[論文レビュー] Twisted Gabidulin Codes in the GPT Cryptosystem

Sven Puchinger, Julian Renner+1 more|arXiv (Cornell University)|Jun 26, 2018

Coding theory and cryptography参考文献 34被引用数 3

ひとこと要約

本稿では、GPT暗号基盤の公開鍵暗号方式における使用を目的として、ねじれGabidulin符号の部分族を提案し、Overbeckの構造的攻撃に対して耐性を示すことを示している。得られる鍵長は、元々のMcEliece方式よりも顕著に小さく、Loidreauの破られないGPT変種よりもわずかに小さい。これは、同等のセキュリティレベルにおいてランク距離暗号の効率性を向上させるものである。

ABSTRACT

In this paper, we investigate twisted Gabidulin codes in the GPT code-based public-key cryptosystem. We show that Overbeck's attack is not feasible for a subfamily of twisted Gabidulin codes. The resulting key sizes are significantly lower than in the original McEliece system and also slightly smaller than in Loidreau's unbroken GPT variant.

研究の動機と目的

• ねじれGabidulin符号がGPTコード基盤の公開鍵暗号方式において果たすセキュリティの検討。
• Overbeckの攻撃がねじれGabidulin符号の部分族に対して依然として実行可能かどうかの特定。
• 得られる鍵長の評価および、既存のランク距離およびハミング距離のコード基盤暗号方式との比較。
• ねじれGabidulin符号が、効率的かつ安全な後量子暗号の基盤としての可能性の評価。

提案手法

• 著者らは、最大ランク距離（MRD）特性を保持するように、適切に選ばれた係数を用いて、Gabidulin符号の評価多項式に単項式を加えることによって定義されるねじれGabidulin符号の部分族を分析している。
• Overbeckの攻撃フレームワークをねじれGabidulin符号を用いたGPTシステムに適用し、符号族に保持される構造的不変量のため、攻撃が失敗することを示している。
• 符号のシンディロームデコード、Gibsonの攻撃、および$ q $-和に基づく指数時間攻撃に対してセキュリティを評価し、作業量は$ W_{\mathrm{Exp-Att}} \approx q^{m\ell} $とされる。
• 目標とするセキュリティレベル$ 2^{80} $、$ 2^{130} $、$ 2^{260} $を達成するパラメータを用いて、McEliece、Loidreau、QC-MDPC、および提案されたねじれGPTシステムの鍵長を比較し、表形式で結果を提示している。
• コードの$ q $-和次元を分析し、識別者攻撃のリスクを評価したが、この性質を悪用する明確な攻撃は発見されていない。

実験結果

リサーチクエスチョン

• RQ1 GPT暗号方式において、ねじれGabidulin符号の部分族を用いる場合、Overbeckの攻撃が成功する可能性はあるか？
• RQ2 同等のセキュリティレベルにおいて、ねじれGabidulin符号の鍵長はMcElieceおよびLoidreauの方式と比較してどの程度か？
• RQ3 小規模な$ \ell $における低$ q $-和次元は、既知の構造的攻撃に耐性を示すものの、実用的な脆弱性を引き起こす可能性があるか？
• RQ4 同じ作業量仮定のもとで、ねじれGPTシステムのセキュリティはQC-MDPCのような他のコード基盤暗号方式と比較してどうか？

主な発見

• 提案されたねじれGabidulin符号の部分族に対しては、Overbeckの攻撃は実行不可能であり、この主要な攻撃クラスに対して強い構造的耐性を示している。
• 80ビットのセキュリティレベルにおいて、ねじれGPTシステムの鍵長は3.28 KBであり、McElieceの78.98 KBよりも小さい。Loidreauの3.60 KBと同等のサイズである。
• 128ビットのセキュリティレベルでは、鍵長は6.93 KBであり、McElieceの242.00 KBよりも顕著に小さいが、QC-MDPCの0.60 KBよりも大きい。
• セキュリティレベルは[11]からのシンディロームデコード攻撃に支配されており、テストされたすべてのパラメータにおいて最小の作業量を与える。
• 小規模な$ \ell $における低$ q $-和次元に基づく識別者があるものの、この性質を悪用する明確な攻撃は知られておらず、現時点までにシステムは破られていない。