Forbedringer til Vickrey-auktioner

Transkript

1 SDU - Odense universitet. Institut for matematik og datalogi. Forbedringer til Vickrey-auktioner Speciale Frank Tetsche 1 Juni 2005

2 Forbedringer til Vickrey-auktioner Frank Tetsche1 Vejleder: Joan Boyar 1www.franktetsche.dk

3 Indhold 1 Indledning 4 2 Online-industrien i dag Introduktion Store auktioner Små auktioner ebay ebay-modellen De fundamentale ting i ebay-modellen Specialiteter i ebay auktionerne Svindel på ebay Taktik på ebay Prisfastsættelse af en vare på en internetauktion 10 4 Teoretiske auktionsmodeller Model 1: Vickrey-modellen Model 2: Auktioner med plaintext-oentliggørelse af budene Model 3: Simpel auktion med krypterede bud Model 4: Auktion med krypterede bud og tærskel Model 5: Hollandsk auktion med krypterede bud Model 6: Auktion, der ikke kan spores Model 7: The simple auction scheme Model 8: The homomorphic auction scheme Model 9: Discreet Vickrey Auction Parternes adgang til information i de forskellige modeller Sammenligning af modellerne Auktioner med helt hemmeligholdte bud (AHB) Introduktion Introduktion til beregningerne i AHB-protokollen Indledende oplysninger Budets form

4 5.2.3 Alfa og beta Gamma og delta Randomized gamma og delta Phi og værdivektoren Forklaring på, hvorfor der skal være randomization Lige bud Svagheder ved AHB-protokollen Et simpelt eksempel Beregningerne i protokollen Et simpelt eksempel på beregningerne i protokollen Setup Protokollen Protokollen Bevis på kendskab (POK) Indhold Signaturprotokollen Autencitetsprotokollen Bruger KAC Protokol - generering af signatur Protokol til verikation af signatur Completeness Soundness Protokol - Autenticitet Completeness Soundness Bemærkning omkring signaturen i protokollen for autenticitet Bevis på delvist kendskab (POPK) Setup Budets form Det der skal bevises Beregninger af de udtryk, der indgår i det udtryk, der skal bevises Protokol - Hvis b j = Tjek - Completeness Tjek - Soundness Protokol - Hvis b j = Y Tjek - Completeness Tjek - Soundness

5 8 Bevis på lighed mellem logaritmer (POE) Protokollen Tjekker om protokollen virker Completeness Soundness Kompleksitet AHB mht. udveksling af data AHB POPK POK POE Modulære eksponentieringer og ndinv() Kompleksitet i protokollen - multiplikation, division, addition og subtraktion Test Et eksempel Testudskrift Konklusion Appendiks Ordbog Bilag - Javaprogrammer Auktioner med helt hemmeligholdte bud (AHB) Bevis på kendskab - DL (POK) Bevis på lighed mellem logaritmer (POE) Bevis på delvis kendskab (POPK) Program til at nde store primtal

6 Kapitel 1 Indledning Jeg har undersøgt, hvordan markedet ser ud inden for internetauktioner. Det er beskrevet i kapitel 2. For at få give en idé om, hvad en auktion går ud på, har jeg i kapitel 3 beskrevet hvilke ting, der har indydelse på prisfastsættelse i forbindelse med auktioner. I dette speciale har jeg beskrevet og implementeret en auktionsprotokol, der er beskrevet teoretisk i Fully Private Auctions in a Constant Number of Rounds af Felix Brandt [12]. Den har jeg valgt at kalde AHB-protokollen (Auktioner med Hemmelige Bud) og beskrevet i kapitel 5. Det er AHB-protokollen, der er en forbedring af Vickrey-auktionen. Heraf titlen på dette speciale. I forbindelse med at nde frem til auktionsprotokollen havde jeg ere auktionsprotokoller under overvejelse. Nogle af disse er beskrevet i kapitel 4. I kapitel 4 forklarer jeg om protokollernes styrker og svagheder, samt hvorfor detikkeblevdem,jegrettedesærligtfokuspå.ikapitel6,7og8erbeskrevetnoglebevisprotokoller, der bliver brugt i AHB-protokollen. AHB-protokollens kompleksitet bliver gennemgået i kapitel 9. Der er test i kapitel 10, for at se kompleksitetsberegningerne holder. Konklusionen er i kapitel 11. 4

7 Kapitel 2 Online-industrien i dag Denition 1 En engelsk auktion er en auktion, som de este kender. Auktionen starter med en mindstepris, som man er rimelig sikker på, at mindst én vil overbyde. Ham der overbyder mindsteprisen har budet (det vindende bud), indtil en anden byder højere. Han har så budet, indtil han bliver overbudt og så videre. Når der ikke kommer ere bud, spørger auktionarius, om der er nogen, der vil byde højere. Han foreslår så et bud, der er lidt højere end det vindende bud. Er der stadig ikke nogen, der vil byde over det vindende bud tæller auktionarius: første gang, anden gang. Hvis der stadig ikke kommer et højere bud, siger han tredje gang, slår i bordet (pulten) med en hammer og siger noget i retning af solgt til den herre. Han peger så på vinderen, som er manden med det vindende bud. Vinderen skal betale det for varen, han har budt. Denition 2 En hollandsk auktion er følgende. Hvis der kun er en auktionsgenstand, vil den der har budt højst få varen til den pris, han har budt. I så fald er der tale om en rst price auktion. Hvis der er ere ens auktionsgenstande, kan der være ere vindende bud (Bud er i kr./stk.). De højstbydendes ønske om antal tilgodeses. Det vil sige, at den der har bud højst først vælger, hvor mange han vil have. Prisen pr. styk han skal betale, er det bud, der kommer fra den med det laveste vindende bud. Det vil sige prisen er ikke kendt før det laveste vindende bud er fundet. I praksis foregår auktionen omvendt af en engelsk auktion - denition 1. Man starter med en meget høj begyndelsespris. Den sænkes så indtil dem, der er parat til at betale mest pr. stk er fundet og alle auktionsobjekterne er tildelt de højestbydende. Den med det laveste vindende bud risikerer, at ikke kunne få det ønskede antal. 2.1 Introduktion Jeg har undersøgt hvilke auktioner, der eksisterer på internettet i dag og hvordan fremtidsudsigterne ser ud. Der synes at være to grupperinger af auktioner, der er dominerende i dag og som jeg også tror vil dominere i fremtiden. Jeg kalder disse to grupper af auktioner for henholdsvis små auktioner og store auktioner. At jeg kalder dem små og store auktioner skyldes forskellen i antallet af deltagere. De små og store auktioner har også andre karakteristika der adskiller dem i de to grupper. Øvrige karakteristika er beskrevet i de følgende afsnit 2.2 og 2.3. Når jeg i 5

8 dette speciale omtaler store auktioner er det med i baghovedet. Der er 4 typer af auktioner, der anvendes i praksis. Det er engelske auktioner def. 1, hollandske auktioner def. 2, FPSB-auktioner og SPSB-auktioner. FPSB og SPSB er omtalt i afsnit 4.1. Af engelske auktioner kan nævnes (rejser), (frimærker), (alt fra møbler til frimærker). Bydernes identitet bliver dog ikke oplyst til offentligheden i disse auktioner. Men det er det for tiden højeste bud. Derfor er Sniping (se evt. 12.1) mulig. Af FPSB kan nævnes: (Kunstauktion), (ejendomsmægler), (ejendomsmægler), (biler). Af SPSB kan nævnes: (Kunst), (Alt), (Alt), (Alt) og (Alt). Hollandske auktioner foregår også på selvom SPSB er langt den mest almindelige form. 2.2 Store auktioner Store auktioner er karakteriseret ved: Mange der byder. Hvis der er mange bydere, synes det rimeligt at antage, at en stor del af dem ikke samarbejder. Stor geogrask afstand. Man må formode, at bydere på med stor geogrask afstand ikke har så let ved at samarbejde netop på grund af den store geograske afstand. Det vil være svært for dem at opbygge en tillid til hinanden. For almindelige mennesker. Hvis en auktion skal være rigtig stor, skal det være en som almindelige mennesker kan deltage i. Brugervenligt. For at mange brugere skal kunne auktionen er det nødvendigt med en brugervenlig skærm at kikke på. Det må meget gerne være noget med peg og klik. Nemme spilleregler. Det skal være noget alle kan nde ud af, da man kan forvente, at mange mennesker kaster sig ud i at byde uden at tænke sig om. Varer med lille værdi Almindelige mennesker køber varer, der ikke koster så meget. Billigt at handle. Det skal være billigt at handle, fordi man ikke kan tage et stort gebyr for at handle varer med ringe værdi. Små varer. For at få rigtig mange mennesker med i auktionen, skal den jo være worldwide. Det kan lade sig gøre, hvis det er små varer, der kan sendes med posten. Eksempler på store auktioner er og mangleretprodukt(køberen)derstarterauktionen.hansøgerpåenbestemtvarerogsåerdersælgere,dertilbyder 1Enauktionpå denne køber så vare. hos De den sælgere øverste der på tilbyder listen, såfremt varen bliver den øverste så listet på op. listen Den har med gode den bedømmelser laveste salgspris fra tidligere stå øverst. kunder. Køberen på afsluttes alle handler med at køber og sælger giver hinanden bedømmelser. Som 6

9 2.3 Små auktioner Små auktioner er karakteriseret ved: Få, der byder. - som nævnt i sektion 2.1. Store beløb. Små auktioner vil være egnede til få store rmaer, der handler skibsordre, byggerier, malerier, aktieporteføljer osv. De nævnte handler er alle handler, der involverer store beløb. Anonymitet. Man kunne tænke sig noget med en meget stor aktieandel i et bestemt rma, der sættes på auktion. Så vil det få indydelse på aktiemarkedet, hvis man kan få at vide hvem, der byder i auktionen. Man kunne også forestille sig museer, der byder på et billede af en kendt maler. Hvis ikke et museum vinder auktionen, vil de ikke have oentligheden til at vide, at de er interesserede i billedet og da slet ikke hvor interesserede de er. Forsøg på snyd. Med få der byder kunne man meget let tænke sig, at parterne snakker lidt sammen. For eksempel kunne man tænke sig nogle skibsværfter byde på ordre på nogle skibe til staten. I sådan en auktion går det selvfølgelig ud på Hvem kan bygge billigst. Skibsværfterne ville kunne lave et kartel og blive enige om hvem der skal vinde hvilke auktioner. På den måde kan alle få en ordre og tage sig godt betalt for det. Det vil hæve prisen på skibe. Indviklede regler er OK. Da der er store beløb på spil, betyder det ikke noget, at man måske er nød til at ansætte personale til at nde ud af reglerne. Eksempler på små auktioner er og ebay Markedets største auktion på internettet er Denne hjemmeside er mest brugt af folk, der bor i USA. Samme rma har også hjemmesider rettet mod andre lande. De hedder selvfølgeligt sådan noget som (for England), (for Tyskland) osv. Det er min overbevisning, at ebay i fremtiden vil blive for internetauktioner, det samme som Google er for søgemaskiner - altså altdominerende ebay-modellen 1. En byder lader sig registrere ved ebay og vælger et pseudonym, som han kan optræde under ved auktionen/auktionerne. 2. Sådan bydes der: Som udgangspunkt bruger ebay proxy-bidding. Det fungerer således: Man indtaster det maksimale beløb (på ebay's hjemmeside), man vil give for den pågældende vare. ebay vil så på ens vegne byde i auktionen således, at man er sikker på at få varen, hvis man har det højeste bud. Men da ebay byder på ens vegne, vil de kun lige byde lidt over, hvad den der har det næsthøjeste bud har budt. Altså får man, hvis man har det højeste bud, varen til en pris, der cirka er det samme som det næsthøjeste bud. 7

10 Man kan følge med i auktionen, da der er vist et højeste bud på ebay's hjemmeside. Dette højeste bud er ikke det faktisk højeste bud, men tættere på (lidt over) det næsthøjeste bud. Det er et resultat af, at der er en, der har indtastet et maksimalt bud. Det vil sige, ebay har på hans vegne budt det højeste, han vil være med til. Så er der kommet en, der har indtastet et maksimalt bud, der er højere. Det har fået ebay til på dennes vegne at byde lidt mere, eks 1$ mere end det aktuelle bud. Startprisen er typisk 1 $. Den er bestemt af sælger. 3. ebay nder vinderen og formidler kontakten mellem køber (Den der har budt højst) og sælger (Den der ejer den vare, der er på auktion) 4. Teknikaliteter med forsendelse af vare og den modsvarende betaling må køber og sælger selv nde ud af. 5. Køber og sælger giver hinanden en bedømmelse på ebay's hjemmeside efter handlen. Disse bedømmelser kan alle læse. Derfor kan de, der byder ved senere auktioner, ud fra bedømmelser vurdere, om modparten er til at stole på. Det har stor betydning, hvis det er en sælger, der har fået dårlige bedømmelser. Så vil ingen byde på hans ting De fundamentale ting i ebay-modellen I den efterfølgende forklaring forklares modellen ud fra en repræsentativ byder. Den byder, der byder højst omtales som køber. Den, der ejer varen på auktion, kaldes sælger. 1. Byderen sender navn, adresse, -adresse, login og password til ebay 2. ebay sender byderen et selvvalgt pseudonym, som han kan handle under 3. Byderen sender sit maksimale bud til ebay, mens han er logget på 4. ebay nder vinderen og det beløb, der skal betales for varen. Beløbet er det mindst mulige beløb, der er højere end det næsthøjeste bud. 5. ebay sender navn, adresse og -adresse til sælger og -adresse til køber. 6. køber og sælger nder selv ud af det med forsendelse og betaling Specialiteter i ebay auktionerne. Der er selvfølgelig en deadline for at komme med bud i auktionen. Men ebay har lavet det specielle, at auktionen ikke stopper før tidligst 5 minutter efter det sidste bud er indløbet. Det er muligt hvis man ikke kan nde en vare, selv at indtaste, hvad det er man søger. Så kan sælgere (andre ebay-brugere) sende link til deres auktionssider til ham, der mangler noget. Det ordnes i øvrigt uden, at sælgerne nder ud af, hvem der søger. Det kalder ebay for Want It Now-muligheden. Det er også muligt for sælger at indtaste en Buy It Now-pris. Det er en pris der ligger over den forventede salgspris. Hvis en byder er meget ivrig efter at få varen, kan han bare betale Buy It Now-prisen. Han får så varen og auktionen bliver annulleret. Typisk vil sælgeren fjerne Buy It Now-prisen, når deadline for bud nærmer sig. Det giver ham jo muligheden for at få mere end Buy It Now-prisen for hans auktionsgenstand. 8

11 2.4.4 Svindel på ebay Der ndes falske auktioner på ebay. De falske auktioner kan opstå, fordi det er gratis at sælge (og købe) på ebay. Jeg har personligt observeret en vare angiveligt blive solgt, men ugen efter var den på auktion igen. Desværre kan jeg ikke huske om det var samme sælger, men billederne af varen var nøjagtig de samme. Dette er også ligegyldigt, da det jo også kunne være to sælgere, der arbejdede sammen. Dette kunne tyde på at varen ikke reelt har været på auktion, men blot har optrådt på auktion for at blive prisfastsat. Dette vil give mulighed for at sætte varen på auktion nogle gange, og så når der kommer et passende bud sælge varen. For to svindlere (to sælgere der arbejder sammen - den ene som køber) vil de oven i købet score den gevinst, at de kan give hinanden gode karakterer. På ebay er det muligt at udnytte bydernes uopmærksomhed. Der er nogle af sælgerne, der sælger varer (tit nye), hvor de så nederst på siden skriver store pakkeomkostninger på og håber, at folk ikke ser disse pakkeomkostninger. Det får budene til at være små og dermed tillokkende Taktik på ebay De mennesker, der byder på ebay's auktioner, vælger som regel proxy bidding. Det vil i praksis altid være bedre at vælge proxy bidding fremfor at byde et bestemt beløb. Den væsentligste grund er, at så kan man være heldig at få varen billigere. Hvis alle der byder kommer med almindelige faste bud, vil auktionen være lige som en Engelsk auktion. Hvis alle bruger proxy bidding og byder i sidste øjeblik (Her ses bort fra at deadline kan rykkes), vil auktionen faktisk være en Vickrey auktion. Vickrey auktionen er beskrevet i afsnit 4.1 Man kan med fordel vente med at byde. Det skyldes, at så er man ikke med til at køre prisen op før til sidst. Hvis man byder sit maksimum i starten af auktionen, vil man være med til at hæve den nuværende pris (Den pris, der kan aæses på Dette vil få andre til at trække sig. Men hvis der er lang tid til at auktionen afsluttes, er der også lang tid til at ombestemme sig. Det vil sige, at dem man har fået til at springe fra på grund af det bud, man har afgivet, nu måske vender tilbage, fordi de har fået tid til at tænke over tingene. De vil måske alligevel gerne byde mere. 9

12 Kapitel 3 Prisfastsættelse af en vare på en internetauktion Generelt er chancerne for, at man vinder en auktion ikke stor. Derfor er det nærliggende at deltage i ere auktioner. Problemet er bare, at man kan risikere at komme i likviditetsproblemer - Det vil sige, i tilfælde af at man vinder mange auktioner, vil man måske ikke have penge til at betale. Situationen kan være den, at man har budt på en meget dyr vare og derfor skal have penge lagt til side, indtil man ved, om man vinder auktionen. Hvis man deltager i en internetauktion, der varer over et stort tidsinterval, vil man altså have lagt beslag på nogle penge, der ellers kunne have været brugt til investering eller forbrug. De ting der har indydelse på hvilken værdi man tilskriver en vare er altså: Længden på tidsintervallet hvori auktionen kører. Sandsynligheden for at man vinder auktionen. Størrelsen på den pris varen på auktionen kommer til at koste set i forhold til, hvor mange penge man har. Tillid til at auktionen foregår som aftalt og tillid til, at den vare der bliver budt på, er beskrevet rigtigt. Hvordan betalingen skal foregå. Præferencerenten: Den rente, der er udtryk for, hvor meget man foretrækker at have en sum penge i dag fremfor på et bestemt tidspunkt i fremtiden. 10

13 Kapitel 4 Teoretiske auktionsmodeller Modellerne i dette kapitel er vidt forskellige med hensyn til kompleksitet, hvor detaljeret de oprindelig er beskrevet og hvad der er lagt vægt på i modellerne. Der er ikke nogle regler for, at en model skal indeholde visse komponenter, før den kan kaldes en model. Modellerne i dette kapitel kan derfor kombineres. Nogle af modellerne er så simple og hyppigt omtalte i forskellig litteratur (For eksempel Vickrey-modellen), at de kan betragtes som begreber. Model 1 og 9 er taget fra [10], Model 2-6 fra [1], Model 7-8 fra [2]. 4.1 Model 1: Vickrey-modellen. Vickrey-auktioner er opkaldt efter nobelprisvinderen William Vickrey og de fungerer på følgende måde. Hver byder kommer med et forseglet bud - med forseglet menes et bud, der ikke kan ses, før forseglingen fjernes. Efter alle bud er afgivet, nævner auktionarius et beløb og spørger, om der er nogen, der har beløbet. Hvis alle svarer nej, vil auktionarius sænke beløbet med mindst mulige enhed og spørge igen. Auktionen stopper, når de to med de højeste bud er fundet. Så skal byderne bevise, at de har budt de bud, de siger, de har. Dette bliver gjort ved at fjerne forseglingen fra deres bud. Vinderen er den byder med det højeste bud. Han skal så betale det beløb, som den med det næsthøjeste bud bød for varen. Dermed er en Vickreyauktion en second-price sealed-bid-auktion (SPSB-auktion). Havde vinderen skulle betale det højeste bud (hans eget) havde der været tale om en rst-price sealed-bid-auktion (FPSB-auktion). 4.2 Model 2: Auktioner med plaintext-oentliggørelse af budene Hver byder indsender et hash-sealed bud til auktionarius (som bare kan være en hjemmeside). Når forseglingen brydes af dem, der har budt, bliver de publiceret i plaintext. Budene kan forbindes til dem, der har budt, fordi hver byder kun kan fjerne forseglingen fra egne bud. Vickrey-modellen kan implementeres som Model 2. Bemærk at Vickrey ikke siger noget om forseglingsmetoden. 11

14 4.3 Model 3: Simpel auktion med krypterede bud Det første der sker er, at hver byder forpligter (commits) sig til et krypteret bud via. en hashfunktion. Det kan eksempelvis være auktionariussens (eller auktionariussernes) public key, der er blevet brugt til krypteringerne. Bydernes forpligtelser publiceres og byderne sender deres krypterede bud til auktionariussen. Auktionariussen kan dekryptere budene og afgøre udfaldet af auktionen. 4.4 Model 4: Auktion med krypterede bud og tærskel. Denne model er lavet over samme skabelon som Model 3: I denne model er der tale om en homomorf 1 kryptering. Det første der sker er, at hver byder forpligter (commits) sig til et homomorft krypteret bud via. en hash-funktion. Bydernes forpligtelser publiceres og byderne sender deres homomorft krypterede bud til auktionariusserne. Auktionariusserne kan afgøre udfaldet af auktionen i fællesskab. Dette kan gøres ved en af følgende metoder 1. Dele oplysningerne: Oplysningen om et bud er delt mellem auktionariusserne, så der skal et antal auktionariusser til at sætte deloplysningerne sammen, så vinderen af auktionen kan ndes. Antallet af auktionariusser skal være over en vis tærskel. 2. Delt dekryptering: De krypterede bud kan kun dekrypteres af et antal auktionariusser. Antallet skal være over en vis tærskel. 4.5 Model 5: Hollandsk auktion med krypterede bud. Byderne placerer et forseglet bud - et bud der er forseglet via. kryptering. Herefter bliver forseglingen fjernet fra budene i faldende rækkefølge. Dette kan lade sig gøre, hvis byderne samarbejder. Metoden med at tage priserne i faldende orden er lige som i en Hollandsk auktion (denition 2). Deraf navnet. Metoden medfører også, at kun et endeligt antal priser kan blive budt og at der kun kan blive tale om en rst-bid auktion (First-bid betyder, at vinderen skal betale det, han har budt og ikke det, som det næsthøjeste bud lyder på). Modellen kan implementeres på 2 måder i relation til den måde, byderne samarbejder med modellen. 1. Eksplicit samarbejde: Byderne åbner (fjerner forseglingen fra) deres bud interaktivt. Der skal bruges en runde med kommunikation for hver pris, der kan bydes. 2. Implicit samarbejde: Byderne tager ikke del i at budene åbnes. I stedet for skaber de en entydig søgevej (Et eksempel på hvordan det kan lade sig gøre ndes i [6]) i forbindelse med, at de placerer budene, som auktionarius skal følge. Søgevejen skal køre fra den højeste pris, der kan bydes, ned til prisen, der er lig med det vindende bud. 1Lad M være et message space, der er en (additiv) abelsk gruppe. Lad m 1, m 2 M. Lad E(m 1 ) krypteringaf være en m 1.Hvis E(m 1 + m 2 ) = E(m 1 ) E(m 2 ),såer E(m 1 )en homomorf krypteringaf m 1. 12

15 4.6 Model 6: Auktion, der ikke kan spores. De, der skal byde i auktionen, skal i denne model registreres ved en eller anden autoritet. Denne autoritet udstyrer så de, der byder i auktionen med hver deres pseudonym. En byder sender altså personlige informationer (navn, adresse osv.) til autoriteten og får til gengæld en blind signatur. Dette sker ved brug af en blind signature technique. Nu er autoriteten altså (som den eneste) i stand til at sammenkæde pseudonymerne med de personer der byder i auktionen. De der byder, skal byde gennem en anonym kanal 2, så man ikke kan se, hvor budene kommer fra. Det første der sker er, at alle der byder, skal placere en commitment (en forpligtelse til at vedkende sig et bestemt bud) hos auktionarius. Til at lave denne commitment bruges en hash-funktion. Resultatet fra hash-funktionen publiceres så. Når alle har gjort det, åbnes (Man kommer med løsningen til hash-funktionen. Løsningen indeholder budet) der for budene og alle kan se, hvad der er blevet budt. Hvis alle parter opfører sig, som de skal, vil vinderen gøre krav på den varer, der er blevet budt på. De andre der har budt, forbliver anonyme overfor hinanden og omverdenen. Tilbage står der alle de bud, der er blevet afgivet i auktionen. Det er det, man kan kalde relative privacy [1] 4.7 Model 7: The simple auction scheme Anvendt notation: A er en autoritet. S er en sælger. K A er autoritet A's public key. b i er byder nummer i's bud. Budet indeholder ikke andre oplysninger end selve beløbet. Dvs. at i er et bydernummer. c i = E KA (b i ) er en ciphertext, altså budet b i, der er blevet krypteret via. krypteringsfunktionen E med public key K A b i = D KA (c i ) er et krypteret bud c i, der er blevet dekrypteret via. dekrypteringsfunktionen D med den secret key, der hører til K A. c i er de krypterede bud i en bestemt orden, der ikke afhænger af i sig S (c i ) er de krypterede bud c i, der er blevet signeret af S. i w er pladsnummeret i c i, hvor vinderen af auktionen kan ndes. Bemærk at pladsnummeret ikke er det samme som bydernummeret. Hvis byder i er vinder gælder normalt, at i i w X i er det i'te højeste bud. Det vil sige, at alle bud er mindre end eller lig med X 1. For X 2 gælder, at alle bud undtagen ét er mindre end eller lig med X 2. Osv. tiebreak 0, 1 er lig med 0, hvis der kun er én vinder (altså ét højeste bud). tiebreak er lig 1, hvis der er ere. 2Hvordanenimplementeringkanlaves,kanmanlæseomi[8] 13

16 Fasen, hvori der bydes. 1. Byder i beregner c i = E KA (b i ) og sender (c i, sig i (c i )) til S gennem en sikker kanal S beregner z = sig S (c i ) og publicerer tuplen (c i, sig S (c i ), z), det vil sige sender tuplen til alle bydere og A. Kommentar: S skal tjekke signaturen fra byderne, når de sender deres krypterede bud. S ved godt, hvorfra de krypterede bud stammer. Derfor bestemmer han, i hvilken orden c i 'erne i c i skal stå i. S kan med andre ord altså forbinde de krypterede bud til byderne. Budene åbnes. 1. A beregner alle b i = D KA (c i ) og nder X 2 og værdien for tiebreak. Han laver signaturen z = sig A (X 2, tiebreak, c i ). Resultaterne (X 2, tiebreak, z ) samt i w, for hvilket det gælder at D A (c iw ) = X 1, sendes til S. Bemærk at i w er et indeks i mængden af c i 'er efter at S har byttet rundt på elementerne altså mængden c i. 2. S udråber vinderen (udfra i w ) og prisen, der skal betales X 2. Bydere har mulighed for at klage. Alle byderne får tilsendt (X 2, tiebreak, z, z ) Kommentar: Før A sender (X 2, tiebreak, z ), skal han tjekke, at sig S (c i ) fra bydefasen er OK for alle i. S skal huske at tjekke z. Byderne kan kontrollere resultatet ved at tjekke signaturene. 4.8 Model 8: The homomorphic auction scheme. Notationen er den samme som i Model 7 med følgende tilføjelser: V er det maksimale antal mulige bud. B er (det maksimalt tilladte) antal bydere. B er en kodning af bi b i. E KA (B bi ; r i ) er bud b i, der er blevet kodet og som er krypteret med public key K A. Krypteringen bruger et random heltal r i. I [2] er foreslået Damgård-Jurik cryptosystem [9]. Her er K A = n = pq, der er et RSA modulus. Et simpel udgave 4 kan være c = E n (B bi ; r i ) = (1 + n) Bb i ri ns mod n, hvor s+1 s 1 D KA (c) Dekrypteringen er ikke så simpel. Lad λ være mindste fælles divisor af p 1 og q 1. Vælg d så d mod n Z n og d = 0 mod λ. Dekrypteringen er i 3 trin. 1) Beregn c d mod n. Det giver s+1 at c d = ((1 + n) Bb i ri ns ) d = (1 + n) Bb i d mod n s (ri ns ) d mod λ = (1 + n) Bb i d mod n. 2) Beregn s B bi d mod n. I [9] ndes der s en algoritme til beregningen. 3) Resultatet af dekrypteringen er B bi d d 1 = B bi 3En sikker kanal beskeden,kangodtse,hvemderharsendtden. er en kanal, hvorfra der ikke kan komme informationer til uvedkommende. Den, der modtager 4Jegharsat j = 1og x = 1ibeskrivelseni[9] 14

17 I beskrivelsen af protokollen bruges en repræsentativ byder. Fasen, hvori der bydes. 1. Byderen beregner c i = E KA (B bi ; r i ) og sender (c i, sig i (c i )) til S. I samme forbindelse beviser byderen overfor S at kodningen og krypteringen er beregnet korrekt via. proof-of-knowledge 5 P K(c i = E KA (B µ ; ρ) (µ < V + 1)). 2. S beregner c Π i c i = E KA ( i Bbi ; i r i) = E KA ( j x jb j ; i r i). Udtrykket j x jb j er en dekodning 6 af i Bbi. Lad C c φ(i), hvor φ(i) er en permutation af rækkefølgen. Lad h H(C), hvor H er en hash-funktion. Lad z = sig S (h, c). S sender C til byderen og publicerer (c, z), det vil sige sender (c, z) til byderne og A Kommentar: S skal huske at vericere signaturen fra byderen. Byderen skal vericerer at c i C, c = Π c Cc og vericere signaturen z. Fasen, hvor budene åbnes. 1. A dekrypterer budene dvs. beregner D KA (c) = j x jb j. Dernæst nder A næsthøjeste bud X 2, tiebreak og laver signaturen z = sig A (X 2, tiebreak). A sender (X 2, tiebreak, z) til S og i den forbindelse beviser A for S, at beregningerne af (X 2, tiebreak) er lavet rigtig. 2. S publicerer (X 2, z, z ), hvor z = sig S (X 2, z) er S's signatur. Publiceringen sker på et Authenticated medium. 3. Vinderen gør selv opmærksom på, at han er vinderen. Kommentar: I protokollen skal S huske at vericere signaturen fra A. I beskrivelsen af protokollen har jeg ikke gjort noget ud af, hvad der sker hvis tiebreak = 1, altså hvis der er ere vindere. Det skyldes, at der her er mulighed for at lave forskellige regler mht., hvad man synes virker rigtigt og hvilken auktion, der er tale om. 4.9 Model 9: Discreet Vickrey Auction. Notation: i b i er nummeret på en bestemt byder i auktionen. er et bud fra en byder er det lavest tilladelige beløb, der må bydes er det højst tilladelige beløb, der må bydes L H 5Notationen P K(c i = E KA (B µ ; ρ) (µ < V + 1)) betyder, at P rover skal bevise, at han kender budet µ og randomheltallet ρ(degræskebogstaveriudtrykket)såledesat c i = E KA (B µ ; ρ)ogsåledesat µ < V + 6Betragt 1. i i. Idekodningengælderdetom atnde Bb x j'erså i Bb i = j,hvor j x jb j muligebud.detses,athvis2bydere gennemløberalle i 1 og i 2 harbudtdetsamme,såvil x j = 2,for j = b i1 = b i2 15

18 B i K Bi SDE KBi (b i ) AU K sig Bi (1) X i er byder nummer i er byder nummer i's public key er et bud der er krypteret af byder B i med hans egen nøgle K Bi og hvor han har brugt metoden Selective Disclosure Envelope (SDE) til det. Auktionarius et 1-tal, der er signeret af B i er det i'te højeste bud Fasen, hvori der bydes. 1. Alle bydere sender deres SDE KBi (b i ) til en internetopslagstavle. Fasen, hvori vinderen ndes. 1. AUK spørger om der er nogen, der vil betale det højst tilladelige bud, som her noteres bud(h). Byderne svarer ved at sende sig Bi (1) for ja og sig Bi (0) for nej Hvis der er mindst 2, der melder sig, er auktionen slut. Det vil sige, AUK har fundet de to med de 2 højeste bud. Hvis ikke fortsætter auktionen (efterfølgende punkter). 2. AUK spørger om der er nogen, der vil betale det næsthøjst tilladte bud bud(h 1). Hvis nu de to med de 2 højeste bud er fundet, er auktionen slut Hvis ikke fortsætter auktionen. 3. og så videre! - indtil de to med de 2 højeste bud er fundet. Fasen, hvori resultatet vericeres. 1. Byderne med X 1 go X 2 skal åbne (dekryptere) deres bud. 2. Resterende bydere skal efterfølgende bevise at deres bud er mindre end X 2 ved at bruge discreet proofs Bemærkning 1: Alle parter kommer til at kende X 1 og X 2. Bemærkning 2: Modellen skal implementeres, så det er muligt for byderne at tjekke, om andres bud er mindre end X 2. Dette vil nok virke smartest, hvis det kan lade sig gøre ved, at byderne kan klikke på de andres bud på en hjemmeside Parternes adgang til information i de forskellige modeller I dette afsnit er der tabeller over de informationer, de involverede parter og oentligheden står tilbage med efter, der har været en auktion. Tabellerne er 4.5 og 4.6. Notationen fremgår af tabel 16

19 Tabel 4.4: Notation i afsnit B i(x1) er den byder, der har budt højst. (nummeret i er her en funktion af et bestemt bud - I dette udtryk det højeste bud). B i(x2) er den byder, der har budt næsthøjst. (b i, B i ) i I er mængden af alle bud og bydere. Det er altså muligt at forbinde den der har afgivet et bud med selve budet. b i(x1) Det højeste bud. Budet b er her en funktion af i, der igen er en funktion af X 1 I er en mængde af bydere. I er antallet af bydere. S er sælger. AU K er auktionarius A er en autoritet P U B er oentligheden (Public) AHB AHB-protokollen 4.4. I tabellerne 4.5 og 4.6 er det værd at bemærke, at Model 4 er ligesom model 3. Men der er ere auktionariusser, der deler alle informationer om hvem, der bød hvad. Model 5 er en første buds auktion. Model 8 er ligesom model 7 mht. til adgang til informationer. AHB-protokollen er taget med her, selvom den ikke er beskrevet endnu. Den bliver grundigt beskrevet i kapitel Sammenligning af modellerne Model 2 Auktioner med plaintext-oentliggørelse af budene er en Vickrey auktion, hvis den implementeres som en second-bid-auction. Model 2 vil så yderligere være præciseret, da der i denne bruges en hash-funktion til forsegling. Model 1 kan dog også være en rst-bid-auction. I begge modeller er det dem der byder, der selv fjerner forseglingen. I modellerne 3 og 4 er det ikke byderne selv, der fjerner forseglingen. I model 3 er der en eller ere auktionariusser, som kan fjerne forseglingerne. I model 4 er der ere auktionariusser der i fællesskab kan fjerne forseglingerne. Model 4 er et specialtilfælde af model 3. I Begge modeller er det grundlæggende, at først laver byderne en commitment til deres bud. Når alle har gjort det indsender byderne deres krypterede (forseglede) bud. Model 5 er et specialtilfælde af model 2 implementeret som rst-bid-auction. Model 6 er en mere raneret udgave af Model 3. Der er i Model 6 laver nogle tilføjelser, for at sikre noget anonymitet til byderne. Den væsentligste forskel er, at der bliver yttet informationer om identitet og bud fra auktionarius (som kan være sælger) til en autoritet. Model 7 og 8 ligner meget hinanden. Det er autoriteten og sælgeren, der i fællesskab knytter forbindelsen mellem det højeste bud og den, der kom med det højeste bud. I model 7 er der mere tillid til autoriteten, men undgår brug af cryptographic protocols og laver ikke store begrænsninger på værdierne af B og V. Tilliden til autoriteten kan forklares på følgende måde. I Model 7 kan en 17

20 Tabel 4.5: De informationer den højstbydende B i(x1) og næsthøjstbydende B i(x2) får i de forskellige modeller i forbindelse med en auktion. Model B i(x1) B i(x2) 1 X 1,X 2,B i I B i(x1),b i I,X 1,X 2 2 (b i, B i ) i I (b i, B i ) i I 3 I,B i(x1),x 2 I,B i(x1),x 2 4 I,B i(x1),x 2 I, B i(x1),x 2 5 X 1 B i(x1),b i(x1) 6 b i I B i(x1),b i I 7 X 2 B i(x1),x 2 8 X 2 B i(x1),x 2 9 X 2,B i(x2), I X 1,B i(x1), I AHB X 2 X 2 Tabel 4.6: De informationer S, AUK, A og P UB får i de forskellige modeller i forbindelse med en auktion. Model S AUK A P UB 1 B i(x1),b i I,X 1, X 2 B i(x1),b i I,X 1,X 2 - B i(x1),b i I,X 1, X 2 2 (b i, B i ) i I (b i, B i ) i I - (b i, B i ) i I 3 I,B i(x1),x 2 (b i, B i ) i I - I, B i(x1), X 2 4 I,B i(x1),x 2 (b i, B i ) i I - I,B i(x1),x 2 5 B i(x1), b i(x1) B i(x1),b i(x1) - B i(x1),b i(x1) 6 B i(x1),b i I B i(x1),b i I (b i, B i ) i I B i(x1),b i I 7 B i(x1),x 2 - b i I,B i(x1) B i(x1),x 2 8 B i(x1),x 2 - b i I,B i(x1) B i(x1),x 2 9 (X j,b i(xj)) j=1,2, I (X j,b i(xj)) j=1,2, I - (X j,b i(xj)) j=1,2, I AHB B i(x1),x 2 B i(x1),x 2 - X 2 18