[논문 리뷰] The McEliece Cryptosystem Resists Quantum Fourier Sampling Attacks

Hang Dinh, Cristopher Moore외 1명|arXiv (Cornell University)|2010. 08. 13.

Coding theory and cryptography참고 문헌 26인용 수 10

한 줄 요약

이 논문은 잘 순열화되고 잘 혼합된 선형 코드로 구현된 McEliece 암호 체계가 양자 푸리에 변환 공격에 저항함을 보여준다. 특히, 이는 체계의 배경이 되는 숨겨진 부분군 문제(HSP)가 강력한 푸리에 변환 또는 코셋 상태 측정을 통해 해결될 수 없다는 것을 증명한다. 주요 기여는 쇼어 알고리즘에서 사용되는 주요 양자 공격 벡터에 대한 엄밀한 보안 증명이며, 이는 McEliece가 양자 이후 암호 체계로서의 자격을 더욱 강화한다.

ABSTRACT

Quantum computers can break the RSA and El Gamal public-key cryptosystems, since they can factor integers and extract discrete logarithms. If we believe that quantum computers will someday become a reality, we would like to have \emph{post-quantum} cryptosystems which can be implemented today with classical computers, but which will remain secure even in the presence of quantum attacks. In this article we show that the McEliece cryptosystem over \emph{well-permuted, well-scrambled} linear codes resists precisely the attacks to which the RSA and El Gamal cryptosystems are vulnerable---namely, those based on generating and measuring coset states. This eliminates the approach of strong Fourier sampling on which almost all known exponential speedups by quantum algorithms are based. Specifically, we show that the natural case of the Hidden Subgroup Problem to which the McEliece cryptosystem reduces cannot be solved by strong Fourier sampling, or by any measurement of a coset state. We start with recent negative results on quantum algorithms for Graph Isomorphism, which are based on particular subgroups of size two, and extend them to subgroups of arbitrary structure, including the automorphism groups of linear codes. This allows us to obtain the first rigorous results on the security of the McEliece cryptosystem in the face of quantum adversaries, strengthening its candidacy for post-quantum cryptography.

연구 동기 및 목표

• RSA 및 엘 가말 암호에 의해 깨지는 양자 푸리에 변환 기반의 양자 공격에 대해 McEliece 암호 체계의 보안을 확립하기 위해.
• McEliece의 기초가 되는 숨겨진 부분군 문제(HSP)가 군 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ 에서 강력한 푸리에 변환을 통해 해결될 수 있는지 조사하기 위해.
• 기존의 그래프 이sov머피즘에 대한 양자 푸리에 변환의 부정적 결과를, McEliece에서 사용되는 선형 코드의 자동군으로 확장하기 위해.
• 잘 순열화되고 잘 혼합된 코드를 사용하는 McEliece에 대해, 양자 이후 암호에서의 중요한 보안 격차를 메우는 첫 번째 엄밀한 양자 보안 증명을 제공하기 위해.
• 비가역 표현에 대한 특성 합의 감쇠를 분석하고, 푸리에 변환을 통한 코셋 상태의 구분 가능성에 상계를 제공하기 위해.

제안 방법

• McEliece 암호 체계의 맥락에서 숨겨진 부분군 문제(HSP)의 구조를 분석하며, 특히 군 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ 에 초점을 맞춘다.
• 표현 이론을 사용하여 군의 비가역 표현(irreps)의 차원과 특성 합을 상계하며, 특히 숨겨진 부분군에 해당하는 표현에 중점을 둔다.
• 레마 17을 적용하여 집합 $\Lambda_c$에 속하는 비가역 표현의 차원에 하한을 도출하며, 상수 $\delta, c, r$에 대해 $d_\lambda \geq e^{\delta cn - r/c^2}$ 를 얻는다.
• 정리 4를 활용하여 코셋 상태와 균일 상태 사이의 총 변동 거리 $\mathcal{D}_K$ 를 상계하며, $n^{-\gamma n}$ 으로 감쇠함을 보여, $n$ 이 크면 구분 가능성이 없음을 입증한다.
• 표현 $\overline{S}$ 가 아닌 경우에 대해 $\overline{\chi}_{\overline{S}}(K) \leq e^{-\delta m}$ 를 확보하며, $\mathrm{Aut}(M)$ 의 최소 차수 $m$ 을 사용하여 특성의 감쇠를 보장한다.
• 표현의 수 $|S|$, 차원 $d_S$, 그리고 $D = n^{dn}$ 을 고려하여 $|S| d_S^2 / D \leq n^{-\gamma_1 n}$ 을 도출함으로써, 유용한 비가역 표현을 측정할 확률이 무시할 만큼 작다는 것을 증명한다.

실험 결과

연구 질문

• RQ1 RSA 및 엘 가말 암호가 깨지는 것처럼, 잘 순열화되고 잘 혼합된 선형 코드를 사용하는 McEliece 암호 체계가 양자 푸리에 변환 공격을 통해 깨질 수 있는가?
• RQ2 잘 순열화된 선형 코드의 자동군과 관련된 숨겨진 부분군 문제가 강력한 푸리에 변환을 통해 해결될 수 있는가?
• RQ3 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ 의 부분군에 대해 비가역 표현의 특성 합이 어느 정도 감쇠하는가?
• RQ4 강력한 푸리에 변환을 포함한 모든 측정 방식에 대해, McEliece 시스템의 코셋 상태가 균일 상태와 구분 불가능한가?
• RQ5 그래프 이sov머피즘에 대한 양자 푸리에 변환의 부정적 결과를, McEliece에서 사용되는 선형 코드의 자동군으로 확장할 수 있는가?

주요 결과

• 잘 순열화되고 잘 혼합된 선형 코드를 사용하는 McEliece 암호 체계는 강력한 푸리에 변환과 코셋 상태 측정을 포함한 양자 푸리에 변환 공격에 저항한다.
• 코셋 상태와 균일 상태 사이의 총 변동 거리 $\mathcal{D}_K$ 는 $4|K|^2(e^{-\delta m} + n^{-\gamma n})$ 으로 상계되며, 이는 큰 $n$ 에서 구분 가능성이 없음을 보여준다.
• 관련 비가역 표현의 차원은 $d_S \leq 2q^{k^2}n^{2cn}$ 으로 증가하며, 이러한 표현의 수는 $|S| \leq q^{2k^2}e^{O(\sqrt{n})}$ 로 상계되며, 둘 다 $n$ 에 대해 지수함수보다 작다.
• 임의의 상수 $c < 1/6$ 과 $d > 4a + 4c$ 에 대해 $D = n^{dn}$ 일 때 $|S| d_S^2 / D \leq n^{-\gamma_1 n}$ 이 성립하며, 이는 유용한 푸리에 성분이 지수적으로 드물다는 것을 증명한다.
• 특성 합 $\overline{\chi}_{\overline{S}}(K)$ 는 $e^{-\delta m}$ 으로 지수적으로 감쇠하며, $m$ 은 $\mathrm{Aut}(M)$ 의 최소 차수이다. 이는 비-$S$ 표현이 기여하는 바가 무시할 만큼 작다는 것을 보장한다.
• 기존의 그래프 이sov머피즘에 대한 양자 푸리에 변환의 부정적 결과를 선형 코드의 자동군으로 확장하여, 이러한 공격에 대한 더 넓은 장벽을 설정한다.