[論文レビュー] Generating and Exploring S-Box Multivariate Quadratic Equation Systems with SageMath

Anastasia-Maria Leventi-Peetz, J.-V. Peetz|arXiv (Cornell University)|Jun 13, 2015

Cryptographic Implementations and Security参考文献 6被引用数 2

ひとこと要約

この論文は、RijndaelのSボックスなどの暗号的Sボックスから、多変数二次（MQ）方程式系を自動生成・分析するSageMathベースの手法を提示する。実験により、Cuiらが提唱したような一般的に用いられる代数的攻撃耐性（RAA）指標—例えば、Cuiらの指標—が、実際に解くのに要する計算量を予測できないことが示された。SATソルバーの実験では、指標スコアと実際の計算負荷との間に有意義な相関関係が確認されなかった。

ABSTRACT

A new method to derive Multivariate Quadratic equation systems (MQ) for the input and output bit variables of a cryptographic S-box from its algebraic expressions with the aid of the computer mathematics software system SageMath is presented. We consolidate the deficiency of previously presented MQ metrics, supposed to quantify the resistance of S-boxes against algebraic attacks.

研究の動機と目的

• Sボックスの代数的表現から多変数二次（MQ）方程式系を自動的かつ透明性を保って生成するための手法を開発すること。
• CuiらおよびCourtois-Pieprzykが提唱した既存のRAA（代数的攻撃に対する耐性）指標の妥当性を検証すること。
• Cui らがより優れた耐性を示すと主張するSボックス（SAIA）が、高得点のRAA指標にもかかわらず、暗号的に優れているとは言えないことを示すこと。
• SageMathがSボックス評価のためのMQ系およびそのグレブナー基底の迅速かつ検証可能な解析を可能にすることを示すこと。
• 高い指標値（例：log2(Γ), log2(ΓCP)）が代数的攻撃に対する耐性を示すという仮定に疑問を呈すること。

提案手法

• GF(2) 上の多項式環と、m(t) = t^8 + t^4 + t^3 + t + 1 による商環をSageMathを用いて構築する。
• ラグランジュ補間とモジュラー逆数計算を用いて、入力・中間・出力バイト変数をGF(2)[t]/(m(t)) 上の多変数多項式としてモデル化する。
• 逆数変換とアフィン変換の合成（SRD = A ∘ I）を展開することで、MQ系を自動的に導出する。
• SageMathがPolyBoRi/BRiAlと統合された機能を用いて、得られたMQ系のグレブナー基底を生成する。
• SATソルバーを用いて、MQ系の実際の解法時間を測定し、代数的攻撃の難易度を実用的指標として評価する。
• 理論的RAA指標スコア（例：log2(Γ), log2(ΓCP)）と、実験的SATソルバーの性能を比較することで、その予測妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 Cui らが提唱したRAA指標は、Sボックスから導出されるMQ系の解法難易度を正確に予測できるか？
• RQ2 代数的攻撃に対してより耐性があると主張されるSボックスSAIAは、元のRijndael Sボックスよりも実際に解きにくいのか？
• RQ3 SageMathは、SボックスのためのMQ系の自動生成と検証、およびその解析に効果的に利用できるか？
• RQ4 なぜ高いRAA指標スコアが、SATソルバーにおける実際の解法時間と相関しないのか？
• RQ5 より複雑なSボックスの代数的表現が、より単純で解きやすいMQ系を生じる可能性はあるか？

主な発見

• Rijndael SボックスのMQ（23式、81単項式）はSATソルバーで0.6秒で解けるが、SAIA SボックスのMQ（2,039式、18,232単項式）は7秒で解ける—これは解法難易度の上昇予測と矛盾する。
• SAIA Sボックスはlog2(ΓCP)スコアが28.5（Rijndaelの20.0）であり、実際の解法時間は0.6秒から7秒に僅かに増加するにとどまり、元のSボックスと比べて顕著に難しくはなっていない。
• 代数的簡略化により得られたSAIAのより単純なMQ系は32式・137単項式にまで削減され、0.8秒で解ける—元のRijndaelの0.7秒とほぼ同等。
• SAIAのMQのグレブナー基底は7次式8本、263単項式で構成され、そのSAT解法時間（0.15秒）は元のRijndaelのグレブナー基底（0.7秒）よりも速い。
• RAA指標スコア（例：log2(Γ), log2(ΓCP)）と実際のSATソルバー実行時間との間に一貫した相関は確認されず、これらは信頼できる難易度予測指標とは言えない。
• 元のRijndael SボックスをCui らのAIA形式に変換すると、2,039式・18,232単項式のMQ系が得られる—複雑な表現が必然的に難解な系を生じるわけではないことを示している。