[논문 리뷰] Defeating the Kalka--Teicher--Tsaban linear algebra attack on the Algebraic Eraser

Dorian Goldfeld, Paul E. Gunnells|arXiv (Cornell University)|2012. 02. 03.

Cryptography and Data Security참고 문헌 2인용 수 3

한 줄 요약

이 논문은 알제브라익스체인지 프로토콜의 컬러드 버우 키 협의 프로토콜(CBKAP)에서 비밀 키를 생성하는 데 사용되는 행렬을 신중히 선택하여 칼카–티처–츠반의 선형대수 공격에 대비하는 대응 조치를 제안한다. 공개된 데이터에서 유도된 특정 행렬에 대한 다항식으로 비밀 키를 구성함으로써, 공격 방정식이 매우 큰 해 공간을 갖게 하여 비밀 키 복구가 계산적으로 불가능하게 만든다. 주요 기여는 저자원 환경(예: RFID 시스템)에 적합한 특성과 함께 실용적이고 효율적인 방어 조치를 제공한다는 점이다.

ABSTRACT

The Algebraic Eraser (AE) is a public key protocol for sharing information over an insecure channel using commutative and noncommutative groups; a concrete realization is given by Colored Burau Key Agreement Protocol (CBKAP). In this paper, we describe how to choose data in CBKAP to thwart an attack by Kalka--Teicher--Tsaban.

연구 동기 및 목표

• 비밀 키 행렬의 구조적 관계를 악용하는 칼카–티처–츠반(KTT) 선형대수 공격에 취약한 알제브라익스체인지 프로토콜의 취약성을 해결하기 위해.
• 칼카–티처–츠반 방법으로 인해 발생하는 공격 표면을 제거하면서도, 컬러드 버우 키 협의 프로토콜(CBKAP)의 효율성과 저자원 환경 적합성을 유지하기 위해.
• 핵심 프로토콜 아키텍처를 변경하거나 계산 오버헤드를 증가시키지 않고도 공격을 효과적으로 방지할 수 있는 실용적이고 결정적인 키 생성 방법을 제공하기 위해.

제안 방법

• 신뢰할 수 있는 제3자(TTP)는 보브의 모노이드 B의 생성자들 중에서 가짜 요소 (β,1)를 선택하고, 계수 cℓ ∈ 𝔽를 사용하여 행렬 m = ∑cℓ·Π(β)ℓ를 계산한다.
• TTP는 행렬 m을 공개하고, 비밀 키 모노이드를 NA = NB = 𝔽[m]로 정의한다. 여기서 𝔽[m]은 유한체 𝔽의 계수를 갖는 m에 대한 모든 다항식의 집합이다.
• 앨리스와 보브는 m에 대한 임의의 다항식으로서 na와 nb를 생성하여, 공격의 해 공간에 속한 모든 원소와 교환 가능하게 한다.
• 이 구성은 nb·∑wℓ·mℓ 형식의 임의의 행렬이 공격 방정식을 만족함을 보장하며, 이는 계산적으로 복구가 불가능할 정도로 큰 해 공간을 형성한다.
• 이 방법은 공격 방정식 (3)과 (4)가 진정한 비밀 키 외에도 다수의 행렬에 의해 만족됨을 이용하며, 이는 유일한 식별을 방지한다.
• 이 방어 조치는 계산 비용이 낮고 프로토콜의 공개 키 교환 메커니즘을 변경하지 않기 때문에 RFID 응용 분야와도 호환된다.

실험 결과

연구 질문

• RQ1 계산 비용을 증가시키거나 효율성을 저하시키지 않고도 알제브라익스체인지 프로토콜의 칼카–티처–츠반 선형대수 공격를 무력화할 수 있는가?
• RQ2 비밀 키 공간에서 어떤 행렬 구성이 공격의 연립방정식의 해 공간을 너무 크게 만들어 해를 구하기 어려운 상태로 만들 수 있는가?
• RQ3 신뢰할 수 있는 제3자가 공개 데이터를 생성하여 안전한 키 생성을 가능하게 하면서도 프로토콜이 저자원 장치에 적합한 특성을 유지할 수 있는가?
• RQ4 공격을 방지할 수 있는 구조를 도입하면서도, 부분모노이드 간의 E-교환 성질을 유지할 수 있는가?

주요 결과

• 제안된 방법은 공격에서 유도된 연립방정식의 해 공간이 유한체 크기의 지수함수 비례로 증가함을 보장함으로써, 칼카–티처–츠반 공격를 효과적으로 무력화한다. 이는 비밀 키의 유일한 복구가 계산적으로 불가능하게 만든다.
• 브레이드 군 생성자에 대한 군 작용에서 유도된 공개 행렬 m에 대한 다항식으로 생성된 비밀 키는 공격 방정식을 모두 만족하지만, 진짜 비밀 키를 유일하게 식별하지는 못한다.
• 이븐이 많은 가짜 요소 (α,e) ∈ A를 생성할 수 있어도 이는 모두 동일한 큰 해 집합을 유도하므로, 진짜 비밀 키에 대한 유용한 정보를 제공하지 못한다.
• 이 방법은 프로토콜의 효율성을 유지하며, 계산 오버헤드가 낮은 실세계 응용 분야(예: RFID 시스템)와도 호환된다.
• 공격 방정식 (3)과 (4)는 wℓ ∈ 𝔽인 임의의 행렬 nb·∑wℓ·mℓ 형식의 모든 행렬에 의해 만족되며, 이는 m의 최소다항식의 차수와 같은 차원을 갖는 벡터공간을 형성하므로, 비밀 키 복구 시도를 둔탁하게 만든다.