[論文レビュー] NNRU, a noncommutative analogue of NTRU

Nitin Vats|ArXiv.org|Feb 11, 2009

Cryptography and Data Security参考文献 13被引用数 10

ひとこと要約

この論文は、非可換な NTRU lattice に基づく公開鍵暗号方式である NNRU を提案する。NNRU は、行列乗法によって非可換性を保証する環 $\mathbf{M} = M_k(\mathbb{Z})[X]/(X^n - I_{k\times k})$ 上で動作する。非アーベルな行列演算と高度な行列乗法アルゴリズムを活用することで、NTRU と同等のメッセージサイズにおいて、完全に格子攻撃に対して安全であり、標準 NTRU よりも最大 $O(k^{1.624})$ の高速化を達成する。

ABSTRACT

NTRU public key cryptosystem is well studied lattice-based Cryptosystem along with Ajtai-Dwork and GGH systems. Underlying NTRU is a hard mathematical problem of finding short vectors in a certain lattice. (Shamir 1997) presented a lattice-based attack by which he could find the original secret key or alternate key. Shamir concluded if one designs a variant of NTRU where the calculations involved during encryption and decryption are non-commutative then the system will be secure against Lattice based attack.This paper presents a new cryptosystem with above property and we have proved that it is completely secure against Lattice based attack. It operates in the non-commutative ring M=M_k Z[X]/(X^n - I_{k*k}, where M is a matrix ring of k*k matrices of polynomials in R={Z}[X]/(X^n-1). Moreover We have got speed improvement by a factor of O(k^{1.624) over NTRU for the same bit of information.

研究の動機と目的

• NTRU 及びその変種が可換多項式環を利用することによる格子攻撃への脆弱性を是正すること。
• 非可換代数的構造を基盤として、より安全な公開鍵暗号方式を構築することの可能性を調査すること。
• 格子攻撃に対する耐性を高めつつも、暗号化/復号化の速度において NTRU の高い性能を維持または向上させること。
• 非可換性が、NTRU の攻撃に用いられる既知の格子短縮技術を根本的になくすことを実証すること。

提案手法

• NNRU は、非可換環 $\mathbf{M} = M_k(\mathbb{Z})[X]/(X^n - I_{k\times k})$ 上で動作し、要素は $\mathbb{Z}[X]/(X^n - 1)$ 上の $k \times k$ 行列である。
• 復号化時に両側行列乗法が使用され、非可換性により攻撃者の探索空間が NTRU よりも2乗的に大きくなる。
• 計算的推定には $L^2$ ノルムを用い、実験的推定を通じて $L^\infty$ ノルムと関連づけ、$n < 1000$ の場合に $\gamma < 0.15$ のスケーリング係数を導出する。
• 安全性分析では、非可換構造が、秘密鍵に対応する短いベクトルを持つ有用な格子を構築できないことにより、格子攻撃が失敗することを示す。
• Coppersmith のアルゴリズムと指数 $e \approx 2.376$ の高速行列乗法を用いて、行列逆行列計算および多項式行列演算を高速化し、計算複雑性を低減する。
• $N = nk^2$ を等価な平文ブロックサイズとして定義することで、NTRU と NNRU の間で操作回数を直接比較可能にする。

実験結果

リサーチクエスチョン

• RQ1 可換な NTRU の類似物として、格子攻撃に対して完全に安全な非可換なアナログを構築できるか？
• RQ2 行列環 $M_k(\mathbb{Z})[X]/(X^n - I_{k\times k})$ の使用が、可換 NTRU で成功した格子短縮技術を根本的になくすか？
• RQ3 NNRU の非可換構造が、標準 NTRU よりも暗号化・復号化において顕著な高速化をもたらすか？
• RQ4 非可換性は、NTRU と比較して公開鍵および秘密鍵のサイズと構造にどのような影響を与えるか？

主な発見

• NNRU は、環 $\mathbf{M}$ 内の行列乗法の非可換性のおかげで、NTRU の攻撃に使われる格子構成が無効になるため、完全に格子攻撃に対して安全である。
• 同じ平文ブロックサイズ $N = nk^2$ の場合、NNRU では NTRU の $O(N^2) = O(nk^4)$ から、Coppersmith の行列乗法アルゴリズムを用いることで $O(nk^{2.376})$ に操作回数を削減できる。
• FFT を用いた多項式乗法を適用すると、複雑性はさらに $O(nk^{2.376} \log n)$ に低下し、NTRU の $O(N^2)$ に比べて顕著な高速化が達成される。
• NNRU の公開鍵は NTRU の公開鍵の2倍の長さであるが、秘密鍵のサイズは同じであり、鍵長と安全性のトレードオフが生じている。
• システムは NTRU と同様に、帯域幅使用効率を保つための同じメッセージ拡張比 $\log_p q$ を維持している。
• 本論文では、非可換な環構造上では、モジュラ方程式やミートインザミドル技術に依存する格子攻撃が、行列環上では解ける線形系が存在しないため失敗することを実証している。