[논문 리뷰] Continued fractions and RSA with small secret exponent

Andrej Dujella|ArXiv.org|2004. 02. 20.

Chaos-based Image/Signal Encryption참고 문헌 15인용 수 33

한 줄 요약

이 논문은 디오판틴스 근사에 대한 레지오드르의 정리를 일반화하여 |α − a/b| < c/b² 형태의 bound를 갖는 해를 구속하는 데 사용하는 연속 분수 수렴근을 활용하며, 이는 비밀 지수 d가 작은 RSA에 대한 위너 및 베르헤울-반틸버그의 공격을 더 효율적인 형태로 개선한다. 주요 기여는 후보 지수의 수를 O(D²A²)에서 O(D² log A)로 감소시키는 방법을 제시함으로써, d < n^0.25일 경우 실용적인 암호 분석에서 상당한 효율 향상을 이룬다.

ABSTRACT

Extending the classical Legendre's result, we describe all solutions of the inequality |x - a/b| &lt; c/b^2 in terms of convergents of continued fraction expansion of x. Namely, we show that a/b = (rp_{m+1} +- sp_m) / (rq_{m+1} +- sq_m) for some nonnegative integers m,r,s such that rs &lt; 2c. As an application of this result, we describe a modification of Verheul and van Tilborg variant of Wiener's attack on RSA cryptosystem with small secret exponent.

연구 동기 및 목표

• |α − a/b| < c/b² 형태의 bound를 다룰 수 있도록 레지오드르의 디오판틴스 근사 정리를 일반화하는 것.
• 특히 위너의 공격과 베르헤울-반틸버그의 공격을 포함한 RSA의 작은 비밀 지수에 대한 기존 암호 분석 공격을 향상시키는 것.
• 후보 해에 대한 유계를 더 강하게 설정하고 연속 분수의 구조를 활용함으로써 비밀 지수 d 복구의 계산 복잡도를 감소시키는 것.
• d가 n^0.25 略보다 약간 큰 경우에 RSA 모듈러스를 인수분해하기 위한 더 효율적인 알고리즘을 제공하는 것, 이를 통해 공격의 적용 범위를 확장하는 것.

제안 방법

• α의 연속 분수 전개의 수렴근을 이용해 |α − a/b| < c/b² 를 만족하는 모든 유리수 해 a/b의 특성화를 도출한다.
• 해는 비음이 아닌 정수 r, s에 대해 rs < 2c 를 만족할 때 (rp_{m+1} ± sp_m)/(rq_{m+1} ± sq_m) 형태를 가진다.
• 이 일반화된 bound를 RSA 식 ed ≡ 1 mod φ(n)에 적용하며, e/n 을 α로, k/d 를 유리수 근사로 간주한다.
• e/n의 연속 분수 전개를 이용해 후보 d 값들을 수렴근과 그 선형 조합에 해당하는 값들로 제한한다.
• r < a_{m+2}s 및 s ≤ s₁ 조건을 만족하는 r, s 쌍에 대한 검색을 수행하며, 여기서 s₁은 근사 오차와 연속 분수 항에 따라 결정된다.
• 디리클레의 약수 함수와 q_m, q_{m+1} 등의 추정치를 활용해 이러한 쌍의 수에 대한 유계를 설정하고 검색 공간을 제어한다.

실험 결과

연구 질문

• RQ1 임의의 c > 1에 대해 |α − a/b| < c/b² 형태의 bound를 다룰 수 있도록 레지오드르의 디오판틴스 근사 정리를 일반화할 수 있는가?
• RQ2 이 일반화된 근사 결과를 어떻게 RSA의 작은 비밀 지수에 대한 기존 공격을 향상시키는 데 적용할 수 있는가?
• RQ3 베르헤울-반틸버그 방법에 비해 후보 지수 d의 수가 약간 줄어든다 할 때의 渐近적 감소율은 얼마인가?
• RQ4 d 값이 n^0.25를 略 초과할 경우, 특히 보네-두르피의 경우 d < n^0.292일 때 실용적으로 새로운 공격은 어떻게 작동하는가?
• RQ5 새로운 방법에서 후보 쌍 rs의 수 대비 D²의 평균 및 최대 비율은 원래의 베르헤울-반틸버그 공격에 비해 각각 얼마인가?

주요 결과

• 새로운 공격에서 후보 쌍 (r,s)의 수는 D = d / n^{1/4} 및 A = 관련 연속 분수 항들에 대한 a_i의 최댓값일 때 O(D² log A)로 유계된다.
• d ∈ [1000, 1000000] 범위에서 min(rs, st, r's') / D² 의 평균 값은 0.8397이며, 이는 베르헤울-반틸버그 방법의 15.69에 비해 훨씬 낮다.
• 베르헤울-반틸버그 공격에서 rs/D² 의 최대값은 78,464.2에 이르지만, 새로운 방법은 해당 값을 4.026로 제한한다.
• d = 5936963 인 경우, 새로운 방법은 s = 12195, t = 77 를 사용해 정확한 d 를 찾는 데 성공했으며, 베르헤울-반틸버그 방법은 r = 219433 가 필요함을 확인하여 이론적 검색 공간 감소를 입증한다.
• d가 n^0.25를 초과하더라도 공격은 여전히 효율적이며, 특히 d < n^0.292일 경우 이전 방법보다 실용적인 향상을 제공한다.
• 새로운 방법은 베르헤울-반틸버그 공격의 O(D²A²) 복잡도에 비해 훨씬 더 강력한 유계를 확보하며, 이론적 복잡도는 O(D² log A)로 개선된다.