KPA-безопасность определение

• Пер Кац и Линделл, 3-е изд. раздел 7.2. «При атаке по известному открытому тексту злоумышленнику предоставляется пара входов/выходов. $\{(x_i,F_k(x_i))\}$ (для неизвестного ключа $к$), с $\{x_i\}$ вне контроля злоумышленников». KPA — обычная модель атаки для линейный криптоанализ, но недостаточно для дифференциальный криптоанализ где нам нужно, чтобы каждый вход соответствовал другому конкретному фиксированному входу. Возьмите любой простой линейный анализ блочного шифра, и он должен использовать только свойство KPA.
• Пер Кац и Линделл, 3-е изд. раздел 1.4.1: «ни одна из них [моделей угроз] по своей сути не лучше любой другой; правильный выбор зависит от среды, в которой развернута схема шифрования»
• Да, можно представить себе блочный шифр, защищенный от линейного криптоанализа, но неустойчивый к дифференциальному криптоанализу. Если мы далее предположим, что недостаточные разностные данные могут быть получены просто за счет неконтролируемой генерации входных данных, шифр будет безопасным с точки зрения KPA, но не безопасным с точки зрения CPA. Если его каким-то образом развернуть, это означает, что злоумышленники не могут повлиять на выбор входных данных, шифр, по-видимому, не будет подвергаться риску. Большинство криптографов все же предпочли бы шифр, который является безопасным CPA (или даже CPA плюс CCA).

Обратите внимание, что приведенное выше обсуждение ограничено симметричной криптографией. При шифровании с открытым ключом мы должны принять как минимум CPA, поскольку метод открытого шифрования автоматически позволяет злоумышленнику использовать CPA.