[논문 리뷰] SALSA: Attacking Lattice Cryptography with Transformers

Emily Wenger, Mingjie Chen외 2명|arXiv (Cornell University)|2022. 07. 11.

Cryptography and Data Security인용 수 10

한 줄 요약

이 논문은 트랜스포머를 사용한 러닝 윗 에러(LWE) 기반 격자 암호의 새로운 기계학습 공격인 SALSA를 소개한다. 트랜스포머가 모듈로 산술을 학습할 수 있음을 보여주며, 통계적 암호분석과 조합했을 때 차원 n=128까지 희박한 이진 비밀을 복구할 수 있음을 입증한다. 이는 트랜스포머를 격자 문제의 암호분석에 성공적으로 적용한 최초의 사례이다.

ABSTRACT

Currently deployed public-key cryptosystems will be vulnerable to attacks by full-scale quantum computers. Consequently, "quantum resistant" cryptosystems are in high demand, and lattice-based cryptosystems, based on a hard problem known as Learning With Errors (LWE), have emerged as strong contenders for standardization. In this work, we train transformers to perform modular arithmetic and combine half-trained models with statistical cryptanalysis techniques to propose SALSA: a machine learning attack on LWE-based cryptographic schemes. SALSA can fully recover secrets for small-to-mid size LWE instances with sparse binary secrets, and may scale to attack real-world LWE-based cryptosystems.

연구 동기 및 목표

• 트랜스포머가 유한체 위에서 모듈로 산술을 학습하고 계산할 수 있는지 조사한다.
• 학습 기반 공격을 LWE 문제에 적용함으로써, 양자 컴퓨팅 이후 기반 암호의 핵심 가정인 LWE 문제에 대한 기계학습 기반 공격을 개발한다.
• 트랜스포머가 LWE 샘플과 무작위 데이터 사이의 통계적 차이를 식별하고 비밀 벡터를 복구할 수 있는지 입증한다.
• 부분적으로 훈련된 모델과 통계 기법을 활용한 실용적인 비밀 복구 알고리즘을 설계한다.
• 이러한 공격이 실제 세계의 격자 기반 암호시스템에 확장 가능한지 탐색한다.

제안 방법

• 합성 LWE 샘플을 사용해 입력 벡터 a에서 노이즈 있는 내적 b = a·s + e mod q를 예측하도록 트랜스포머 모델을 훈련한다.
• 모델이 정수와 벡터에 대해 모듈로 산술을 수행할 수 있음을 핵심 계산 원리로 활용한다.
• 훈련된 모델을 사용해 LWE 인스턴스와 균일하게 무작위로 생성된 데이터를 고정밀도로 구분한다.
• 두 가지 비밀 복구 알고리즘을 개발한다: 하나는 모델 예측의 통계 분석 기반이고, 다른 하나는 부분적 모델 출력을 반복적으로 개선하는 방식이다.
• 반타작된 모델과 통계 기법을 조합해 비밀 복구에 필요한 데이터와 시간을 줄인다.
• 희박한 이진 비밀을 가진 LWE 인스턴스에 공격을 적용하며, 비밀 분포의 구조적 약점을 악용한다.

실험 결과

연구 질문

• RQ1 트랜스포머는 유한체 위에서 모듈로 산술을 효과적으로 학습할 수 있는가?
• RQ2 트랜스포머 기반 모델은 LWE 샘플과 무작위 데이터 사이의 통계적 차이를 감지할 수 있는가?
• RQ3 모델의 예측 결과를 사용해 희박한 이진 비밀을 가진 LWE에서 비밀 벡터 s를 재구성할 수 있는가?
• RQ4 부분적 또는 저정확도 모델을 얼마나 활용해 실용적인 비밀 복구 공격을 수행할 수 있는가?
• RQ5 이러한 접근 방식은 실생활의 양자 컴퓨팅 후 암호시스템에서 사용되는 LWE 인스턴스와 같은 더 큰 LWE 인스턴스로 확장 가능한가?

주요 결과

• 트랜스포머는 정수와 벡터에 대해 높은 정확도로 모듈로 산술을 학습하고 수행할 수 있으며, 유한체 내에서도 마찬가지다.
• 훈련된 모델은 LWE 샘플과 무작위 데이터를 고정밀도로 구분하며, 이는 LWE 문제의 기본 구조를 잘 포착하고 있음을 시사한다.
• SALSA는 차원 n=128까지의 LWE 인스턴스에서 희박한 이진 비밀을 성공적으로 복구했으며, 다름스터 대학의 LWE 도전 과제와 같은 규모이다.
• 부분적으로 훈련된 모델을 사용해도 공격가능성이 유지되며, 필요한 데이터와 훈련 시간이 감소한다.
• 모델 출력의 통계 분석 기반 비밀 복구 알고리즘은 낮은 모델 정확도로도 효율적인 공격을 가능하게 한다.
• 결과적으로 더 큰 트랜스포머 아키텍처가 실생활에서 사용되는 고차원 LWE 인스턴스, 예를 들어 n=256로 확장 가능할 수 있음을 시사한다.