[論文レビュー] Continued fractions and RSA with small secret exponent

Andrej Dujella|ArXiv.org|Feb 20, 2004

Chaos-based Image/Signal Encryption参考文献 15被引用数 33

ひとこと要約

この論文は、ディオファントス近似におけるレジェンドルの定理を一般化し、|α − a/b| < c/b² の形の境界を連分数の収束項を用いて扱うものであり、これは、秘密指数が小さいRSAに対するワインヤーおよびベルヘウル＝ヴァンティルボルグの攻撃のより効率的なバージョンを可能にする。主な貢献は、候補となる指数の数を O(D²A²) から O(D² log A) に削減する手法を提供することであり、d < n^0.25 の場合に実用的な暗号解析において顕著な効率向上をもたらす。

ABSTRACT

Extending the classical Legendre's result, we describe all solutions of the inequality |x - a/b| &lt; c/b^2 in terms of convergents of continued fraction expansion of x. Namely, we show that a/b = (rp_{m+1} +- sp_m) / (rq_{m+1} +- sq_m) for some nonnegative integers m,r,s such that rs &lt; 2c. As an application of this result, we describe a modification of Verheul and van Tilborg variant of Wiener's attack on RSA cryptosystem with small secret exponent.

研究の動機と目的

• |α − a/b| < c/b² の形の境界を扱えるように、ディオファントス近似におけるレジェンドルの定理を一般化すること。
• 特にワインヤーの攻撃およびベルヘウル＝ヴァンティルボルグの攻撃を含む、秘密指数が小さいRSAに対する既存の暗号解析攻撃を改善すること。
• 収束項の構造と候補解に対する tighter な境界を活用することで、秘密指数 d の回復における計算複雑性を低減すること。
• d が n^0.25 略超のときでも、RSAモジュラスの因数分解をより効率的に実行するアルゴリズムを提供することにより、攻撃の適用範囲を拡張すること。

提案手法

• 連分数展開における α の収束項を用いて、|α − a/b| < c/b² を満たすすべての有理数解 a/b の特徴づけを導出する。
• 解は、非負整数 r, s に対して rs < 2c を満たす (rp_{m+1} ± sp_m)/(rq_{m+1} ± sq_m) の形に表せることを示す。
• この一般化された境界をRSA方程式 ed ≡ 1 mod φ(n) に適用し、e/n を α とし、k/d を有理近似とみなす。
• e/n の連分数展開を用いて、d の候補値を収束項およびその線形結合に制限する。
• r < a_{m+2}s かつ s ≤ s₁ を満たす r, s のペアの探索を実施する。ここで s₁ は近似誤差および連分数の項に依存する。
• ディリクレの除数関数および q_m, q_{m+1} などの推定値を用いて、このようなペアの数に対する境界を設定し、探索空間を制御する。

実験結果

リサーチクエスチョン

• RQ1 任意の c > 1 に対して、|α − a/b| < c/b² の形の境界を扱えるように、レジェンドルのディオファントス近似定理を一般化できるか？
• RQ2 この一般化された近似結果を、秘密指数が小さいRSAに対する既知の攻撃を改善するためにどのように応用できるか？
• RQ3 ベルヘウル＝ヴァンティルボルグ法と比較して、テストすべき候補指数 d の数がどの程度削減されるか？
• RQ4 d が n^0.25 略超の実際の状況において、特にボーネ・デューフォーの設定（d < n^0.292）において、新しい攻撃はどの程度の性能を示すか？
• RQ5 新しい手法における候補ペア rs の数の平均および最大値が、元のベルヘウル＝ヴァンティルボルグ攻撃と比較して、D² に対してどの程度の比を示すか？

主な発見

• 新しい攻撃における候補ペア (r,s) の数は、O(D² log A) で抑えられる。ここで D = d / n^{1/4} かつ A = 関連する連分数項における a_i の最大値である。
• d ∈ [1000, 1000000] の範囲で min(rs, st, r's') / D² の平均値は 0.8397 であり、ベルヘウル＝ヴァンティルボルグ法では 15.69 であった。
• ベルヘウル＝ヴァンティルボルグ法における rs/D² の最大値は 78,464.2 に達するが、新しい手法ではその対応する量が 4.026 に抑えられる。
• d = 5936963 の場合、新しい手法は s = 12195, t = 77 を用いて正しい d を特定した。一方、ベルヘウル＝ヴァンティルボルグ法では r = 219433 必要であり、探索空間の理論的削減が裏付けられた。
• d が n^0.25 を超える場合でも攻撃が効率的であり、特に d < n^0.292 の場合に、従来の手法に比べて実用的な改善をもたらす。
• 理論的上限として、ベルヘウル＝ヴァンティルボルグ法の O(D²A²) の複雑性と比較して、新しい手法は O(D² log A) を達成しており、はるかにタイトな境界である。