密碼學技術如何選型？初探理論能力邊界的安全模型_區塊鏈

作者：李昊軒

來源：微眾銀行區塊鏈??

系統變更后，為何隱私數據頻頻泄露？密碼學算法自由組合后構成的新協議是否依舊安全？當下部署的隱私保護系統，10年后是否依舊有效？密碼學協議是否越安全越符合實際業務需求？

這里，我們將繼續密碼學技術選型的分享，從單個密碼學算法擴展到由多個密碼學算法構成的密碼學協議的安全性，梳理相關的能力邊界，以及選用不同協議對實際業務中隱私保護效果的影響。

正如上一論所提到的，學術界在構造密碼學算法時，引入了一系列安全假設，只有當這些安全假設都成真時，對應的密碼學算法才安全。類似地，由多個密碼學算法構成的密碼學協議，由于加入更多的交互方，需要引入更多的安全假設。

對于一個密碼學協議，其所需的所有安全假設，及對應假設下的安全性要求的集合，稱之為安全模型。

了解安全模型中引入的不同安全假設，有利于企業在進行密碼學相關的隱私保護技術選型時，客觀評估備選技術方案的有效性。

安全模型中不少關鍵安全假設是相互獨立的，可以根據這些關鍵安全假設將安全模型進行分類，以此簡化評估流程。最常見的三種分類方式如下：

半誠實VS?惡意

可通用組合?VS?不可通用組合

計算資源無關VS?計算資源相關

上海市數據隱私安全計算企業重點實驗室參與完成論文被密碼學頂級會議PKC收錄:近日，上海市數據隱私安全計算企業重點實驗室謝翔博士聯合香港大學學者共同合作的論文《Compact Zero-Knowledge Proofs for Threshold ECDSA with Trustless Setup》被公鑰密碼學領域國際頂級會議PKC 2021錄用，該會議將在北京時間2021年5月9日至13日于線上舉行。PKC是國際密碼學會（IACR）主辦的專注于公鑰密碼學方向的旗艦會議，每一年舉辦一次，今年是第24屆，該會議一直是學術界和工業界共同關注的焦點。

本次上海市數據隱私安全計算企業重點實驗室參與完成的論文亮點在于零知識證明（ZKP）方向的研究。在理論層面，我們提出的零知識證明包括HSM群中的離散對數關系和Castagnos-Laguillaumie（CL）密文的格式良好性。在實際應用層面，我們利用零知識證明改進了兩方ECDSA和門限ECDSA的性能。

上海市數據隱私安全計算企業重點實驗室以矩陣元科研中堅力量為基礎，匯集國內密碼學專家、學者組建而成。研究內容為針對數據融合與協同計算基礎設施建設過程中保護數據安全與隱私的基礎理論技術。[2021/4/7 19:55:55]

以上三種分類方式相互獨立，相當于三維坐標軸中的三個維度。以下將以小華的故事為載體，一一闡明對應分類下，密碼學協議的理論能力邊界。

畢業季來臨，主人公小華離開自己的家鄉，來到了心儀城市就職。小華、房東美麗、房產中介之間的故事就此拉開帷幕……

聲音 | 密碼學家 Nick Szabo：比特幣有能力取代黃金 央行會求助于加密儲備:據 oracletimes消息， Nick Szabo是一位著名的密碼學家，他相信比特幣有能力取代黃金。換句話說，央行也許有一天會求助于加密儲備，作為補充國家黃金儲備的一種方式。據行業專家稱，經濟有問題的國家使用加密也會增加。[2019/1/11]

半誠實VS?惡意

小華初來駕到，眼下最迫在眉睫的事，就是找到可以讓自己過夜的地方。小華通過中介獲取房源列表，最終選定了一套比較滿意的房源，并在中介的撮合下，與房東美麗取得了聯系。

在這個過程中，中介作為參與第三方，受法律規范和社會道德所約束，一般情況下并不會對房屋合同的租金、房屋信息等內容進行篡改。但是，房屋合同中包含大量個人隱私數據，中介可輕易獲取租賃雙方相關行為信息，存在顯著的隱私數據泄露風險。

為此，小華根據自身專業知識設計實現了一套密碼學租房協議，只要中介能夠正確履行該協議，交互過程中產生的隱私數據就不會泄露了。?

現場 | 姜海：密碼學將隨著黎曼猜想等理論研究的深入迎來大發展:金色財經現場報道，今日，2018可信區塊鏈峰會在北京召開。在主題為“區塊鏈安全焦點關注”的區塊鏈安全論壇上，丁牛科技有限公司CEO姜海結合最近黎曼猜想被證明引起了密碼學界的高度關注，分析了黎曼猜想與區塊鏈密碼安全。他提出，盡管黎曼猜想的證明對于傳統密碼安全有極大的沖擊，但是區塊鏈技術的安全建立在SHA-256、橢圓曲線、算法校驗等基礎之上，在使用過程中能夠極大地抵抗密碼攻擊。盡管最近有很多的安全事件發生，而其根本原因在于程序的違規操作。未來隨著隨機發生器、量子計算機以及黎曼幾個等基礎理論的研究，密碼學將會有更大的發展空間。[2018/10/10]

以上租房交互協議，依賴中介能夠正確執行租房交互協議的安全假設。基于這類安全假設的安全模型，在密碼學中被稱為半誠實模型，又稱誠實且好奇模型，或被動攻擊者模型。

半誠實模型

參與者一定會正確執行密碼學協議，但會試圖從密碼學協議執行過程產生的中間結果中提取隱私數據。

當前大部分密碼學協議都選用了半誠實模型，這類安全模型在效率、協議設計難度上都有顯著優勢。同時，大部分業務部署時，參與方都會被現實世界諸如法律法規等因素約束，不會進行極端惡意攻擊。

金色財經現場報道 現代密碼學之父：近幾年是密碼學的又一次復興:金色財經現場報道，今日在Coindesk 2018共識會議上，現代密碼學之父，圖靈獎得主，Cryptic Labs首席科學家Whitfield Diffie表示，最近幾年是密碼學的又一次復興，區塊鏈是密碼學方面的重新對焦。他表示喜歡“引入市場力量”的說法， 從市場力量的角度看待密碼學的發展可能是最好的。Diffie還稱贊了比特幣創始人Satoshi，他說：“多年來密碼學領域的許多人都想到如何發展金錢技術，在Satoshi之前沒有人取得成功。”[2018/5/15]

小華期望通過上述半誠實模型下的密碼學租房協議，與美麗完成房源匹配和簽約流程。該技術方案將對小華和美麗的身份信息、租房明細等提供有效保護。

然而，意外還是發生了。中介并沒有如約履行該協議，并在頂級黑客的協助下，篡改了部分協議流程，小華和美麗的隱私數據，最終還是泄露了。

為了應對以上隱私風險，這里需要引入密碼學中更強的安全模型——惡意模型，也稱主動攻擊者模型。

惡意模型

參與者可以完全不遵守密碼學協議，并會采取任何手段對密碼學協議進行攻擊從而提取隱私信息。

小華吸取了上次的教訓，重新基于惡意模型設計了密碼學租房協議。盡管中介和他的黑客伙伴使出了十八般武藝，但最終也沒能攻破新協議。

紅燒肉在上海交大的密碼學及計算機安全實驗室發布了抗量子攻擊綱要:紅燒肉（HSR）在上海交大的密碼學及計算機安全實驗室發布了抗量子攻擊綱要 。[2017/12/19]

小華和美麗的隱私數據終于得到了保護，但背后引入了高昂的代價。

在惡意模型下，構造一個安全的密碼學協議，通常需要在每一個可能被攻擊的環節引入零知識證明或安全多方交互。相比相同業務場景中半誠實模型下的密碼學協議，其計算和通訊的代價以及協議自身的設計難度都會高很多，甚至可能會出現實際不可用的情況，影響最終的用戶體驗。

現實可用的密碼學隱私保護方案有一定的性能要求，這里需要分析具體業務場景中攻擊者的“動機”，以此來選擇是否可以使用半誠實模型。如果攻擊者缺乏進行惡意模型下攻擊的動機，如潛在回報小于預期收益，或者攻擊只會對攻擊者自身造成利益傷害，業務方案設計可以比較安全地使用半誠實模型。

在現實業務中，受益于法律規范和社會道德的約束，大多數系統面臨的潛在攻擊源自于半誠實模型下的威脅。

尤其是強監管行業中的業務場景和其他作惡動機低的應用場景，相比惡意模型，在半誠實模型下構建隱私保護技術方案，可以顯著提升系統性能和用戶體驗。

可通用組合?VS?不可通用組合

小華的故事還在繼續。美麗考慮到房屋未來有自住的可能，希望在密碼學租房協議中提出一些支持租期靈活變動的特性。這需要對現有技術方案進行變更，添加一些新的密碼算法模塊。

新問題隨之而來：變更之后的隱私保護技術方案是否依舊有效？

這一問題對應的兩類安全模型就是可通用組合模型和不可通用組合模型，通常簡稱為UC模型和非UC模型。UC源自英文UniversalComposable，對應的定義如下：

可通用組合模型

該模型下的密碼學協議，其使用的密碼學算法組件都滿足UC的安全性要求。通過組合定理，可以將這些UC安全的密碼學算法組件任意自由組合，從而構造更加復雜但依舊安全的協議。

不可通用組合模型

該模型下的密碼學協議，對其進行修改、重組、拆分，之后獲得的新協議不一定具備原協議的安全性。

在上述小華的故事中，如果原密碼學租房協議不滿足UC模型的安全性要求，根據美麗的訴求更改協議之后，新協議很可能就不再安全，稍有不慎就可能泄露小華和美麗的隱私數據。

由于需要非常嚴謹的證明才能滿足UC模型的安全性要求，UC模型下可用的密碼學算法組件比較有限，目前大部分隱私保護技術方案都是非UC模型下的。

對于企業來講，這里的警示是，務必要核實定制化過程是否破壞了隱私保護技術方案的有效性。

在業務落地過程中，難免需要對現有方案進行深度定制，而定制密碼學協議的過程中，需要特別留意變更后的密碼學協議是否依舊能夠提供業務預期的隱私保護效果。

計算資源無關VS?計算資源相關

再次回到小華的故事。

小華通過密碼學租房協議，與美麗簽訂了一份長達5年的租房合同。在這5年內，計算機技術研究有了不少新突破，可用的計算能力上限提升了1萬億倍。之前飽受挫折的黑客卷土重來，那么，小華的密碼學租房協議是否岌岌可危？

這就引入了第三類安全模型的分類方式，即是否受到計算能力發展的影響。

計算資源無關模型

即使攻擊者擁有無限的計算資源，密碼學協議仍然是安全的。

計算資源相關模型

密碼學協議已知的最優破譯方法，其所需的計算資源遠遠大于攻擊者目前擁有的計算資源。

計算資源無關模型，通常也被稱為無條件安全模型或信息論安全模型，是信息論中最嚴格的安全模型。即便是當下熱議的可能突然出現的超高性能量子計算機，也無法破譯該安全模型下的隱私保護方案。

計算資源無關模型下的可用方案極少，唯一常用的方案是基于一次一密的密碼學協議，并需要額外引入關于安全地生成和傳輸無限長度密鑰的安全假設。

絕大部分密碼學協議屬于后一類，即計算資源相關模型。一般通過數學規約的證明方法，證明密碼學協議可以被規約到某個計算困難問題，由此保證攻擊者在有限時間內難以完成計算，此時也被稱為可證明安全模型。

從以上分類可以看到，小華的密碼學租房協議的安全性，很大概率會受到計算能力發展的影響。

對于企業而言，評估隱私保護方案中密碼協議的有效性，一定要結合隱私數據的敏感性和時效性，舉例分析如下：

某醫療制造商需要對采購方的采購金額、身份、明細等數據進行隱私保護操作，保護的時效性可能需要5年甚至更久。因此，需要選擇的技術方案需要提供較長時間的安全，才能滿足計算資源相關模型的安全性要求。

一些業務僅僅需要在幾個小時內保證數據的隱私性。這類場景下，可以選擇系統效率更高，但所需破譯時間相對較短的方案，也能滿足計算資源相關模型的安全性要求。

平衡使用密碼學協議構建隱私保護技術方案對業務商業流程的影響，實現系統效率最大化和用戶體驗的最優化，并不是選用的密碼學協議安全性越強越好。

一般情況下，建議在滿足業務需求的安全模型下，構建效率最優的密碼學協議，夠用就好。

正是：密碼方案選型無頭緒，安全模型定義知根底！

隱私保護業務落地，安全模型選型是影響隱私保護效果的重要因素之一。密碼學協議安全模型多種多樣，安全級別越高的安全模型往往效率越低。事實上，現實社會的法律規范和社會道德約束著很多業務場景，有利于簡化密碼學協議的設計。

企業需要對具體場景具體分析，選用最合適的安全模型，在此基礎上定制最適合自身業務場景的隱私保護技術方案，往往比直接套用通用方案效果更佳。

除了本文分析的理論能力相關的安全模型之外，實際開發部署技術方案時，工程層面的疏漏也會不幸地導致隱私數據泄露，具體分析，敬請關注下文分解。

Tags：區塊鏈比特幣PKCCDSfuture幣區塊鏈李笑來的比特幣賣給誰了PKC幣cds幣是什么意思

NEAR