[论文解读] On Cryptographic Attacks Using Backdoors for SAT

Alexander Semenov, Oleg Zaikin+3 more|arXiv (Cornell University)|Mar 13, 2018

Bayesian Modeling and Causal Inference被引用 6

一句话总结

本文提出用于SAT的逆向后门集（IBS），以自动化构造对加密算法的猜测-确定攻击。通过使用统计估算的抗性函数与蒙特卡洛采样，该方法识别出能最小化攻击运行时间的最优后门变量集合，在使用SAT求解器时，实现了对弱化Trivium、AES-128和Magma密码的最先进难度估计。

ABSTRACT

Propositional satisfiability (SAT) is at the nucleus of state-of-the-art approaches to a variety of computationally hard problems, one of which is cryptanalysis. Moreover, a number of practical applications of SAT can only be tackled efficiently by identifying and exploiting a subset of formula's variables called backdoor set (or simply backdoors). This paper proposes a new class of backdoor sets for SAT used in the context of cryptographic attacks, namely guess-and-determine attacks. The idea is to identify the best set of backdoor variables subject to a statistically estimated hardness of the guess-and-determine attack using a SAT solver. Experimental results on weakened variants of the renowned encryption algorithms exhibit advantage of the proposed approach compared to the state of the art in terms of the estimated hardness of the resulting guess-and-determine attacks.

研究动机与目标

• 为使用基于SAT的方法构造对加密密码的高效猜测-确定攻击提供解决方案。
• 克服先前后门集无法在多个实例间复用或需要过度限制性算法假设的局限性。
• 开发一种自动化、可泛化的识别后门集的方法，以最小化猜测-确定攻击的估计运行时间。
• 提供一种基于统计的抗性函数，用于估计攻击难度，而无需依赖临时或手动设计的策略。

提出的方法

• 提出逆向后门集（IBS），一种新型后门集，允许在弱化子问题上使用NP和不完整求解器，超越强后门集的范围。
• 定义一个抗性函数，基于特定IBS估算猜测-确定攻击的运行时间，利用蒙特卡洛采样统计评估平均情况下的求解器性能。
• 应用黑箱优化技术，在所有可能的IBS候选集合中最小化抗性函数，以识别最高效的后门集。
• 使用SAT求解器评估通过固定IBS变量赋值生成的弱化子问题的性能，从而实现攻击构造的自动化。
• 采用符号分析与实证评估相结合的混合方法，指导低抗性后门集的搜索过程。

实验结果

研究问题

• RQ1 能否开发一种通用且自动化的通用方法，以识别最小化猜测-确定攻击估计运行时间的后门集？
• RQ2 如何利用基于蒙特卡洛的函数，统计估算猜测-确定攻击的抗性，以反映平均情况下的求解器性能？
• RQ3 逆向后门集（IBS）在攻击难度估计方面，相较于手动设计或先前特定算法的后门构造，能多大程度上实现性能超越？
• RQ4 所提出的抗性函数最小化方法在不同密码原 primitive 上（如Trivium、AES-128和Magma）是否具备可扩展性和有效性？

主要发现

• 所提出的基于IBS的方法对一个弱化Trivium变体的运行时间估计为2.04×10⁴¹秒，优于先前最佳攻击的2.50×10³⁴秒。
• 对一个6轮AES-128变体，该方法估计运行时间为1.45×10¹⁵秒，显著低于先前最佳的3.08×10¹⁶秒。
• 对一个6轮Magma密码变体，攻击估计时间为3.55×10²²秒，优于先前最佳的1.17×10²³秒。
• 通过蒙特卡洛采样估算的抗性函数提供了可靠且一致的攻击难度度量，使后门集的自动化优化成为可能。
• 该方法内存占用可忽略不计，与先前需要高达2⁸⁰比特内存的方法相比，使其在标准计算环境中更具实用性。