素因数分解および離散対数問題の難しさに頼らない公開鍵暗号方式に関する研究

2001 年度 実績報告書

• 研究課題/領域番号: 13750327
• 研究種目: 奨励研究(A)
• 研究機関: 東京大学
• 研究代表者: 古原 和邦 東京大学, 生産技術研究所, 助手 (70323649)
• キーワード: 公開鍵暗号 / 選択暗号文攻撃 / 情報セキュリティ / ゴッパ符号 / McEliece暗号

研究概要

素因数分解および離散対数問題の難しさに頼らない公開鍵暗号方式としてMcEliece暗号をとりあげ、その安全性を向上させるための研究を行った。まず、McEliece暗号に対する既存の攻撃方法の調査を行い、それらに求められる情報量・計算量、並びに解読の程度(秘密鍵の解読、平文の完全解読、平文の部分解読)等を評価した。
結果、秘密鍵の解読に関しては以下のことが明らかとなった。「McEliece暗号のベースとなる符号の選び方によっては公開鍵から秘密鍵が求まる可能性がある。」McEliece暗号の公開行列の重み分布はそのベースとなる符号の重み分布と一致する。そのため、秘密鍵の候補数が少ない場合、候補となる符号の重み分布と公開行列の重み分布を比較することによりベースとなる符号を求めることができる。重み分布の比較はSSA(Support Splitting Algorithm)等を用いることで効率良く行え、符号が求まれば、SSAを用いて秘密鍵を完全に求めることができる。この攻撃を防ぐためには、ベースとなる符号の候補数を全探索が困難となる程度まで増やす必要がある。ゴッパ符号を用いれば、符号長と情報長を固定してもゴッパ多項式を変えることによりその重み分布を変えることができる。そのため、ゴッパ多項式の候補数が十分多ければ公開鍵から秘密鍵を求めることは困難となる。よって、以下のことが言える「少なくともベースとなる符号としてゴッパ符号を用い、ゴッパ多項式の候補数が十分大きくなるパラメータを選択すれば、公開鍵から秘密鍵を求めることは困難となる。」ちなみに、Reed-Solomon符号やBCH符号を用いた場合、公開されている符号長と情報長からベースとなっている符号を容易に推測することができるため秘密鍵は簡単に求まってしまう。
暗号文と公開鍵から平文を求める攻撃に関しては、以下のことが明らかとなった。「McEliece暗号は復号オラクル(秘密鍵を持っている受信者)を利用する攻撃や平文に関する部分情報を利用する攻撃に対して脆弱であるが、適切な前処理と後処理を付け加えることでそれらの攻撃をかわすことができる。」さらに、その手法を用いることで選択暗号文攻撃に対して最強の安全性(任意に選択された二つの平文の一方を暗号化してもらい、その暗号文に対応する平文を当てることすら困難であるという性質)を有することが明らかとなった。

研究成果

• [文献書誌] K.Kobara, H.Imai: "Semantically secure McEliece public-key cryptosystem"IEICE Trans.. E85-A(1). 74-83 (2002)
• [文献書誌] K.Kobara, H.Imai: "New chosen-plaintext attacks on the one-wayness of the modified McEliece PKC proposed at Asiacrypt 2000"Proc. of PKC '02. LNCS2274. 237-251 (2002)
• [文献書誌] K.Kobara, H.Imai: "Semantically secure McEliece Public-Key Cryptosystems --Conversions for McEliece PKC--"Proc. of PKC '01. LNCS1992. 19-35 (2001)
• [文献書誌] K.Kobara, H.Imai: "Modified McEliece PKC Proposed at Asiacrypt 2000 is Breakable"The 2002 Symposium on Cryptography and Information Security(SCIS2002). 8B-1. (2002)
• [文献書誌] K.Kobara, H.Imai: "Comparison of Conversions for McEliece PKC"The 2001 Symposium on Cryptography and Information Security(SCIS2001). 8B-2. (2001)