Shannon理论——笔记1

Shannon理论——笔记1

引言

• 我们知道有这样几个评价密码体制安全性的常用的准则：
  • 计算安全性
  • 可证明安全性
  • 无条件安全性
• 其中无条件安全性允许无限的计算资源、无限的计算时间，所以不能用计算复杂性的观点来研究。
• 研究无条件安全性的合适框架是概率论，我们将在后文进行讨论

概略

• Shannon的思想对密码学的研究产生了巨大影响，那么这些究竟意味什么呢
• 本文主要打算介绍如下概念、思想
  • 完善保密性
  • 熵
  • 伪密钥和唯一解距离
  • 乘积密码体制

完善保密性

• 通俗地讲，完善保密性就是说攻击者Oscar不能通过观察密文获得明文的任何信息
  • 推测明文为某种情况的概率不会因为知道密文而改变

定义：
一个密码体制具有完善保密性，如果对于任意的$x\in \mathcal{P}$和$y\in \mathcal{C}$，都有$Pr[x|y]=Pr[x]$。也就是说，给定密文$y$,明文$x$的后验概率等于明文$x$的先验概率

• 一般的完整保密性
  • 对于任意固定的$x\in \mathcal{P}$。由Bayes定理，有：对每个$y\in \mathcal{C}$，我们有$Pr[y|x]=Pr[y]>0$（概率为零的情况可以直接从定义域中去掉）。
    • 也就是说，在完善保密密码体制下，对于某固定明文，密文有限集中的任意元素都存在是由此明文被加密后的结果的可能
  • 因此，对于每个$y\in \mathcal{C}$，一定至少存在一个密钥$K$，满足$e_k(x)=y$。这样就有$|\mathcal{K}|\ge |\mathcal{C}|$。
  • 又因为在任意一个密码体制中，加密函数是单射的，所以一定有$|\mathcal{C}|\ge |\mathcal{P}|$。
  • 于是我们得到
    • 在一个完善保密密码体制中，$|\mathcal{K}|\ge |\mathcal{C}|\ge |\mathcal{P}|$
• 需要注意的是，上一步讨论的是完善保密密码体制所具备的必要条件，并不能作为判定依据
• 关于判定依据，当$|\mathcal{K}|=|\mathcal{C}|=|\mathcal{P}|$时，Shannon最早提出了一个性质：

定理
假设密码体制$(\mathcal{P},\mathcal{C},\mathcal{K},\mathcal{E},\mathcal{D})$满足$|\mathcal{K}|=|\mathcal{C}|=|\mathcal{P}|$。该密码体制是完善保密的$⟺$每个密钥被使用的概率都是$\frac{1}{|\mathcal{K}|}$，并且$\forall x\in \mathcal{P}andy\in \mathcal{C},\exists !K,s.t.e_K(x)=y$

熵

• 度量信息不确定性
  • 值越大，表示的不确定性越大
• 对于随机变量X，其熵表示为H(X)

定义
假设随机变量$\mathbf{X}$在有限集合X上取值，则随机变量$\mathbf{X}$的熵定义为$$H(\mathbf{X})=-\sum _{x\in X}\mathrm{P}\mathrm{r}[\mathrm{x}]\mathrm{l}\mathrm{b}\mathrm{P}\mathrm{r}[\mathrm{x}]$$

• 比如当X只有一种可能取值时（即取该值的概率为1），其熵为0

熵的性质

• $0\le H(\mathbf{X})\le \mathrm{l}\mathrm{b}n,其中n=|X|$
  • 可由Jenson不等式证得
• $H(\mathbf{X},\mathbf{Y})\le H(\mathbf{X})+H(\mathbf{Y})$，当且仅当$\mathbf{X},\mathbf{Y}$统计独立时等号成立

定义
假设$\mathbf{X},\mathbf{Y}$是两个随机变量。对于$\mathrm{Y}$的任何固定值y,得到一个$\mathrm{X}$上的条件概率分布；记相应的随机变量为$\mathbf{X}|y$，显然$$H(\mathbf{X}|y)=-\sum _x\mathrm{P}\mathrm{r}[\mathrm{x}|\mathrm{y}]\mathrm{l}\mathrm{b}\mathrm{P}\mathrm{r}[\mathrm{x}|\mathrm{y}]$$定义条件熵$H(\mathbf{X}|\mathbf{Y})$为熵$H(\mathbf{X}|y)$取遍所有y的加权平均值。计算公式为$$H(\mathbf{X}|\mathbf{Y})=-\sum _y\sum _x\mathrm{P}\mathrm{r}[\mathrm{y}]\mathrm{P}\mathrm{r}[\mathrm{x}|\mathrm{y}]\mathrm{l}\mathrm{b}\mathrm{P}\mathrm{r}[\mathrm{x}|\mathrm{y}]$$条件熵度量了$\mathbf{Y}$揭示的$\mathbf{X}$的平均信息量

• $H(\mathbf{X},\mathbf{Y})=H(\mathbf{Y})+H(\mathbf{X}|\mathbf{Y})\le H(\mathbf{Y})+H(\mathbf{X})$等式成立当且仅当$\mathbf{X},\mathbf{Y}$统计独立

伪密钥和唯一解距离

预备知识

密钥含糊度

$H(\mathbf{K}|\mathbf{C})$：度量了给定密文下密钥的不确定性

• $\mathbf{H}(\mathbf{C}|\mathbf{K},\mathbf{P})=0$
  • 因为密钥和明文唯一决定密文
• $\mathbf{H}(\mathbf{P}|\mathbf{K},\mathbf{C})=0$
  • 因为密钥和密文唯一决定明文
• $\mathbf{K},\mathbf{P}$是统计独立的$⟹H(\mathbf{K},\mathbf{P})=H(\mathbf{K})+H(\mathbf{P})$
  • 因为密钥是在Alice知道明文之前选取的，所以可以合理地假设密钥、明文是统计独立的随机变量
• 值得注意的是，尽管密钥和密文唯一决定明文，但我们并不能像上一步那样认为$\mathbf{K},\mathbf{C}$是统计独立的

定理
设$(\mathcal{P},\mathcal{C},\mathcal{K},\mathcal{E},\mathcal{D})$是一个密码体制，那么$$H(\mathbf{K}|\mathbf{C})=H(\mathbf{K})+H(\mathbf{P})-H(\mathbf{C})$$

伪密钥

• 密码分析的基本目的是确定密钥
• 考虑唯密文攻击，对于Oscar而言，它可以得到多个密钥
  • 通过这些密钥对某些明文加密得到Oscar所唯一知道的密文，这一过程在计算上是可行的
  • 但这样的明文不一定都有意义，很多可能只是杂乱的字母的组合而已，这部分对应的密钥可直接被Oscar排除
  • 但仍可能会有多个密钥，其对应明文在一个语言体系下都是有意义的，并非杂乱的字母组合
• 在这些密钥中，只有一个密钥是正确的
• 那些可能的但不正确的密钥称为 伪密钥

唯一解距离

定义
一个密码体制的唯一解距离定义为使得伪密钥的期望数等于零的$n$的值，记为$n_0$，即在给定的足够的计算时间下分析者能唯一计算出密钥所需密文的平均值

• 可以看出，伪密钥的存在对密文的破译造成了障碍

• 伪密钥数越小，破译自然越方便

• 所以我们的目的就是推导伪密钥的期望数的下界

  • 为什么是期望数？
    • 因为所拥有密文的不同会造成伪密钥数的不同
    • 所以对所有这些值的期望的描述才能更好地描述背后的密码体制

• 伪密钥的期望数如何表示？

  • 给定$y\in {\mathcal{C}}^n$，定义$$K(y)=\{K\in \mathcal{K}:\exists x\in {\mathcal{P}}^n,s.t.\mathrm{P}\mathrm{r}[\mathrm{x}]>0,e_k(x)=y\}$$
    • 即$K(y)$是密文为$y$的可能密钥的集合
      • 这里可能的含义需要格外注意
        • 在这些密钥下$y$对应的明文有意义
        • 否则对应密钥可以直接被排除，便无所谓可能了
  • 于是$y$对应的伪密钥数目为 $$|K(y)|-1$$
  • 伪密钥的平均数目(期望)为$$\begin{array}{rl}\overline{s_n}& =\sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}](|K(y)|-1)\\ & =\sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]|K(y)|-\sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]\\ & =\sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]|K(y)|-1\end{array}$$

• 如前所述，唯一解距离为使得$\overline{s_n}=0$的$n$的值

• 想要找到这个$n_0$，就要考虑$\overline{s_n}$与$n$之间的关系

• 如何建立与$n$的联系？

  • 回顾$\overline{s_n}$的关系式
    • 其与每个密文y的概率以及y下可能密钥集的大小有关
    • 而由前述知识，密钥集大小$|K(y)|$的对数是熵$H(\mathbf{K}|y)$的上限
      • 这为我们提供了一条向外建立联系的思路
    • 联立：$$\begin{array}{rl}\overline{s_n}+1=& \sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]|K(y)|\\ & \sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]H(\mathbf{K}|y)=H({\mathbf{K}|\mathbf{C}}^n)\end{array}$$
  • 于是$$\begin{array}{rl}H({\mathbf{K}|\mathbf{C}}^n)& =\sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]H(\mathbf{K}|y)\\ & \le \sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]\mathrm{l}\mathrm{b}|K(y)|\\ & \le \mathrm{l}\mathrm{b}\sum _{y\in {\mathcal{C}}^n}\mathrm{P}\mathrm{r}[\mathrm{y}]|K(y)|\\ & \le \mathrm{l}\mathrm{b}(\overline{s_n}+1)\end{array}$$

• 而由预备知识中定理$$H({\mathbf{K}|\mathbf{C}}^n)=H(\mathbf{K})+H({\mathbf{P}}^n)-H({\mathbf{C}}^n)$$

• 由于自然语言中各字符间并非毫无关联，引入如下概念：

定义
自然语言$L$的的熵(每字母)$$H_L=\underset{n\to \infty }{\lim }\frac{H({\mathbf{P}}^n)}{n}$$
语言L的冗余度定义为$$R_L=1-\frac{H_L}{\mathrm{l}\mathrm{b}|\mathcal{P}|}$$

• 可知$H_L$是属于一种自然语言$L$的固有性质，它度量了这种语言的每个字母的平均熵，一个随机语言具有熵$\mathrm{l}\mathrm{b}|\mathcal{P}|$
  • 同时，这也提供了一种对$H({\mathbf{P}}^n)$的估计
• 有$$\{\begin{array}{l}H({\mathbf{P}}^n)\approx n{H}_L=n(1-R_L)\mathrm{l}\mathrm{b}|\mathcal{P}|\\ H({\mathbf{C}}^n)\le n\mathrm{l}\mathrm{b}|\mathcal{C}|\end{array}$$
• 所以,如果$|\mathcal{C}|=|\mathcal{P}|$有 $$\mathrm{l}\mathrm{b}(\overline{s_n}+1)\ge H({\mathbf{K}|\mathbf{C}}^n)=H(\mathbf{K})+H({\mathbf{P}}^n)-H({\mathbf{C}}^n)\ge H(\mathbf{K})-n{R}_L\mathrm{l}\mathrm{b}|\mathcal{P}|$$
• 考虑等概率选取密钥的情况，此时$H(\mathbf{K})=\mathrm{l}\mathrm{b}|\mathcal{K}|$，有

定理
假设$(\mathcal{P},\mathcal{C},\mathcal{K},\mathcal{E},\mathcal{D})$是一个密码体制，$|\mathcal{C}|=|\mathcal{P}|$并且密钥是等概率选取。设$R_L$表示明文的自然语言的冗余度，那么给定一个充分长（长为n）的密文串，伪密钥的期望数满足$$\overline{s_n}\ge \frac{|\mathcal{K}|}{|\mathcal{P}{|}^{n{R}_L}}-1$$

• 在这种情况下，我们可以得到$$n_0\approx \frac{\mathrm{l}\mathrm{b}|\mathcal{K}|}{R_L\mathrm{l}\mathrm{b}|\mathcal{P}|}$$
  • 这意味着，给定的密文串的长度至少为25时，通常解密才是唯一的
• 至此，关于唯一解距离的求解已经讨论结束
• 值得注意的是，所求结果并不一定准确，而且运算中的符号连接很多都是不等号，但这样的求得的唯一解距离实际上也可以标明一个密码系统的好坏
  • 唯一解距离越长，密码系统越好
  • 当唯一解距离为无穷大时，系统称为理想保密系统
    • 此时Oscar便无法从众多“可能”的密钥中得到真正正确的密钥
    • 而实际上由于自然语言的复杂性，目前没有任何一种分析方法可以做到

乘积密码体制

• 即通过“乘积”组合密码体制