Криптосистема Гольдвассер — Микали

Криптосистема Гольдвассер — Микали (GM) — криптографическая система с открытым ключом, разработанная Шафи Гольдвассер и Сильвио Микали в 1982 году. GM является первой схемой вероятностного шифрования с открытым ключом, доказуемо стойкая при стандартных криптографических предположениях. Однако, криптосистема GM является неэффективной, так как шифртекст может быть в сотни раз длиннее, чем шифруемое сообщение. Для доказательства свойств стойкости криптосистемы Голдвассер и Микали ввели широко используемое понятие семантической стойкости.

Гольдвассер и Микали стали лауреатами Премии Тьюринга за 2012 год, создание криптосистемы с вероятностным шифрованием отмечено в номинации как новаторская работа, оказавшая существенное влияние на современную криптографию.

Основы

Понятие стойкости по отношению к атаке IND-CPA впервые было предложено Голдвассер и Микали. Они назвали это понятие семантической стойкостью. Оно заключается в том, что зашифрованный текст не допускает никакой утечки полезной информации об исходном тексте (если не считать полезной информацией длину самого исходного текста) ни одному взломщику, обладающему полиномиально ограниченными вычислительными ресурсами. Голдвассер и Микали обнаружили, что во многих приложениях сообщения могут содержать априорную информацию, полезную для организации атак. Например, зашифрованный текст может содержать только одну простую инструкцию (например, «покупать» или «продавать», либо имя одного из нескольких кандидатов при голосовании). Голдвассер и Микали указали на то, что криптосистемы с открытым ключом, основанные на непосредственном применении односторонних функций с секретом, как правило, очень слабо скрывают содержание таких сообщений.

Свойство (семантическая стойкость). Все элементы открытого текста, которые можно эффективно вычислить по заданному зашифрованному тексту, можно эффективно вычислить и без него.

Гольдвассер и Микали предложили схему вероятностного шифрования, обладающую этим свойством. Она шифрует всё сообщение бит за битом, причём вся сложность, связанная с поиском отдельного зашифрованного бита в тексте c, заключается в проверке, принадлежит число c множеству $QR_{N}$ или множеству $J(N)=\left\{x\in \mathbb {Z} _{N}^{\ast },\left({\frac {x}{N}}\right)=1\right\}$

Описание алгоритма

Генерация ключа

Чтобы установить параметры ключа, Алиса должна выполнить следующие операции :

1. Выбрать два случайных числа $p$ и $q$, удовлетворяющих условию $|p|=|q|$ бит
2. Вычислить значение $N=pq$
3. Извлечь случайное целое число $y$, удовлетворяющее условию (символы Якоби) $\left({\frac {y}{p}}\right)=\left({\frac {y}{q}}\right)=-1$
   (Таким образом, $y\in J(N)$, но $y\notin QR_{N}$.)
4. Описать пару $(N,y)$ в качестве открытого ключа, а пару $(p,q)$ сохранить в тайне как закрытый ключ.

Шифрование

Чтобы послать Алисе строку $m=b_{1}b_{2}\dots b_{l}$, Боб выполняет следующие операции:
$for(i=1,2\dots ,l)$

{
$\quad x\leftarrow _{U}\mathbb {Z} _{N}^{\ast };$
$\quad if\,(b_{i}==0)\,\,c_{i}\leftarrow x^{2}(mod\,N);$
$\quad else\ c_{i}\leftarrow yx^{2}(mod\,N);$
}

Боб посылает Алисе сообщение $E_{N}(m)\leftarrow (c_{1},c_{2}\dots ,c_{l}).$

Расшифрование

Получив кортеж $(c_{1},c_{2},\dots ,c_{l})$, Алиса выполняет следующие операции:
$for(i=1,2\dots ,l)$

{

$\quad if\,(c_{i}\in QR_{N})\,\,b_{i}\leftarrow 0;$
$\quad b_{i}\leftarrow 1;$

}

$set\ m\leftarrow (b_{1},b_{2},\dots ,b_{l}).$

Временная сложность алгоритма

Для шифрования сообщения, состоящего из $l$ бит, необходимо выполнить $O(l(\log _{2}N)^{2})$ побитовых операций. Это выражение представляет собой оценку временной сложности алгоритма. Степень расширения этого алгоритма равна $\log _{2}N$:одному биту исходного текста соответствуют $\log _{2}N$ бит зашифрованного текста.
Поскольку для вычисления символа Лежандра по модулю $p$ и по модулю $q$ при условии, что $|p|=|q|=k$ необходимо выполнить $O_{B}(k^{2})$ побитовых операций, для расшифровки кортежа $(c_{1},c_{2},\dots c_{k})$ требуются $O_{B}((\log _{2}N)^{2})$ побитовых операций. Это выражение представляет собой оценку временной сложности расшифровки.

Стойкость криптосистемы GM

Алгоритм шифрования в криптосистеме GM можно рассматривать как безошибочный рандомизированный алгоритм: случайные операции в алгоритме шифрования не могут исказить зашифрованный текст и обладают при этом следующими важными свойствами.

Нулевые биты в исходном тексте равномерно распределяются по множеству $QR_{N}$, а единичные — по множеству $J_{N}\backslash QR_{N}$.
Оба распределения являются равномерными, поскольку для нулевого бита, содержащегося в исходном тексте, возведение в квадрат означает отображение группы $\mathbb {Z} _{N}^{\ast }$ на множестве $QR_{N}$, а для единичного бита умножение элемента множества $QR_{N}$ на число $y$ является отображением из множества $QR_{N}$ на множество $J_{N}\backslash QR_{N}$.

Список литературы

• Мао В. Современная криптография: Теория и практика / пер. Д. А. Клюшина — М.: Вильямс, 2005. — 768 с. — ISBN 978-5-8459-0847-6