[논문 리뷰] Wreath Products in Stream Cipher Design

Vladimir Anashin|arXiv (Cornell University)|2006. 02. 05.

Coding theory and cryptography참고 문헌 16인용 수 7

한 줄 요약

이 논문은 현대 프로세서에서 효율적으로 구현 가능한 산술 연산과 비트단위 연산의 조합인 T-함수를 사용하는 새롭게 고안된 스트림 암호 설계를 제안한다. 약간의 조건 하에, 생성되는 키스트림은 최대 주기, 균일 분포, 높은 선형 복잡도, 그리고 대수적 및 통계적 암호분석에 대한 강력한 저항성을 확보하며, 고성능·고보안 소프트웨어 구현에 적합하다.

ABSTRACT

The paper develops a novel approach to stream cipher design: Both the state update function and the output function of the corresponding pseudorandom generators are compositions of arithmetic and bitwise logical operations, which are standard instructions of modern microprocessors. Moreover, both the state update function and the output function are being modified dynamically during the encryption. Also, these compositions could be keyed, so the only information available to an attacker is that these functions belong to some exponentially large class. The paper shows that under rather loose conditions the output sequence is uniformly distributed, achieves maximum period length and has high linear complexity and high $\ell$-error linear complexity. Ciphers of this kind are flexible: One could choose a suitable combination of instructions to obtain due performance without affecting the quality of the output sequence. Finally, some evidence is given that a key recovery problem for (reasonably designed) stream ciphers of this kind is intractable up to plausible conjectures.

연구 동기 및 목표

• 이식성과 효율성을 위해 표준 프로세서 명령어를 활용하는 스트림 암호 설계의 새로운 접근법을 개발하기 위해.
• 생성된 키스트림이 최대 주기, 균일 분포, 높은 선형 복잡도를 갖도록 보장하기 위해.
• 부분적인 출력 정보가 있는 상태에서도 키 복구 문제가 난이도 높은 계산 가정 하에 해독 불가능함을 입증하기 위해.
• 복잡도 이론과 $ p $-진 분석, 에르고딕 이론과의 호환성을 갖는 T-함수의 수학적 성질을 활용하여 암호학적으로 강력한 의사난수 생성기 설계의 수학적 기반을 제공하기 위해.

제안 방법

• 상태 갱신 함수는 $ x_{i+1} = (i \bmod m + x_i + 4 \cdot v_{i\bmod m}(x_i)) \bmod 2^n $ 로 정의되며, 여기서 $ v_j $ 는 산술 연산과 비트단위 연산의 조합으로 이루어진 T-함수이다.
• 출력 함수는 $ z_i = (1 + \pi(x_i) + 4 \cdot w_{i\bmod m}(\pi(x_i))) \bmod 2^n $ 로 정의되며, $ \pi $ 는 $ x_i $ 의 비트 순서를 뒤집는다.
• 상태 갱신과 출력 갱신에 대해 $ m $ 개의 서로 다른 T-함수를 순환적으로 전환하는 동적 스위칭 메커니즘을 사용하여 구조적 다양성을 확보한다.
• 이 구성은 T-함수의 수학적 성질과 $ p $-진 분석 및 에르고딕 이론과의 호환성에 기반한다.
• 출력 수열은 이진 수열로 분석되며, $ k \leq n $ 인 $ k $-튜플이 균일하게 분포됨을 보여준다.
• 비트 함수를 ANF 형태로 표현할 때 단항식의 수가 지수적으로 증가하므로, 대수적 공격은 제한된 차수 없이 수행될 수 없으며, 키 복구 공격은 비현실적이 된다.

실험 결과

연구 질문

• RQ1 표준 프로세서 명령어(산술 및 비트단위 연산)만을 사용하여 최대 주기와 높은 선형 복잡도를 갖는 스트림 암호를 설계할 수 있는가?
• RQ2 상태 및 출력 함수를 순환적으로 변경하는 T-함수 집합을 통해 생성된 키스트림이 강력한 통계적 성질을 유지하는가?
• RQ3 유사한 계산 가정 하에 이러한 암호의 키 복구 문제가 난이도 높은가?
• RQ4 의사난수 생성기 설계에서 워프 곱(wreath product)의 구조를 사용하면 고 $ \ell $-오차 선형 복잡도 및 2-진 스팬을 증명 가능한 보안 성질로 이끌 수 있는가?

주요 결과

• 키스트림은 최대 주기 길이 $ 2^n m $ 를 확보하며, 각 $ n $-비트 값은 사이클 내에서 정확히 $ m $ 번 발생한다.
• 상태 수열의 이진 대응수열은 주기가 $ 2^n m n $ 이며, $ k \leq n $ 인 모든 $ k $-튜플이 정확히 빈도 $ 1/2^k $ 로 나타나므로 균일 분포를 보장한다.
• 각 비트스트림 $ \{\delta_s(z_i)\} $ 의 선형 복잡도는 $ 2^{n-1} $ 를 초과하므로 선형 암호분석에 대한 강력한 저항성을 나타낸다.
• $ \ell $-오차 선형 복잡도 역시 높아, 키스트림 내 오차에 대한 강건성을 보여준다.
• 비트 함수의 ANF 표현에서 단항식의 수는 $ n $ 에 따라 지수적으로 증가하므로, 제한된 차수 없이 대수적 공격은 비현실적이다.
• 실험적 테스트 결과, 출력 수열은 DIEHARD 및 NIST 통계 테스트 세트를 모두 통과하여 의사난수 성질을 뒷받침한다.