The Game-Playing Technique

Transcrição

1 Universidade do Vale do Rio dos Sinos Teoria da Informação Prof. Ernesto Lindstaedt 14 de junho de 2007

2 1 2 O que é? 3 Como funciona? 4 Provando o lema 4 Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos 5 Depois de bad ser true, nada importa Coin fixing Lazy sampling 6 Algoritmo Teorema

3 O que é? É uma técnica baseada na utilização de jogos em pseudo-código, cuja vantagem do adversário em atacar uma construção criptográfica é calculada sobre a probabilidade que este jogo atribua uma flag chamada bad como true. A probabilidade é incrementada através de uma seqüência de modificações no pseudo-código que levam a uma cadeia de jogos, até que a flag bad seja atribuída.

4 Como funciona? Suponha a necessidade de calcular a vantagem de um adversário A em atacar uma construção criptográfica. Essa vantagem é obtida através da probabilidade (um número n R entre 0 e 1) computada através da diferença entre as probabilidades de que A retorne 1 em dois diferentes mundos. Sejam os seguintes passos:

5 Como funciona? Um pseudo-código - um jogo - é criado, obtendo os comportamentos do mundo 1. Este jogo inicializa variáveis, interage com o adversário e executa seu código.

6 Como funciona? Um pseudo-código - um jogo - é criado, obtendo os comportamentos do mundo 1. Este jogo inicializa variáveis, interage com o adversário e executa seu código. Outro pseudo-código - um segundo jogo - é escrito, capturando os comportamentos do mundo 0. Os pseudo-códigos dos jogos 1 e 0 são sintaticamente idênticos, com exceção do código que seta bad para true.

7 Como funciona? Um pseudo-código - um jogo - é criado, obtendo os comportamentos do mundo 1. Este jogo inicializa variáveis, interage com o adversário e executa seu código. Outro pseudo-código - um segundo jogo - é escrito, capturando os comportamentos do mundo 0. Os pseudo-códigos dos jogos 1 e 0 são sintaticamente idênticos, com exceção do código que seta bad para true. Aplica-se o lema fundamental dos jogos para calcular, na presente configuração dos jogos, a vantagem do adversário limitada na probabilidade de bad ser atribuída em outro jogo.

8 Como funciona? Um pseudo-código - um jogo - é criado, obtendo os comportamentos do mundo 1. Este jogo inicializa variáveis, interage com o adversário e executa seu código. Outro pseudo-código - um segundo jogo - é escrito, capturando os comportamentos do mundo 0. Os pseudo-códigos dos jogos 1 e 0 são sintaticamente idênticos, com exceção do código que seta bad para true. Aplica-se o lema fundamental dos jogos para calcular, na presente configuração dos jogos, a vantagem do adversário limitada na probabilidade de bad ser atribuída em outro jogo. Se escolhe um dos dois jogos e aplica-se pequenas transformações no código, de forma a aumentar ou manter inalterada a probabilidade de bad ser atribuída.

9 Como funciona? Um pseudo-código - um jogo - é criado, obtendo os comportamentos do mundo 1. Este jogo inicializa variáveis, interage com o adversário e executa seu código. Outro pseudo-código - um segundo jogo - é escrito, capturando os comportamentos do mundo 0. Os pseudo-códigos dos jogos 1 e 0 são sintaticamente idênticos, com exceção do código que seta bad para true. Aplica-se o lema fundamental dos jogos para calcular, na presente configuração dos jogos, a vantagem do adversário limitada na probabilidade de bad ser atribuída em outro jogo. Se escolhe um dos dois jogos e aplica-se pequenas transformações no código, de forma a aumentar ou manter inalterada a probabilidade de bad ser atribuída. Assim obtém-se uma cadeia de jogos, terminando com algum jogo terminal, onde obtém-se a probabilidade da flag bad ser atribuída.

10 Como funciona? Cada jogo G é composto por uma tupla de programas, cada um escrito numa linguagem de programação. Ambos os programas possuem um conjunto comum de variáveis globais e locais, sendo idênticos até a atribuição da variável bad.

11 Provando o lema Seja Perm(n) o conjunto de todas as permutações de {0, 1} n, e Rand(n) o conjunto de todas as funções de {0, 1} n para {0, 1} n. Para A f 1 denota-se o evento do adversário A, utilizando um oráculo f, retorna um bit de saída com valor 1. Assume-se que π seja extraído randomicamente de Perm(n) e ρ seja selecionado de Rand(n). Lema Seja n 1 um inteiro. Seja A um adversário que pergunta após q consultas ao oráculo. Então Pr[A π 1] Pr[A ρ 1] q(q 1) 2 n+1.

12 Provando o lema

13 Provando o lema Para provar o lema utilizando uma cadeia de jogos, seja o seguinte cenário: múltiplas respostas à consultas A estão rodando em um de dois jogos. Considere a interação de A com Game S1 ao invés de interar com a permutação randômica π Perm(n), e da mesma forma a interação de A com Game S1 no lugar de interar com a função randômica do oráculo ρ Rand(n). Cada jogo é sintaticamente idêntico, com exceção de Game S0, que não possui a atribuição bad = true.

14 Provando o lema Como Game S0 simula a função randômica ρ Rand(n), temos que Pr[A ρ 1] = Pr[A S0 1]. Similarmente, ao verificar Game S1, obtém-se Pr[A π 1] = Pr[A S1 1]. Logo, reescrevendo parcialmente a fórmula chega-se a Pr[A π 1] Pr[A ρ 1] = Pr[A S1 1] Pr[A S0 1].

15 Provando o lema Para calcular a probabilidade de atribuição da variável bad com as alterações realizadas, seja a seguinte fórmula: Pr[A S1 1] Pr[A S0 1] Pr[A S0 setar bad]. Essa transformação resulta no lema fundamental dos jogos. Esse lema diz que, quando dois jogos são escritos e são sinteticamente iguais até a atribuição da variável bad, a diferença das probabilidades que A retorna 1 nos dois jogos é limitada pela probabilidade que bad é atribuída no outro jogo.

16 Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos Um programa P é uma seqüência finita de instruções escritas em alguma linguagem de programação L. Cada programa será identificado pelo sua árvore sintática. Estes programas possuem todas as construções de uma linguagem procedural: variáveis, atribuições, instruições if, for, etc. Seja a seguinte definição: Jogos Um jogo G = ( Inicializa, P 1, P 2,..., P n, Finaliza) é uma seqüência de programas.

17 Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos

18 Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos Um adversário é um algoritmo probabiĺıstico com a habilidade de consultar algum número n 0 de oráculos, normalmente descrito como um programa. O par de um jogo G e um adversário A é chamado de jogo em execução, denotados normalmente como G A ou A G.

19 Início do jogo Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos Para rodar G = (Inicializa, P 1, P 2,..., P n, Finaliza) com A e uma string de parâmetro param, inicializa-se invocando o programa Inicializa enviando o parâmetro param. Então se roda A, passando qualquer valor de retorno produzido por Inicializa para P 1.

20 Execução intermediária Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos Quando o adversário A chama seu i esimo oráculo dada uma string, essa string é informada ao programa P i e este é executado. O adversário A volta a ser executado quando P i retorna a string resultante.

21 Término do jogo Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos Quando P n termina sua execução, o método Finaliza é executado, recebendo como parâmetro a string resultante da execução do adversário A.

22 Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos Seja Pr[G A 1] a probabilidade de que o resultado do jogo G seja 1 quando roda-se G a. Diz-se que os jogos G e H são equivalentes se, para qualquer adversário A, tem-se que Pr[G A 1] = Pr[H A 1]. Define-se Pr[A G 1] como a probabilidade do adversário A retorne 1 quando se roda G a. A vantagem de A em distingüir jogos G e H é o número real AdvG,H dist (A) = Pr[AG 1] Pr[A H 1]. Diz-se que os jogos G e H são indistinguíveis se, para qualquer adversário A, obtém-se a igualdade Pr[A G 1] = Pr[A H 1].

23 Executando um jogo Cálculo da Probabilidade Lema fundamental dos jogos Lema fundamental Sejam G e H jogos sintaticamente idênticos, e A um adversário. Então Pr[G A 1] Pr[H A 1] Pr[G A setar bad].

24 Depois de bad ser true, nada importa Coin fixing Lazy sampling Há algumas técnicas úteis na transformação de jogos, de forma a aumentar ou manter a probabilidade da flag bad ser atribuída. Destacam-se: Depois de bad ser atribuída, nada mais importa

25 Depois de bad ser true, nada importa Coin fixing Lazy sampling Há algumas técnicas úteis na transformação de jogos, de forma a aumentar ou manter a probabilidade da flag bad ser atribuída. Destacam-se: Depois de bad ser atribuída, nada mais importa Coin fixing

26 Depois de bad ser true, nada importa Coin fixing Lazy sampling Há algumas técnicas úteis na transformação de jogos, de forma a aumentar ou manter a probabilidade da flag bad ser atribuída. Destacam-se: Depois de bad ser atribuída, nada mais importa Coin fixing Lazy sampling

27 Depois de bad ser true, nada importa Coin fixing Lazy sampling Após a flag bad ser atribuída com true, pode-se remover os trechos conseguintes de código do programa ou simplesmente mantê-los; a probabilidade será inalterada. Depois de bad ser true, nada importa Sejam G e H jogos sintaticamente idênticos e A um adversário. Então Pr[G A setar bad] = Pr[H A setar bad].

28 Depois de bad ser true, nada importa Coin fixing Lazy sampling Suponha que um jogo G A possua as seguintes características: um oráculo P cujo parâmetro de entrada input informado por A esteja vazio e o resultado também seja vazio. Esse jogo conterá uma flag bad. A seguir o adversário A solicita, em seqüência, exatas q strings de consulta para P, onde o programa armazena em variáveis X 1,..., X q tais strings de entrada; o resultado dessas strings é armazenado em variáveis Y 1,..., Y q. Seja então C um conjunto de tuplas (X 1,..., X q, Y 1,..., Y q ) onde cada vetor de consultas X 1,..., X q e suas respostas Y 1,..., Y q podem ocorrer na execução de G A em C. Este conjunto é denominado conjunto de consulta/resposta para G A.

29 Depois de bad ser true, nada importa Coin fixing Lazy sampling Seja γ o conjunto de todas as variáveis Y / {X 1,..., X q, Y 1,..., Y q } em um jogo G para cada Y i. Diz-se que G A é ignorado se a variável bad não depende de qualquer variável de γ, ou seja, nenhuma variável Y i influencia na computação de bad.

30 Depois de bad ser true, nada importa Coin fixing Lazy sampling Com um jogo ignorado G A, um conjunto consulta/resposta C para G A e um ponto Q = (X 1,..., X q, Y 1,..., Y q ) C, forma-se um novo jogo H C, semelhante à G exceto pelo fato de não ter um oráculo P. Seja H = CoinFix C A (G) de HC para o primeiro item Q C que maximiza Pr[H C A setar bad]. Como H A não depende de A, pode-se omití-lo e assim ainda ter um jogo em execução.

31 Depois de bad ser true, nada importa Coin fixing Lazy sampling Técnica Coin-fixing Seja G A um jogo ignorado que possua um conjunto C do tipo consulta/resposta. Seja H = CoinFixA C (G). Então Pr[G A setar bad] Pr[H setar bad].

32 Depois de bad ser true, nada importa Coin fixing Lazy sampling Ao invés de realizar escolhas a cada transformação, pode ser conveniente reescrever o jogo prorrogando essas escolhar até o momento ideal. Considere o seguinte exemplo: seja um jogo que interage com um adversário utilizando uma permutação randômica π em n bits. Uma forma de montar esse jogo seria escolher π randomicamente de Perm(n) durante a função Inicializa e então, quando solicitada uma consulta X {0, 1} n, retorna π(x ). A alternativa tardia para implementar π seria começar com uma permutação parcial de π de n bits para n bits, todos indefinidos. Quando solicitada uma consulta X ainda não pertencente ao domínio de π, o oráculo pode escolher um valor Y randomicamente da escala de π, definindo π(x ) Y, e retornando Y.

33 Algoritmo Teorema Seja o seguinte algoritmo para o cifrador CBC: Algoritmo CBC Parse M as M 1..M m C 0 0 n for i 1 to m do C i C i 1 M i return C m

34 Algoritmo Teorema Seja Perm(n) a notação do conjunto de todas as permutações em {0, 1} n e Rand(mn, n) a notação do conjunto de todas as funções de {0, 1} mn para {0, 1} n. Para m 1 e π Perm(n) seja CBC m π a restrição de CBC n para o domínio {0, 1} mn. Tendo um algoritmo A com um oráculo de acesso para a função F : {0, 1} mn {0, 1} n, seja Adv cbc n,m(a) = Pr[π $ Perm(n): A CBC m π (.) 1] Pr[ρ $ Rand(mn, n): A ρ(.) 1] a notação da vantagem de A. Então { Adv cbc n,m(q) = max Adv cbc } n,m(a) denota o máximo que todos os adversários A solicitam até q consultas.

35 Algoritmo Teorema CBC MAC Suponha m, q 2 e n 1. Então Adv cbc n,m(q) m2 q 2 2 n

36 Algoritmo Teorema Figura do paper!

37 Algoritmo Teorema M. Bellare e P. Rogaway,. 11 de Dezembro de linds/teoinfo/bellare04gameplaying.pdf