[論文レビュー] SALSA: Attacking Lattice Cryptography with Transformers

Emily Wenger, Mingjie Chen+2 more|arXiv (Cornell University)|Jul 11, 2022

Cryptography and Data Security被引用数 10

ひとこと要約

この論文は、トランスフォーマーを用いた、LWE格子暗号に対する新しい機械学習攻撃、SALSAを紹介する。トランスフォーマーが巡回群における演算を学習できることを示し、統計的暗号解析と組み合わせることで、次元n=128までのスパースなバイナリ秘密を回復可能である。これは、格子問題に対するトランスフォーマーを用いた暗号解析の初の成功例である。

ABSTRACT

Currently deployed public-key cryptosystems will be vulnerable to attacks by full-scale quantum computers. Consequently, "quantum resistant" cryptosystems are in high demand, and lattice-based cryptosystems, based on a hard problem known as Learning With Errors (LWE), have emerged as strong contenders for standardization. In this work, we train transformers to perform modular arithmetic and combine half-trained models with statistical cryptanalysis techniques to propose SALSA: a machine learning attack on LWE-based cryptographic schemes. SALSA can fully recover secrets for small-to-mid size LWE instances with sparse binary secrets, and may scale to attack real-world LWE-based cryptosystems.

研究の動機と目的

• トランスフォーマーが有限体上で巡回群演算を学習し、計算を実行できるかどうかを調査すること。
• 後量子暗号の基盤とされる学習誤差問題（LWE）に対する機械学習ベースの攻撃を開発すること。
• トランスフォーマーがLWEサンプルとランダムデータの統計的差を識別でき、秘密ベクトルを回復できるかどうかを示すこと。
• 部分的に訓練されたモデルと統計的手法を組み合わせて、秘密回復のための実用的アルゴリズムを設計すること。
• このような攻撃を実世界の格子暗号方式にスケーリング可能かどうかを検討すること。

提案手法

• 合成LWEサンプルを用いて、入力ベクトルaからノイズ付き内積b = a·s + e mod qを予測するトランスフォーマー・モデルを訓練する。
• 整数およびベクトルにおける巡回群演算の実行能力を、計算の基盤として活用する。
• 訓練済みモデルを用いて、LWEインスタンスと一様ランダムデータを高精度で区別する。
• 2つの秘密回復アルゴリズムを開発する：1つはモデルの予測の統計的分析に基づくもの、もう1つは部分的出力の反復的改善を用いるもの。
• 半分訓練されたモデルと統計的手法を組み合わせることで、秘密回復に必要なデータ量と時間の要件を削減する。
• スパースなバイナリ秘密を有するLWEインスタンスに攻撃を適用し、秘密分布の構造的弱みを活用する。

実験結果

リサーチクエスチョン

• RQ1 トランスフォーマーは有限体上で巡回群演算を効果的に学習できるか？
• RQ2 トランスフォーマーに基づくモデルは、LWEサンプルとランダムデータの統計的差を検出できるか？
• RQ3 モデルの予測結果を用いて、スパースなバイナリ秘密を持つLWEの秘密ベクトルsを再構築できるか？
• RQ4 部分的または低精度のモデルをどれくらいの範囲で使用して、実用的な秘密回復攻撃を実行できるか？
• RQ5 このアプローチは、実世界の後量子暗号方式に使用されるような大規模なLWEインスタンス（例：n=256）にスケーリング可能か？

主な発見

• トランスフォーマーは、整数およびベクトルにおいても、有限体で高い精度で巡回群演算を学習・実行できる。
• 訓練済みモデルは、LWEサンプルとランダムデータを高精度で区別でき、LWE問題の背後にある構造を捉えていることを示している。
• SALSAは、次元n=128までのLWEインスタンスにおいて、スパースなバイナリ秘密を正常に回復した。これはダルムシュタットLWEチャレンジのスケールと一致する。
• 部分的に訓練されたモデルを用いても攻撃は有効であり、必要なデータ量とトレーニング時間の削減が可能である。
• モデル出力の統計的分析に基づく秘密回復アルゴリズムにより、低いモデル精度でも効率的な攻撃が可能である。
• 結果から、より大きなトランスフォーマー・アーキテクチャが、実際の用途で使用される高次元LWEインスタンス（例：n=256）にスケーリング可能である可能性が示唆される。