[論文レビュー] On the security of new key exchange protocols based on the triple decomposition problem

M. M. Chowdhury|ArXiv.org|Nov 14, 2006

Geometric and Algebraic Topology参考文献 1被引用数 3

ひとこと要約

この論文は、三重分解問題に基づく2つの新しい鍵交換プロトコルが、braid群の難解性問題を根拠に安全であると主張しても、実際には複数同時共役探索問題（MSCSP）に基づく攻撃に対して脆弱であることを示している。著者らは、標準的な群の仮定のもとで、これらのプロトコルがMSCSPに還元可能であり、線形代数的攻撃が実行可能であることを示している。

ABSTRACT

We show that two new key exchange protocols with security based on the triple DP may have security based on the MSCSP.

研究の動機と目的

• 三重分解問題に基づく2つの新しい鍵交換プロトコルの背後にある安全仮定を調査すること。
• これらのプロトコルの安全性が、三重分解問題に真正に依存しているのか、それともより弱い問題に依存しているのかを特定すること。
• 秘密鍵が可逆である場合に、これらのプロトコルに対する線形代数的攻撃の実行可能性を評価すること。
• これらのプロトコルが複数同時共役探索問題（MSCSP）に還元可能かどうかを分析すること。

提案手法

• 著者らはプロトコルの式を分析し、公開要素と秘密要素との関係を示す方程式系（1）および（2）を導出している。
• b_1、b_2、b_3、a_1、a_3などの要素を解くことは、攻撃者が選択したJ_I、T_I、V_I、W_Iを用いたMSCSPのインスタンスを解くことに還元可能であることを示している。
• プロトコルの正しく動作するために必要なA_2、A_3、B_2、B_3の部分群間の可換性条件が、MSCSPへの還元を可能にしている。
• 秘密鍵の再構築が、b_1b_2、a_2a_3、a_3^{-1}V_I a_3、およびb_1W_I b_1^{-1}を含む共役問題を解くことで可能であることを示すために、式（3）～（6）を導出している。
• 両プロトコルの安全性が、MSCSPを2回解くこと、あるいは等価的に複数同時分解探索問題（MSDSP）を解くことと還元可能であることを示している。
• 論文は、非可逆な秘密鍵を選択することで、MSCSPに基づく回復攻撃を防ぐ防御戦略を提示している。

実験結果

リサーチクエスチョン

• RQ1 三重分解問題に基づく新しい鍵交換プロトコルの安全性は、複数同時共役探索問題（MSCSP）に還元可能か？
• RQ2 三重分解問題が、既存の共役ベースプロトコルよりも強い安全性を提供しない条件は何か？
• RQ3 プロトコル内の部分群間の可換性条件は、線形代数的攻撃の実行可能性にどのように影響するか？
• RQ4 攻撃者が選択したJ_I、T_I、V_I、W_Iを用いて、MSCSPに基づいて秘密鍵を回復可能か？
• RQ5 秘密鍵を非可逆にすることで、MSCSPに基づく攻撃から防御可能か？

主な発見

• 最初のプロトコルの安全性は、b_1およびb_3のMSCSPインスタンス1つと、b_2の既知の値を用いたMSCSPインスタンス1つに還元可能である。
• b_1b_2J_Ib_3およびb_1T_Ib_2b_3をb_1、b_2、b_3について解くことで、MSCDP（MSDSP）に還元可能であることが示された。
• 式（1）および（2）は、攻撃者がb_3^{-1}J_Ib_3およびb_1T_Ib_1^{-1}を解くことでb_1およびb_3を回復可能であることを示しており、これらは標準的なMSCSPインスタンスである。
• 第二のプロトコルも、対称的な構造と類似した部分群の可換性条件のおかげで、同じMSCSPに基づく還元にさらされ、同様に脆弱である。
• B_2とA_2の間の可換性、および他の類似関係の存在が、攻撃者が線形代数的手法を効率的に適用してMSCSPを解けるようにしている。
• 論文は、これらのプロトコルが既存のCSPベースのプロトコルと同等の安全性しか持たず、秘密鍵が可逆である限り、既知の線形代数的攻撃で破られる可能性があると結論づけている。