[論文レビュー] New variant of ElGamal signature scheme

Omar Khadir|arXiv (Cornell University)|Jan 15, 2013

Cryptography and Data Security参考文献 11被引用数 9

ひとこと要約

本論文は、3つの未知変数（r, s, t）を有するElGamalデジタル署名方式の新規変種を提案し、拡張ユークリッドの互除法の使用を回避することでセキュリティを強化する。この方式は離散対数問題に基づく一般化された署名方程式を用い、既知の攻撃に対するセキュリティ分析が行われ、数学的関心のためのn変数への理論的一般化が提示されている。

ABSTRACT

In this paper, a new variant of ElGamal signature scheme is presented and its security analyzed. We also give, for its theoretical interest, a general form of the signature equation.

研究の動機と目的

• 既知の攻撃に対して耐性を高めたElGamal署名方式の新規変種を設計すること。
• 署名生成において拡張ユークリッドの互除法への依存を排除すること。
• 数学的洞察を得るため、署名方程式をn変数へ理論的に一般化すること。
• 新規方式の存在的偽造攻撃および鍵回復攻撃に対するセキュリティを分析すること。
• 提案方式の計算複雑性を既存の変種と比較して評価すること。

提案手法

• 署名方程式は α^t ≡ y^r * r^s * s^m (mod p) であり、r, s, t は計算すべき未知変数である。
• アリスは、ランダムに選ばれた k₁, k₂ ∈ ℤ_{p−1}^* に対して r = α^k₁ mod p および s = α^k₂ mod p を設定する。
• 署名の検証は、両辺を mod p で計算し、結果を比較することで実施する。
• 署名パラメータ t は、秘密鍵 x を用いて t ≡ x*r + k₁*s + k₂*m (mod p−1) として計算される。
• 既知の値を用いて直接モジュラー方程式を解くことで、拡張ユークリッドの互除法を回避する。
• 理論的一般化により、方程式は t ≡ x*r₁ + k₁*r₂ + ... + k_{n−1}*rₙ + kₙ*m (mod p−1) のようにn+1個の未知数へ拡張される。

実験結果

リサーチクエスチョン

• RQ1 拡張ユークリッドの互除法を回避する3つの未知数を有する新規ElGamal署名方式を構築可能か？
• RQ2 新規方式のセキュリティは、既存のElGamal方式と比較して、既知の攻撃に対してどのように異なるか？
• RQ3 モジュラー指数計算および乗算の観点から、提案方式の計算複雑性はいかほどか？
• RQ4 3つ以上の未知数へ署名方程式を一般化可能であり、かつセキュリティと正しさを保持できるか？
• RQ5 新規方式下で存在的偽造が可能であるか、その場合の条件は何か？

主な発見

• 提案方式は署名生成において拡張ユークリッドの互除法を回避しており、実装を簡素化する。
• 同じ秘密指数を用いて異なるメッセージに署名する場合、一般化方程式の分析により鍵回復攻撃に対して耐性があることが示された。
• 特定のパrameter条件の下で、修正版Bleichenbacher風攻撃により存在的偽造が可能であることが示された。
• 計算コストは中程度：署名は483 T_mult + T_h、検証は962 T_mult + T_h（T_exp = 240 T_mult と仮定）。
• 通信コストは、公開鍵および署名部品を含め6|p|ビット。
• 理論的一般化としてn変数への拡張が提示され、tは秘密鍵と署名パラメータのベクトルのスカラー積を mod p−1 で計算する。