[논문 리뷰] Imprimitive permutations groups generated by the round functions of key-alternating block ciphers and truncated differential cryptanalysis

A. Caranti, Francesca Dalla Volta외 2명|ArXiv.org|2006. 06. 01.

Coding theory and cryptography참고 문헌 9인용 수 6

한 줄 요약

이 논문은 키-교환 블록 암호에서 라운드 함수로 생성된 군의 모든 블록 체계는 선형 부분공간의 코셋 체계여야 하며, 비선형의 불가분 블록은 존재할 수 없음을 증명한다. 이는 구조적 공격에 대한 강력한 보안을 보장한다. 논문은 잘린 미분 암호분석과의 직접적인 연결을 수립하고, 군이 메시지 공간 위에서 원시적으로 작용하기 위한 충분조건을 제시하며, 이 조건은 AES에 대해 성립함을 보여준다.

ABSTRACT

We answer a question of Paterson, showing that all block systems for the group generated by the round functions of a key-alternating block cipher are the translates of a linear subspace. Following up remarks of Paterson and Shamir, we exhibit a connection to truncated differential cryptanalysis. We also give a condition that guarantees that the group generated by the round functions of a key-alternating block cipher is primitive. This applies in particular to AES.

연구 동기 및 목표

• 키-교환 블록 암호에서 비선형의 불가분 블록이 존재할 수 있는지에 대한 키퍼스 페터슨의 미해결 질문을 해결하기 위해.
• 불가분 군 작용과 잘린 미분 암호분석 사이의 개념적 연결을 수립하기 위해.
• 라운드 함수로 생성된 군이 메시지 공간 위에서 원시적으로 작용하기 위한 충분조건을 제공하기 위해.
• 이 조건이 AES에서 성립함을 보여주어, 그 군 작용이 원시적이며 따라서 특정 구조적 공격에 저항됨을 시사하기 위해.

제안 방법

• 군 작용 이론을 사용: 임의의 $G$-불변 분할(블록 체계)은 $G_{\alpha} < H < G$ 를 만족하는 부분군 $H$ 와 일대일 대응됨을 보임. 여기서 $G_{\alpha}$ 는 안정자이다.
• 라운드 함수로 생성된 군 $G = \langle \rho\sigma_k : k \in V \rangle$ 의 구조를 분석함. 여기서 $\rho$ 는 고정된 치환이고 $\sigma_k$ 는 키 추가 연산이다.
• T = \{ \sigma_v : v \in V \} 는 $\operatorname{Sym}(V)$ 에서의 기본 아벨 정규부분군이므로 $G = \langle T, \rho \rangle$ 라고 표현할 수 있음.
• 상태 공간 $V$ 를 부분공간 $V_i$ 로 분해하고, $\gamma = \rho \lambda^{-1}$ 이 이 구성요소들 위에서 작용하는 방식을 연구함.
• 각 $i$ 에 대해, $x \mapsto (x + v)\gamma_i + x\gamma_i$ 의 이미지 크기가 $> 2^{m - r - 1}$ 이며, $0 \neq v \in V_i$ 에 대해 모든 경우에 대해 성립하고, $\gamma_i$-불변 부분공간 중 임계 차원 $\leq r$ 인 것이 존재하지 않는 조건을 적용함.
• 후아의 항등식을 적용하여, $\mathbf{GF}(2^n)$ 의 덧셈 부분군 중 역원에 대해 닫혀 있는 것은 부분체임을 보이고, 이는 $U = U\lambda$ 이면 $U$ 가 부분체임을 보여주며, $U$ 가 진부분공간이면서 비자명할 경우 모순이 발생함을 증명함.

실험 결과

연구 질문

• RQ1 페터슨의 질문에 따라, 키-교환 블록 암호에서 비선형의 불가분 블록이 존재할 수 있는가?
• RQ2 불가분 군 작용과 잘린 미분 암호분석 사이에 구조적 연결이 존재하는가?
• RQ3 라운드 함수로 생성된 군이 메시지 공간 위에서 원시적으로 작용하기 위한 조건은 무엇인가?
• RQ4 AES의 라운드 함수 구조를 고려할 때, 제안된 원시성 조건이 성립하는가?

주요 결과

• 키-교환 블록 암호에서 라운드 함수로 생성된 군의 모든 불가분 블록은 선형 부분공간의 코셋이어야 하며, 비선형 블록은 불가능하다.
• 블록 체계의 존재는 $G$-불변 분할과 대응되며, 이러한 분할은 $G_{\alpha} < H < G$ 를 만족하는 부분군 $H$ 와 일대일 대응된다.
• 논문은 블록 체계의 존재와 잘린 미분 암호분석 사이의 직접적 연결을 수립하였으며, 이는 차이 공간 $U$ 가 라운드 함수에 의해 유지됨을 의미한다.
• 원시성에 대한 충분조건을 제시: 만약 라운드 함수 $\rho$ 가 차이 맵의 이미지 크기 조건과 작은 불변 부분공간의 부재 조건을 만족하면, $G$ 는 원시적으로 작용한다.
• AES의 경우 $n_b = 128$, $m = 8$, $r = 3$ 이고, 조건 $m > 2r$ 가 성립함 ($8 > 6$), 그리고 필요한 이미지 크기 조건도 만족하므로, 그 라운드 함수로 생성된 군은 원시적으로 작용한다.
• 증명은 만약 $U$ 가 진부분공간이면서 비자명한 $G$-불변 부분공간이라면 $U = U\lambda$ 이며, 이는 $U$ 가 부분체임을 의미하며, 이는 최대성 조건을 위반함을 보여주며, 따라서 $U = \{0\}$ 또는 $U = V$ 이외에는 성립하지 않음을 증명함으로써 원시성을 입증한다.