[论文解读] Random subgroups and analysis of the length-based and quotient attacks

Alexei Myasnikov, Alexander Ushakov|ArXiv.org|Jul 10, 2007

Geometric and Algebraic Topology参考文献 21被引用 8

一句话总结

本文引入了有限生成群中随机子群的渐近分析，证明此类子群通常是自由的且拟等距嵌入，从而解释了在AAG等基于群的密码系统中，长度基攻击与商群攻击为何能成功。本文形式化了同时共轭搜索问题（SCSP*）的通用复杂度，并提出了商群攻击，当商群具有自由基性质且成员问题可高效求解时，此类攻击在指数级稠密的输入集合上均能成功。

ABSTRACT

In this paper we discuss generic properties of "random subgroups" of a given group G. It turns out that in many groups G (even in most exotic of them) the random subgroups have a simple algebraic structure and they "sit" inside G in a very particular way. This gives a strong mathematical foundation for cryptanalysis of several group-based cryptosystems and indicates on how to chose "strong keys". To illustrate our technique we analyze the Anshel-Anshel-Goldfeld (AAG) cryptosystem and give a mathematical explanation of recent success of some heuristic length-based attacks on it. Furthermore, we design and analyze a new type of attacks, which we term the quotient attacks. Mathematical methods we develop here also indicate how one can try to choose "parameters" in AAG to foil the attacks.

研究动机与目标

• 通过分析随机子群的渐近性质，为基于群的密码系统的密码分析建立数学基础。
• 解释为何长度基攻击（LBA）在非自由群（如辫群）中出人意料地有效。
• 引入并形式化一类新型攻击——商群攻击，其基于同态约化至具有有利算法性质的商群。
• 通过避免子群和元素落入通用且易受攻击的集合，为AAG及类似系统提供选择“强密钥”的框架。

提出的方法

• 引入随机子群中‘渐近主导’性质的概念，特别是自由基性质，该性质在许多群中具有通用性。
• 通过随机生成元组定义随机子群，并分析其在环境群中的测地线长度与扭曲度。
• 通过可计算的满同态 $\phi$，将原群中的成员问题与共轭搜索问题约化至商群 $G/N$，提出商群攻击。
• 利用如下事实：若 $G/N$ 具有自由基性质且 $G/N$ 中的成员问题可解，则MSP的启发式算法在指数级稠密的子群集合上成功。
• 将理论应用于辫群与部分交换群，表明商群中存在二次时间复杂度的字问题与自由基性质，从而支持高效攻击。
• 证明攻击的成功并非偶然，而是根植于随机子群的通用自由性与低扭曲度。

实验结果

研究问题

• RQ1 为何长度基攻击在非自由群（如辫群）中表现良好，尽管存在理论障碍？
• RQ2 随机子群的何种代数性质解释了长度基攻击在AAG密码系统中经验成功的根源？
• RQ3 商群攻击能否被形式化为基于群密码学的有效密码分析工具？
• RQ4 在何种条件下，子群中的成员搜索问题可约化为商群中可解的问题？
• RQ5 如何通过分析子群的渐近结构，数学上识别并避免AAG中的‘弱密钥’？

主要发现

• 在许多群（包括辫群与部分交换群）中，随机生成的子群通常是自由的，且拟等距嵌入，其扭曲度由线性函数有界。
• 长度基攻击之所以成功，是因为其隐式利用了随机子群为自由群，且子群中的测地线长度近似于环境群中的长度。
• 商群攻击被形式化证明有效：当商群 $G/N$ 具有自由基性质且 $G/N$ 中的成员问题可解时，MSP的启发式算法在指数级稠密的输入集合上成功。
• 对于纯辫群 $PB_n$ 与非交换部分交换群，相对于子群的同步共轭搜索问题（SCSP*）在指数级稠密的输入集合上可于二次时间求解。
• 所提出的商群攻击算法在纯辫群与部分交换群上的时间复杂度为 $O(n^2)$，与字问题的时间复杂度一致。
• 研究结果为通过避免落入通用且易受攻击的子群与元素集合，为AAG提供严格选择强密钥的依据。