[논문 리뷰] A New Path to Code-based Signatures via Identification Schemes with Restricted Errors

Marco Baldi, Massimo Battaglioni외 5명|arXiv (Cornell University)|2020. 08. 14.

Coding theory and cryptography참고 문헌 26인용 수 8

한 줄 요약

이 논문은 이중 벡터 위에서 계층적 융합 구조를 활용하여 검증 복잡도를 감소시키는 제약된 오차 패턴을 가진 식별 프rotocol을 사용하는 새로운 코드 기반 서명 체계를 제안한다. 오차 분포를 철저히 제약하고 재귀적 융합를 통해 생존 확률를 분석함으로써, 무작위 선형 코드 복원의 어려움에 기반한 보안을 유지하면서도 효율성을 향상시킨다.

ABSTRACT

In this paper we introduce a variant of the Syndrome Decoding Problem (SDP), that we call Restricted SDP (R-SDP), in which the entries of the searched vector are defined over a subset of the underlying finite field. We prove the NP-completeness of R-SDP, via a reduction from the classical SDP, and describe algorithms which solve such new problem. We study the properties of random codes under this new decoding perspective, in the fashion of traditional coding theory results, and assess the complexity of solving a random R-SDP instance. As a concrete application, we describe how Zero-Knowledge Identification (ZK-ID) schemes based on SDP can be tweaked to rely on R-SDP, and show that this leads to compact public keys as well as significantly reduced communication costs. Thus, these schemes offer an improved basis for the construction of code-based digital signature schemes derived from identification schemes through the well-know Fiat-Shamir transformation.

연구 동기 및 목표

• 양자 공격에 저항하는 더 효율적인 코드 기반 서명 체계를 설계하기 위해.
• 기존의 코드 기반 서명의 계산 오버헤드를 식별 프rotocol에서 오차 패턴을 제약함으로써 감소시키기 위해.
• 구조화된 벡터 융합 기법을 통해 유효한 서명을 찾는 성공 확률를 향상시키기 위해.
• 이중 트리 구조 유사한 다수준 융합을 통해 후보 해의 생존 확률를 체계화하기 위해.
• 랭크 거리 복원 가정 하에 서명 크기, 검증 시간, 보안 사이의 실용적인 트레이드오���을 달성하기 위해.

제안 방법

• $2^a$개의 이진 벡터 조각 각각의 길이가 $\frac{k+\ell}{2^a}$인 벡터 조각들 위에서 계층적 융합 과정을 사용하여 후보 해를 검증한다.
• 각 수준에서 벡터 쌍을 융합하는 재귀적 융합 전략을 적용하며, 그 심호드 유사 곱의 특정 위치에서의 0 패턴을 확인한다.
• 각 융합 단계에서 마지막 $u_i - u_{i-1}$ 비트에서 특정 심호드 조건을 만족하는 벡터들만 생존하도록 오차 패턴을 제약한다.
• 벡터 $\mathbf{x}$가 각 수준 $i$를 통과할 확률은 랜덤한 $\mathbf{H}^{\prime\prime}$와 $\mathbf{x}$를 가정할 때 $q^{-(u_i - u_{i-1})}$로 모델링된다.
• 모든 수준을 통과하는 총 생존 확률는 개별 확률의 곱으로 계산된다: $\prod_{i=1}^{a} \left(q^{-(u_i - u_{i-1})}\right)^{2^{a-i}-1}$.
• 모든 수준에서 융합 조건를 모두 만족하는 벡터들만 최종 목록에 포함되도록 보장하여 가짜 긍정을 최소화하면서도 유효한 해를 유지한다.

실험 결과

연구 질문

• RQ1 코드 기반 식별 체계에서 오차 패턴을 어떻게 제약하여 서명 효율성을 향상시킬 수 있는가?
• RQ2 코드 기반 식별 프로토콜에서 계층적 융합 과정을 통과하는 유효한 해의 생존 확률는 얼마인가?
• RQ3 구조화된 융합 접근법을 통해 보안을 훼손하지 않고 코드 기반 서명의 검증 계산 비용을 줄일 수 있는가?
• RQ4 선택한 $u_i - u_{i-1}$ 값은 검증 파이프라인에서 후보 벡터의 생존 확률에 어떤 영향을 미치는가?
• RQ5 벡터 조각 크기와 융합 수준 수의 최적의 균형은 코드 기반 서명의 효율성을 극대화하기 위해 어떻게 설정되어야 하는가?

주요 결과

• 랜덤한 $\mathbf{H}^{\prime\prime}$와 $\mathbf{x}$를 가정할 때, 벡터 $\mathbf{x}$가 $i$-번째 융합 수준를 통과할 생존 확률는 $q^{-(u_i - u_{i-1})}$이다.
• 모든 수준를 통과하는 총 생존 확률는 $\prod_{i=1}^{a} \left(q^{-(u_i - u_{i-1})}\right)^{2^{a-i}-1}$이며, 이는 유효한 해가 유지될 가능성을 정량화한다.
• 조건 1(쌍별 융합)은 조건 2(최종 심호드 검사)를 함의하므로, 독립적인 검사 수를 줄일 수 있다.
• 벡터 $\mathbf{x}$가 탐색된 벡터들 중에 포함될 확률는 $2^{2^a - k - \ell}$이며, 이는 $\mathbf{x} \in \mathcal{R}_0 \times \cdots \times \mathcal{R}_{2^a - 1}$를 가정할 때이다.
• 이 방법은 오직 모든 융합 제약 조건를 만족하는 벡터들만 최종 목록에 포함되도록 보장하여 가짜 긍정을 크게 줄인다.
• 오차 공간과 융합 과정을 체계화함으로써 서명 크기와 검증 시간 사이의 유리한 트레이드오프를 달성한다.