[論文レビュー] Imprimitive permutations groups generated by the round functions of key-alternating block ciphers and truncated differential cryptanalysis

A. Caranti, Francesca Dalla Volta+2 more|ArXiv.org|Jun 1, 2006

Coding theory and cryptography参考文献 9被引用数 6

ひとこと要約

この論文は、鍵交雑ブロック暗号において、ラウンド関数によって生成される群の任意のブロック系は、線形部分空間の陪集合系に限定され、非線形の不可約ブロックは不可能であることを証明する。これは、切り捨て微分暗号解折分析との直接的な関連を確立し、群がメッセージ空間上で原始的に作用する十分条件を提示する。この条件はAESについても成立し、特定の構造的攻撃に対して強い安全性を保証する。

ABSTRACT

We answer a question of Paterson, showing that all block systems for the group generated by the round functions of a key-alternating block cipher are the translates of a linear subspace. Following up remarks of Paterson and Shamir, we exhibit a connection to truncated differential cryptanalysis. We also give a condition that guarantees that the group generated by the round functions of a key-alternating block cipher is primitive. This applies in particular to AES.

研究の動機と目的

• ケネス・パターソンが提起した未解決問題、すなわち鍵交雑ブロック暗号に非線形の不可約ブロックが存在しうるかを解消すること。
• 不可約群作用と切り捨て微分暗号解折分析との概念的関連を確立すること。
• ラウンド関数によって生成される群がメッセージ空間上で原始的に作用することを保証する十分条件を提供すること。
• その条件がAESにおいて満たされることを示し、群作用が原始的であることを示唆し、特定の構造的攻撃に対して耐性を持つこと。

提案手法

• 群作用理論を用いる：任意の $G$-不変な分割（ブロック系）は、$G_{\alpha} < H < G$ を満たす部分群 $H$ に対応する。ここで $G_{\alpha}$ は安定化部分群である。
• ラウンド関数 $\rho\sigma_k$（$k \in V$）によって生成される群 $G = \langle \rho\sigma_k : k \in V \rangle$ の構造を分析する。ここで $\rho$ は固定された置換、$\sigma_k$ は鍵の加算を表す。
• 集合 $T = \{ \sigma_v : v \in V \}$ が $\operatorname{Sym}(V)$ において初等アーベルな正規部分群であることを応用し、$G = \langle T, \rho \rangle$ となることを示す。
• 状態空間 $V$ を部分空間 $V_i$ に分解し、$\gamma = \rho \lambda^{-1}$ がこれらの成分上でどのように作用するかを検討する。
• 各 $i$ について、写像 $x \mapsto (x + v)\gamma_i + x\gamma_i$ の像のサイズが、すべての $0 \neq v \in V_i$ に対して $> 2^{m - r - 1}$ であることを条件とし、$\gamma_i$-不変な余次元 $\leq r$ の部分空間が存在しないことを仮定する。
• 華の恒等式を適用し、$\mathbf{GF}(2^n)$ の加法的部分群で逆元について閉じているものは部分体であることを示す。これにより $U = U\lambda$ ならば $U$ が部分体であることが示され、$U$ が真の非自明な部分群である場合に矛盾が生じる。

実験結果

リサーチクエスチョン

• RQ1 パターソンが提起した問い、すなわち鍵交雑ブロック暗号に非線形の不可約ブロックが存在しうるか。
• RQ2 不可約群作用と切り捨て微分暗号解折分析との間に構造的関連があるか。
• RQ3 ラウンド関数によって生成される群がメッセージ空間上で原始的に作用するための条件は何か。
• RQ4 AESのラウンド関数構造を踏まえて、提示された原始的条件が成立するか。

主な発見

• 鍵交雑ブロック暗号において、ラウンド関数によって生成される群の不可約ブロックは、すべて線形部分空間の陪集合系に限定される。非線形ブロックは不可能である。
• ブロック系の存在は $G$-不変な分割に対応し、このような分割は $G_{\alpha} < H < G$ を満たす部分群 $H$ と一対一に対応する。
• 本論文は、ブロック系の存在と切り捨て微分暗号解折分析との直接的な関連を確立した。ここで差分空間 $U$ はラウンド関数によって保存される。
• 原始的性のための十分条件が提示された：ラウンド関数 $\rho$ が差分写像の像のサイズに関する条件を満たし、かつ小さな不変部分空間を含まなければ、$G$ はメッセージ空間上で原始的に作用する。
• AESについて、$n_b = 128$, $m = 8$, $r = 3$ とすると、条件 $m > 2r$ が成立する（$8 > 6$）、かつ必要な像サイズ条件も満たされるため、そのラウンド関数によって生成される群は原始的に作用する。
• 証明では、$U$ が真の非自明な $G$-不変部分空間であれば、$U = U\lambda$ であることが示され、$U$ が部分体であることを示唆する。これは、$U = \{0\}$ または $U = V$ でなければ最大性の条件に反するため、原始的であることを証明する。