Горбенко, Ю.

Кузнецов, О. О

Кузнецова, Т. Ю.

Шевцов, О. В

Ukrainian

eaKirNTU (Electronic archive Kirovograd National Technical University)

 Àêòóàëüí³ çàäà÷³ òà äîñÿãíåííÿ ó ãàëóç³ ê³áåðáåçïåêè  Ìàòåð³àëè Âñåóêðà¿íñüêî¿ íàóêîâî-ïðàêòè÷íî¿ êîíôåðåíö³¿ 23–25 ëèñòîïàäà 2016 ðîêó, ì. Êðîïèâíèöüêèé      128   УДК 004.056.55 Кузнецов О.О., Горбенко Юрій, Шевцов О.В., Кузнецова Т.Ю. Харківський національний університет ім. В.Н. Каразіна  Дослідження криптографічних атак на схеми електронного цифрового підпису в фактор-кільцях зрізаних поліномів   Вступ. Застосування електронних цифрових підписів (ЕЦП) в фактор-кільцях зрізаних поліномів (ФКЗП) дозволить будувати криптопримітиви, які є стійкими до квантового криптоаналізу [1-5]. Однак всі попередні версії ЕЦП в ФКЗП виявилися вразливими до атак, коли атакуючий може нав’язати підроблене повідомлення [1-3]. Тому дослідження умов та можливостей застосування атак підробки підписів є актуальним науковим завданням. Підпис в фактор-кільцях поліномів NTRUSign є доказово стійким від повного розкриття за умови, що криптоаналітик перехопив тільки одну пару підпис-повідомлення [ 0]. Проте, у відомій літературі не проаналізовано можливості атаки типу maleability [ 0] на підпис із пертурбаціями та на схеми із посиленими параметрами, в тому числі, із гаусовським зашумленням [ 0]. Підписи в ФКЗП потребують більшого обґрунтування захищеності від підробки даного типу.  Математична модель підпису в фактор-кільцях зрізаних поліномів NTRUSign. В алгоритмі NTRUSign [ 0] базові операції відбуваються в фактор-кільці зрізаних поліномів 1)]/([= −NXXZK , де поліном Kxa ⊂)(   може бути представлений вектором його коефіцієнтів наступним чином:  ).,...,,(== 11010=−−∑ NiNiaaaxaa i  Визначення 1. Алгебраїчна решітка - дискретна адитивна підгрупа, задана на множині NR . Решітку L  можна представити як множину цілочисельних лінійних комбінацій  ZxxbxbbL NiiNiN ∈∑ ,...,:=),....( 11=1 , де N - лінійно незалежних базисних векторів NN Rbb ⊂),...,( 1  в N  - вимірному просторі, R  - множина дійсних чисел. Ненульовий вектор решітки мінімальної довжини називається її найкоротшим вектором.  Визначення 2. Під найкоротшим вектором решітки L  будемо розуміти вектор, довжина якого для решітки розмірністю N  буде −i й послідовний мінімум )(Liλ  - найменший радіус кулі, яка містить i  лінійно незалежних векторів  ,,:,=)( rvmaxLvRrrL iiii ≤∈∃∈λ  де iv  - це лінійно незалежні вектори. Безпека підпису NTRU заснована на важкості вирішення задачі знаходження найкоротших чи найближчих векторів (відповідно, SVP, CVP) в спеціальних NTRU решітках. Іншими словами, нехай U  - це базис решітки L . Задача знаходження найкоротшого вектору (задача SVP) полягає в тому, щоб знайти такий вектор Lu∈ , 0≠u , що Lv∈∀ , .|||||||| vu ≤   Зауваження 1.  Наскільки короткою може бути довжина ненульового вектору в довільній решітці, залежить від таких  Àêòóàëüí³ çàäà÷³ òà äîñÿãíåííÿ ó ãàëóç³ ê³áåðáåçïåêè  Ìàòåð³àëè Âñåóêðà¿íñüêî¿ íàóêîâî-ïðàêòè÷íî¿ êîíôåðåíö³¿ 23–25 ëèñòîïàäà 2016 ðîêó, ì. Êðîïèâíèöüêèé      129   властивостей, як розмірність решітки та її детермінант. Так, N -розмірна решітка L  має експоненційно багато векторів з нормою NLNd 1/)(det= . Задача CVP (знаходження найближчого вектору) полягає в знаходженні вектору Lv∈  , який є найближчим до вектору w , де NRw∈  та w  не знаходиться в L . Треба знайти такий вектор Lv∈ , який мінімізував би Евклідову норму .|||| vw −  Вираз |||| vw −  визначає найменшу відстань між векторами w  та v , яка обчислюється як Евклідова норма вектору |||| ⋅ . Зокрема, Евклідова норма вектору ),...,,(= 110 −Naaaa  визначає його довжину та обчислюється за формулою:  .)(...)()(||=|| 212120 −+++ Naaaa  Далі будемо застосовувати поняття базису мінімальної довжини. Визначення 3. Базис мінімальної довжини - це базис U  решітки L  який складається із найкоротших векторів Lui ∈ , тобто ),...,,(= 110 −NuuuU  i .||||||:||, vuUuLv ii ≤∈∀∈∀  Для зручності оцінки довжини векторів будемо розрізняти великі вектори ),...,,(= 110 −Naaaa , коли їх довжина набагато більша за довжину найкоротшого вектору решітки .||||||:|| auUu ii =∈∀  Аналогічно будемо використовувати поняття коротких векторів ),...,,(= 110 −Naaaa , коли їх норма приблизно дорівнює 1)/12(|||| −≈ Na [ 0]. Надалі під довжиною полінома iiNixaa ∑−10==  будемо розуміти довжину відповідного вектору ),...,,(= 110 −Naaaa , тобто під коротким (великим) поліномом будемо розуміти відповідний короткий (великий) вектор у введених вище позначеннях. Базис, складений із великих векторів, будемо називати великим базисом. Визначення 4 [ 0]. Секретний ключ NTRUSign визначається кортежом поліномів ),,,( GFgf , де fg ,  - це поліноми з коефіцієнтами, вибраними з діапазону {-1,0,1}, f  має інверсію в 1)]/()[/( −NXXqZZ , q  - ціле число та степінь двійки, GF ,  - короткі поліноми з нормою приблизно 1)/12(||=|| −NF  та qFgfG =− . Матричне подання називають  секретним базисом решітки, який є базисом мінімальної довжини. Визначення 5 [ 0]. Відкритий ключ NTRUSign визначається поліномом gfh ⋅−1=  з коефіцієнтами з діапазону ./2]/2,[ qq−  Зауваження 2. Поліном h , що формує відкритий базис решітки:  qhe0, де e  - одинична матриця.  Підпис можна представити двома визначеннями. Визначення 6 [ 0]. Нехай ),(= 21 mmm  - хеш-значення повідомлення (далі просто повідомлення) та 21 ||= mmm  - дві рівні половини полінома m . Підпис визначається вектором Lts ∈),( , котрий знаходиться близько до повідомлення.  Підпис обчислюється за правилом:  ),(),(qmodbGBgtqmodbFBfs⋅+⋅≡⋅+⋅≡                                       (1)  Àêòóàëüí³ çàäà÷³ òà äîñÿãíåííÿ ó ãàëóç³ ê³áåðáåçïåêè  Ìàòåð³àëè Âñåóêðà¿íñüêî¿ íàóêîâî-ïðàêòè÷íî¿ êîíôåðåíö³¿ 23–25 ëèñòîïàäà 2016 ðîêó, ì. Êðîïèâíèöüêèé      130   де В та b обчислюють із співвідношень  bqamfmgBqAmFmG⋅+⋅−⋅⋅+⋅−⋅==2121                                       (2) Поліноми a , A  мають коефіцієнти із діапазону [-1/2, 1/2] та 1)]/([, −∈ NXXZBb . Наведені формули (1), (2) вирішують задачу знаходження найближчого вектору за допомогою секретного ключа. Можна обчислити t іншим способом )(= qmodhst ⋅ , в такому випадку не треба застосовувати при підписанні g [ 0]. Для зручності рівняння (1), (2) можна подати в матричному вигляді. Визначення 7 [ 0]. Підпис - це вектор Lts ∈),(  , який задовольняє рівнянню: ( ) )( =,=, GgFfbBts ) =////,( 21 −−GgFfqfqFqgqGmm ) ,,(121 −GgFfGgFfmm    (3) де квадратні дужки ][  є операцією округлення коефіцієнтів полінома до найближчого цілого. Вектор ),( ts  у формулі (3) - це вираз вектору ),,( 21 mm  в секретному базисі решітки із округленням, причому власне значення )21,( mm  подано в ортонормованому базисі. Модель атаки підробки підпису NTRUSign за допомогою анулюючих поліномів з посиленими параметрами. NTRUSign не завжди може знайти застосування на практиці, наприклад, в системах електронних платежів, адже цьому підписові властива наступна слабкість - наявність кількох підписів для одного повідомлення [ 0]. Автори роботи називають цю особливість malleability (англ. гнучкість). Ця особливість пов’язана з явищем анулюючих поліномів.  Визначення 8. Поліном α  називається анулюючим, якщо в нього одинакові коефіцієнти та, відповідно, центрована норма анулюючого полінома 0=||)(||xα .  Властивості 1[ 0]. В кільці 1)]/([= −NXXZqR  існує q  анулюючих поліномів. Для випадкового Rr∈  анулюючого Z∈α : 1) різниця |||||||| rr −+α  близька до 0; 2) добуток 0.=||||α⋅r  Визначення 9 [ 0]. Центрована норма полінома =)(xs  mmcxcx K+00 знаходиться за формулою ( ) ≈−∑ − 210=2 )(=|||| ciNicxs µ ( )210=210=1cNcNiNi ∑∑−−−≈ , дe cµ  є середнє арифметичне iNiсN∑−10=1 від коефіцієнтів полінома 1100...=)( −−+ NNcxcxxs   При проведенні численних експериментів вдалося показати, наскільки на практиці ефективна розглянута атака на підписи, які згенеровано на різних наборах загальносистемних параметрів NTRUSign. Також експериментально визначено, що техніка пертурбації не суттєво захищає від даної загрози. Практична цінність отриманих результатів полягає в експериментальному доведенні того, що ефективність атаки не суттєво зменшується від збільшення раундів пертурбацій. Дійсно, кількість підроблений підписів зменшується від кількості пертурбацій, але це зменшення не є  Àêòóàëüí³ çàäà÷³ òà äîñÿãíåííÿ ó ãàëóç³ ê³áåðáåçïåêè  Ìàòåð³àëè Âñåóêðà¿íñüêî¿ íàóêîâî-ïðàêòè÷íî¿ êîíôåðåíö³¿ 23–25 ëèñòîïàäà 2016 ðîêó, ì. Êðîïèâíèöüêèé      131   критичним (приблизно на 10-30% при збільшенні на один раунд пертурбацій). Навіть після 3-х раундів пертурбацій кількість вдало підроблених підписів зменшилася лише у 2-3 рази, що дозволяє фактично порівняти оцінки стійкості ЕЦП NTRUSign із пертурбацією та без пертурбації. Наприклад, для довжини поліному N= 743 з q= 2048 підроблених підписів 1180 проходять перевірку при застосуванні NTRUSign без посиленої схеми, тобто половина всіх підробок вважається справжніми підписами. Якщо застосувати посилену схему із 3-ма раунди пертурбації із 2048 підроблених підписів 515 вважаються справжніми, тобто кількість підробок, які пройшли перевірку, зменшується удвічі, але це замало, щоб стверджувати про істотне покращення захисту. Практично це означає, що застосовувані досі методи посилення стійкості ЕЦП NTRUSign, які були засновані на техніці пертурбації і які, як вважалося, є ефективними, насправді не дають суттєвого виграшу, їх практичне використання втрачає сенс. Висновки. Вперше запропоновано модель атаки підробки на підпис в ФКЗП із посиленими параметрами та із застосуванням техніки пертурбації, що дозволило отримати меншу складність підробки в порівнянні з повним перебором. Дана модель атаки відрізняється від відомих раніше врахуванням особливостей реалізації ЕЦП NTRUSign із посиленими параметрами та додатковим захистом за допомогою техніки  пертурбації. Це дозволило отримати нові оцінки стійкісті ЕЦП NTRUSign, які показують, що використання техніки пертурбацій не покращує захист від досліджуваного виду підробки. Вперше проаналізовано та показано, що ефективність атаки не суттєво зменшується від збільшення раундів пертурбацій. Отримано експериментальні підтвердження у вигляді кількісних показників ефективності атаки (кількість вдалих спроб підробки підпису) для великих розмірів вхідних параметрів підпису. Важливою та актуальною задачею є подальший аналіз можливості поширення запропонованої моделі атаки для інших підписів на решітках.   Список використаних джерел 1. Min Sung Jun. Weak property of malleability in NTRUSign [Електронний ресурс] / Sung Jun Min, Go Yamamoto, and Kwangjo Kim. Режим доступу: http://www.academy.ualiberty.com/ru/ goodsquality/details/174, свободный. 2. Hoffstein Jeffrey. NSS: The NTRU Signature SchemeNTRU Cryptosystems [Електронний ресурс] / Jeffrey Hоffstein, Jill Pipher, Joseph H. Silverman.  Режим доступу: http://www/citeseerx.ist.psu.edu, свободный.  3. Nguyen P. Q. Learning a Zonotope and More: Cryptanalysis of NTRUSign countermeasures [Електронний ресурс] / L. Ducas, P. Q. Nguyen. Режим доступу: http://www.di.ens.fr/ducas/NTRUSignCryptanalysis/ DucasNguyen/Learning.pdf, свободный. 4. Carlos Aguilar Melchor. Sealing the Leak on Classical NTRU Signatures [Електронний ресурс] / Carlos Aguilar Melchor , Xavier Boyen, Jean-Christophe Deneuville, Philippe Gaborit. Cryptology ePrint Archive, 2014. Режим доступу:  url: http://eprint.iacr.org/2014/48 5. Gentry Craig. Cryptanalysis of the Revised NTRU Signature Scheme [Електронний ресурс] / Craig Gentry, Mike Szydlo. Режим доступу: http://www.szydlo.com/ntru-revised-short02.pdf, свободный. 6. Meskanen Tommi. On the NTRU Cryptosystem [Електронний ресурс] / Tommi Meskanen. Режим доступу: http://www/tucs./publications/attachment.php?fname=DISS63.pdf, свободный. 7. Jeffrey Hoffstein, Nick Howgrave-Graham, Jill Pipher, Joseph H. Silverman, and William Whyte. 2003. NTRUSign: digital signatures using the NTRU lattice. In Proceedings of the 2003 RSA conference on The cryptographers' track (CT-RSA'03), Marc Joye (Ed.). Springer-Verlag, Berlin, Heidelberg, 122-140.  8. sourceforge. Ntru sourceforgenet, The source code repository. 2012. URL: http: //sourceforge.net/projects/ntru/?source. 

Дослідження криптографічних атак на схеми електронного цифрового підпису в фактор-кільцях зрізаних поліномів

http://dspace.kntu.kr.ua/jspui/bitstream/123456789/5126/3/AUConferenceCyberSecurity_November2016_p128_131.pdf

Дослідження криптографічних атак на схеми електронного цифрового підпису в фактор-кільцях зрізаних поліномів

Abstract

Similar works

Full text

Available Versions

eaKirNTU (Electronic archive Kirovograd National Technical University)