[論文レビュー] Chosen-ciphertext attack on noncommutative Polly Cracker

Stanislav Bulygin|ArXiv.org|Aug 2, 2005

Coding theory and cryptography参考文献 1被引用数 4

ひとこと要約

この論文は、非可換多項式環における無限グレブナー基底に基づいて提唱された Rai の非可換ポリークラッカー暗号方式が、選択暗号文適応攻撃に対して脆弱であることを示している。攻撃者は1つの巧みに設計された「偽の」暗号文を送信するだけで、秘密鍵の構造を回復し、以降のすべてのメッセージを完全に復号可能となり、選択暗号文適応性の下でこのシステムは安全でないことが判明する。

ABSTRACT

We propose a chosen-ciphertext attack on recently presented noncommutative variant of the well-known Polly Cracker cryptosystem. We show that if one chooses parameters for this noncommutative Polly Cracker as initially proposed, than the system should be claimed as insecure.

研究の動機と目的

• 非可換ポリークラッカー暗号方式が選択暗号文攻撃に対して安全であるかを調査すること。
• 有限体上の非可換代数における無限グレブナー基底の使用が、十分なセキュリティを提供するかを特定すること。
• 適応的選択暗号文クエリを用いて秘密鍵構造を再構築できるかを分析すること。
• 既知の可換多項式に基づく暗号方式における脆弱性を非可換多項式に基づく暗号方式へと拡張すること。

提案手法

• 形式 $ c' = t \cdot \text{tip}(g) \cdot s + \sum F_{ij}q_iH_{ij} $ の「偽の」暗号文を構築する。ここで $ t $ と $ s $ は多項式の構造を隠すために用いられる。
• 暗号文 $ c' $ を $ g $ で割ったときの剰余が $ -C_{\text{tip}(g)}^{-1} \cdot t \cdot \text{tail}(g) \cdot s $ であることに着目し、$ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ を露呈する。
• 回復した $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ を用いて、元の $ g $ と同じイデアルを生成する $ g' = \text{tip}(g) + C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ を再構築する。
• $ g' $ が任意の暗号文を正しく復号可能であることを示し、これにより秘密鍵が実質的に回復されることを示す。
• 偽の暗号文に $ \text{NonTip}(I) $ からの追加の単項式が含まれる場合でも、$ \text{tip}(g) $ が追加成分内の任意の単項式を割り切らない限り、$ g' $ の回復が可能であることを保証する。
• 攻撃が単一生成子の秘密鍵に限らず、複数生成子を持つ削減グレブナー基底に対しても適用可能であることを示す。

実験結果

リサーチクエスチョン

• RQ1 1回の適応的クエリのみを用いて、選択暗号文攻撃が非可換ポリークラッカー暗号方式を破壊できるか？
• RQ2 1つの巧みに設計された偽暗号文の復号結果から、秘密鍵の構造、特に生成子 $ g $ が回復可能か？
• RQ3 有限体上の非可換代数における無限グレブナー基底の存在が、選択暗号文攻撃に対してセキュリティを保証するか？
• RQ4 攻撃が複数の秘密鍵生成子を持つシステムへと一般化可能か？
• RQ5 イデアルまたはグレブナー基底の構造的性質が、このような回復を防ぐものか？

主な発見

• 非可換ポリークラッカーシステムにおいて、1回の選択暗号文クエリで十分に秘密鍵構造を回復できる。
• 偽の暗号文の復号から $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ を回復でき、これにより生成子 $ g' $ の再構築が可能となる。
• 再構築された生成子 $ g' $ は元の $ g $ と同じ両側イデアルを生成するため、復号の観点から同等の機能を果たす。
• 偽の暗号文に $ \text{NonTip}(I) $ からの有効なメッセージ単項式が含まれても、$ \text{tip}(g) $ がその追加成分内の任意の単項式を割り切らない限り、攻撃は依然として有効である。
• この手法は単一生成子および削減グレブナー基底の秘密鍵の両方に対して適用可能であり、このような鍵形式が選択暗号文攻撃に対して安全でないことを示唆する。
• 非可換多項式に基づく暗号方式が、適応的選択暗号文攻撃に対して本質的に安全でないことが確認され、可換バージョンで見られる脆弱性と類似している。