Sichere Zwei-Parteien Cascade Protokolle

Im vorherigen Abschnitt haben wir eine intuitive Definition für die Sicherheit eines Zwei-Parteien Cascade Protokoll gesehen. Ziel dieses Abschnitts soll nun die Formulierung eines etwas differenzierteren Ansatzes zur Charakterisierung von sicheren Cascade Protokollen sein. Hierfür zunächst einige Definitionen.

Definition 11 (ausgeglichene Wörter)
Sei $\gamma \in W(E,D)$ ein Wort und $X$ ein Teilnehmer. Das Wort $\gamma$ ist ausgeglichen gegenüber $X$ wenn gilt:

$$D_x \in lt(\gamma) \Rightarrow E_x \in lt(\gamma)$$

Definition 12 (ausgeglichenes Cascade Protokoll)
Seien $X$ und $Y$ Teilnehmer eines Zwei-Parteien Cascade Protokolls $T=\{\alpha_i,\beta_j\}$, sowie alle $\alpha_i \in T$ und alle $\beta_j \in T$ in vollständig reduzierter Form. $T$ ist ein ausgeglichenes Cascade Protokoll wenn alle $\alpha_i \in T$ ausgeglichen gegenüber $X$ und alle $\beta_j \in T$ ausgeglichen gegüber $Y$ sind.

Auf Grundlage dieser beiden Definitionen läßt sich nun die im letzten Abschnitt vorgestellte intuitive Anschauung von sicheren Cascade Protkollen durch folgenden Satz erweitern.

Satz 1
Seien $X$ und $Y$ Teilnehmer eines Zwei-Parteien Cascade Protokolls $T=\{\alpha_i,\beta_j\}$. Das Protokoll $T$ ist sicher genau dann wenn es ausgeglichen ist und es gilt:

$$lt(\alpha_1(X,Y)) \cap \{E_x,E_y) \neq \emptyset$$

Definition 13 (doppelt geprüftes Cascade Protokoll)
Ein Cascade Protokoll $T=\{\alpha_i,\beta_j\}$ mit den Teilnehmern $X$ und $Y$ ist doppelt geprüft wenn gilt:

$$\exists_{i \in I\!N}: lt(\overline{N_i(X,Y)}) \subseteq \{E_x,D_y,D_x\}$$

und

$$\exists_{2 \leq j \in I\!N}: lt(\overline{N_j(X,Y)}) \subseteq \{E_y,D_y,D_x\}$$

Satz 2
Jedes doppelt geprüfte Zwei-Parteien Cascade Protokoll ist unsicher.

Bemerkung: Als direkte Folgerung aus Satz 2 ergibt sich für ein sicheres Zwei-Parteien Cascade Protokoll folgende Aussage: Wenn der Empfänger einer verschlüsselten Nachricht den Klartext $M \in W(\Sigma)$ gewinnen kann, so darf es dem Sender nicht einfach möglich sein aus der Entschlüsselung einer an ihn zurückgesandten Nachricht ebenfalls $M$ zu erhalten. Damit ist das Protokoll aus Beispiel 1 offensichtlich unsicher.