Maffiabluff

Maffiabedrägeriattack är ett av sätten som nollkunskapsbevis missbrukas .  Denna metod beskrevs först av Yvo Desmedt [1 ] . Metoden fick sitt namn tack vare uttalandet av Adi Shamir [2] , som han gjorde under diskussionen om Faig-Fiat-Shamirs nollkunskapsidentifieringsprotokoll [3] :  

Jag kan gå till en maffiaägd butik en miljon gånger i rad och de kan fortfarande inte efterlikna mig.

Originaltext  (engelska)[ visaDölj] Jag kan gå till en maffiaägd butik en miljon gånger i rad och de kommer fortfarande inte att kunna framställa sig själva som mig.

Men i själva verket är sådant bedrägeri möjligt.

Beskrivning

Låt det vara 4 deltagare: A , B , C , D . Dessutom samarbetar B och C med varandra ("tillhör samma maffia"). A bevisar sin identitet för B och C vill imitera A framför D. Vanligtvis beskrivs bedrägeri enligt följande: B äger en restaurang som ägs av maffian, C  är också en representant för maffian, D  är juvelerare. A och D är omedvetna om det kommande bedrägeriet. I samma ögonblick som A är redo att betala för middagen och identifierar sig för B , meddelar B C om starten på bluffen. Detta är möjligt på grund av närvaron av en radiokanal mellan dem. Vid denna tidpunkt väljer C den diamant han vill köpa, och D börjar identifiera C (egentligen A ). C skickar en protokollfråga till B , som i sin tur ställer den till A. Svaret sänds i omvänd ordning. Således kommer A att betala inte bara för middag, utan också för en dyr diamant [4] .

Som framgår av ovanstående finns det vissa krav för sådant bedrägeri. Till exempel måste ögonblicken när A börjar bevisa sin identitet för B och C  till D synkroniseras exakt [2] .

Maffians bedrägeri är användbart i situationer där man behöver attackera ett system där autentiseringen är framgångsrik endast om bevisaren är i närheten av den förtroende parten, och framgångsrik autentisering tillåter bevisaren att få någon tjänst som tillhandahålls av den förtroende parten [5] .

Applikationsexempel

Sätt att förhindra

Maffia-utförda bedrägeriförebyggande tekniker, med hjälp av så kallade avståndsgränsande protokoll, citerades först i Stefan Brands och David Chaums arbete. Denna teknik används när en av parterna som interagerar enligt något kryptografiskt protokoll behöver veta att den andra parten inte befinner sig på mer avstånd än ett visst. Om en person till exempel använder ett elektroniskt märke vid entrén till en byggnad, måste autentiseringssystemet fastställa att personen inte befinner sig mer än ett visst avstånd från entrén. Enligt Brands och Chaum är grundelementet i ett avståndsbegränsat protokoll enkelt. Den bygger på principen utmaning-svar . Det finns k omedelbara bitbyten ("snabba bitbyten") mellan deltagarna P och V , P ("Prover") är den som bevisar sin kunskap, V ("Verifier") är den som verifierar äktheten av det P bevisar . Parametern k är en hemlig protokollparameter. Bitutbytet är momentant i den meningen att P , efter att ha tagit emot en bit från V , skickar en svarsbit omedelbart [8] .


Ett exempel på ett avståndsbegränsat protokoll

Ett av de vanliga avståndsbegränsade protokollen är protokollet från Gerhard P. Hancke och Markus G. Kuhn [9] , som används flitigt i RFID-system [10] . I det första steget av protokollet utbyter P (Prover) och V (Verifier) ​​slumpmässigt genererade engångskoder ( Nonce ) (det vill säga P och V genererar och sänder bitsekvenser respektive ). Båda parter beräknar sedan samma bitsekvenser och använder en pseudo-slumpmässig funktion (vanligtvis en MAC eller kryptografisk hashfunktion ), dvs här är K  en hemlig nyckel som är känd för båda parter. Därefter görs en serie av n momentana bitbyten mellan de två parterna. I varje enskilt utbyte skickar V en bit (”utmaning”) till provaren P . Om denna bit är 0, kommer P att skicka bitnummer i från sekvensen som ett svarsmeddelande . Om det är lika med 1, kommer svarsmeddelandet att vara bitnummer i från sekvensen . I sin tur, efter varje bitutbyte, kontrollerar V alla mottagna meddelanden för korrekthet, och jämför också tiden som förflutit från det ögonblick då meddelandet skickades till det ögonblick då svarsbiten togs emot, med ett visst inställt värde t . Om alla mottagna meddelanden och tider är korrekta anses utbytet vara framgångsrikt [11] .

För att utföra en attack byggs angriparen in i detta schema och innan V skickade meddelandet gissar han motsvarande bit och skickar det sedan omedelbart till sidan P . När angriparen får ett meddelande från P jämför han och . Om bitarna matchar (sannolikheten för en matchning är 1/2) kommer angriparen att skicka rätt meddelande till verifieraren V , i den återstående hälften av fallen när bitarna inte matchade försöker bedragaren gissa värdet nu och skickar den till V . Sannolikheten för att en angripare ger rätt värde är alltså 3/4. För n -bitars utbyten får vi att sannolikheten för en lyckad attack är [10] .

Sedan publiceringen av Hanke och Kuhns arbete har flera lösningar föreslagits för att öka effektiviteten i protokollet, till exempel föreslog Tu (Yu-Ju Tu) och Piramuthu (Selwyn Piramuthu) sitt avståndsbegränsade protokoll, som använder några av de principerna för Hanke och Kuhn-protokollet, men tillåter att minska sannolikheten för en framgångsrik attack är upp till 9/16 (för ett utbyte av bitar) [12] .

Andra sätt

  1. Identifiering måste ske i en Faraday-bur . Om det finns en Faraday-bur i juvelerarens butik, kommer maffiosterna inte att kunna utbyta meddelanden [2] .
  2. Ivo Desmedt och Thomas Beth ( engelska  Thomas Beth ) föreslog användningen av exakta klockor. Om varje steg i protokollet äger rum inom den exakta tidsperioden, kommer maffian helt enkelt inte att ha tid att skicka meddelanden till varandra. Det bör också beaktas att meddelanden mellan provaren och bekräftaren inte överförs omedelbart, utan med viss fördröjning. Denna fördröjning beror på att ljusets hastighet inte är oändlig, så tiden som spenderas på överföringen av meddelanden är lika med , där l  är avståndet mellan sidorna och c  är ljusets hastighet [13] .

Andra missbruk av Zero-Knowledge Proof

En intressant förlängning av maffia-utförda bedrägerier är attacken "terroristbedrägeri" [5] . I denna typ av attack är angriparen A (motståndaren) och bevisaren i maskopi, det vill säga bevisaren P är en oärlig deltagare i interaktionen (oärlig bevisare). P använder bedragarens hjälp för att bevisa för den förtroende parten V att han är i närheten. Angriparen känner inte till värdet på den hemliga nyckel som innehas av P . Detta är inte förvånande, eftersom A vanligtvis i praktiken  är en liten enhet som har viss processorkraft och minne. Denna enhet måste placeras nära V (förtroende part). Bevisaren har inte full kontroll över angriparen, så P kan inte lita på enhet A med sitt lösenord . Annars kan till exempel någon annan bedragare attackera enheten, få tag på den hemliga nyckeln som tillhör P , och imitera P [14] .

Det främsta sättet att förhindra bedrägeri som utförs av terrorister är också användningen av avståndsbegränsade protokoll. Dock kommer inte alla fjärrbegränsade protokoll som är tillämpliga vid maffia-utförda bedrägerier att hjälpa till att undvika en sådan attack. Till exempel är Hanke och Kuhn-protokollet som nämns ovan sårbart för terroristbedrägeri. Protokollets bevisande part, belägen långt från verifieraren V , kan helt enkelt överföra de beräknade sekvenserna och till angriparen, belägen nära V . Då kommer bedragaren att kunna svara korrekt på begäranden från den verifierande deltagaren, samtidigt som han håller sig inom tidsramen. Det är värt att notera att även med sekvenser av bitar och , kommer en angripare inte att kunna imitera P i framtiden , eftersom han inte känner till den hemliga nyckeln, och sekvenserna och är engångs [15] . Ett av de välkända avståndsbegränsade protokollen som är tillämpliga för att förhindra bedrägeri utförda av terrorister är till exempel Reid et al.s protokoll [15] .

Det finns flera andra metoder för missbruk av noll-kunskapsbevis, såsom multipersonligt bedrägeri och stormästarproblemet [16] .

Anteckningar

  1. ↑ Desmedt, 1988 .
  2. ↑ 1 2 3 Bengio, Brassard, Desmedt et al., 1991 .
  3. ↑ Feige, Fiat, Shamir, 1988 .
  4. ↑ Schneier, 2003 , sid. 93.
  5. ↑ 1 2 Singlelee, Preneel, 2005 .
  6. ↑ Zhang, Kitsos, 2009 , sid. 151-156.
  7. ↑ Alkassar, Stuble, 2002 .
  8. ↑ Brands, Chaum, 1994 , sid. 344-359.
  9. ↑ Hancke och Kuhn, 2005 , sid. 67-73.
  10. ↑ 1 2 Chong Hee Kim et al, 2008 , sid. 98-115.
  11. ↑ Singlelee et al, 2007 , sid. 101-115.
  12. ↑ Tu, Piramuthu, 2007 .
  13. ↑ Beth, Desmedt, 1991 .
  14. ↑ Cremers et al, 2012 .
  15. ↑ 12 Reid et al, 2007 .
  16. ↑ Schneier, 2003 , sid. 92.

Litteratur