[논문 리뷰] A new key exchange protocol based on the decomposition problem

Vladimir Shpilrain, Alexander Ushakov|ArXiv.org|2005. 12. 06.

Cryptography and Data Security참고 문헌 12인용 수 5

한 줄 요약

이 논문은 비아벨 군에서의 분해 문제를 기반으로 한 새로운 키 교환 프로토콜을 제안하며, 한 부분군을 숨김으로써 보안을 강화하고, 비밀 키를 서로 다른 부분군에서 선택할 수 있도록 함으로써 공격자가 악용할 수 있는 구조적 패턴을 방해한다. 공격자가 공격을 시도하기 전에 부분군의 중심화자를 계산해야 하므로, 이 프로토콜은 길이 기반 공격에 저항하며 브레이드 군 플랫폼에서의 저항력이 향상된다.

ABSTRACT

In this paper we present a new key establishment protocol based on the decomposition problem in non-commutative groups which is: given two elements $w, w_1$ of the platform group $G$ and two subgroups $A, B \subseteq G$ (not necessarily distinct), find elements $a \in A, b \in B$ such that $w_1 = a w b$. Here we introduce two new ideas that improve the security of key establishment protocols based on the decomposition problem. In particular, we conceal (i.e., do not publish explicitly) one of the subgroups $A, B$, thus introducing an additional computationally hard problem for the adversary, namely, finding the centralizer of a given finitely generated subgroup.

연구 동기 및 목표

• 비아벨 군에서 기존의 분해 기반 키 교환 프로토콜이 길이 기반 공격에 취약한 점을 해결하기 위해.
• 분해 문제에 관여하는 부분군 중 하나를 숨김으로써 보안을 향상시키기 위해, 특히 명시적으로 공개하지 않도록 하기 위해.
• 각 당사자가 서로 다른 부분군에서 비밀 키를 선택하는 새로운 키 선택 메커니즘을 도입하여 공격자가 악용할 수 있는 구조적 패턴을 방해하기 위해.
• 유한 생성 부분군의 중심화자 $ C_G(S) $ 를 계산하는 것이 계산적으로 어렵다는 가정 하에 프로토콜이 안전하게 유지되도록 하기 위해.
• 브레이드 군, 비아벨 암호화에서 인기 있는 플랫폼 군에서 프로토콜의 보안성과 구현 가능성 평가하기 위해.

제안 방법

• 프로토콜은 브레이드 군 $ B_n $ 와 같이 정규형이 효율적으로 계산 가능한 비아벨 군 $ G $ 를 플랫폼 군으로 사용한다.
• 앨리스는 $ a_1 \in G $ 를 선택하고, $ A \subseteq C_G(b_2) $ 를 계산하며, $ A $ 의 생성자를 공개한다; 박는 $ b_2 \in G $ 를 선택하고, $ B \subseteq C_G(a_1) $ 를 계산하며, $ B $ 의 생성자를 공개한다.
• 앨리스는 $ P_A = N(a_1 w a_2) $ 를 계산하며, $ a_2 \in \langle \beta_1, \dots, \beta_m \rangle $ 이고, $ P_A $ 를 박에게 전송한다.
• 박은 $ P_B = N(b_1 w b_2) $ 를 계산하며, $ b_1 \in \langle \alpha_1, \dots, \alpha_k \rangle $ 이고, $ P_B $ 를 앨리스에게 전송한다.
• 앨리스는 $ K_A = a_1 P_B a_2 $ 를 계산하고, 박은 $ K_B = b_1 P_A b_2 $ 를 계산하며, $ a_1 b_1 = b_1 a_1 $, $ a_2 b_2 = b_2 a_2 $ 이므로 공통 키 $ K = K_A = K_B $ 에 도달한다.
• 보안은 유한 생성 부분군 $ S $ 에 대해 중심화자 $ C_G(S) $ 를 계산하는 것이 계산적으로 어렵다는 데 기반하며, 일반적으로 브레이드 군에서 이러한 부분군에 대해 실용적으로 불가능하다고 가정된다.

실험 결과

연구 질문

• RQ1 분해 문제에서 한 부분군을 숨기면 비아벨 군 키 교환에서 길이 기반 공격에 대한 저항력이 상당히 향상되는가?
• RQ2 다른 당사자의 중심화자에서 비밀 키를 선택하는 교차 부분군 방식(즉, 상대방의 중심화자에서 선택)이 공격자가 악용할 수 있는 구조적 패턴을 방해하는가?
• RQ3 브레이드 군에서 유한 생성 부분군의 중심화자를 계산하는 것은 표준 가정 하에 계산적으로 어려운 문제인가?
• RQ4 공통 키 $ K $ 는 형식 $ awb $ 의 무작위 원소와 구별될 수 있는가? 이는 의미론적 보안에 어떤 영향을 미치는가?
• RQ5 프로토콜의 보안은 브레이드 군에서 이중 코셋 $ H \cdot w \cdot H' $ 에서의 소속성 탐색 문제의 난이도에 얼마나 의존하는가?

주요 결과

• 공격자가 $ a_1 $ 가 속한 부분군을 $ C_G(B) $ 를 먼저 계산하지 않으면 알 수 없기 때문에, 프로토콜은 길이 기반 공격에 저항한다.
• 중심화자 $ C_G(a_1) $ 와 $ C_G(b_2) $ 가 숨겨진 부분군으로 사용되어 공격자에게 추가적인 계산적 난이도를 부여한다.
• 브레이드 군 $ B_n $ ( $ n = 64 $ ) 에서 정규형과 군 연산이 효율적으로 계산 가능하므로 실용적 구현이 가능하다.
• 프로토콜의 보안은 유한 생성 부분군 $ S $ 에 대해 $ C_G(S) $ 를 계산하는 것이 어렵다는 가정에 기반하며, 이는 정점 집합 $ SSS(g) $ 의 지수적 크기로 인해 성립한다.
• 의미론적 보안은 일부 경우에 손상되며, 이는 공통 키 $ K $ 가 $ B_n \to S_n $ 와 같은 호모모르피즘을 통해 정보를 泄露할 수 있기 때문이다. 특히 $ w^{-1}P_B $ 가 순수 브레이드가 아닐 경우 더욱 그렇다.
• 브레이드 군 호모모르피즘에서 드러나는 순열적 구조를 감안할 때, 공통 키를 의미론적 보안 암호화에 직접 사용하는 것은 추가적인 가림 처리 없이 불가능하다.