[論文レビュー] Improvements of Algebraic Attacks for solving the Rank Decoding and MinRank problems

Magali Bardet, Maxime Bros+6 more|HAL (Le Centre pour la Communication Scientifique Directe)|Feb 14, 2020

Coding theory and cryptography参考文献 28被引用数 8

ひとこと要約

本稿は、ランク距離に基づく後量子暗号における中心的課題であるランクデコーディング問題およびミニランク問題に対する代数的攻撃において顕著な改善を提示する。Gröbner基底の計算を回避し、行列の小行列から導かれる一次方程式を解くことで、計算コストを著しく削減した。その結果、ROLLO-I-128/192/256 に対する攻撃のビット複雑度は、従来の117, 144, 197に対し、それぞれ71, 87, 151にまで低下した。

ABSTRACT

Rank Decoding (RD) is the main underlying problem in rank-based cryptography. Based on this problem and quasi-cyclic versions of it, very efficient schemes have been proposed recently, such as those in the ROLLO and RQC submissions, which have reached the second round of the NIST Post-Quantum competition. Two main approaches have been studied to solve RD: combinatorial ones and algebraic ones. While the former has been studied extensively, a better understanding of the latter was recently obtained by Bardet et al. (EUROCRYPT20) where it appeared that algebraic attacks can often be more efficient than combinatorial ones for cryptographic parameters. This paper gives substantial improvements upon this attack in terms both of complexity and of the assumptions required by the cryptanalysis. We present attacks for ROLLO-I-128, 192, and 256 with bit complexity respectively in 70, 86, and 158, to be compared to 117, 144, and 197 for the aforementionned previous attack. Moreover, unlike this previous attack, ours does not need generic Gröbner basis algorithms since it only requires to solve a linear system. For a case called overdetermined, this modeling allows us to avoid Gröbner basis computations by going directly to solving a linear system. For the other case, called underdetermined, we also improve the results from the previous attack by combining the Ourivski-Johansson modeling together with a new modeling for a generic MinRank instance; the latter modeling allows us to refine the analysis of MinRank's complexity given in the paper by Verbel et al. (PQC19). Finally, since the proposed parameters of ROLLO and RQC are completely broken by our new attack, we give examples of new parameters for ROLLO and RQC that make them resistant to our attacks. These new parameters show that these systems remain attractive, with a loss of only about 50\% in terms of key size for ROLLO-I.

研究の動機と目的

• ランク距離に基づく後量子暗号における中心的課題であるランクデコーディング問題およびミニランク問題に対する代数的攻撃の改善。
• 従来の代数的攻撃で高コストであったGröbner基底の計算を回避し、一次方程式の解法に置き換えることによる計算コストの低減。
• 一般性の仮定と実験的検証を通じて、新手法の有効性を理論的および実証的に裏付けること。
• NIST-PQC候補のROLLOおよびRQCを、従来の手法と比較して優れた攻撃複雑度を示すことで、破壊または弱体化すること。
• 一般ミニランク問題へと手法を一般化し、GeMSS や Rainbow のような方式における既知の代数的攻撃複雑度を改善すること。

提案手法

• 誤差行列のランク条件から導かれる多項式方程式系としてランクデコーディング問題を再定式化する。
• 誤差行列の最大小行列の階数が0であることに着目し、高次多項式の代わりに一次方程式を生成する。
• 部分空間選択戦略を用いて方程式系を線形化し、Gröbナ基底の計算を回避する。
• 構造化された行列の最大小行列の消滅に注目することで、ミニランク問題に対しても同様の線形化技術を適用する。
• 符号および誤差行列の構造を活用し、一般性の仮定の下で、未定義だが解ける一次方程式系が得られることを保証する。
• 実験による検証と、既存の組合せ的および代数的アプローチとの攻撃複雑度比較を通じて、手法の有効性を検証する。

実験結果

リサーチクエスチョン

• RQ1 Gröbner基底を回避し、行列の小行列から導かれる一次方程式を解くことで、ランクデコーディング問題に対する代数的攻撃の効率化は可能か？
• RQ2 ランク距離暗号における構造化されたミニランクインスタンスに対して代数的攻撃が効果的に機能する理由は何か？どのような構造的性質がこれを可能にしているか？
• RQ3 NIST-PQC候補のROLLOおよびRQCに適用した場合、新規攻撃の理論的および実用的複雑度はどの程度か？
• RQ4 GeMSS や Rainbow のような方式に対して、新規手法は既存の最良の組合せ的および代数的攻撃と比較して、どのように差をつけるか？
• RQ5 線形化アプローチは、後量子暗号における他の構造的代数的問題へ一般化可能か？

主な発見

• 新規攻撃により、ROLLO-I-128の攻撃ビット複雑度は117から71にまで低下し、セキュリティマージンが顕著に弱体化した。
• ROLLO-I-192およびROLLO-I-256に対しても、従来の144および197ビットからそれぞれ87および151ビットに複雑度が低下した。
• 特定のパrameterセットでは、Gröbner基底の計算を完全に回避し、行列の小行列から導かれる一次方程式の解法に依存する。
• このアプローチはミニランク問題へも一般化可能であり、GeMSS や Rainbow に対して、既知の最高の代数的攻撃複雑度を達成し、既存の攻撃と同等またはわずかに優れた性能を示した。
• 理論的分析と実験の両方で、一般性の仮定の下で線形化戦略が有効であることが確認され、テストしたパrameterセット全体にわたり一貫した性能を示した。
• 新規のパrameterセットを提案し、新規攻撃に対して耐性を持つものとした。ROLLO-Iではキーサイズが約50%増加するのみで、実用性を保ったままである。