[論文レビュー] A new key exchange protocol based on the decomposition problem

Vladimir Shpilrain, Alexander Ushakov|ArXiv.org|Dec 6, 2005

Cryptography and Data Security参考文献 12被引用数 5

ひとこと要約

この論文は、非アーベル群における分解問題に基づく新しい鍵交換プロトコルを提案し、1つの部分群を隠すことでセキュリティを強化するとともに、プライベートキーを異なる部分群から選ぶ仕組みを導入することで、攻撃者が利用する構造的パターンを遮断する。攻撃者が攻撃を開始する前に部分群の中心化群を計算する必要があるため、長さに基づく攻撃に対して耐性を示し、バレー群プラットフォームにおいても耐性が向上する。

ABSTRACT

In this paper we present a new key establishment protocol based on the decomposition problem in non-commutative groups which is: given two elements $w, w_1$ of the platform group $G$ and two subgroups $A, B \subseteq G$ (not necessarily distinct), find elements $a \in A, b \in B$ such that $w_1 = a w b$. Here we introduce two new ideas that improve the security of key establishment protocols based on the decomposition problem. In particular, we conceal (i.e., do not publish explicitly) one of the subgroups $A, B$, thus introducing an additional computationally hard problem for the adversary, namely, finding the centralizer of a given finitely generated subgroup.

研究の動機と目的

• 非アーベル群における既存の分解に基づく鍵交換プロトコルが長さ攻撃に対して脆弱である問題を解決すること。
• 分解問題に関与する部分群の1つを明示的に公開しないことで、セキュリティを向上させること。
• 各参加者が相手の中心化群からプライベートキーを選択する新しい鍵選択メカニズムを導入し、攻撃者が利用する構造的パターンを崩すこと。
• 有限生成部分群の中心化群 $ C_G(S) $ を計算することが計算的に困難であるという仮定の下で、プロトコルが安全であることを保証すること。
• バレー群、非アーベル暗号の代表的プラットフォーム群としての利用にふさわしい、プロトコルのセキュリティと実用性を評価すること。

提案手法

• プロトコルは、バレー群 $ B_n $ のような非アーベル群 $ G $ をプラットフォーム群として用い、正規形が効率的に計算可能であることを前提とする。
• アリスは $ a_1 \in G $ を選択し、$ A \subseteq C_G(b_2) $ を計算し、$ A $ の生成子を公開する。ボブは $ b_2 \in G $ を選択し、$ B \subseteq C_G(a_1) $ を計算し、$ B $ の生成子を公開する。
• アリスは $ P_A = N(a_1 w a_2) $ を計算し、$ a_2 \in \langle \beta_1, \dots, \beta_m \rangle $ とし、$ P_A $ をボブに送信する。
• ボブは $ P_B = N(b_1 w b_2) $ を計算し、$ b_1 \in \langle \alpha_1, \dots, \alpha_k \rangle $ とし、$ P_B $ をアリスに送信する。
• アリスは $ K_A = a_1 P_B a_2 $ を計算し、ボブは $ K_B = b_1 P_A b_2 $ を計算する。$ a_1 b_1 = b_1 a_1 $ および $ a_2 b_2 = b_2 a_2 $ の可換性により、共有鍵 $ K = K_A = K_B $ を一致させる。
• セキュリティは、有限生成部分群 $ S $ に対する中心化群 $ C_G(S) $ の計算が計算的に困難であることに依存しており、一般にバレー群における任意の部分群に対して実用的に不可能であると仮定される。

実験結果

リサーチクエスチョン

• RQ1 分解問題において1つの部分群を隠すことで、非アーベル群鍵交換における長さ攻撃に対する耐性が顕著に向上するか？
• RQ2 相手の中心化群からプライベートキーを選択するクロス部分群方式（すなわち、相手の中心化群から選ぶ）が、攻撃者が利用する構造的パターンを崩すか？
• RQ3 バレー群において、有限生成部分群の中心化群を計算することは、標準的な仮定のもとで計算的に困難な問題か？
• RQ4 共有鍵 $ K $ が形式 $ awb $ のランダムな要素と区別可能か？この結果が意味論的セキュリティに与える影響は？
• RQ5 プロトコルのセキュリティは、バレー群における二重コセット $ H \cdot w \cdot H' $ における属する検索問題の困難さにどの程度依存しているか？

主な発見

• 攻撃者が $ a_1 $ がどの部分群から選ばれたかを特定できないため、長さに基づく攻撃に対してプロトコルは耐性を示す。これは、$ C_G(B) $ を事前に計算する必要があるが、その計算が計算的に困難であるためである。
• 中心化群 $ C_G(a_1) $ および $ C_G(b_2) $ を隠れた部分群として用いることで、攻撃者に対する追加の計算的困難さが生じる。
• $ n = 64 $ のバレー群 $ B_n $ では、正規形と群演算が効率的に計算可能であり、実用的実装を可能にする。
• プロトコルのセキュリティは、有限生成部分群 $ S $ に対する $ C_G(S) $ の計算が困難であるという仮定に基づくが、これは $ SSS(g) $ のようなサミット集合の指数的サイズのため成立する。
• 意味論的セキュリティは一部の状況で損なわれる。これは、共有鍵 $ K $ が $ \pi: B_n \to S_n $ のような準同型写像を通じて情報漏洩を引き起こす可能性があるためであり、特に $ w^{-1}P_B $ が純バレー群でない場合に顕著である。
• 共有鍵の直接的な使用は、バレー群の準同型写像における検出可能な置換構造のため、追加のオブスクリューションなしでは意味論的セキュアな暗号に使用できない。