[논문 리뷰] Lack of Unique Factorization as a Tool in Block Cipher Cryptanalysis

Nicolas T. Courtois, Aidan Patrick|arXiv (Cornell University)|2019. 05. 12.

Coding theory and cryptography참고 문헌 21인용 수 4

한 줄 요약

이 논문은 다변수 부울 다항식환에서의 유일인수분해의 부재에 기반하여 블록 암호에 대한 새로운 대수적 공격 방법을 제안한다. 비유일인수분해를 활용해 복잡한 다항식 불변량을 구성함으로써, 일곱 개인선형다항식의 곱으로 이루어진 차수 7의 불변량을 생성함으로써, 이전까지 알려지지 않았던 비선형적이고 주기적인 불변량 공격을 100% 확률로 적용 가능하게 하여, 블록 암호의 대칭암호 분석 분야의 전반적인 풍경을 근본적으로 변화시킨다.

ABSTRACT

Linear (or differential) cryptanalysis may seem dull topics for a mathematician: they are about super simple invariants characterized by say a word on n=64 bits with very few bits at 1, the space of possible attacks is small, and basic principles are trivial. In contract mathematics offers an infinitely rich world of possibilities. If so, why is that cryptographers have ever found so few attacks on block ciphers? In this paper we argue that black-box methods used so far to find attacks in symmetric cryptography are inadequate and we work with a more recent white-box algebraic methodology. Invariant attacks can be constructed explicitly through the study of roots of the so-called Fundamental Equation (FE). We also argue that certain properties of the ring of Boolean polynomials such as lack of unique factorization allow for a certain type of product construction attacks to flourish. As a proof of concept we show how to construct a complex and non-trivial attack where a polynomial of degree 7 is an invariant for any number of rounds for a complex block cipher.

연구 동기 및 목표

• 풍부한 수학적 구조가 존재하는 바에도 불구하고 대칭암호에서 강력하고 비자명한 공격의 부족이라는 오랜 문제를 해결하기 위해.
• 선형 및 미분 암호분석과 같은 블랙박스 방법의 지배를 도전하기 위해 화이트박스 대수적 접근법을 옹호하기 위해.
• 다변수 부울 다항식환에서의 유일인수분해 부재가 복잡하고 비자명한 불변량 공격의 구현을 가능하게 한다는 것을 보여주기 위해.
• 다항식환의 흡수성 및 상쇄성 특성을 이용한 곱기반 다항식 등식을 통해 이러한 공격을 체계적으로 구성할 수 있다는 것을 보여주기 위해.
• 비유일인수분해를 비유일인수분해 영역에서 불가능한 이전에 이룰 수 없었던 불변량 공격의 핵심 요소로 규명함으로써, 대수적 암호분석의 새로운 연구 방향을 열기 위해.

제안 방법

• 저자들은 다항식 불변량을 정의하고 분석하기 위해 기본방정식(FE)을 사용하며, 모든 라운드에 걸쳐 변화하지 않는 불변량에 초점을 맞춘다.
• 다섯 개의 선형 부울 다항식의 곱으로 이루어진 차수 7의 다항식 불변량을 구성함으로써, 다항식환 $ B_n $ 내에서 비유일인수분해를 통해 두 개의 서로 다른 인수분해가 동일하다는 것을 보장한다.
• 이 방법은 SAGE를 이용한 형식적 대수적 검증에 의존하며, 불변량 다항식 $ \mu $와 유도된 표현 $ f $의 곱이 항등적으로 0임을 보여, 불변량이 성립함을 증명한다.
• 흡수성 특성을 활용한다: $ Y $ 및 $ W $ 와 같은 항들은 $ \mu $에 의해 곱해지므로 제거된다.
• 기호 계산을 통한 공격 검증을 통해, 입력과 출력 다항식의 XOR이 모든 입력에 대해 0으로 소멸함을 확인함으로써, 불변량이 보편적으로 성립함을 증명한다.
• 이 접근법은 특정 암호에 국한되지 않고 일반화 가능하며, 변수 A–H의 정확한 정의에 의존하지 않고 오직 대수적 구조에 의존한다.

실험 결과

연구 질문

• RQ1 다변수 부울 다항식환에서의 비유일인수분해가 복잡하고 비자명한 다항식 불변량의 구현을 가능하게 할 수 있는가?
• RQ2 풍부한 수학적 구조가 존재하는 바에도 불구하고, 선형 및 미분 암호분석과 같은 전통적인 블랙박스 암호분석 방법이 더 강력한 공격을 발견하지 못한 이유는 무엇인가?
• RQ3 간단한 선형 성분으로 분해되지 않는 불변량 공격을 설계할 수 있으며, 어떻게 이를 체계적으로 구성할 수 있는가?
• RQ4 다항식환의 흡수성 및 상쇄 현상은 고차수의 주기적 불변량이 확률 1로 존재하게 하는 데 어떻게 기여하는가?
• RQ5 다변수 부울다항식환 $ B_n $ 의 어떤 구조적 성질이, 유일인수분해가 성립하지 않을 경우에만 가능한 비자명한 다항식 등식의 존재를 가능하게 하는가?

주요 결과

• 모든 라운드에 걸쳐 확률 1로 성립하는 새로운 차수 7의 다항식 불변량이 구현되었으며, 이는 이전까지 알려지지 않은 새로운 유형의 공격을 보여준다.
• 불변량은 일곱 개의 선형 부울 다항식의 곱으로 이루어져 있으며, SAGE를 이용한 형식적 검증을 통해 $ \mu \cdot f = 0 $ 임을 확인함으로써, 소멸자 성질이 확인되었다.
• 이 공격은 [14]에서 제시된 기존의 곱기반 공격과는 근본적으로 다름: 비순환적이고 비피어셸 구조이며, 더 높은 복잡도를 가짐.
• $ B_n $ 내에서의 유일인수분해 부재는 서로 다른 다항식 곱의 비자명한 등식을 가능하게 하며, 이는 유일인수분해 영역에서는 불가능한 일이다.
• 이 방법은 다항식 상쇄 및 흡수 현상이 이러한 불변량을 구성하는 데 중심적인 역할을 한다는 것을 드러내며, 암호분석의 새로운 대수적 기초를 제안한다.
• 저자들은 고차수 불변량(예: 차수 12)이 실제 세계의 암호를 해독하는 데 필요할 수 있으며, 고차수에서의 단계 전이 현상이 점점 더 강력한 공격을 낳을 수 있다고 추측한다.