[论文解读] Defeating the Kalka--Teicher--Tsaban linear algebra attack on the Algebraic Eraser

Dorian Goldfeld, Paul E. Gunnells|arXiv (Cornell University)|Feb 3, 2012

Cryptography and Data Security参考文献 2被引用 3

一句话总结

本文通过在彩色Burau密钥协议（CBKAP）中精心选择用于生成私钥的矩阵，提出了一种针对Kalka–Teicher–Tsaban线性代数攻击的对策。通过将私钥构造为基于公开数据导出的特定矩阵的多项式，该方法确保攻击方程产生一个极其庞大的解空间，从而使恢复私钥在计算上不可行。其主要贡献在于提供了一种实用且高效的防御机制，同时保持了协议在RFID等低资源环境中的适用性。

ABSTRACT

The Algebraic Eraser (AE) is a public key protocol for sharing information over an insecure channel using commutative and noncommutative groups; a concrete realization is given by Colored Burau Key Agreement Protocol (CBKAP). In this paper, we describe how to choose data in CBKAP to thwart an attack by Kalka--Teicher--Tsaban.

研究动机与目标

• 为解决Algebraic Eraser协议在Kalka–Teicher–Tsaban（KTT）线性代数攻击下的脆弱性，该攻击利用了私钥矩阵中的结构化关系。
• 在消除KTT方法引入的攻击面的同时，保持彩色Burau密钥协议（CBKAP）的高效性与低资源适用性。
• 提供一种实用且确定性的密钥生成方法，以阻止攻击，且无需改变协议核心结构或增加计算开销。

提出的方法

• 可信第三方（TTP）从鲍勃的幺半群B的生成元中选择一个虚假元素(β,1)，并使用系数cℓ ∈ 𝔽计算矩阵m = ∑cℓ·Π(β)ℓ。
• TTP将矩阵m公开，并将私钥幺半群定义为NA = NB = 𝔽[m]，即所有以𝔽为系数、在m上的多项式集合。
• 爱丽丝和鲍勃将他们的第一个私钥na和nb分别生成为m的任意多项式，确保其与攻击解空间中的所有元素可交换。
• 该构造确保任何形如nb·∑wℓ·mℓ且wℓ ∈ 𝔽的矩阵均满足攻击方程，从而形成一个过大而无法实现可行恢复的解空间。
• 该方法依赖于攻击方程（3）和（4）被一个矩阵族所满足，而不仅仅是真正的私钥，因此无法唯一识别。
• 该防御机制与RFID应用兼容，因其保持了低计算成本，且无需更改协议的公钥交换机制。

实验结果

研究问题

• RQ1 是否可以在不增加计算成本或牺牲效率的前提下，击败Kalka–Teicher–Tsaban对Algebraic Eraser的线性代数攻击？
• RQ2 在私钥空间中，何种矩阵构造可使攻击方程系统因解空间过大而无法求解？
• RQ3 可信第三方如何生成公共数据，以实现安全的密钥生成，同时保持协议在低资源设备中的适用性？
• RQ4 是否可能在保持子幺半群之间E-交换性质的同时，引入一种可破坏线性代数攻击的结构？

主要发现

• 所提方法通过确保从攻击中导出的方程组具有相对于域大小呈指数级增长的解空间，从而击败了Kalka–Teicher–Tsaban攻击，使唯一恢复私钥在计算上不可行。
• 作为从辫群生成元上的群作用所构造的公共矩阵m的多项式而生成的私钥，足以满足所有攻击方程，但不会唯一标识真实密钥。
• 即使伊芙能够生成大量虚假元素(α,e) ∈ A，该防御依然有效，因为所有此类元素均导致具有相同庞大解集的方程，无法为真实私钥提供任何有用信息。
• 该方法保持了协议的高效性，并与现实世界应用（如RFID系统）兼容，其中低计算开销至关重要。
• 攻击方程（3）和（4）被任何形如nb·∑wℓ·mℓ且wℓ ∈ 𝔽的矩阵所满足，其构成一个维度等于m的最小多项式次数的向量空间，从而彻底压倒任何密钥恢复尝试。