[論文レビュー] On Decoding Schemes for the MDPC-McEliece Cryptosystem

Hannes Bartz, Gianluigi Liva|arXiv (Cornell University)|Jan 17, 2018

Coding theory and cryptography参考文献 21被引用数 11

ひとこと要約

本稿では、MDPC-McEliece後量子暗号方式で用いられる準巡回中密度チェック（QC-MDPC）符号のための、新規のメッセージスティーミングデコーディング方式であるREMP-1およびREMP-2を提案する。構造的エラーパターンの導入とパラメータ最適化により、信念伝播を変更することで、誤り訂正性能が向上し、GJS反応ベースの鍵回収攻撃に対しても耐性を示す。シミュレーションおよび密度発展解析により、その耐性としきい値の向上が確認された。

ABSTRACT

Recently, it has been shown how McEliece public-key cryptosystems based on moderate-density parity-check (MDPC) codes allow for very compact keys compared to variants based on other code families. In this paper, classical (iterative) decoding schemes for MPDC codes are considered. The algorithms are analyzed with respect to their error-correction capability as well as their resilience against a recently proposed reaction-based key-recovery attack on a variant of the MDPC-McEliece cryptosystem by Guo, Johansson and Stankovski (GJS). New message-passing decoding algorithms are presented and analyzed. Two proposed decoding algorithms have an improved error-correction performance compared to existing hard-decision decoding schemes and are resilient against the GJS reaction-based attack for an appropriate choice of the algorithm's parameters. Finally, a modified belief propagation decoding algorithm that is resilient against the GJS reaction-based attack is presented.

研究の動機と目的

• MDPC符号の古典的反復デコーディング方式が、GJS反応ベースの鍵回収攻撃に対してどれほど耐性を持つのかを分析すること。
• セキュリティを損なわせることなく、QC-MDPC符号のハードデシジョンデコーディング方式の誤り訂正能力を向上させること。
• サイドチャネル解析から秘密のチェック行列構造を隠蔽できる新しいメッセージスティーミングデコーディングアルゴリズムを設計すること。
• 密度発展解析およびモンテカルロシミュレーションを用いて、提案されたデコーディング方式の妥当性を検証すること。
• 修正された信念伝播およびREMPバージョンが、性能向上とGJS攻撃に対する耐性の両方を達成できることを示すこと。

提案手法

• 変数ノードの次数に基づく制御されたエラーを導入することで、標準的な信念伝播を変更した2つの新規ハードデシジョンメッセージスティーミングデコーディングアルゴリズム、REMP-1およびREMP-2を提案する。
• パラメータ（$p^{ ext{max}}$, $p_{\text{dec}}$, $\omega$ など）の最適化とデコーディングしきい値の予測のため、密度発展（DE）を用いる。
• 距離プロファイル $D(\bm{h}_0)$ の漏洩を防ぐために、エラー確率をランダム化したマスク化信念伝播（MBP）の変種を導入する。
• GJS攻撃モデル下でのフレーム誤り率（FER）を評価するために、最大200回のデコーディング失敗を含むモンテカルロシミュレーションを実施する。
• 異なる乗数に対してデコーディング失敗率が均一になるようにパラメータチューニングを実施し、秘密鍵の再構築を防止する。
• バイナリ対称チャネルにおける誤り重みを変化させたフレーム誤り率（FER）シミュレーションにより、理論的しきい値の妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 MDPC符号の既存ハードデシジョンデコーディング方式は、GJS反応ベースの鍵回収攻撃に対して耐性を持つことができるか？
• RQ2 メッセージスティーミングアルゴリズムにおける構造的エラーパターンを用いることで、MDPCデコーディングの誤り訂正性能をどの程度向上させられるか？
• RQ3 提案されたREMPデコーディング方式は、異なる誤り乗数においてほぼ均一なデコーディング失敗率を維持するか。これにより、秘密鍵構造の隠蔽が可能か？
• RQ4 マスク化信念伝播（MBP）は、完全な信念伝播よりも低コストでGJS攻撃に対して同等の耐性を達成できるか？
• RQ5 パラメータ $p^\ast$, $p_{\text{dec}}$, $\omega$ の選択が、デコーディングしきい値およびサイドチャネル解析に対する耐性にどのように影響するか？

主な発見

• REMP-1およびREMP-2デコーディング方式は、元のアルゴリズムEよりも高いデコーディングしきい値を達成しており、80ビットセキュリティでは最大108(13)、128ビットセキュリティでは157(14)、256ビットセキュリティでは301(23)の向上を示した。
• 提案されたREMPバージョンは、$D(\bm{h}_0)$ のすべての乗数においてほぼ均一なフレーム誤り率（FER）を維持しており、GJS攻撃下でも秘密鍵の再構築を防げる。
• モンテカルロシミュレーションにより、REMP-1およびREMP-2がすべての乗数において類似したFERを示すことが確認され、距離プロファイルの隠蔽が有効に機能していることが示された。
• MBPデコーダーは計算量が増加するが、適切なパラメータ選択により鍵構造を隠蔽でき、$e=106$ におけるFERはREMP-2と一致した。
• 密度発展解析により、REMP-1およびREMP-2はデコーディングしきい値を低下させず、最適パラメータ設定ではむしろ向上させる可能性があることが示された。
• シミュレーション結果により、REMP方式は、最適でないエラー設定下でもBFおよびMFデコーディングに比べて著しく優れた誤り訂正性能を示した。