[論文レビュー] A Survey on Code-Based Cryptography

Violetta Weger, Niklas Gassner+1 more|arXiv (Cornell University)|Jan 18, 2022

Coding theory and cryptography被引用数 7

ひとこと要約

本調査は、公開鍵暗号方式における効率的に復号可能な符号の安全性に焦点を当てたコードベース暗号を調査する。生成行列を公開にできるのは、パリティ検査行列をランダムに選択し、追加された誤りが公開符号の誤り訂正能力を超えるためであり、シンドロームに基づく復号の困難さによって安全性を確保している。

ABSTRACT

The improvements on quantum technology are threatening our daily cybersecurity, as a capable quantum computer can break all currently employed asymmetric cryptosystems. In preparation for the quantum-era the National Institute of Standards and Technology (NIST) has initiated in 2016 a standardization process for public-key encryption (PKE) schemes, key-encapsulation mechanisms (KEM) and digital signature schemes. In 2023, NIST made an additional call for post-quantum signatures. With this chapter we aim at providing a survey on code-based cryptography, focusing on PKEs and signature schemes. We cover the main frameworks introduced in code-based cryptography and analyze their security assumptions. We provide the mathematical background in a lecture notes style, with the intention of reaching a wider audience.

研究の動機と目的

• 効率的に復号可能な符号を用いたコードベース暗号方式の安全性の基盤を分析すること。
• 生成行列を安全に公開できる理由を説明すること。
• 誤りの重みが訂正能力を超えることが、システムの安全性を維持する役割を果たす理由を調査すること。
• 送信ベクトルと誤りパターンの間のシンドローム的関係を明確にすること。

提案手法

• 論文は、パリティ検査行列 H を定義するためにランダムなベクトル h の選択を用い、構造の予測不可能性を保証する。
• 公開符号を、既知の生成行列を持つ線形符号としてモデル化するが、H を通じて隠れた構造を有する。
• この手法は、シンドローム復号問題に依存する：与えられたシンドローム u に対して、u = H^T * e を満たす低重みベクトル e を見つけること。
• 攻撃者が効率的に復号できないのは、誤りベクトル e が公開符号の誤り訂正能力を超える重みを持つためである。
• H を通じたシンドローム u と s の変換により、安全な鍵交換や暗号化が可能になる。
• 安全性は、高重み誤りを伴うランダム線形符号の復号が計算的に困難であることに基づく。

実験結果

リサーチクエスチョン

• RQ1 効率的に復号可能な符号の生成行列を、セキュリティを損なわずに公開できるのはなぜか？
• RQ2 誤りベクトルの重みが公開符号の訂正能力を超えると、なぜセキュリティが保証されるのか？
• RQ3 h のランダム選択がパリティ検査行列 H の構築に果たす役割は何か？
• RQ4 シンドローム u と s は、復号プロセスにおける誤りベクトルとどのように関係しているか？
• RQ5 誤り重みが大きい場合、なぜ攻撃者にとってシンドロームベースの復号が非効率的になるのか？

主な発見

• 公開された生成行列は、元のパリティ検査行列 H がランダムな h から導出されるため、符号の構造が隠されているため安全に保たれる。
• 符号語に追加された誤りベクトルの重みは、公開符号の誤り訂正能力を超えており、攻撃者が効率的に復号できない。
• シンドローム u と s は公開された H 行列を用いて計算されるが、元の誤りベクトルの回復は計算的に困難である。
• システムの安全性は、高重み誤りを伴うランダム線形符号の復号が困難であることに依存する。
• H を通じたシンドロームの変換により、公開パラメータがあっても秘密鍵が保護される。