[論文レビュー] The problem with the SURF scheme

Thomas Debris-Alazard, Nicolas Sendrier+1 more|arXiv (Cornell University)|Jun 25, 2017

Chaos-based Image/Signal Encryption参考文献 39被引用数 4

ひとこと要約

この論文は、SURFコードベースデジタル署名方式における深刻な脆弱性を特定し、その安全性が効率的に破壊可能な仮定に依存していることを示している。具体的には、(U,U+V)コードをランダムな線形コードと区別するためのハル次元解析による仮定である。著者らは、SURFのパrameter設定下で、(U,U+V)コードのハル次元がランダムコードのそれよりも顕著に大きいことを示しており、多項式時間で成功確率が非常に高い攻撃が可能である。この結果、方式の安全性証明は無効化される。

ABSTRACT

There is a serious problem with one of the assumptions made in the security proof of the SURF scheme. This problem turns out to be easy in the regime of parameters needed for the SURF scheme to work. We give afterwards the old version of the paper for the reader's convenience.

研究の動機と目的

• SURFコードベースデジタル署名方式の背後にある安全性仮定を分析すること。
• 置換された (U,U+V) コードがランダムな線形コードと区別不能であるという仮定の欠陥を特定すること。
• SURFのパrameter選択下で、(U,U+V) コードのハル次元がランダムコードのそれよりも顕著に大きいことを示すこと。
• この構造的差異が多項式時間の区別可能攻撃を可能にし、方式の安全性証明を破壊することを示すこと。
• 元のSURF論文で主張された安全性還元を無効にする形式的な攻撃を提供すること。

提案手法

• 攻撃は、与えられた線形コードのハルを計算する。ハルはコードとその双対の共通部分として定義される：hull(C) = C ∩ C⊥。
• SURFのパrameter設定下では、置換された (U,U+V) コードの期待ハル次元が k_U - k_V であるのに対し、ランダムコードでは O(1) であるという事実を活用する。
• 計算されたハル次元が k_U - k_V に等しいかどうかをチェックし、もしそうであれば、コードを (U,U+V) コードと分類する。
• アルゴリズムは、ガウス消去法などの標準的な線形代数演算を用いて多項式時間で実行される。
• 確率的境界に基づき、n に関して無視できるεの確率で失敗するが、成功確率は 1 - ε である。
• この方法は、元の安全性主張の根拠となる (U,U+V) コード区別問題のNP困難性に依存している。

実験結果

リサーチクエスチョン

• RQ1 SURFのパrameter設定下で、置換された (U,U+V) コードをランダムな線形コードと区別する多項式時間アルゴリズムは存在するか？
• RQ2 SURFで使用されるパrameter設定下で、(U,U+V) コードのハル次元はランダムコードのそれよりも顕著に大きいとされるか？
• RQ3 ハル次元のこの構造的差異は、SURF方式の安全性証明に必要な区別不能性仮定を損なうか？
• RQ4 この区別可能攻撃を用いて、署名を偽造したり、選択メッセージ攻撃下での存在的偽造性を破壊できるか？
• RQ5 この欠陥は、SURFにおけるランダムオракルモデル下での安全性還元の有効性にどのような影響を及ぼすか？

主な発見

• 置換された (U,U+V) コードのハル次元は、確率 1 - O(2^{k_V - k_U}) で k_U - k_V に等しくなる。これは、SURFのパrameter設定下で極めて高い確率である。
• それに対して、ランダム線形コードの期待ハル次元は O(1) であり、t より小さい確率は 1 - O(2^{-t}) 以上である。
• この差異により、多項式時間の区別可能攻撃が可能となり、成功確率が 1 - ε（ε は n に関して無視できる）となる。
• 攻撃は、SURF方式の安全性証明の根幹を成す仮定を破壊し、適応的選択メッセージ攻撃下での存在的偽造性が主張されたものに無効化されることを示している。
• この欠陥は軽微な弱みではなく、方式の安全性基盤そのものを揺るがす根本的構造的脆弱性である。
• 元のSURF方式は、同じ仮定では救いようがなく、安全性証明は再考または放棄される必要がある。