[論文レビュー] On the cryptanalysis of the generalized simultaneous conjugacy search problem and the security of the Algebraic Eraser

Paul E. Gunnells|arXiv (Cornell University)|May 5, 2011

Cryptography and Data Security参考文献 5被引用数 4

ひとこと要約

本論文は、バーゲン群における一般化同時共役探索問題（GSCSP）に依存する、カラーバーブ・キー協議プロトコル（CBKAP）に対する提案された攻撃の有効性を評価する。研究では、十分に長い鍵が使用される場合、攻撃は完全に失敗することが示され、その成功は短く、不適切に選ばれた鍵に限定される。これにより、実用的な実装パrameter下でのCBKAPの安全性が確認される。

ABSTRACT

The Algebraic Eraser (AE) is a cryptographic primitive that can be used to obscure information in certain algebraic cryptosystems. The Colored Burau Key Agreement Protocol (CBKAP), which is built on the AE, was introduced by I. Anshel, M. Anshel, D. Goldfeld, and S. Lemieux in 2006 as a protocol suitable for use on platforms with constrained computational resources, such as RFID and wireless sensors. In 2009 A. Myasnikov and A. Ushnakov proposed an attack on CBKAP that attempts to defeat the generalized simultaneous conjugacy search problem, which is the public-key computational problem underlying CBKAP. In this paper we investigate the effectiveness of this attack. Our findings are that success of the attack only comes from applying it to short keys, and that with appropriate keys the attack fails in 100% of cases and does not pose a threat against CBKAP. Moreover, the attack makes assumptions about CBKAP that do not hold in practical implementations, and thus does not represent a threat to the use of CBKAP in applications.

研究の動機と目的

• MyasnikovとUshnakovの攻撃が、カラーバーブ・キー協議プロトコル（CBKAP）の基盤となる一般化同時共役探索問題（GSCSP）に対して実用的効果を有するかどうかを評価すること。
• RFIDや無線センサなどの制限付きプラットフォームに適した実用的鍵長パrameter下でも、攻撃が存続するかどうかを調査すること。
• 攻撃論文でなされた、代替共役子を見つける難易度に関するヒューリスティック仮定の妥当性を検証すること。
• 共役子長の変更や追加基準の適用といった、単純な鍵選択戦略が攻撃を効果的に無効にできるかどうかを評価すること。
• AEベースのプロトコルにおけるように、公開されているのは共役子のセットの一方のみである実用的実装においても、攻撃が適用可能かどうかを特定すること。

提案手法

• 著者らは、バーゲン群 $B_n$ を用いて、鍵長と共役子数 $N$ を変化させたランダムなTTPデータを生成した。
• 彼らはMyasnikovとUshnakovの論文に記載された攻撃を、複数のセキュリティパramータ設定下で、ランダムに生成されたインスタンスに対して実装・テストした。
• 攻撃の有効性は、CBKAPを破る際に秘密の $z$ を模倣できる共役子 $\zeta$ を回復できるかどうかに基づいて評価された。
• 成功は、異なる鍵長と構成で複数回の試行において、そのような $\zeta$ を見つけられるかどうかの能力によって測定された。
• また、$z$、$v_i$、$w_j$ の相対的な長さを変化させるなど、鍵生成戦略を変更した場合の攻撃の頑健性もテストされた。
• 左正規形に基づく近似長関数と $\Delta$ を用いた共役化の影響を分析し、語の短縮効果と三角不等式の有効性への影響を評価した。

実験結果

リサーチクエスチョン

• RQ1 実世界の展開において、実用的長さの鍵が使用される場合、一般化同時共役探索問題（GSCSP）に対する攻撃は、CBKAPを実際に破壊できるか？
• RQ2 特にRFIDおよびセンサーネットワークに適した範囲の $|z|$、$|v_i|$、$|w_j|$ に対して、攻撃の成功率は鍵長の増加に伴いどのように変化するか？
• RQ3 実用的鍵生成および語長条件下でも、元の攻撃論文におけるヒューリスティック仮定はどの程度妥当性を保っているか？
• RQ4 共役子長の増加や追加基準の適用といった単純な鍵選択戦略によって、攻撃を無効にできるか？
• RQ5 AEベースのElGamal暗号におけるように、公開されているのは共役子セット $\{V_i\}$ または $\{W_i\}$ の一方のみである実用的実装においても、攻撃は依然として適用可能か？

主な発見

• 鍵長が $z$、$v_i$、$w_j$ に関して約67を超えると、100%のケースで攻撃が失敗し、適切にサイズが設定された鍵に対しては攻撃が無効であることが示された。
• 短い鍵（例：$|z| \approx 67$）では攻撃はほぼすべてのケースで成功するが、これは弱い鍵選択に限定されており、実世界のセキュリティを反映するものではない。
• $N$ を2から10に増加させると、攻撃の失敗が加速し、$N$ の増加に伴い成功率は急激に低下した。
• $z$ が $v_i$ や $w_j$ よりも著しく長い場合、攻撃の成功率は急激に低下し、より長い共役子が強力な防御であることが示された。
• 攻撃の成功は鍵選択に極めて敏感であり、弱い鍵を迅速に除外する単純な基準を適用するだけで、攻撃の有効性は著しく低下した。
• 公開されているのが共役子セットの一方のみである実用的実装（AE-ElGamalなど）では、攻撃は適用できないため、このような状況では適用不可能である。