[論文レビュー] Improved code-based identification scheme

Pierre-Louis Cayrel, Pascal Véron|arXiv (Cornell University)|Jan 18, 2010

Coding theory and cryptography参考文献 18被引用数 11

ひとこと要約

本稿では、Fq 上のq進シンディローム復号に基づく5パス方式のコードベース識別方式を提案する。これにより、不正成功確率をスチュールの元来の3パス方式の2/3から1/2に低減する。準巡回構造を採用することで、公開鍵サイズを66 KBのスチュール方式の半分以下の34 KBにまで縮小し、128ビットのセキュリティを維持する。これは軽量暗号に非常に実用的である。

ABSTRACT

We revisit the 3-pass code-based identification scheme proposed by Stern at Crypto'93, and give a new 5-pass protocol for which the probability of the cheater is 1/2 (instead of 2/3 in the original Stern's proposal). Furthermore, we propose to use quasi-cyclic construction in order to dramatically reduce the size of the public key. The proposed scheme is zero-knowledge and relies on an NP-complete problem coming from coding theory (namely the q-ary Syndrome Decoding problem). Taking into account a recent study of a generalization of Stern's information-set-decoding algorithm for decoding linear codes over arbitrary finite fields Fq we suggest parameters so that the public key be 34Kbits while those of Stern's scheme is about 66Kbits. This provides a very practical identification (and possibly signature) scheme which is mostly attractive for light-weight cryptography

研究の動機と目的

• スチュールの3パス方式が2^−16の不正成功確率を達成するための27ラウンドを要するという、通信コストの高さを是正する。
• 制限付き環境へのデプロイメントにおける主なボトル neck である、コードベース識別方式における公開鍵サイズの縮小を図る。
• 5パスプロトコルにより、1ラウンドあたりの不正成功確率を2/3から1/2に低減することで、コードベースゼロ知識識別の効率を向上させる。
• q進コードと準巡回構造を活用し、ISD攻撃に対する耐性を保ちつつ、公開鍵サイズを大幅に縮小する。
• スマートカード、Pay-TV、自動販売機などの環境に適した実用的で後量子暗号セキュアな識別方式を提供する。

提案手法

• Fq 上のq進シンディローム復号（qSD）問題に基づく5パスゼロ知識識別プロトコルを提案する。プローバーは、Hs^T = y を満たす低重み誤りベクトル s の知識を証明する。
• パブリックキーを、n×k 行列としての完全な行列ではなく、k×k ブロックのみを用いて表現可能な、系統的形のパリティーチェック行列 H ∈ Fq^{k×n} を用いることで、ストレージおよび通信のオーバーヘッドを低減する。
• H に準巡回（二重巡回）構造を適用し、n×k 行列全体を格納するのではなく、k×k ブロックのみで表現可能にすることで、コンactな表現を実現する。
• q進ギルバート・ヴァルシャモフ境界と、ピーターズのコードを用いたISD攻撃の複雑度推定値を基に、安全なパラメータを選定する：q=256, n=128, k=64, wt(s)=49。
• チャレンジフェーズでランダムな置換とランダムベクトルを用いることで、ゼロ知識性を保証する。これはスチュール方式に類似しているが、q進体に適応したものである。
• 秘密鍵をHの双対コードに埋め込み、パブリックキーの更なる圧縮を図るが、これは今後の課題として残す。

実験結果

リサーチクエスチョン

• RQ1 5パス方式のコードベース識別方式により、1ラウンドあたりの不正成功確率を2/3から1/2に低減しつつ、ゼロ知識セキュリティを維持できるか？
• RQ2 準巡回または準ダイアディックなコード構造により、ISD攻撃に対する耐性を損なわず、q進コードベース識別方式における公開鍵サイズを縮小できるか？
• RQ3 q進コード（q, n, k, wt(s)）のどのパラメータが、最小限の公開鍵サイズと通信コストで128ビットのセキュリティを達成できるか？
• RQ4 提案方式の通信および計算複雑度は、スチュールのオリジナル方式および他の変種と比較してどのように異なるか？
• RQ5 秘密鍵をパブリック行列に直接埋め込むことは、セキュリティやゼロ知識性を損なわずに行えるか？

主な発見

• 提案された5パス方式により、1ラウンドあたりの不正成功確率が1/2に低減され、2^−16未満の不正成功確率を達成するには16ラウンドで十分である。これに対してスチュール方式では27ラウンドを要する。
• q=256, n=128, k=64, wt(s)=49 を用いることで、公開鍵サイズは33,792ビット（34 KB）にまで縮小され、スチュール方式の66 KBに比べ顕著な改善が得られた。
• 通信複雑度は、ラウンド数の削減と最適化されたメッセージ構造のおかげで、30,848ビットにまで低減された。これに対してスチュール方式では37,872ビットであった。
• ISD攻撃の推定作業量は、選択されたパラメータに対して少なくとも2^87である。これは128ビットのセキュリティレベルを提供する。
• 本方式はゼロ知識セキュリティを維持しており、SPA や DPA などの側面から攻撃に対しても耐性を示す。これは元来のスチュール方式から継承された性質である。
• 準巡回コードの使用により、コンactな鍵表現と効率的な計算が可能となり、スマートカードや組み込みシステムなどの軽量デバイスに適した方式となった。