[論文レビュー] On Cryptographic Attacks Using Backdoors for SAT

Alexander Semenov, Oleg Zaikin+3 more|arXiv (Cornell University)|Mar 13, 2018

Bayesian Modeling and Causal Inference被引用数 6

ひとこと要約

本稿では、暗号アルゴリズムに対する推測・決定攻撃の自動化を目的として、SATのための逆バックドアセット（IBS）を導入する。統計的に推定された抵抗関数とモンテカルロサンプリングを用いることで、攻撃実行時間を最小化する最適なバックドア変数集合を同定する。この手法により、SATソルバを用いて弱体化させたTrivium、AES-128、Magma暗号の、最先端のハードネス推定が達成された。

ABSTRACT

Propositional satisfiability (SAT) is at the nucleus of state-of-the-art approaches to a variety of computationally hard problems, one of which is cryptanalysis. Moreover, a number of practical applications of SAT can only be tackled efficiently by identifying and exploiting a subset of formula's variables called backdoor set (or simply backdoors). This paper proposes a new class of backdoor sets for SAT used in the context of cryptographic attacks, namely guess-and-determine attacks. The idea is to identify the best set of backdoor variables subject to a statistically estimated hardness of the guess-and-determine attack using a SAT solver. Experimental results on weakened variants of the renowned encryption algorithms exhibit advantage of the proposed approach compared to the state of the art in terms of the estimated hardness of the resulting guess-and-determine attacks.

研究の動機と目的

• SATベースの手法を用いた暗号的セキュリティプロトコルに対する効率的な推測・決定攻撃を構築する課題に対処すること。
• 過去のバックドアセットが複数のインスタンスに再利用できない、または過度に制限されたアルゴリズム的仮定を必要とするという限界を克服すること。
• 推測・決定攻撃の推定実行時間を最小化するバックドアセットを特定する、自動的かつ一般化可能な手法を開発すること。
• 手動で設計された戦略や特化したアルゴリズムに依存しない、統計的に根拠のある抵抗関数を提供すること。

提案手法

• NPおよび不完全なソルバを用いた弱体化された部分問題に適用可能な、バックドアセットの新クラス「逆バックドアセット（IBS）」を導入。強力バックドアの拡張として位置づける。
• 特定のIBSに基づく推測・決定攻撃の実行時間を推定する抵抗関数を定義。モンテカルロサンプリングを用いて平均的性能を統計的に評価する。
• すべての可能なIBS候補の空間上で抵抗関数を最小化するためのブラックボックス最適化技術を適用し、最も効率的なバックドアセットを同定する。
• IBS変数の割り当てによって生成される弱体化された部分問題の性能をSATソルバで評価し、攻撃の自動構築を可能にする。
• シンボリック解析と実験的評価を組み合わせたハイブリッドアプローチを用い、低抵抗バックドアセットの探索を支援する。

実験結果

リサーチクエスチョン

• RQ1 暗号的セキュリティプロトコルに対する推測・決定攻撃の推定実行時間を最小化する、一般的かつ自動化可能なバックドアセットを同定する手法を開発できるか？
• RQ2 平均的ソルバ性能を反映するモンテカルロベースの関数を用いて、推測・決定攻撃の抵抗を統計的に推定できるか？
• RQ3 逆バックドアセット（IBS）は、手動で設計されたまたは従来のアルゴリズム特化型バックドア構成に比べて、攻撃のハードネス推定においてどの程度優れているか？
• RQ4 提案された抵抗関数最小化アプローチは、Trivium、AES-128、Magmaといった異なる暗号プリミティブにわたってスケーラブルかつ有効であるか？

主な発見

• 提案されたIBSに基づくアプローチは、弱体化させたTriviumの変種に対して2.04×10⁴¹秒の実行時間推定を達成し、以前の最良攻撃（2.50×10³⁴秒）を上回った。
• 6ラウンドのAES-128の変種では、1.45×10¹⁵秒の実行時間推定が得られ、以前の最良値（3.08×10¹⁶秒）を著しく下回った。
• 6ラウンドのMagma暗号の変種では、攻撃推定時間が3.55×10²²秒にまで低下し、過去の最良値（1.17×10²³秒）を改善した。
• モンテカルロサンプリングによる抵抗関数推定は、攻撃のハードネスを信頼性があり一貫した指標として提供し、バックドアセットの自動最適化を可能にした。
• 従来の手法が最大2⁸⁰ビットのメモリを要するのに対し、本手法は極めて低いメモリ使用量で済むため、標準的なコンピューティング環境においてより実用的である。