[論文レビュー] Parallel algorithms for SAT in application to inversion problems of some discrete functions

Alexander Semenov, Oleg Zaikin+2 more|arXiv (Cornell University)|Feb 17, 2011

Cellular Automata and Applications参考文献 25被引用数 4

ひとこと要約

本論文は、多項式時間で計算可能な離散関数の逆問題を解くための並列SATベースの技術を提示している。特に暗号解析に応用する。逆問題をSATに還元し、予測関数を用いた粗粒度並列処理を活用することで、独自のグリッドシステムを用いてA5/1キーストリーム生成器の完全な暗号解析に成功した。144ビットのキーストリームのみを用いて16日間の計算で秘密鍵を回復した。

ABSTRACT

In this article we consider the inversion problem for polynomially computable discrete functions. These functions describe behavior of many discrete systems and are used in model checking, hardware verification, cryptanalysis, computer biology and other domains. Quite often it is necessary to invert these functions, i.e. to find an unknown preimage if an image and algorithm of function computation are given. In general case this problem is computationally intractable. However, many of it's special cases are very important in practical applications. Thus development of algorithms that are applicable to these special cases is of importance. The practical applicability of such algorithms can be validated by their ability to solve the problems that are considered to be computationally hard (for example cryptanalysis problems). In this article we propose the technology of solving the inversion problem for polynomially computable discrete functions. This technology was implemented in distributed computing environments (parallel clusters and Grid-systems). It is based on reducing the inversion problem for the considered function to some SAT problem. We describe a general approach to coarse-grained parallelization for obtained SAT problems. Efficiency of each parallelization scheme is determined by the means of a special predictive function. The proposed technology was validated by successful solving of cryptanalysis problems for some keystream generators. The main practical result of this work is a complete cryptanalysis of keystream generator A5/1 which was performed in a Grid system specially built for this task.

研究の動機と目的

• 多項式時間で計算可能な離散関数の困難な逆問題を解くためのスケーラブルで分散型の計算アプローチを開発すること。
• 一般用途のコンピューティングインfraストラクチャを用いて、A5/1のようなストリーム暗号の実用的暗号解析を可能にすること。
• SAT還元と並列処理を用いて、最小限のキーストリーム断片から秘密鍵を回復できることを示すこと。
• 低性能クラスタと専用グリッドシステムの両方で実装することで、この手法の効率性を検証すること。

提案手法

• 関数の計算を論理的に符号化することで、離散関数の逆問題をブール充足問題（SAT）に還元する。
• SAT式における入力変数を特定し、低次元の部分問題に分解可能であるようにする。
• 全体の計算時間を最小化するための分解戦略最適化に予測関数を用いる。
• クラスタやグリッド環境における計算ノードに部分問題を分散配分することで、粗粒度並列処理を実装する。
• 分解された問題空間内で充足割り当てを探索するため、BNB（ブランチアンドバウンズ）SATソルバを用いる。
• A5/1暗号解析に必要な大規模計算を処理するための専用グリッドシステム（BNB-Grid）を構築する。

実験結果

リサーチクエスチョン

• RQ1 多項式時間で計算可能な離散関数の逆問題を、効果的にSAT問題に還元できるか？
• RQ2 このような関数から得られるSAT問題を、分散並列実行に適した方法で効率的に分解できるか？
• RQ3 粗粒度並列処理において、計算時間総体を最小化するための分解戦略を予測関数が効果的に導けるか？
• RQ4 公開アクセス可能なグリッド環境において、わずかなキーストリーム断片のみを用いてA5/1の完全な暗号解析が可能か？
• RQ5 A5/1の最初の144ビットのキーストリーム断片に対して、同値な鍵（衝突）はいくつ存在するか？ そして、それらは網羅的に列挙可能か？

主な発見

• A5/1キーストリーム生成器の完全な暗号解析が、144ビットのキーストリームのみを用いて達成された。秘密鍵はグリッドシステム上で56時間の計算で回復された。
• 本手法により、同一の144ビットキーストリーム断片を生成する3つの異なる秘密鍵が特定され、A5/1に衝突が存在することを確認した。
• 最初の144ビットのキーストリーム断片についてA5/1のすべての衝突を網羅的に探索する計算は、グリッドシステムで16日間の計算を要し、正確に3つの解が得られた。
• 計算負荷は0から5,568コアまで変動し、実験全体で平均して2,000〜3,000コアが使用された。
• 本手法は、低性能クラスタ上でも他の生成器（しきい値、和、ギフォード）の暗号解析に成功し、一般応用性が裏付けられた。
• 結果から、A5/1は特別なハードウェアを必要とせず、公開アクセス可能なコンピューティング環境でも暗号解析可能であることが確認され、そのセキュリティ仮定に疑問が呈された。