[論文レビュー] A New Non-MDS Hash Function Resisting Birthday Attack and Meet-in-the-middle Attack

Shenghui Su, Tao Xie+1 more|arXiv (Cornell University)|Aug 26, 2014

Cryptographic Implementations and Security参考文献 31被引用数 3

ひとこと要約

本稿では、多変数置換問題と異常部分積問題の両方に基づく、非Merkle-Damgård（non-MDS）なハッシュ関数JUNAを提案する。これら2つの問題には、既知の部分指数時間解法が存在しない。設計により、一方向性、弱衝突耐性、強衝突耐性が保証され、誕生日攻撃およびミートインザミドル攻撃に対する安全性がO(2^m)であることが証明されており、リソース制約環境（例：軽量デジタル署名方式）に適した軽量なハッシュ関数である。

ABSTRACT

To examine the integrity and authenticity of an IP address efficiently and economically, this paper proposes a new non-Merkle-Damgard structural (non-MDS) hash function called JUNA that is based on a multivariate permutation problem and an anomalous subset product problem to which no subexponential time solutions are found so far. JUNA includes an initialization algorithm and a compression algorithm, and converts a short message of n bits which is regarded as only one block into a digest of m bits, where 80 <= m <= 232 and 80 <= m <= n <= 4096. The analysis and proof show that the new hash is one-way, weakly collision-free, and strongly collision-free, and its security against existent attacks such as birthday attack and meet-in-the- middle attack is to O(2 ^ m). Moreover, a detailed proof that the new hash function is resistant to the birthday attack is given. Compared with the Chaum-Heijst-Pfitzmann hash based on a discrete logarithm problem, the new hash is lightweight, and thus it opens a door to convenience for utilization of lightweight digital signing schemes.

研究の動機と目的

• IPアドレスの整合性検証など、リソース制約環境に適した軽量かつ安全なハッシュ関数の設計。
• MDSに基づく既存のハッシュ関数の限界を克服するため、衝突攻撃に対して脆弱なMerkle-Damgård構造を回避すること。
• 誕生日攻撃やミートインザミドル攻撃といった一般的な攻撃に対して、一方向性、弱衝突耐性、強衝突耐性を有する強力な暗号的セキュリティ特性を確保すること。
• 多変数置換問題と異常部分積問題という2つの困難な問題に基づくセキュリティを構築し、これら2つに部分指数時間解法が既知でないこと。
• 計算オーバーヘッドを低減しつつも高いセキュリティを維持するため、軽量デジタル署名方式の実用的導入を可能とすること。

提案手法

• ハッシュ関数JUNAは、内部状態を初期化するアルゴリズムと、nビットのメッセージブロックを1つのmビットのダイジェストに処理する圧縮アルゴリズムから構成される。ここで、80 ≤ m ≤ 232 かつ 80 ≤ m ≤ n ≤ 4096 である。
• セキュリティは、多変数多項式系において変数を置換する問題（多変数置換問題）に基づき、効率的な解法が知られていない。
• 異常部分積問題が二次的な困難な問題として統合されており、これにより部分指数時間攻撃が既知でないことが保証される。
• 圧縮関数は、計算効率を確保するとともに、一方向性および衝突耐性の性質を維持するように設計されている。
• 誕生日攻撃およびミートインザミドル攻撃に対するセキュリティレベルがO(2^m)であることを示す形式的証明が提供されている。これは、基礎となる問題の困難さに依存する。
• Merkle-Damgård構造を回避することで、反復的ハッシュ構造に起因する脆弱性が低減される。

実験結果

リサーチクエスチョン

• RQ1 誕生日およびミートインザミドル攻撃に対して耐性を持つ非MDSハッシュ関数を、困難な数学的問題に基づいて構築可能か？
• RQ2 既知の cryptanalytic テクニックに対してO(2^m)のセキュリティを達成しつつ、軽量な効率性を維持することは可能か？
• RQ3 多変数置換問題と異常部分積問題の組み合わせにより、安全で一方向的かつ衝突耐性のあるハッシュ関数を構築可能か？
• RQ4 Merkle-Damgård構造を避けることで、軽量ハッシュ設計における構造的攻撃に対する耐性が向上するか？
• RQ5 このような構成が、実用的な軽量デジタル署名方式に導入可能か？

主な発見

• JUNAは、基礎となる多変数置換問題と異常部分積問題が困難であるという仮定の下で、一方向性、弱衝突耐性、強衝突耐性を達成する。
• JUNAの誕生日攻撃およびミートインザミドル攻撃に対するセキュリティは、形式的にO(2^m)であることが証明されている。ここでmは出力ダイジェストサイズである。
• JUNAは計算効率が高く、IPアドレス認証のようなリソース制約環境への展開に適した軽量ハッシュ関数である。
• 基礎となる2つの困難な問題に対して、部分指数時間解法は既知でない。これらがJUNAのセキュリティを支えている。
• 離散対数に基づくChaum-Heijst-Pfitzmannハッシュ関数と比較して、JUNAは同等のセキュリティを達成しつつ、計算オーバーヘッドを低減している。
• 理論的分析および形式的証明を通じて構成が検証されており、『Theoretical Computer Science』（v654, 2016, pp.128–142）に掲載されている。