[논문 리뷰] LDPC codes in the McEliece cryptosystem: attacks and countermeasures

Marco Baldi|ArXiv.org|2007. 09. 30.

Coding theory and cryptography인용 수 4

한 줄 요약

이 논문은 키 크기를 줄이고 전송률을 향상시키면서도 보안성을 유지하기 위해, 준주기적 낮은 밀도 검사 행렬(QC-LDPC) 코드를 사용하는 수정된 McEliece 암호 체계를 제안한다. 최근의 공개 키 변환에서 발생하는 구조적 결함을 악용하는 공격에 대비한 대응 조치를 도입하여, 구성 행렬에 대한 미세한 변경만으로도 복잡도를 증가시키지 않고도 보안을 유지할 수 있음을 입증한다. 이는 확장 가능하고 고성능의 양자 이후 암호화를 가능하게 한다.

ABSTRACT

The McEliece cryptosystem is a public-key cryptosystem based on coding theory that has successfully resisted cryptanalysis for thirty years. The original version, based on Goppa codes, is able to guarantee a high level of security, and is faster than competing solutions, like RSA. Despite this, it has been rarely considered in practical applications, due to two major drawbacks: i) large size of the public key and ii) low transmission rate. Low-Density Parity-Check (LDPC) codes are state-of-art forward error correcting codes that permit to approach the Shannon limit while ensuring limited complexity. Quasi-Cyclic (QC) LDPC codes are a particular class of LDPC codes, able to join low complexity encoding of QC codes with high-performing and low-complexity decoding of LDPC codes. In a previous work it has been proposed to adopt a particular family of QC-LDPC codes in the McEliece cryptosystem to reduce the key size and increase the transmission rate. Recently, however, new attacks have been found that are able to exploit a flaw in the transformation from the private key to the public one. Such attacks can be effectively countered by changing the form of some constituent matrices, without altering the system parameters. This work gives an overview of the QC-LDPC codes-based McEliece cryptosystem and its cryptanalysis. Two recent versions are considered, and their ability to counter all the currently known attacks is discussed. A third version able to reach a higher security level is also proposed. Finally, it is shown that the new QC-LDPC codes-based cryptosystem scales favorably with the key length.

연구 동기 및 목표

• 원래의 McEliece 암호 체계의 두 주요 단점인 큰 공개 키 크기와 낮은 전송률을 해결하기 위해.
• 특히 희박한 변환 행렬을 악용하는 공격에 취약한 LDPC 기반 McEliece 변종의 보안을 고전적 공격 및 최신 개발된 공격에 대해 평가하기 위해.
• 낮은 계산 복잡도를 유지하면서도 안전하고 효율적이며 확장 가능한 QC-LDPC 코드를 사용하는 McEliece 암호 체계의 변종을 제안하기 위해.
• 공개 키 변환 행렬에 대한 미세한 수정이 성능을 저하시키지 않으면서도 최근의 암호 분석 공격을 효과적으로 차단할 수 있음을 입증하기 위해.
• 키 크기가 증가함에 따라 QC-LDPC 기반 시스템이 원래 시스템의 제곱형 증가와 대비하여 선형 증가하는 방식으로 유리하게 확장될 수 있음을 보여주기 위해.

제안 방법

• 희박한 검사 행렬을 가진 준주기적 LDPC 코드를 사용하여 키 크기를 줄이고 전송률을 높이며, 효율적인 인코딩과 디코딩을 위한 구조를 유지한다.
• 비어 있는 전환 행렬을 적용하여 비밀 코드의 구조를 은폐함으로써 이전의 LDPC 기반 변종에서 발생하는 희박한 전환을 악용하는 공격을 방지한다.
• 공개 키는 비밀 키를 밀도 높은 행렬과 순열을 통해 변환하여 생성되며, 이로 인해 생성된 생성 행렬이 무작위처럼 보이고 기반 코드의 구조를 숨긴다.
• LDPC 코드의 효율적인 합-곱 알고리즘(SPA) 디코딩을 활용하여 복호화 복잡도를 최소화하고 고처리량을 달성한다.
• 제안된 대응 조치는 공개 키 변환의 구성 행렬 형태를 수정하는 것으로, 이는 공격 벡터를 차단하면서도 시스템 파라미터를 변경하거나 계산 비용을 증가시키지 않는다.
• 보안은 정보 집합 디코딩, Stern 유형 알고리즘, 희박한 구조를 공격 대상으로 삼는 공격 등 알려진 공격에 대해 평가되며, 복잡도 추정과 키 크기 스케일링을 통한 성능 분석이 수행된다.

실험 결과

연구 질문

• RQ1 QC-LDPC 코드는 보안성을 훼손하지 않으면서도 키 크기를 줄이고 전송률을 향상시키기 위해 McEliece 암호 체계에 안전하게 통합될 수 있는가?
• RQ2 최근의 공격이 희박한 변환 행렬을 악용하여 LDPC 기반 McEliece 변종을 공격하는 방식은 무엇이며, 이를 효과적으로 무력화시키기 위한 구조적 변경은 무엇인가?
• RQ3 QC-LDPC 기반 McEliece 시스템은 보안 수준을 높이기 위해 얼마나 잘 확장될 수 있으며, 효율성과 낮은 복잡도를 유지할 수 있는가?
• RQ4 RSA 및 원래의 McEliece 시스템과 비교해 볼 때, QC-LDPC 기반 변종의 암호화 및 복호화에 드는 계산 비용은 얼마인가?
• RQ5 시스템은 RSA와 비교해도 성능이 유사하거나 뛰어나며, 양자에 강건한 공격을 포함한 모든 알려진 공격에 대해 보안을 유지할 수 있는가?

주요 결과

• 첫 번째 QC-LDPC 기반 McEliece 변종은 키 크기를 6144바이트로 줄였으며, 원래의 McEliece 시스템(67072바이트)보다 10배 이상 작고, Niederreiter 변종보다도 5배 이상 작다.
• 시스템은 전송률 0.75(3/4)를 달성하여 원래의 McEliece 시스템의 0.51보다 훨씬 높아져 실용적 통신에서의 효율성이 향상된다.
• 두 번째 변종은 첫 번째와 동일한 키 크기를 유지하면서 전송률을 2/3으로 낮춤으로써 보안 수준을 약 2^10 배 증가시켰으며, 성능과 보안 사이의 트레이드오프를 보여준다.
• 세 번째 변종은 키 크기를 12288바이트로 두 배로 늘려 보안 수준을 2^106.5로 확보했으며, 여전히 원래 시스템보다 5배 이상 작다. 이는 코드 길이에 따라 선형 증가하는 유리한 스케일링을 보여준다.
• 암호화 및 복호화의 계산 비용은 낮게 유지된다: 첫 번째 변종의 경우, 정보 비트당 암호화 비용은 658회, 복호화 비용은 4678회이며, 이는 RSA의 비트당 738112회보다 크게 낮다.
• 시스템은 구성 행렬을 공개 키 변환에서 수정함으로써 모든 알려진 공격, 특히 향상된 Stern 유형 알고리즘과 희박한 전환에 대한 구조적 공격을 저지한다. 이는 시스템 파라미터를 변경하거나 복잡도를 증가시키지 않으면서도 가능하다.