[论文解读] On the security of new key exchange protocols based on the triple decomposition problem

M. M. Chowdhury|ArXiv.org|Nov 14, 2006

Geometric and Algebraic Topology参考文献 1被引用 3

一句话总结

本文表明，基于三重分解问题的两种新型密钥交换协议实际上容易受到基于多重同时共轭搜索问题（MSCSP）的攻击，即使声称其安全性依赖于辫群难题。作者证明，在标准群假设下，这些协议可简化为求解MSCSP，从而使得线性代数攻击在计算上可行。

ABSTRACT

We show that two new key exchange protocols with security based on the triple DP may have security based on the MSCSP.

研究动机与目标

• 调查基于三重分解问题的两种新型密钥交换协议所依赖的安全假设。
• 确定这些协议的安全性是否真正依赖于三重分解问题，而非更弱的问题。
• 评估当私钥可逆时，对这些协议实施线性代数攻击的可行性。
• 分析这些协议是否可归约为求解多重同时共轭搜索问题（MSCSP）。

提出的方法

• 作者分析协议方程，推导出关联公有与私有元素的方程组（1）和（2）。
• 他们表明，求解 $ b_1 $、$ b_2 $、$ b_3 $、$ a_1 $ 和 $ a_3 $ 等元素可归约为使用攻击者选定的元素 $ J_I $、$ T_I $、$ V_I $ 和 $ W_I $ 求解MSCSP实例。
• 该分析利用了子群 $ A_2 $、$ A_3 $、$ B_2 $ 和 $ B_3 $ 之间的交换性条件，这些条件对协议正确性是必需的，但也使得可归约为MSCSP。
• 作者推导出方程（3）至（6），以表明通过求解涉及 $ b_1b_2 $、$ a_2a_3 $、$ a_3^{-1}V_I a_3 $ 和 $ b_1W_I b_1^{-1} $ 的共轭问题，可重构出秘密密钥。
• 他们证明，两个协议的安全性均可归约为求解两次MSCSP，或等价地，归约为多重同时分解搜索问题（MSDSP）。
• 论文最后提出一种防御策略：选择不可逆的私钥以防止基于MSCSP的密钥恢复。

实验结果

研究问题

• RQ1 基于三重分解问题的新型密钥交换协议的安全性是否可归约为多重同时共轭搜索问题（MSCSP）？
• RQ2 在何种条件下，三重分解问题无法提供比现有共轭基协议更强的安全性？
• RQ3 协议中子群之间的交换性条件如何影响线性代数攻击的可行性？
• RQ4 攻击者选定的元素 $ J_I $、$ T_I $、$ V_I $ 和 $ W_I $ 是否可用于通过MSCSP恢复私钥？
• RQ5 通过在协议中使用不可逆私钥，是否可有效防御基于MSCSP的攻击？

主要发现

• 第一个协议的安全性可归约为求解两个MSCSP实例：一个用于 $ b_1 $ 和 $ b_3 $，另一个用于 $ b_2 $（使用已知值）。
• 通过求解 $ b_1b_2J_Ib_3 $ 和 $ b_1T_Ib_2b_3 $ 以恢复 $ b_1 $、$ b_2 $ 和 $ b_3 $，可证明协议的安全性也可归约为多重同时分解搜索问题（MSDSP）。
• 方程（1）和（2）表明，攻击者可通过求解 $ b_3^{-1}J_Ib_3 $ 和 $ b_1T_Ib_1^{-1} $ 来恢复 $ b_1 $ 和 $ b_3 $，这两者均为标准的MSCSP实例。
• 第二个协议同样易受攻击，原因在于其对称结构以及类似的子群交换性条件，导致相同的基于MSCSP的归约。
• 由于 $ B_2 $ 与 $ A_2 $ 之间存在交换性，以及其他类似关系，攻击者可利用线性代数技术高效求解MSCSP。
• 本文结论为：这些协议的安全性并不优于现有的基于CSP的协议，若私钥可逆，则可利用已知的线性代数攻击被攻破。