[论文解读] The McEliece Cryptosystem Resists Quantum Fourier Sampling Attacks

Hang Dinh, Cristopher Moore+1 more|arXiv (Cornell University)|Aug 13, 2010

Coding theory and cryptography参考文献 26被引用 10

一句话总结

本文证明，当使用经过良好置换和良好混淆的线性码实例化时，McEliece 密码系统能够抵抗量子傅里叶采样攻击——具体而言，证明了该系统所基于的隐子群问题无法通过强傅里叶采样或共轭态测量来解决。其关键贡献在于，针对肖算法中使用的主量子攻击向量，提供了严格的密码安全性证明，从而进一步巩固了 McEliece 作为后量子密码系统的候选地位。

ABSTRACT

Quantum computers can break the RSA and El Gamal public-key cryptosystems, since they can factor integers and extract discrete logarithms. If we believe that quantum computers will someday become a reality, we would like to have \emph{post-quantum} cryptosystems which can be implemented today with classical computers, but which will remain secure even in the presence of quantum attacks. In this article we show that the McEliece cryptosystem over \emph{well-permuted, well-scrambled} linear codes resists precisely the attacks to which the RSA and El Gamal cryptosystems are vulnerable---namely, those based on generating and measuring coset states. This eliminates the approach of strong Fourier sampling on which almost all known exponential speedups by quantum algorithms are based. Specifically, we show that the natural case of the Hidden Subgroup Problem to which the McEliece cryptosystem reduces cannot be solved by strong Fourier sampling, or by any measurement of a coset state. We start with recent negative results on quantum algorithms for Graph Isomorphism, which are based on particular subgroups of size two, and extend them to subgroups of arbitrary structure, including the automorphism groups of linear codes. This allows us to obtain the first rigorous results on the security of the McEliece cryptosystem in the face of quantum adversaries, strengthening its candidacy for post-quantum cryptography.

研究动机与目标

• 建立 McEliece 密码系统对基于量子傅里叶采样的量子攻击的安全性，此类攻击可破解 RSA 和 El Gamal。
• 研究 McEliece 所基于的隐子群问题（HSP）是否可通过群 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ 上的强傅里叶采样求解。
• 将先前关于图同构问题的量子傅里叶采样负面结果推广至线性码的自同构群，包括 McEliece 中所用的线性码。
• 首次为使用良好置换与良好混淆码的 McEliece 提供严格的量子安全性证明，填补了后量子密码学中的关键空白。
• 分析不可约表示上的特征和的衰减，并通过傅里叶采样界定共轭态的可区分性。

提出的方法

• 在群 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ 的背景下，分析 McEliece 密码系统中隐子群问题（HSP）的结构。
• 利用表示论，界定该群不可约表示（irreps）的维数与特征和，特别是与隐子群相关的表示。
• 应用引理 17，推导出集合 $\Lambda_c$ 中不可约表示维数的下界，表明 $d_\lambda \geq e^{\delta cn - r/c^2}$，其中 $\delta, c, r$ 为常数。
• 运用定理 4，界定共轭态与均匀态之间的总变差距离 $\mathcal{D}_K$，表明其衰减为 $n^{-\gamma n}$，其中 $\gamma > 0$。
• 利用 $\mathrm{Aut}(M)$ 的最小度 $m$，证明 $\overline{\chi}_{\overline{S}}(K) \leq e^{-\delta m}$，确保非-$S$ 表示的特征衰减。
• 结合对 $|S|$、$d_S$ 和 $D = n^{dn}$ 的界限，证明 $|S| d_S^2 / D \leq n^{-\gamma_1 n}$，从而表明测量到有用不可约表示的概率可忽略。

实验结果

研究问题

• RQ1 给定量子傅里叶采样可破解 RSA 和 El Gamal，McEliece 密码系统是否仍能被此类方法攻破？
• RQ2 对于经过良好置换的线性码的自同构群所关联的隐子群问题，是否可通过强傅里叶采样求解？
• RQ3 在 $(\mathsf{GL}_k(\mathbb{F}_q) \times S_n) \wr \mathbb{Z}_2$ 的子群中，不可约表示的特征和衰减程度如何？
• RQ4 McEliece 系统的共轭态在任何测量下（包括强傅里叶采样）是否仍与均匀态不可区分？
• RQ5 能否将图同构问题与子群重构的量子傅里叶采样负面结果，推广至线性码自同构群？

主要发现

• 使用良好置换与良好混淆线性码的 McEliece 密码系统，能够抵抗包括强傅里叶采样与共轭态测量在内的量子傅里叶采样攻击。
• 共轭态与均匀态之间的总变差距离 $\mathcal{D}_K$ 被界定为 $4|K|^2(e^{-\delta m} + n^{-\gamma n})$，表明当 $n$ 较大时，其可区分性可忽略。
• 相关不可约表示的维数满足 $d_S \leq 2q^{k^2}n^{2cn}$，且此类表示的数量满足 $|S| \leq q^{2k^2}e^{O(\sqrt{n})}$，两者在 $n$ 上均为次指数增长。
• 对于任意常数 $c < 1/6$ 且 $d > 4a + 4c$，当 $D = n^{dn}$ 时，有 $|S| d_S^2 / D \leq n^{-\gamma_1 n}$，证明有用的傅里叶分量呈指数稀少。
• 特征和 $\overline{\chi}_{\overline{S}}(K)$ 以 $e^{-\delta m}$ 的速度指数衰减，其中 $m$ 为 $\mathrm{Aut}(M)$ 的最小度，确保非-$S$ 表示的贡献可忽略。
• 本研究将先前关于图同构问题的量子傅里叶采样负面结果推广至线性码自同构群，建立了更广泛的此类攻击屏障。