[논문 리뷰] Chosen-ciphertext attack on noncommutative Polly Cracker

Stanislav Bulygin|ArXiv.org|2005. 08. 02.

Coding theory and cryptography참고 문헌 1인용 수 4

한 줄 요약

이 논문은 비가환 다항식 환에서 무한 기저를 사용하는 비가환 폴리 크래커 암호체계(라이아가 제안한 바)가 선택된 암호문 공격에 취약하다는 것을 보여준다. 공격자는 단 한 개의 정교하게 구성된 '가짜' 암호문을 제출함으로써 비밀키의 구조를 복구하고 이후 모든 메시지를 완전히 복호화할 수 있으며, 이는 선택된 암호문 적응성 공격 하에서 시스템이 안전하지 않음을 의미한다.

ABSTRACT

We propose a chosen-ciphertext attack on recently presented noncommutative variant of the well-known Polly Cracker cryptosystem. We show that if one chooses parameters for this noncommutative Polly Cracker as initially proposed, than the system should be claimed as insecure.

연구 동기 및 목표

• 비가환 폴리 크래커 암호체계가 선택된 암호문 공격에 대해 안전한지 조사하기.
• 유한체 위의 비가환 대수에서 무한 기저를 사용하는 것이 충분한 보안을 제공하는지 판단하기.
• 적응형 선택된 암호문 쿼리를 통해 비밀키의 구조를 재구성할 수 있는지 분석하기.
• 기존의 가환 다항식 기반 암호체계에서의 취약성을 비가환 다항식 기반 암호체계로 확장하기.

제안 방법

• 형태 $ c' = t \cdot \text{tip}(g) \cdot s + \sum F_{ij}q_iH_{ij} $ 의 '가짜' 암호문을 구성하되, $ t $ 와 $ s $ 는 다항식의 구조를 가림.
• 암호문 $ c' $ 를 $ g $ 로 나누었을 때의 나머지가 $ -C_{\text{tip}(g)}^{-1} \cdot t \cdot \text{tail}(g) \cdot s $ 임을 이용하여 $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ 를 노출시킴.
• 복구된 $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ 를 사용해 $ g' = \text{tip}(g) + C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ 를 재구성함. 이는 원래 $ g $ 와 동일한 양방향 아이디얼을 생성함.
• 재구성된 $ g' $ 가 원래 암호문을 정확히 복호화할 수 있음을 보여, 비밀키를 효과적으로 복구함.
• 가짜 암호문에 $ \text{NonTip}(I) $ 에서 온 추가 단항식이 포함된 경우에도 $ g' $ 를 복구할 수 있음을 유지함. 이 경우 $ \text{tip}(g) $ 가 추가된 성분의 단항식을 나누지 않는 한 유지됨.
• 공격이 단일 생성자 비밀키뿐만 아니라 다수의 생성자를 가진 축소 기저를 사용하는 경우에도 적용됨을 보여줌.

실험 결과

연구 질문

• RQ1 단 한 번의 적응형 쿼리로 비가환 폴리 크래커 암호체계를 선택된 암호문 공격으로 붕괴시킬 수 있는가?
• RQ2 특히 생성자 $ g $ 의 비밀키 구조는 단 한 개의 정교하게 구성된 암호문의 나머지로부터 복구 가능한가?
• RQ3 유한체 위의 비가환 대수에서 무한 기저의 존재가 선택된 암호문 공격에 대한 보안을 보장하는가?
• RQ4 이 공격은 다수의 비밀키 생성자를 가진 시스템으로 일반화될 수 있는가?
• RQ5 아이디얼 또는 기저의 구조적 성질 중 이러한 복구를 방지하는 것이 존재하는가?

주요 결과

• 비가환 폴리 크래커 시스템에서 비밀키의 구조를 복구하기 위해 단 한 번의 선택된 암호문 쿼리로도 충분하다.
• 가짜 암호문의 복호화를 통해 공격자는 $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ 를 복구할 수 있으며, 이를 통해 생성자 $ g' $ 를 재구성할 수 있다.
• 재구성된 생성자 $ g' $ 는 원래 $ g $ 와 동일한 양방향 아이디얼을 생성하므로 복호화에 대해 기능적으로 동일하게 작동한다.
• 가짜 암호문에 $ \text{NonTip}(I) $ 에서 온 유효한 메시지 단항식이 포함된 경우에도 공격은 유지되며, 단지 $ \text{tip}(g) $ 가 추가된 성분의 단항식을 나누지 않는 한 유지된다.
• 이 방법은 단일 생성자 비밀키뿐 아니라 축소 기저 기반의 다수 생성자 비밀키에도 적용되며, 이러한 비밀키 형식이 선택된 암호문 공격에 취약함을 시사한다.
• 결과적으로 비가환 다항식 기반 암호체계가 적응형 선택된 암호문 공격에 대해 본질적으로 안전하지 않음을 확인하였으며, 이는 가환 버전에서 관찰된 취약성과 일치한다.