[논문 리뷰] A survey on NIST PQ signatures

Nicola Di Chiano, Riccardo Longo외 2명|arXiv (Cornell University)|2021. 07. 23.

Cryptography and Data Security참고 문헌 25인용 수 5

한 줄 요약

이 종합 검토는 NIST 양자 이후 암호화(PQC) 디지털 서명 최종 후보자 및 대안 후보자인 CRYSTALS-Dilithium, Falcon, Rainbow, SPHINCS+, GeMSS, Picnic에 대한 포괄적인 분석을 제공한다. 이는 기초가 되는 격자 기반 및 다변수 암호화 기반, 서명 생성 및 검증 메커니즘, 세 가지 보안 수준에서의 성능 트레이드오프를 다룬다. 주요 기여는 공개 키 및 서명 크기의 체계적 비교로, 격자 기반 기법인 Dilithium와 Falcon이 효율성과 보안 사이의 최적 균형을 이루는 반면, SPHINCS+와 Picnic는 더 작은 공개 키를 얻기 위해 더 큰 서명 크기를 감수한다.

ABSTRACT

Shor's shockingly fast quantum algorithm for solving the period-finding problem is a threat for the most common public-key primitives, as it can be efficiently applied to solve both the Integer Factorisation Problem and the Discrete Logarithm Problem. In other words, many once-secure protocols have to be replaced by still-secure alternatives. Instead of relying, for example, on the RSA protocol, the Diffie-Hellman key-exchange or the (Elliptic Curve) Digital Signature Algorithm, many researchers moved their attention to the design and analysis of primitives which are yet to be broken by quantum algorithms. The urgency of the threat imposed by quantum computers led the U.S. National Institute of Standards and Technology (NIST) to open calls for both Post-Quantum Public-Keys Exchange Algorithms and Post-Quantum Digital Signature Algorithms. In this brief survey we focus on the round 3 finalists and alternate candidates for Digital Signatures: CRYSTALS-DILITHIUM, FALCON, Rainbow, SPHINCS+, GeMSS, Picnic.

연구 동기 및 목표

• NIST PQC 디지털 서명 최종 후보자 및 대안 후보자 여섯 종류의 설계, 보안 기반 및 성능 특성 분석.
• 양자 이후 보안을 위한 다양한 보안 수준(I, III, V)에서 공개 키 및 서명 크기 비교.
• 각 기법의 기초가 되는 암호 primitive 분석, 즉 격자, 다항식 아이디얼 및 지식이 없는 증명 포함.
• 각 기법의 키 생성, 서명 및 검증 알고리즘에 대한 체계적 개요 제공.
• 양자 이후 디지털 서명에서 서명 크기, 공개 키 크기 및 계산 효율성 간의 가장 효율적인 트레이드오프 식별.

제안 방법

• 논문은 격자 이론의 기본 개념을 소개하며, 이는 격자 기반 기법의 보안 기반을 이루는 가장 짧은 벡터 문제(SVP), 오차를 가진 학습(LWE), 및 링-LWE 포함.
• Picnic 및 SPHINCS+와 같은 기법에서 서명 생성을 위해 상호작용이 가능한 지식이 없는 증명을 비상호작용으로 전환하기 위해 Fiat-Shamir 변환의 사용을 상세히 기술.
• CRYSTALS-Dilithium 및 Falcon과 같은 격자 기반 기법의 경우, 이산 가우시안 분포에서의 표본 추출 및 모듈러 격자를 사용하여 보안성과 효율성 확보.
• SPHINCS+ 및 Picnic3-LX에서 서명 압축 및 검증 오버헤드 감소를 위해 머클 트리 및 트리 기반의 암호화 구조 사용 설명.
• Picnic에서 사용되는 MPC-in-the-Head 파aradigm 설명: 다수의 안전한 계산 실행을 시뮬레이션하여 지식이 없는 증명을 생성하며, 마스터 시드에서 XOF(예: SHAKE128/256)를 통해 시드 유도.
• 표준화된 보안 수준(고전적 보안 수준 128, 192, 256비트)에 따라 기준 설정되며, 매개변수 집합이 이에 따라 조정됨.

실험 결과

연구 질문

• RQ1 NIST PQC 최종 후보자들의 공개 키 및 서명 크기는 어떤 보안 수준에서 어떻게 비교되는가?
• RQ2 각 기법에서 양자 이후 보안을 보장하는 데 기여하는 기초 수학 문제 및 암호 primitive는 무엇인가?
• RQ3 Dilithium 및 Falcon과 같은 격자 기반 기법은 서명 크기와 효율성 사이의 균형을 어떻게 달성하는가?
• RQ4 Fiat-Shamir 변환은 SPHINCS+ 및 Picnic에서 효율적이고 비상호작용 디지털 서명을 가능하게 하는 데 어떤 역할을 하는가?
• RQ5 Rainbow와 같은 다변수 기법은 작은 서명에도 불구하고 왜 큰 공개 키를 갖는가?

주요 결과

• CRYSTALS-Dilithium 및 Falcon은 서명 크기와 공개 키 크기 사이의 최적 균형을 제공하며, Dilithium는 약 2.5KB의 서명과 1.5KB의 공개 키로 128비트 보안 달성.
• SPHINCS+는 가장 작은 공개 키(약 1KB)를 갖지만 가장 큰 서명(100KB 이상)을 가지며, 대역폭 제약이 있는 응용 분야에 덜 효율적.
• Picnic3-LX는 MPC-in-the-Head 파라다임과 KKW 지식이 없는 증명을 통해 압축된 서명을 달성하며, 128비트 보안에서 서명 크기가 10KB 이하.
• Rainbow는 다변수 기법이지만 작은 서명(~1KB)에도 불구하고 가장 큰 공개 키(100KB 이상)를 가지며, 실용적 구현에 제약 있음.
• 모든 기법 중에서 ECDSA는 키 및 서명 크기 측면에서 가장 효율적이지만, 양자 이후 보안이 아님.
• Picnic에서 시드 유도 및 도메인 분리에 XOF(예: SHAKE128/256) 사용은 다중 대상 공격에 저항하고 결정적 서명 생성을 가능하게 함.