[論文レビュー] On the security of a Loidreau's rank metric code based encryption scheme

Daniel Coggia, Alain Couvreur|arXiv (Cornell University)|Mar 7, 2019

Coding theory and cryptography参考文献 11被引用数 7

ひとこと要約

本稿では、パラメータλ=2でかつ公開コードのレートが1/2以上である場合、Loidreauのランクメトリック符号に基づく暗号方式に対して多項式時間の鍵回復攻撃を提示する。攻撃は、双対符号上のフロベニウス作用に基づく構造的区別子を活用し、有限体上での線形代数と根の抽出により、秘密のガビドゥリン符号構造を効率的に回復可能であり、暗号的パラメータにおいて数秒で実装に成功している。

ABSTRACT

We present a polynomial time attack of a rank metric code based encryption scheme due to Loidreau for some parameters.

研究の動機と目的

• 特定のパラメータ選択下でのLoidreauのランクメトリック符号に基づく暗号方式の安全性を分析すること。
• λ=2でかつ公開コードのレートが高率（R_pub ≥ 1/2）である場合の、この方式における構造的脆弱性を同定すること。
• 公開鍵に隠された構造を特定することで、多項式時間の鍵回復攻撃を開発すること。
• Loidreau方式における特定のパラメータセットの不安全性を実用的 cryptanalysis によって示すこと。

提案手法

• 双対符号上のフロベニウス写像の作用を分析することで区別子を構築し、隠れた構造を露呈する。
• 双対符号 C_pub⊥ 及びそのフロベニウスシフト C_pub⊥[i] を計算し、フロベニウス作用における不変性を検出する。
• 繰り返しの交差を用いてフロベニウスシフトされた双対符号の低次元部分空間構造を回復する。
• 線形方程式系を解き、秘密符号の生成行列を再構成するのに役立つペア (u_ij, v_ij) を回復する。
• Cantor–Zassenhausアルゴリズムを用いて、F_q^m 上の1変数多項式 P_γ を因数分解し、秘密パラメータ γ′ を回復する。
• 回復された構造と公開鍵、既知の符号パラメータを組み合わせることで、秘密のガビドゥリン符号を再構成する。

実験結果

リサーチクエスチョン

• RQ1 λ=2 かつ R_pub ≥ 1/2 の場合、Loidreauのランクメトリック符号に基づく方式の公開鍵は、ランダムな符号と区別可能か？
• RQ2 これらのパラメータ条件下で、Loidreau方式に対する多項式時間の鍵回復攻撃は可能か？
• RQ3 この状況下で、区別子の構築を可能にする双対符号の構造的性質は何か？
• RQ4 暗号的パラメータに対して、攻撃は実用的にどの程度効率的か？

主な発見

• λ=2 でかつ公開コードのレートが1/2以上である場合、多項式時間の鍵回復攻撃が可能であり、このパラメータ設定では方式が完全に不安全であることが判明した。
• 攻撃は F_q^m 上で O(n^ω+1) の演算で実行可能であり、実用的な Magma 実装により、q=2, m=50, n=50, k=32 のようなパラメータで数秒で鍵を回復できた。
• 攻撃は、C_pub⊥ = G_{n−k}(a') · (Q₀ + γ'Q₁)^T を満たす秘密構造 (a, γ'Q₀, Q₁) を正常に回復した。
• より大きな λ に対しても、n(1−1/λ)+1 < k < n−λ の条件下で区別子は有効であり、より広範な構造的脆弱性を示している。
• 攻撃は効率的かつ実用的であり、パラメータ (q=2, m=50, n=50, k=32)、(m=80, n=70, k=41)、(m=120, n=110, k=65) に対してそれぞれ平均0.6秒、1.2秒、9.5秒の実行時間であった。