[논문 리뷰] The problem with the SURF scheme

Thomas Debris-Alazard, Nicolas Sendrier외 1명|arXiv (Cornell University)|2017. 06. 25.

Chaos-based Image/Signal Encryption참고 문헌 39인용 수 4

한 줄 요약

이 논문은 SURF 코드 기반 디지털 서명 방식의 핵심적인 취약점을 규명하며, 그 보안이 효율적으로 깨질 수 있는 가정에 의존하고 있음을 입증한다: (U,U+V) 코드를 무작위 선형 코드와 구분하는 데 있어 홀 기반 분석을 통한 구분. 저자들은 SURF의 매개변수 설정 하에서 (U,U+V) 코드의 홀 기반 차원이 랜덤 코드보다 훨씬 크다는 점을 보여주며, 다항식 시간 내에 높은 성공 확률을 가진 공격이 가능함을 입증함으로써, 이는 서명 체계의 보안 증명을 무효화한다.

ABSTRACT

There is a serious problem with one of the assumptions made in the security proof of the SURF scheme. This problem turns out to be easy in the regime of parameters needed for the SURF scheme to work. We give afterwards the old version of the paper for the reader's convenience.

연구 동기 및 목표

• SURF 코드 기반 디지털 서명 체계의 보안 가정을 분석하기 위해.
• 순열된 (U,U+V) 코드가 랜덤 선형 코드와 구분 불가능하다는 가정의 결함을 규명하기 위해.
• SURF의 매개변수 설정 하에서 (U,U+V) 코드의 홀 기반 차원이 랜덤 코드보다 훨씬 크다는 것을 입증하기 위해.
• 이 구조적 차이가 다항식 시간 구분자로 이어져 서명 체계의 보안 증명을 무너뜨릴 수 있음을 보여주기 위해.
• 기존 SURF 논문에서 주장한 보안 감소를 무효화하는 공식적 공격을 제공하기 위해.

제안 방법

• 공격은 주어진 선형 코드의 홀 기반 차원을 계산하며, 이는 코드와 그 쌍대 코드의 교차로 정의된다: hull(C) = C ∩ C⊥.
• SURF 매개변수 하에서 순열된 (U,U+V) 코드의 기대 홀 기반 차원은 k_U - k_V 이며, 반면 랜덤 코드의 기대 값은 O(1)이다.
• 계산된 홀 기반 차원이 k_U - k_V 와 일치하는지 확인함으로써, 이 코드가 (U,U+V) 코드로 분류된다.
• 알고리즘은 고전적 선형 대수 연산(예: 가우스 소거법)을 사용하여 다항식 시간 내에 실행된다.
• 확률론적 경계 이론에 기반해, 공격 성공 확률은 1 - ε 이며, 여기서 ε 은 n 에 대해 무시할 수 있을 정도로 작다.
• 이 방법은 원래 보안 주장의 기초가 되는 (U,U+V) 코드 식별 문제의 NP-완전성에 의존한다.

실험 결과

연구 질문

• RQ1 SURF 매개변수 설정 하에서, 다항식 시간 알고리즘이 순열된 (U,U+V) 코드를 랜덤 선형 코드와 구분할 수 있는가?
• RQ2 SURF에서 사용된 매개변수 하에서 (U,U+V) 코드의 홀 기반 차원이 랜덤 코드보다 훨씬 큰가?
• RQ3 홀 기반 차원의 이러한 구조적 차이가 SURF 체계의 보안 증명에 필요한 구분 불가능성 가정을 무너뜨리는가?
• RQ4 이 구분자가 서명을 위조하거나 선택 메시지 공격 하에서 존재적 무작위성 무력화를 유도하는 데 사용될 수 있는가?
• RQ5 이 결함은 SURF의 랜덤 오라클 모델에서의 보안 감소 유효성에 어떤 영향을 미치는가?

주요 결과

• 순열된 (U,U+V) 코드의 홀 기반 차원은 확률 1 - O(2^{k_V - k_U}) 에서 k_U - k_V 를 취하며, 이는 SURF 매개변수 하에서 매우 높은 확률이다.
• 반면, 랜덤 선형 코드의 기대 홀 기반 차원은 O(1)이며, t 보다 작을 확률은 최소 1 - O(2^{-t}) 이상이다.
• 이 격차는 다항식 시간 구분자가 (U,U+V) 코드를 성공 확률 1 - ε 으로 식별할 수 있도록 허용하며, 여기서 ε 은 n 에 대해 무시할 수 있다.
• 이 공격은 SURF 체계의 보안 증명의 核심 가정을 무너뜨리며, 적응형 선택 메시지 공격 하에서의 존재적 무작위성 보장이 무효화됨을 의미한다.
• 이 결함은 경미한 약점이 아니라 체계의 보안 기반을 뒤흔드는 근본적인 구조적 취약점이다.
• 기존 SURF 체계는 동일한 가정을 사용해 복구될 수 없으며, 보안 증명은 재수정되어야 하거나 기각되어야 한다.