14、抗泄漏伪随机生成器的安全性分析

抗泄漏伪随机生成器的安全性分析

在密码学领域，伪随机生成器（PRG）的安全性至关重要，尤其是在面对侧信道攻击时。本文将深入探讨不同PRG的安全性，分析其理论和实践方面的特点。

与经典密码分析的类比

在对不同PRG进行安全分析之前，有必要强调当前情况与经典（如线性、差分）密码分析的相似性。在经典密码分析中，我们通过考虑现有的最佳攻击来评估密码的安全性。同样，局部和全局的对策并非相互矛盾，我们既需要知道如何设计泄漏较少的实现，也需要了解如何利用这些实现来提供良好的密码学特性。

例如，AES Rijndael设计中使用的宽轨迹策略是一种针对线性/差分攻击的局部对策，而证明加密模式在其底层分组密码与伪随机置换不可区分时是安全的，则是一种更全局的方法。类似地，掩码和隐藏等对策可以用于设计泄漏有限的实现，进而用于安全的PRG或其他构造中。

抗泄漏PRG的挑战与解决方案

构建抗侧信道攻击的PRG的一个有吸引力的解决方案是考虑前向安全原语。然而，在建模泄漏函数时存在一个难题，即“未来计算攻击”。在这种攻击中，攻击者可以自适应地选择每个迭代中泄漏的λ位，直到完全揭示某个状态，从而破坏方案的安全性。

但从物理现实来看，这种攻击显然高估了侧信道攻击者的能力。实际上，泄漏函数通常不是由攻击者任意选择的，而是目标设备的一个特征，并且泄漏函数不会泄露关于未来计算的信息。针对这种不现实的攻击，我们可以采取以下三种不同的立场：
1. 更强的假设 ：例如，在理想密码模型中，PRG的任何迭代输出都是均匀随机的，并且一个状态的计算不会泄露关于未来状态的信息。
2. 保持现有模型