[논문 리뷰] Design and Implementation of a Digital Signature Scheme Based on Low-density Generator Matrix Codes

Marco Baldi, Alessandro Barenghi외 5명|arXiv (Cornell University)|2018. 07. 16.

Coding theory and cryptography참고 문헌 18인용 수 3

한 줄 요약

이 논문은 저밀도 생성행렬(LDGM) 코드를 기반으로 한 후양자기 디지털 서명 스킴인 LEDAsig를 제안한다. 이 스킴은 높은 효율성과 컴팩트한 키를 제공하며, 키 생성, 서명, 검증을 위한 최적화된 알고리즘을 도입한다. 또한 고전적 및 양자 공격에 대한 철저한 보안 추정을 제공하여 장기적 보안을 위한 새로운 파라미터 선택을 가능하게 하며, 공개 구현을 통해 성능 기준을 설정한다.

ABSTRACT

In this paper we consider a post-quantum digital signature scheme based on low-density generator matrix codes and propose efficient algorithmic solutions for its implementation. We also review all known attacks against this scheme and derive closed-form estimates of their complexity when running over both classical and quantum computers. Based on these estimates, we propose new parametrization for the considered system to achieve given pre-quantum and post-quantum security levels. Finally, we provide and discuss performance benchmarks obtained through a suitably developed and publicly available reference implementation of the considered system.

연구 동기 및 목표

• 고전적 및 양자 공격에 저항하는 효율적인 후양자기 디지털 서명 스킴을 설계하기 위해.
• 이전의 코드 기반 서명 스킴의 한계, 즉 높은 복호화 복잡도와 통계적 키 복구 공격에 대한 취약성을 해결하기 위해.
• 사전 양자 및 후양자기 위협 모델 모두에서 장기적 보안을 보장하는 새로운 파라미터 세트를 제공하기 위해.
• 최적화된 알고리즘을 활용해 LEDAsig를 구현하고 벤치마킹하여 실용적 구현을 위해.
• 모든 알려진 공격의 복잡도를 분석하고 추정하기 위해, 최근의 통계적 및 양자 최적화 공격을 포함한 모든 공격에 대해.

제안 방법

• 스킴은 비밀의 순환 저밀도 생성행렬(QC-LDGM) 코드와 이를 바탕으로 유도된 공개 순환(QC) 코드를 사용하며, 이는 심호드 복호화를 통한 효율적인 서명 생성을 가능하게 한다.
• 오직 저중량 심호드만 사용하는 희소 심호드 복호화 문제(sparse SDP)를 활용하며, 이는 전체 복호화가 필요로 하지 않고 벡터 조작으로 복호화를 단순화한다.
• 공개 함수 $\mathcal{F}_{\Theta}$ 는 메시지 해시를 길이 $r$ 이며 무게 $w \ll r$ 인 저중량 벡터 $s$ 로 매핑하며, 이는 공개 심호드를 형성한다.
• 무작위 무게 $w_c$ 를 가진 코드어 $c$ 를 사용해 서명을 마스킹하며, 공격자는 비밀 지지 집합에 설정된 비트와 무작위 비트를 구분할 수 없다.
• 보안 분석은 통계적 키 복구의 확률 추정을 위한 닫힌 형태의 표현식을 유도하며, 비트 구분 가능성 모델링을 위해 $P_I(w_L, w_c)$ 와 $P_J(w_L, w_c)$ 를 사용한다.
• 공격 복잡도는 식 (70)의 반복 적용과 함께 $P_{\land}(r, \{s_1,\dots,s_L\}, w_L)$ 를 결합하여 통계적 키 복구 성공 확률($P_{\text{SIA}}$)을 계산한다.

실험 결과

연구 질문

• RQ1 기존의 공격, 특히 양자 최적화 공격에 저항하는 동시에 효율적인 코드 기반 디지털 서명 스킴을 어떻게 설계할 수 있는가?
• RQ2 클래식 및 양자 계산 모델 하에서, LDGM 기반 서명에 대한 알려진 공격의 정확한 계산 복잡도는 무엇인가? 이는 통계적 및 양자 공격을 포함한다.
• RQ3 시스템 파라미터를 어떻게 재파rametrization하여 장기적 보안을 확보하면서도 높은 성능을 유지할 수 있는가?
• RQ4 실제로 이 스킴의 성능은 어떠한가? 기존의 코드 기반 서명 스킴과 비교해 볼 때 어떻게 다른가?
• RQ5 정교한 파라미터 선택과 마스킹 기법을 통해 통계적 사이드 채널 분석을 어떻게 완화할 수 있는가?

주요 결과

• 이 스킴은 임베디드 하드웨어에서 초당 약 60,000개의 서명을 생성하는 데 성공하여, 공개 문헌상에서 가장 빠른 코드 기반 서명 스킴 중 하나이다.
• 저자들은 통계적 공격에서 비트 구분 가능성의 확률에 대해 닫힌 형태의 표현식을 유도하였으며, 이는 키 복구 성공률의 정밀 추정을 가능하게 한다.
• 클래식 및 양자 공격 복잡도를 분석함으로써, 128비트 클래식 보안 수준과 128비트 후양자기 보안 수준을 확보하는 데 성공한 새로운 파라미터 세트를 제안한다.
• 서명 수 $L$ 를 늘리고 $w_L$, $w_c$, 그리고 코드 파라미터를 철저히 선택함으로써 통계적 키 복구의 성공 확률이 크게 감소한다.
• LEDAsig의 참조 구현은 공개되어 있어 재현 가능한 성능 벤치마킹과 향후 연구를 가능하게 한다.
• 분석 결과, 제어된 무게 $w_c$ 를 가진 무작위 코드어 $c$ 의 사용이 비밀 구조의 통계적 누출을 효과적으로 차단함을 보여준다.