[論文レビュー] On the security of subspace subcodes of Reed-Solomon codes for public key encryption

Alain Couvreur, Matthieu Lequesne|arXiv (Cornell University)|Sep 12, 2020

Coding theory and cryptography参考文献 49被引用数 13

ひとこと要約

この論文は、拡張度の半分を上回る次元を持つ部分空間部分符号のセキュリティを破る多項式時間の区別者を、新しい演算であるねじれ平方積（twisted square product）を用いて導入している。この攻撃により、McEliece型暗号方式が部分空間部分符号を用いる場合に、次元λ > m/2の条件下で破られる。特にXGRS方式においてλ=2, m=3のようなパラメータについても、秘密鍵が効率的に回復可能であり、λ > m/2の場合はこのような符号が安全でないことが示された。

ABSTRACT

This article discusses the security of McEliece-like encryption schemes using subspace subcodes of Reed-Solomon codes, i.e. subcodes of Reed-Solomon codes over $\\mathbb{F}_{q^m}$ whose entries lie in a fixed collection of $\\mathbb{F}_q$-subspaces of $\\mathbb{F}_{q^m}$. These codes appear to be a natural generalisation of Goppa and alternant codes and provide a broader flexibility in designing code based encryption schemes. For the security analysis, we introduce a new operation on codes called the twisted product which yields a polynomial time distinguisher on such subspace subcodes as soon as the chosen $\\mathbb{F}_q$-subspaces have dimension larger than $m/2$. From this distinguisher, we build an efficient attack which in particular breaks some parameters of a recent proposal due to Khathuria, Rosenthal and Weger.

研究の動機と目的

• リード・ソロモン符号の部分空間部分符号に基づくMcEliece型公開鍵暗号方式の安全性を分析すること。
• このような符号に内在する構造的欠陥を同定し、効率的な秘密鍵回復攻撃を可能にする要因を特定すること。
• 完全なGRS符号（既に破られていることが知られている）と部分体部分符号（すなわち、交替符号とみなされ、安全であるとされる）の間の安全ギャップを、中間的なケースを分析することで埋めること。
• 短い鍵を実現するために構造化された部分空間部分符号を用いる最近の提案（例：XGRS）の安全性を評価すること。
• 現在の攻撃が適用できないλ ≤ m/2の部分空間部分符号について、区別可能性および鍵回復の限界を特定すること。

提案手法

• 部分空間部分符号をランダム符号と区別するための新しい代数的ツールとして、ねじれ平方積（twisted square product）を導入する。
• λ > m/2の条件下で、部分空間部分符号のねじれ平方が、ランダム符号と比べて著しく次元が小さいことを証明する。
• 次元の差異を用いて、コードがランダムでないことを検出する区別者を構築し、さらなる暗号解析を可能にする。
• 正しい基底が与えられた場合に低次元のコードが得られることを利用し、「推測して圧縮する（guess and squeeze）」アルゴリズムを適用して、コード拡張に使われた秘密基底を回復する。
• コードを短縮して次元を低下させ、次元1の最小コードを分離する。その後、このコードを用いて元の構造を回復する。
• 区別者と圧縮技術を繰り返し適用することで、段階的にブロックごとの基底を回復し、秘密鍵を再構築する。

実験結果

リサーチクエスチョン

• RQ1 λ > m/2の条件のもとで、リード・ソロモン符号の部分空間部分符号を多項式時間でランダム符号と区別できるか？
• RQ2 ねじれ平方積演算は、このような符号を用いたMcEliece型方式に対して実用的な秘密鍵回復攻撃を可能にするか？
• RQ3 この新しい区別者と攻撃によって、XGRS方式のセキュリティはどの程度崩壊するか？
• RQ4 同様の部分空間部分符号構成を用いる他の符号族に対しても、この攻撃を一般化できるか？
• RQ5 現在の区別者が適用できないλ ≤ m/2の部分空間部分符号のセキュリティ状態はいかなるものか？

主な発見

• λ > m/2の条件下で、ねじれ平方積演算により、リード・ソロモン符号の部分空間部分符号を多項式時間で区別する区別者が可能である。
• 区別者は、ランダム符号と比べてねじれ平方コードの次元が著しく低下するという特徴を活用しており、これは多項式時間で検出可能である。
• 攻撃により、XGRS方式のλ=2, m=3というパラメータについても、以前は安全とされていたものが破られた。
• 秘密鍵回復攻撃の計算量は、F_q上でのO(q^{2m(m−1)} + nq^{m(m−1)})であり、小規模なmおよびqでは実行可能である。
• 基底が単項式（例：(1,γ,…,γ^{m−1})）であることが既知の場合、最適化が可能となり、計算量はO(q^{2m} + nq^m)に削減される。
• この手法により、スケーリングを除いて秘密符号が回復可能であり、これにより得られた一般化リード・ソロモン符号に対して、既知の攻撃（例：シデリコフ・シェスタコフ攻撃）をさらに適用可能となる。