[論文レビュー] Design and Implementation of a Digital Signature Scheme Based on Low-density Generator Matrix Codes

Marco Baldi, Alessandro Barenghi+5 more|arXiv (Cornell University)|Jul 16, 2018

Coding theory and cryptography参考文献 18被引用数 3

ひとこと要約

この論文は、低密度生成行列（LDGM）符号に基づく、高い効率性とコンactな鍵を備えた後量子暗号デジタル署名方式であるLEDAsigを提示する。鍵生成、署名、検証のための最適化されたアルゴリズムを導入するとともに、古典的および量子攻撃に対するきめ細やかなセキュリティ見積もりを提供し、長期的なセキュリティを確保するための新たなパrameter選定を可能にするとともに、公開実装を介してパフォーマンスベンチマークを提供する。

ABSTRACT

In this paper we consider a post-quantum digital signature scheme based on low-density generator matrix codes and propose efficient algorithmic solutions for its implementation. We also review all known attacks against this scheme and derive closed-form estimates of their complexity when running over both classical and quantum computers. Based on these estimates, we propose new parametrization for the considered system to achieve given pre-quantum and post-quantum security levels. Finally, we provide and discuss performance benchmarks obtained through a suitably developed and publicly available reference implementation of the considered system.

研究の動機と目的

• 古典的および量子攻撃に対して耐性を持つ、効率的な後量子デジタル署名方式の設計。
• 従来の符号ベース署名方式の限界、例えば高い復号複雑性や統計的鍵回復攻撃への脆弱性の解決。
• 前量子および後量子の脅威モデルの両方において長期的なセキュリティを保証する新たなパrameterセットの提供。
• 最適化されたアルゴリズムを用いたLEDAsigの実装およびベンチマークによる実用的展開の支援。
• すべての既知の攻撃、特に最近の統計的および量子最適化攻撃の複雑性の分析と見積もり。

提案手法

• 秘密の準巡回低密度生成行列（QC-LDGM）符号と、それから導出された公開の準巡回（QC）符号を用いる。これにより、シンディーム復号を介した効率的な署名生成が可能となる。
• 低重みのシンディームのみを用いるスパースシンディーム復号問題（sparse SDP）を活用。これにより、完全な復号を必要とせず、ベクトル操作に帰着される。
• 公開関数 $\mathcal{F}_{\Theta}$ は、メッセージハッシュを長さ $r$、重み $w \ll r$ の低重みベクトル $s$ にマッピングし、これにより公開シンディームが形成される。
• 重み $w_c$ のランダムな符号語 $c$ を用いて署名をマスキングする。攻撃者は、秘密のサポートに設定されたビットとランダムなビットを区別できない。
• セキュリティ分析では、統計的鍵回復の確率推定式を閉形式で導出し、$P_I(w_L, w_c)$ および $P_J(w_L, w_c)$ を用いて複数の署名間でのビット区別可能性をモデル化する。
• 攻撃の複雑性は、式 (70) の繰り返し適用と $P_{\land}(r, \{s_1,\dots,s_L\}, w_L)$ を組み合わせることで推定され、統計的鍵回復の成功確率 $P_{\text{SIA}}$ が計算される。

実験結果

リサーチクエスチョン

• RQ1 既知の攻撃、特に量子最適化攻撃に対しても耐性を持つ、効率的かつ安全な符号ベースデジタル署名方式は、どのように設計できるか？
• RQ2 古典的および量子コンピューティングモデル下で、LDGMベース署名に対する既知の攻撃（統計的および量子攻撃を含む）の正確な計算複雑性は何か？
• RQ3 システムパラメータを再パrameter化することで、長期的なセキュリティを確保しつつ高いパフォーマンスを維持できるか？
• RQ4 実際の環境におけるこの方式のパフォーマンスはどの程度で、既存の符号ベース署名方式と比較してどうか？
• RQ5 慎重なパラメータ選定とマスキング技術により、統計的側帯出力攻撃を緩和できるか？

主な発見

• 埋め込みハードウェア上での署名生成スループットは、おおよそ1秒間に60,000署名に達し、公開文献における最も高速な符号ベース署名方式の一つである。
• 著者らは、統計的攻撃におけるビット区別可能性の確率について閉形式の式を導出し、鍵回復成功確率の正確な推定が可能になった。
• 古典的および量子攻撃の両方の複雑性を分析することで、128ビットの古典的セキュリティおよび128ビットの後量子セキュリティレベルを達成する新たなパラメータセットを提案した。
• 署名数 $L$ を増やすことと、$w_L$、$w_c$、および符号パラメータを慎重に選択することで、統計的鍵回復の成功確率が顕著に低下する。
• LEDAsigの参照実装は公開されており、再現可能なパフォーマンスベンチマークとさらなる研究を可能にしている。
• 分析により、制御された重み $w_c$ を持つランダムな符号語 $c$ の使用が、複数の署名にわたる秘密構造の統計的漏洩を効果的に防いでいることが示された。