[論文レビュー] Divisibility, Smoothness and Cryptographic Applications

David Naccache, Igor E. Shparlinski|ArXiv.org|Oct 12, 2008

Analytic Number Theory Research参考文献 73被引用数 3

ひとこと要約

本稿は、暗号システムにおける滑らかな数（大きな素因数を含まない整数）の役割を検討し、RSA、ハッシュ関数（例：VSH）、および因数分解アルゴリズムなどの構成における結合的性質と滑らかさの数論的性質が、セキュリティと効率性を支えていることを示している。滑らかな数の分布に関する厳密な境界を確立し、それらを用いて暗号的プリミティブにおける衝突耐性とセキュリティ保証を証明している。

ABSTRACT

This paper deals with products of moderate-size primes, familiarly known as smooth numbers. Smooth numbers play a crucial role in information theory, signal processing and cryptography. We present various properties of smooth numbers relating to their enumeration, distribution and occurrence in various integer sequences. We then turn our attention to cryptographic applications in which smooth numbers play a pivotal role.

研究の動機と目的

• 滑らかな数の暗号的意義および整数列における分布を分析すること。
• 割り算可能性と滑らかさに依存する暗号的構成の厳密な数論的基盤を提供すること。
• 滑らかさとセキュリティ証明・アルゴリズム効率性の関連を示すことで、解析的整数論と実用的暗号学のギャップを埋めること。
• 除数関数および滑らかな数の個数に関する精密な推定が、現代の暗号プロトコルの基盤を成していることを示すこと。
• 解析的整数論におけるわずかな改善が、たとえばより緊密なセキュリティ境界や効率的アルゴリズムをもたらす可能性があることを示すこと。

提案手法

• ビノグラドフのビッグオー表記および漸近的解析を用いて、与えられた上限までの滑らかな数の個数を評価する。
• フォード（2008）の結果を応用し、オイラーのトーティエント関数の値の分布および算術級数における約数の個数を扱う。
• クループ、グランヴィル、ペマントル、テタリ（2006）によるディクソン因数分解アルゴリズムの停止時間を推定することで、アルゴリズムの効率性を分析する。
• 素数の最初の $k$ 個の積を法 $N = pq$ とした乗法的部分群を分析し、非常に滑らかなハッシュ（VSH）関数のセキュリティを評価する。
• $y$-滑らかな数（例：$ ilde{ ho}(x,y)$）の境界を活用し、ほとんどすべてのRSAモジュラス $N = pq$ に対して、$ ho$ ビットのランダムなメッセージが特定のハッシュ値にマッピングされる確率が無視できるほど小さいことを証明する。
• 中国剰余定理および滑らかな $n$ における高速フーリエ変換（FFT）の再帰的性質に関する古典的結果を組み合わせ、滑らかさが準二次的アルゴリズムの実現を可能にすることを示すが、これらは主な暗号的関心から除外される。

実験結果

リサーチクエスチョン

• RQ1 すべての素因数が所定の境界 $b$ 未満であるような整数はどれほど一般的であり、それが暗号的セキュリティにどのように影響するか？
• RQ2 オイラーのトーティエント関数 $ au(n)$ が取り得る値の分布は何か？ そしてこれはRSAのセキュリティとどのように関連するか？
• RQ3 素数 $p$ に対して $p-1$ および $p+1$ が滑らかであることを用いて、「強い」素数を定義・分析する方法は何か？
• RQ4 非常に滑らかなハッシュ（VSH）関数において、ランダムなメッセージが特定のハッシュ値にマッピングされる確率は何か？ そして滑らかな数論を用いてその確率をどのように境界づけられるか？
• RQ5 除数の個数や滑らかな数の個数に関する精密な解析的整数論の結果（例：）は、暗号アルゴリズムのセキュリティおよび効率性をどの程度向上させるか？

主な発見

• 解析的整数論の結果を用いて、$x$ 以下の $y$-滑らかな整数の個数 $ ilde{ ho}(x,y)$ が境界づけられ、$x/y \to \tau$ で $\tau > 1$ のとき $\tilde{\rho}(x,y) \to 0$ となる。これは、ほとんどすべての整数が $y$-滑らかでないことを示している。
• ほとんどすべてのRSAモジュラス $N = pq$ に対して、$ \rho$ ビットのランダムなメッセージがVSHで特定のハッシュ値にマッピングされる確率は、$\rho$ が十分に大きい場合、無視できるほど小さい。これは、$N$ を法とする乗法群における滑らかな数の分布に起因する。
• $p-1$ が $y$-滑らかであるような $p \neq 2$ の素数の集合の密度は $O(x/y)$ である。これは、$y$ が $x$ に対して小さい場合、このような素数がまれであることを示している。
• $d \neq 0 \bmod k$ かつ $d \neq a \bmod k$ を満たす約数の個数に対する境界は、コッパースミス法に裏付けられ、これは部分的に既知の因子をもつRSAに対する攻撃の基盤を成している。
• ディクソン因数分解アルゴリズムの停止時間は、クループらの結果を用いて厳密に境界づけられており、$n$ が滑らかである場合、アルゴリズムが準指数的時間で実行されることを示している。
• $\tau(p-1)$ が $y$-滑らかである確率は、$x$ および $y$ が十分に大きい場合、無視できるほど小さい。これは、大多数の素数が $y$-強い素数であることを示しており、RSAにおける強い素数生成のセキュリティを裏付けている。