[论文解读] On the cryptanalysis of the generalized simultaneous conjugacy search problem and the security of the Algebraic Eraser

Paul E. Gunnells|arXiv (Cornell University)|May 5, 2011

Cryptography and Data Security参考文献 5被引用 4

一句话总结

本文评估了一种针对彩色Burau密钥协议（CBKAP）的新型攻击的有效性，该协议依赖于辫群中的广义同时共轭搜索问题（GSCSP）。研究结果表明，当使用足够长的密钥时，该攻击完全失效，其成功仅限于短而选择不当的密钥，从而证实了CBKAP在实际部署参数下的安全性。

ABSTRACT

The Algebraic Eraser (AE) is a cryptographic primitive that can be used to obscure information in certain algebraic cryptosystems. The Colored Burau Key Agreement Protocol (CBKAP), which is built on the AE, was introduced by I. Anshel, M. Anshel, D. Goldfeld, and S. Lemieux in 2006 as a protocol suitable for use on platforms with constrained computational resources, such as RFID and wireless sensors. In 2009 A. Myasnikov and A. Ushnakov proposed an attack on CBKAP that attempts to defeat the generalized simultaneous conjugacy search problem, which is the public-key computational problem underlying CBKAP. In this paper we investigate the effectiveness of this attack. Our findings are that success of the attack only comes from applying it to short keys, and that with appropriate keys the attack fails in 100% of cases and does not pose a threat against CBKAP. Moreover, the attack makes assumptions about CBKAP that do not hold in practical implementations, and thus does not represent a threat to the use of CBKAP in applications.

研究动机与目标

• 评估Myasnikov与Ushnakov提出的针对广义同时共轭搜索问题（GSCSP）的攻击在彩色Burau密钥协议（CBKAP）中的实际有效性。
• 研究该攻击在适用于资源受限平台（如RFID和无线传感器）的实际密钥长度参数下是否仍具可行性。
• 检验攻击论文中关于寻找替代共轭元难度的启发式假设在真实密钥生成与字长条件下的有效性。
• 评估密钥选择策略（如改变共轭元长度或应用额外标准）是否能有效抵消该攻击。
• 确定该攻击在实际实现中是否仍适用，即在仅公开一组共轭元（如某些基于AE的协议中）的情况下，如AE-ElGamal加密。

提出的方法

• 作者使用辫群$B_n$生成CBKAP的随机TTP数据，调整密钥长度和共轭元数量$N$。
• 在多个安全参数设置下，对这些随机生成的实例实现了Myasnikov与Ushnakov论文中的攻击并进行了测试。
• 通过攻击能否恢复出一个共轭元$\zeta$，使其能模拟破译CBKAP中的秘密$z$，来评估攻击的有效性。
• 成功标准为：在不同密钥长度和配置下，多次试验中攻击能否找到此类$\zeta$。
• 研究还测试了在修改密钥生成策略（如调整$z$、$v_i$和$w_j$的相对长度）下的攻击鲁棒性。
• 作者分析了基于左正规形式和$\Delta$共轭的近似长度函数的影响，评估其对字长缩短及三角不等式有效性的贡献。

实验结果

研究问题

• RQ1 当应用于实际部署中具有实用长度的密钥时，针对广义同时共轭搜索问题（GSCSP）的攻击是否能成功破译CBKAP？
• RQ2 随着密钥长度增加，特别是$|z|$、$|v_i|$和$|w_j|$在适用于RFID和传感器网络的范围内，该攻击的成功率如何变化？
• RQ3 在真实密钥生成与字长条件下，原始攻击论文中的启发式假设在多大程度上仍然成立？
• RQ4 简单的密钥选择策略（如增加共轭元长度或应用额外标准）是否足以使该攻击失效？
• RQ5 在仅公开一组共轭元$\{V_i\}$或$\{W_i\}$的实际情况中（如基于AE的ElGamal加密），该攻击是否仍适用？

主要发现

• 当$z$、$v_i$和$w_j$的密钥长度超过约67时，攻击在100%的情况下均失败，表明该攻击对合理大小的密钥完全无效。
• 对于短密钥（如$|z| \approx 67$），攻击在几乎所有情况下均成功，但这种成功仅限于弱密钥选择，无法反映真实世界的安全性。
• 当共轭元数量$N$从2增加到10时，攻击的失败速度加快，成功率随$N$增加而迅速下降。
• 当共轭元$z$明显长于$v_i$和$w_j$时，攻击的成功率急剧下降，表明更长的共轭元是强有力的防御手段。
• 该攻击对密钥选择极为敏感；通过简单标准筛选掉弱密钥，可迅速削弱攻击的有效性。
• 在仅公开一组共轭元的实际情况中（如AE-ElGamal），该攻击无法适用，因此在这些场景中完全失效。