18、多变量公钥密码系统与McEliece密码系统的差异安全及实现

多变量公钥密码系统与McEliece密码系统的差异安全及实现

1. 多变量公钥密码系统的差异安全

多变量公钥密码学作为后量子安全的潜在候选方案，具有多个理想特性。然而，目前还没有一个标准的度量方法来判断多变量方案的安全性，这导致一些有前景的想法在密码分析上存在相似性。

我们提出以线性映射空间$S_G$的大小作为衡量现代多变量公钥密码系统差分安全性的基准，$S_G$体现了核心映射$f$的初始差分对称性。为了证明该方法作为差分安全度量的可行性和实用性，我们对近期大域方案发展中的几个关键参与者的这些空间进行了测量。在已被破解的方案中，我们发现这些空间很大，至少与大域的大小相当。而在目前被认为安全的变体中，如投影SFLASH方案（pSFLASH），我们可以使这个空间尽可能小。

当投影的图像是$F_q$的中间扩展域上的子空间时，在$d = 1$，$d + θ < \frac{n}{2}$，且$|n - 3θ| > 1$的情况下，$π_k$是一个超平面，此时$S_G \cong F_q$，这是最优情况。

2. McEliece密码系统背景

McEliece密码系统由Robert McEliece在1978年开发，是第一个基于纠错码的公钥密码系统（PKC）。其基本思想是从具有高效解码算法的码族中随机选择一个码，并将该码的描述作为私钥。通过一些秘密变换将私钥伪装成一般线性码来得到公钥，因为一般线性码的解码是NP难问题，这些变换的目的是隐藏私钥中可能用于识别底层码的可见结构。

McEliece PKC的常见系统参数是由在$GF(2^m)$上的（不可约）$t$次多项式（称为Goppa多项式）定义的底层$[n, k, d]$二