[論文レビュー] Linear decomposition attack on public key exchange protocols using semidirect products of (semi)groups

В. А. Романьков|arXiv (Cornell University)|Jan 6, 2015

Geometric and Algebraic Topology参考文献 7被引用数 12

ひとこと要約

この論文は、有限体上の行列半群を用いた非可換鍵交換プロトコルに対して、多項式時間の決定的線形分解攻撃を提示する。特に、半群の半自己同型積に基づくプロトコルを標的としている。プラットフォーム群の線形代数的構造とその自己準同型を活用することで、基礎となる計算問題を解かずに共有秘密鍵を回復する。これは、プラットフォーム群が効率的な線形表現を許容する場合、このようなプロトコルが安全でないことを示している。

ABSTRACT

We show that a linear decomposition attack based on the decomposition method introduced by the author works by finding the exchanged secret keys in all main protocols using semidirect products of (semi)grops proposed by Kahrobaei, Shpilrain, Habeeb, Koupparis and Lam.

研究の動機と目的

• 半自己同型積に基づく2つの主要な非可換鍵交換プロトコルが、線形分解攻撃によって破られる可能性を示すこと。
• これらのプロトコルの安全性が、共役問題や因数分解問題を解くことに依存するのではなく、線形代数的技術によって直接破られる可能性を示すこと。
• 公開情報と線形代数のみを用いて、共有秘密鍵を直接回復する、実用的で決定的かつ多項式時間の攻撃を提供すること。
• ガロア体上の行列半群を用いたプロトコルの脆弱性を分析すること、特に自己準同型が線形的に表現される場合に注目すること。
• 線形代数的攻撃に耐えるように設計されたとされるプロトコルの変種ですら、洗練された線形分解アプローチによって依然として脆弱であることを示すこと。

提案手法

• プラットフォーム群 $ G $ が体 $ \bbF $ 上の有限次元代数の乗法的部分群であるという事実を活用し、線形代数的技術を適用可能にする。
• ガウスの消去法を用いて、線形空間 $ W = \mathrm{Sp}_\bbF(\{ H^k (HM)^l \}) $ の基底 $ \f{e}_1, \dots, \f{e}_t $ を計算する。ここで $ H, M $ は有限体上の行列である。
• 行列 $ HM $ の annihilator 空間 $ U $ を構築する。これは $ A \cdot HM = 0 $ を満たす行列 $ A $ 全体の集合であり、$ Z = W + U $ の基底を求める。
• 公開値 $ a_m + R $ および $ a_n + S $ を、$ Z $ の基底に関する線形結合として表現し、係数を体 $ \bbF $ からとる。
• 行列演算を用いて、$ m $ や $ n $ を復元せずに共有鍵 $ a_{m+n} = H^{-(m+n)}(HM)^{m+n} $ を再構築する。
• 各ステップで決定的ガウス消去法を適用して線形方程式系を解き、攻撃が効率的かつ再現可能であることを保証する。

実験結果

リサーチクエスチョン

• RQ1 非可換鍵交換プロトコルにおける共有秘密鍵は、基礎となる計算問題を解かずに、半自己同型積を用いて回復可能か？
• RQ2 プラットフォーム群およびその自己準同型の線形性が、このようなプロトコルの安全性をどの程度損なうか？
• RQ3 [4] で提示されたプロトコル変種におけるゼロ空間行列 $ R, S $ の導入は、線形代数的攻撃を効果的に防ぐのか？
• RQ4 公開データと線形代数的分解のみを用いて、決定的かつ多項式時間の攻撃を構築可能か？
• RQ5 群代数内の線形依存性を活用することで、私的指数 $ m, n $ を計算せずに共有鍵が回復可能か？

主な発見

• プラットフォーム群が有限体上に線形表現を許容する場合、線形分解攻撃は [3] および [4] に掲載された2つの主要プロトコルを多項式時間で破る。
• 攻撃は共役問題や因数分解問題を解く必要がなく、線形代数的分解により直接共有鍵を回復する。
• [4] で提示された変種プロトコルですら、洗練された線形分解法に対して脆弱である。この変種は線形攻撃を防ぐためにゼロ空間行列 $ R, S $ を導入しているが、依然として攻撃可能である。
• 攻撃は決定的であり、線形方程式系の解法にガウス消去法のみを用いるため、再現性と効率性が保証される。
• 共有鍵 $ a_{m+n} $ は、$ W $ と $ U $ の基底表現を用いて、公開値 $ a_m + R $ および $ a_n + S $ から、逆行列の計算を一切行わずに再構築可能である。
• 実際の例として、[3] の元のプロトコルおよび [4] の改訂版プロトコルにおいて、$ \bbF_7 $ 上の行列半群をプラットフォームとする場合に、攻撃が実用的であることが示されている。