[论文解读] Cryptanalysis of Two McEliece Cryptosystems Based on Quasi-Cyclic Codes

Ayoub Otmani, Jean–Pierre Tillich+1 more|arXiv (Cornell University)|Apr 2, 2008

Coding theory and cryptography参考文献 18被引用 5

一句话总结

本文针对基于准循环码的两种McEliece密码系统进行了结构化密码分析：一种基于本原BCH码的子码，另一种基于准循环低密度奇偶校验（QC-LDPC）码。攻击利用隐藏的代数结构——BCH变体使用线性代数，QC-LDPC变体使用多项式因式分解与低权重码字搜索——成功在约15分钟内恢复了后者的密钥，表明尽管密钥尺寸减小，这两种方案均不安全。

ABSTRACT

We cryptanalyse here two variants of the McEliece cryptosystem based on quasi-cyclic codes. Both aim at reducing the key size by restricting the public and secret generator matrices to be in quasi-cyclic form. The first variant considers subcodes of a primitive BCH code. We prove that this variant is not secure by finding and solving a linear system satisfied by the entries of the secret permutation matrix. The other variant uses quasi-cyclic low density parity-check codes. This scheme was devised to be immune against general attacks working for McEliece type cryptosystems based on low density parity-check codes by choosing in the McEliece scheme more general one-to-one mappings than permutation matrices. We suggest here a structural attack exploiting the quasi-cyclic structure of the code and a certain weakness in the choice of the linear transformations that hide the generator matrix of the code. Our analysis shows that with high probability a parity-check matrix of a punctured version of the secret code can be recovered in cubic time complexity in its length. The complete reconstruction of the secret parity-check matrix of the quasi-cyclic low density parity-check codes requires the search of codewords of low weight which can be done with about $2^{37}$ operations for the specific parameters proposed.

研究动机与目标

• 分析使用准循环码以减小密钥尺寸的McEliece密码系统的安全性。
• 识别两种近期变体的结构性弱点：一种基于本原BCH码的子码，另一种基于准循环LDPC码。
• 开发实用的密码分析技术，通过利用其底层代数结构来破坏这两种方案。
• 证明尽管这些变体在效率上优于原始McEliece系统，其安全性仍被破坏。

提出的方法

• 对于基于BCH码的变体，攻击通过利用秘密码是已知BCH码的子码这一事实，构建一个过约束的线性系统，从而约束秘密置换矩阵的元素。
• 对于QC-LDPC变体，攻击采用多项式导向的方法，寻找两个低权重多项式，使其乘积等于公开多项式，利用准循环结构。
• 该方法涉及在公开多项式中搜索低权重因子，这些因子对应于秘密码的结构成分。
• 通过分析秘密码的删减版本，搜索低权重码字以恢复其校验矩阵。
• 攻击应用Canteaut-Chabaud算法识别删减码中的低权重码字，从而实现秘密校验矩阵的重建。
• 通过反转由公开数据和恢复的结构成分导出的变换矩阵，恢复秘密矩阵。

实验结果

研究问题

• RQ1 能否高效恢复基于本原BCH码子码的McEliece变体中的秘密置换矩阵？
• RQ2 在McEliece方案中用准循环LDPC码替代置换矩阵，是否能提供足够的抗结构化密码分析能力？
• RQ3 能否利用准循环码的代数结构在多项式时间内恢复秘密密钥？
• RQ4 从其公开形式恢复QC-LDPC码的秘密校验矩阵的计算复杂度是多少？
• RQ5 QC-LDPC变体中线性变换的选择在多大程度上引入了可被利用的弱点？

主要发现

• 在所有实验中，BCH变体的秘密置换矩阵通过求解线性方程组成功恢复，解空间维度为1。
• QC-LDPC变体攻击的第一阶段——寻找低权重多项式因子——在2.80GHz Pentium 4处理器上使用MAGMA耗时140秒完成。
• 第二阶段，即在秘密码的删减版本中恢复低权重码字，对给定参数需约2^37次操作。
• 秘密校验矩阵的完整重构工作量约为2^37次操作，与Canteaut-Chabaud算法的性能一致。
• 攻击成功破坏了两种变体，表明当准循环结构被使用而变换中缺乏足够随机性时，McEliece系统的安全性被破坏。
• 实现结果表明两种攻击均具实用性，QC-LDPC变体在标准硬件上于15分钟内被攻破，尽管其声称对通用攻击具有免疫性。