When are identification protocols with sparse challenges safe? The case of the Coskun and Herley attack

Hassan Jameel Asghar; Mohamed Ali Kaafar

doi:10.1515/jmc-2015-0059

开放式访问发布人：德古意特出版社 2017年9月21日

具有稀疏挑战的识别协议何时安全？Coskun和Herley袭击案

哈桑·贾米尔·阿斯加尔和穆罕默德·阿里·卡法尔

来自日志数学密码学杂志

https://doi.org/10.1515/jmc-2015-0059

摘要

密码识别协议使证明程序能够向验证程序证明其身份。这类协议的一个子类是共享秘密的挑衅响应识别协议，其中证明者和验证者共享相同的秘密，证明者必须响应验证者的一系列挑战。当校准仪是人而不是机器时，这种协议称为人类识别协议。为了使人类识别协议可用，协议设计者在文献中提出了不同的技术。其中一种技术是挑战稀疏的也就是说，只使用共享秘密的一个子集来计算每个质询的响应。Coskun和Herley演示了对使用稀疏挑战的共享机密挑战响应类型识别协议的通用攻击。他们表明，如果使用的秘密子集太小，窃听者可以在观察少量挑衅-响应对后了解秘密。不幸的是，从他们的结果中，如果不实际实施对协议的攻击并消除不安全的参数大小，就不可能找到稀疏挑战协议可用于的安全挑战者响应对数。如果使用的秘密子集不够小，那么这样的任务可能会非常耗时，并且在计算上不可行。在这项工作中，我们对窃听者通过Coskun和Herley攻击找到秘密所需的挑衅响应对的数量进行了分析估计。针对这个数字，我们还对攻击的时间复杂性进行了分析估计。我们的结果将帮助协议设计者为采用稀疏挑战的识别协议选择安全的参数大小。

关键词：识别协议;人类识别协议;密码学;信息安全;信息论

MSC 2010年：94A60型;62B10型;94A62

1引言

识别协议是一种密码协议，证明程序通过该协议𝒫向验证器验证其身份𝒱（请参见[19]). 协议被称为挑战响应类型识别协议，当𝒫和𝒱分享同样的秘密，并且𝒫应对来自𝒱（参见第节三用于此类协议的示例。）通常，响应是根据公开的函数计算的（f）关于这个秘密秒和挑战c（c）这样验证器可以在末尾检查响应是否正确。当证明人𝒫是人类的身份验证协议，一般称为人类身份验证协议。人类识别协议领域协议设计者的圣杯是设计一个功能（f）这对人类来说足够简单精神上compute还要求窃听者观察大量的挑衅响应对来重建秘密。

另一种使识别协议对人类实用的方法是减少挑战的规模c（c）这样，函数（f）仅适用于一小部分u个共享秘密的秒。我们指的是以下协议稀疏的挑战协议。给定一个通用的稀疏挑战协议，Coskun和Herley[8]显示了利用以下观察结果进行的攻击：u个很小，候选人接近秘密的秘密秒（就距离度量而言）对秒什么时候（f）应用于它们。简而言之，他们的攻击样本足够大S公司'所有可能的秘密S公司这样，在很可能的情况下S公司'那是与目标秘密的距离ξ秒。攻击者可以应用该功能（f）中的每个候选人S公司'以及所观察到的挑战，即剔除那些回答与所观察到回答相距较远的候选人。^[1]有关更多详细信息，请参阅[8]。我们把这种攻击简称为CH攻击。

CH攻击表明u个，说吧≤10稀疏挑战识别协议不安全，因为攻击在计算上是可行的，只需要少量观察到的挑战响应对米此外，通过观察更多的挑战-响应对，可以降低攻击的复杂性。然而，Coskun和Herley的工作留下了以下问题：假设时间复杂性为2λ被认为对某些λ不可行，^[2]的价值是什么米是安全的如果窃听者观察到≤米挑战响应对，CH攻击至少具有复杂性2λ? 当协议参数的大小较小时，可以实施CH攻击来检查其在给定协议上的可行性米这可能不切实际。

在本文中，我们描述了米这对CH攻击是安全的。针对以下安全值米我们还描述了更简单与Coskun和Herley在[8]，以确定攻击的复杂性。我们的结果可以帮助协议设计者设置协议参数的大小，以便协议可以安全地用于米针对复杂CH攻击的回合（挑战响应对）≈2λ，其中λ可以根据不可行的情况进行选择。^[3]

我们注意到，我们的工作并没有反驳Coskun和Herley关于稀疏挑战人类识别协议实用性的否定结论。更具体地说，如果CH攻击不可行，则u个需要使用，这意味着人类需要更长的时间来计算对挑战的响应。由于身份验证协议中存在多轮（挑战）（以降低成功随机猜测的概率），这意味着每个身份验证会话的时间将变得非常长，当人类识别协议与外部硬件辅助一起使用时，或者作为多因素身份验证协议中的一个单独因素，从而减少每个会话的挑战数量时，我们的工作可能会很有用。一个恰当的例子是，如[7]，其中通过部分依赖于模仿基于触摸的生物特征手势（例如，在智能手机的触摸屏上滑动）的硬度，减少了人类识别协议的轮次（第二因素）。在这种情况下，协议设计者可以使用我们的结果来合并更高的u个对抗性资源的给定边界，例如观察到的会话数米和复杂性2λCH攻击。

稀疏挑战协议还可用于验证可容忍更高值的普及设备u个对于此类设备，稀疏挑战不一定会提高计算时间，但可以显著降低通信复杂性。例如，一些普及设备对单个传输中可以发送的数据包的最大大小有限制。例如，LoRaWAN是一种低功耗广域网（LPWAN）标准，它指定最大数据包长度为256字节（请参阅[25，第页。 3]). 稀疏挑战由于规模较小，将减少发送的消息数量（如果成批发送），这将大大减少通信造成的能耗。通常，与计算相比，传感器在传输、接收和监听方面消耗的能量要多得多（例如，请参阅[10，第页。 581]).

2 Coskun和Herley袭击分析

我们将从本文中使用的一组符号开始这一节，然后概述Coskun和Herley（CH）攻击。然后，我们将得出一个保险箱的估计值米，即允许的挑战者响应对数。最后，我们将对CH攻击该保险箱的工作系数进行估计米.

2.1符号

让C表示挑战空间，对响应空间和S公司秘密空间，三者都是有限集。一个成员c（c）∈C被称为挑战，第页∈对回应和秒∈S公司一个秘密。我们让日志2⁡|S公司|=η.然后是一个秘密秒∈S公司表示为η位的二进制字符串。A分数u个<η用于计算函数（f）:C×S公司→对.^[4]给定两个字符串x个1和x个2长度相等，表示汉明距离d日⁢(x个1,x个2)，是其中的位置数x个1和x个2不同。为了两个秘密秒1,秒2∈S公司，因此0≤d日⁢(秒1,秒2)≤η.如果d日⁢(秒1,秒2)=我，我们这么说秒1是距离-我的邻居秒2（反之亦然）。我们让秒0∈S公司表示目标秘密。任何其他元素秒∈S公司-{秒0}然后被称为候选人或者仅仅是一个候选人。考虑到一系列挑战(c（c）1,…,c（c）米)，让Γ⁢(秒)表示响应字符串（f）⁢(c（c）1,秒)⁢∥⋯∥⁢（f）⁢(c（c）米,秒)对一些人来说秒∈S公司.如果没有歧义，我们将表示Γ⁢(秒)简单地用Γ表示。目标机密的响应流秒0应表示为Γ0.对于整数x个和年，我们使用二项式系数的约定(x个年)=0，无论何时x个<年.让X用分布表示伯努利随机变量P（P）⁢(x个)对于x个∈X。我们将表示以下概率：X=1作为ℙ(X=1)=P（P）(1)=第页.

2.2 CH概述

我们将假设窃听者，即被动对手，观察到双方交换的挑衅响应对𝒫和𝒱分享目标秘密的人秒0∈S公司。假设每对挑战者-应答者来自一对圆协议的。我们在本节中的讨论是从对手的角度进行的。假设我们已经观察到米挑战-响应对，我们希望检索目标机密秒0.修复ξ∈{1,…,η-u个}CH攻击与attack中的一样1（请参见[8，第页。 434]).

算法1（CH攻击。）。

参数τ用于降低攻击的复杂性。Coskun和Herley使用τ=10（我们也将采用它进行模拟）。请注意，如果ξ=0，攻击的复杂性相当于暴力，因此我们使用ξ>0.选择的原因2η/(ηξ)候选人期望至少有一个距离-ξ是秒0出席。将其增加到一个因子2η+q个/(ηξ)，其中q个≥1增加了发生此事件的可能性[8]。然而，q个=0对应于最小的计算开销，因此我们在本文中使用它。浏览一下攻击可以发现，大ξ降低了攻击的复杂性（因为2η/(ηξ)随着ξ的增加而减小），而较小的ξ增加了发现秘密的概率（因为迭代次数较少，即步骤4，因此出错的可能性较小）。因此，对于ξ的大值，我们需要一个更大的值米以成功发现秘密。接下来，我们将展示如何评估“安全”米，表示米^，对于给定ξ。我们所说的“安全”是指如果对手观察到的信息少于米^挑战响应对，CH攻击的成功概率较低。估计表达式后米^，我们将推导出一个由Coskun和Herley获得的CH攻击的功因子（WF）的简单估计，首先是一般的米然后特别是对于给定的值米^.

2.3安全评估米

出于可用性的原因，响应空间的大小对在人类身份识别协议中，一般都很小。因此，有很高的可能性|对|-1一个候选人秒具有与相同的响应秒0针对给定的挑战。结束米这种可能性减少到的挑战|对|-米因此，一个分数η|对|米候选人的要素，即S公司，与响应流一致Γ0长度的米。这就要求信息论绑定在米除此之外，我们只期望目标的秘密秒0以满足目标响应流Γ0。此界限，表示为米它，表示为η日志2⁡|对|。因此，攻击者必须至少观察米它challenge-response配对以获得独立于任何攻击的唯一秘密。我们对保险箱的估计米即。，米^，对于CH攻击，只有当其高于时才有意义米它.

让秒∈S公司是这样的d日⁢(秒0,秒)=我.给定均匀随机c（c）∈C，让第页我表示以下概率（f）⁢(c（c）,秒)=（f）⁢(c（c）,秒0).然后

(2.1)第页我=一我+(1-一我)⁢1|对|=一我⁢(1-1|对|)+1|对|,

哪里

一我:=(η-我u个)(ηu个).

直觉上，一我表示u个候选的位秒被选中应对挑战的人与秘密中的人相同秒0，这是一个距离我从秒.

定理1。

让我<j个<η.然后第页我≥第页j个，当且仅当η-我和η-j个都小于u个.

证明。

当两者都发生时η-我和η-j个小于0，则按惯例(η-我u个)=(η-j个u个)=0，因此第页我=第页j个=1|对|.何时η-我≥u个和η-j个<u个，那么一我≥1，而一j个=0从中可以看出第页我>第页j个.我们只剩下箱子η-我>u个和η-j个≥u个。自我<j个<η，我们有η-我>η-j个这让我们可以写

(η-我u个)=(η-我)(η-我-u个)⋅(η-我-1)(η-我-u个-1)⁢⋯⁢(η-j个+1)(η-j个+1-u个)⋅(η-j个u个)>1⋅1⁢⋯⁢1⋅(η-j个u个)=(η-j个u个).

这意味着一我>一j个因此第页我>第页j个.∎

图1显示的值第页我作为我范围从0到ηη=80,u个=5和|对|=4.注意周围的情况我=η2概率第页我更接近|对|-1=0.25.现在，和以前一样秒∈S公司是这样的d日⁢(秒,秒0)=我。那么响应流的概率秒，即Γ，是距离Γ0由给出（参见[8])

ℙ[d日(Γ0,Γ)=γ∣d日(秒0,秒)=我]=b条(γ,米,第页我),

哪里b条⁢(γ,米,第页我)是二项式分布的概率质量函数，由

b条⁢(γ,米,第页我)=(米γ)⁢第页我γ⁢(1-第页我)米-γ.

让d日⁢(秒0,秒)=ξ对一些人来说秒∈S公司.我们将表示这样一个秒通过秒ξ.给定秒ξ，让秒ξ-1和秒ξ+1表示的两个邻居秒ξ这样的话d日⁢(秒0,秒ξ-1)=ξ-1和d日⁢(秒0,秒ξ+1)=ξ+1。我们首先感兴趣的是为米，区分Γ⁢(秒ξ-1)=Γξ-1和Γ⁢(秒ξ+1)=Γξ+1。这样的值米确保高概率距离-(ξ-1)候选人将被保留在CH攻击中，而不是距离-(ξ+1)，这反过来将帮助攻击迭代地接近目标机密秒0（请参见[8]). 如果米这样很难区分响应流Γξ-1和Γξ+1，则CH攻击不会收敛到目标机密秒0因此，这是CH攻击成功的必要条件。因此，我们将获得一个安全的表达式米即。，米^，通过此步骤。

$图1当η=80{\eta=80}、u=5{u=5}和|R|=4{|R|=4}时，pi{p{i}}随i从0到η的曲线图。$

图1

以下图表第页我作为我范围从0到ηη=80,u个=5和|对|=4.

为此，首先定义伯努利随机变量

X={1有可能⁢第页ξ-1,0否则,

和

Y（Y）={1有可能⁢第页ξ+1,0否则.

直觉上，X表示指标随机变量，当秒ξ-1具有与相同的响应秒0。同样适用于Y（Y）.进一步定义随机变量Z轴=X-Y（Y）。的预期值Z轴由提供

(2.2)𝔼[Z轴]:=μ=𝔼[X]-𝔼[Y（Y）]=第页ξ-1-第页ξ+1=:ϵ,

以及方差（假设X和Y（Y）独立）由

(2.3)变量⁢[Z轴]:=σ2=(1)2⁢变量⁢[X]+(-1)2⁢变量⁢[Y（Y）]=第页ξ-1⁢(1-第页ξ-1)+第页ξ+1⁢(1-第页ξ+1).

注意，根据定理1,ϵ=第页ξ-1-第页ξ+1>0。如图所示2.

图2

ϵ的图形表示。

鉴于米i.i.d.随机变量Z轴我类型为Z轴，然后我们对概率感兴趣

(2.4)ℙ[∑我=0米Z轴我≤0],

它估计了米挑战的响应流秒ξ-1至少与秒0作为的秒ξ+1本质上，方程式中的概率(2.4)是错误概率给了小溪Γξ+1，一个区分器错误地决定它属于秒ξ-1当被要求给出二元决策时，我们可以假设区分器的错误概率小于或等于12.我们有兴趣找到样本数量的界限米误差概率接近12。这意味着区分器将无法区分两个响应流Γξ-1和Γξ+1，因此CH攻击很可能无法输出目标机密秒0.

现在，我们可以写下方程式(2.4)作为

ℙ[∑我=0米Z轴我≤0]=ℙ[∑我=0米Z轴我-米μ≤-米μ]=ℙ[∑我=0米Z轴我-米⁢μσ⁢米≤-米⁢μσ⁢米]

=ℙ[∑我=0米Z轴我-米⁢μσ⁢米≤-米⁢μσ]→Φ(-米⁢μσ) 作为米→∞,

在这里我们应用了中心极限定理（定理1)在最后一步中。修正错误概率δ。那么我们想要

(2.5)Φ⁢(-米⁢μσ)≥δ⟹-米≥σμ⁢Φ-1⁢(δ)⟹米≤(σμ⁢Φ-1⁢(δ))2,

不等式符号的变化如下Φ-1⁢(δ)≤0对于δ≤12注意，我们也可以使用一个浓度不等式，例如霍夫丁不等式（定理2)，以获得

ℙ[∑我=0米Z轴我≤0]=ℙ[∑我=0米Z轴我-∑我=0米𝔼[Z轴我]≤-米ϵ]≤经验(-2⁢ϵ2∑我=0米4)=经验(-ϵ2⁢米2),

我们利用了这个事实一我=-1,b条我=1和𝔼⁢[Z轴我]=μ=ϵ。但这是错误概率尾部的上限，只会给我们一个下限

(2.6)米≥-2ϵ2⁢在⁡(δ)

对于误差概率δ尾部的固定上界所需的最小样本数。这与我们的目的相反，我们的目的是在米误差概率接近12.

我们定义了我们的界限米根据方程式(2.5)通过固定δ=0.495，这给了我们

(2.7)米^:=(σμ⁢Φ-1⁢(0.495))2≈σ2μ2⁢(-0.0125)2≈σ2μ2⁢0.00016=0.00016⁢σ2ϵ2,

其中ϵ值和σ2如方程式所示(2.2)和方程式(2.3)分别是。

2.3.1实证评估

从那以后米^对应于接近的错误概率12，CH攻击应不成功（已观察到）米≤米^。由于我们依赖一些简化假设来获得此估计，例如X和Y（Y）以及通过中心极限定理的正态近似，值得从经验上验证这个估计。为此，我们运行了子程序CH攻击使用的距离-ξ邻居秒0在模拟识别协议上（正如Coskun和Herley所做的那样[8]). 更具体地说，我们随机选择秒∈S公司-{秒0}这样的话d日⁢(秒,秒0)=ξ，并执行“攻击”的步骤2至81.这使我们不必费力地通过2η/(ηξ)候选人，这将需要相当长的时间。因此，随机秒∈S公司-{秒0}每次都是这样选择的d日⁢(秒,秒0)=ξ。通过随机抽样模拟每个新的随机挑战u个（最初随机选择的）目标机密η中的位秒0（从而模拟随机挑战将包含随机u个一些秘密）。响应是从集合中随机生成的{0,1,…,|对|-1}.为了在两个挑战包含相同内容的情况下使响应一致u个一些秘密，创建了一个哈希表，其中包含u个-位字符串作为键，响应作为值。对于η和u个，我们对ξ的每个值运行CH攻击子程序25次，从1开始，直到估计米^大于10,000挑战-响应配对。结果如图所示三.信息论下限米它=η日志2⁡|对|图中也显示了。从图中可以看出，η和u个，即数字e（电子）,（f）,小时,我,k和我，成功概率为0米^通过方程式获得(2.7). 对于图形我，我们扩展了截止的值米^到60,000挑战-响应配对。如图所示，CH攻击的成功率仍然为0。我们注意到，虽然我们选择了δ=0.495，δ值接近0.5就足够了。例如，我们的模拟还发现δ=0.490成为一个安全的选择。当然，δ=0.490给出了更高的值米^与δ=0.495ξ的固定值。进一步降低δ，例如降低到0.400，不建议作为安全选择。图4显示了原因。

图3

的值米^根据方程式(2.7)以及CH攻击对ξ增加值的成功率(x个-轴）。|对|固定为4。这个年-轴是对数刻度的。图例：—米^;—-米它;浅绿色条表示成功率；×⁣×100%成功边界；+⁣+50%的成功边界。

$（a） η=50，u=5｛\eta=50，u=5｝$

（a）

η=50,u个=5

（b）

η=50,u个=10

（c）

η=50,u个=15

$（d） η=60，u=5｛\eta=60，u=5｝$

（d）

η=60,u个=5

（e）

η=60,u个=10

（f）

η=60,u个=15

（g）

η=70,u个=5

（h）

η=70,u个=10

（i）

η=70,u个=15

（j）

η=80,u个=5

（k）

η=80,u个=10

（l）

η=80,u个=15

$图4根据方程式（2.7），当η=80{eta=80}、u=15{u=15}和δ=0.400{delta=0.400}时，m^{widehat{m}}的值和CH攻击增加ξ值的成功百分比。注意CH攻击的高成功率。$

图4

的值米^根据方程式(2.7)当ξ增加时，CH攻击的成功率η=80,u个=15和δ=0.400在方程式中(2.7). 注意CH攻击的高成功率。

2.4估算工作系数

在本小节中，我们获得了CH攻击的功因子（WF）的简单分析估计。请注意，我们有兴趣找到λ的值，以便2λ≈WF公司因此，估计值减去2的两次方就足够了。每当我们绘制WF时，它都会出现在日志2-比例尺。CH攻击的功因子由下式给出（参见[8，第页。 434])^[5]

(2.8)WF公司=1(ηξ)⁢(2η+τ⁢η⁢ξ⁢∑我=0η(η我)⁢∑j个=米⁢第页ξ米(米j个)⁢第页我j个⁢(1-第页我)米-j个),

其中τ是Coskun和Herley设定为10的阈值米⁢第页ξ选择的边界是否使响应流距离小于米⁢第页ξ从目标机密的响应流中丢弃[8]。定义

WF公司1=2η(ηξ),

我们称之为暴力术语[8]。让

α我:=∑j个=米⁢第页ξ米(米j个)⁢第页我j个⁢(1-第页我)米-j个,

并定义右侧术语

WF公司2=τ⁢η⁢ξ(ηξ)⁢∑我=0η(η我)⁢α我.

给定值为米^通过方程式计算出ξ的固定值(2.7)，可以通过方程式直接测量WF(2.8). 然而，这种方法存在两个问题。第一个是米^数字越大α我计算成本很高。事实上，科斯昆和赫利只对u个=5（请参见[8，第页。 437]). 其次，从WF这个相当粗糙的表达中不可能有太多见解。因此，我们进一步探讨了这个表达。

首先，我们对这些数字进行了估计α我注意，本质上，α我是二项式的比例(η我)保留。定义伯努利随机变量

X我={1有可能⁢第页我,0否则.

让X我,1,X我,2,…,X我,米表示i.i.d.伯努利随机变量，其中每个X我,j个类型为X我以上。弗斯特修理一个我>ξ，其中ξ>0那么，从萨诺夫定理（定理5)和推论6，我们有

ℙ[∑j个=1米X我,j个≥米第页ξ]→2-米D类(P（P）ξ∥P（P）我) 作为米→∞.

由此我们可以估计α我≈2-米D类(P（P）ξ∥P（P）我)什么时候我≥ξ和α我≈1-2-米D类(P（P）ξ∥P（P）我)什么时候我<ξ（参见示例图5).

$图5 CH攻击中保留的二项式部分，保留部分（绿色），丢弃部分（红色）。注意，对于i<ξ{i<xi}，αξ=0.5{\alpha_{xi}=0.5}；对于i>ξ{i>xi}来说，αi>0.5{\alba_{i}>0.5}。$

图5

CH攻击中保留的二项式部分，保留部分（绿色），丢弃部分（红色）。请注意αξ=0.5,α我>0.5对于我<ξ和α我<0.5对于我>ξ.

然而，如图所示1，对于ξ的较大值，例如ξ>η2，的邻居的概率差异很小秒ξ因此，我们的边界α我基于大偏差假设的，将出错。对此进行补偿的一种方法是使用数值的法线近似值α我作为Φ⁢(-米⁢μX我/σX我)为附近的邻居秒ξ什么时候ξ>η2以与第节类似的方式2.3，其中μX我=第页我和σX我2=第页我⁢(1-第页我).一种不太混乱的方法是将数字上界α我乘以0.5我>ξ下限为0.5我<ξ，表明这些金额预计不会超过这些限制（见图5). 这为我们提供了以下估计：

(2.9)α我≈{最大值⁡{1-2-米D类(P（P）ξ∥P（P）我),0.5}如果⁢我<ξ,0.5如果⁢我=ξ,最小值⁡{0.5,2-米D类(P（P）ξ∥P（P）我)}如果⁢我>ξ.

根据这个数字的估计α我我们表示的是WF公司2通过WF公司2^.图6显示实际工作系数WF公司2与我们的估计相比WF公司2^。请注意WF公司2^预计比简单地近似所有数字要好α我通过标准正态估计（不仅仅是αξ)，因为对于较大的偏差，标准正态估计值较差。为了说明这一点，我们举例说明WF公司2反对WF公司2^和标准正态估计，表示为WF公司2~，如图所示7对于η=800.注意如何WF公司2~偏离了许多数量级。为了获得高精度值，我们实现了WF公司2~使用mpmath Python库[12]精度为200位小数。

图6

实际工作系数WF公司2与估计值相比WF公司2^什么时候η=80,u个=15和ξ∈{1,10,60}反对米在范围内[1,200].图例：—日志2⁡WF公司2;—-日志2⁡WF公司^2.

（a）

η=80,u个=15,ξ=1

（b）

η=80,u个=15,ξ=10

（c）

η=80,u个=15,ξ=60

$图7工作系数WF2{\mathrm{工作流}_{2} }}及其对η=800{eta=800}，u=25{u=25}和ξ=10{xi=10}的估计。y轴上的λ表示2的幂。注意WF~2{\widetilde{\mathrm{WF}}_{2}}是如何偏离标记的。$

图7

工作系数WF公司2及其对η=800,u个=25和ξ=10.中的λ年-轴表示2的幂。请注意WF公司~2偏离了目标。

我们现在可以看到工作系数估算的演变WF公司^反对米^（使用δ=0.495在方程式中(2.7))如图所示8，通过替换获得WF公司2通过WF公司^2在方程式中(2.8).

$图8η=80{eta=80}时的总功因子WF^{widehat{mathrm{WF}}}，δ=0.495{delta=0.495}时，u=15{u=15}相对于m^{wide hat{m}}的总功因数WF^}。$

图8

总工作系数WF公司^对于η=80和u个=15反对米^对于δ=0.495.

该图表明CH攻击的计算复杂度在ξ≈η2。我们现在表明，对于适当大的值u个。在此过程中，我们还获得了WF公司^.修复0<β<1这样的话u个=β⁢n个我们想证明对于一个适当大的β（比如110)，数字α我所有值至少为0.5我∈{1,…,ξ,…,η-u个}从数字的定义α我在方程式中(2.9)很明显，对于我≤ξ,α我≥0.5。对于我>ξ，表明了这一点α我≥0.5与展示相同

2-米^D类(P（P）ξ∥P（P）我)≥2-1⟹-米^D类(P（P）ξ∥P（P）我)≥-1⟹米^D类(P（P）ξ∥P（P）我)≤1.

首先观察到，自从第页我≥|对|-1>0为所有人我∈{0,1,…,η}、和第页ξ<1为所有人ξ>1，根据定理1,0<第页我<第页ξ<1然后从定理4并通过设置z=Φ-1⁢(δ)在方程式中(2.7)，我们得到

米^D类(P（P）ξ∥P（P）我)=σ2⁢z2ϵ2D类(P（P）ξ∥P（P）我)

≤σ2⁢z2(第页ξ-1-第页ξ+1)2⁢1θ⁢(第页ξ-第页我)2

=σ2⁢z2θ⁢(第页ξ-第页我)2(第页ξ-1-第页ξ+1)2

≤z22⁢θ⁢(第页ξ-第页我)2(第页ξ-1-第页ξ)2,

我们利用了这样一个事实σ2≤12（通过应用命题三关于方程式(2.3)). 现在为我>ϵ,

(第页ξ-第页我)2≤(第页ξ-1|对|)2=((η-ξu个)(ηu个)⁢(1-1|对|))2

和

(第页ξ-1-第页ξ)2=((η-ξ+1u个)-(η-ξu个)(ηu个)⁢(1-1|对|))2

=((η-ξ+1η-ξ+1-u个-1)⁢(η-ξu个)(ηu个)⁢(1-1|对|))2

=(u个η-ξ+1-u个)2⁢((η-ξu个)(ηu个)⁢(1-1|对|))2.

替换这些值并进行简化，我们得到

米^D类(P（P）ξ∥P（P）我)≤z22⁢θ(η-ξ+1-u个u个)2.

现在，替换u个=β⁢n个，我们得到

(η-ξ+1-u个u个)2=1β2(1-ξη+1η-β)2≤1β2(1-β)2 (自ξ≥1).

此外，对于所有人我∈{1,…,η-u个}，的第页我使其最小化第页我⁢(1-第页我)对应于我=1.现在，

第页1=(η-1u个)(ηu个)⁢(1-1|对|)+1|对|

=η-u个η⁢(1-1|对|)+1|对|

=(1-β)(1-1|对|)+1|对| (替换u个=βη)

=1-β⁢(1-1|对|).

让θ我对应于定理中的θ4具有相关间隔[第页ξ,第页我].如果我们允许θ=最小值我⁡{θ我}，那么

θ=第页1⁢(1-第页1)

=(1-β⁢(1-1|对|))⁢β⁢(1-1|对|)

=β2⁢(1β-(1-1|对|))⁢(1-1|对|)

>β2(1β-1)|对|-1|对| (自|对|-1>0),

这意味着

1θ<1β2β1-β|对||对|-1≤2β2β1-β (自|对|≥2).

将这些结果替换为米^D类(P（P）ξ∥P（P）我)，我们最终获得

米^D类(P（P）ξ∥P（P）我)≤z222β2β1-β1β2(1-β)2=z2β4β(1-β)≤14z2β4,

最后一个不等式来自命题三。如果β≥|z|2.根据方程式(2.7)，我们选择了|z|≈0.0125，因此β≥0.08作为一种选择就足够了。^[6]由此可以看出2-米^D类(P（P）ξ∥P（P）我)≥0.5.因此WF公司^2对于米^至少是

(2.10)WF公司^2=τ⁢η⁢ξ(ηξ)⁢∑我=0η(η我)⁢α我≥τ⁢η⁢ξ(ηξ)⁢12⁢2η=τ⁢η⁢ξ(ηξ)⁢2η-1.

注意，由于二项式和的最大值为2η，上述工作系数接近最大值，因为米^

WF公司^2≤τ⁢η⁢ξ(ηξ)⁢2η.

上述表达式的最小值约为ξ=η2.^[7]这是真的，因为

(ηξ)={𝒪⁢(ηξ)的ξ≤η2,𝒪⁢(ηη-ξ)的ξ>η2,

和条款ξηξ和ξηη-ξ在以下情况下具有最小值ξ=η2.替换WF公司2值为WF公司^2通过方程式获得(2.10)在方程式中(2.8)，我们看到总工作系数WF公司由WF公司2什么时候米=米^（和u个≥β⁢η)，自

WF公司≈(2+τ⁢η⁢ξ)(ηξ)⁢2η-1≈τ⁢η⁢ξ(ηξ)⁢2η-1.

我们在以下启发式定理中总结了我们的发现。

定理2。

让第页我按公式定义(2.1)的我∈{0,1,…,η}此外，让米^=(σ⁢zϵ)2，其中

ϵ2=(第页ξ-1-第页ξ+1)2 𝑎𝑛𝑑 σ2=第页ξ-1⁢(1-第页ξ-1)+第页ξ+1⁢(1-第页ξ+1),

和z=Φ-1⁢(δ)对一些人来说δ∈(0,12).那么如果u个≥β⁢η，其中β=|z|2Coskun和Herley攻击的功因子为

WF公司≈τ⁢η⁢ξ(ηξ)⁢2η-1,

当ξ=η2对于1≥ξ≥η-u个和u个≤η2.如果u个>η2，最小值为ξ=η-u个.

我们重申，我们有兴趣找到这样的λ2λ≈WF公司因此，与真实值相差几次方2的估计就足够了。

3案例研究：设置识别协议的参数大小

假设有一个谚语𝒫和验证器𝒱分享一个秘密秒这是一套k索引，共个n个。所有索引都来自集合{1,…,n个},n个是一个正整数。我们将这组索引表示为[n个].考虑以下标识协议𝒫和𝒱.

算法2（识别协议。）。

上述协议称为带窗口的Foxtail协议[1]。在实际的协议中，上述过程在每个身份验证会话中重复多次，因此随机猜测响应的概率很低（对秘密一无所知！）。但出于我们的目的，我们忽略了这个细节，并假设每个身份验证会话有一轮。术语窗口暗指我-向证明人提出的元素挑战。因为秘密的一小部分秒预计在每个挑战中都会出现，CH攻击可以应用到协议中以找到秘密。问题出现了，协议参数的一组给定值(我,k,n个)，上述协议可用于多少轮，即米，因此CH攻击的复杂性约为2λ对于固定λ？我们首先估计u个如下：

u个=𝔼⁢[|秒∩c（c）|]k⁢η=𝔼⁢[|秒∩c（c）|]k⁢日志2⁡(n个k)=我⁢kn个⁢1k⁢日志2⁡(n个k)=我n个⁢日志2⁡(n个k),

哪里我⁢kn个是超几何分布的期望值。如果我们选择k和n个做到这样η=日志2⁡(n个k)≈80（例如。，n个=180和k=18)，然后选择我=40，然后我们得到u个≈0.22×80≈18位。我们现在可以选择δ来获得米^使用定理2从而为λ提供一个值，即。，日志2⁡WF公司如果工作系数为225被认为是不可行的，即。，λ=25，然后使用δ=0.495，我们可以使用协议米≤993≈1,000（对应于ξ=25). 选择δ=0.490允许我们将协议用于米≤三,972≈4,000轮数（同样对应于ξ=25).

4 CH攻击并不总是最佳的

考虑上述协议的变体，其中权重来自ℤ2反应很简单第页←第页1模块2然后，生成的协议建立在线性函数上（f）众所周知，对于此类协议，可以使用高斯消去法来发现秘密秒之后n个通过构造n个×n个二进制矩阵H（H）其行是从中构造的米=n个观察到的挑战和使用n个-元件响应向量𝐫从答复中获得[11,三]。然而，就观测到的挑战者响应对的数量而言，高斯消去并不总是最佳攻击，米例如，暴力攻击可以在米≈日志2⁡(n个k)<n个即，信息论界，上述协议中观察到的挑衅响应对的数量，尽管时间复杂度较高，即。，∼(n个k)。我们有兴趣了解CH攻击的可行性是否可与高斯消去法相比米接近n个万一线性的协议。一般来说，答案是否定的。对于上述协议，CH攻击需要大量观察米可行，前提是我和n个都不太小。例如，如果(我,k,n个)=(40,18,180)，如上所述米≈262>n个，CH攻击的功因子为≈258另一方面，高斯消去法是一种多项式时间算法，在米≈n个=180观察。

当然，为了使高斯消去产生唯一的解，我们需要n个行（或等效的列）H（H）线性独立。众所周知，当挑战是无限制的，即它们是全尺寸的n个，行H（H）由它们构成的线性无关且概率很高[11,三].^[8]在这里，我们表明，对于以上述协议中描述的方式构建的稀疏挑战，也是如此。注意，本协议中可能的挑战总数为

|C|=∑我=0我(n个我),

可以通过观察(n个我)具有汉明权重的可能二进制向量我。由此，我们可以使用计数参数来获取n个线性无关向量，通过迭代放弃向量的任何线性相关选择我鉴于我-1线性无关向量。然而，这并不简单，因为任意两个向量的线性组合C可能不是中的向量C（例如，两个具有汉明权重的向量我至少在一个位置不同）。然而，渐近结果表明，如果我足够大，我们可能会建立一个完整的排名n个×n个矩阵H（H）观察之后米>n个挑战，其中差异米-n个由一个常数从下方限定。准确地说，我们改写了以下推论[16]作为一个定理使用我们的符号。

定理1。

让米>n个.如果我>在⁡n个+ω⁢(1)和米-n个≥ω⁢(1)，然后几乎每一组米一致随机向量C有n个线性无关向量。^[9]

例如，对于正在考虑的案例，即。，n个=180和我=40，使用Sage库的简单Python脚本^[10]返回了完整的等级n个×n个矩阵H（H），每行随机抽样C，成功率为0.2969（重复10000次以上）。相反，我=2返回了0个此类事件。对于相当大的值，成功率很高我这并不奇怪。例如，矩阵的必要条件H（H）线性独立就是没有零列。观察向量中元素的概率c（c）∈C零由以下公式给出

12⋅我n个+1⋅(1-我n个)=1-我2⁢n个,

这是因为元素可能不在我选择的元素，或者它可以存在，但权重为0。让B类我是指我第列是不零列向量。然后

ℙ⁢(B类我)=1-(1-我2⁢n个)n个.

让A类是矩阵的事件H（H）没有零列向量。然后

ℙ⁢(A类)=⋂我=1n个ℙ⁢(B类我)≥(∑我=1n个ℙ⁢(B类我))-n个+1=1-n个⁢(1-我2⁢n个)n个,

如果足够大，则接近1我和n个（上述不等式是Benferroni不等式的应用[18，第7节，p。 426]）。例如，当n个=180,我=15产量ℙ⁢(A类)>0.91.

5相关工作

拜尼尔斯、朱诺德和瓦代内[4]显示了一个更一般的结果，该结果估计了最佳区分器所需的样本数，以区分两个彼此接近的概率分布（不一定是伯努利分布）。除常数因素外，它们的估计值和方程中给出的两个估计值(2.5)和方程式(2.6)全部收益率米∼1ϵ2，可以用作粗糙的我们案例中所需样品数量的指南。

我们注意到，这与我们对米，中的工作[1，第5节]试图限制安全的子弹数，以防止基于计数的统计攻击，这些攻击是由Yan、Han、Li和Deng提出的人类识别协议[24]。然而，针对这些基于计数的攻击的安全回合数的结果数字是错误的，因为它们没有将相关概率视为错误概率，并且通过将标准正态分布的单边累积分布函数固定为0.6来错误地计算所需样本。

人类身份识别协议的研究可以追溯到松本仁美在年的工作[17]。朱尔斯和韦斯[13]注意到人类和资源受限设备之间的相似之处，这两种设备都具有较低的计算和存储能力，并提出了一种Hopper和Blum（HB）人类识别协议的变体[11]用于识别此类设备。据我们所知，这是迄今为止唯一一个将其作为资源受限设备的识别协议进行了广泛研究的人类识别协议。分析其他人类识别协议是一个有趣的研究领域，例如kmins协议[11]作为资源受限设备的识别协议的适用性。虽然文献中的一些人类识别协议是基于特殊设计的[17,21,14]，还有一些人的安全性是基于有趣的数学问题的难度[2,20,22,15,5]。在对人类识别协议的通用攻击方面也有一些理论进展[8,24,1,三]。这些结果可能会导致提出其他用于识别资源受限设备的人类识别协议。

6结论

我们已经对挑战响应类型识别协议中在秘密更新之前允许的会话数进行了估计，该协议使用一小部分秘密来响应挑战，以安全抵御Coskun和Herley攻击。我们还展示了如何以计算效率高且与协议无关的方式根据允许会话的数量来估计此攻击的工作因子。这些估计在经验上很容易获得，无需对给定协议实施Coskun和Herley攻击，以根据不同的协议参数集检查其复杂性。这项工作有助于协议设计者在人类识别协议领域或资源受限设备的识别协议中设置参数大小，其中需要使用“稀疏”挑战。用例包括允许额外计算辅助或与其他身份验证因素一起使用的人类识别协议，以及旨在减少传输比特量以节省能量的普及设备的识别协议。我们的工作可以帮助此类协议的设计者利用“密集”到足以使Coskun和Herley攻击不可行的挑战。

Alfred Menezes传达

A一些有用的结果

在本附录中，我们描述了本文中使用的一些重要的众所周知的结果。

定理1（中心极限定理[18，第8.3节，p。 434]).

让X1,X2,…,X米是一系列i.i.d.随机变量，每个变量都具有平均μ和方差σ2.然后

ℙ[∑我=1米X我-米⁢μσ⁢米≤一]→Φ(一) 作为米→∞,

哪里Φ⁢(⋅)表示标准正态分布的累积分布函数。

定理2（霍夫丁不等式[6，第页。 217]).

让X1,X2,…,X米是独立的有界随机变量，这样X我落在区间内[一我,b条我]概率为1。那么对于任何t吨>0,

ℙ[∑我=0米X我-∑我=0米𝔼[X我]≥t吨]≤经验(-2⁢t吨2∑我=0米(b条我-一我)2)

和

ℙ[∑我=0米X我-∑我=0米𝔼[X我]≤-t吨]≤经验(-2⁢t吨2∑我=0米(b条我-一我)2).

以下结果很容易证明：

提案3。

对于所有人x个∈对,x个⁢(1-x个)≤14.

让X用分布表示伯努利随机变量P（P）⁢(x个)对于x个∈X.让P（P）和问是两个概率分布。然后是Kullback–Leibler散度问从P（P）是

D类(P（P）∥问)=∑x个∈XP（P）(x个)日志2P（P）⁢(x个)问⁢(x个),

对于伯努利分布P（P）和问是

D类(P（P）∥问)=第页日志2第页q个+(1-第页)日志21-第页1-q个,

我们使用的约定是日志2⁡0一=0对于任何一≥0。以下有用的界限与[23，第页。 2].

定理4。

让P（P）和问是两个贝努利分布0<q个<第页<1.然后

D类(P（P）∥问)≤1θ(第页-q个)2,

哪里θ=最小值x个⁡{x个⁢(1-x个)}为所有人x个∈[q个,第页].

证明。

我们有

D类(P（P）∥问)=第页日志2第页q个+(1-第页)日志21-第页1-q个

=第页⁢日志2⁡第页e（电子）⁢e（电子）q个+(1-第页)⁢日志2⁡1-第页e（电子）⁢e（电子）1-q个

=第页⁢在⁡第页q个+(1-第页)⁢在⁡1-第页1-q个

=第页⁢∫q个第页1x个⁢𝑑x个-(1-第页)⁢∫q个第页11-x个⁢𝑑x个=∫q个第页(第页-x个x个⁢(1-x个))⁢𝑑x个≤1θ⁢∫q个第页(第页-x个)⁢𝑑x个=1θ⁢(第页-q个)2,

根据需要。∎

最后，我们表示萨诺夫定理。

定理5（萨诺夫定理[9，第11.4节，p。 362]).

让X1,X2,…,X米通过分发进行身份验证问然后让问米=∏我问⁢(x个我).让电子是一组这样的分布电子是它内部的封闭。然后

问米⁢(电子∩𝒫米)=问米⁢(电子)→2-米D类(P（P）*∥问) 作为⁢米→∞,

哪里P（P）米是所有具有分母的经验概率分布的集合米和P（P）*是中的分布电子使其最小化D类(P（P）∥问)对于P（P）∈电子.

推论6。

让X1,X2,…,X米是具有分布的伯努利随机变量问.然后

ℙ[∑我=1米X我≥米α]=问米(电子)

对于0<α<1，其中电子是分布集

电子={P（P）|∑x个∈{0,1}P（P）⁢(x个)≥α=P（P）⁢(1)≥α}.

此外P（P）*使其最小化D类(P（P）∥问)是P（P）α由提供P（P）α⁢(1)=α.

证明。

第一部分的证据在[9，第11.4节，p。 361]. 第二部分，分配P（P）*使其最小化D类(P（P）∥问)对于P（P）∈电子由给出（参见[9，第11.5节，p。 364])

P（P）*⁢(x个)=q个x个⁢(1-q个)(1-x个)⁢经验⁡(κ⁢x个)q个⁢经验⁡(κ⁢x个)+1-q个,

其中κ的选择使得P（P）*⁢(1)=α.设置P（P）*⁢(1)=α在上面，我们得到

经验⁡(κ)=α1-α⁢1-q个q个,

替代后产生P（P）*⁢(x个)=αx个⁢(1-α)(1-x个)=P（P）α⁢(x个).∎

工具书类

[1]H.J.Asghar、S.Li、R.Steinfeld和J.Pieprzyk，计数还算数吗？重新审视基于计数的用户身份验证协议对统计攻击的安全性，第20届网络与分布式系统安全年会，互联网协会，日内瓦（2013），1-18。在谷歌学者中搜索

[2]H.J.Asghar、J.Pieprzyk和H.Wang，一种新的人类识别协议和Coppersmith的baby-step giant-step算法，第八届应用密码学与网络安全国际会议论文集，柏林施普林格（2010），349-366。10.1007/978-3-642-13708-2_21在谷歌学者中搜索

[3]H.J.Asghar、R.Steinfeld、S.Li、M.A.Káafar和J.Pieprzyk，关于人类识别协议的线性化：基于线性代数、编码理论和格的攻击，IEEE传输。通知。法医安全。10 (2015), 1643–1655.10.1109/如果-2015.2421875在谷歌学者中搜索

[4]T.Baignères、P.Junod和S.Vaudenay，我们能超越线性密码分析吗？，密码学进展–ASIACRYPT 2004，计算机课堂讲稿。科学。3329,施普林格，柏林（2004），432-450。10.1007/978-3-540-30539-2_31在谷歌学者中搜索

[5]J.Blocki、M.Blum、A.Datta和S.Vempala，人工计算密码，预印本（2014），http://arxiv.org/pdf/1404.0024.pdf.在谷歌学者中搜索

[6]S.Boucheron、G.Lugosi和O.Bousquet，集中不平等，机器学习高级讲座，计算机课堂讲稿。科学。3176,柏林施普林格（2004），208-240。在谷歌学者中搜索

[7]J.Chauhan、B.Z.H.Zhao、H.J.Asghar、J.Chan和M.A.Kaafar，BehavioCog：一种抗观察的身份验证方案，预印本（2016），https://arxiv.org/abs/1610.09044.10.1007/978-3-319-70972-7_3在谷歌学者中搜索

[8]B.Coskun和C.Herley，“你知道的东西”能被保存吗？，国际信息安全会议，计算机课堂讲稿。科学。5222,施普林格，柏林（2008），421–440。10.1007/978-3-540-85886-7_29在谷歌学者中搜索

[9]T.M.Cover和J.A.Thomas，信息理论基础，第二版。，Wiley-Interscience，霍博肯，2006年。在谷歌学者中搜索

[10]G.de Meulenaer、F.Gosset、F.X.Standaert和O.Pereira，关于无线传感器网络中通信和加密的能量成本，2008年IEEE无线和移动计算、网络和通信国际会议，IEEE出版社，皮斯卡塔韦（2008），580-585。10.1109/WiMob.2008.16在谷歌学者中搜索

[11]N.J.Hopper和M.Blum，安全的人类识别协议，密码学进展–ASIACRYPT 2001，计算机课堂讲稿。科学。2248中，施普林格，柏林（2001），52-66。10.1007/3-540-45682-1_4在谷歌学者中搜索

[12]F.约翰逊，Mpmath：用于任意精度浮点运算的Python库（0.18版），预印本（2013），http://mpmath.org/.在谷歌学者中搜索

[13]A.Juels和S.A.Weis，使用人类协议认证普及设备，密码学进展–密码2005，计算机课堂讲稿。科学。3621,柏林施普林格（2005），293–308。10.1007/11535218_18在谷歌学者中搜索

[14]M.Lei、Y.Xiao、S.V.Vrbsky和C.C.Li，使用在线服务、ATM机器和普适计算的随机线性函数的虚拟密码，计算。Commun公司。31 (2008), 4367–4375.2016年10月10日/j.comcom.2008.05.005在谷歌学者中搜索

[15]S.Li和H.Y.Shum，安全的人机识别（接口）系统，防止偷窥攻击：SecHCI，预印本（2005），http://eprint.iacr.org/2005/268.在谷歌学者中搜索

[16]N.Linial和D.Weitz，有界权重的随机向量及其线性相关性，预印本（2000），http://dimacs.rutgers.edu/~dror/pubs/rand_mat.pdf.在谷歌学者中搜索

[17]松本和伊迈，通过不安全的渠道进行人类识别，密码学进展，计算机课堂讲稿。科学。547,柏林施普林格（1991），409-421。10.1007/3-540-46416-6_35在谷歌学者中搜索

[18]S.Ross，概率第一课程，麦克米伦出版社，纽约，1976年。在谷歌学者中搜索

[19]B.学校校长，加密协议讲稿。版本1.1，预印本（2015），网址：http://www.win.tue.nl/~berry/2WC13/讲稿.pdf,在谷歌学者中搜索

[20]L.Sobrado和J.-C.Birget，图形密码，罗格斯学者4（2002）。在谷歌学者中搜索

[21]D.Weinshall，对间谍软件安全的认知身份验证方案（短文），IEEE安全与隐私研讨会，IEEE计算机学会，皮斯卡塔韦（2006），295-300。10.1109/SP.2006.10在谷歌学者中搜索

[22]S.Wiedenbeck、J.Waters、L.Sobrado和J.-C.Birget，抗肩上冲浪图形密码方案的设计与评估，高级视觉界面工作会议记录，ACM，纽约（2006），177–184。10.1145/1133265.1133303在谷歌学者中搜索

[23]R.L.Wolpert，Markov、Chebychev和Hoeffing不等式，课堂讲稿（2009），https://stat.duke.edu/courses/Spring09/sta205/lec/hoef.pdf.在谷歌学者中搜索

[24]Q.Yan、J.Han、Y.Li和R.H.Deng，关于设计抗泄漏密码系统的局限性：攻击、原则和可用性，第19届年度网络和分布式系统安全研讨会，互联网协会，日内瓦（2012），1-16。在谷歌学者中搜索

[25]Semtech公司，LoRa常见问题解答，预印本2016，http://www.semtech.com/wireless-rf/lora/lora-FAQs.pdf.在谷歌学者中搜索

收到：2015-12-23

修订过的：2017-1-18

认可的：2017-9-8

在线发布：2017-9-21

印刷出版：2017-10-1

本文是根据知识共享署名非商业许可证的条款分发的，该许可证允许在任何媒体上进行无限制的非商业使用、分发和复制，前提是正确引用了原始作品。

来自日志

数学密码学杂志

第11卷第3期

提交手稿

期刊和发行

同一期文章

Frontmatter公司

孤立椭圆曲线与MOV攻击

分组密码密码分析数据复杂度的严格上界

具有稀疏挑战的识别协议何时安全？Coskun和Herley袭击案