[論文レビュー] Length-Based Attacks for Certain Group Based Encryption Rewriting Systems

James P. Hughes, Allen Tannenbaum|ArXiv.org|Jun 6, 2003

Geometric and Algebraic Topology参考文献 17被引用数 55

ひとこと要約

この論文は、公開鍵に含まれる共役の標準的長さ関数を活用することで、特にブレッド群を用いた群基盤公開鍵暗号方式に対する確率的長さベース攻撃を提示する。攻撃は長さ $ k $ の短縮文字列を特定することで、$ dn(2n)^k $ で抑えられる計算量の下で秘密鍵を効率的に回復する。これは、安全性を確保するには大きな $ k $（例：100）が必要であることを示唆しているが、実用的な最適化により実行時間が著しく短縮可能である。

ABSTRACT

In this note, we describe a probabilistic attack on public key cryptosystems based on the word/conjugacy problems for finitely presented groups of the type proposed recently by Anshel, Anshel and Goldfeld. In such a scheme, one makes use of the property that in the given group the word problem has a polynomial time solution, while the conjugacy problem has no known polynomial solution. An example is the braid group from topology in which the word problem is solvable in polynomial time while the only known solutions to the conjugacy problem are exponential. The attack in this paper is based on having a canonical representative of each string relative to which a length function may be computed. Hence the term length attack. Such canonical representatives are known to exist for the braid group.

研究の動機と目的

• 有限生成群における語問題および共役問題に基づく公開鍵暗号方式の安全性を調査すること。特にブレッド群を対象とする。
• このような群に多項式時間で計算可能な長さ関数が存在する場合、それが暗号方式の破壊に利用可能かどうかを分析すること。
• アンシェル＝アンシェル＝ゴールドフェルド鍵交換プロトコルにおいて、標準語の長さに基づく確率的攻撃が秘密鍵を効率的に回復できることを示すこと。
• 群基盤暗号方式に対する長さベース暗号解析の理論的および実用的枠組みを提供すること。

提案手法

• ブレッド群における語の標準的最小長さ形は多項式時間で計算可能であり、これを公開鍵内の共役に長さ関数を定義するために用いる。
• 短縮文字列（長さ $ k $）を探索する。これは、共役の長さを顕著に短縮する部分文字列であり、秘密鍵の構成要素を示す手がかりとなる可能性がある。
• 各公開共役 $ a t_r a^{-1} $ に対して、長さ $ k $ のすべての可能な短縮文字列 $ (2n)^k $ をテストする。ここで $ n $ は生成子の数、$ d $ は秘密鍵の因子数である。
• $ n $ 個の公開共役に対してこのプロセスを繰り返し、長さ短縮のパターンを分析することで、秘密鍵 $ a $ の可能性の高い構成要素を同定する。特定の因子がより効果的に短縮するという事実を活用する。
• 攻撃は確率的であり、ランダム化または遺伝的アルゴリズムを用いることで、有効な探索空間を著しく縮小できる。
• この手法は、$ q-1 $ に小さな素因数を含む離散対数系における滑らかさ攻撃と類似している。

実験結果

リサーチクエスチョン

• RQ1 ブレッド群における標準的長さ関数は、群基盤公開鍵暗号方式に対する実用的攻撃に利用可能か？
• RQ2 公開共役内の長さベース短縮パターンを用いた秘密鍵回復の計算量はどの程度か？
• RQ3 短縮文字列の長さ $ k $ が攻撃の成功確率および実行時間に与える影響は？
• RQ4 秘密鍵の構造（因子数、生成子の長さ）は、長さ攻撃の効果にどの程度影響を及えるか？
• RQ5 同様の長さ関数を持つ他のアーティン群またはコクセター群に対しても、この攻撃は一般化可能か？

主な発見

• 長さ攻撃は、$ dn(2n)^k $ で抑えられる時間内にアンシェル＝アンシェル＝ゴールドフェルド暗号方式を破壊可能であり、これは鍵因子数に対して多項式的で、公開共役数に対して線形的である。
• 生成子の標準的長さが小さい場合に攻撃は最も効果的である。ゴールドフェルドは、長さ10未満の生成子は攻撃を阻害すると提言している。
• 長さ $ k < d $ の短縮文字列が存在する場合、システムを破るまでの時間が著しく短縮され、鍵長の延長は効果を失う。
• 攻撃は一般のブレッド群における共役問題を解くものではなく、無限の可能性がある一般ケースとは異なり、既知で有限の因子分解に依存している。
• 秘密鍵が長くても、$ k $ が十分に大きい限り攻撃は有効に機能する。論文は、安全性を確保するには $ k \geq 100 $ が必須であると推測している。
• ランダム化または遺伝的アルゴリズムを用いることで、攻撃の実行速度は数個のオーダー単位で向上し、実用的妥当性が向上する。