[논문 리뷰] MOBS (Matrices Over Bit Strings) public key exchange

Nael Mizanur Rahman, Vladimir Shpilrain|arXiv (Cornell University)|2021. 06. 02.

Cryptography and Data Security참고 문헌 6인용 수 6

한 줄 요약

이 논문은 행렬의 원소로 비트 스트링을 사용하고 덧셈과 곱셈 대신 불린 OR 및 AND 연산을 사용하는 새로운 공개 키 교환 프로토콜인 MOBS(Matrices Over Bit Strings)를 제안한다. 이는 치환군과의 준직접곱을 통해 표준 대수적 공격에 저항하며, 계산 복잡도가 낮고 강력한 보안을 확보한다. 이는 계산적 디피-헬먼 유사 가정에 기반하며 최적화 시 표준 하드웨어에서 1초 이내로 성능을 발휘한다.

ABSTRACT

We use matrices over bit strings as platforms for Diffie-Hellman-like public key exchange protocols. When multiplying matrices like that, we use Boolean OR operation on bit strings in place of addition and Boolean AND operation in place of multiplication. As a result, (1) computations with these matrices are very efficient; (2) standard methods of attacking Diffie-Hellman-like protocols are not applicable.

연구 동기 및 목표

• 기존 디피-헬먼 프로토콜을 대상으로 하는 표준 대수적 공격에 저항하는 새로운 공개 키 교환 프로토콜을 설계하기.
• 실용적인 키 교환을 위해 비트 스트링에서의 불린 연산의 계산 효율성을 활용하기.
• 행렬 거듭제곱의 동역학에서 발생하는 짧은 궤도 문제를 치환 기반의 가림 기법을 도입하여 해결하기.
• 비결합성과 비환(non-ring) 세미링 환경에서 계산적 디피-헬먼 문제와 유사한 보안 가정을 설정하기.
• 최종 공유 키가 입력 행렬이 무작위로 생성되었을 때 통계적으로 랜덤과 구분하기 어려운 0비트 비중을 가지며, 이는 타당한 가정 하에 안전함을 입증하기.

제안 방법

• 행렬의 크기가 $ n \times n $이고 원소는 고정 길이 $ k $의 비트 스트링인 행렬을 사용하며, 덧셈 대신 불린 OR, 곱셈 대신 불린 AND를 사용한다.
• 이러한 연산을 사용해 행렬 곱셈을 수행하며, 덧셈의 역원이 없기 때문에 이는 링이 아닌 세미군(groupoid)을 이룬다.
• 행렬 세미군과 대칭군 $ S_k $ 사이에 준직접곱을 구성하며, 치환은 비트 스트링 원소에 작용하여 행렬의 구조를 은폐한다.
• 공유 비밀 키는 $ K = h^{a+b-1}(M) \cdot h^{a+b-2}(M) \cdots h(M) \cdot M $로 계산되며, $ h $는 치환에 의해 유도된 행렬 변환이다.
• 보안은 행렬 방정식 $ X \cdot A = B $ 에서 $ X $ 를 푸는 것이 불가능하다는 데 기반하며, 비트 스트링 세미링에서의 유일성 부재로 인해 여러 해가 존재할 경우 특히 그렇다.
• 이 프로토콜은 파이썬으로 구현되었으며, 최적화 시 표준 하드웨어에서 1초 이내로 실행되며, 산술 연산 대신 불린 연산을 사용함으로써 높은 계산 효율성을 확보한다.

실험 결과

연구 질문

• RQ1 단일 비트 원소를 가진 $ n \times n $ 행렬에 대해 궤도 $ \{M^s \mid s \in \mathbb{Z}_+\} $ 에서의 최대 서로 다른 행렬 수는 얼마인가?
• RQ2 불린 연산 하에서 행렬 거듭제곱의 동역학은 어떻게 행동하는가? 실제로 일반적인 궤도는 얼마나 짧은가?
• RQ3 치환군과의 준직접곱이 선형 대수 기반 공격으로부터 행렬 기반 키 교환 프로토콜을 효과적으로 방어할 수 있는가?
• RQ4 최종 공유 키에서 0과 1 비트의 분포는 어떠한가? 입력 행렬이 무작위로 생성되었을 때 통계적으로 랜덤과 구분하기 어려운가?
• RQ5 공개 행렬 $ A = h^a(M) $ 와 $ B = h^b(M) $ 로부터 공유 키를 복구하는 것은 계산적으로 불가능한가? 특히 방정식 $ h(A) \cdot M = h^a(M) \cdot A $ 가 여러 해를 가질 경우에도 마찬가지인가?

주요 결과

• 단일 비트 원소를 가진 $ 3 \times 3 $ 행렬의 경우, 모두 1인 행렬 $ U $ 로 수렴하는 데까지 최대 4단계의 궤도가 있으며, 이에 해당하는 행렬이 총 6개 존재한다.
• $ 4 \times 4 $ 행렬의 경우 최대 궤도 길이는 9단계이며, 이 길이에 도달하는 행렬이 24개 존재한다.
• $ 5 \times 5 $ 행렬의 경우 $ U $ 로 도달하기까지 최대 16단계의 궤도가 있으며, 이에 해당하는 행렬은 120개 존재한다.
• 입력 비트가 '1'일 확률이 0.5일 때 최종 공유 키 $ K $ 의 약 67% 비트가 0으로 구성되지만, 입력 확률를 약 0.535로 조정하면 이 비율을 50%로 균형을 맞출 수 있다.
• 다중 해가 존재하기 때문에 '테스코핑' 공격에 대해 안전하며, 비트 스트링 길이 $ k $ 에 대해 $ 2^k $ 개의 해가 존재하므로 $ k = 200 $ 일 경우 전수 탐색은 계산적으로 불가능하다.
• 최적화 시 표준 데스크톱 컴퓨터에서 프로토콜이 1초 이내로 실행되며, 산술 연산 대신 불린 연산을 사용함으로써 높은 계산 효율성을 입증한다.