[논문 리뷰] An Algebraic Attack on Rank Metric Code-Based Cryptosystems

Magali Bardet, Pierre Briaud외 5명|HAL (Le Centre pour la Communication Scientifique Directe)|2019. 10. 02.

Coding theory and cryptography참고 문헌 43인용 수 6

한 줄 요약

이 논문은 부분 심지이론에서 유도된 추가 방정식을 Ourivski-Johansson 다항식 체계에 통합하여 랭크 메트릭 코드 기반 암호체계에 대한 새로운 대수적 공격을 제시한다. 이로 인해 해의 차수는 r, r+1 또는 r+2로 감소하며, 그로 인해 그로버 기저 계산이 더 빠르게 수행되고, ROLLO-I-256의 주장하는 256비트 보안 수준을 고전적 공격으로 뛰어넘을 수 있다. 이는 이전의 대수적 및 조합적 접근보다 뛰어난 성능을 발휘한다.

ABSTRACT

The Rank metric decoding problem is the main problem considered in cryptography based on codes in the rank metric. Very efficient schemes based on this problem or quasi-cyclic versions of it have been proposed recently, such as those in the submissions ROLLO and RQC currently at the second round of the NIST Post-Quantum Cryptography Standardization Process. While combinatorial attacks on this problem have been extensively studied and seem now well understood, the situation is not as satisfactory for algebraic attacks, for which previous work essentially suggested that they were ineffective for cryptographic parameters. In this paper, starting from Ourivski and Johansson's algebraic modelling of the problem into a system of polynomial equations, we show how to augment this system with easily computed equations so that the augmented system is solved much faster via Groebner bases. This happens because the augmented system has solving degree $r$, $r+1$ or $r+2$ depending on the parameters, where $r$ is the rank weight, which we show by extending results from Verbel et al. (PQCrypto 2019) on systems arising from the MinRank problem; with target rank $r$, Verbel et al. lower the solving degree to $r+2$, and even less for some favorable instances that they call superdetermined. We give complexity bounds for this approach as well as practical timings of an implementation using Magma. This improves upon the previously known complexity estimates for both Groebner basis and (non-quantum) combinatorial approaches, and for example leads to an attack in 200 bits on ROLLO-I-256 whose claimed security was 256 bits.

연구 동기 및 목표

• 강력한 조합적 공격에도 불구하고 랭크 메트릭 코드 기반 암호의 효과적인 대수적 공격이 부족한 점을 해결하기 위해.
• 보완된 다항식 체계를 통해 그로버 기저 기법을 활용한 MinRank 문제 해결의 효율성을 향상시키기 위해.
• ROLLO 및 RQC와 같은 NIST PQC 후보 암호가 주장하는 보안 수준 이하로 대수적 공격이 성공할 수 있음을 입증하기 위해.
• 보완된 체계의 해의 차수를 분석하고 실용적 및 이론적 평가를 위한 복잡도 한계를 제공하기 위해.
• 원래 체계가 대수적 방법에 저항하도록 설계되어 있어도 공격이 여전히 효과를 발휘하는지 확인하기 위해.

제안 방법

• MinRank 문제의 Ourivski-Johansson 대수적 모델에 부분 심지이론에서 유도된 추가 다항식 방정식을 통합한다.
• 알고리즘 1에서 해의 행렬의 첫 번째 열과 행을 고정하고, 계수 행렬의 무작위 열을 [1,0,…,0]^T로 설정하는 전용 변수 전략을 사용한다.
• 그로버 기저 기법을 사용해 보완된 체계를 구축하고 해결하는 재귀 하위루틴 Solve(S,C,R)를 적용한다.
• 하위행렬의 질량 성질과 유한체 확률을 기반으로 성공 가능성의 확률적 분석을 도입한다.
• Verbel 등(2019년 PQCrypto)의 MinRank 체계 결과를 활용해 매개변수에 따라 해의 차수를 r, r+1 또는 r+2로 제한한다.
• 성능 검증 및 실용적 시간 측정 결과 제공를 위해 Magma에서 공격를 구현한다.

실험 결과

연구 질문

• RQ1 보완된 다항식 체계를 통해 랭크 메트릭 코드 기반 암호체계에 대해 대수적 공격을 효과적으로 수행할 수 있는가?
• RQ2 보완된 MinRank 체계의 해의 차수는 무엇이며, 원래 체계와 비교해 어떻게 다를까?
• RQ3 이 공격은 ROLLO 및 RQC와 같은 NIST PQC 후보를 그들이 주장하는 보안 수준 이하로 뚫을 수 있는가?
• RQ4 m, n, r, q와 같은 매개변수 선택에 따라 공격의 성공 확률은 어떻게 변화하는가?
• RQ5 변수 전략과 부분 심지이론의 추가로 인해 공격 성능이 얼마나 향상되는가?

주요 결과

• 보완된 체계는 해의 차수 r, r+1 또는 r+2를 가지며, 이는 원래 체계에 비해 그로버 기저 계산의 복잡도를 크게 감소시킨다.
• 공격은 ROLLO-I-256를 고전적 공격 복잡도로 그 주장하는 256비트 보안 수준 이하로 뚫을 수 있으며, 심각한 취약점을 드러낸다.
• NIST PQC 제출 매개변수에 대해, 알고리즘 1은 최대 5회의 Solve 하위루틴 호출로 0.8 이상의 확률로 성공한다.
• 계산 복잡도 측면에서 이전의 대수적 공격 및 비 양자 조합적 공격보다 뛰어난 성능을 발휘한다.
• 큰 매개변수에 대해서도 성공 확률이 높으며, 알고리즘의 두 번째 실행은 거의 필요로 하지 않는다.
• 최근 개선 사항 [13]은 공격을 선형 체계의 해법으로 줄여 그로버 기저가 필요 없게 하였지만, 원래 공격은 여전히 큰 매개변수에 대해 효과적이며 메모리 소비가 크다.