27、关于HFE和Matsumoto - Imai密码系统的研究

关于HFE和Matsumoto - Imai密码系统的研究

1. HFE密码系统的相关研究

1.1 仿射变换的消除

对于任意的HFE密码系统，或者像Sflash这样的系统，在基域 (F_q \neq F_2) 且存在秘密仿射变换 (S = Ax + c) 和 (T = Bx + d) 的情况下，平均可以通过 (O(n^4)) 次域运算消除 (c) 和 (d)。这表明在这种情况下，若选择线性变换而非仿射变换作为秘密变换，不会影响HFE密码系统的安全性。

1.2 分支分离算法

1.2.1 算法基础

以往有基于Coppersmith - Patarin攻击的概率多项式时间算法来分离分支，但该算法要求底层HFE多项式具有特殊的合冲关系。而新介绍的算法同样基于Coppersmith - Patarin攻击，运行时间相近，但不再需要合冲关系，适用于任何HFE密码系统。

1.2.2 关键步骤

攻击的关键步骤是计算矩阵 (C = A\Lambda A^{-1})，其中
[
\Lambda =
\begin{pmatrix}
\Lambda_1 & 0 & \cdots & 0 \
0 & \Lambda_2 & \cdots & 0 \
\vdots & \vdots & \ddots & \vdots \
0 & 0 & \cdots & \Lambda_l
\end{pmatrix}
]
(l) 表示分支