[论文解读] The Shpilrain-Ushakov Protocol for Thompson's Group $F$ is always breakable

Francesco Matucci|arXiv (Cornell University)|Jul 7, 2006

Geometric and Algebraic Topology参考文献 3被引用 2

一句话总结

本文证明基于汤普森群 F 的 Shpilrain-Ushakov 密钥交换协议在本质上是不安全的，因为攻击者可以高效地从公钥恢复其中一方的私钥。该攻击通过利用群作用中的结构性弱点，使共享密钥可被恢复，而无需解决底层困难问题。

ABSTRACT

This paper shows that an eavesdropper can always recover efficiently the private key of one of the two parts of the public key cryptography protocol introduced by Shpilrain and Ushakov in [9]. Thus an eavesdropper can always recover the shared secret key, making the protocol insecure.

研究动机与目标

• 分析基于汤普森群 F 的 Shpilrain-Ushakov 公钥密码学协议的安全性。
• 识别协议中允许在不解决底层计算问题的情况下恢复密钥的结构性弱点。
• 证明攻击者可仅从公钥高效恢复其中一方的私钥，从而破坏协议的机密性。

提出的方法

• 分析汤普森群 F 的代数结构及其对公钥的作用。
• 识别出能从公钥数据揭示私钥信息的特定同态或不变量。
• 构建一种高效算法，仅使用公开信息和群论性质恢复私钥。
• 证明恢复过程可在多项式时间内运行，使其在计算上可行。

实验结果

研究问题

• RQ1 攻击者是否仅使用公钥就能恢复 Shpilrain-Ushakov 协议中某一方的私钥？
• RQ2 汤普森群 F 的结构是否允许在协议依赖困难计算问题的前提下实现高效密钥恢复？
• RQ3 即使未破解主要问题，共享密钥是否仍因私钥恢复而面临暴露风险？

主要发现

• Shpilrain-Ushakov 协议不安全，因为攻击者总能从公钥恢复某一方的私钥。
• 该攻击高效且运行在多项式时间内，使其在实际应用中可行。
• 协议的安全性并不依赖于底层问题的困难性，因为私钥可在不求解该问题的情况下被提取。
• 汤普森群 F 的结构性质使得密钥恢复成为可能，暴露了协议设计中的根本缺陷。