[论文解读] A Distinguisher-Based Attack on a Variant of McEliece's Cryptosystem Based on Reed-Solomon Codes

Valérie Gauthier, Ayoub Otmani+1 more|arXiv (Cornell University)|Apr 29, 2012

Coding theory and cryptography参考文献 17被引用 11

一句话总结

本文提出了一种基于区分器的密码分析方法，针对一种使用广义 Reed-Solomon 码并经由秩-1扰动隐藏的 McEliece 变体。通过利用平方码结构（即码字分量乘积生成的结构），该方法识别出隐藏的 Reed-Solomon 码，从而实现完整密钥恢复并解密任意密文。

ABSTRACT

Baldi et extit{al.} proposed a variant of McEliece's cryptosystem. The main idea is to replace its permutation matrix by adding to it a rank 1 matrix. The motivation for this change is twofold: it would allow the use of codes that were shown to be insecure in the original McEliece's cryptosystem, and it would reduce the key size while keeping the same security against generic decoding attacks. The authors suggest to use generalized Reed-Solomon codes instead of Goppa codes. The public code built with this method is not anymore a generalized Reed-Solomon code. On the other hand, it contains a very large secret generalized Reed-Solomon code. In this paper we present an attack that is built upon a distinguisher which is able to identify elements of this secret code. The distinguisher is constructed by considering the code generated by component-wise products of codewords of the public code (the so-called "square code"). By using square-code dimension considerations, the initial generalized Reed-Solomon code can be recovered which permits to decode any ciphertext. A similar technique has already been successful for mounting an attack against a homomorphic encryption scheme suggested by Bogdanoc et extit{al.}. This work can be viewed as another illustration of how a distinguisher of Reed-Solomon codes can be used to devise an attack on cryptosystems based on them.

研究动机与目标

• 分析一种 McEliece 类型的密码系统变体的安全性，该变体用秩-1扰动替代置换矩阵以减小密钥尺寸。
• 研究在该改进方案中使用广义 Reed-Solomon 码是否能保持对结构性密码分析的安全性。
• 开发一种区分器，用于识别公共码结构中隐藏的 Reed-Solomon 码。
• 证明该区分器可被用于恢复私钥并破坏该系统。
• 表明当元素属于秘密 Reed-Solomon 码时，平方码的维数显著减小，从而实现密钥恢复。

提出的方法

• 通过计算码字的分量乘积，构建公共码的平方码。
• 利用广义 Reed-Solomon 码的平方码维数远小于随机码的这一事实。
• 通过测量由随机码字生成的平方码的维数，识别出属于秘密 Reed-Solomon 码的公共码元素。
• 对识别出的元素应用平方码构造，以从公共码中恢复原始的秘密广义 Reed-Solomon 码。
• 利用恢复出的秘密码，通过线性映射将公共码字转换为秘密码字，从而解密任意密文。
• 利用可逆线性变换 φ(u) = u + (γb₀·u)a₀，将公共码字映射回秘密码空间。

实验结果

研究问题

• RQ1 能否基于公共码的平方码设计一种区分器，以识别在具有秩-1扰动的 McEliece 变体中隐藏的广义 Reed-Solomon 码？
• RQ2 当秘密码为广义 Reed-Solomon 码时，公共码的平方码维数是否表现出结构异常，从而可与随机码区分开来？
• RQ3 该区分器是否可用于从该变体的公共码中恢复秘密广义 Reed-Solomon 码？
• RQ4 该密钥恢复攻击是否足够高效，足以破坏所提出的 McEliece 变体的安全性？
• RQ5 当与 Reed-Solomon 码结合时，扰动矩阵（Π + R，其中 R 秩为1）的结构如何影响系统的安全性？

主要发现

• 当从秘密广义 Reed-Solomon 码中的码字生成时，公共码的平方码维数显著减小，从而可被识别。
• 通过从公共码中选取少量随机码字并测量其平方码的维数，可恢复秘密广义 Reed-Solomon 码。
• 一旦秘密 Reed-Solomon 码被恢复，整个私钥结构即被暴露，从而可对任意密文实现完整解密。
• 该攻击高效且不依赖 Sidelnikov-Shestakov 方法；相反，它基于分量乘积性质提出了一种新颖的区分器。
• 该方法成功破解了所提出的 McEliece 变体，表明即使使用秩-1扰动，也无法防止在使用 Reed-Solomon 码时的结构性密码分析。
• 该攻击展示了如何将结构性区分器转化为密钥恢复机制，即使在设计用于隐藏底层码结构的系统中亦然。