[论文解读] Thompson's group and public key cryptography

Vladimir Shpilrain, Alexander Ushakov|arXiv (Cornell University)|May 24, 2005

Geometric and Algebraic Topology参考文献 4被引用 14

一句话总结

本文提出了一种基于 R. Thompson 群 F 中分解问题的新公钥交换协议，利用其在 O(n log n) 时间内高效计算规范形式的特性。通过重构密钥交换以隐藏私有元素的暴露，该协议增强了对长度攻击的抵抗力，为后量子密码学提供了一个具有实际性能优势的非阿贝尔群平台。

ABSTRACT

Recently, several public key exchange protocols based on symbolic computation in non-commutative (semi)groups were proposed as a more efficient alternative to well established protocols based on numeric computation. Notably, the protocols due to Anshel-Anshel-Goldfeld and Ko-Lee et al. exploited the conjugacy search problem in groups, which is a ramification of the discrete logarithm problem. However, it is a prevalent opinion now that the conjugacy search problem alone is unlikely to provide sufficient level of security no matter what particular group is chosen as a platform. In this paper we employ another problem (we call it the decomposition problem), which is more general than the conjugacy search problem, and we suggest to use R. Thompson's group as a platform. This group is well known in many areas of mathematics, including algebra, geometry, and analysis. It also has several properties that make it fit for cryptographic purposes. In particular, we show here that the word problem in Thompson's group is solvable in almost linear time.

研究动机与目标

• 解决在基于群的密码系统中，仅靠共轭搜索问题不足以提供足够安全性的问题。
• 提出一种基于非交换群中更一般分解问题的新密码协议。
• 评估使用 Thompson 群 F 作为公钥密码学平台组的可行性和安全性。
• 证明 Thompson 群支持高效的规范形式计算，从而实现实际应用。

提出的方法

• 采用分解问题作为底层困难问题，推广共轭搜索问题。
• 设计一种改进的密钥交换协议，其中 Alice 和 Bob 分别交换形如 $ a_1 w b_1 $ 和 $ b_2 w a_2 $ 的元素，以计算共享密钥 $ K = a_1 b_2 w a_2 b_1 $。
• 使用 Thompson 群 F 作为平台群，其无限表示为 $ F = \langle x_0, x_1, \dots \mid x_i^{-1}x_k x_i = x_{k+1} \text{ for } k > i \rangle $。
• 实现一种算法，通过双栈方法追踪约化过程中的索引调整，以 $ O(|w|\log|w|) $ 时间计算群元素的规范形式。
• 将该算法应用于将任意字词约化为规范形式，通过迭代消除“坏对”并利用存储的校正值调整索引。
• 利用规范形式确保群元素的唯一表示，并在协议中实现高效的验证。

实验结果

研究问题

• RQ1 Thompson 群 F 中的分解问题能否作为公钥交换协议的安全基础？
• RQ2 与早期基于群的方案相比，所提出的协议是否能有效抵抗已知攻击，特别是长度攻击？
• RQ3 Thompson 群 F 中规范形式计算的计算复杂度是多少？是否能够支持高效的密码运算？
• RQ4 Thompson 群 F 中规范形式计算的性能与 RSA 等标准数论平台相比如何？

主要发现

• Thompson 群 F 中字词的规范形式可在 $ O(|w|\log|w|) $ 时间内计算，接近线性，适合密码学应用。
• 由于私有元素交换方式的不对称性，所提出的密钥交换协议在结构上比早期协议更抗长度攻击。
• Thompson 群 F 支持通过即时随机字词生成实现高效的密钥生成，而 RSA 需要预先计算素数。
• 规范形式计算算法使用两个栈来追踪索引校正，确保正确性的同时保持线性对数时间复杂度。
• 分解问题推广了共轭搜索问题和整数分解问题，暗示具有更强的安全潜力。
• 理论与实验结果表明，Thompson 群 F 是非交换密码学中一个可行且高效的平台。