PROJECTE FINAL DE CARRERA Revocation in Anonymous Authentication Systems

64 Pages·2015·0.76 MB·English

PROJECTE FINAL DE CARRERA

Revocation in Anonymous Authentication
Systems
(Revocació en Sistemes de Autenticació
Anònims)

Estudis: Enginyeria de Telecomunicació
Autor: María Rosa Fueyo Pestaña
Director/a: Javier Herranz Sotoca
Any: 2015

Abstract
Keywords: Attribute-based signatures, RSA, privacy, unforgeability, revocation, Poly-
nomial Evaluation, Zero-Knowledge Proof, discrete logarithm, non-membership proof.
MSC2000: 92A60, 92A62
An attribute-based signature with respect to a signing policy chosen by the signer, con-
vinces the veri(cid:28)er that the signer sustains a subset of attributes satisfying that signing
policy. Theveri(cid:28)ermustnotobtainanyotherinformationabouttheidentityofthesigner
or the attributes he holds. This type of signatures have a lot of applications in real life
scenariosthatdemandbothauthenticationandprivacyproperties. Theabilityofrevoking
users that have misbehaved or lost their attributes, so that they can not compute more
valid signatures, is very desirable for real life applications of attribute-based signatures.
In this project, the main goal consists in studying di(cid:27)erent protocols of revocation and
incorporating them into an already existing RSA attribute-based signature. In order to
achieve these objectives, two di(cid:27)erent protocols were chosen from those available in the
literature, taking into account the e(cid:30)ciency of the existing protocols and the necessity
that the protocol is built in an anonymous way: the user must not reveal his identity
when proving that he is not in the revocation list.
The(cid:28)rstoneisbasedonapolynomialevaluationargument,andsomeofitsmainadvan-
tagesarethatthisargumenthaslogarithmiccommunicationcostinthenumberofrevoked
users in contrast to other protocols with cubic root complexity at best, thus obtaining a
more e(cid:30)cient protocol and besides its security relies only on the discrete logarithm as-
sumption.
The second one was based on a protocol for special cases when the revoked elements are
coprime, since in the attribute based signature the elements are prime, this protocol was
consideredsuitable. Whiledemonstratingitssoundnessitwasfoundthattheoriginalpro-
tocolwasnotsecurebecausewefoundaparticularattack(thatwedescribeinthiswork).
Thus, a new secure protocol was designed which (cid:28)ts with the attribute-based signature.
Finally, the previous protocols have been incorporated into an existing RSA attribute-
based signature scheme, and both resulting signatures have been analyzed in terms of
e(cid:30)ciency of the communication cost. The second protocol is shown to be always more
e(cid:30)cient than the (cid:28)rst one, even for the case with a single revoked user.

Resum
Paraules clau: Signatura basada en atributs, RSA, privacitat, infalsicabilitat, revoca-
ci(cid:19)o, Avaluacio(cid:19) de polinomis, prova de coneixement zero, logaritme discret, prova de no-
pertinen(cid:24)ca.
MSC2000: 92A60, 92A62
Una signatura basada en atributs en relaci(cid:19)o amb una pol(cid:19)(cid:16)tica de signatures triada pel
signant, convenc(cid:24) al veri(cid:12)cador que el signant t(cid:19)e un subconjunt d’atributs que satisfan la
pol(cid:19)(cid:16)tica de signatures. El veri(cid:12)cador no obtindr(cid:18)a cap informaci(cid:19)o sobre la identitat del
signatari o sobre els atributs que t(cid:19)e. Aquest tipus de signatures t(cid:19)e moltes aplicacions en
situacions de la vida real que demanden autenticacio(cid:19) i privacitat al mateix temps. L’ha-
bilitat per revocar usuaris que s’han comportat malament o han perdut els seus atributs
i ja no poden computar m(cid:19)es signatures v(cid:18)alides, (cid:19)es molt desitjable per a aplicacions de
signatures basades en atributs en la vida real.
Enaquestprojecte,elprincipalobjectiuconsisteixaestudiardiferentsprotocolsderevo-
caci(cid:19)o i incorporar-los en un esquema signatura RSA basada en atributs ja existent. Per
poder aconseguir aquests objectius, dos protocols van ser triats entre els disponibles en
la literatura existent, tenint en compte l’e(cid:12)ci(cid:18)encia dels protocols existents i la necessitat
que el protocol hagi estat constru(cid:127)(cid:16)t de manera an(cid:18)onima: l’usuari no pot revelar la seva
identitat en el moment de provar que ell no est(cid:18)a en la llista de revocaci(cid:19)o.
El primer protocol est(cid:18)a basat en un argument d’avaluacio(cid:19) de polinomis, i algun dels seus
principalsavantatges(cid:19)esquet(cid:19)ecostdecomunicaci(cid:19)ologar(cid:19)(cid:16)tmicaenelnombred’usuarisre-
vocatsencontrastambaltresprotocolsambcomplexitatcu(cid:19)bicaenelmillorcas,pertant
s’obt(cid:19)e un protocol m(cid:19)es e(cid:12)cient i a m(cid:19)es la seva seguretat dep(cid:18)en solament de la conjectura
del logaritme discret.
Elsegonprotocolest(cid:18)abasatenunprotocolperasituacionsespecialsquanelselementsde
la llista de revocaci(cid:19)o s(cid:19)on coprimers, com en la signatura basada en atributs els elements
s(cid:19)on primers, aquest protocol va ser considerat com a adient. Mentre s’estava demostrant
la solidesa del protocol ens vam adonar que el protocol original no era segur perqu(cid:18)e vam
trobar un atac (que est(cid:18)a descrit en el projecte). Per tant, un nou protocol segur va ser
dissenyat que serveix per a la signatura basada en atributs.
Finalment, els protocols previs han sigut incorporats a la signatura RSA basada en atri-
butsexistent,ilesduessignaturesresultantshansigutanalitzadesentermesdel’e(cid:12)ci(cid:18)encia
del cost de comunicacio(cid:19). El segon protocol es demostra que sempre(cid:19)es m(cid:19)es e(cid:12)cient que el
primer, (cid:12)ns i tot en el cas d’un sol usuari revocat.

Resumen
Palabras clave: Firma basada en atributos, RSA, privacidad, infalsicabilidad, revo-
caci(cid:19)on,Evaluacio(cid:19)ndepolinomios,pruebadeconocimientocero,logaritmodiscreto,prueba
de no pertenencia.
MSC2000: 92A60, 92A62
Una(cid:12)rmabasadaenatributosconrelaci(cid:19)onaunapol(cid:19)(cid:16)ticade(cid:12)rmaselegidaporel(cid:12)rmante,
convencealveri(cid:12)cadorqueel(cid:12)rmantetieneunsubconjuntodeatributosquesatisfacenla
pol(cid:19)(cid:16)tica de (cid:12)rmas. El veri(cid:12)cador no obtendr(cid:19)a ninguna informaci(cid:19)on sobre la identidad del
(cid:12)rmanteosobrelosatributosquetiene. Estetipode(cid:12)rmastienemuchasaplicacionesen
situaciones de la vida real que demandan autenti(cid:12)cacio(cid:19)n y privacidad al mismo tiempo.
La habilidad para revocar a usuarios que se han comportado mal o han perdido sus atri-
butosyyanopuedencomputarm(cid:19)as(cid:12)rmasv(cid:19)alidas,esmuydeseableparaaplicacionesde
(cid:12)rmas basadas en atributos en la vida real.
En este proyecto, el principal objetivo consiste en estudiar diferentes protocolos de revo-
caci(cid:19)on e incorporarlos a un esquema de una (cid:12)rma RSA basada en atributos ya existente.
Para poder alcanzar estos objetivos, dos protocolos fueron elegidos entre los disponibles
en la literatura existente, teniendo en cuenta la e(cid:12)ciencia de los protocolos existentes y
la necesidad de que el protocolo haya sido construido de manera an(cid:19)onima: el usuario no
puede revelar su identidad en el momento de probar que (cid:19)el no est(cid:19)a en la lista de revo-
caci(cid:19)on.
El primer protocolo est(cid:19)a basado en un argumento de evaluaci(cid:19)on de polinomios, y una de
sus principales ventajas es que tiene coste de comunicacio(cid:19)n logar(cid:19)(cid:16)tmica en el nu(cid:19)mero de
usuarios revocados en contraste con otros protocolos con complejidad cu(cid:19)bica en el mejor
caso, por lo tanto se obtiene un protocolo m(cid:19)as e(cid:12)ciente y adem(cid:19)as su seguridad s(cid:19)olo de-
pende de la conjetura del logaritmo discreto.
El segundo protocolo est(cid:19)a basado en un protocolo para situaciones especiales cuando los
elementos en la lista de revocaci(cid:19)on son nu(cid:19)meros coprimos dos a dos, como en la (cid:12)rma
basada en atributos los elementos son primos, este protocolo fue considerado como una
buena posibilidad. Mientras se estaba demostrando la solidez del protocolo nos dimos
cuenta que el protocolo original no era seguro porque encontramos un ataque (que est(cid:19)a
descrito en el proyecto). Por lo tanto, un nuevo protocolo seguro fue disen~ado que sirve
para la (cid:12)rma basada en atributos.
Finalmente, los protocolos previos fueron han sido incorporados a la (cid:12)rma RSA basada
en atributos existente, y las dos (cid:12)rmas resultantes han sido analizadas en t(cid:19)erminos de la
e(cid:12)ciencia del coste de comunicacio(cid:19)n. El segundo protocolo se demuestra que siempre es
m(cid:19)as e(cid:12)ciente que el primero, incluso en el caso de un solo usuario revocado.

Notation
N Natural numbers
Z Integer numbers
N =PQ RSA modulus
ϕ((cid:1)) Euler Function
Z(cid:3) Set of integers less than N and relative prime to N
N
QR(N) Set of quadratic residues modulo N
RSA.Inst RSA generated probabilistic algorithm
neg((cid:1)) Negligible function
A Polynomial time adversary
PKf(cid:1)g Zero-Knowledge Proof of Knowledge
P Prover
V Veri(cid:28)er
H Hash function
S Probability space
c Pedersen commitment of x
x
x S Chosen at random according to S
R
P Set of Attributes
(P;(cid:0)) Signing Policy
(cid:20);(cid:13) ;(cid:13) 2N Security parameters
1 2
∆ Set of integers in the interval [2(cid:13)1 (cid:0)2(cid:13)2 +1;2(cid:13)1 +2(cid:13)2 (cid:0)1]
O() Communication complexity
L Revocation list