En criptografía, unha sinatura de anel é un tipo de sinatura dixital que pode realizar calquera membro dun conxunto de usuarios que posúen, cada un deles, chaves. Polo tanto, unha mensaxe asinada cunha sinatura de anel está avalada por alguén dun conxunto concreto de persoas. Unha das propiedades de seguridade dunha sinatura de anel é que debe ser computacionalmente inviable determinar cal das chaves dos membros do conxunto se empregou para producir a sinatura. Na modalidade básica, as sinaturas de anel son semellantes ás sinaturas de grupo, pero difiren en dous aspectos fundamentais: non inclúen un procedemento para revogar o anonimato dunha sinatura individual e permiten escoller o conxunto de posibles asinantes sen unha configuración adicional do grupo.
Ron Rivest, Adi Shamir e Yael Tauman Kalai formalizaron a noción de sinatura de anel e presentaron unha construción en ASIACRYPT en 2001, recoñecendo antecedentes relacionados. Os autores explicaron o nome pola imaxe dun anel cunha periferia uniforme e sen centro, en contraste cun grupo cun administrador; a súa construción tamén ten unha estrutura circular.
Definición No esquema xeral descrito por Rivest, Shamir e Tauman, cada participante dispón dunha chave pública e dunha chave privada . Un anel é unha lista de posibles asinantes. O esquema define dous procedementos:
Sinatura (ring-sign): produce unha sinatura σ a partir da mensaxe m, das chaves públicas , do índice s e da chave privada do asinante. Verificación (ring-verify): comproba a mensaxe m e a sinatura σ, que inclúe as chaves públicas dos posibles asinantes, e devolve un resultado de aceptación ou rexeitamento.
Unha sinatura xerada correctamente debe verificarse. Ademais, o esquema debe resistir a creación de sinaturas válidas por quen non posúe ningunha das chaves privadas do anel e protexer a identidade do asinante. O anonimato pode ser computacional ou incondicional segundo a construción; a construción orixinal ofrece anonimato incondicional no seu modelo.
O asinante pode formar o anel coas chaves públicas dispoñibles sen solicitar aos demais participantes que colaboren na xeración da sinatura. Isto distingue o modelo básico dos esquemas de sinatura de grupo que requiren unha organización previa.
Aplicacións e modificacións miniatura|upright=1.5|alt=Diagrama circular de operacións de cifraxe e XOR, con entradas procedentes das chaves públicas do anel.|Ilustración do esquema de sinatura de anel de Rivest, Shamir e Tauman. A figura emprega unha notación distinta da do texto.
No artigo orixinal, Rivest, Shamir e Tauman describiron as sinaturas de anel como un xeito de revelar un segredo: un membro dun goberno podería enviar unha filtración asinada a un xornalista a través dunha canle anónima sen identificar que membro a enviou. Moneropedia ilustra esta idea cun «alto cargo da Casa Branca». O grupo de posibles asinantes pode improvisarse e o esquema básico non inclúe un administrador capaz de revogar o anonimato.
Outra aplicación, tamén descrita no artigo orixinal, é a das sinaturas repudiables. Neste caso, o emisor e o destinatario dunha mensaxe forman o anel. O destinatario, que sabe que non asinou a mensaxe, pode atribuírlla ao emisor. Un terceiro pode verificar a sinatura de anel, pero non determinar se a creou o emisor ou o propio destinatario. Así, o destinatario non pode presentar esa sinatura como proba transferible de que a mensaxe procede do emisor.
Tamén se propuxo o uso de sinaturas de anel para ocultar que nó dunha rede de sensores comunica un evento e dificultar así a inferencia da súa localización. Publicación anticipada en decembro de 2012; vista previa editorial, páxinas 1–2.
Houbo diversos traballos que introduciron novas características e se basearon en supostos diferentes:
Sinaturas de anel de limiar Como nunha sinatura de limiar de «t de n», polo menos t usuarios colaboran no protocolo de sinatura. A sinatura de anel de limiar acredita esa colaboración sen revelar o subconxunto concreto que asinou e permite formar o anel a partir das chaves públicas existentes. Para índices distintos , os participantes empregan as chaves privadas , a mensaxe m e as chaves públicas para producir unha sinatura de anel (t, n). Sinaturas de anel vinculables A propiedade de vinculabilidade permite relacionar sinaturas producidas coa mesma chave privada, mantendo protexida a identidade do asinante. O alcance da vinculación depende do esquema e pode restrinxirse a un mesmo anel ou contexto. Unha aplicación é a detección de votos repetidos. Vista previa editorial, páxinas 614–615. Sinatura de anel rastrexable No esquema de Fujisaki e Suzuki, cada sinatura está asociada a unha etiqueta formada polo anel e un asunto, como unha elección. Dúas sinaturas coa mesma chave privada e a mesma etiqueta poden vincularse; se corresponden a mensaxes distintas, ademais revélase a chave pública do asinante. Repetir a mesma mensaxe non provoca esa revelación, e as sinaturas de etiquetas distintas non se vinculan. Os autores propoñen aplicacións á votación electrónica e a sistemas elementais de diñeiro electrónico fóra de liña. Copia do informe ePrint 2006/389, revisada o 7 de marzo de 2007.
Eficiencia No esquema orixinal, o tamaño da sinatura medra linealmente co número n de membros do anel: a súa orde asintótica é . Este custo aumenta ao empregar aneis grandes; os autores consideraban práctica a súa construción para aneis de centos de membros. Ademais, unha representación que enumere explicitamente todos os membros precisa espazo lineal para esa lista. CryptoNote emprega nos pagamentos entre pares unha adaptación do esquema de Fujisaki e Suzuki, con sinaturas de tamaño , para ocultar que membro do anel autoriza o gasto. Non implementa sen modificacións toda a propiedade de rastrexabilidade do esquema orixinal: utiliza imaxes de chave para detectar o dobre gasto.
Tamén se desenvolveron esquemas con sinaturas máis pequenas. Fujisaki publicou en 2012 unha construción de tamaño sublineal, , sen oráculos aleatorios pero cunha cadea de referencia común. Resumo editorial. Au, Liu, Susilo e Yuen propuxeron en 2006 un esquema baseado na identidade no que o tamaño da sinatura é independente do número de membros do anel. Esta propiedade refírese á sinatura, non á lista de identidades nin a todos os parámetros ou custos do sistema. Manuscrito conservado no repositorio da Universidade de Wollongong.
Implementación Esquema orixinal O artigo orixinal describe un esquema de sinatura de anel baseado en RSA, así como unha variante baseada en Rabin. No esquema RSA, cada chave pública define a permutación . Estas permutacións esténdense a un dominio común de palabras de b bits, con para todos os membros. Se , con , a extensión é:
Os autores propoñen escoller b suficientemente maior que o tamaño dos módulos para que a proporción de entradas da segunda rama sexa desprezable. A «función de combinación» con chave toma unha chave , un valor de inicialización e os valores , todos estes últimos no dominio común. Unha función é unha permutación con porta trampa, non a propia chave pública.
A función baséase nunha función de cifraxe simétrica , que debe ser unha permutación das palabras de b bits e permitir o cálculo da inversa coa chave k:
Produce un único valor . A condición , chamada ecuación do anel, forza que o valor final coincida co inicial. Fixados os demais valores, pódese resolver para calculando cara adiante desde v e cara atrás desde o valor final, coa inversa de . O asinante emprega despois a súa chave privada para obter . A resistencia á falsificación do esquema analízase baixo os supostos das permutacións con porta trampa e dos oráculos empregados, non se deduce unicamente da posibilidade de pechar a ecuación.
Xeración da sinatura A xeración dunha sinatura de anel consta de seis pasos. A mensaxe denótase por e as chaves públicas do anel por .
Calcular a chave mediante unha función hash criptográfica. A análise de seguridade modela como un oráculo aleatorio e a cifraxe como unha permutación aleatoria accesible en ambos os sentidos. Escoller un valor de enlace uniformemente ao azar entre as palabras de b bits. Escoller valores uniformes e independentes nese mesmo dominio para os membros do anel agás o asinante ( calcularase coa súa chave privada) e calcular os correspondentes . Resolver a ecuación do anel para . Calcular coa chave privada do asinante: . A sinatura de anel é agora a tupla de elementos .
Verificación da sinatura A verificación da sinatura consta de tres pasos.
Aplicar a función con porta trampa da chave pública a todos os : . Calcular a chave simétrica . Verificar que se cumpre a ecuación do anel .
Criptomoedas Monero emprega sinaturas de anel para ocultar que entrada dun conxunto corresponde ao gasto autorizado. O informe de Quarkslab de 2018 distingue este uso das probas de intervalo que protexen os importes: a substitución destas últimas por Bulletproofs non equivale á substitución de todas as sinaturas de anel do sistema. Informe 18-06-439-REP, versión 1.2; o rexistro de versións indica publicación o 22 de outubro de 2018.
Notas
Véxase tamén Outros artigos Probas con testemuñas indistinguibles Round-robin (documento)
Categoría:Criptografía