普遍的な構成可能性

普遍的構成可能性(UC) ^[1]のフレームワークは、暗号プロトコルを分析するための汎用モデルです。これは非常に強力なセキュリティ特性を保証します。プロトコルは、同じまたは他のプロトコルの他のインスタンスと任意に構成された場合でも安全なままです。セキュリティは、プロトコルエミュレーションの意味で定義されます。直感的には、環境 (オブザーバー) が実行を区別できない場合、プロトコルは別のプロトコルをエミュレートしていると言われます。文字通り、プロトコルは他のプロトコルをシミュレートする場合があります (コードにアクセスせずに)。セキュリティの概念は暗黙的に導き出されます。プロトコルが定義どおり安全であると仮定します。別のプロトコルがプロトコルをエミュレートし、どの環境もエミュレーションとプロトコルの実行を区別できない場合、エミュレートされたプロトコルはプロトコルと同じくらい安全です。 ${\displaystyle P_{1}}$${\displaystyle P_{2}}$${\displaystyle P_{1}}$${\displaystyle P_{2}}$${\displaystyle P_{1}}$

理想的な機能とは、プロトコルのすべての参加者と完全に安全なチャネルを介して通信できる信頼できる当事者が、望ましいプロトコルの結果を計算するプロトコルです。そのような信頼できる当事者を利用できない暗号化プロトコルは、プロトコルが正直なユーザーに対して信頼できる当事者の動作をエミュレートでき、攻撃者がプロトコルを攻撃することで学習するビューが、理想的な機能とのみ対話するシミュレータによって計算できるものと区別できない場合、理想的な機能を満たしていると言えます。

普遍的な構成可能性の計算モデルは、互いの通信テープに書き込むことで互いをアクティブにできる対話型チューリング マシンのモデルです。対話型チューリング マシンはマルチテープ チューリング マシンの一種であり、暗号化における通信ネットワークの計算面をモデル化するためによく使用されます。

ベア UC フレームワークの通信モデルは非常に基本的なものです。送信側のメッセージは攻撃者に渡され、攻撃者はこれらのメッセージを自分の選択したメッセージに置き換えて受信側に配信できます。これはDolev-Yao 脅威モデルでもあります。(計算モデルに基づいて、すべての当事者は対話型チューリング マシンとしてモデル化されます)

機密性、信頼性、同期、匿名性などの追加プロパティを追加するすべての通信モデルは、独自の理想的な機能を使用してモデル化されます。理想的な通信機能は、メッセージを入力として受け取り、メッセージを出力として生成します。敵対者の（より限定された）力は、この理想的な機能と対話する敵対者の（限定された）能力を通じてモデル化されます。 ${\displaystyle {\mathcal {A}}}$

最適な認証チャネルの場合、理想的な機能は、ID を持つパーティからのメッセージを入力として受け取り、同じメッセージを ID とともに受信者と攻撃者に出力します。非同期通信を遅延させる攻撃者の力をモデル化するために、機能は最初に攻撃者にメッセージを送信し、応答としてメッセージを送信するように指示された場合にのみ メッセージを配信します。${\displaystyle {\mathcal {F}}_{\mathsf {Auth}}}$${\displaystyle m}$${\displaystyle P}$${\displaystyle P}$${\displaystyle {\mathcal {F}}_{\mathsf {Auth}}}$${\displaystyle {\mathcal {A}}}$${\displaystyle m,P}$

理想的なセキュア チャネルでは、理想的な機能は送信者の ID のみを受信者と攻撃者の両方に出力し、メッセージは受信者にのみ公開されます。これは、セキュア チャネルが認証され、プライベートであるという要件をモデル化します。転送される情報に関する漏洩をモデル化するために、はメッセージに関する情報 (メッセージの長さなど) を攻撃者に公開する可能性があります。非同期通信は、の場合と同じ遅延メカニズムを通じてモデル化されます。 ${\displaystyle {\mathcal {F}}_{\mathsf {秒}}}$${\displaystyle {\mathcal {F}}_{\mathsf {秒}}}$${\displaystyle {\mathcal {F}}_{\mathsf {Auth}}}$

匿名通信と仮名通信の技術的手段と物理的な前提は非常に異なりますが、^{[2]理想的な機能を使用したそのようなチャネルのモデル化は類似しています。}オニオンルーティングと匿名P2Pも参照してください。同様の機能は、ブロードキャスト通信や同期通信にも定義できます。

理想的な匿名チャネルでは、理想的な機能は、ID を持つパーティからのメッセージを入力として受け取り、受信者と敵対者に ID を開示せずに同じメッセージを出力します。 ${\displaystyle {\mathcal {F}}_{\mathsf {匿名}}}$${\displaystyle m}$${\displaystyle P}$${\displaystyle P}$

理想的な仮名チャネルでは、参加する当事者は最初に理想的な機能を使用して一意の仮名を登録します。転送を行うには、メッセージと受信者の仮名を入力として受け取ります。理想的な機能は、仮名の所有者を検索し、送信者の身元を明かさずにメッセージを転送します。 ${\displaystyle {\mathcal {F}}_{\mathsf {擬似}}}$${\displaystyle {\mathcal {F}}_{\mathsf {擬似}}}$${\displaystyle m}$${\displaystyle nym}$${\displaystyle m,nym}$

これらの形式化は、そのようなチャネルを実装する具体的なシステムの実装の詳細を抽象化します。純粋な形式では、理想的な機能が実現不可能であることが判明する場合があります。敵対者にさらに多くの情報を漏らすことによって機能を緩和する必要があるかもしれません（匿名性の程度）。一方、通信チャネルは物理的なものになる可能性があり、^{[3] [4]}たとえば、モバイルデバイスは、識別子を含まないメッセージを送信する前に常に場所を変更することで匿名チャネルを実現できます。

暗号の標準モデルには、普遍的に構成可能なビット コミットメントプロトコルは存在しません。直感的には、理想的なモデルでは、シミュレーターは環境の入力からコミットする値を抽出する必要があります。これにより、実際のプロトコルの受信者がコミットされた値を抽出し、プロトコルのセキュリティを破ることができます。この不可能性の結果は、他の機能にも適用できます。

上記の不可能な結果を​​回避するには、追加の仮定が必要です。共通参照文字列モデルや信頼できる認証局の仮定などの追加のセットアップと信頼の仮定も、UC の理想的な機能を使用してモデル化されます。

• リアクティブシミュレーション可能性^[5]は、ユニバーサルコンポーザビリティモデルと同時に開発された同様のモデルです。
• 抽象/構成的暗号^{[6] [7]}は、暗号プロトコルの構成可能な分析のためのより最近の汎用モデルです。
• GNUC および IITM モデルは、他の研究者 (著名なVictor Shoupおよび Ralf Kuesters) による普遍的構成可能性の再定式化であり、 Ran Canettiによる標準モデルの新しいバージョンに影響を与えました。

• 抽象化
• バロウズ・アバディ・ニーダムの論理
• ハイブリッド議論
• 数学モデル
• 安全なマルチパーティ計算