[论文解读] Chosen-ciphertext attack on noncommutative Polly Cracker

Stanislav Bulygin|ArXiv.org|Aug 2, 2005

Coding theory and cryptography参考文献 1被引用 4

一句话总结

本文证明，基于非交换多项式环中无限格鲁伯基的非交换Polly Cracker密码系统（由Rai提出）易受选择密文攻击。通过提交一个精心构造的单个'假'密文，攻击者可恢复私钥结构并完全解密后续所有消息，表明该系统在自适应选择密文攻击下不安全。

ABSTRACT

We propose a chosen-ciphertext attack on recently presented noncommutative variant of the well-known Polly Cracker cryptosystem. We show that if one chooses parameters for this noncommutative Polly Cracker as initially proposed, than the system should be claimed as insecure.

研究动机与目标

• 研究非交换Polly Cracker密码系统在选择密文攻击下的安全性。
• 确定在有限域上的非交换代数中使用无限格鲁伯基是否能提供足够的安全性。
• 分析是否可利用自适应选择密文查询重构私钥结构。
• 将已知的交换情形下的漏洞推广至基于非交换多项式的密码系统。

提出的方法

• 构造形式为 $ c' = t \cdot \text{tip}(g) \cdot s + \sum F_{ij}q_iH_{ij} $ 的'假'密文，其中 $ t $ 和 $ s $ 用于隐藏多项式结构。
• 利用 $ -C_{\text{tip}(g)}^{-1} \cdot t \cdot \text{tail}(g) \cdot s $ 是 $ c' $ 除以 $ g $ 后的余数这一事实，从而揭示 $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $。
• 利用恢复得到的 $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $ 重构 $ g' = \text{tip}(g) + C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $，该多项式与 $ g $ 生成相同的理想。
• 证明 $ g' $ 可用于正确解密任意密文，从而有效恢复私钥。
• 将攻击扩展至假密文包含 $ \text{NonTip}(I) $ 中额外单项的情形，同时保持恢复 $ g' $ 的能力。
• 证明该攻击不仅适用于单生成器私钥，也适用于具有多个生成器的约化格鲁伯基。

实验结果

研究问题

• RQ1 是否可仅通过一次自适应查询的选定密文攻击破解非交换Polly Cracker密码系统？
• RQ2 是否可从单个精心构造的假密文的解密余数中恢复私钥结构，特别是生成器 $ g $ 的结构？
• RQ3 在有限域上的非交换代数中存在无限格鲁伯基是否能保证对选择密文攻击的抗性？
• RQ4 该攻击是否可推广至具有多个私钥生成器的系统？
• RQ5 理想或格鲁伯基是否存在某些结构性质可阻止此类恢复？

主要发现

• 仅需一次选定密文查询，即可在非交换Polly Cracker系统中恢复私钥结构。
• 攻击者可从假密文的解密结果中恢复 $ -C_{\text{tip}(g)}^{-1} \cdot \text{tail}(g) $，从而重构生成器 $ g' $。
• 重构的生成器 $ g' $ 与原始 $ g $ 生成相同的双边理想，因此在解密功能上等价。
• 即使假密文包含 $ \text{NonTip}(I) $ 中的有效消息单项，攻击仍有效，只要 $ \text{tip}(g) $ 不整除添加部分中的任一单项。
• 该方法适用于单生成器和约化格鲁伯基私钥，表明此类密钥形式在选择密文攻击下均不安全。
• 结果证实，非交换多项式密码系统并非天然具备对自适应选择密文攻击的抗性，与交换情形下的漏洞一致。