[论文解读] Code based Cryptography: Classic McEliece

Harshdeep Singh|arXiv (Cornell University)|Jul 30, 2019

Cryptographic Implementations and Security参考文献 4被引用 27

一句话总结

本文对经典McEliece（Classic McEliece）进行了全面分析，这是一种基于码的后量子公钥密码系统，被提名为NIST标准候选。文章详细阐述了Goppa码的底层数学原理、McEliece与Niederreiter密码系统的机制，并评估了其对信息集解码（ISD）攻击和 chosen-ciphertext 攻击的抗性，确认其因随机线性码解码难题而对量子攻击具有强韧性。

ABSTRACT

This article addresses code-based cryptography and is designed to depict the complete outline of a code based public key cryptosystem. This report includes basic mathematics and fundamentals of coding theory which are useful for studying code-based cryptography. Here, we briefly describe the first scheme of code based public key cryptosystems given by R. J. McEliece in 1978 and its improved version given by H. Niederreiter in 1986. We discuss the hard problems of coding theory which are used in code based cryptography and some classic attacks on it like information-set decoding (ISD). Successful implementation of the ISD attack on McEliece cryptosystem for some small parameters set is executed and the code for the same is provided in the Appendix. This report elaborates a key encapsulation mechanism (KEM), namely Classic McEliece, based on algebraic coding theory to establish a symmetric key for two users.

研究动机与目标

• 为基于码的密码学提供详细的数学与密码学基础，重点聚焦于Goppa码及其在公钥系统中的应用。
• 分析McEliece与Niederreiter密码系统对已知攻击（特别是信息集解码，ISD）的抗性。
• 评估Classic McEliece作为后量子密码学候选方案的安全性与效率，特别是对量子增强攻击的抵抗能力。
• 通过MATLAB实现ISD攻击在小参数下的实际应用，验证解码难度在实践中的表现。
• 证明Classic McEliece在IND-CCA2安全模型下的鲁棒性，将其安全模型扩展至选择明文攻击之外。

提出的方法

• 利用有限域及其多项式环作为编码理论中的基础代数结构。
• 应用线性代数与生成矩阵的广义逆，实现Goppa码中的校验子解码与错误校正。
• 采用Patterson算法高效解码二元Goppa码，支持纠正最多t个错误。
• 通过系统性搜索所有可能的信息集，实现信息集解码（ISD）攻击，结合矩阵求逆与错误向量验证。
• 基于MATLAB的仿真，对小参数McEliece实例（如n=16, k=8）执行ISD攻击，测量执行时间与成功率。
• 分析密钥大小与安全边际之间的权衡，特别针对mceliece6960119与mceliece8192128参数集，评估其实际可行性与抗性。

实验结果

研究问题

• RQ1 Classic McEliece对信息集解码（ISD）攻击的抗性如何？在小参数下其计算成本是多少？
• RQ2 McEliece与Niederreiter密码系统之间有何关系？其对偶性如何提升密钥大小与效率？
• RQ3 能否通过MATLAB有效模拟与测量ISD攻击？这些实验为解码难度提供了哪些实际洞见？
• RQ4 Classic McEliece如何实现IND-CCA2安全？其采用何种机制在OW-CPA基础上进一步增强安全性？
• RQ5 为何基于码的密码学（特别是McEliece）被认为对量子攻击具有抗性，而数论系统（如RSA或ECC）则不然？

主要发现

• 对小参数McEliece实例（n=16, k=8）的ISD攻击在8,159次迭代后成功恢复了消息，总执行时间为2.10938秒，证实了ISD在小参数下的可行性。
• 成功计算并验证了生成矩阵的广义逆，满足所有四项标准关系，验证了在GF(2)中矩阵求逆过程的正确性。
• Classic McEliece对量子攻击表现出强韧性，因为Shor算法与Grover算法均无法显著降低随机线性码解码的复杂度。
• 该系统的安全性基于随机线性码解码问题的NP难性，该问题无法被量子算法高效求解，除Grover算法带来的二次加速外。
• mceliece6960119与mceliece8192128参数集被证明可提供高安全级别，尽管密钥尺寸较大，但对后量子部署仍具实用性。
• 本文证实，Classic McEliece通过适当的密钥封装机制实现了IND-CCA2安全，其安全性已超越选择明文攻击的范畴。