[论文解读] RAMESSES, a Rank Metric Encryption Scheme with Short Keys

Julien Lavauzelle, Pierre Loidreau+1 more|arXiv (Cornell University)|Nov 29, 2019

Coding theory and cryptography参考文献 24被引用 6

一句话总结

RAMESSES 是一种基于秩度量解码问题的后量子代码加密方案，采用短密钥和紧凑密文，安全性水平与 SIKE 等同源基方案相当。它依赖于 Gabidulin 码和 MinRank 类问题，支持高效加密/解密，并具备可调的失败概率，其安全性可完全归约至困难的秩度量解码问题，无需隐藏代码结构。

ABSTRACT

We present a rank metric code-based encryption scheme with key and ciphertext sizes comparable to that of isogeny-based cryptography for an equivalent security level. The system also benefits from efficient encryption and decryption algorithms, which rely on linear algebra operations over finite fields of moderate sizes. The security only relies on rank metric decoding problems, and does not require to hide the structure of a code. Based on the current knowledge, those problems cannot be efficiently solved by a quantum computer. Finally, the proposed scheme admits a failure probability that can be precisely controlled and made as low as possible.

研究动机与目标

• 设计一种后量子公钥加密方案，其密钥和密文大小与同源基密码学方案（如 SIKE）具有竞争力。
• 仅基于秩度量解码问题的困难性（特别是 MinRank 和 Gab-SD）实现该目标，无需隐藏代码结构。
• 通过在中等大小有限域上的线性代数运算，实现高效的加密与解密。
• 提供一种概率性解密算法，其失败概率可精确控制并最小化。
• 通过提出激进但实用的参数设置，鼓励对秩度量解码问题安全性的进一步研究。

提出的方法

• 该方案在有限域 $ \bbF_q $ 上使用 Gabidulin 码，其中 $ q = 2^n $，基于秩度量码的生成矩阵构造公钥。
• 加密通过将码字的线性组合与一个低秩误差向量结合形成密文，采用基于校验子的结构。
• 该方案的核心依赖于 MinRank 问题：寻找系数使得矩阵的线性组合秩至多为 $ t $，这模拟了解码挑战。
• 安全性归约基于秩度量中解码的困难性，特别是 Gab-SD 和 MinRank 问题，且无需隐藏代码结构。
• 解密使用一种概率算法，通过在 $ \bbF_2 $ 上求解线性方程组来尝试恢复原始消息，失败概率由参数 $ \rho $ 控制。
• 该方案利用扩展映射 $ \text{Ext}_{\bm{\beta}} $ 的 $ \bbF_2 $-线性结构，将 $ \bbF_q^n $ 中的向量映射为 $ \bbF_2 $ 上的 $ n \times n $ 矩阵，从而以矩阵形式表达解码问题。

实验结果

研究问题

• RQ1 能否构造一种基于秩度量码的加密方案，其密钥和密文大小与 SIKE 等同源基方案相当？
• RQ2 是否可能仅基于秩度量解码问题的困难性（而不隐藏代码结构）来构建此类方案的安全性？
• RQ3 能否在不显著增加系统参数的情况下，将解密的失败概率降至任意低水平？
• RQ4 该方案的安全性如何归约至已知的困难问题（如 MinRank 或 Gab-SD）？
• RQ5 哪些参数集合可在保持量子安全性的同时，为 NIST 安全等级 1、3 和 5 提供实用的密钥和密文大小？

主要发现

• 该方案在 NIST 安全等级 1、3 和 5 下，公钥和密文大小均仅为几百字节，与同源基方案（如 SIKE）相当。
• 密钥大小随安全参数 $ \rho $ 线性增长，不同于传统代码基方案中密钥大小的二次增长。
• RAMESSES 的安全性可归约至 MinRank 问题和 Gab-SD 问题，两者目前均未知可在量子多项式时间内求解。
• 通过调整参数 $ \rho $，可将解密的失败概率降至任意低水平，且对系统参数的影响极小。
• 已知最佳攻击复杂度受 $ \tilde{\bigO}\bigl( \binom{t(n-t) + n(k+2\bar\tau+1) + t - 1}{t}^{\bigomega} \bigr) $ 限制，假设正则度有界于 $ t+2 $，保守估计使用 $ d = t $。
• 该方案避免了准循环或模形式构造带来的结构弱点，因其未隐藏代码结构，从而降低了隐藏漏洞的风险。