[論文レビュー] HF-hash : Hash Functions Using Restricted HFE Challenge-1

Dhananjoy Dey, P. R. Mishra+1 more|arXiv (Cornell University)|Sep 8, 2009

Cryptographic Implementations and Security参考文献 22被引用数 3

ひとこと要約

HF-hash は、HFE Challenge-1 多項式系の制限付き版（64 個の多項式のうち最初の 32 個）を用い、16 変数をゼロに固定することで、256 ビットのダイジェストを生成する新しい暗号的ハッシュ関数である。この関数は、基礎となる多変数系の複雑さと、圧縮およびメッセージ拡張における設計選択のおかげで、SHA-256 並みの効率性を達成し、Chabaud と Joux や Wang らによる既知の微分攻撃に対しても耐性を持つ。

ABSTRACT

Vulnerability of dedicated hash functions to various attacks has made the task of designing hash function much more challenging. This provides us a strong motivation to design a new cryptographic hash function viz. HF-hash. This is a hash function, whose compression function is designed by using first 32 polynomials of HFE Challenge-1 with 64 variables by forcing remaining 16 variables as zero. HF-hash gives 256 bits message digest and is as efficient as SHA-256. It is secure against the differential attack proposed by Chabaud and Joux as well as by Wang et. al. applied to SHA-0 and SHA-1.

研究の動機と目的

• MD4、MD5、SHA-0、SHA-1 における既知の微分攻撃に対して耐性を持つ新しい暗号的ハッシュ関数の設計。
• HFE Challenge-1 の多変数二次多項式を、安全な圧縮関数の基盤として使用する可能性の探求。
• 得られるハッシュ関数が、SHA-256 と同等の高い効率性を維持しながら、衝突攻撃および微分攻撃に対して強い耐性を持つことを保証すること。
• HF-hash の完全な仕様および分析（パディング、パース、初期値、圧縮関数設計を含む）の提供。

提案手法

• 圧縮関数は、HFE Challenge-1 システムの最初の 32 個の多変数二次多項式から構成され、16 個の変数がゼロに固定されており、64 変数のシステムを 64 変数に保ちながら 32 個の式のみを用いる。
• メッセージは、'1' ビットを付加し、その後にゼロを追加し、元のメッセージ長（64 ビット）を追加することでパディングされる。この条件は l + 1 + k + 64 ≡ 0 mod 448 を満たす。
• パディング済みメッセージは、448 ビットのブロック（32 ビットの 14 単語）に分割され、圧縮関数を繰り返し適用して処理される。
• 初期値は π の小数部から導出され、16進数表現を用いて 8 単語（256 ビット）の初期状態が生成される。
• 圧縮関数は、現在の状態とメッセージブロックに対して GF(2) 上で 32 個の多変数多項式を適用し、フィードフォワード機構を用いて内部状態を更新する。
• すべてのメッセージブロックを処理した後、最終状態が 256 ビットのダイジェストとして出力される。

実験結果

リサーチクエスチョン

• RQ1 HFE Challenge-1 の多変数多項式系の制限付きサブセットを用いて、安全で効率的な暗号的ハッシュ関数を構築できるか？
• RQ2 HFE Challenge-1 の 64 個の多項式のうち 32 個のみを用いることは、十分な非線形性と微分暗号解読攻撃に対する耐性を保持できるか？
• RQ3 HF-hash は、SHA-256 やその他の MD ファミリーや SHA ファミリーのハッシュ関数と比べて、安全性および性能で優れているか？
• RQ4 MD4 や MD5、SHA-0、SHA-1 に観察された構造的弱みは、多変数多項式に基づく根本的に異なる圧縮関数を用いることで回避可能か？
• RQ5 HF-hash のメッセージ拡張および圧縮設計は、SHA-0 や SHA-1 の攻撃で使われる既知の微分パターンを防止するのに十分か？

主な発見

• HF-hash は、HFE Challenge-1 の最初の 32 個の多項式を用い、16 個の変数をゼロに固定することで、256 ビットのメッセージダイジェストを生成し、コンact かつ効率的な設計を実現している。
• このハッシュ関数は SHA-256 と同等の効率性を有しており、高速ハッシュ処理を要するシステムへの実用的導入に適している。
• HFE Challenge-1 の多変数系の高い複雑さのおかげで、SHA-0 に対する Chabaud と Joux の微分攻撃（2^61 回の評価を要する）に対しても耐性を持つ。
• Wang らによる SHA-1 攻撃で使われる高度な微分パターンに対しても耐性があり、HF-hash のメッセージ拡張および圧縮構造は、状態遷移に対する同じ程度の制御を許さない。
• GF(2) 上で固定された 32 個の多変数二次多項式の使用により、十分な非線形性と代数的および微分暗号解読攻撃に対する耐性が得られる。
• MD4 や SHA-1 ファミリーの構造的弱みを回避するため、それらの反復的でビットレベルの演算を、多項式系に基づくより複雑な代数的構造に置き換えている。