[论文解读] Quantum Fourier sampling, Code Equivalence, and the quantum security of the McEliece and Sidelnikov cryptosystems

Hang Dinh, Cristopher Moore+1 more|arXiv (Cornell University)|Nov 18, 2011

Coding theory and cryptography参考文献 15被引用 7

一句话总结

本文通过分析量子傅里叶采样方法在码等价问题中的应用，研究了McEliece与Sidelnikov密码系统的量子安全性。研究发现，对于低阶参数的Reed-Muller码，隐藏子群问题（HSP）实例是HSP-hard的，这意味着由于测量结果的纠缠，标准量子傅里叶采样会失效，从而支持在这些条件下Sidelnikov系统的后量子安全性。

ABSTRACT

The Code Equivalence problem is that of determining whether two given linear codes are equivalent to each other up to a permutation of the coordinates. This problem has a direct reduction to a nonabelian hidden subgroup problem (HSP), suggesting a possible quantum algorithm analogous to Shor's algorithms for factoring or discrete log. However, we recently showed that in many cases of interest---including Goppa codes---solving this case of the HSP requires rich, entangled measurements. Thus, solving these cases of Code Equivalence via Fourier sampling appears to be out of reach of current families of quantum algorithms. Code equivalence is directly related to the security of McEliece-type cryptosystems in the case where the private code is known to the adversary. However, for many codes the support splitting algorithm of Sendrier provides a classical attack in this case. We revisit the claims of our previous article in the light of these classical attacks, and discuss the particular case of the Sidelnikov cryptosystem, which is based on Reed-Muller codes.

研究动机与目标

• 通过分析在码等价问题上利用量子傅里叶采样进行量子攻击的可行性，评估McEliece与Sidelnikov密码系统的量子安全性。
• 研究已知的量子算法（特别是基于量子傅里叶变换的算法）是否能有效解决特定码族在码等价性中产生的隐藏子群问题（HSP）。
• 评估经典攻击（尤其是Sendrier的支持分裂算法）在已知私有码时对McEliece型系统的安全性影响。
• 确定Reed-Muller码（用于Sidelnikov密码系统）是否会产生因测量纠缠而使标准量子傅里叶采样失效的HSP实例。
• 确定在何种条件下某些码属于HSP-hard，从而加强其在后量子密码学中应用的合理性。

提出的方法

• 将码等价问题约化为对称群上的非阿贝尔隐藏子群问题（HSP），其中隐藏子群对应于码的置换对称性。
• 应用Dinh等人（2011年）提出的标准来判断HSP-hardness：若码的自构群大小至多为e^o(n)，且最小度为Ω(n)，则该HSP实例对标准量子傅里叶采样是困难的。
• 分析二元Reed-Muller码RM(r,m)，其中r ≤ 0.1m且m足够大，证明其满足HSP-hardness条件。
• 计算RM(r,m)的自构群为F₂^m上的广义仿射群，其大小为2^{O(log²n)} ≤ e^o(n)，满足大小条件。
• 证明RM(r,m)的自构群的最小度恰好为2^{m−1} = n/2，满足Ω(n)的最小度条件。
• 结论：当r ≤ 0.1m时，Reed-Muller码为HSP-hard，意味着标准量子傅里叶采样无法高效求解相应的HSP实例。

实验结果

研究问题

• RQ1 基于Goppa码的McEliece型密码系统，其码等价问题能否被量子傅里叶采样高效求解？
• RQ2 当已知私有码时，Sendrier的支持分裂算法在多大程度上会削弱McEliece系统的经典安全性？
• RQ3 用于Sidelnikov密码系统的Reed-Muller码是否因测量纠缠而对量子傅里叶采样攻击具有抵抗力？
• RQ4 在码参数（如码率、自构群结构）满足何种条件下，码等价性产生的HSP实例被认为是HSP-hard？
• RQ5 Reed-Muller码的HSP实例的困难性是否意味着即使在其他码族存在经典攻击的情况下，Sidelnikov密码系统仍具有后量子安全性？

主要发现

• 当r ≤ 0.1m且m足够大时，Reed-Muller码RM(r,m)为HSP-hard，因其满足：自构群大小≤ e^o(n)，且最小度为Ω(n)。
• RM(r,m)的自构群为F₂^m上的广义仿射群，其大小为2^{O(log²n)} ≤ e^o(n)，满足HSP-hardness的大小约束条件。
• RM(r,m)的自构群的最小度恰好为2^{m−1} = n/2，属于Ω(n)，满足最小度条件。
• 这些Reed-Muller码的HSP-hardness意味着由于需要高度纠缠的测量，标准量子傅里叶采样无法高效求解相应的隐藏子群问题。
• 该结果支持基于Reed-Muller码的Sidelnikov密码系统的后量子安全性，因为通过傅里叶采样的自然量子攻击已失效。
• 相比之下，基于Goppa码的McEliece系统在已知码的攻击者面前是经典不安全的，因为Sendrier的支持分裂算法可攻破，因此其量子版本的HSP-hardness对安全性评估无实际意义。