[논문 리뷰] Towards practical key exchange from ordinary isogeny graphs

Luca De Feo, Jean Kieffer외 1명|arXiv (Cornell University)|2018. 09. 20.

Cryptography and Data Security참고 문헌 22인용 수 6

한 줄 요약

이 논문은 오랫동안 무시되어 왔던 Couveignes–Rostovtsev–Stolbunov (CRS) 이소지 기반 키 교환 프레임워크를 부활시키고 최적화하며, 확장체에서 Vélu의 공식과 Elkies 루트 찾기 기법을 사용한 이소지 계산을 위한 효율적인 알고리즘을 도입하여, 128비트 고전적 보안 수준에서 실용적인 성능을 달성한다. 이는 키 교환에 약 520초가 소요되며, 양자 컴퓨팅에 대비한 비상호작용 키 교환을 위한 실현 가능한 길을 제시한다.

ABSTRACT

We revisit the ordinary isogeny-graph based cryptosystems of Couveignes and Rostovtsev-Stolbunov, long dismissed as impractical. We give algorithmic improvements that accelerate key exchange in this framework, and explore the problem of generating suitable system parameters for contemporary pre-and post-quantum security that take advantage of these new algorithms. We also prove the session-key security of this key exchange in the Canetti-Krawczyk model, and the IND-CPA security of the related public-key encryption scheme, under reasonable assumptions on the hardness of computing isogeny walks. Our systems admit efficient key-validation techniques that yield CCA-secure encryp-tion, thus providing an important step towards efficient post-quantum non-interactive key exchange (NIKE).

연구 동기 및 목표

• 오랫동안 실용적이지 않다고 여겨졌던 Couveignes–Rostovtsev–Stolbunov (CRS) 이소지 기반 키 교환을 부활시키고 현대화한다.
• CRS의 성능 저하 요인을 해결하기 위해, 특히 Vélu의 공식과 Elkies 단계 최적화를 활용한 이소지 계산을 위한 효율적인 알고리즘을 개발한다.
• 이소지 걷기의 어려움을 가정 조건으로 하여, Canetti–Krawczyk 모델에서 키 교환의 형식적 보안 증명과, IND-CPA 모델에서 공개키 암호화의 보안 증명을 제공한다.
• 효율적인 키 검증을 가능하게 하여, CCA-보안 비상호작용 키 교환(NIKE)으로 이어지는 중요한 단계를 확보한다. 이는 SIDH에서는 실현 가능하지 않다.
• 최적화된 걷기 길이 경계와 곡선 선택을 통해 현대적인 사전 및 양자 컴퓨팅 보안 수준에 적합한 시스템 매개변수를 생성한다.

제안 방법

• 확장체에서 Vélu의 공식을 사용하여 이소지를 계산하는 새로운 알고리즘(알고리즘 6, VéluStep)을 도입하여, 이전 방법에 비해 계산 시간을 크게 단축시킨다.
• 시간 예산 $T$ 내에서 키스페이스 크기를 최대화하는 조건 하에, 각 소수 $\ell$에 대해 걷기 길이 경계 $M_{\bar{\ell}}$를 계산하기 위한 히우리스틱 최적화 절차를 개발한다. 이는 이분 탐색을 활용한다.
• 모듈러 다항식의 루트 찾기 기반으로 이소지를 계산하기 위해 Elkies 단계(알고리즘 5)를 사용하며, 확장 차수 $r = 1$에서 $9$까지의 시간 측정을 수행한다.
• 복소 곱승을 가진 일반 타원곡선을 사용하여 이소지 그래프의 후보를 구성하며, 효율성과 보안을 고려해 소수 $\ell$와 확장 차수 $r$를 선택한다.
• Julia로 프로토콜을 구현하였으며, Nemo와 타원곡선 및 클래스 다항식을 위한 커스텀 라이브러리를 사용하였다. 성능은 표준 하드웨어에서 측정되었다.
• 이소지 그래프 위의 아벨 군 작용을 활용하여, 곡선 이so모피즘 클래스 위의 군 작용을 기반으로 한 디피-헬만 유사 프로토콜을 통해 키 교환을 가능하게 한다.

실험 결과

연구 질문

• RQ1 알고리즘 최적화를 통해 Couveignes–Rostovtsev–Stolbunov 이소지 기반 키 교환을 현대적인 양자 컴퓨팅 대비 보안 수준에서 실용적으로 만들 수 있는가?
• RQ2 128비트 고전적 보안을 달성하기 위해 이소지 걷기 길이 경계 $M_{\ell}$와 계산 비용 사이의 최적의 트레이드오프는 무엇인가?
• RQ3 CRS 프레임워크에서 효율적인 키 검증을 달성할 수 있는가? 이를 통해 양자 컴퓨팅 환경에서 CCA-보안 비상호작용 키 교환(NIKE)이 가능해지는가?
• RQ4 실제로 Vélu 단계와 Elkies 단계의 성능 특성은 어떻게 다른가? 그리고 두 방법을 효과적으로 조합하여 총 계산 시간을 줄일 수 있는가?
• RQ5 이소지 걷기 계산의 어려움을 가정할 때, 제안된 시스템의 현실적인 고전적 및 양자 보안 추정치는 무엇인가?

주요 결과

• 최적화된 알고리즘은 128비트 고전적 보안 수준에서 한 번의 이소지 걷기 총 소요 시간을 약 520초로 줄여 기존 CRS 프로토콜 대비 네 배 향상된 성능을 달성한다.
• Vélu 단계를 사용할 경우, $E(\mathbb{F}_{p^r})$ 내의 스칼라 곱셈이 주요 비용이 되며, $r=1$일 땐 0.02초에서 $r=9$일 땐 1.3초까지 시간이 소요된다.
• 제안된 걷기 길이 경계 $M_{\ell}$는 시간 예산 내에서 키스페이스 크기를 최대화하는 히우리스틱 이분 탐색 절차를 통해 유도되었으며, 128비트 보안 수준에서 $2^{256}$의 키스페이스 크기를 달성한다.
• 프로토콜은 효율적인 키 검증을 지원하여 CCA-보안 암호화를 가능하게 하며, 비상호작용 키 교환(NIKE)의 강력한 후보가 된다.
• 최적화되지 않은 구현이지만, C 구현을 통해 추가 엔지니어링을 거치면 CRS 프레임워크가 실용화될 수 있음을 보여준다.
• 이 작업은 이소지 걷기 계산의 어려움을 가정 조건으로 하여, Canetti–Krawczyk 모델에서의 키 교환 및 IND-CPA 모델에서의 공개키 암호화에 대해 형식적 보안 증명을 제공한다.