[論文レビュー] RAMESSES, a Rank Metric Encryption Scheme with Short Keys

Julien Lavauzelle, Pierre Loidreau+1 more|arXiv (Cornell University)|Nov 29, 2019

Coding theory and cryptography参考文献 24被引用数 6

ひとこと要約

RAMESSES は、短い鍵とコンactな暗号文を備えた、ランク距離デコーディング問題に基づく後量子暗号方式であり、SIKE などの同種基盤方式と同等のセキュリティレベルを達成する。Gabidulin コードと MinRank 型問題に依存しており、効率的な暗号化/復号化と調整可能な失敗確率を可能にし、コード構造の隠蔽を必要としない点で、セキュリティがランク距離デコーディング問題の難易度にのみ還元可能である。

ABSTRACT

We present a rank metric code-based encryption scheme with key and ciphertext sizes comparable to that of isogeny-based cryptography for an equivalent security level. The system also benefits from efficient encryption and decryption algorithms, which rely on linear algebra operations over finite fields of moderate sizes. The security only relies on rank metric decoding problems, and does not require to hide the structure of a code. Based on the current knowledge, those problems cannot be efficiently solved by a quantum computer. Finally, the proposed scheme admits a failure probability that can be precisely controlled and made as low as possible.

研究の動機と目的

• 同種基盤暗号方式（例：SIKE）と同等の鍵サイズおよび暗号文サイズを実現する後量子公開鍵暗号方式の設計。
• コード構造の隠蔽を一切行わず、ランク距離デコーディング問題の難易度（特に MinRank および Gab-SD）のみに依存してセキュリティを確立すること。
• 中程度のサイズの有限体上での線形代数を用いて、効率的な暗号化および復号化を実現すること。
• パラメータ $ \rho $ を用いて正確に制御可能かつ最小限の影響で小さくできる、確率的復号アルゴリズムによる失敗確率の制御。
• 現実的かつ積極的なパrameter設定を提案することで、ランク距離デコーディング問題のセキュリティに関するさらなる研究を促進すること。

提案手法

• 有限体 $ \bbF_q $（$ q = 2^n $）上での Gabidulin コードを用い、ランク距離コードの生成行列に基づいて公開鍵を構築する。
• 暗号化は、コード語の線形結合と低ランク誤差ベクトルを用いたシンディーム構造として暗号文を形成する。
• 本方式の核となるのは MinRank 問題：行列の線形結合がランク $ t $ 以下になるような係数を求める問題であり、これはデコーディングの挑戦をモデル化する。
• セキュリティ還元は、特に Gab-SD および MinRank 問題に依存するランク距離デコーディングの難易度に基づくものであり、コード構造の隠蔽は不要である。
• 復号は、$ \bbF_2 $ 上の一次方程式系を解く確率的アルゴリズムを用い、失敗確率はパラメータ $ \rho $ で制御される。
• $ \bbF_2 $ 上の拡張写像 $ \text{Ext}_{\bm{\beta}} $ の線形構造（$ \bbF_q^n $ のベクトルを $ \bbF_2 $ 上の $ n \times n $ 行列に写像）を活用し、デコーディング問題を行列形式で表現する。

実験結果

リサーチクエスチョン

• RQ1 同種基盤方式（例：SIKE）と同等の短い鍵および暗号文サイズを備えたランク距離コード基盤暗号方式を構築可能か？
• RQ2 コード構造の隠蔽を一切行わず、ランク距離デコーディング問題の難易度（特に MinRank や Gab-SD）のみに依存してセキュリティを確立可能か？
• RQ3 システムパラメータの大幅な増加を伴わずに、復号の失敗確率を任意に小さくできるか？
• RQ4 本方式のセキュリティは、MinRank や Gab-SD といった既知の難問にどのように還元可能か？
• RQ5 NIST セキュリティレベル 1, 3, 5 に対して、実用的かつ量子耐性を持つ鍵サイズおよび暗号文サイズを達成するパラメータセットは何か？

主な発見

• NIST セキュリティレベル 1, 3, 5 において、公開鍵および暗号文サイズが数百バイト程度に抑えられ、SIKE などの同種基盤方式と同等の性能を達成する。
• 鍵サイズはセキュリティパラメータ $ \rho $ に比例して線形に増加するが、従来のコード基盤方式とは異なり、二次的に増加しない。
• RAMESSES のセキュリティは MinRank 問題および Gab-SD 問題の難易度に還元可能であり、これらは量子多項式時間で解けると知られていない。
• パラメータ $ \rho $ の調整により、復号の失敗確率を望みのだけ小さくでき、システムパラメータへの影響は最小限である。
• 既知の攻撃の複雑さの上限は、正則性の次数が $ t+2 $ 以下であると仮定すると $ \tilde{\bigO}\bigl( \binom{t(n-t) + n(k+2\bar\tau+1) + t - 1}{t}^{\bigomega} \bigr) $ に抑えられる。保守的な見積もりでは $ d = t $ を用いる。
• 準巡回的またはモジュラー構造をとる方式に伴う構造的弱みを回避する。コード構造を隠さないことで、潜在的な脆弱性の隠れを低減する。