[논문 리뷰] Pseudorandom number generation by $p$-adic ergodic transformations

Vladimir Anashin|arXiv (Cornell University)|2004. 01. 29.

Chaos-based Image/Signal Encryption참고 문헌 21인용 수 12

한 줄 요약

이 논문은 $p$-진 에르고딕 변환, 특히 $2^n$ 모듈로 기반으로 한 새로운 종류의 카운터 의존성 허위난수 생성기를 소개한다. 이 생성기는 최대 주기 길이, $k$-튜플의 균일 분포, 높은 선형 복잡도, 강력한 암호학적 보안성을 달성한다. 생성기는 표준 기계 명령어에서 유도된 키 의존성이고 구성 기반의 상태 및 출력 함수를 사용하며, 타당한 일방 함수 추측에 기반해 알려진 평문 공격에 대해 증명 가능하게 보안된다.

ABSTRACT

The paper study counter-dependent pseudorandom generators; the latter are generators such that their state transition function (and output function) is being modified dynamically while working: For such a generator the recurrence sequence of states satisfies a congruence $x_{i+1}\equiv f_i(x_i)\pmod{2^n}$, while its output sequence is of the form $z_{i}=F_i(u_i)$. The paper introduces techniques and constructions that enable one to compose generators that output uniformly distributed sequences of a maximum period length and with high linear and 2-adic spans. The corresponding stream chipher is provably strong against a known plaintext attack (up to a plausible conjecture). Both state transition function and output function could be key-dependent, so the only information available to a cryptanalyst is that these functions belong to some (exponentially large) class. These functions are compositions of standard machine instructions (such as addition, multiplication, bitwise logical operations, etc.) The compositions should satisfy rather loose conditions; so the corresponding generators are flexible enough and could be easily implemented as computer programs.

연구 동기 및 목표

• 동적으로 변화하는 상태 및 출력 함수를 갖는 카운터 의존성 허위난수 생성기를 설계하여 최대 주기와 균일 분포를 유지한다.
• 암호학적 강건성을 확보하기 위해 높은 선형 복잡도와 $2$-진 스팬을 확보한다.
• 알려진 평문 공격에 대해 증명 가능하게 보안된 스트림 암호를 구축한다.
• 표준 기계 명령어(덧셈, XOR, 시프트 등)를 사용해 탄력적이고 효율적인 구현을 가능하게 하되, 보안성과 통계적 성질을 유지한다.
• 키 의존성 구성의 단순 연산 조합이 키 선택에 관계없이 예측 가능하고 최적의 통계적 파rameter를 갖는 생성기를 생성할 수 있음을 입증한다.

제안 방법

• 생성기는 $x_{i+1} \equiv f_i(x_i) \pmod{2^n}$ 형태의 재귀식을 사용하며, $f_i$ 는 단계 인덱스 $i$ 에 따라 달라지는 기계 명령어의 조합으로 구성되어 동적 상태 전이를 가능하게 한다.
• 출력 시퀀스는 $z_i = F_i(u_i)$ 로 정의되며, $F_i$ 는 $i$ 에 따라 달라지며 부울 다항식과 $p$-진 상승 기법을 통해 구성된다.
• 상태 전이 함수는 이진계수 표현과 루카스의 합동식을 통해 부울 함수에서 유도된 $p$-진 에르고딕 사상으로 구성된다.
• 출력 함수 $F$ 는 $f_F(x) = (1+x) \oplus (2^{n+1}\Psi_0(x) + \cdots + 2^{n+k}\Psi_{k-1}(x))$ 로 모델링되어 $\mathbb{Z}_2$ 상에서 호환성과 에르고딕성을 보장한다.
• 시스템은 상태의 고차원 부분에서 $k$ 비트를 추출하기 위해 잘라낸 출력 함수 $g(x) = \lfloor x / 2^{n+1} \rfloor \mod 2^k$ 를 사용한다.
• 보안성은 함수 $F(z) = \Psi_0(z) + 2\Psi_1(z) + \cdots + 2^{k-1}\Psi_{k-1}(z)$ 의 역함수를 구하는 것이 계산적으로 불가능하다는 추측에 기반하며, 이는 키 복구를 어렵게 한다.

실험 결과

연구 질문

• RQ1 카운터 의존성 생성기가 $p$-진 에르고딕 변환을 사용할 경우 최대 주기 길이와 $k$-튜플의 균일 분포를 달성할 수 있는가?
• RQ2 이러한 생성기의 정확한 선형 복잡도와 $2$-진 스팬 값은 무엇인가?
• RQ3 이러한 생성기를 사용해 알려진 평문 공격에 대해 증명 가능하게 보안된 스트림 암호를 구축할 수 있는가?
• RQ4 기본 기계 명령어의 키 의존성 조합은 최적의 통계적 성질을 어떻게 유지하는가?
• RQ5 출력 함수 $F$ 가 일방 함수가 되는 조건은 무엇이며, 이는 암호학적 보안을 보장하는가?

주요 결과

• 상태 시퀀스 $\{x_i\}$ 는 순수 주기적이며 주기 길이가 정확히 $2^n m$ 이며, $m \equiv 3 \pmod{4}$ 를 만족하며, 각 $n$-비트 값이 주기 동안 정확히 $m$ 번 나타난다.
• 상태 시퀀스 $\{x_i\}$ 의 이진 전개에서의 $k$-튜플 분포는 균일하며, $k \leq n$ 인 경우 각 $k$-튜플이 정확히 $2^{n}m / 2^k$ 번 나타난다.
• 출력 시퀀스 $\{z_i\}$ 도 순수 주기적이며 주기 길이가 $2^n m$ 이며, $\{0,1,\ldots,2^n-1\}$ 내의 각 값이 정확히 $m$ 번 나타난다.
• 출력 시퀀스의 선형 복잡도는 매우 높으며 $2^n m$ 에 가까워, 선형 cryptanalysis에 대한 강력한 저항성을 나타낸다.
• 출력 시퀀스의 $2$-진 스팬은 정확히 $2^n m$ 이며, 강력한 비선형성과 $2$-진 분석에 대한 저항성을 확인한다.
• 함수 $F(z) = \sum_{j=0}^{k-1} 2^j \Psi_j(z)$ 가 일방 함수라는 가정 하에 알려진 평문 공격에 대해 증명 가능하게 보안되며, 이는 부울 방정식 시스템을 푸는 데의 어려움을 고려할 때 타당하다.