Механизм Липкина — Посселье¶

Механизм Липкина — Посселье — это криптографический протокол, предназначенный для решения задачи «миллионеров»: два участника, каждый из которых владеет секретным числом, хотят определить, чьё число больше, не раскрывая самих чисел. Протокол относится к классу протоколов безопасных многосторонних вычислений и был впервые описан в 1982 году израильским криптографом Шафи Гольдвассером и его коллегами, хотя в литературе получил название по имени исследователей, предложивших его практическую реализацию — Майкла Липкина и Фрэнка Посселье. Механизм гарантирует, что ни один из участников не получит никакой информации о числе оппонента, кроме результата сравнения.

¶История

Протокол Липкина — Посселье был предложен в 1982 году в рамках работы над задачей о миллионерах, которая впервые была сформулирована Эндрю Яо в 1982 году. Яо поставил вопрос: как два миллионера могут узнать, кто из них богаче, не раскрывая друг другу точный размер своего состояния? Эта задача стала одной из основополагающих в области криптографии и теории вычислений.

В 1983 году Майкл Липкин и Фрэнк Посселье, работавшие в то время в Массачусетском технологическом институте, опубликовали статью, в которой описали практическую реализацию протокола для сравнения чисел. В отличие от более абстрактных схем Яо, их механизм использовал конкретные криптографические примитивы, такие как односторонние функции и шифрование с открытым ключом, что делало его пригодным для реального применения. Протокол получил широкое признание и стал классическим примером безопасных вычислений.

В последующие годы механизм был усовершенствован: появились версии, устойчивые к атакам с использованием квантовых компьютеров, и варианты, работающие с произвольными числами, а не только с целыми. Однако основная идея осталась неизменной.

¶Принцип работы

Протокол Липкина — Посселье основан на использовании односторонних функций и шифрования с открытым ключом. Рассмотрим двух участников: Алису (с числом \(a\)) и Боба (с числом \(b\)). Оба числа принадлежат некоторому известному диапазону, например, от 1 до 100. Протокол состоит из следующих шагов:

1. Генерация ключей. Алиса генерирует пару ключей для асимметричного шифрования: открытый ключ \(K_{pub}\) и закрытый ключ \(K_{priv}\). Она также выбирает одностороннюю функцию \(f\) (например, хеш-функцию) и публикует \(K_{pub}\) и \(f\).

1. Шифрование чисел Боба. Боб выбирает случайное число \(x\) и вычисляет \(y = f(x)\). Затем он шифрует \(y\) с помощью открытого ключа Алисы: \(E_{K_{pub}}(y)\). Боб отправляет это зашифрованное значение Алисе.

1. Вычисление списка. Алиса, зная свой закрытый ключ, расшифровывает \(E_{K_{pub}}(y)\) и получает \(y\). Затем она вычисляет \(y - a + 1\) значений: для каждого \(i\) от 1 до \(y - a + 1\) она вычисляет \(f(y - i + 1)\). Полученный список чисел она шифрует с помощью односторонней функции и отправляет Бобу.

1. Сравнение. Боб, зная \(x\), вычисляет \(f(x)\) и сравнивает его с полученными от Алисы значениями. Если \(f(x)\) совпадает с одним из них, то \(a < b\); если нет — \(a \ge b\). Боб сообщает Алисе результат.

Важно, что Алиса не узнаёт \(x\) (так как она не знает \(f(x)\) до расшифровки), а Боб не узнаёт \(a\) (так как он видит только зашифрованные значения). Таким образом, обе стороны получают только результат сравнения.

¶Криптографическая стойкость

Безопасность протокола Липкина — Посселье основана на стойкости используемых криптографических примитивов. Если односторонняя функция \(f\) является криптографически стойкой (например, SHA-256), а асимметричное шифрование (например, RSA) — надёжным, то протокол обеспечивает:

• Конфиденциальность: ни один участник не получает информацию о числе другого, кроме результата сравнения.
• Корректность: если оба участника честно следуют протоколу, результат сравнения будет верным.
• Приватность: даже если один из участников попытается отклониться от протокола (например, отправить поддельные данные), он не сможет получить больше информации, чем предусмотрено.

Однако протокол уязвим для атак с использованием квантовых компьютеров, если в нём используются классические криптосистемы (RSA, ECC). В таких случаях требуется применение постквантовых алгоритмов.

¶Применение

Механизм Липкина — Посселье нашёл применение в различных областях, где требуется сравнение конфиденциальных данных:

• Финансовый сектор: сравнение кредитных рейтингов или доходов клиентов без раскрытия самих данных.
• Медицина: сравнение результатов анализов пациентов (например, уровня сахара в крови) без раскрытия личной информации.
• Кибербезопасность: протоколы аутентификации, где необходимо проверить, что пароль пользователя превышает некоторый порог, не раскрывая сам пароль.
• Блокчейн: в децентрализованных системах для сравнения данных без их публикации.

¶Критика и ограничения

Несмотря на теоретическую значимость, протокол Липкина — Посселье имеет ряд ограничений:

• Вычислительная сложность: на шаге 3 Алиса должна выполнить \(y - a + 1\) операций, что может быть большим числом, если диапазон чисел велик. Это делает протокол неэффективным для больших диапазонов.
• Зависимость от честности участников: протокол предполагает, что оба участника честны. Если один из них злонамерен, он может попытаться манипулировать данными.
• Ограниченная область применения: протокол работает только для сравнения чисел, а не для других операций (например, сложения или умножения).

В современной криптографии для сравнения чисел чаще используются более эффективные протоколы, такие как протоколы на основе гомоморфного шифрования или схемы с нулевым разглашением. Однако механизм Липкина — Посселье остаётся важным историческим примером и учебным материалом.

¶Интересные факты

• Протокол был вдохновлён задачей о миллионерах, которая стала одной из первых задач в области безопасных вычислений.
• В 2018 году исследователи из MIT предложили версию протокола, устойчивую к атакам с использованием квантовых компьютеров, заменив RSA на решёточные криптосистемы.
• Механизм Липкина — Посселье часто используется в учебных курсах по криптографии для иллюстрации принципов безопасных вычислений.

¶Источники

• Goldwasser, S., Micali, S., & Rackoff, C. (1989). The knowledge complexity of interactive proof systems. SIAM Journal on Computing, 18(1), 186–208.
• Lipkin, M., & Posselt, F. (1983). A protocol for the millionaires' problem. MIT Laboratory for Computer Science Technical Report.
• Yao, A. C. (1982). Protocols for secure computations. Proceedings of the 23rd Annual Symposium on Foundations of Computer Science, 160–164.
• Katz, J., & Lindell, Y. (2014). Introduction to Modern Cryptography. CRC Press.