[論文レビュー] A new zero-knowledge code based identification scheme with reduced communication

Carlos Aguilar, Philippe Gaborit+1 more|arXiv (Cornell University)|Nov 7, 2011

Coding theory and cryptography参考文献 3被引用数 4

ひとこと要約

本稿では、二重巡回行列を用いたシンドローム復号問題に基づく、ゼロ知識認証方式を提案する。従来の符号ベース方式と比較して通信コストを40%削減した。サイクリックシフトに基づくチャレンジと圧縮されたハッシュコミットメントを導入することで、2^16のセキュリティレベルでは認証通信量を19 kbに、2^80のセキュリティレベルでは署名サイズを93 kbにまで削減した。また、数百ビット程度の小さな公開鍵および秘密鍵を維持するとともに、偽装確率は1/2に近づけた。

ABSTRACT

In this paper we present a new 5-pass identification scheme with asymptotic cheating probability 1/2 based on the syndrome decoding problem. Our protocol is related to the Stern identification scheme but has a reduced communication cost compared to previous code-based zero-knowledge schemes, moreover our scheme permits to obtain a very low size of public key and secret key. The contribution of this paper is twofold, first we propose a variation on the Stern authentication scheme which permits to decrease asymptotically the cheating probability to 1/2 rather than 2/3 (and very close to 1/2 in practice) but with less communication. Our solution is based on deriving new challenges from the secret key through cyclic shifts of the initial public key syndrome; a new proof of soundness for this case is given Secondly we propose a new way to deal with hashed commitments in zero-knowledge schemes based on Stern's scheme, so that in terms of communication, on the average, only one hash value is sent rather than two or three. Overall our new scheme has the good features of having a zero-knowledge security proof based on well known hard problem of coding theory, a small size of secret and public key (a few hundred bits), a small calculation complexity, for an overall communication cost of 19kb for authentication (for a $2^{16}$ security) and a signature of size of 93kb (11.5kB) (for security $2^{80}$), an improvement of 40% compared to previous schemes based on coding theory.

研究の動機と目的

• 2^80のセキュリティレベルで150 kbを超える通信コストを示していた従来の符号ベースゼロ知識認証方式の通信コストを低減すること。
• 標準的なスターン型方式の2/3という境界を超えて、偽装確率を約1/2にまで低下させること。
• よく研究されたシンドローム復号問題に基づくセキュリティを保ちつつ、公開鍵および秘密鍵のサイズを数百ビット程度に維持すること。
• 複数のハッシュコミットメントを平均して1つの値に圧縮することで、コミットメントの送信を最適化すること。
• 通信帯域と計算コストの負荷を低減した、符号ベースゼロ知識プロトコルの実用的導入を可能とすること。

提案手法

• 5パス構造に基づくプロトコルを採用し、秘密鍵のシンドロームのサイクリックシフトから得られるチャレンジを用いることで、有効なチャレンジの数を増加させる。
• 修正されたチャレンジメカニズムの妥当性を示す新しい正当性の証明を提示し、偽装確率が漸近的に1/2に近づくことを示した。
• 複数のハッシュコミットメントを平均して1つの値に圧縮する新しいコミットメント圧縮技術を導入し、通信コストを削減した。
• 二重巡回行列を活用することで、公開鍵をコンactに表現し、そのサイズを数百ビットにまで削減した。
• 秘密鍵は長さnの低重み誤りベクトルとして表現され、構造化された生成行列からシンドロームが導出される。
• ファイアット・シャマー変換を適用し、認証方式を署名方式に変換。2^80セキュリティレベルでは署名サイズが93 kbにまで削減された。

実験結果

リサーチクエスチョン

• RQ1 符号ベースゼロ知識認証方式の通信コストを、セキュリティや鍵サイズに影響を与えることなく40%以上削減することは可能か？
• RQ2 2/3という境界から1/2に偽装確率を低下させつつ、ゼロ知識セキュリティを維持し、通信コストを削減することは可能か？
• RQ3 送信されるハッシュコミットメントの数を2つまたは3つから平均して1つに削減することは、プロトコルのセキュリティを弱めるものではないか？
• RQ4 二重巡回行列の使用は、公開鍵および秘密鍵のサイズを最小限に抑えつつ、基礎となるシンドローム復号問題の難易度を保つのにどの程度有効か？
• RQ5 標準的なセキュリティレベル（例：2^80および2^128）における実世界での展開を想定した、提案方式の実用的通信コストおよび計算コストはどの程度か？

主な発見

• 提案方式は、従来の符号ベースゼロ知識方式と比較して通信コストを40%削減し、2^16セキュリティレベルでは認証通信量が19 kbにまで削減された。
• 署名サイズは2^80セキュリティレベルで93 kbにまで削減され、従来の方式の155 kbから大幅に低減された。
• 二重巡回行列を用いることで、公開鍵サイズは350ビットに、秘密鍵サイズは700ビットにまで削減され、従来の方式と比べて顕著に小さくなった。
• 偽装確率は約1/2にまで低下し、認証方式では攻撃者の実際の成功確率が2^-16にまで抑えられた。
• 2^16セキュリティレベルではプローバーの計算コストがF2上2^21回の演算を要し、2^80署名セキュリティレベルではF256上2^16回の乗算を要した。
• σ(e_r)に定重み符号化を適用することで、認証通信コストを17 kb、署名サイズを79 kbにさらに削減可能だが、その代わりに複雑性が増加する。