[論文レビュー] On the Security of Some Compact Keys for McEliece Scheme

Élise Barelli|arXiv (Cornell University)|Mar 14, 2018

Coding theory and cryptography参考文献 11被引用数 5

ひとこと要約

本稿は、置換群における不変符号作用を導入することで、準巡回交替符号に基づくコン pact McEliece方式に対する新しい代数的鍵回復攻撃を提案する。符号の安全性が、より小さな不変符号の安全性に還元されることを示し、その不変符号もまた交替符号であるため、射影線形群自己同型にまで適用可能な統一的かつ簡素化された攻撃フレームワークを実現する。線形代数的再構成アルゴリズムにより、元の符号構造を効率的に復元可能である。

ABSTRACT

In this paper we study the security of the key of compact McEliece schemes based on alternant/Goppa codes with a non-trivial permutation group, in particular quasi-cyclic alternant codes. We show that it is possible to reduce the key-recovery problem on the original quasi-cyclic code to the same problem on a smaller code derived from the public key. This result is obtained thanks to the invariant code operation which gives the subcode whose elements are fixed by a permutation in Perm(C). The fundamental advantage is that the invariant subcode of an alternant code is an alternant code. This approach improves the technique of Faugere, Otmani, Tillich, Perret and Portzamparc which uses folded codes of alternant codes obtained by using supports globally stable by an affine map. We use a simpler approach with a unified view on quasi-cyclic alternant codes and we treat the case of automorphisms arising from a non affine homography. In addition, we provide an efficient algorithm to recover the full structure of the alternant code from the structure of the invariant code.

研究の動機と目的

• 非自明な置換群を有する準巡回交替符号を用いたコンパクトMcEliece方式の安全性を分析すること。
• 折りたたみ符号に基づく既存の鍵回復攻撃を改善し、不変符号を用いたより一般かつ統一的なアプローチを導入すること。
• アフィン誘導自己同型にとどまらず、射影線形変換を含む自己同型へも鍵回復技術の適用範囲を拡張すること。
• 線形代数のみを用いて、不変符号から元の符号構造を効率的に再構成するアルゴリズムを提供すること。
• 元の方式の安全性が、より小さな不変符号の安全性に還元されることを示し、より高い耐性を実現するパrameter選定を可能にすること。

提案手法

• 符号の自己同型群に属する置換σに対して、写像c ↦ c − σ(c)の核として不変符号を定義する。
• 準巡回GRSまたは交替符号について、位数ℓの置換による不変符号は、長さn/ℓ、パラメータが縮小されたGRSまたは交替符号であることを証明する。
• 代数幾何学的視点を用いて、射影直線上の準巡回交替符号を統一的に扱う。
• 不変符号作用は、従来の折りたたみ符号法が双対符号に作用するのとは異なり、交替構造を保存することを示す。
• 不変符号から元の支持集合と除数を再構成する線形代数的アルゴリズムを開発し、置換がアフィンでない場合にも適用可能であることを示す。
• アフィンでない自己同型、特に拡張体上での対角化可能ケースを含む射影線形変換によって誘導される自己同型に対しても攻撃を拡張する。

実験結果

リサーチクエスチョン

• RQ1 準巡回交替符号の鍵回復問題は、置換群による不変符号上でのより小さな同等問題に還元可能か？
• RQ2 不変符号作用は交替構造を保存するか？ これにより、折りたたみ符号法よりも単純かつ一般化された攻撃が可能か？
• RQ3 本手法は、アフィン群に限らず、射影線形群によって誘導される自己同型に対しても拡張可能か？
• RQ4 線形代数を用いて、不変符号から元の符号パラメータ（支持集合と除数）をどの程度効率的に再構成できるか？
• RQ5 提案された鍵回復アルゴリズムの計算コストはどの程度か？ また、ISDによるメッセージ回復と比較してどうか？

主な発見

• 位数ℓの置換による準巡回GRS符号の不変符号は、長さn/ℓ、次元⌊k/ℓ⌋のGRS符号である。
• 位数ℓの置換による準巡回交替符号の不変符号は、長さn/ℓ、順序r/ℓの交替符号である。
• 不変符号作用は、射影線形変換によって誘導される符号を含む、準巡回交替符号の解析を統一的に扱うフレームワークを提供する。
• 不変符号から元の符号を再構成するためのアルゴリズムは、𝔽_{q^m}上においてO(ℓn²(n−k)k)の演算で実行可能であり、実験的タイミングでは(q=2, m=12, n=3600, k=2825, ℓ=3)のパラメータで約27分を要する。
• 元の方式の鍵の安全性は、より小さな不変符号の安全性に還元されるため、不変符号が破られた場合、元の方式も破られる。
• 適切なパrameter選定により、不変符号に対する鍵回復攻撃を計算的に困難にでき、還元の存在にもかかわらず安全性を維持可能である。