1
Mi meta para los próximos segmentos es mostrar que si usamos un PRG seguro, podremos
2
obtener una secuencia o flujo seguro. Lo primero que tenemos que hacer es definir cual es el
3
significado de que un flujo de datos sea seguro? Así que cada vez que definimos la seguridad siempre
4
es terminos de żqué es lo que el atacante puede hacer? y żqué es lo que el atacante esta
5
intentando hacer? En el contexto de cifrado de flujo recuerde que estos sólo se utilizan
6
con una llave de una sola vez (onetime key), y como resultado, la mayoria de las veces el atacante solo
7
puede ver el texto cifrado con la llave que estamos utilizando.żY como nos vamos
8
a limitar a los atacantes ? A la capacidad de obtener básicamente un texto cifrado. Y, de hecho,
9
más adelante vamos a permitir que el atacante pueda hacer mucho, mucho, mucho más, pero
10
por ahora sólo vamos a darle un texto cifrado. Y lo que queremos encontrar, ,
11
what does żqué significa que el cifrado sea seguro? Así que la primera definición que
12
viene a la mente es básicamente para decir bueno tal vez queremos exigir que el atacante no
13
puede realmente recuperar la clave secreta. Bueno por lo que dado el texto cifrado el atacante
14
no debe ser capaz de recuperar la clave secreta.
Pero esa es una definición terrible
15
porque pesa mas en la falla de nuestro genial cifrado pero es la manera como ciframos el
16
mensaje usuando una clave K es como básicamente sale en mensaje. Bueno este es
17
un sistema de cifrado sí brillante, por supuesto no hace nada dado un mensaje que acaba
18
de generar un mensaje con el texto cifrado.
Esto no es un esquema de cifrado
19
particularmente bueno; Sin embargo, dado el texto cifrado,hace que nuestro desvalido atacante
20
no pueda recuperar la clave, porque él no sabe cuál es la clave.Y así, como resultado
21
esta cifrado que claramente es inseguro, se considera segura bajo este
22
requisito de seguridad. Así que esta definición no será buena. Bueno por lo que si
23
recuperando la clave secreta es el camino equivocado para definir la seguridad. Así que la próxima cosa que
24
puede intentar es básicamente, es decir el atacante no se preocupa por
25
la clave secreta, lo que realmente le importa es el texto plano. So maybe it should be
26
Así que tal vez debería ser difícil para el atacante recuperar el texto completo. Pero incluso eso no funciona porque
27
vamos a pensar en el siguiente el siguiente esquema de cifrado. Así que suponemos
28
que lo que este esquema de encriptación hace es que se necesitan dos mensajes,así que voy a utilizar dos
29
líneas para indicar la concatenación de dos mensajes: linea M0 , Linea M1, de
30
manera que concatenamos M0 y M1. Ahora imagine lo que el sistema hace es realmente hace la salida de
31
M0 en texto plano y concatena con la encripción de M1. Tal vez aunque estemos usando
32
una libreta de una vez (One Time Pad) żsi? Y aquí el atacante va a dar con un
33
texto cifrado. su objetivo sería recuperar los los textos planos. But the
34
Pero el pobre atacante pobres no pueden leer nada porque el texto M1 fue cifrado usado la libreta de una sola vez
35
(One Time Pad )de forma que el ataquente no puede recuperar M1 porque nosotros sabemos que el
36
One Time Pad es seguro dato un solo texto cifrado. De acuerdo con esto nosotros
37
habremos de satisfacer la definición pero desafortunamente este no es un esquema
de cifrado correcto porque simplemente la mitad del texto no esta cifrado. M0 esta
completamente disponible para el atacante aun cuando el no pueda recuperar completamente
todo el texto plano, ya que el el capaz de recuperar mucho del texto plano y esto es claramente
Inseguro. Por supuesto que nosotros contamos con la solicion y esta es tomada de la
definición de Shanos de la seguridad perfecta de la secrecia, donde la idea de Sahnnon es que de
facto cuando el atacante intercepta un texto cigrado, el no puede apredender nada acerca de
la información contenida en el texto plano. El ni siquiera deberia aprender un poco acerca de
texto plano o aún, el no deberia ser capaz de predecir ni un pequeńo bit acerca
de de nuestro texto plano, esto es, absolutamente nada acerca de nuestro texto plano
Así que vamos a recordar muy brevemente el concepto de Shannon de la secrecia perfeta
basicamente el nos dijo que dato un texto cifrado, decimos que el cifrado tiene secrecia
perfecta si datos dos mensajes del mismo tamańo se da la circuntancia que la distribución en los it so happens that the distribution
textos cifrados es igual. Pero si tomamos una clave aleatoria y miramos en la distribución de
los textos cifrados, encontramos que M0 tendrá exactamente la misma distribucion que cuando
cifremos M1. La intuciones es que si un observado mira los textos cifrados
el no es capaz de hacer nada con la distribución del resultado del cifrado
M0 ya que su distribucione es similar a la distribución de encriptar M1. Y como resultado
el observador no nos puede decir si es el cifrado de M0 o de M1. Y esto es verdadero para todos
los mensajes de la misma longitud y como resultado nuestro pobre atacante no puede conocer
que mensaje fue encriptado. Por supuesto nosotros no Por supuesto, ya hemos dicho que esta definición es demasiado
fuerte en el sentido de que requiere que las claves de cifrado realmente largas, si el cifrado fue corto
las claves posiblemente no puedan satisfacer esta definición en un flujo de cifrado particular
Bueno, vamos a intentar debilitar la definicion en un pequeńo bit
y pensar en lo que se vio en el segmento anterior y nosotros vamos a decir que en lugar de requerir
de dos distribuciones que sean absolutamente identicas que es lo que nosotros podemos requerir, esto es
que las dos distribuciones sean computacionalmente indistinguibles. En otras palabras, que un pobre atacante
no pueda distinguir entre las dos distribuciones aun cuando estas sean
muy, muy, pero muy diferentes. Si entregamos una muestra de
una distribucion y un ejemplo de otra distribucion, el atacante no podrá decirnos que
distribución corresponde a cada ejemplo dado. Resulta que esta definicipin es actualmente
considerada correcta, pero aun aspi es considerada un poco demasiado fuerte,ya que todavía no puede satisfacer
ańadir uno o mas restricciones y y es que en lugar de decir que esta
definicion deberia ser posible para todas las M0 y M1. Se trata de mantener por pares sólo M0 M1
que los atacantes puedan actualmente exhibir. Bueno por lo que este hecho
nos lleva a la definición de la semántica de la seguridad.Y así, una vez más se trata de semántica
segura para claves de una sola vez, en otras palbras cuando el atacante solo obtuvo un solo texto
cibrado. Y así, la forma en que definimos la semántica de la seguridad es definiendo dos experimentos,
Bueno, nosotros definieremos el experimento 0 y el experimento 1. Y mas generalmente nosotros habremos
de pensaar de etos esperimentos como B parentesis. donde B puede ser cero o uno. Esto esta bien si
la realización de estos experimentos es realizada como sigue, nosotros tenemos un adversario que esta intentando
romper el sistema. Un adversario A, que es el análogo de realizar
las pruebas estadisticas en el mundo de los pseudo generadores aleatorios. Y entonces cuando el adversario hace
lo siguiente, o realmente tenemos dos adversarios, pero los adversarios son similares
que nosotros podemos describirlos como un solo adversario que en un cado toma
la entradas de bit establecidas a cero y en en otros casos toma estas entradas extablecidas
a uno. Y ahora permitamen mostrar lo que estos adversarios hacen. La primera cosa que el
adversario va a realizar es probar una clave aleatioria y entonces el adversario
basicamente va la salida tomada de los dos mensajes M0 y M1. Bueno, esto es en un par de mensajes
explitos que el atacante quiere desafiar y es usual que nosotros no intentamos
esconder la longitud de los mensajes, nosotros requerimos que el mensaje sea de igual
longitud. Y entonces el adversario basicamente habra de obtener la salida del cifrado de M0
o el cifrado de M!. Bueno, de hecho en el experimento 0, el adversario habra de tomar la salida
del cifrado de M0. En el experimento 1 el adversario tomara la salida del cifrado de
M1. Bueno, esta es la diferencia entre los experimentos.