1
00:00:00,000 --> 00:00:03,911
Mi meta para los próximos segmentos es mostrar que si usamos un
PRG seguro, podremos
2
00:00:03,911 --> 00:00:07,892
obtener una secuencia o flujo seguro. Lo primero que tenemos que hacer
es definir cual es el
3
00:00:07,892 --> 00:00:11,679
significado de que un flujo de datos sea seguro?
Así que cada vez que definimos la seguridad siempre
4
00:00:11,679 --> 00:00:15,174
es terminos de żqué es lo que el atacante puede hacer?
y żqué es lo que el atacante esta
5
00:00:15,174 --> 00:00:18,670
intentando hacer? En el contexto de cifrado de flujo
recuerde que estos sólo se utilizan
6
00:00:18,670 --> 00:00:22,737
con una llave de una sola vez (onetime key),
y como
resultado, la mayoria de las veces el atacante solo
7
00:00:22,737 --> 00:00:26,754
puede ver el texto cifrado con la llave que
estamos utilizando.żY como nos vamos
8
00:00:26,754 --> 00:00:30,772
a limitar a los atacantes ? A la capacidad de obtener
básicamente un texto cifrado. Y, de hecho,
9
00:00:30,772 --> 00:00:34,641
más adelante vamos a permitir que el
atacante pueda hacer mucho, mucho, mucho más, pero
10
00:00:34,641 --> 00:00:38,460
por ahora sólo vamos a darle un texto cifrado.
Y lo que queremos encontrar, ,
11
00:00:38,460 --> 00:00:42,560
what does żqué significa que el cifrado sea seguro?
Así que la primera definición que
12
00:00:42,560 --> 00:00:46,892
viene a la mente es básicamente para decir
bueno tal vez queremos exigir que el atacante no
13
00:00:46,892 --> 00:00:50,718
puede realmente recuperar la clave secreta.
Bueno por lo que dado el texto cifrado el atacante
14
00:00:50,718 --> 00:00:54,609
no debe ser capaz de recuperar la clave secreta.
Pero esa es una definición terrible
15
00:00:54,609 --> 00:00:58,717
porque pesa mas en la falla de nuestro genial cifrado
pero es la manera como ciframos el
16
00:00:58,717 --> 00:01:02,855
mensaje usuando una clave K es como básicamente
sale en mensaje. Bueno este es
17
00:01:02,855 --> 00:01:07,427
un sistema de cifrado sí brillante,
por supuesto
no hace nada dado un mensaje que acaba
18
00:01:07,427 --> 00:01:12,000
de generar un mensaje con el texto cifrado.
Esto no es un esquema de cifrado
19
00:01:12,000 --> 00:01:16,029
particularmente bueno; Sin embargo, dado el
texto
cifrado,hace que nuestro desvalido atacante
20
00:01:16,029 --> 00:01:20,493
no pueda recuperar la clave, porque él no sabe
cuál es la clave.Y así, como resultado
21
00:01:20,493 --> 00:01:24,630
esta cifrado que claramente es inseguro,
se considera segura bajo este
22
00:01:24,793 --> 00:01:28,636
requisito de seguridad. Así que esta
definición no será buena. Bueno por lo que si
23
00:01:28,636 --> 00:01:32,317
recuperando la clave secreta es el camino equivocado
para definir la seguridad. Así que la próxima cosa que
24
00:01:32,317 --> 00:01:35,999
puede intentar es básicamente, es decir
el atacante no se preocupa por
25
00:01:35,999 --> 00:01:39,680
la clave secreta, lo que realmente le importa es el
texto plano. So maybe it should be
26
00:01:39,680 --> 00:01:43,518
Así que tal vez debería ser difícil para el atacante
recuperar el texto completo. Pero incluso eso no funciona porque
27
00:01:43,518 --> 00:01:48,223
vamos a pensar en el siguiente el siguiente
esquema de cifrado. Así que suponemos
28
00:01:48,223 --> 00:01:53,436
que lo que este esquema de encriptación
hace es que se necesitan dos mensajes,así que voy a utilizar dos
29
00:01:53,436 --> 00:01:58,014
líneas para indicar la concatenación de dos
mensajes: linea M0 , Linea M1, de
30
00:01:58,014 --> 00:02:03,100
manera que concatenamos M0 y M1. Ahora imagine
lo que el sistema hace es realmente hace la salida de
31
00:02:03,100 --> 00:02:08,060
M0 en texto plano y concatena con la encripción
de M1. Tal vez aunque estemos usando
32
00:02:08,060 --> 00:02:13,337
una libreta de una vez (One Time Pad) żsi?
Y aquí el atacante va a dar con un
33
00:02:13,337 --> 00:02:17,478
texto cifrado. su objetivo sería recuperar los
los textos planos. But the
34
00:02:17,478 --> 00:02:21,702
Pero el pobre atacante pobres no pueden leer nada porque el
texto M1 fue cifrado usado la libreta de una sola vez
35
00:02:21,702 --> 00:02:25,872
(One Time Pad )de forma que el ataquente no puede
recuperar M1 porque nosotros sabemos que el
36
00:02:25,872 --> 00:02:30,043
One Time Pad es seguro dato un solo
texto cifrado. De acuerdo con esto nosotros
37
00:02:30,043 --> 00:02:34,055
habremos de satisfacer la definición pero
desafortunamente este no es un esquema
38
00:02:34,055 --> 00:02:37,962
de cifrado correcto porque simplemente
la mitad del texto no esta cifrado. M0 esta
39
00:02:37,962 --> 00:02:42,185
completamente disponible para el atacante
aun cuando el no pueda recuperar completamente
40
00:02:42,185 --> 00:02:46,462
todo el texto plano, ya que el el capaz de recuperar
mucho del texto plano y esto es claramente
41
00:02:46,462 --> 00:02:50,658
Inseguro. Por supuesto que nosotros contamos con la
solicion y esta es tomada de la
42
00:02:50,658 --> 00:02:54,747
definición de Shanos de la seguridad perfecta de la
secrecia, donde la idea de Sahnnon es que de
43
00:02:54,747 --> 00:02:58,835
facto cuando el atacante intercepta un texto
cigrado, el no puede apredender nada acerca de
44
00:02:58,835 --> 00:03:02,818
la información contenida en el texto plano.
El ni siquiera deberia aprender un poco acerca de
45
00:03:02,818 --> 00:03:07,221
texto plano o aún, el no deberia ser capaz de
predecir ni un pequeńo bit acerca
46
00:03:07,221 --> 00:03:11,205
de
de nuestro texto plano, esto es, absolutamente
nada acerca de nuestro texto plano
47
00:03:11,205 --> 00:03:14,926
Así que vamos a recordar muy brevemente
el concepto de Shannon de la secrecia perfeta
48
00:03:14,926 --> 00:03:19,442
basicamente el nos dijo que dato un texto
cifrado, decimos que el cifrado tiene secrecia
49
00:03:19,442 --> 00:03:25,069
perfecta si datos dos mensajes del mismo tamańo
se da la circuntancia que la distribución en los
it so happens that the distribution
50
00:03:25,069 --> 00:03:30,167
textos cifrados es igual. Pero si tomamos una clave
aleatoria y miramos en la distribución de
51
00:03:30,167 --> 00:03:34,838
los textos cifrados, encontramos que M0 tendrá
exactamente la misma distribucion que cuando
52
00:03:34,838 --> 00:03:39,257
cifremos M1. La intuciones es que si un observado
mira los textos cifrados
53
00:03:39,257 --> 00:03:43,839
el no es capaz de hacer nada con la
distribución del resultado del cifrado
54
00:03:43,839 --> 00:03:48,203
M0 ya que su distribucione es similar a la
distribución de encriptar M1. Y como resultado
55
00:03:48,203 --> 00:03:52,513
el observador no nos puede decir si es el
cifrado de M0 o de M1. Y esto es verdadero para todos
56
00:03:52,513 --> 00:03:56,877
los mensajes de la misma longitud y como
resultado nuestro pobre atacante no puede conocer
57
00:03:56,877 --> 00:04:01,212
que mensaje fue encriptado. Por supuesto nosotros no
Por supuesto, ya hemos dicho que esta definición es demasiado
58
00:04:01,212 --> 00:04:05,400
fuerte en el sentido de que requiere que las claves de cifrado
realmente largas, si el cifrado fue corto
59
00:04:05,400 --> 00:04:09,535
las claves posiblemente no puedan satisfacer esta definición
en un flujo de cifrado particular
60
00:04:09,535 --> 00:04:14,328
Bueno, vamos a intentar debilitar
la definicion en un pequeńo bit
61
00:04:14,328 --> 00:04:19,114
y pensar en lo que se vio en el segmento anterior
y nosotros vamos a decir que en lugar de requerir
62
00:04:19,114 --> 00:04:23,841
de dos distribuciones que sean absolutamente
identicas que es lo que nosotros podemos requerir, esto es
63
00:04:23,841 --> 00:04:28,686
que las dos distribuciones sean computacionalmente
indistinguibles. En otras palabras, que un pobre atacante
64
00:04:28,863 --> 00:04:33,353
no pueda distinguir entre las dos distribuciones
aun cuando estas sean
65
00:04:33,353 --> 00:04:37,815
muy, muy, pero muy diferentes.
Si entregamos una muestra de
66
00:04:37,815 --> 00:04:42,580
una distribucion y un ejemplo de otra
distribucion, el atacante no podrá decirnos que
67
00:04:42,580 --> 00:04:47,120
distribución corresponde a cada ejemplo dado.
Resulta que esta definicipin es actualmente
68
00:04:47,120 --> 00:04:51,716
considerada correcta, pero aun aspi es considerada
un poco demasiado fuerte,ya que todavía no puede satisfacer
69
00:04:51,716 --> 00:04:56,200
ańadir uno o mas restricciones y
y es que en lugar de decir que esta
70
00:04:56,200 --> 00:05:00,797
definicion deberia ser posible para todas las M0 y M1.
Se trata de mantener por pares sólo M0 M1
71
00:05:00,797 --> 00:05:05,208
que los atacantes puedan actualmente exhibir.
Bueno por lo que este hecho
72
00:05:05,208 --> 00:05:10,038
nos lleva a la definición de la semántica
de la seguridad.Y así, una vez más se trata de semántica
73
00:05:10,038 --> 00:05:15,050
segura para claves de una sola vez, en otras palbras
cuando el atacante solo obtuvo un solo texto
74
00:05:15,050 --> 00:05:19,819
cibrado. Y así, la forma en que definimos la semántica
de la seguridad es definiendo dos experimentos,
75
00:05:19,819 --> 00:05:24,562
Bueno, nosotros definieremos el experimento 0 y
el experimento 1. Y mas generalmente nosotros habremos
76
00:05:24,562 --> 00:05:29,230
de pensaar de etos esperimentos como B parentesis.
donde B puede ser cero o uno. Esto esta bien si
77
00:05:29,230 --> 00:05:32,890
la realización de estos experimentos es realizada como
sigue, nosotros tenemos un adversario que esta intentando
78
00:05:32,890 --> 00:05:37,161
romper el sistema. Un adversario A, que
es el análogo de realizar
79
00:05:37,161 --> 00:05:41,279
las pruebas estadisticas en el mundo de los pseudo
generadores aleatorios. Y entonces cuando el adversario hace
80
00:05:41,279 --> 00:05:45,093
lo siguiente, o realmente tenemos dos adversarios,
pero los adversarios son similares
81
00:05:45,093 --> 00:05:49,414
que nosotros podemos describirlos como un
solo adversario que en un cado toma
82
00:05:49,414 --> 00:05:53,634
la entradas de bit establecidas a cero y en
en otros casos toma estas entradas extablecidas
83
00:05:53,634 --> 00:05:57,193
a uno. Y ahora permitamen mostrar lo que estos
adversarios hacen. La primera cosa que el
84
00:05:57,193 --> 00:06:01,349
adversario va a realizar es probar una clave
aleatioria y entonces el adversario
85
00:06:01,349 --> 00:06:06,076
basicamente va la salida tomada de los dos mensajes
M0 y M1. Bueno, esto es en un par de mensajes
86
00:06:06,076 --> 00:06:11,039
explitos que el atacante quiere desafiar y es
usual que nosotros no intentamos
87
00:06:11,039 --> 00:06:15,766
esconder la longitud de los mensajes,
nosotros requerimos que el mensaje sea de igual
88
00:06:15,766 --> 00:06:21,643
longitud. Y entonces el adversario basicamente
habra de obtener la salida del cifrado de M0
89
00:06:21,643 --> 00:06:25,890
o el cifrado de M!. Bueno, de hecho en el
experimento 0, el adversario habra de tomar la salida
90
00:06:25,890 --> 00:06:30,301
del cifrado de M0. En el experimento 1 el adversario
tomara la salida del cifrado de
91
00:06:30,301 --> 00:06:34,385
M1. Bueno, esta es la diferencia entre los experimentos.