Computa(onal Fuzzy Extractors Benjamin Fuller , Xianrui Meng, - PowerPoint PPT Presentation

Computa(onal ¡Fuzzy ¡Extractors ¡ Benjamin ¡Fuller , ¡Xianrui ¡Meng, ¡and ¡Leonid ¡Reyzin ¡ December ¡2, ¡2013 ¡

Key Derivation from Noisy Sources High-­‑entropy ¡sources ¡ ¡ Physically ¡Unclonable ¡Func1ons ¡(PUFs) ¡ [PappuRechtTaylorGershenfeld02] ¡ are ¡oLen ¡noisy ¡ ¡ – Source ¡value ¡ changes ¡over ¡(me, ¡ w 0 ≠ w 1 w 0 – Assume ¡a ¡bound ¡on ¡distance: ¡ d ( w 0 , w 1 ) ≤ d max Biometric ¡Data ¡ – Consider ¡Hamming ¡distance ¡today ¡ Want ¡to ¡derive ¡a ¡stable ¡key ¡ ¡ from ¡a ¡noisy ¡source ¡ – Want ¡ w 0 , w 1 ¡to ¡map ¡to ¡same ¡key ¡ w 0 Want ¡the ¡key ¡to ¡be ¡ cryptographically ¡ strong ¡ – Appear ¡uniform ¡to ¡the ¡adversary ¡ Goal ¡of ¡this ¡talk: ¡provide ¡meaningful ¡security ¡for ¡more ¡sources

Fuzzy ¡Extractors ¡ Source ¡ Key ¡ • Assume ¡source ¡has ¡min-­‑entropy ¡ k ¡ Public ¡ (no ¡ w ¡is ¡likelier ¡than ¡2 − k ) ¡ • Lots ¡of ¡work ¡on ¡reliable ¡keys ¡from ¡noisy ¡data ¡ [BenneYBrassardRobert85] ¡… Our ¡formalism: ¡Fuzzy ¡Extractors ¡[DodisOstrovskyReyzinSmith04] ¡… ¡ ¡ • Correctness: ¡ Gen , Rep ¡ give ¡same ¡key ¡if ¡ d ( w 0 , w 1 ) < d max ¡ • Security: ¡ ( key , p ) ≈ ( U , p ) key Gen key w 0 Rep key p w 1 ¡

Fuzzy ¡Extractors ¡ Source ¡ Key ¡ • Assume ¡source ¡has ¡min-­‑entropy ¡ k ¡ Public (no ¡ w ¡is ¡likelier ¡than ¡2 − k ) ¡ • Lots ¡of ¡work ¡on ¡reliable ¡keys ¡from ¡noisy ¡data ¡ [BenneYBrassardRobert85] ¡… Our ¡formalism: ¡Fuzzy ¡Extractors ¡[DodisOstrovskyReyzinSmith04] ¡… ¡ ¡ • Correctness: ¡ Gen , Rep ¡give ¡same ¡key ¡if ¡ d ( w 0 , w 1 ) < d max ¡ • Security: ¡ ( key , p ) ≈ ( U , p ) • Typical ¡Construc(on: ¡ ¡-­‑ ¡derive ¡ key using ¡a ¡randomness ¡extractor Converts ¡high ¡entropy ¡sources ¡to ¡uniform: ¡ H ∞ ( W 0 ) ≥ k ⇒ Ext ( W 0 ) ≈ U Gen key Ext w 0 Rep key p w 1 ¡ Ext

Fuzzy ¡Extractors ¡ Source ¡ Key ¡ • Assume ¡source ¡has ¡min-­‑entropy ¡ k ¡ Public (no ¡ w ¡is ¡likelier ¡than ¡2 − k ) ¡ • Lots ¡of ¡work ¡on ¡reliable ¡keys ¡from ¡noisy ¡data ¡ [BenneYBrassardRobert85] ¡… Our ¡formalism: ¡Fuzzy ¡Extractors ¡[DodisOstrovskyReyzinSmith04] ¡… ¡ ¡ • Correctness: ¡ Gen , Rep ¡give ¡same ¡key ¡if ¡ d ( w 0 , w 1 ) < d max ¡ • Security: ¡ ( key , p ) ≈ ( U , p ) • Typical ¡Construc(on: ¡ ¡-­‑ ¡derive ¡ key using ¡a ¡randomness ¡extractor ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡correct ¡errors ¡using ¡a ¡ secure ¡sketch Gen key Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Ext

Secure ¡Sketches ¡ Gen key Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Ext Code ¡Offset ¡ c = Gx Sketch ¡ G generates ¡ p =c ⊕ ¡ w 0 a ¡code ¡that ¡ corrects ¡ ¡ d max errors

Secure ¡Sketches ¡ Guarantee ¡a ¡bound ¡ Extract ¡from ¡ Gen key on ¡entropy ¡reduc1on: ¡ distribu1ons ¡of ¡ ≤ ¡redundancy ¡of ¡ G reduced ¡entropy ¡ Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Ext If ¡ w 0 ¡and ¡ w 1 ¡ c ’= Dec ( p ⊕ w 1 ) Code ¡Offset ¡ c = Gx are ¡close ¡ ¡ Sketch ¡ p ⊕ ¡ w 1 c ’ = c G generates ¡ p =c ⊕ ¡ w 0 w 0 =c ’ ⊕ ¡ p a ¡code ¡that ¡ corrects ¡ ¡ d max errors p reveals ¡informa(on ¡about ¡ w 0

Entropy ¡Loss ¡From ¡Fuzzy ¡Extractors ¡ • Entropy ¡is ¡at ¡a ¡premium ¡for ¡physical ¡sources ¡ – Iris ¡≈ 249 ¡[Daugman1996] ¡ – Fingerprint ¡≈ 82 [RathaConnellBolle2001] ¡ – Passwords ¡≈ 31 ¡[ShayKomanduri+2010] ¡ ¡ • Above ¡construc(on ¡of ¡fuzzy ¡extractors, ¡with ¡standard ¡analysis: ¡ – Secure ¡sketch ¡loss ¡ = ¡redundancy ¡of ¡code ¡ ≥ ¡error ¡correc(ng ¡capability ¡ Loss ¡necessary ¡for ¡informa(on-­‑theore(c ¡sketch: ¡[Smith07, ¡DORS08] ¡ – Randomness ¡extractor ¡loss ¡ ¡ ≥ 2log (1 / ε ) ¡ • Can ¡we ¡improve ¡on ¡this? ¡ • One ¡approach: ¡define ¡secure ¡sketches/fuzzy ¡extractors ¡ computa(onally ¡ – Give ¡up ¡on ¡security ¡against ¡all-­‑powerful ¡adversaries, ¡ ¡ consider ¡computa(onal ¡ones ¡

Can ¡we ¡do ¡beYer ¡in ¡computa(onal ¡seing? ¡ Our ¡Results: ¡ ¡ • For ¡secure ¡sketches: ¡NO ¡ – We ¡show ¡that ¡defining ¡a ¡secure ¡sketch ¡in ¡computa(onal ¡ seing ¡does ¡not ¡improve ¡entropy ¡loss ¡ • For ¡fuzzy ¡extractors: ¡YES ¡ – We ¡construct ¡a ¡ lossless ¡computa(onal ¡Fuzzy ¡Extractor ¡ based ¡on ¡the ¡Learning ¡with ¡Errors ¡(LWE) ¡problem ¡ – Caveat: ¡this ¡result ¡shows ¡only ¡feasibility ¡of ¡a ¡different ¡ construc(on ¡and ¡analysis; ¡we ¡do ¡not ¡claim ¡to ¡have ¡a ¡ specific ¡set ¡of ¡parameters ¡for ¡bea(ng ¡the ¡tradi(onal ¡ construc(on ¡

Computa(onal ¡Secure ¡Sketches ¡ Gen key Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Ext Information-theoretic goal: H ∞ ( W 0 | p ) ¡ ¡ • Can ¡we ¡improve ¡on ¡this ¡computa(onally? • What ¡does ¡ H comp ( W 0 | p ) mean? • Most ¡natural ¡requirement: ¡ ¡ ¡ ¡ ¡ ( W 0 | p ) is ¡indis(nguishable ¡from ¡ ( Y | p ) ¡and H ∞ ( Y | p ) ≥ k • Known ¡as ¡HILL ¡entropy ¡ [HåstadImpagliazzoLevinLuby99]

Computa(onal ¡Secure ¡Sketches ¡ Gen key Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Ext Computational goal: H comp ( W 0 | p ) ¡ • Can ¡we ¡improve ¡on ¡this ¡computa(onally? • What ¡does ¡ H comp ( W 0 | p ) mean? • Most ¡natural ¡requirement: ¡ ¡ ¡ ¡ ¡ ( W 0 | p ) is ¡indis(nguishable ¡from ¡ ( Y | p ) ¡and H ∞ ( Y | p ) ≥ k • Known ¡as ¡HILL ¡entropy ¡ [HåstadImpagliazzoLevinLuby99]

Computa(onal ¡Secure ¡Sketches ¡ Gen key Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Ext Computational goal: Good ¡News: ¡ H HILL ( W 0 | p ) ¡ Extractors ¡yield ¡ pseudorandom ¡keys ¡ • Can ¡we ¡improve ¡on ¡this ¡computa(onally? from ¡HILL ¡entropy ¡ • What ¡does ¡ H comp ( W 0 | p ) mean? • Most ¡natural ¡requirement: ¡ ¡ ¡ ¡ ¡ ( W 0 | p ) is ¡indis(nguishable ¡from ¡ ( Y | p ) ¡and H ∞ ( Y | p ) ≥ k • Known ¡as ¡HILL ¡entropy ¡ [HåstadImpagliazzoLevinLuby99]

HILL ¡Secure ¡Sketches ¡ ⇒ ¡Secure ¡Sketches ¡ Our ¡Theorem: ¡ ¡ If ¡ H HILL ( W 0 | p ) ≥ k , ¡then ¡ ¡ there ¡exists ¡an ¡error-­‑correc(ng ¡code ¡ C with ¡ 2 k − 2 ¡points ¡ and ¡ ¡ Rec ¡corrects ¡ d max ¡random ¡errors ¡on ¡ C We ¡can ¡fix ¡a ¡ p ¡value ¡where ¡ Rec ¡func(ons ¡as ¡a ¡good ¡decoder ¡for ¡ W 0 . ¡ ¡ Rec ¡must ¡also ¡decode ¡on ¡indis(nguishable ¡distribu(on ¡ Y , ¡and ¡ Y ¡is ¡large. ¡ Corollary: ¡(Using ¡secure ¡sketch ¡of ¡ [Smith07] ) ¡ If ¡there ¡exists ¡a ¡sketch ¡with ¡HILL ¡entropy ¡ k , ¡ ¡ then ¡there ¡exists ¡a ¡sketch ¡with ¡true ¡entropy ¡ k − 2 .

Can ¡we ¡do ¡beYer ¡in ¡computa(onal ¡seing? ¡ • For ¡secure ¡sketches: ¡NO ¡ – A ¡sketch ¡that ¡retains ¡HILL ¡entropy ¡implies ¡ ¡an ¡informa(on ¡theore(c ¡sketch ¡ • For ¡fuzzy ¡extractors: ¡YES ¡ – Can’t ¡just ¡make ¡the ¡sketch ¡“computa(onal” ¡ – Other ¡approaches? ¡

Building ¡a ¡Computa(onal ¡Fuzzy ¡Extractor ¡ Gen key Can’t ¡just ¡ ¡ work ¡with ¡sketch Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Ext

Building ¡a ¡Computa(onal ¡Fuzzy ¡Extractor ¡ What ¡about ¡an ¡extractor ¡ Gen key that ¡outputs ¡ pseudorandom ¡bits? Cext Ext w 0 Rep key p Rec w 0 ¡ Sketch w 1 ¡ Cext Ext • Computa(onal ¡extractors ¡convert ¡high-­‑entropy ¡sources ¡to ¡ pseudorandom ¡bits ¡[ Krawczyk10 ] ¡ • Natural ¡construc(on: ¡ Cext ( w 0 ) = PRG( Ext ( w 0 )) • Extensions ¡[ DachmanSoledGennaroKrawczykMalkin12DodisYu13DodisPietrzakWichs13 ] ¡ • All ¡require ¡enough ¡residual ¡entropy ¡aLer ¡Sketch ¡to ¡run ¡crypto! ¡ – See ¡[DachmanSoledGennaroKrawczykMalkin12] ¡for ¡condi(ons ¡