[論文レビュー] Classical and Quantum algorithms for generic Syndrome Decoding problems and applications to the Lee metric

André Chailloux, Thomas Debris-Alazard+1 more|arXiv (Cornell University)|Apr 26, 2021

Coding theory and cryptography参考文献 18被引用数 13

ひとこと要約

この論文は、情報集合符号化（ISD）アルゴリズムを一般の重み関数、特にリー距離にまで拡張し、古典的および量子的複雑性を統一的に分析するフレームワークを提供する。リー距離におけるシンディーム符号化が、特定のパrameter（特に中程度のコードレートと高い重み）において、ハミング距離よりも指数的に困難であることを示しており、特にq-ary複雑性においてq=3のときが最も困難なインスタンスとなる。

ABSTRACT

The security of code-based cryptography usually relies on the hardness of the syndrome decoding (SD) problem for the Hamming weight. The best generic algorithms are all improvements of an old algorithm by Prange, and they are known under the name of Information Set Decoding (ISD) algorithms. This work aims to extend ISD algorithms' scope by changing the underlying weight function and alphabet size of SD. More precisely, we show how to use Wagner's algorithm in the ISD framework to solve SD for a wide range of weight functions. We also calculate the asymptotic complexities of ISD algorithms both in the classical and quantum case. We then apply our results to the Lee metric, which currently receives a significant amount of attention. By providing the parameters of SD for which decoding in the Lee weight seems to be the hardest, our study could have several applications for designing code-based cryptosystems and their security analysis, especially against quantum adversaries.

研究の動機と目的

• ハミング重みにとどまらず、任意の重み関数（特にリー距離を含む）にまでISDアルゴリズムの適用範囲を拡張すること。
• 古典的および量子的計算モデルの両方において、ISDアルゴリズムの一般化された複雑性分析を提供すること。
• コードベース暗号におけるリー距離におけるシンディーム符号化問題の最も困難なインスタンスを同定すること。
• 異なるアルファベットサイズと重み関数における困難性を定量化することで、特に量子攻撃者に対して安全なコードベース暗号システムの設計を支援すること。
• 任意の重み関数に対して、漸近的球面面積を計算するための凸最適化手法を開発し、任意の重み関数における複雑性推定を可能にすること。

提案手法

• 一般化されたバースデイ・プロブレムのためのワグナーのアルゴリズムをISDフレームワークに適応させ、任意の重み関数におけるシンディーム符号化を解く。
• 重み関数wt′: F_q → R_+ でwt′(0) = 0を満たす関数から導かれる任意の重み関数に対して、漸近的球面面積を計算するための凸最適化アプローチを用いる。
• 計算された球面面積をもとに、古典的および量子的状況下でのISDアルゴリズムの漸近的複雑性の式を導出する。
• リー距離にこのフレームワークを適用し、ハミング距離と比較して、q-ary漸近的複雑性（q^{╱n}）およびバイナリ漸近的複雑性（2^{αn}）の観点から複雑性を評価する。
• コードレートRと重みωについて最適化を行い、シンディーム符号化問題の最も困難なインスタンスを同定する。
• さまざまなqについて数値的に結果を検証し、q-ary複雑性がq=3でピークに達することを示しており、このアルファベットサイズでリー距離問題が最も困難であることを示している。

実験結果

リサーチクエスチョン

• RQ1 コードベース暗号においてハミング重みをリー重みに置き換えた場合、シンディーム符号化の複雑性はどのように変化するか？
• RQ2 異なる重み関数とアルファベットサイズにおける、ISDアルゴリズムの漸近的古典的および量子的複雑性は何か？
• RQ3 どのコードレートと重みにおいて、リー距離におけるシンディーム符号化問題が最も困難か？
• RQ4 ワグナーのアルゴリズムは、非ハミング重み関数に対してISDフレームワークに効果的に統合可能か？
• RQ5 q-ary漸近的複雑性は、アルファベットサイズqが増加するにつれてどのように変化するか？問題が最も困難になるのはどこか？

主な発見

• 特定のパrameter（特に高い重みと中程度のコードレート）において、リー距離におけるシンディーム符号化問題は、ハミング距離よりも指数的に困難である。
• q=3のとき、q-ary漸近的複雑性が最大に達し、リー距離問題が最も困難になるアルファベットサイズであることが示された。
• 最も困難なインスタンスはコードレートR ∈ (0.35, 0.6)の範囲にあり、小さいqでは最適な重みω/⌊q/2⌋ ≈ 1、より大きなqではわずかに1未満の値となる。
• ワグナーのアプローチに基づく量子ISDアルゴリズムは、古典的アルゴリズムに対してほぼ2乗の高速化を達成し、複雑性指数がαから╱に低下する。
• q-ary複雑性q^{╱n}はqの増加に伴い最初は減少し、その後増加し、q=3でピークに達する。これは、qが大きいほど常にセキュリティが高くなるわけではないことを示しており、入力サイズの増大が要因である。
• 提案された凸最適化手法により、wt(e) = ∑ wt′(e_i) を満たす任意の重み関数に対して、正確な漸近的球面面積推定が可能となり、一般化された複雑性分析が可能になった。