[論文レビュー] A Diffie-Hellman Key Exchange Using Matrices Over Non Commutative Rings

Mohammad Eftekhari|arXiv (Cornell University)|Sep 27, 2012

graph theory and CDMA systems参考文献 9被引用数 5

ひとこと要約

本稿では、有限体 Fq 上の対称群 S₃ の群代数 Fq[S₃] 上の 2×2 可逆行列を用いた非可換 Diffie-Hellman キー交換を提案する。これは、可換な行列群における行列式や固有値を利用した離散対数攻撃に対して耐性を持つ。プロトコルは指数演算を隠すために共役を用い、著者らは標準的な固有値や共役探索に基づく攻撃が非可換構造のため失敗することを示しており、キーレイヤー交換の安全な基盤を提供する。

ABSTRACT

We consider a key exchange procedure whose security is based on the difficulty of computing discrete logarithms in a group, and where exponentiation is hidden by a conjugation. We give a platform-dependent cryptanalysis of this protocol. Finally, to take full advantage of this procedure, we propose a group of matrices over a noncommutative ring as platform group

研究の動機と目的

• 有限体上の行列ベースの Diffie-Hellman プロトコルの脆弱性に対処すること。特に、行列式や固有値を介して有限体上の離散対数問題に還元される点に起因する。
• 可換でない環上の行列群が、このような還元を避けることでキーレイヤー交換の安全な基盤として機能するかを検討すること。
• 有限体 Fq 上の対称群 S₃ の群代数 Fq[S₃] を用いた GL₂(Fq[S₃]) を具体的な基盤として提案・分析すること。
• 標準的な cryptanalytic 手法（固有値解析、共役探索、線形表現など）が、提案されたプロトコルに対して失敗することを示すこと。
• 非可換な準行列式と非可換環上の行列代数を活用することで、安全かつ実装可能なキーレイヤー交換メカニズムを提供すること。

提案手法

• 有限体 Fq 上の対称群 S₃ の群代数 Fq[S₃] という非可換環上の行列を用い、キーレイヤー交換のための基盤群を構築する。
• 指数演算を隠すために共役を用いる：共有秘密は TXᵃT⁻¹ であり、T は秘密の共役行列、X は公開行列である。
• Baby-Step Giant-Step アルゴリズムを改変し、可能な Xᵏ のべき乗を探索し、候補となる行列 Tₓ,ᵧ による共役をテストすることで、秘密の指数 a を計算する。
• 非可換な設定における行列不変量を定義するために、準行列式および非可換行列式（Gelfand-Retakh の定義による）を用い、可換行列式の性質に依存しないようにする。
• 可逆な対角成分を持つブロック下三角形形式を用いて GL₂(Fq[S₃]) 内の可逆行列を構築し、可逆性を保証するとともに、効率的なキーレイヤー生成を可能にする。
• Wedderburn の定理を適用し、Fq[S₃] ≃ Fq ⊕ Fq ⊕ Mat₂(Fq) と分解することで、|GL₂(Fq[S₃])| = q⁸(q−1)⁸(q+1)⁴(q²+1)(q²+q+1) を計算し、順序推定およびセキュリティパラメータ選定に用いる。

実験結果

リサーチクエスチョン

• RQ1 Fq[S₃] などの非可換環上の行列群は、可換な行列群における行列式や固有値構造を利用した標準的な離散対数攻撃に対して耐性を示すか？
• RQ2 GL₂(Fq[S₃]) 上での共役に基づく指数演算の隠蔽は、固有値還元や共役探索といった既知の cryptanalytic 手法を防げるか？
• RQ3 非可換環上の行列を用いて、有限体上の行列群の欠陥を避ける安全で効率的なキーレイヤー交換を構築できるか？
• RQ4 GL₂(Fq[S₃]) のサイズと構造は何か？また、暗号的セキュリティのための大きな位数の要素選択をどのように支援するか？
• RQ5 Baby-Step Giant-Step や Pollard の rho アルゴリズムが、Xᵃ が共役形 TXᵃT⁻¹ に隠されているために、どれほど不適応となるか？

主な発見

• 行列式や固有値の手法が非可換環では機能しないため、本プロトコルは標準的な離散対数攻撃に対して耐性を持つ。det(X) = 1 であっても、非可換構造のため、問題が Fq* に還元されない。
• Xᵃ の共役類は攻撃者には未知である。バターン群プロトコルとは異なり、共役類内での探索に基づく攻撃は効果を示さない。
• 準行列式および非可換行列式の使用により、非可換設定下でも行列不変量を定義でき、可換行列式の性質に依存しなくなる。
• 群 GL₂(Fq[S₃]) の位数は |GL₂(Fq[S₃])| = q⁸(q−1)⁸(q+1)⁴(q²+1)(q²+q+1) であり、|Fq| ≃ 2⁴⁰ のとき、位数 ≥2⁸⁰ の要素を選択可能で、セキュリティに適している。
• 改変された Baby-Step Giant-Step アルゴリズムは O(max(n, q²)) 時間で実行され、n は X の位数である。著者らは、実用的セキュリティのため、|Fq| ≃ 2⁴⁰ および n ≥ 2⁸⁰ を推奨する。
• 非可換環の構造のおかげで、線形表現攻撃に対しても本基盤は安全である。非可換性により、有限体上の行列群への還元が不可能になる。