[論文レビュー] Optimal Key Consensus in Presence of Noise

Zhengzhong Jin, Yunlei Zhao|arXiv (Cornell University)|Nov 18, 2016

Cryptography and Data Security参考文献 31被引用数 14

ひとこと要約

本稿は、ノイズのある共有値から安全に鍵交換を実現するための基礎的ツールとして、キーラインセンス（KC）および非対称キーラインセンス（AKC）を導入する。最適なスケーム（OKCNおよびAKCN）を提案し、誤り率のタイトな解析を実現。16.39 kBの帯域幅と$2^{-35}$の誤り率で128ビットの量子計算機械的セキュリティを達成する、初めてのLWRベースの鍵交換を実現。また、独自の単一誤り訂正コードを用いた0.4 kBのRLWEベースのスケームを提案し、$2^{-69}$の誤り率を達成。

ABSTRACT

In this work, we abstract some key ingredients in previous LWE- and RLWE-based key exchange protocols, by introducing and formalizing the building tool, referred to as key consensus (KC) and its asymmetric variant AKC. KC and AKC allow two communicating parties to reach consensus from close values obtained by some secure information exchange. We then discover upper bounds on parameters for any KC and AKC. KC and AKC are fundamental to lattice based cryptography, in the sense that a list of cryptographic primitives based on LWR, LWE and RLWE (including key exchange, public-key encryption, and more) can be modularly constructed from them. As a conceptual contribution, this much simplifies the design and analysis of these cryptosystems in the future. We then design and analyze both general and highly practical KC and AKC schemes, which are referred to as OKCN and AKCN respectively for presentation simplicity. Based on KC and AKC, we present generic constructions of key exchange (KE) from LWR, LWE and RLWE. The generic construction allows versatile instantiations with our OKCN and AKCN schemes, for which we elaborate on evaluating and choosing the concrete parameters in order to achieve an optimally-balanced performance among security, computational cost, bandwidth efficiency, error rate, and operation simplicity.

研究の動機と目的

• キーラインセンス（KC）および非対称キーラインセンス（AKC）を、lattice-based暗号におけるモジュラーなプリミティブとして形式化すること。
• KCおよびAKCのパラメータに関する理論的上限を確立し、達成可能な限界を定義すること。
• 誤り率推定をタイトにした最適なKCおよびAKCスケーム（OKCNおよびAKCN）を設計し、効率性とセキュリティを向上させること。
• KCおよびAKCを用いて、LWR、LWE、RLWEからの一般化可能でモジュラーな鍵交換および暗号化構成を可能にすること。
• 特にRLWEベースのシステムにおいて、最小の帯域幅と無視できる誤り率を達成する、後量子鍵交換を実現すること。

提案手法

• lattice-basedプロトコルにおけるノイズのある共有値から合意に至るための正式なツールとして、KCおよびAKCを導入する。
• KCおよびAKCのパラメータに関する理論的上限を導出し、性能の根本的限界を定義する。
• 最適化されたパラメータを用いたOKCNおよびAKCNスケームを提案し、保守的な境界を避けるために正確な誤り率計算を用いる。
• RLWEベースの鍵交換に、独自の単一誤り訂正（SEC）コードを適用し、各位置における誤りの独立性を活用して効率的な訂正を実現する。
• 数値的離散化および分布マージアルゴリズムを用いて、誤り分布を正確に計算し、タイトなセキュリティおよび性能評価を可能にする。
• 和集合の上限および数値的統合を用いて、高い精度で全体の誤り確率を推定し、無視できる失敗率を保証する。

実験結果

リサーチクエスチョン

• RQ1 ノイズの存在下で、キーラインセンス（KC）および非対称キーラインセンス（AKC）のパラメータに及ぼされる根本的限界は何か？
• RQ2 lattice-based鍵交換における誤り率を高い精度で推定するにはどうすればよいか？ これにより、タイトなパrameter選定が可能になる。
• RQ3 学習と丸め（LWR）問題から鍵交換プロトコルを構築可能か？ その帯域幅とセキュリティのトレードオフは何か？
• RQ4 RLWE共有鍵における誤りの独立性をどのように活用し、最小で高効率な誤り訂正メカニズムを設計できるか？
• RQ5 LWR、LWE、RLWEの各々において、KCおよびAKCを用いた後量子鍵交換で達成可能な最小帯域幅と誤り率は何か？

主な発見

• 本稿は、初めてのLWRベースの鍵交換を提示。128ビットの量子計算機械的セキュリティ下で16.39 kBの帯域幅と$2^{-35}$の誤り率を達成。
• LWEベースの鍵交換では、提案されたスケームが推奨パラメータで18.58 kBの帯域幅と$2^{-39}$の誤り率を達成。Frodoより帯域幅と誤り率の両面で優れている。
• 単一誤り訂正（SEC）コードを用いたRLWEベースの鍵交換は、837ビットの共有鍵に対して0.4 kBの帯域幅と$2^{-69}$の誤り率を達成。
• 著者らは、RLWE共有鍵の異なる位置における誤りが実質的に独立していることを証明し、効率的なSECコード設計を可能にした。
• 離散化された分布とサブルーチンのマージを用いた数値的誤り解析手法により、正確な誤り率推定が可能となり、過剰評価が減少し、よりタイトなパラメータ選定が可能になった。
• ZarZarスケーム（RLWEベース）の全体の誤り確率は$2^{-58}$未満に抑えられ、カイ二乗分布近似に基づく厳密な数値的証明がなされた。