[论文解读] Solving the "Isomorphism of Polynomials with Two Secrets" Problem for all Pairs of Quadratic Forms

Jérôme Plût, Pierre-Alain Fouque+1 more|arXiv (Cornell University)|Jun 12, 2014

Polynomial and algebraic computation参考文献 18被引用 5

一句话总结

该论文提出了一种多项式时间算法，用于在奇特征有限域上求解两个齐次二次型的多项式同构问题（IP2S）。通过利用奇异二次线性束的Kronecker标准型，并将非交换代数上的双线性型约化，作者实现了计算两个秘密线性映射 $s$ 和 $t$ 的 $\widetilde{O}(n^4)$ 时间复杂度，从而在该设定下解决了所有 IP1S 和 IP2S 问题的实例。

ABSTRACT

We study the Isomorphism of Polynomial (IP2S) problem with m=2 homogeneous quadratic polynomials of n variables over a finite field of odd characteristic: given two quadratic polynomials (a, b) on n variables, we find two bijective linear maps (s,t) such that b=t . a . s. We give an algorithm computing s and t in time complexity O~(n^4) for all instances, and O~(n^3) in a dominant set of instances. The IP2S problem was introduced in cryptography by Patarin back in 1996. The special case of this problem when t is the identity is called the isomorphism with one secret (IP1S) problem. Generic algebraic equation solvers (for example using Gröbner bases) solve quite well random instances of the IP1S problem. For the particular cyclic instances of IP1S, a cubic-time algorithm was later given and explained in terms of pencils of quadratic forms over all finite fields; in particular, the cyclic IP1S problem in odd characteristic reduces to the computation of the square root of a matrix. We give here an algorithm solving all cases of the IP1S problem in odd characteristic using two new tools, the Kronecker form for a singular quadratic pencil, and the reduction of bilinear forms over a non-commutative algebra. Finally, we show that the second secret in the IP2S problem may be recovered in cubic time.

研究动机与目标

• 求解所有奇特征有限域上二次型对的IP2S问题。
• 将IP1S问题的解法扩展至非循环实例，克服以往方法在这些情形下效率低下的局限。
• 提供一个统一的算法框架，以多项式时间计算两个秘密线性映射 $s$ 和 $t$。
• 克服Gröbner基与先前代数求解器在非循环或高解多重性实例中失效的局限。

提出的方法

• 作者利用Kronecker标准型分析奇异二次线性束，实现对底层双线性型的结构化分解。
• 他们将问题约化为计算与线性束相关特征多项式不可约因子集合之间的射影变换。
• 对于每个不可约因子的次数 $d$，通过大小为 $O(n)$ 的根集上的组合匹配计算候选射影变换 $\gamma$。
• 他们根据估计的计算成本 $C_{d,e}$ 对候选对 $(d,e)$ 进行排序，优先处理低复杂度情形，以高效地交集解集。
• 当 $d \geq 5$ 时，应用随机射影变换组合以避免退化情况，确保导数保持非射影同构，从而实现有界计算。
• 最终解通过交集所有候选射影变换集 $\Gamma_{d,e}$ 获得，从而得到唯一的隐藏变换 $\gamma$。

实验结果

研究问题

• RQ1 能否在所有奇特征有限域上，对任意两个二次型的IP2S问题实现多项式时间求解，而不仅限于循环情形？
• RQ2 如何利用奇异二次线性束的结构来恢复两个秘密线性映射 $s$ 和 $t$？
• RQ3 在Gröbner基对高解多重性情形失效时，哪些线性代数与非交换代数工具可用于克服该问题？
• RQ4 是否可以将该解法推广至特征为2的域，或推广至多于两个方程的情形？

主要发现

• 该论文提出了一套完整算法，可在时间复杂度 $\widetilde{O}(n^4)$ 内求解所有奇特征有限域上二次型对的IP2S问题。
• 该解法超越了循环实例的限制，解决了以往工作仅能处理循环或低解多重性情形的关键局限。
• 利用二次线性束的Kronecker标准型，将问题分解为基于不可约因子次数的可管理子问题。
• 对于每个次数 $d$，候选射影变换的数量被限制在 $O(n^d)$ 以内，当按成本排序时，总计算量被限制在 $O(n^3)$ 个域运算。
• 通过交集候选集 $\Gamma_{d,e}$，该算法高效地计算出隐藏射影变换 $\gamma$，在实际中这些集合通常较小或唯一。
• 该方法成功在立方时间恢复了第二个秘密 $t$，证实了完整的IP2S问题可在多项式时间内求解。