[論文レビュー] HQC-RMRS, an instantiation of the HQC encryption framework with a more efficient auxiliary error-correcting code

Nicolas Aragon, Philippe Gaborit+1 more|arXiv (Cornell University)|May 21, 2020

Coding theory and cryptography参考文献 2被引用数 4

ひとこと要約

この論文は、BCHおよび反復符号のテンソル積の代わりに、連結されたリード・マラーおよびリード・ソロモン符号を用いた、HQCコードベース暗号フレームワークの最適化されたインスタンスであるHQC-RMRSを提案する。新しい符号構造により、公開鍵および暗号文サイズが約17%削減され、同時に復号失敗率は$2^{-128}$未満を維持する。誤差重み分布のより良い理論的分析により、よりタイトなDFR境界が可能になる。

ABSTRACT

The HQC encryption framework is a general code-based encryption scheme for which decryption returns a noisy version of the plaintext. Any instantiation of the scheme will therefore use an error-correcting procedure relying on a fixed auxiliary code. Unlike the McEliece encryption framework whose security is directly related to how well one can hide the structure of an error-correcting code, the security reduction of the HQC encryption framework is independent of the nature of the auxiliary decoding procedure which is publicly available. What is expected from it is that the decoding algorithm is both efficient and has a decoding failure rate which can be easily modelized and analyzed. The original error-correction procedure proposed for the HQC framework was to use tensor products of BCH codes and repetition codes. In this paper we consider another code family for removing the error vector deriving from the general framework: the concatenation of Reed-Muller and Reed-Solomon codes. We denote this instantiation of the HQC framework by HQC-RMRS. These codes yield better decoding results than the BCH and repetition codes: overall we gain roughly 17\% in the size of the key and the ciphertext, while keeping a simple modelization of the decoding error rate. The paper also presents a simplified and more precise analysis of the distribution of the error vector output by the HQC protocol.

研究の動機と目的

• HQC暗号フレームワークにおける公開鍵および暗号文サイズを、セキュリティを損なわずに縮小すること。
• 誤差ベクトル重み分布の分析を精緻化することで、復号失敗率（DFR）推定の正確性を向上させること。
• 元来のBCH-反復符号の組み合わせを、より効率的な補助誤り訂正符号族に置き換えること。
• より短いパrameterと検証済みのDFR境界を持つ、実用的で安全なHQCインスタンスを提供すること。
• HQCにおける誤差分布のより正確なモデル化を通じて、DFRを増加させることなくパrameterを小さくすることを可能にすること。

提案手法

• 元のBCHおよび反復符号のテンソル積を、重複するリード・マラーおよびリード・ソロモン符号の連結に置き換えることで、補助復号符号として使用する。
• HQC誤差ベクトルの分布を、内部符号のサポート上に制限した場合に近似するために、二項対称チャネルモデルを用いる。
• 符号語の重なり合うサポートの組み合わせに関する組み合わせ的和を用いて、内部リード・マラー符号のDFRに対する上界を導出する。
• 符号語の非自明な交差を持つすべてのペアについて、和集合を用いて内部符号のDFRを推定する。
• 外部リード・ソロモン符号の性能をビット反転確率$p_i$の下でモデル化することで、連結符号のDFR上界を拡張する。
• 実際のHQC誤差ベクトルを用いたシミュレーションを通じて理論的境界を検証し、それらを二項近似と比較する。

実験結果

リサーチクエスチョン

• RQ1 より効率的な誤り訂正符号族を用いることで、HQCフレームワークにおける鍵サイズおよび暗号文サイズを縮小しつつ、低い復号失敗率を維持できるか？
• RQ2 リード・マラー符号のサポート上での誤差ベクトルの重み分布を、独立同一分布のベルヌーイモデルとして二項分布でどれほど正確にモデル化できるか？
• RQ3 連結リード・マラーおよびリード・ソロモン符号を用いた場合、復号失敗率の最もタイトな上界は何か？
• RQ4 HQC-RMRSの新しい符号組み合わせは、セキュリティおよび効率性の観点から、元のBCH-反復構成と比較してどのように異なるか？
• RQ5 精緻化された誤差重み解析により、DFRを増加させることなく、HQCにおけるパrameterをどれほど小さくできるか？

主な発見

• 提案されたHQC-RMRSインスタンスは、BCH-反復符号を用いた元のHQCフレームワークと比較して、公開鍵および暗号文サイズを約17%削減する。
• HQC-RMRS-128の新しいパrameterは、128ビットのセキュリティレベルを達成し、公開鍵サイズが20,533ビットで、DFRが$2^{-128}$未満である。
• シミュレーション結果は、実際のDFRが理論的上界を下回っていることを確認しており、分析の保守的性質を裏付けている。
• HQC誤差ベクトルの重み分布は、リード・マラー符号のサポート上では二項分布と非常に近い一致を示しており、i.i.d. ベルヌーイモデルの使用を支持する。
• 192ビットのセキュリティに対して、HQC-RMRSは元のフレームワークと比較して鍵サイズを16.7%削減し、DFRは$2^{-192}$未満である。
• 連結符号のDFR分析により、解析可能でかつ実用的にタイトな上界が得られ、安全でコンactなパrameter選定を可能にする。