[論文レビュー] Defeating the Kalka--Teicher--Tsaban linear algebra attack on the Algebraic Eraser

Dorian Goldfeld, Paul E. Gunnells|arXiv (Cornell University)|Feb 3, 2012

Cryptography and Data Security参考文献 2被引用数 3

ひとこと要約

この論文は、カラーブールキー協定プロトコル（CBKAP）におけるプライベートキーの生成に用いる行列を慎重に選択することによって、代数的エラーの鍵交換プロトコルに対するKalka–Teicher–Tsabanの線形代数的攻撃に対する対策を提案する。公開データから導かれる特定の行列を基にプライベートキーを多項式として構築することで、攻撃方程式が極めて大きな解空間を生じさせ、プライベートキーの回復を計算的に不可能にする。主な貢献は、低リソース環境（RFIDシステムなど）におけるプロトコルの適性を保ちながら、実用的で効率的な防御を提供することにある。

ABSTRACT

The Algebraic Eraser (AE) is a public key protocol for sharing information over an insecure channel using commutative and noncommutative groups; a concrete realization is given by Colored Burau Key Agreement Protocol (CBKAP). In this paper, we describe how to choose data in CBKAP to thwart an attack by Kalka--Teicher--Tsaban.

研究の動機と目的

• 代数的エラープロトコルがKalka–Teicher–Tsaban（KTT）線形代数的攻撃に対して脆弱であるという問題に取り組む。この攻撃は、プライベートキー行列に構造的な関係が存在することを悪用する。
• Colored Burau Key Agreement Protocol（CBKAP）の効率性と低リソース環境への適性を保ちながら、KTT法によって生じる攻撃表面を排除すること。
• プロトコルの基本構造を変更せず、計算コストを増加させることなく、攻撃を防ぐ実用的で決定論的な鍵生成手法を提供すること。

提案手法

• 信頼できる第三者（TTP）は、ボブのモノイドBの生成子から不正な要素（β,1）を選択し、係数cℓ ∈ 𝔽を用いて行列m = ∑cℓ·Π(β)ℓを計算する。
• TTPは行列mを公開し、プライベートキーのモノイドをNA = NB = 𝔽[m]として定義する。これは、有限体𝔽上のmのすべての多項式の集合である。
• アリスとボブは、mの任意の多項式としてnaとnbを生成し、攻撃の解空間に属するすべての要素と可換になるようにする。
• この構成により、任意の行列nb·∑wℓ·mℓ（wℓ ∈ 𝔽）が攻撃方程式を満たすことが保証され、解空間が非常に大きくなり、鍵の復元が現実的でなくなる。
• この防御は、攻撃方程式（3）および（4）が真のプライベートキーだけでなく、家族のような行列群によっても満たされることに依存しており、唯一の同定を不可能にする。
• RFIDアプリケーションと互換性がある。計算コストが低く、公開鍵交換メカニズムに変更が加わらない。

実験結果

リサーチクエスチョン

• RQ1 計算コストの増加や効率性の損なわれることなく、代数的エラーにおけるKalka–Teicher–Tsaban線形代数的攻撃を克服することは可能か？
• RQ2 プライベートキー空間におけるどの行列構成が、解空間が膨大すぎて攻撃の連立方程式が解けない状態を生じさせるか？
• RQ3 信頼できる第三者が、安全な鍵生成を可能にする公開データをどのように生成できるか？ その際、プロトコルが低リソースデバイスに適していることを保つ必要がある。
• RQ4 部分モノイド間のE可換性を維持しつつ、線形代数的攻撃を破壊する構造を導入することは可能か？

主な発見

• 提案手法により、攻撃から導かれる連立方程式の解空間が、体のサイズに対して指数関数的に増大することを保証することで、Kalka–Teicher–Tsaban攻撃を効果的に無効化する。これにより、真のプライベートキーの唯一の復元は計算的に不可能になる。
• バーゲン群生成子への群作用から導かれる公開行列mの多項式として生成されたプライベートキーは、すべての攻撃方程式を満たすが、真の鍵を一意に特定するものではない。
• Eveが多数の不正な要素（α,e） ∈ Aを生成できても、そのすべてが同じ大きな解集合を生じさせ、真のプライベートキーに関する有用な情報を与えないため、防御は有効である。
• この手法はプロトコルの効率性を保ち、RFIDシステムなどの実世界の応用分野と互換性がある。低計算コストが不可欠な環境において特に適している。
• 攻撃方程式（3）および（4）は、任意の行列nb·∑wℓ·mℓ（wℓ ∈ 𝔽）によって満たされる。これは、mの最小多項式の次数に等しい次元のベクトル空間を形成するため、鍵の復元を試みるあらゆる試みを圧倒する。