[論文レビュー] NTRUCipher-Lattice Based Secret Key Encryption

Maheswara Rao Valluri|arXiv (Cornell University)|Oct 5, 2017

Cryptography and Data Security参考文献 3被引用数 5

ひとこと要約

本稿では、素数 $n$ および 2 のべきである $q$ を用いた環 $\mathbb{Z}_q[x]/(x^n-1)$ 上の切断多項式に基づき、NTRU格子構造に立脚した格子ベースの秘密鍵暗号方式 NTRUCipher を提案する。この方式は、公開鍵暗号に限らないNTRUEncryptフレームワークを対称鍵用途に適応させ、決定的NTRUCipher暗号文解読問題が困難であるという仮定の下でIND-CPA安全性を証明し、ブルートフォース攻撃および複数送信攻撃に対して強い耐性を示す実用的なパラメータを提案する。

ABSTRACT

NTRU cryptosystem has allowed designing a range of cryptographic schemes due to its flexibility and efficiency. Although NTRU cryptosystem was introduced nearly two decades ago, it has not yet received any attention like designing a secret key encryption. In this paper, we propose a secret key encryption over NTRU lattices, named as NTRUCipher. This NTRUCipher is designed using modification of the NTRU public key encryption. We analyze this cipher efficiency and the space complexity with respect to security aspects, and also show that the NTRUCipher is secured under the indistinguishability chosen plaintext attack.

研究の動機と目的

• NTRU格子構造に基づく新しい秘密鍵暗号方式の設計を通じて、NTRUの公開鍵暗号を超える応用分野の空白を埋めること。
• NTRUEncryptフレームワークを対称鍵用途に適応させ、切断多項式の効率性と代数的構造を活用すること。
• 選択平文攻撃（IND-CPA）モデルにおける形式的セキュリティ証明を実施すること。
• 方式の効率性、空間計算量、ブルートフォース攻撃および複数送信攻撃に対する耐性を分析すること。
• 実用的かつ安全なシステムパラメータを導出し、導入を促進すること。

提案手法

• 方式は、素数 $n$ および 2 のべきである $q$ を用いた環 $R = \mathbb{Z}_q[x]/(x^n - 1)$ を使用し、NTRU格子フレームワークに基づく。
• 暗号化は $c = (p \cdot r \cdot k^{-1} + \mu) \mod q$ で定義され、ここで $\mu$ は平文、$k$ は秘密鍵、$r$ は一時的なランダム多項式、$p$ は固定多項式である。
• 復号は確率的であり、環 $R_{n,q}$ における秘密鍵 $k^{-1}$ の逆元に依存し、$q$ での剰余演算と丸め操作を用いる。
• セキュリティ証明はゲームベースのIND-CPAモデルを用い、任意の非無視的利得を示す攻撃者を用いることで、決定的NTRUCipher暗号文解読問題を解けることを示す。
• ブルートフォース攻撃に対しては、256次三値平文を回復するための $3^{256}$ 回の試行が必要であり、$\mathfrak{L}_c$ 格子における構造的格子還元により複数送信攻撃が緩和される。
• パラメータ選定は、$\frac{q_e}{(2\|r^*\|_\infty + 1)^n}$ の利得が無視可能であることを保証するように行われ、$n$ および $q$ はセキュリティの閾値を満たすように選ばれる。

実験結果

リサーチクエスチョン

• RQ1 NTRU格子構造は、公開鍵暗号に限らず秘密鍵暗号用途に効果的に再利用可能か？
• RQ2 得られた方式は、対称鍵暗号の標準IND-CPAモデルのもとで安全か？
• RQ3 空間効率の観点から、AES や DES などの古典的ブロック暗号と比較して、方式の暗号文サイズはどの程度か？
• RQ4 ブルートフォース攻撃および複数送信攻撃に対して耐性を確保するための実用的パラメータ選定は何か？
• RQ5 方式は同型暗号性やメッセージ認証をサポートするように拡張可能か？

主な発見

• 決定的NTRUCipher暗号文解読問題が困難であるという仮定の下、NTRUCipherはIND-CPA安全性が証明されており、利得は $\frac{q_e}{(2\|r^*\|_\infty + 1)^n}$ で抑えられ、適切に選ばれたパラメータでは無視可能である。
• ブルートフォース攻撃に対しては、$3^{256}$ 個の256次三値多項式という非常に大きな探索空間のおかげで耐性が確保されており、$2^{80}$ セキュリティ閾値を上回る。
• 複数送信攻撃は、攻撃者が $c_i - c_1$ の差分から秘密鍵 $k$ を回復できないことにより緩和される。これは、構造的格子 $\mathfrak{L}_c$ における近似最短ベクトル問題（SVP）を解く必要があるためである。
• 暗号文サイズは、古典的ブロック暗号と比較して顕著に大きい。これは、格子ベースのセキュリティと空間効率の間の主要なトレードオフである。
• 計算上の操作の観点からは効率的であり、$R_{n,q}$ における多項式乗算とモジュロ演算に依存しているが、大きな暗号文サイズのため帯域制限のある環境では実用性が制限される。
• 著者らは、$n$ を素数、$q$ を2のべき、$\|r^*\|_\infty$ を有界に保つことなどのパラメータを推奨し、IND-CPAゲームにおける安全性と無視可能な利得を確保する。