[論文レビュー] LDPC codes in the McEliece cryptosystem: attacks and countermeasures

Marco Baldi|ArXiv.org|Sep 30, 2007

Coding theory and cryptography被引用数 4

ひとこと要約

この論文は、準巡回低密度奇数チェック (QC-LDPC) コードを用いた修正された McEliece 暗号方式を提案し、鍵長を短縮し、送信効率を向上させつつも、セキュリティを維持する。最近の攻撃が公開鍵変換における構造的欠陥を悪用するのを防ぐための対策を導入し、構成行列のわずかな変更が複雑性を増すことなくセキュリティを保持できることを示している。これにより、スケーラブルで高性能な後量子暗号が実現可能である。

ABSTRACT

The McEliece cryptosystem is a public-key cryptosystem based on coding theory that has successfully resisted cryptanalysis for thirty years. The original version, based on Goppa codes, is able to guarantee a high level of security, and is faster than competing solutions, like RSA. Despite this, it has been rarely considered in practical applications, due to two major drawbacks: i) large size of the public key and ii) low transmission rate. Low-Density Parity-Check (LDPC) codes are state-of-art forward error correcting codes that permit to approach the Shannon limit while ensuring limited complexity. Quasi-Cyclic (QC) LDPC codes are a particular class of LDPC codes, able to join low complexity encoding of QC codes with high-performing and low-complexity decoding of LDPC codes. In a previous work it has been proposed to adopt a particular family of QC-LDPC codes in the McEliece cryptosystem to reduce the key size and increase the transmission rate. Recently, however, new attacks have been found that are able to exploit a flaw in the transformation from the private key to the public one. Such attacks can be effectively countered by changing the form of some constituent matrices, without altering the system parameters. This work gives an overview of the QC-LDPC codes-based McEliece cryptosystem and its cryptanalysis. Two recent versions are considered, and their ability to counter all the currently known attacks is discussed. A third version able to reach a higher security level is also proposed. Finally, it is shown that the new QC-LDPC codes-based cryptosystem scales favorably with the key length.

研究の動機と目的

• オリジナルの McEliece 暗号方式の二大欠陥、すなわち巨大な公開鍵サイズと低い送信効率を是正すること。
• 古典的および最近開発された攻撃、特にスパースな変換行列に起因する攻撃に対して、LDPC を用いた McEliece 変種のセキュリティを評価すること。
• QC-LDPC コードを用いて、計算複雑性を低く保ちつつ、安全で効率的かつスケーラブルな McEliece 暗号方式の変種を提案すること。
• 公開鍵変換行列に対するわずかな修正が、最近の cryptanalytic 攻撃を効果的に防ぐことができ、パフォーマンスに悪影響を及げないことを示すこと。
• QC-LDPC を用いたシステムが鍵長の増加に伴い、元のシステムの二次的増加と比較して線形的増加を維持する形で、高いスケーラビリティを示すことを示すこと。

提案手法

• スパースな奇数チェック行列を有する準巡回 LDPC コードを用いることで、鍵長を短縮し、送信効率を向上させつつ、効率的な符号化・復号に必要な構造を保持する。
• 秘密コード構造を隠すために、密度の高い変換行列を適用し、過去の LDPC を用いた変種で見られたスパースな変換に起因する攻撃を防ぐ。
• 公開鍵は、秘密鍵を密度の高い行列と置換を用いて変換することで生成され、その結果得られる生成行列はランダムに見えるようになり、下位のコード構造が隠蔽される。
• LDPC コードの効率的な和積アルゴリズム (SPA) 復号を活用することで、復号の複雑性を最小限に抑え、高スループットを実現する。
• 提案された対策は、公開鍵変換における構成行列の形式を変更することにあり、攻撃の経路を遮断するが、システムパrameter や計算コストの増加は伴わない。
• セキュリティは、情報集合復号、Stern 類似アルゴリズム、およびスパース構造に起因する攻撃を含む既知の攻撃に対して評価され、複雑性推定と鍵長スケーリングを用いた性能分析が行われた。

実験結果

リサーチクエスチョン

• RQ1 QC-LDPC コードを McEliece 暗号方式に安全に統合することで、鍵長を短縮し、送信効率を向上させつつセキュリティを損なわないか？
• RQ2 最近の攻撃がスパースな変換行列に起因する LDPC を用いた McEliece 変種をどのように脅かすのか、そしてどのような構造的変更がそれらを効果的に無効化できるか？
• RQ3 QC-LDPC を用いた McEliece システムが、より高いセキュリティレベルにまでスケーリング可能か、効率的かつ低複雑性を維持できるか？
• RQ4 RSA やオリジナルの McEliece システムと比較して、QC-LDPC を用いた変種における暗号化・復号の計算コストはどの程度か？
• RQ5 RSA と同等またはそれ以上のパフォーマンスを達成しつつ、量子耐性を有する攻撃に対してもセキュリティを保持できるか？

主な発見

• 最初の QC-LDPC を用いた McEliece 変種は、鍵長を 6144 バイトにまで短縮した。これはオリジナルの McEliece システム（67072 バイト）の 10 倍以上小さく、Niederreiter 変種よりも 5 倍以上小さい。
• システムは 0.75（3/4）の送信効率を達成し、オリジナルの McEliece システムの 0.51 よりも顕著に高く、実用的通信における効率性が向上した。
• 第二の変種は、最初のものと同等の鍵長を維持しながら、レートを 2/3 に低下させることで、セキュリティレベルを約 2^10 倍に向上させた。これはパフォーマンスとセキュリティのトレードオフを示している。
• 第三の変種は、鍵長を 12288 バイト（2 倍）に引き上げることで、セキュリティレベルを 2^106.5 に達成したが、依然としてオリジナルのシステムの 5 倍以上も小さい。これはコード長に伴う線形的増加が良好に維持されていることを示している。
• 暗号化・復号の計算コストは低く抑えられている。最初の変種では、暗号化コストは情報ビットあたり 658 操作、復号は 4678 操作であり、RSA の 738112 操作/ビットと比較して顕著に低い。
• 構成行列の形式を公開鍵変換にわずかに変更することで、情報集合復号、改善版 Stern 類似アルゴリズム、およびスパース構造に起因する構造的攻撃を含む、すべての既知の攻撃に対して耐性を持つ。システムパrameter や複雑性の変更なしに実現された。