[論文レビュー] Random subgroups and analysis of the length-based and quotient attacks

Alexei Myasnikov, Alexander Ushakov|ArXiv.org|Jul 10, 2007

Geometric and Algebraic Topology参考文献 21被引用数 8

ひとこと要約

本稿は、有限生成群におけるランダム部分群の漸近的性質を分析し、その部分群が一般に自由であり、擬等長的に埋め込まれていることを示している。この性質は、AAGなどの群基盤暗号方式における長さベース攻撃および商群攻撃の成功を説明する。同時に、同時共役探索問題（SCSP*）の一般複雑性を形式化し、商群 $G/N$ が自由基底性を有し、メンバー問題が効率的に解ける場合、指数的普遍的な入力集合に対して商群攻撃が成功することを示している。

ABSTRACT

In this paper we discuss generic properties of "random subgroups" of a given group G. It turns out that in many groups G (even in most exotic of them) the random subgroups have a simple algebraic structure and they "sit" inside G in a very particular way. This gives a strong mathematical foundation for cryptanalysis of several group-based cryptosystems and indicates on how to chose "strong keys". To illustrate our technique we analyze the Anshel-Anshel-Goldfeld (AAG) cryptosystem and give a mathematical explanation of recent success of some heuristic length-based attacks on it. Furthermore, we design and analyze a new type of attacks, which we term the quotient attacks. Mathematical methods we develop here also indicate how one can try to choose "parameters" in AAG to foil the attacks.

研究の動機と目的

• ランダム部分群の漸近的性質を分析することで、群基盤暗号方式の暗号解析に数学的基盤を確立すること。
• 自由でない群（例えばブレッド群）において長さベース攻撃（LBA）がなぜ予期しないほどうまくいくのかを説明すること。
• 同型写像による商群への還元に基づく、新たな攻撃クラス「商群攻撃」を導入し、形式化すること。
• 部分群や要素が一般に攻撃に弱い集合に属さないよう選ぶためのフレームワークを提供することにより、AAGおよび類似システムにおける「強い鍵」の選定を可能にすること。

提案手法

• ランダム部分群における『漸近的に優位な』性質、特に自由基底性の概念を導入し、多くの群において一般に成り立つことを示す。
• ランダム生成タプルを用いてランダム部分群を定義し、その地図的長さおよび周囲群に対する歪み（distortion）を分析する。
• 計算可能な全射準同型写像 $\phi$ を用いて、元の群におけるメンバー問題および共役探索問題を商群 $G/N$ における問題に還元することで、商群攻撃を提案する。
• 群 $G/N$ が自由基底性を有し、$G/N$ におけるメンバー問題が解けるならば、MSPのヒューリスティックアルゴリズムが指数的普遍的な部分群の集合に対して成功することを示す。
• ブレッド群および部分的に可換群に理論を適用し、二次時間で解ける語問題および商群における自由基底性が、効率的な攻撃を可能にすることを示す。
• 攻撃の成功は偶然ではなく、ランダム部分群の一般自由性および低歪み性に根ざしていることを確立する。

実験結果

リサーチクエスチョン

• RQ1 理論的障害があるにもかかわらず、ブレッド群のような非自由群において長さベース攻撃がなぜうまくいくのか。
• RQ2 ランダム部分群のどのような代数的性質が、AAG暗号方式における長さベース攻撃の実験的成功を説明するか。
• RQ3 商群攻撃は、群基盤暗号における有効な暗号解析手法として形式的に正当化できるか。
• RQ4 部分群におけるメンバー探索問題が、どのような条件下で商群における扱いやすい問題に還元できるか。
• RQ5 部分群の漸近的構造を分析することで、数学的に『弱い鍵』を特定し、回避する方法は何か。

主な発見

• ブレッド群や部分的に可換群を含む多くの群において、ランダムに生成された部分群は一般に自由であり、線形関数で有界される歪みを持つ擬等長的埋め込みを受ける。
• 長さベース攻撃の成功は、ランダム部分群が自由であり、部分群内での地図的長さが周囲群内での長さをよく近似しているという事実を、攻撃が暗黙的に利用しているためである。
• 商群攻撃は形式的に正当化される：群 $G/N$ が自由基底性を有し、$G/N$ におけるメンバー問題が解けるならば、MSPのヒューリスティックアルゴリズムは指数的普遍的な入力集合に対して成功する。
• 純ブレッド群 $PB_n$ および非アーベル的部分的に可換群において、部分群に関する同時共役探索問題（SCSP*）は、指数的普遍的な入力集合に対して二次時間で解ける。
• 提案された商群攻撃アルゴリズムは、純ブレッド群および部分的に可換群において $O(n^2)$ の時間計算量で実行され、語問題の時間計算量と一致する。
• 本研究の結果は、一般に攻撃に弱い集合に属する部分群や要素を避けることで、AAGにおける強い鍵の選定に数学的根拠を提供する。