[论文解读] An efficient attack of a McEliece cryptosystem variant based on convolutional codes

Grégory Landais, Jean–Pierre Tillich|arXiv (Cornell University)|Feb 20, 2013

Coding theory and cryptography被引用 4

一句话总结

本文提出了一种针对结合了Goppa码与时变卷积码的McEliece密码系统变体的高效经典攻击，通过利用公有码中的低权重码字来恢复卷积码结构。该攻击在不到一天的时间内成功揭示了隐藏的码结构并破译了该方案，表明通过随机化实现的安全性不足以抵御针对低权重码字的针对性搜索。

ABSTRACT

Löndahl and Johansson proposed last year a variant of the McEliece cryptosystem which replaces Goppa codes by convolutional codes. This modification is supposed to make structural attacks more difficult since the public generator matrix of this scheme contains large parts which are generated completely at random. They proposed two schemes of this kind, one of them consists in taking a Goppa code and extending it by adding a generator matrix of a time varying convolutional code. We show here that this scheme can be successfully attacked by looking for low-weight codewords in the public code of this scheme and using it to unravel the convolutional part. It remains to break the Goppa part of this scheme which can be done in less than a day of computation in the case at hand.

研究动机与目标

• 分析一种通过将时变卷积码扩展至Goppa码以抵抗结构攻击的McEliece密码系统变体的安全性。
• 研究公有生成矩阵中的随机化是否能防止秘密码结构的恢复。
• 确定公有码中的低权重码字是否可用于暴露底层卷积码结构。
• 评估使用码字查找算法与结构过滤技术破译该方案的可行性。
• 评估在编码基密码学中结合Goppa码与卷积码的安全影响。

提出的方法

• 通过修改的最近邻搜索算法在公有码中识别低权重码字。
• 应用过滤程序以隔离属于卷积分量子码且支持集较小的码字。
• 该方法利用了中等权重（例如约370）的子码比极低权重码字更可能被找到的事实，因为其速率和密度更高。
• 算法通过公有生成矩阵的系统形式变换来揭示候选子码的支持集。
• 利用公有码与卷积分量子码之间的速率接近性，以提高检测有效码字的概率。
• 利用低权重码字搜索算法（如MMT、BJMM）的已知改进以提升效率。

实验结果

研究问题

• RQ1 能否利用具有卷积码的McEliece变体公有码中的低权重码字来恢复秘密码结构？
• RQ2 公有生成矩阵中的高随机性是否如方案设计者所声称的那样能防止结构密码分析？
• RQ3 由卷积分量导出的子码的速率在多大程度上影响码字查找攻击的成功概率？
• RQ4 即使双码的最小距离较大，是否仍能揭示卷积码结构，如原始提案中所声称的那样？
• RQ5 使用码字查找与子码检测技术破译该方案的计算复杂度是多少？

主要发现

• 尽管声称可抵抗结构攻击，该方案的计算破译时间不足一天。
• 最有效的攻击向量针对中等权重（例如约370）的码字，而非最低权重码字，因为其检测概率更高。
• 通过在公有码中对低权重码字进行过滤，可以识别出卷积分量的具有小支持集的子码。
• 随着s的增加，子码$\mathscr{C}_s$的速率趋近于公有码的速率，从而可通过系统形式分析实现检测。
• 即使双码具有较大的最小距离，该攻击依然有效，与原始安全论证相矛盾。
• 该方法表明，当与低权重码字搜索结合时，公有矩阵中的随机化并不能防止结构恢复。