[論文レビュー] A New Path to Code-based Signatures via Identification Schemes with Restricted Errors

Marco Baldi, Massimo Battaglioni+5 more|arXiv (Cornell University)|Aug 14, 2020

Coding theory and cryptography参考文献 26被引用数 8

ひとこと要約

本稿では、制限された誤りパターンを用いた識別プロトコルと、二進ベクトル上の階層的マージ構造を組み合わせることで、検証の計算量を低減する、新しいコードベース署名方式を提案する。誤り分布を慎重に制約し、再帰的マージを通じて生存確率を分析することで、ランダムな線形コードのデコーディングの困難性の下で、安全性を維持しつつも、効率性を向上させた。

ABSTRACT

In this paper we introduce a variant of the Syndrome Decoding Problem (SDP), that we call Restricted SDP (R-SDP), in which the entries of the searched vector are defined over a subset of the underlying finite field. We prove the NP-completeness of R-SDP, via a reduction from the classical SDP, and describe algorithms which solve such new problem. We study the properties of random codes under this new decoding perspective, in the fashion of traditional coding theory results, and assess the complexity of solving a random R-SDP instance. As a concrete application, we describe how Zero-Knowledge Identification (ZK-ID) schemes based on SDP can be tweaked to rely on R-SDP, and show that this leads to compact public keys as well as significantly reduced communication costs. Thus, these schemes offer an improved basis for the construction of code-based digital signature schemes derived from identification schemes through the well-know Fiat-Shamir transformation.

研究の動機と目的

• 量子攻撃に対して耐性を持つ、より効率的なコードベース署名方式の設計。
• 識別プロトコルにおける誤りパターンの制限を通じて、従来のコードベース署名の計算オーバーヘッドを低減すること。
• 構造的なベクトルマージ技術を用いて、有効な署名を発見する確率を向上させること。
• 二分木に類似した構造における多段階マージを通じて、候補解の生存確率を形式化すること。
• ランク距離デコーディング仮定の下で、署名サイズ、検証時間、セキュリティの間で実用的なトレードオフを達成すること。

提案手法

• 本手法は、長さ $\frac{k+\ell}{2^a}$ の $2^a$ 個のバイナリベクトルチャンクに対して、階層的マージ処理を適用し、候補解の検証を行う。
• 各段階でペアのベクトルが組み合わされ、そのシンディームに類する積の特定の位置にゼロパターンが存在するかをチェックする再帰的マージ戦略を適用する。
• 各マージ段階で、最後の $u_i - u_{i-1}$ ビットにおいて特定のシンディーム条件を満たすベクトルのみが生存するように、誤りパターンを制限する。
• 各段階 $i$ におけるベクトル $\mathbf{x}$ の生存確率は、$\mathbf{H}^{\prime\prime}$ と $\mathbf{x}$ がランダムであると仮定して、$q^{-(u_i - u_{i-1})}$ とモデル化される。
• 全段階を通じた総合生存確率は、個々の確率の積として計算される：$\prod_{i=1}^{a} \left(q^{-(u_i - u_{i-1})}\right)^{2^{a-i}-1}$。
• 本手法は、全段階でマージ条件を満たすベクトルのみを保持することで、誤検出を最小限に抑えつつ、有効な解を保持する。

実験結果

リサーチクエスチョン

• RQ1 コードベース識別方式における誤りパターンをどのように制限すれば、署名の効率性を向上させられるか？
• RQ2 コードベース識別プロトコルにおいて、階層的マージプロセスを通じて有効な解が生存する確率はどの程度か？
• RQ3 構造的なマージアプローチを用いることで、セキュリティを損なわずにコードベース署名の検証コストを低減できるか？
• RQ4 $u_i - u_{i-1}$ の選択が、検証パイプライン内での候補ベクトルの生存確率にどのように影響するか？
• RQ5 効率性を最大化するために、ベクトルチャンクサイズとマージ段階数の最適なバランスは何か？

主な発見

• ランダムな $\mathbf{H}^{\prime\prime}$ と $\mathbf{x}$ を仮定した場合、ベクトル $\mathbf{x}$ が $i$ 番目のマージ段階を通過する生存確率は $q^{-(u_i - u_{i-1})}$ である。
• 全段階を通じた総合生存確率は $\prod_{i=1}^{a} \left(q^{-(u_i - u_{i-1})}\right)^{2^{a-i}-1}$ であり、これは有効な解が保持される確率を定量化する。
• 条件1（ペアワイズマージ）は条件2（最終シンディームチェック）を含意するため、独立したチェックの数を削減できる。
• ベクトル $\mathbf{x}$ が探索されたベクトルの一部である確率は、$\mathbf{x} \in \mathcal{R}_0 \times \cdots \times \mathcal{R}_{2^a - 1}$ を仮定して $2^{2^a - k - \ell}$ である。
• 本手法は、全マージ制約を満たすベクトルのみを最終リストに含めるため、誤検出を顕著に低減する。
• 誤り空間とマージプロセスの構造化により、署名サイズと検証時間の間で有利なトレードオフを達成する。