[논문 리뷰] On the security of subspace subcodes of Reed-Solomon codes for public key encryption

Alain Couvreur, Matthieu Lequesne|arXiv (Cornell University)|2020. 09. 12.

Coding theory and cryptography참고 문헌 49인용 수 13

한 줄 요약

이 논문은 확장 차수의 절반을 초월하는 차수를 가진 Reed-Solomon 코드의 부분공간 하위코드에 대해 다항시간 구별자(distinguisher)를 제안한다. 이는 새로운 연산인 ' twisted square product '을 사용하며, 이는 McEliece 유사 암호화 체계의 보안을 붕괴시킨다. 특히 λ=2, m=3와 같은 매개변수에서 기밀 키를 효율적으로 복구할 수 있으며, λ > m/2일 경우 이러한 코드는 보안이 확보되어 있지 않음을 입증한다.

ABSTRACT

This article discusses the security of McEliece-like encryption schemes using subspace subcodes of Reed-Solomon codes, i.e. subcodes of Reed-Solomon codes over $\\mathbb{F}_{q^m}$ whose entries lie in a fixed collection of $\\mathbb{F}_q$-subspaces of $\\mathbb{F}_{q^m}$. These codes appear to be a natural generalisation of Goppa and alternant codes and provide a broader flexibility in designing code based encryption schemes. For the security analysis, we introduce a new operation on codes called the twisted product which yields a polynomial time distinguisher on such subspace subcodes as soon as the chosen $\\mathbb{F}_q$-subspaces have dimension larger than $m/2$. From this distinguisher, we build an efficient attack which in particular breaks some parameters of a recent proposal due to Khathuria, Rosenthal and Weger.

연구 동기 및 목표

• Reed-Solomon 코드의 부분공간 하위코드를 기반으로 하는 McEliece 유사 공개키 암호화 체계의 보안을 분석하는 것.
• 이러한 코드에서 효율적인 키 복구 공격을 가능하게 하는 구조적 약점을 규명하는 것.
• 완전한 GRS 코드(기존에 보안이 깨진 것으로 알려짐)와 부분체 하위코드(즉, 알터너트 코드로 간주되며 안전한 것으로 여겨짐) 사이의 보안 격차를 메우기 위해 중간 케이스를 분석하는 것.
• 더 짧은 키를 위해 구조화된 부분공간 하위코드를 사용하는 최근의 제안 사례인 XGRS의 보안을 평가하는 것.
• 현재 공격이 적용되지 않는 λ ≤ m/2인 부분공간 하위코드에 대해 구별 가능성과 키 복구의 한계를 규명하는 것.

제안 방법

• 부분공간 하위코드를 무작위 코드와 구별할 수 있는 새로운 대수적 도구로 'twisted square product' 연산을 도입한다.
• λ > m/2일 경우, 부분공간 하위코드의 twisited square가 무작위 코드에 비해 예상보다 훨씬 낮은 차수를 가지며, 이를 증명한다.
• 차수의 불일치를 구별자로 활용하여 코드가 무작위가 아님을 식별하고, 이는 후속 암호 분석을 가능하게 한다.
• 정확한 기저가 얻어지면 낮은 차수의 코드가 생성된다는 사실을 활용해 '추측하고 압축하는(guess and squeeze)' 알고리즘을 적용한다.
• 코드를 단축시켜 차수를 줄이고, 최소한의 차수 1을 갖는 코드를 분리한다. 이는 원래의 구조를 복구하는 데 사용된다.
• 구별자와 압축 기법을 반복적으로 사용하여 각 블록의 기저를 단계적으로 복구함으로써 기밀 키를 재구성한다.

실험 결과

연구 질문

• RQ1 λ > m/2인 Reed-Solomon 코드의 부분공간 하위코드는 다항시간 내에 무작위 코드와 구별될 수 있는가?
• RQ2 twisted square product 연산은 이러한 코드를 사용하는 McEliece 유사 체계에 대해 실용적인 키 복구 공격을 가능하게 하는가?
• RQ3 이 새로운 구별자와 공격에 의해 XGRS 체계의 보안은 어느 정도 붕괴되는가?
• RQ4 이러한 유사한 부분공간 하위코드 구조를 사용하는 다른 코드 계열에 대해 이 공격을 일반화할 수 있는가?
• RQ5 현재의 구별자가 적용되지 않는 λ ≤ m/2인 부분공간 하위코드의 보안 상태는 어떠한가?

주요 결과

• λ > m/2일 경우, twisted square product 연산을 통해 Reed-Solomon 코드의 부분공간 하위코드에 대해 다항시간 구별자가 가능하다.
• 구별자는 무작위 코드에 비해 twisted square 코드의 차수에 급격한 감소가 발생함을 이용하며, 이는 다항시간 내에 감지 가능하다.
• 이 공격은 이전에 안전하다고 여겨졌던 매개변수 λ=2, m=3에서 XGRS 체계를 해독한다.
• 키 복구 공격의 복잡도는 F_q에서 O(q^{2m(m−1)} + nq^{m(m−1)})의 연산을 필요로 하며, 작은 m과 q에 대해서는 실현 가능하다.
• 기저가 단순한 형태(예: (1,γ,…,γ^{m−1}))일 경우 최적화가 가능하여 복잡도가 O(q^{2m} + nq^m)로 감소한다.
• 이 방법은 스케일링을 제외한 기밀 코드를 복구할 수 있으며, 이를 바탕으로 기존의 Sidelnikov-Shestakov 공격을 적용할 수 있다.