[논문 리뷰] Generating and Exploring S-Box Multivariate Quadratic Equation Systems with SageMath

Anastasia-Maria Leventi-Peetz, J.-V. Peetz|arXiv (Cornell University)|2015. 06. 13.

Cryptographic Implementations and Security참고 문헌 6인용 수 2

한 줄 요약

이 논문은 Rijndael의 S-박스와 같은 암호학적 S-박스를 위한 다변수 이차(MQ) 방정식 체계를 자동으로 생성하고 분석하기 위해 SageMath 기반의 방법을 제시한다. 실험 결과, Cui 등이 제안한 바와 같은 일반적으로 사용되는 대칭 공격에 대한 저항성(RAA) 지표들이 실제 해결 난이도를 예측하지 못함을 입증한다. SAT 솔버 실험을 통해 지표 점수와 실제 계산 자원 소비 간에 의미 있는 상관관계가 없음을 확인하였다.

ABSTRACT

A new method to derive Multivariate Quadratic equation systems (MQ) for the input and output bit variables of a cryptographic S-box from its algebraic expressions with the aid of the computer mathematics software system SageMath is presented. We consolidate the deficiency of previously presented MQ metrics, supposed to quantify the resistance of S-boxes against algebraic attacks.

연구 동기 및 목표

• S-박스 대수적 표현에서 다변수 이차(MQ) 방정식 체계를 자동으로 생성하고 분석할 수 있는 투명한 방법을 개발하기 위해.
• Cui 등과 Courtois-Pieprzyk가 제안한 기존 RAA(대칭 공격에 대한 저항성) 지표의 타당성을 철저히 평가하기 위해.
• Cui 등이 개선된 S-박스(SAIA)라고 주장한 것이, 높은 RAA 지표 점수에도 불구하고 암호학적으로 뛰어나지 않음을 입증하기 위해.
• SageMath가 S-박스 평가를 위한 MQ 체계 및 그 그뢰브너 기저(Grobner basis)의 빠르고 검증 가능한 분석을 가능하게 함을 보여주기 위해.
• 높은 지표 점수(예: log2(Γ), log2(ΓCP))가 대칭 공격에 대한 저항성을 높게 의미한다는 가정을 도전하기 위해.

제안 방법

• GF(2) 위의 다항식 링과 모듈로 기약 다항식 m(t) = t^8 + t^4 + t^3 + t + 1에 대한 몫환을 SageMath를 이용해 구성한다.
• 라그랑주 보간법과 모듈로 역산을 사용하여 입력, 중간, 출력 바이트 변수를 GF(2)[t]/(m(t)) 위의 다변수 다항식으로 모델링한다.
• 역함수와 애프린 변환의 복합 함수를 전개하여 자동으로 MQ 체계를 유도한다(SRD = A ∘ I).
• SageMath의 PolyBoRi/BRiAl 통합 기능을 활용해 생성된 MQ 체계의 그뢰브너 기저를 생성한다.
• 실제 해결 시간을 실용적 대칭 공격 난이도 측정치로 삼기 위해 SAT 솔버를 활용해 MQ 체계의 실제 해결 시간을 계산한다.
• 이론적 RAA 지표 점수(예: log2(Γ), log2(ΓCP))와 실증적 SAT 솔버 성능을 비교하여 그 예측 타당성을 검증한다.

실험 결과

연구 질문

• RQ1 Cui 등이 제안한 RAA 지표는 S-박스에서 유도된 MQ 체계의 해결 난이도를 정확히 예측할 수 있는가?
• RQ2 대칭 공격에 더 강한 저항성을 지닌 것으로 주장하는 S-박스 SAIA는 원래 Rijndael S-박스보다 실제로 더 어렵게 풀리는가?
• RQ3 SageMath는 암호학적 S-박스를 위한 MQ 체계 생성과 분석을 효과적으로 자동화하고 검증할 수 있는가?
• RQ4 왜 높은 RAA 지표 점수는 SAT 솔버에서의 실제 해결 시간과 상관관계가 없을까?
• RQ5 더 복잡한 S-박스에 대한 대수적 표현은 더 단순하고 쉽게 풀 수 있는 MQ 체계를 초래할 수 있는가?

주요 결과

• 23개의 방정식과 81개의 단항식을 포함한 Rijndael S-박스의 MQ는 SAT 솔버에 의해 0.6초 만에 해결되지만, 2,039개의 방정식과 18,232개의 단항식을 가진 SAIA S-박스의 MQ는 7초가 소요되며, 이는 난이도 증가 예측과 정반대이다.
• Rijndael의 경우 log2(ΓCP) 점수가 20.0인 데 비해 SAIA는 28.5로 높은 점수를 기록했지만, 실제로는 SAT 솔버 시간이 0.6초에서 7초로 뿐만 아니라 유의미한 증가가 없으며 원래 S-박스보다 크게 어렵지 않다.
• 대수적 단순화를 통해 유도한 SAIA의 더 단순한 MQ 체계는 단 32개의 방정식과 137개의 단항식을 포함하며, 0.8초 만에 해결되며, 원래 Rijndael의 0.7초와 유사한 성능을 보인다.
• SAIA의 MQ에 대한 그뢰브너 기저는 차수 7인 8개의 방정식과 263개의 단항식을 포함하며, 그에 따른 SAT 솔버 해결 시간은 0.15초로 원래 Rijndael의 그뢰브너 기저(0.7초)보다 빠르다.
• RAA 지표 점수(예: log2(Γ), log2(ΓCP))와 실제 SAT 솔버 런타임 간에 일관된 상관관계가 없었으며, 이는 이러한 지표들이 신뢰할 수 있는 난이도 예측 도구로 사용될 수 없다는 것을 의미한다.
• 원래 Rijndael S-박스는 Cui 등의 AIA 형식으로 표현할 경우 2,039개의 방정식과 18,232개의 단항식을 포함한 MQ 체계를 생성한다—복잡한 표현이 반드시 더 어려운 체계를 초래하지는 않음을 보여준다.