Canettiによって提唱された安全性の新しいパラダイム・単体として保証された安全性が、どのような結合・利用環境でも保持される。・すべての暗号機能の安全性を統一的に定式化するフレームワークを提供する。・UCは今までの暗号安全性理論の修正したものであり、これからの暗号理論の基盤となる。プロトコルの安全性はリアルのプロトコルをイデアルのTTPで実現して、リアルにおけるAに対応するイデアルにおいてシミュレータSを構築できれば、安全ということである。UC安全の場合はリアルとイデアルにそれぞれ同じZがいて、識別できるかどうかで安全性を評価する。これらは全部[[ITM]]。このAがメッセージをコントロール可能。後、セキュリティパラメータkが指定される。リアルライフモデルのプロトコル実行を次に示す。Zは∀パーティーとAの出力テープが読める。∀パーティーとAの入力テープに書き込める。(i)パーティーのアウトゴーイングテープを見る。メッセージはAの入力テープに書かれている。(ii)PSUB{i};にメッセージmをdeliver(配達)する。Piのインカミングテープにメッセージを書き込む。メッセージの送信者をPSUB{j};のIDとする。(iii)PSUB{i};をcorrupt(コラプト)する。Aは現在のPSUB{i};の状態を知ることができる。ZはPSUB{i};がcorruptされたことを知る。この時点からPSUB{i};はactivateされない。Aはいつでも自分で選んだ情報を自分の出力テープに書ける。Aがメッセージをdeliverしたとき、次にそのパーティーがactivateされる。なければ、Zがactivateされる。プログラムに従い、計算を行い、出力テープ、アウトゴーイングテープへ書き込むかもしれない。待ち状態か停止状態になり、Zがactivateされる。[2]Zは{0,1}(全体の出力結果)を出力する。Middle)アタックにおけるアタッカーと近い状況といえるが、Zという強いパートナーもいるのでさらに強力なアタッカーといえる。Aはスパイ(元々敵国のパーティーの一員で、買収されてスパイになっている状態に近い)、Zは司令官で、AとZの間は夢のような完全なやり取りが可能という状況といえる。");:ランダムテープ~とする。このとき、&mimetex("REAL_{\pi,A,Z}(k,z,\vec{r})");と定義する。&mimetex("REAL_{\pi,A,Z}(k,z)");:&mimetex("\vec{r}");が一様に選ばれたときの確率変数と定義する。&mimetex("REAL_{\pi,A,Z}(k,z)");は(π,A,Zに依存する)一種のコインになっているわけである。アンサンブルを次のように定義する。←Aではないことに注意。セキュリティパラメータkが設定されている。funtionality)Fは、情報理論的な意味の安全性を持っていて、次のような特性を持つ。-Fは理想的な信頼できるサービスを提供する。-Fは正当性と秘匿性の両方を同時に捉える。イデアルプロセスモデルのプロトコル実行を次に示す。Zは∀パーティーとSの出力テープが読める。Zは∀パーティーとSの入力テープが書ける。入力テープの値をFのインカミングテープにコピーする。次にFがactivateされる。プログラム(プロトコルの仕事はここだけなので信頼できる)に従い、実行される。パーティーと敵に宛てたアウトゴーイングテープに書き込むことができる。FがSに宛ててメッセージを書いた場合、次にSがそれ以外の場合は直前のパーティーがactivateされる。プログラムに従い、出力テープに情報を書き込むかもしれない。加えて、次のうちひとつを実行する。(i)Sはダミーパーティーのアウトゴーイングテープ、Fのアウトゴーイングテープの宛先を見る。この情報はSのインカミングテープに書き込まれる。(ii)SはメッセージmをFから~PSUB{i};へ配達する。(~PSUB{i};がcorruptされた場合を除き)mの中身は見れない。(iii)センダーSがFのインカミングテープにメッセージmを書き込む。(iv)Sは~PSUB{i};をcorruptする。ZとFは~PSUB{i};がcorruptされたことを知る。FはSに~PSUB{i};の内部状態を送る。これ以降、~PSUB{i};はactivateされない。SはFから~PSUB{i};宛てのメッセージを受け、Fに~PSUB{i};からメッセージを送信することができる。メッセージが~PSUB{i};へ配達されたときは、次に~Pi、それ以外はZが次にactivateされる。メッセージはそのまま出力テープへコピーされる。Zからみると、PSUB{i};、Aがいるのと同じわけだ。[2]Zが1ビット出力する。");:ランダムテープ~とする。このとき、&mimetex("IDEAL_{F,S,Z}(k,z,\vec{r})");:イデアルプロセスのZの出力と定義する。&mimetex("IDEAL_{F,S,Z}(k,z)");:&mimetex("\vec{r}");が一様に選ばれたときの確率変数と定義する。アンサンブルを次のように定義する。リアルライフモデルにおいて∀のAに対応して、イデアルプロセスモデルにおいてのあるSが存在する。∀A、∃Sという順番。リアルライフモデルでρを実行しているAというパーティーと、イデアルプロセスモデルでのSとFの対話を、∀Zがnon-negな確率で区別できないことを、プロトコルρは''イデアルファンクショナリティFを安全に実現している''という。例え話でいうと、スパイAがいて司令官ZがSから報告書をもらった場合と、Zが机の上でシミュレータで得た情報がなんら変わらなければ、Aは実質何の仕事もしていないことである。\bigl\{0,1\bigr\}^{n}}");[考察]同じインデックスから確率変数を持ってきたとき、箱X、箱Yから取ったかわからない状態と同様。\mathbb{N}");~F:イデアルファンクショナリティ~π:n-partyプロトコルこのとき次が成り立つ。そのプロトコルの本質が書かれたHを持っているかもしれない。zは無限から取ってきたかもしれない。長さは多項式長だが、それを作り出す時間は多項式以上かもしれないので、Hが詰まってるかもしれない。[#afa5934a]・ZはIDEALやREALを単に識別するだけでなく、システムに指令を送り、アウトプットをもらえる。能動的な識別子といえる。このモデルはリアルライフモデルとイデアルプロセスモデルを組み合わせたモデルといえる。・FSUB{(sid)};:Fの複数のコピー。SIDがsidのFのコピー。ここで、セキュリティパラメータkが設定されている。F-ハイブリッドモデルのプロトコル実行を次に示す。リアルライフモデルと同様にFSUB{(sid)};にアクセスできない。(i)すべてのパーティーのアウトゴーイングテープを見れる。その情報はHのインカミングテープに書き込まれる。(ii)HはメッセージをパーティーPSUB{i};へ配達できる。(iii)HはF(sid)からのメッセージmをPSUB{i};へ配達できる。メッセージの中身は見れない。(iv)HはメッセージmをFSUB{(sid)};へ配達できる(センダーはH)。(v)HはパーティーPSUB{i};をcorruptできる。HはプロトコルπでのPSUB{i};の状態を知る。すべてのFSUB{(sid)};はPSUB{i};がcorruptされたことを知る。FSUB{(sid)};は追加情報をHに送る。メッセージを配達した場合には、PSUB{i};またはFSUB{(sid)};が次にactivateされる。それ以外では、Hの直前にactivateされていたZが、FSUB{(sid)};が再びactivateされる。プログラムに従い、情報を出力テープに書き込むか、メッセージをアウトゴーイングテープに書き込む。PSUB{i};はひとつのFSUB{(sid)};にメッセージを書ける。そのFが次にactivateされる。それ以外ではZがactivateされる。イデアルプロセスモデルと同様に実行される。出力はH経由でPSUB{i};へ返される。[2]Zが1ビット出力する。");:ランダムテープ~とする。このとき、&mimetex("HYB_{\pi,H,Z}^{F}(k,z,\vec{r})");:ハイブリッドモデルのZの出力と定義する。&mimetex("HYB_{\pi,H,Z}^{F}(k,z)");:&mimetex("\vec{r}");が一様に選ばれたときの確率変数と定義する。アンサンブルを次のように定義する。Zから見ると、リアルモデル、イデアルモデル、ハイブリッドモデルかを見分けできないことに注意。入出力が同じだからである。リアルとイデアルの比較は大変である。そこで、リアルとイデアルの間にハイブリッドを定義。これがハイブリッドを導入した理由である。後はリアルとハイブリッド、ハイブリッドとイデアルを比較する。この2つの比較の結果から、リアルとイデアルの間の比較について語る。[#hdb20822]π:Fハイブリッドモデルのプロトコル~ρ:Fを安全に実現しているプロトコル~とする。πSUP{ρ};:Fハイブリッドのプロトコルの中で、FSUB{(sid)};のactivateをプロトコルρの呼び出しに変える。rとsは、Fを呼び出すごとに新しいランダム値を取る。しないと独立にならない。サブプロトコルだから同時に別の計算が可能。3-partyのときは、PSUB{2};の答えを待つ間に、PSUB{3};にメッセージを投げることが可能。・プロトコルρがリアルなら、πSUP{ρ};もリアルになる。・プロトコルρがGハイブリッドモデルなら、πSUP{ρ};もリアルになる。[定理]プロトコルρSUP{π};がプロトコルρSUP{F};をエミュレートする。機能Tより、シンプルなサブ機能TSUB{1};,...,TSUB{k};に分割できる。�πをどのように複数回組み合わせても安全。なると、問題はイデアルファンクショナリティをどう設計するかということだ。[#c7f1ca39][定理]正しく動作する者が過半数の場合は、どのような機能もUC安全に実現可能。リワイディングを伴なうブロックボックスシミュレーションは使えない。[定理]コミットメント、ZK、コイン投げは標準的なUCモデルではUC安全に実現不可能。これら暗号プロトコルの多くは興味深い機能を持つ。ZKP、任意の2者プロトコルは実現可能。従来は計算論的アプローチと数理的アプローチの2つが存在した。�計算量的アプローチ~・PPT-TMを敵のモデルとして捉えて、いかなるPPT-TMに対しても安全であることを示す。~・暗号コミュニティでは広く受け入れられている。~・証明が複雑で、証明を誤りやすい。method)アプローチ~・UCのハイブリッドモデルと親和性が高い。~・対象となる暗号プロトコルを記号列で表現し、その記号列に対する論理的推論や書換規則などにより安全性を示す。よって、証明が明瞭で、自動化できる。それぞれのアプローチは一長一短である。そこで最近では融合した新しいアプローチもある。2000)数理的アプローチの健全性を示す。