[論文レビュー] Mathematics of Isogeny Based Cryptography

Luca De Feo|arXiv (Cornell University)|Nov 10, 2017

Cryptography and Residue Arithmetic参考文献 60被引用数 45

ひとこと要約

本論文は、超特異楕円曲線と準同型写像の数学的基盤に焦点を当て、後量子暗号における応用を含め、準同型暗号に基づく暗号技術について包括的でアクセスしやすい入門を提供する。SIKE（超特異準同型鍵暗号方式）、ゼロ知識認証、準同型グラフに基づく署名方式といった主要なプロトコルを提示し、SSDDH や DSSP といった仮定の下でその安全性を示し、量子攻撃に対して耐性があることを強調している。

ABSTRACT

These lectures notes were written for a summer school on Mathematics for post-quantum cryptography in Thi\\`es, Senegal. They try to provide a guide for Masters' students to get through the vast literature on elliptic curves, without getting lost on their way to learning isogeny based cryptography. They are by no means a reference text on the theory of elliptic curves, nor on cryptography; students are encouraged to complement these notes with some of the books recommended in the bibliography. The presentation is divided in three parts, roughly corresponding to the three lectures given. In an effort to keep the reader interested, each part alternates between the fundamental theory of elliptic curves, and applications in cryptography. We often prefer to have the main ideas flow smoothly, rather than having a rigorous presentation as one would have in a more classical book. The reader will excuse us for the inaccuracies and the omissions.

研究の動機と目的

• 本分野に初めて触れる修士課程の学生や研究者を対象に、自己完結的でアクセスしやすい準同型暗号技術の入門を提供すること。
• 古典的楕円曲線理論と、準同型グラフに基づく現代の後量子暗号構築との間のギャップを埋めること。
• 鍵交換、ゼロ知識認証、署名方式を含む、主要な準同型暗号プロトコルの提示と形式的セキュリティ還元の分析を行うこと。
• 準同型暗号システムが量子攻撃に対してなぜ耐性を持つのかを強調し、後量子暗号の有力候補として位置づけること。
• 未解決問題（例：効率的な署名方式、柔軟な準同型暗号プリミティブ）を特定することで、今後の研究を促進すること。

提案手法

• 特徴が 2 および 3 でない体上での楕円曲線を、ワイエルシュトラス方程式と射影幾何学を用いて定義し、点の共線性を用いて群法則を定義する。
• 準同型写像を、群構造を保存する楕円曲線間の準同型写像として定義し、核と分離性を用いて次数を定義する。
• ベリュ–ベリュ–シューフのアルゴリズムを用いて、ねじれ部分群を核として、準同型写像を明示的に計算する。
• F_p^2 上の超特異曲線を用い、素数べき次数の準同型写像を用いて、超特異準同型ディフィー・ヘルマン（SIDH）鍵交換を構築する。
• ランダムに選ばれたチャレンジに対して、準同型写像の整合性を検証することで、準同型写像へのコミットメントに基づくゼロ知識認証プロトコルを採用する。
• フィアット–シャムールのヒューリスティックを用いて、インタラクティブなゼロ知識プロトコルを非インタラクティブなものに変換し、署名方式を導出する。

実験結果

リサーチクエスチョン

• RQ1 効率性と実用性を保ちながら、後量子セキュリティを達成するための準同型暗号プロトコルは、どのように構築できるか？
• RQ2 準同型グラフが暗号的構築物に適しているとされる、その根本的な数学的性質は何か？
• RQ3 準同型写像を用いたゼロ知識証明は、どのように設計可能であり、その安全性を証明するために必要な仮定は何か？
• RQ4 なぜ準同型暗号システムは、従来の ECC や PBC よりも量子暗号解析に対してより効果的に耐性を持つのか？
• RQ5 準同型暗号暗号は、古典的な離散対数に基づくプロトコルを再現する上で、どのような制限を抱えており、それらはどのように克服できるか？

主な発見

• SIKE プロトコルは、量子攻撃者に対しても困難であると信じられている、超特異準同型ディフィー・ヘルマン（SI-DDH）仮定の下で安全である。
• 準同型写像へのコミットメントに基づくゼロ知識認証プロトコルは、決定的超特異積（DSSP）および SSDDH 仮定の下で安全かつゼロ知識的である。
• 不正な証明者が成功する確率は 1/2 であるが、繰り返しによって指数関数的に低下させることができる。
• ゼロ知識プロトコルから導出された署名方式は、同じ仮定の下で安全であるが、数百回の反復が必要なため、計算コストが非常に高い。
• 複数の素数（例：p = ℓ_A^{e_A}ℓ_B^{e_B}ℓ_C^{e_C}±1）への一般化により、指定検証者署名や否定不能署名といった新たなプリミティブが可能になるが、大きな素数を必要とし、効率性が低下する。
• 準同型グラフがエクスパンダーグラフであることが示され、これらのグラフにおけるパスの探索困難性が、プロトコルの安全性を支えることを裏付けた。