[논문 리뷰] Security considerations for Galois non-dual RLWE families

Hao Chen, Kristin Lauter외 1명|arXiv (Cornell University)|2017. 10. 09.

Cryptography and Data Security참고 문헌 17인용 수 9

한 줄 요약

이 논문은 갈로아 수체에서의 비이중 비연속 린-레인지-웨이블러(Non-dual discrete Ring-LWE, RLWE) 문제의 보안성을 조사하며, 특정 링에 대해 향상된 공격을 제안하고 새로운 취약한 갈로아 체의 가족을 구축한다. 가우스 합 한계를 적용하여 2의 거듭제곱 순환 링에서 분해되지 않은 모듈로를 가질 경우, 오차 분포와 소수 이상에 대한 균일성 간의 통계적 거리가 무시할 만큼 작기 때문에 이러한 공격에 대해 안전하다는 것을 보여준다.

ABSTRACT

We explore further the hardness of the non-dual discrete variant of the Ring-LWE problem for various number rings, give improved attacks for certain rings satisfying some additional assumptions, construct a new family of vulnerable Galois number fields, and apply some number theoretic results on Gauss sums to deduce the likely failure of these attacks for 2-power cyclotomic rings and unramified moduli.

연구 동기 및 목표

• 표준 순환 구조를 초월한 일반 수체에서의 비이중 비연속 RLWE 문제의 난이도를 조사하기 위해.
• 기존의 약한 RLWE 인스턴스에 대한 공격의 효율성을 향상시키기 위해 알고리즘 기법을 정교화하기 위해.
• 相대 표준편차가 증가함에도 불구하고 이러한 공격에 취약한 새로운 무한한 갈로아 수체의 가족을 구축하기 위해.
• 특히 모듈로가 분해되지 않고 잔여도수가 작을 경우, 2의 거듭제곱 순환 링의 공격에 대한 내성에 대해 분석하기 위해.
• 소수 이상에 대한 RLWE 오차 분포와 균일 분포 간의 통계적 거리에 대한 이론적 한계를 설정하기 위해.

제안 방법

• 특정 갈로아 구조를 가진 수체에서의 샘플링 및 축소 과정을 최적화하여 [9]의 공격을 개선한다.
• 유한체에서의 특성합 크기의 한계를 정수론적 결과인 가우스 합을 적용하여, 오차 분포 왜곡을 통제한다.
• 표준 임bedding과 이상 격자 위의 이산 가우스 분포를 사용하여 링 내 RLWE 오차 분포를 모델링한다.
• 소수 이상에 모odulo된 축소된 오차 분포와 균일 분포 간의 통계적 거리에 상한을 도출한다.
• 특히 추적 함수와 특성합을 활용한 유한체 위의 푸리에 분석을 통해 분포 균일성 분석을 수행한다.
• 정량적 한계를 제공하는 정리 5.2를 증명하며, 이는 모듈로 크기, 링 차수, 오차 매개변수에 따라 통계적 거리의 상한을 제시한다.

실험 결과

연구 질문

• RQ1 추가 대수적 구조를 가진 특정 수체에서 기존 비이중 RLWE 공격의 실행 시간을 상당히 줄일 수 있는가?
• RQ2 오차 분포의 상대 표준편차가 증가함에도 불구하고, [9]의 공격 프레임워크에 취약한 새로운 갈로아 수체의 가족은 무엇인가?
• RQ3 분해되지 않은 모듈로를 가진 2의 거듭제곱 순환 링에서, 가우스 합 한계가 공격 성공을 얼마나 막는가?
• RQ4 소수 이상에 모odulo된 RLWE 오차 분포와 균일 분포 간의 통계적 거리는 이러한 링에서 어떻게 행동하는가?
• RQ5 통계적 거리에 대한 이론적 한계를 활용하여 실용적 매개변수 조건 하에서 2의 거듭제곱 순환 RLWE 인스턴스의 보안성을 입증할 수 있는가?

주요 결과

• 향상된 공격은 [9]에서 이전에 식별된 취약 인스턴스에서 실행 시간을 상당히 줄여, 더 실용적으로 악용 가능하게 한다.
• 오차 분포의 상대 표준편차가 무한대로 갈수록 여전히 공격에 취약한 갈로아 수체의 무한한 가족이 구축된다.
• 분해되지 않은 모듈로 q와 잔여도수 1 또는 2인 2의 거듭제곱 순환 링에서는, 소수 이상에 모odulo된 오차 분포와 균일 분포 간의 통계적 거리가 m → ∞ 일 때 O(q · 2^{-m})로 유계이다.
• 표 3의 수치 결과는 n ≥ 100 이고 다항식 크기의 q일 경우 통계적 거리가 무시할 만큼 작으며, 카이제곱 검정을 통해 오차가 균일하게 분포한 것으로 확인된다.
• 모듈로 q의 잔여도수 f > 1일 경우, 추적 함수를 활용한 일반화 분석이 가능하며, 표 4는 더 큰 q에서도 통계적 거리가 작음을 보여준다.
• ε(m,q,k) ≤ (q−1)/2 · β^{km/4} (여기서 β = (1 + √q/m)/2) 이면, β^{k/4} < 1/2 일 경우 오차 분포는 균일 분포와 통계적으로 가까워지며, 이러한 매개변수 조건에서는 보안성이 보장된다.