Protocol segur

Els protocols segurs, també cridats protocols de preservació de la privacitat o protocols de preservació de la confidencialitat, són protocols que usen tècniques criptográficas i l'objectiu de la qual és conseguir que entitats colaboren en la seua informació preservant la seua privacitat i confidencialitat. Per tant l'objectiu és realisar còmput (computar una funció) que necessiten de l'informació de les distintes entitats, revelant solament el resultat de dit compute (no l'informació privada de cada entitat).

Al problema de computar qualsevol funció d'una forma segura se li crida computació segura multipartita o SMC (de l'anglés Secure Multiparty Protocol). Quan hi ha exactament dos entitats es diu que es tracta de Computació segura bipartita o 2PC (sigles de l'anglés Secure Two-Party Computation)

Adversaris

Hi ha diferents tipos d'adversaris que tenen que ser considerats quan es creen protocols segurs. Els bàsics són:

• Adversari honest pero curiós o HBC (sigles de l'anglés Honest-But-Curious), també cridats adversaris semi-honests o adversaris passius. L'adversari seguix fidelment el protocol especificat, pero en acabant de que el protocol s'ha completat intentarà deprendre informació adicional sobre atres entrades. Este model no és realiste en moltes ocasions no obstant si un protocol no pot ser desenrollat per a este model simplificat, llavors hi ha molt poques possibilitats de que el protocol puga ser desenrollat per a un model d'adversaris més realiste.
• Adversari maliciós, també cridat adversari actiu. És un tipo d'adversari més realiste que es desvia arbitrariamente del protocol per a obtindre alguna ventaja sobre algun dels participants. Les ventages que l'adversari pot obtindre poden ser per eixemple:
• Deprendre informació adicional sobre l'informació privada de les atres entitats
• Modificar el resultat del protocol
• Abortar el protocol prematurament (potser en acabant de que l'adversari deprenga un resultat parcial per a aixina evitar que uns atres deprenguen el resultat)

Formalisació de 2PC en model HBC

És difícil formalisar de forma general els protocols segurs. Com a eixemple anem a donar la formalisació d'este tipo de protocols més simple, els protocol segurs bipartitos en el model d'adversaris HBC.

Per a que el protocol siga segur tot lo que pot ser computat des del protocol deu poder ser deduït des de l'eixida i un dels valors d'entrada (l'informació privada d'una entitat). Supongam que A i B estan interessats en realisar un protocol per a computar un funció $f$. Este protocol involucar un o més intercanvi de mensages entre A i B. Anem a cridar a estos mensages el transcript del protocol. Este transcript permet verificar que no es revela l'informació que es privada de cada entitat. Més específicament, el transcript dels enviaments d'a B deurien ser computable des del resultat del protocol i l'informació de B. En un atre cas el protocol podria revelar més informació a B que els resultats (anàlogues conclusions podem fer de les transmissions de B a A). Una forma per a conseguir açò és requerir que el transcript de comunicació siga exactament generable des de l'eixida del protocol, pero açò és una llimitació gran. No obstant, si l'adversari és computacionalment llimitat, llavors és suficient generar un transcript que siga tan propenc al transcript real (computacionalment indistinguible) que l'adversari no puga distinguir entre el real i el transcript simulat.

Supongam que A i B tenen respectives entrades $x_A$ i $x_B$ i que al final del protocol A deuria deprendre $f_A(x_A,x_B)$ i B deuria deprendre $f_B(x_A,x_B)$. Notar que en molts casos $f_A$ i $f_B$ són iguals, no obstant es posa per a tindre una definició lo més general possible. Donat un protocol $\Pi$, la vista que A té del protocol (tots els mensages que rep de B) és denotada per $\{vie{w}_B^{\Pi }(x_A,x_B){\}}_{x_A,x_B\in \{0,1{\}}^{*}}$ i la vista que B té del protocol és denotada per $\{vie{w}_A^{\Pi }(x_A,x_B){\}}_{x_A,x_B\in \{0,1{\}}^{*}}$.

El protocol $\Pi$ es diu que és segur en el model HBC si existixen algoritmes de simulació en temps polinomial provabilístic, $S_A$ i $S_B$, tal que:

• $\{S_A(x_A,f_A(x_A,x_B)){\}}_{x_A,x_B\in \{0,1{\}}^{*}}$ i $\{vie{w}_A^{\Pi }(x_A,x_B){\}}_{x_A,x_B\in \{0,1{\}}^{*}}$ són computacionalment indistinguibles.
• $\{S_B(x_B,f_B(x_A,x_B)){\}}_{x_A,x_B\in \{0,1{\}}^{*}}$ i $\{vie{w}_B^{\Pi }(x_A,x_B){\}}_{x_A,x_B\in \{0,1{\}}^{*}}$ són computacionalment indistinguibles.

Observar que esta definició establix que existix un algoritme eficient que pot simular tots els mensages enviats per B quan solament es té les entrades d'i l'eixida. Anàloga conclusió es pot traure la per a l'atre sentit. Aixina que qualsevol cosa depresa del protocol té que ser també aprendible des del resultat, i per tant el protocol revela solament el resultat i inferència derivades des del propi resultat