Wenn es eine sichere ist Message Authentication Code nach jeder Definition,
dann gibt es ein System, das die Definition stuft das Buch als eine sichere
Nachrichtenauthentifizierungscode und Ihre Definition klassifiziert als unsicher.
Lassen Sie gemäß jeder Definition sicher sein. Da die Definition des Buches
schwächer ist als Ihre Definition, ist sie gemäß der Definition des Buches besonders sicher.
Korrigieren Sie
eine effizient berechenbare und
effizient invertierbare Codierung geordneter Paare, indem Sie
beispielsweise eine effizient berechenbare und effizient invertierbare präfixfreie Darstellung des linken Eintrags mit dem rechten Eintrag verketten
.
Lassen Sie arbeiten, indem Sie die Ausgabe von⟨Gen,MAC,Verif⟩
MACk′MACkmit der leeren Zeichenfolge.
Lassen Sie genau dann akzeptieren, wenn [[ die Nachricht und den linken Eintrag
des Tags akzeptieren würde
] und [der rechte Eintrag der Eingabe a ist Präfix von ]]. ist eindeutig effizient und erfüllt die Anforderung. Da [die Tags mit der leeren Zeichenfolge für koppeln]
und [den linken Eintrag der Ausgabe von] einen möglichen Gegner angreift, der das Buch angreift
Verifk′Verifk
k ⟨Gen,MAC′,Verif′⟩
Definition der Sicherheit von kann kein Nicht- haben vernachlässigbare Wahrscheinlichkeit
, die Sicherheitsdefinition des Buches für , Die
Definition des Buches wird
ebenfalls klassifiziert⟨Gen,MAC′,Verif′⟩
⟨Gen,MAC,Verif⟩
⟨Gen,MAC′,Verif′⟩ als sicherer Nachrichtenauthentifizierungscode.
Sobald ein Gegner jedoch ein gültiges Nachricht-Tag-Paar für erhält ,
Adaptive Abfragen an reichen aus, um zu lernen , was Fälschungen für jede Nachricht ermöglichen würde.
Somit klassifiziert Ihre Definitionk2⋅(length(k)+1)
Verifk′k
⟨Gen,MAC′,Verif′⟩ as unsicher. QED
Die starken Unverfälschbarkeitsversionen der beiden Definitionen sind gleichwertig.
(Die "starke Unverfälschbarkeit" -Versionen werden erhalten, indem durch
die in meinem nächsten Satz angegebene Menge ersetzt wird. Dies ist erforderlich, damit die
Encrypt-Then-Mac- Konstruktion Chiffretext-Integrität bietet und IND-CCA2 ist.)Q
Q+
Initialisieren Sie als leere Menge und setzen Sie in
jedes Mal, wenn on ausgibt eine Abfrage von .
Definieren Sie eine Abfrage, die nur dann versucht werden soll , wenn sie
an ein Paar, das bereits in .
Definieren Sie eine Abfrage so, dass sie nur dann frühzeitig versucht wird, wenn sie versucht wird und
nicht nach einer versuchten Abfrage erfolgt ist, die akzeptiert.
Q+⟨m,t⟩Q+
MACktm
VerifkQ+
Verifk
BMACk(⋅)(1n,q,j)interagiert mit wie folgt:A
mit weniger als zufälligen Bitsfast gleichmäßig.
"Forward" alle ‚s Abfragen und geben , das von Oracle
(actual) ausgegeben , gib als die Ausgaben auf dem ersten bis versuchen Abfragen,
und gebenjr∈{1,2,3,...,q−2,q−1,q}
AMACk(⋅)MACk(⋅)
A0r−1
1 als von bei Abfragen, die nicht versucht werden.
Wenn führt eine te versuchende Abfrage durch und gibt dann aus, was diese Abfrage war.
Wenn gibt die Ausgabe aus und gibt dann dieselbe Ausgabe aus.
Wenn die Zufälligkeit von allem behoben ist, wennVerifk
AMACk(⋅),Verifk(⋅,⋅)(1n)r
AMACk(⋅),Verifk(⋅,⋅)(1n)
AMACk(⋅),Verifk(⋅,⋅)(1n)macht genau früh versuchende Abfragen und ist erfolgreich in der starken Unverfälschbarkeitsversion Ihres Experiments, dann
Erfolgreich im Experiment des Versionsbuchs für starke Unverfälschbarkeit.r−1
BA,MACk(⋅)(1n,q,j)
Daher ist eine konstruktive geradlinige Reduktion vom Erfolg der starken Unverfälschbarkeitsversion Ihres Experiments mit einer Wahrscheinlichkeit von mindestens in einer Weise,
die weniger als frühzeitige Abfragen ermöglicht, zum Erfolg in der starken Unverfälschbarkeitsversion
des Buchexperiments
mit Wahrscheinlichkeit größer als.
verwendet weniger als zufällige Bits, muss Einfügungen in und Mitgliedschaftstests
für [eine Menge mit weniger alsBϵ
q
(1q−q2^j)⋅ϵ
Bj
qElemente, von denen jedes ein geordnetes Paar , dessen
linke Eintrag ist einer der inneren Algorithmus Abfragen und rechten Eintrag , dessen ist
‚s Antwort auf diese Abfrage] und hat darüber hinaus nur eine geringfügige zusätzliche Komplexität.MACk
MACk
"Ignoriere das Orakel " ist eine konstruktive geradlinige Reduktion vom Erfolg
in der starken Unverfälschbarkeitsversion des Buchexperiments zum Erfolg in der starken Unverfälschbarkeitsversion deines Experiments, und diese Reduktion ist fast vollkommen eng.
Daher liefert die Version Ihrer Definition mit starker Unverfälschbarkeit dieselben
asymptotischen MACs wie die Version mit starker Unverfälschbarkeit, mit der das Buch experimentiert.
Verifk