[論文レビュー] On the key exchange with nonlinear polynomial maps of stable degree

Vasyl Ustimenko, Aneta Wróblewska|arXiv (Cornell University)|Apr 10, 2013

Coding theory and cryptography参考文献 12被引用数 11

ひとこと要約

本稿では、有限体上のクレモナ群における安定次数の非線形多項式写像に基づく、離散対数攻撃に耐性を持つ新しい鍵交換プロトコルを提案する。記号的計算を活用し、次数に基づく隠蔽を実現することで、攻撃者にとって基数の位数が計算的に不正解であることを保証する。定数次数3の明示的変換族を構築し、C++を用いた実装により多項式時間での暗号化と、標準的手法における指数時間での cryptanalysis を実現する。

ABSTRACT

We say that the sequence $g_n$, $n\ge 3$, $n ightarrow \infty$ of polynomial transformation bijective maps of free module $K^n$ over commutative ring $K$ is a sequence of stable degree if the order of $g_n$ is growing with $n$ and the degree of each nonidentical polynomial map of kind ${g_n}^k$ is an independent constant $c$. A transformation $b=τ {g_n}^k τ^{-1}$, where $τ$ is affine bijection, $n$ is large and $k$ is relatively small, can be used as a base of group theoretical Diffie-Hellman key exchange algorithm for the Cremona group $C(K^n)$ of all regular automorphisms of $K^n$. The specific feature of this method is that the order of the base may be unknown for the adversary because of the complexity of its computation. The exchange can be implemented by tools of Computer Algebra (symbolic computations). The adversary can not use the degree of righthandside in $b^x=d$ to evaluate unknown $x$ in this form for the discrete logarithm problem. In the paper we introduce the explicit constructions of sequences of elements of stable degree for cases $c=3$ for each commutative ring $K$ containing at least 3 regular elements and discuss the implementation of related key exchange and public key algorithms.

研究の動機と目的

• 非線形多項式写像を用いて安定次数を保つことにより、離散対数攻撃に耐性のある安全な鍵交換プロトコルの開発を目的とする。
• 少なくとも3つの正則元を含む可換環上において、定数次数（c=3）の群元の明示的族を構築することを目的とする。
• 写像の次数が公開されているにもかかわらず、基本変換の位数が攻撃者に未知のまま保たれることを目的とする。
• 数論的仮定に依存しない記号的計算ツールを用いた実用的実装を可能とすることを目的とする。
• 暗号化と cryptanalysis の計算複雑性を分析し、正当なユーザーに対しては多項式時間、攻撃者に対しては指数時間で実行可能であることを示すこと。

提案手法

• アフィン写像を非線形な全単射多項式写像（次数3）を用いて共役することで、クレモナ群内に安定次数を持つ要素を生成する。
• すべての恒等写像でないべき $ g_n^k $ が正確に次数3となるように、$ S_{p^n} $ 内の変換列 $ g_n $ を定義し、安定次数を保証する。
• 制限付きグラフ準同型 $ \tilde{DD}(n,K) $ と群 $ Q(n,K) $ の射影極限に基づき、無限位数と高いジルト（girth）を保証する。
• 公開ルールは $ y_i = F_i(x_1, \dots, x_n) $ として定義され、各 $ F_i $ は $ F_q $ 上の $ n $ 変数多項式として次数3である。
• アフィン変換 $ T_1, T_2 $ に非線形写像 $ N_l $ を合成して公開鍵を生成し、$ A $, $ B $, $ c $, $ d $ を計算コストを低減するように選ぶ。
• C++を用いた実装では、最適化された行列・ベクトル演算が可能であり、多項式時間での暗号化と、グレブナー基底を用いた指数時間での cryptanalysis を実現する。

実験結果

リサーチクエスチョン

• RQ1 少なくとも3つの正則元を含む可換環上において、安定次数3の非線形多項式写像の明示的族を構築できるか？
• RQ2 このような写像を用いて、離散対数攻撃に耐性を持つ鍵交換プロトコルを設計できるか？
• RQ3 記号的計算における次数3多項式写像を用いた場合、暗号化と cryptanalysis の計算複雑性はどのようになるか？
• RQ4 写像の次数が公開されているにもかかわらず、基本変換の位数が攻撃者に未知のまま保たれるか？
• RQ5 変数の数と平文サイズの増加に伴い、プロトコルの性能はどのようにスケーリングするか？

主な発見

• 任意の少なくとも3つの正則元を含む可換環 $ K $ に対して、安定次数3の変換族を明示的に構築できた。
• 射影極限として定義される群 $ Q(K) $ は、無限位数の元を含み、長期的な暗号鍵の安全性を保証する。
• $ \tilde{DD}(n,K) $ 内の最小サイクル長は $ \lfloor (n+5)/2 \rfloor $ 以上で下界が保証され、高いジルトとサイクル探索攻撃に対する耐性を示す。
• 公開鍵生成時間は $ n $ に対して概ね2乗的に増加し、$ n=10 $ で約15ms、$ n=100 $ で約4.9秒（$ p=60 $ 時）となる。
• 平文サイズの増加に伴い暗号化時間が顕著に増加：$ n=20 $ 時に約16ms、$ n=100 $ 時に約4.9秒（体のサイズに依存）。
• グレブナー基底法による cryptanalysis には指数時間 $ O(3^{n^4}) $ が必要であり、$ n $ が大きくなると実行不可能となるが、暗号化は多項式時間で可能である。