[논문 리뷰] Linear decomposition attack on public key exchange protocols using semidirect products of (semi)groups

В. А. Романьков|arXiv (Cornell University)|2015. 01. 06.

Geometric and Algebraic Topology참고 문헌 7인용 수 12

한 줄 요약

이 논문은 유한체 위의 행렬 반군을 사용하는 반군의 반직접곱 기반 비가환 키 교환 프로토콜에 대한 다항식 시간 결정론적 선형 분해 공격을 제시한다. 플랫폼 군의 선형 대수적 구조와 그 내부 동형사상의 성질을 이용하여, 기반 알고리즘 문제를 풀지 않고도 공유 비밀 키를 복원함으로써, 이러한 프로토콜이 플랫폼 군에 효율적인 선형 표현을 갖는 경우에 안전하지 않음을 입증한다.

ABSTRACT

We show that a linear decomposition attack based on the decomposition method introduced by the author works by finding the exchanged secret keys in all main protocols using semidirect products of (semi)grops proposed by Kahrobaei, Shpilrain, Habeeb, Koupparis and Lam.

연구 동기 및 목표

• 반직접곱의 반군 기반 두 주요 비가환 키 교환 프로토콜이 선형 분해 공격에 의해 뚫릴 수 있음을 보여주기 위해.
• 이러한 프로토콜의 보안이 공유 비밀 키를 복원하기 위해 기반 알고리즘 문제(예: 공轭 또는 인수분해 문제)를 풀어야 하는 것이 아니라, 선형 대수 기법을 통해 쉽게 뚫릴 수 있음을 보여주기 위해.
• 공개 정보와 선형 대수학만을 사용하여 공유 비밀 키를 직접 복원하는 실용적이고 결정론적이며 다항식 시간 공격을 제공하기 위해.
• 특히 내부 동형사상의 선형 표현이 가능한 갈로아 체 위의 행렬 반군을 사용하는 프로토콜의 취약성을 분석하기 위해.
• 선형 대수 공격에 대비하기 위해 의도적으로 수정된 프로토콜조차도 개선된 선형 분해 접근법에 의해 여전히 취약함을 보여주기 위해.

제안 방법

• 플랫폼 군 $ G $ 가 체 $ \bbF $ 위의 유한차원 대수의 곱셈 부분군임을 이용하여 선형 대수 기법을 적용할 수 있도록 한다.
• 가우스 소거법을 사용하여 $ W = \mathrm{Sp}_\bbF(\{ H^k (HM)^l \}) $ 의 기저 $ \f{e}_1, \dots, \f{e}_t $ 를 계산한다. 여기서 $ H, M $ 은 유한체 위의 행렬이다.
• 행렬 $ HM $ 의 영공간(annihilator space) $ U $ 를 구성한다. 이는 $ A \cdot HM = 0 $ 를 만족하는 행렬 $ A $ 들의 집합이며, $ Z = W + U $ 의 기저를 찾는다.
• 공개된 값 $ a_m + R $ 과 $ a_n + S $ 을 $ Z $ 의 기저에 대한 선형 조합으로 표현하며, 계수는 체 $ \bbF $ 에서 취한다.
• 행렬 연산을 통해 공유 키 $ a_{m+n} = H^{-(m+n)}(HM)^{m+n} $ 를 선형 조합에서 재구성한다. 이 과정에서 $ m $ 또는 $ n $ 을 복원하지 않아도 된다.
• 각 단계에서 선형 방정식계를 해결하기 위해 결정론적 가우스 소거법을 적용하여 공격이 효율적이고 재현 가능함을 보장한다.

실험 결과

연구 질문

• RQ1 반직접곱 기반 비가환 키 교환 프로토콜에서 기반 알고리즘 문제를 풀지 않고도 공유 비밀 키를 복원할 수 있는가?
• RQ2 플랫폼 군과 그 내부 동형사상의 선형성은 이러한 프로토콜의 보안을 어느 정도 약화시키는가?
• RQ3 [4]에서 제안한 프로토콜 변형에서 영공간 행렬 $ R, S $ 이 선형 대수 공격을 효과적으로 방지하는가?
• RQ4 공개 데이터와 선형 대수 분해만을 사용하여 결정론적이고 다항식 시간 공격을 구성할 수 있는가?
• RQ5 비밀 지수 $ m, n $ 을 계산하지 않더라도, 군 대수 내의 선형 종속성 구조를 이용하여 공유 키를 복원할 수 있는가?

주요 결과

• 플랫폼 군이 유한체 위의 선형 표현을 갖는 한, 선형 분해 공격은 [3]과 [4]의 두 주요 프로토콜을 다항식 시간 내에 뚫을 수 있다.
• 공격은 공轭 문제나 인수분해 문제를 풀 필요 없이, 선형 대수 기반 분해를 통해 직접 공유 비밀 키를 복원한다.
• [4]에서 제안한 수정된 프로토콜조차도, 개선된 선형 분해 방법에 의해 여전히 취약하다.
• 공격은 결정론적이며, 선형 시스템을 해결하기 위해 가우스 소거법만을 사용하므로 재현 가능하고 효율적이다.
• 공유 키 $ a_{m+n} $ 는 행렬의 역행렬을 계산하지 않고도 $ W $ 와 $ U $ 의 기저 표현을 사용하여 공개된 값 $ a_m + R $, $ a_n + S $ 에서 재구성할 수 있다.
• 예를 들어 [3]의 원본 및 [4]의 수정된 프로토콜에서처럼 $ \bbF_7 $ 위의 행렬 반군을 플랫폼으로 사용할 경우, 공격은 실용적이다.