[论文解读] Linear decomposition attack on public key exchange protocols using semidirect products of (semi)groups

В. А. Романьков|arXiv (Cornell University)|Jan 6, 2015

Geometric and Algebraic Topology参考文献 7被引用 12

一句话总结

本文提出了一种针对基于半直积半群的非交换密钥交换协议的多项式时间确定性线性分解攻击，特别针对在有限域上使用矩阵半群的协议。通过利用平台群及其自同态中的线性代数结构，该攻击在不求解底层算法问题的情况下恢复了共享密钥，表明当平台群具有高效的线性表示时，此类协议是不安全的。

ABSTRACT

We show that a linear decomposition attack based on the decomposition method introduced by the author works by finding the exchanged secret keys in all main protocols using semidirect products of (semi)grops proposed by Kahrobaei, Shpilrain, Habeeb, Koupparis and Lam.

研究动机与目标

• 证明线性分解攻击能够破解基于半群半直积的两种主要非交换密钥交换协议。
• 表明这些协议的安全性并不依赖于求解底层算法问题（例如共轭问题或分解问题），而是可被线性代数技术攻破。
• 提供一种实用的、确定性的、多项式时间的攻击方法，仅使用公开信息和线性代数即可恢复共享密钥。
• 分析使用伽罗瓦域上矩阵半群的协议的脆弱性，特别是当自同态以线性方式表示时。
• 表明即使经过修改以抵抗线性代数攻击的协议版本，仍对改进的线性分解方法保持脆弱。

提出的方法

• 利用平台群 $ G $ 是域 $ \bbF $ 上有限维代数的乘法子群这一事实，从而能够应用线性代数技术。
• 使用高斯消元法计算线性张量 $ W = \mathrm{Sp}_\bbF(\{ H^k (HM)^l \}) $ 的基 $ \f{e}_1, \dots, \f{e}_t $，其中 $ H, M $ 是有限域上的矩阵。
• 构造 $ HM $ 的零化子空间 $ U $，即所有满足 $ A \cdot HM = 0 $ 的矩阵 $ A $ 的集合，并找到 $ Z = W + U $ 的基。
• 使用域 $ \bbF $ 中的系数，将公开值 $ a_m + R $ 和 $ a_n + S $ 表示为 $ Z $ 的基的线性组合。
• 通过在这些线性组合上进行矩阵运算，无需恢复 $ m $ 或 $ n $，重构共享密钥 $ a_{m+n} = H^{-(m+n)}(HM)^{m+n} $。
• 在每一步中应用确定性的高斯消元法求解线性系统，确保攻击高效且可复现。

实验结果

研究问题

• RQ1 是否可以在不求解底层算法问题的情况下，恢复基于半直积的非交换密钥交换协议中的共享密钥？
• RQ2 平台群及其自同态的线性性质在多大程度上损害了此类协议的安全性？
• RQ3 协议变体中引入的零空间矩阵 $ R, S $ 是否能有效防止线性代数攻击？
• RQ4 是否可以仅使用公开数据和线性代数分解，构建一种确定性、多项式时间的攻击？
• RQ5 即使不计算私有指数 $ m, n $，是否仍可通过群代数中的线性相关性恢复共享密钥？

主要发现

• 当平台群在有限域上具有线性表示时，线性分解攻击可在多项式时间内破解 [3] 和 [4] 中的两种主要协议。
• 该攻击无需求解共轭问题或分解问题；相反，它通过线性代数分解直接恢复共享密钥。
• 即使 [4] 中的改进协议引入了零空间矩阵 $ R, S $ 以抵抗线性攻击，仍对改进的线性分解方法保持脆弱。
• 该攻击是确定性的，仅依赖高斯消元法求解线性系统，确保了可复现性和高效性。
• 共享密钥 $ a_{m+n} $ 通过 $ W $ 和 $ U $ 的基表示，从公开值 $ a_m + R $、$ a_n + S $ 重构，无需求逆任何矩阵。
• 该攻击对如 $ \bbF_7 $ 上的矩阵半群等平台具有实用性，如原始 [3] 和修订版 [4] 协议所示。