[論文レビュー] The McEliece Cryptosystem Resists Quantum Fourier Sampling Attacks

Hang Dinh, Cristopher Moore+1 more|arXiv (Cornell University)|Aug 13, 2010

Coding theory and cryptography参考文献 26被引用数 10

ひとこと要約

この論文は、適切に並べ替えられ、適切に混合された線形符号を用いて構築されたMcEliece暗号方式が、量子フーリエ変換スケーリング攻撃に対して耐性を持つことを示している。具体的には、この方式の背後にある隠れ部分群問題が、強力なフーリエ変換やコセット状態の測定によって解けないことを証明している。主な貢献は、ショアのアルゴリズムで用いられる主要な量子攻撃ベクトルに対する厳密なセキュリティ証明であり、McEliece方式が後量子暗号方式としての適性を強化している。

ABSTRACT

Quantum computers can break the RSA and El Gamal public-key cryptosystems, since they can factor integers and extract discrete logarithms. If we believe that quantum computers will someday become a reality, we would like to have \emph{post-quantum} cryptosystems which can be implemented today with classical computers, but which will remain secure even in the presence of quantum attacks. In this article we show that the McEliece cryptosystem over \emph{well-permuted, well-scrambled} linear codes resists precisely the attacks to which the RSA and El Gamal cryptosystems are vulnerable---namely, those based on generating and measuring coset states. This eliminates the approach of strong Fourier sampling on which almost all known exponential speedups by quantum algorithms are based. Specifically, we show that the natural case of the Hidden Subgroup Problem to which the McEliece cryptosystem reduces cannot be solved by strong Fourier sampling, or by any measurement of a coset state. We start with recent negative results on quantum algorithms for Graph Isomorphism, which are based on particular subgroups of size two, and extend them to subgroups of arbitrary structure, including the automorphism groups of linear codes. This allows us to obtain the first rigorous results on the security of the McEliece cryptosystem in the face of quantum adversaries, strengthening its candidacy for post-quantum cryptography.

研究の動機と目的

• RSAおよびEl Gamalを破る量子フーリエ変換スケーリングに基づく量子攻撃に対して、McEliece暗号方式の安全性を確立すること。
• McElieceに内在する隠れ部分群問題（HSP）が、群 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ 上での強力なフーリエ変換によって解けるかどうかを調査すること。
• グラフ同型性の量子フーリエ変換スケーリングに関する先行の否定的結果を、McElieceで用いられる線形符号の自己同型群へと拡張すること。
• 適切に並べ替えられ、適切に混合された符号を用いたMcEliece方式に対する、初めての厳密な量子セキュリティ証明を提供すること。これは、後量子暗号分野における重要なギャップを埋めることを目的としている。
• 非可約表現上の特徴和の減衰を分析し、フーリエ変換によるコセット状態の区別可能性を評価すること。

提案手法

• McEliece暗号方式の文脈における隠れ部分群問題（HSP）の構造を分析し、特に群 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ に注目する。
• 表現論を用いて、群の非可約表現（irreps）の次元および特徴和を制限し、特に隠れ部分群に対応する表現に注目する。
• 補題17を適用して、集合 $\Lambda_c$ に属する非可約表現の次元に下界を導出し、定数 $\delta, c, r$ を用いて $d_\lambda \geq e^{\delta cn - r/c^2}$ を示す。
• 定理4を用いて、コセット状態と一様状態の全 Variation 距離 $\mathcal{D}_K$ を制限し、$n^{-\gamma n}$ の割合で減衰することを示す。
• 最小次数 $m$ を用いて $\overline{\chi}_{\overline{S}}(K) \leq e^{-\delta m}$ を確立し、非$S$表現に対する特徴の減衰を保証する。
• $|S|$、$d_S$、および $D = n^{dn}$ の境界を組み合わせ、$|S| d_S^2 / D \leq n^{-\gamma_1 n}$ を示し、有用な非可約表現を測定する確率が無視できるほど小さいことを証明する。

実験結果

リサーチクエスチョン

• RQ1 RSAおよびEl Gamalを破る量子フーリエ変換スケーリング攻撃が、適切に並べ替えられ、適切に混合された線形符号を用いたMcEliece暗号方式に対しても有効であるか。
• RQ2 適切に並べ替えられた線形符号の自己同型群に関連する隠れ部分群問題が、強力なフーリエ変換によって解けるか。
• RQ3 群 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ の部分群に対して、非可約表現の特徴和はどの程度減衰するか。
• RQ4 強力なフーリエ変換を含む任意の測定に対しても、McEliece方式のコセット状態が一様状態と区別できないか。
• RQ5 グラフ同型性および量子フーリエ変換による部分群再構成に関する先行結果を、線形符号の自己同型群へと拡張できるか。

主な発見

• 適切に並べ替えられ、適切に混合された線形符号を用いたMcEliece暗号方式は、強力なフーリエ変換やコセット状態の測定を含む、量子フーリエ変換スケーリング攻撃に対して耐性を持つ。
• コセット状態と一様状態の全 Variation 距離 $\mathcal{D}_K$ は $4|K|^2(e^{-\delta m} + n^{-\gamma n})$ で有界であり、$n$ が十分に大きい場合には区別可能性が無視できることが示された。
• 関連する非可約表現の次元は $d_S \leq 2q^{k^2}n^{2cn}$ と成長し、そのような表現の数は $|S| \leq q^{2k^2}e^{O(\sqrt{n})}$ で有界であり、両者とも $n$ に対して指数的でない。
• 任意の定数 $c < 1/6$ および $d > 4a + 4c$ に対して、$D = n^{dn}$ を用いて $|S| d_S^2 / D \leq n^{-\gamma_1 n}$ が成り立つ。これは、有用なフーリエ成分が指数的にまれであることを証明する。
• 特徴和 $\overline{\chi}_{\overline{S}}(K)$ は $e^{-\delta m}$ の割合で指数的に減衰し、$m$ は $\mathrm{Aut}(M)$ の最小次数である。これにより、非$S$表現の寄与は無視できる。
• グラフ同型性の量子フーリエ変換スケーリングに関する先行の否定的結果が、線形符号の自己同型群へと拡張され、このような攻撃に対するより広範な障壁が確立された。