[論文レビュー] MOBS (Matrices Over Bit Strings) public key exchange

Nael Mizanur Rahman, Vladimir Shpilrain|arXiv (Cornell University)|Jun 2, 2021

Cryptography and Data Security参考文献 6被引用数 6

ひとこと要約

本稿では、ビットストリングを要素とする行列と、加法と乗法の代わりに論理和（OR）および論理積（AND）演算を用いる、MOBS（Matrices Over Bit Strings）と呼ばれる新しい公開鍵交換プロトコルを提案する。この方式は、置換群を用いた半自己積を活用することで、標準的な代数的攻撃に対して耐性を示し、計算効率が高く、計算的Diffie-Hellmanに類似した仮定の下で強いセキュリティを達成する。最適化された状態では、標準的なハードウェア上でも1秒未塔で動作する。

ABSTRACT

We use matrices over bit strings as platforms for Diffie-Hellman-like public key exchange protocols. When multiplying matrices like that, we use Boolean OR operation on bit strings in place of addition and Boolean AND operation in place of multiplication. As a result, (1) computations with these matrices are very efficient; (2) standard methods of attacking Diffie-Hellman-like protocols are not applicable.

研究の動機と目的

• 従来のDiffie-Hellman方式を標的とする標準的な代数的攻撃に対して耐性を持つ新しい公開鍵交換プロトコルの設計。
• 実用的な鍵交換のため、ビットストリングにおける論理演算の計算効率を活用すること。
• 行列のべき乗ダイナミクスにおける短い軌道問題を、置換に基づく隠蔽技術を導入することで克服すること。
• 非結合的かつ非環的な半環的設定において、計算的Diffie-Hellman問題に類似した安全性仮定を確立すること。
• 得られる共有鍵が、予測可能な0ビットの偏りを示すが、ランダムに近い行列と計算的に区別不能であることを示すこと。これは妥当な仮定の下で安全である。

提案手法

• 本プロトコルは、固定長 $ k $ のビットストリングを要素とする $ n \times n $ 行列を用い、論理和（OR）を加法の代わりに、論理積（AND）を乗法の代わりに使用する。
• これらの演算を用いて行列乗算を実行し、加法逆元が存在しないため環ではなく、半群を形成する。
• 行列半群と対称群 $ S_k $ の間で半自己積を構築し、置換がビットストリングの要素に作用することで構造を隠蔽する。
• 共有秘密鍵は $ K = h^{a+b-1}(M) \cdot h^{a+b-2}(M) \cdots h(M) \cdot M $ として計算され、$ h $ は置換によって誘導される行列変換である。
• セキュリティは、$ X \cdot A = B $ のような行列方程式から $ X $ を解くことが困難であることに依存しており、特にビットストリング半環における一意でない性質により、複数の解が存在する場合に特に有効である。
• 本方式はPythonで実装されており、最適化を施しても標準的なハードウェア上で1秒未塔の性能を達成している。

実験結果

リサーチクエスチョン

• RQ1 1ビットの要素を持つ $ n \times n $ 行列について、$ \{M^s \mid s \in \mathbb{Z}_+\} $ の軌道に含まれる異なる行列の最大数は何か？
• RQ2 論理演算の下での行列のべき乗のダイナミクスはどのように振る舞い、実際のところ典型的な軌道はどれほど短いか？
• RQ3 置換群との半自己積を用いることで、行列ベースの鍵交換プロトコルに対する線形代数的攻撃を効果的に防げるか？
• RQ4 最終的な共有鍵における0ビットと1ビットの分布はどのようになるか？入力行列をランダムに生成した場合、その分布がランダムと統計的に区別不能になるか？
• RQ5 方程式 $ h(A) \cdot M = h^a(M) \cdot A $ が複数の解を持つ場合でも、公開行列 $ A = h^a(M) $ と $ B = h^b(M) $ から共有鍵を復元することは計算的に不可能か？

主な発見

• $ 3 \times 3 $ 行列で1ビットの要素を持つ場合、すべての1ビット行列 $ U $ に収束するまでの最長の軌道は4ステップであり、そのような行列は6つ特定された。
• $ 4 \times 4 $ 行列では、最長の軌道が9ステップに達し、その長さに達する行列は24個存在する。
• $ 5 \times 5 $ 行列では、$ U $ に到達するまでの最長の軌道が16ステップに達し、そのような行列は120個存在する。
• 入力ビットが1の確率が0.5で選ばれる場合、最終的な共有鍵 $ K $ の約67%のビットが0であるが、入力確率を約0.535に設定することで、0と1の割合を50%にバランスさせることができる。
• 複数の解が存在するため、『スライムアップ』攻撃に対して本システムは安全である。特に、ビットストリング長 $ k $ に対して、$ 2^k $ 個の解が発生するため、$ k = 200 $ の場合、全探索は計算的に不可能である。
• 最適化された状態では、標準デスクトップコンピュータ上でも本プロトコルは1秒未塔で実行され、算術演算ではなく論理演算を用いることで高い計算効率を実現している。