[論文レビュー] Towards practical key exchange from ordinary isogeny graphs

Luca De Feo, Jean Kieffer+1 more|arXiv (Cornell University)|Sep 20, 2018

Cryptography and Data Security参考文献 22被引用数 6

ひとこと要約

この論文は、長らく放棄されていたCouveignes–Rostovtsev–Stolbunov（CRS）のIsogenyベース鍵交換フレームワークを再活性化し最適化し、拡張体上でのVéluの公式とElkiesの根探索技術を用いたIsogeny計算の効率的アルゴリズムを導入することで、128ビットの古典的セキュリティを達成する実用的な性能を実現した。鍵交換に520秒を要するが、これは後量子暗号における非インタラクティブ鍵交換への実現可能性を示す道筋を提示した。

ABSTRACT

We revisit the ordinary isogeny-graph based cryptosystems of Couveignes and Rostovtsev-Stolbunov, long dismissed as impractical. We give algorithmic improvements that accelerate key exchange in this framework, and explore the problem of generating suitable system parameters for contemporary pre-and post-quantum security that take advantage of these new algorithms. We also prove the session-key security of this key exchange in the Canetti-Krawczyk model, and the IND-CPA security of the related public-key encryption scheme, under reasonable assumptions on the hardness of computing isogeny walks. Our systems admit efficient key-validation techniques that yield CCA-secure encryp-tion, thus providing an important step towards efficient post-quantum non-interactive key exchange (NIKE).

研究の動機と目的

• 長年にわたり不実用的と見なされてきたCouveignes–Rostovtsev–Stolbunov（CRS）のIsogenyベース鍵交換を、現代的かつ実用的なものに再活性化する。
• CRSにおける性能ボトルネックを解消するため、特にVéluの公式とElkiesステップ最適化を用いたIsogeny計算の効率的アルゴリズムを開発する。
• Isogenyウォークの計算困難性仮定に基づき、Canetti–Krawczykモデルにおける鍵交換とIND-CPAモデルにおける公開鍵暗号の形式的セキュリティ証明を提供する。
• 効率的な鍵検証を実現し、CCAセキュアな非インタラクティブ鍵交換（NIKE）への道筋を提供する。これはSIDHでは実現不可能である。
• 最適化されたウォーク長の境界と曲線選択を用いて、現代の前量子および後量子セキュリティレベルに対応するシステムパラメータを生成する。

提案手法

• 拡張体上でのIsogeny計算に特化した新アルゴリズム（アルゴリズム6：VéluStep）を導入し、従来手法と比較して計算時間を著しく短縮した。
• 時間予算$T$の制約下で鍵空間サイズを最大化する目的で、各素数$\ell$についてのウォーク長境界$M_{\bar{\ell}}$を求めるためのヒューリスティックな最適化手順（二分探索を用いる）を開発した。
• モジュラー多項式の根探索を用いたElkiesステップ（アルゴリズム5）を用いてIsogenyを計算し、拡張次数$r = 1$から$9$までの実測時間を測定した。
• 複素乗法を持つ通常の楕円曲線を用いて、効率性とセキュリティのバランスを取った、素数$\ell$および拡張次数$r$を選択して、候補となるIsogenyグラフを構築した。
• Julia言語を用いて実装し、Nemoおよびカスタムライブラリを用いて楕円曲線と類多項式を処理し、標準的なハードウェア上で性能を測定した。
• Isogenyグラフ上のアーベル群作用を活用し、曲線の同型類への群作用に基づくDiffie–Hellmanに類似したプロトコルにより、共有秘密を導出する。

実験結果

リサーチクエスチョン

• RQ1 アルゴリズム的最適化を通じて、Couveignes–Rostovtsev–StolbunovのIsogenyベース鍵交換が、現代の後量子セキュリティレベルにおいて実用的に行えるようになるか？
• RQ2 128ビットの古典的セキュリティを達成するための、Isogenyウォーク長境界$M_{\ell}$と計算コストの最適なトレードオフは何か？
• RQ3 CRSフレームワークにおいて、効率的な鍵検証が達成可能か。これにより、後量子環境下でのCCAセキュアな非インタラクティブ鍵交換（NIKE）が可能になるか？
• RQ4 実際の性能において、VéluステップとElkiesステップの特性はどのように異なり、それらを効果的に組み合わせることで合計計算時間を短縮できるか？
• RQ5 Isogenyウォーク計算の困難性を仮定した場合、提案されたシステムの現実的な古典的および量子セキュリティ見積もりは何か？

主な発見

• 最適化されたアルゴリズムにより、128ビットの古典的セキュリティを達成するための1回のIsogenyウォークの合計時間が約520秒に短縮され、元のCRSプロトコルと比較して4倍の高速化が達成された。
• Véluステップを用いる場合、$E(\mathbb{F}_{p^r})$上でのスカラー乗法が主なコストとなり、$r=1$では0.02秒、$r=9$では1.3秒の範囲で timings が変動した。
• 提案されたウォーク長境界$M_{\ell}$は、時間予算の制約下で鍵空間サイズを最大化するためのヒューリスティックな二分探索手順により導出され、128ビットセキュリティを満たす$2^{256}$の鍵空間サイズを達成した。
• プロトコルは効率的な鍵検証をサポートしており、CCAセキュアな暗号化を可能にし、非インタラクティブ鍵交換（NIKE）の強力な候補となった。
• 最適化されていない実装ではあるが、CRSフレームワークがさらなる工学的最適化（特にC言語実装）により実用的になることが示された。
• 本研究は、Isogenyウォーク計算の困難性仮定に基づき、Canetti–Krawczykモデルにおける鍵交換とIND-CPAモデルにおける公開鍵暗号の形式的セキュリティ証明を提供した。