[论文解读] On the complexity of the Rank Syndrome Decoding problem

Philippe Gaborit, Olivier Ruatta+1 more|arXiv (Cornell University)|Jan 6, 2013

Coding theory and cryptography参考文献 26被引用 7

一句话总结

本文提出了针对秩综合征解码（RSD）问题的两种新型攻击：一种将码长纳入指数复杂度的组合攻击，以及一种利用 $q$-多项式（消去多项式）的代数攻击，通过在 $GF(q^m)$ 中减少未知数，使某些条件下可实现多项式时间求解。关键贡献在于破解了所有近期基于 GPT 的密码系统参数，部分参数使用新代数方法在一秒内即被攻破。

ABSTRACT

In this paper we propose two new generic attacks on the Rank Syndrome Decoding (RSD) problem Let $C$ be a random $[n,k]$ rank code over $GF(q^m)$ and let $y=x+e$ be a received word such that $x \in C$ and the $Rank(e)=r$. The first attack is combinatorial and permits to recover an error $e$ of rank weight $r$ in $min(O((n-k)^3m^3q^{r\lfloor\frac{km}{n} floor}, O((n-k)^3m^3q^{(r-1)\lfloor\frac{(k+1)m}{n} floor}))$ operations on $GF(q)$. This attack dramatically improves on previous attack by introducing the length $n$ of the code in the exponent of the complexity, which was not the case in previous generic attacks. which can be considered The second attack is based on a algebraic attacks: based on the theory of $q$-polynomials introduced by Ore we propose a new algebraic setting for the RSD problem that permits to consider equations and unknowns in the extension field $GF(q^m)$ rather than in $GF(q)$ as it is usually the case. We consider two approaches to solve the problem in this new setting. Linearization technics show that if $n \ge (k+1)(r+1)-1$ the RSD problem can be solved in polynomial time, more generally we prove that if $\lceil \frac{(r+1)(k+1)-(n+1)}{r} ceil \le k$, the problem can be solved with an average complexity $O(r^3k^3q^{r\lceil \frac{(r+1)(k+1)-(n+1)}{r} ceil})$. We also consider solving with \grob bases for which which we discuss theoretical complexity, we also consider consider hybrid solving with \grob bases on practical parameters. As an example of application we use our new attacks on all proposed recent cryptosystems which reparation the GPT cryptosystem, we break all examples of published proposed parameters, some parameters are broken in less than 1 s in certain cases.

研究动机与目标

• 为解决秩综合征解码（RSD）问题长期存在的通用复杂度边界空白，此前的复杂度界未在指数项中考虑码长 $n$。
• 提出一种基于 $q$-多项式（线性化多项式）的新代数框架，通过直接在 $GF(q^m)$ 而非 $GF(q)$ 中工作，最小化未知数。
• 在理论与实践层面均对现有攻击提供改进，尤其针对基于 Gabidulin 码及其变体的密码系统。
• 破解所有近期提出的 GPT 类型密码系统参数，包括对 Overbeck 结构攻击具有抗性的参数。

提出的方法

• 提出一种组合攻击，通过将码长 $n$ 纳入指数复杂度，推广 Chabaud-Stern 与 Ourivski-Johansson 攻击，复杂度为 $O((n-k)^3 m^3 q^{rloor{km/n}})$ 或 $O((n-k)^3 m^3 q^{(r-1)loor{(k+1)m/n}})$ 次运算。
• 引入一种新的代数设定，利用 $q$-多项式（消去多项式）将秩为 $r$ 的误差子空间 $E$ 表征为 $GF(q^m)$ 中首一 $q$-多项式的根空间，其 $q$-次数为 $r$。
• 将未知数从 $GF(q)$ 上的 $n r$ 个减少为 $GF(q^m)$ 上的 $k + r$ 个未知数，方程形式为 $P(y_j - extstyleigsum_i c_i g_{ij}) = 0$，其中 $P$ 为消去多项式。
• 应用线性化技术，证明当 $n \geq (k+1)(r+1) - 1$ 时，可在多项式时间内求解，复杂度为 $O(r^3 k^3 q^{r \lceil \frac{(r+1)(k+1)-(n+1)}{r} \rceil})$，在特定条件下成立。
• 考虑使用 Gröbner 基的混合求解方法，分析该新代数设定下系统的理论与实际复杂度。

实验结果

研究问题

• RQ1 能否在通用 RSD 攻击的指数复杂度中合理地纳入码长 $n$，从而改进此前与 $n$ 无关的复杂度界？
• RQ2 在 $GF(q^m)$ 中使用 $q$-多项式（消去多项式）是否能减少 RSD 代数攻击中的未知数数量，从而实现更高效的求解？
• RQ3 在何种条件下，可通过新代数框架中的线性化技术实现 RSD 问题的多项式时间求解？
• RQ4 Gröbner 基方法在求解由消去多项式设定导出的新方程组时，其有效性如何？
• RQ5 所提出的攻击能否破解所有近期 GPT 类型密码系统，包括那些设计用于抵抗 Overbeck 结构攻击的系统？

主要发现

• 组合攻击通过在指数中纳入码长 $n$，改进了先前的通用攻击，复杂度为 $O((n-k)^3 m^3 q^{rloor{km/n}})$ 或 $O((n-k)^3 m^3 q^{(r-1)loor{(k+1)m/n}})$。
• 当 $n \geq (k+1)(r+1) - 1$ 时，可在新代数设定中通过线性化实现 RSD 问题的多项式时间求解。
• 证明了在条件 $\lceil \frac{(r+1)(k+1)-(n+1)}{r} \rceil \leq k$ 下，使用线性化求解 RSD 的一般复杂度界为 $O(r^3 k^3 q^{r \lceil \frac{(r+1)(k+1)-(n+1)}{r} \rceil})$。
• 新代数设定将未知数从 $GF(q)$ 上的 $n r$ 个减少为 $GF(q^m)$ 上的 $k + r$ 个，显著提升了效率。
• 所有近期 GPT 类型密码系统提出的参数，包括对 Overbeck 攻击具有抗性的参数，均被新攻击破解，部分使用代数方法在 1 秒内完成。
• 对于实际参数，基于消去多项式设定的代数攻击优于其他方法，包括 Gröbner 基与混合技术。