[論文レビュー] On the complexity of the Rank Syndrome Decoding problem

Philippe Gaborit, Olivier Ruatta+1 more|arXiv (Cornell University)|Jan 6, 2013

Coding theory and cryptography参考文献 26被引用数 7

ひとこと要約

本稿は、ランクシンダムデコーディング（RSD）問題に対する2つの新規攻撃を紹介する。1つはコード長 $n$ を指数的複雑度に組み込んだ組合せ的攻撃であり、もう1つは $GF(q^m)$ 上で未知数を削減する $q$-多項式（アンナレータ多項式）を用いた代数的攻撃である。主な貢献は、最近のGPTベース暗号システムのパラメータをすべて破壊したことであり、一部のパラメータは新規の代数的アプローチにより1秒未塔で破壊された。

ABSTRACT

In this paper we propose two new generic attacks on the Rank Syndrome Decoding (RSD) problem Let $C$ be a random $[n,k]$ rank code over $GF(q^m)$ and let $y=x+e$ be a received word such that $x \in C$ and the $Rank(e)=r$. The first attack is combinatorial and permits to recover an error $e$ of rank weight $r$ in $min(O((n-k)^3m^3q^{r\lfloor\frac{km}{n} floor}, O((n-k)^3m^3q^{(r-1)\lfloor\frac{(k+1)m}{n} floor}))$ operations on $GF(q)$. This attack dramatically improves on previous attack by introducing the length $n$ of the code in the exponent of the complexity, which was not the case in previous generic attacks. which can be considered The second attack is based on a algebraic attacks: based on the theory of $q$-polynomials introduced by Ore we propose a new algebraic setting for the RSD problem that permits to consider equations and unknowns in the extension field $GF(q^m)$ rather than in $GF(q)$ as it is usually the case. We consider two approaches to solve the problem in this new setting. Linearization technics show that if $n \ge (k+1)(r+1)-1$ the RSD problem can be solved in polynomial time, more generally we prove that if $\lceil \frac{(r+1)(k+1)-(n+1)}{r} ceil \le k$, the problem can be solved with an average complexity $O(r^3k^3q^{r\lceil \frac{(r+1)(k+1)-(n+1)}{r} ceil})$. We also consider solving with \grob bases for which which we discuss theoretical complexity, we also consider consider hybrid solving with \grob bases on practical parameters. As an example of application we use our new attacks on all proposed recent cryptosystems which reparation the GPT cryptosystem, we break all examples of published proposed parameters, some parameters are broken in less than 1 s in certain cases.

研究の動機と目的

• ランクシンダムデコーディング（RSD）問題における長年の一般複雑度の上限のギャップを解消すること。特に、従来の複雑度境界はコード長 $n$ を指数部に含まずにいた。
• $q$-多項式（線形化多項式）を用いたRSDの新しい代数的フレームワークを構築し、$GF(q)$ ではなく $GF(q^m)$ 上で直接作業することにより未知数を最小限に抑えること。
• ガビドゥリン符号およびその変種に基づく暗号システムに対して、既存の攻撃と比較して理論的・実用的改善を提供すること。
• オーバービエックの構造的攻撃に耐性を持つとされた最近のGPTタイプ暗号システムのすべての提案パラメータを破壊すること。

提案手法

• コード長 $n$ を指数的複雑度に組み込んだ、チャボ・シュテルンおよびオーリビスキー＝ヨハンソンの攻撃を一般化した組合せ的攻撃を提案。計算量は $O((n-k)^3 m^3 q^{r\floor{km/n}})$ または $O((n-k)^3 m^3 q^{(r-1)\floor{(k+1)m/n}})$ となる。
• ランク $r$ の誤り部分空間 $E$ を $GF(q^m)$ 上のモニック $q$-多項式（$q$-次数 $r$）の根空間として特徴付ける、新しい代数的設定を導入。
• $GF(q)$ 上での未知数 $n r$ を $GF(q^m)$ 上での $k + r$ 個の未知数に削減。方程式は $P(y_j - \textstyle\bigsum_i c_i g_{ij}) = 0$ の形をとり、$P$ はアンナレータ多項式である。
• $n \geq (k+1)(r+1) - 1$ のとき、線形化技術を用いて多項式時間で解けることを示し、条件を満たす場合の計算量は $O(r^3 k^3 q^{r \lceil \frac{(r+1)(k+1)-(n+1)}{r} \rceil})$ となる。
• グレブナー基底を用いたハイブリッド解法を検討し、新しい代数的設定における方程式系の理論的・実用的複雑度を分析。

実験結果

リサーチクエスチョン

• RQ1 一般のRSD攻撃の指数的複雑度に、コード長 $n$ を意味的に組み込むことは可能か？ これにより、$n$ に依存しない従来の境界を改善できるか？
• RQ2 $GF(q^m)$ 上での $q$-多項式（アンナレータ多項式）の使用により、RSDに対する代数的攻撃の未知数を削減し、より効率的な解法が得られるか？
• RQ3 どのような条件下で、新しい代数的フレームワークにおける線形化を用いてRSD問題を多項式時間で解けるか？
• RQ4 グレブナー基底法は、アンナレータ多項式設定から導かれる新しい方程式系を解く際にどの程度有効か？
• RQ5 提案された攻撃は、オーバービエックの構造的攻撃に耐性を持つとされた最近のGPTタイプ暗号システムをすべて破壊できるか？

主な発見

• 組合せ的攻撃は、コード長 $n$ を指数部に組み込むことで、従来の一般攻撃を改善し、計算量は $O((n-k)^3 m^3 q^{r\floor{km/n}})$ または $O((n-k)^3 m^3 q^{(r-1)\floor{(k+1)m/n}})$ である。
• $n \geq (k+1)(r+1) - 1$ のとき、新しい代数的設定における線形化を用いてRSD問題を多項式時間で解ける。
• $\lceil \frac{(r+1)(k+1)-(n+1)}{r} \rceil \leq k$ を満たす条件の下で、線形化を用いたRSDの解法に関する一般複雑度境界 $O(r^3 k^3 q^{r \lceil \frac{(r+1)(k+1)-(n+1)}{r} \rceil})$ を証明した。
• 新しい代数的設定により、$GF(q)$ 上の未知数 $n r$ を $GF(q^m)$ 上の $k + r$ 個の未知数に削減し、大幅に効率が向上した。
• オーバービエックの攻撃に耐性を持つとされた最近のGPTタイプ暗号システムのすべての提案パラメータが、新規攻撃によって破壊された。一部のパラメータは代数的アプローチにより1秒未塔で破壊された。
• 実用的パラメータにおいては、アンナレータ多項式設定に基づく代数的攻撃が、グレブナー基底法やハイブリッド手法を上回る性能を示した。