 つの主な種類があり、それぞれ、およびで示されることがよくあります。大まかに言えば、計算セキュリティ パラメータは、暗号化方式のベースとなる計算問題の入力サイズを測る尺度であり、計算の複雑さを決定します。一方、統計セキュリティ パラメータは、敵対者が暗号化方式を破ることができる確率(プロトコルにとってそれが何を意味するかに関係なく) を測る尺度です。 ${\displaystyle \kappa}$${\displaystyle \lambda}$

セキュリティ パラメータは通常、単項表現で表されます。つまり、は の文字列として表され、通常は と記述されます。そのため、暗号化アルゴリズムの時間計算量は、入力のサイズの 多項式になります。${\displaystyle \kappa}$${\displaystyle \kappa}$ ${\displaystyle 1}$${\displaystyle \kappa =1\cdots 1}$${\displaystyle 1^{\kappa}}$

暗号プリミティブのセキュリティは、いくつかの困難な問題の難しさに依存します。計算が処理不可能であると見なされるように計算セキュリティ パラメータを設定します。 ${\displaystyle \kappa}$${\displaystyle O(2^{\kappa })}$

• スキームのセキュリティが疑似乱数関数(PRF) のキーの秘密性に依存する場合、ブルート フォース検索に計算能力が必要になるように、PRF キーを空間からサンプリングするように指定できます。${\displaystyle \{0,1\}^{\kappa }}$${\displaystyle O(2^{\kappa })}$
• RSA 暗号システムでは、セキュリティ パラメータは係数nのビット単位の長さを表します。したがって、正の整数n は{0, ..., 2 - 1}の範囲の数値でなければなりません。${\displaystyle \kappa}$^{${\displaystyle \kappa}$}

暗号のセキュリティは、 多くの場合、

• 秘密に基づいた配布、および
• 秘密を知らない主体によって生成された模擬分布

は小さいです。統計的セキュリティ パラメータを使用してこれを形式化します。つまり、分布間の統計的距離がセキュリティ パラメータで無視できる関数として表現できる場合、分布は統計的に近いとします。統計的セキュリティ パラメータは、敵が勝つ可能性が「十分に小さい」と見なされる ように設定します。${\displaystyle \sigma}$${\displaystyle O(2^{-\sigma })}$

特定の暗号方式に対する敵対者の攻撃の次の 2 つの大まかなカテゴリについて考えてみましょう。敵対者が秘密情報を入手しようとする攻撃と、敵対者が正直な相手に偽の文を真実として受け入れるよう説得しようとする攻撃 (またはその逆) です。最初のケース (たとえば公開鍵暗号化方式)では、敵対者は大量の情報を入手して、たとえば異なるランダム性で暗号化された固定の平文の暗号文の分布を調べることによって、秘密情報を入手しようと試みることができます。2 番目のケースでは、敵対者はチャレンジまたは秘密を推測する必要があり、一定の確率で推測することができます。この場合、プロトコルでチャレンジをサンプリングするアルゴリズムを考慮することで分布について話すことができます。どちらの場合も、敵対者が緩い意味で「勝つ」可能性について話すことができ、最初のケースでは分布が統計的に近いことを要求したり、2 番目のケースでは統計的セキュリティ パラメータに依存するチャレンジ空間を定義したりすることで、統計的セキュリティをパラメータ化できます。

• 暗号化方式におけるセキュリティの 1 つの側面は (高レベルで)、暗号文が与えられた場合に平文について学習できる情報はすべて、平文とは無関係にランダムにサンプリングされた文字列 (暗号文と同じ長さ) からも学習できるということです。正式には、固定長の文字列セット上の均一分布が、すべての可能な暗号文の空間上の均一分布に統計的に近いことを示す必要があります。
• ゼロ知識プロトコルでは、統計的セキュリティ パラメータをさらにゼロ知識と健全性の統計的セキュリティ パラメータに細分化できます。前者は、トランスクリプトが秘密の知識について漏らす内容をパラメータ化し、後者は、不正な証明者が正直な検証者に、たとえ秘密を知らないとしても、自分が秘密を知っていると納得させる可能性をパラメータ化します。
• 普遍的な構成可能性では、プロトコルのセキュリティは、現実世界と理想世界の実行の分布の統計的な区別不能性に依存します。興味深いことに、計算上無制限の環境では、どの分布が生成されているか (現実か理想か) を観察するのに十分な回数実験を実行できるため、分布が統計的に区別不能であることだけでは不十分です。ただし、プロトコルに対するスタンドアロンの敵は、プロトコルに一度しか関与しないため、統計的セキュリティ パラメータではごくわずかな確率でしか勝ちません。

• キーサイズ
• 無視できる機能