[论文解读] The problem with the SURF scheme

Thomas Debris-Alazard, Nicolas Sendrier+1 more|arXiv (Cornell University)|Jun 25, 2017

Chaos-based Image/Signal Encryption参考文献 39被引用 4

一句话总结

本文識別出SURF碼基數位簽章方案中的一個關鍵弱點，證明其安全性依賴於一個可被高效破解的假設：透過核維數分析，區分置換過的(U,U+V)碼與隨機線性碼。作者顯示，在SURF的參數設定下，(U,U+V)碼的核明顯大於隨機碼的核，進而導致多項式時間攻擊的成功機率極高，從而使該方案的安全性證明無效。

ABSTRACT

There is a serious problem with one of the assumptions made in the security proof of the SURF scheme. This problem turns out to be easy in the regime of parameters needed for the SURF scheme to work. We give afterwards the old version of the paper for the reader's convenience.

研究动机与目标

• 分析SURF碼基數位簽章方案背後的安全性假設。
• 識別出「置換過的(U,U+V)碼與隨機線性碼不可區分」這一假設中的缺陷。
• 證明在SURF參數選擇下，(U,U+V)碼的核維數明顯大於隨機碼的核維數。
• 顯示此結構差異可導致多項式時間區分器，從而破壞該方案的安全性證明。
• 提出一個正式的攻擊方式，使原始SURF論文所聲稱的安全性歸約無效。

提出的方法

• 攻擊計算給定線性碼的核，定義為碼與其對偶碼的交集：hull(C) = C ∩ C⊥。
• 利用在SURF參數下，置換過的(U,U+V)碼的期望核維數為k_U - k_V，而隨機碼的期望核維數為O(1)的事實。
• 區分器檢查計算出的核維數是否等於k_U - k_V；若是，則將碼分類為(U,U+V)碼。
• 該演算法以多項式時間執行，使用標準的線性代數運算（如高斯消去法）來計算核。
• 根據編碼理論中的機率界，攻擊的成功機率為1 - ε，其中ε在n下可忽略。
• 該方法依賴於底層(U,U+V)碼區分問題的NP完全性，這正是原始安全性聲稱的基礎。

实验结果

研究问题

• RQ1 在SURF參數設定下，是否存在一個多項式時間演算法，能區分置換過的(U,U+V)碼與隨機線性碼？
• RQ2 在SURF所使用的參數下，(U,U+V)碼的核維數是否明顯大於隨機碼的核維數？
• RQ3 核維數的結構差異是否會破壞SURF方案安全性證明所必需的不可區分性假設？
• RQ4 此區分器能否用於偽造簽章或破壞選擇訊息攻擊下的存在性不可偽造性？
• RQ5 此缺陷對SURF在隨機Oracle模型中安全性歸約的有效性有何影響？

主要发现

• 置換過的(U,U+V)碼的核維數為k_U - k_V的機率為1 - O(2^{k_V - k_U})，在SURF參數下極其接近1。
• 相比之下，隨機線性碼的期望核維數為O(1)，且其核維數小於t的機率至少為1 - O(2^{-t})。
• 此差異使得多項式時間區分器能以1 - ε的成功機率識別(U,U+V)碼，其中ε在n下可忽略。
• 該攻擊破壞了SURF方案安全性證明的核心假設，使所聲稱的適應性選擇訊息攻擊下存在性不可偽造性無效。
• 此缺陷並非微小弱點，而是根本性的結構性弱點，直接動搖了該方案整個安全基礎。
• 原始SURF方案無法在相同假設下修復，其安全性證明必須重新審視或放棄。