[論文レビュー] The role of Boolean functions in hiding sums as trapdoors for some block ciphers

Riccardo Aragona, Marco Calderini+1 more|arXiv (Cornell University)|Nov 27, 2014

Coding theory and cryptography参考文献 20被引用数 3

ひとこと要約

この論文は、ブロック暗号における暗黙の和と呼ばれる代替ベクトル空間構造—暗号的バックドアとして機能しうる—を導入する。本論文は、このようなバックドアに対して耐性を示すブール関数Sボックスのクラス、すなわち「アンチクロウディ」関数のクラスを導入し、ラウンド数や鍵スケジューリングの複雑さに依存せず、たった7回の暗号化で鍵回復攻撃が可能なトゥイ・シファーを示している。

ABSTRACT

Most modern block ciphers are built using components whose cryptographic strength is evaluated in terms of their resistance to attacks on the whole cipher. In particular, differential properties of vectorial Boolean functions are studied for the S-Boxes to thwart differential cryptanalysis. Little is known on similar properties to avoid trapdoors in the design of the block cipher. In this paper we present a form of trapdoors coming from alternative vector space structures, which we call hidden sums, and give a characterization on the Boolean function S-Box to avoid any such hidden sum. We also study some properties of this new class of vectorial Boolean functions, which we call anti-crooked, and provide a toy cipher with a hidden sum trapdoor.

研究の動機と目的

• 代替ベクトル空間構造、すなわち『隠れた和』と呼ばれるものに基づく、ブロック暗号における新たなバックドアクラスを同定し、形式化すること。
• このような隠れた和バックドアを防ぐために、特にベクトル値ブール関数としてのSボックスが満たすべき性質を同定すること。
• 隠れた和攻撃に対して耐性を示す新しいブール関数クラス、すなわち『アンチクロウディ』関数を定義し、分析すること。
• 隠れた和バックドアを内蔵したトゥイ・シファーを構築し、標準的なセキュリティ仮定を回避できる実用的な鍵回復攻撃を実証すること。

提案手法

• 特にアフィン群 AGL(V,∘) を用いてブロック暗号の構成要素をモデル化する。ここで ∘ は隠れた和演算子である。
• 環構造 (V,∘,·) と V 上の群演算 ⋆ を定義し、アーベル正則部分群 T が (V,⋆) に同型であるようにする。
• 翻訳群 T と群 (V,⋆) の同型関係を用いて、写像 κ_y: x ↦ κ_y(x)∘y を導出し、隠れた和と線形変換を結びつける。
• 鍵の恒等式 κ_{x⋆y} = κ_y ∘ κ_x を導出し、写像 y ↦ κ_y の像が (V,∘) 上に単純作用する p-群を形成することを示す。
• 得られた構造を、6ビットの鍵空間を持つトゥイ・シファーに適用し、V = (F₂)^6 上で定義された特定の隠れた和 ∘′ を使用する。
• 選択平文攻撃または選択平文／選択暗号文攻撃を用い、AGL(V,∘′) 内の暗号化関数の行列 M と平行移動ベクトル t を、たった7回の暗号化または14回の操作で回復する。

実験結果

リサーチクエスチョン

• RQ1 代替ベクトル空間構造（隠れた和）は、どのようにしてブロック暗号に検出不能なバックドアを生成するために利用可能か？
• RQ2 ベクトル値ブール関数Sボックスが、このような隠れた和バックドアの存在を防ぐために満たすべき性質は何か？
• RQ3 隠れた和構成に対して本質的に耐性を示す新しいブール関数クラスを定義可能か？
• RQ4 実際には、隠れた和バックドアはどの程度利用可能であり、効率的にどのようにして破壊可能か？

主な発見

• 本論文は、暗号構造内に非自明な隠れた和が存在しないようにする関数として、『アンチクロウディ』ベクトル値ブール関数のクラスを導入する。
• 隠れた和バックドアは、ラウンド数や鍵スケジューリングの複雑さに依存せず、たった7回の暗号化で鍵回復攻撃が可能である。
• 攻撃は、AGL(V,∘′) 内の暗号化関数の行列 M と平行移動ベクトル t を回復することで実行され、暗号の完全な再構築が可能になる。
• 攻撃は効率的である：選択平文攻撃では約7回の暗号化、選択平文／選択暗号文攻撃では14回の操作で実行可能であり、いずれもブルートフォースに比べてはるかに少ない。
• すべての x,y ∈ U に対して x⋆y = x∘y を満たす非自明な部分群 U ⊆ V が存在することは、隠れた和の存在を示しており、構造的解析によって検出可能である。
• 本論文は、標準的なAES風の暗号が隠れた和バックドアを含むように拡張可能であり、そのような脆弱性を有する具体的なトゥイ・シファーを提示した。