62、非交换代数密码系统的分析与攻击

非交换代数密码系统的分析与攻击

在密码学领域，非交换代数的应用为设计新的密码协议提供了可能，同时也带来了新的挑战。本文将深入探讨基于模斜多项式环的非交换Diffie - Hellman协议，以及对基于单秘密多项式同构问题（IP1S）的身份识别方案的实际密码分析。

模斜多项式环相关理论

• 准中心与环结构 ：在模斜多项式环中，对于表达式 ((U + Λ ⋆N) ⋆(V + Λ′ ⋆N) = U ⋆V + Λ ⋆N ⋆V + (U ⋆Λ′ + Λ ⋆N ⋆Λ′) ⋆N)，除非 (Λ ⋆N ⋆V) 能被 (N) 右除，否则它模 (⋆N) 不等于 (U ⋆V)。这意味着当存在 (W) 使得 (N ⋆V = W ⋆N) 时，称 (N) 与 (V) 准交换。若要使类的集合构成一个（非交换）环，需要 (N) 与环 (R) 中的所有元素准交换，满足此条件的 (N) 的集合称为 (R) 的准中心 (N)。准中心 (N) 可表示为 (\cup_{k = 0}^{m - 1} FqX^kC)，其中 (C = Fp[X^m]) 是 (R) 的中心。对于准中心中的多项式 (N)，其左右倍数集合相同，模这些集合的类构成一个环，记为 (R_N)。
• 修改方案 ：模斜多项式环可作为非交换Diffie - Hellman协议的基础。设 (d) 为 (N) 的次数，每个类都有唯一的次数小于 (d) 的代表元。类的乘法通过规范代表元的乘法并随后模 (N) 约简来实现，记为 (◦)。可以通过选择具有小次数 (\delta) 的规范代表元的交换类来构造一个交换集 (S)，由于 (\delta) 是小常数且 (d) 是安全参数，可假设 (2\delta < d)，此时这些规范代表元实际上在不模运算的情况下也可交换，并且它们由单个多项式 (P_0) 在中心上张成，(S) 中的元素是 (P_0) 在 (C) 上的任意组合模 (N) 约简得到的。
• 初步观察 ：(R_N) 不是整环，因为对于 (N) 的任何两两分解 (U ⋆V)，有 (U ⋆V \equiv 0 \pmod{N})，但 (U) 和 (V) 都不能被 (N) 整除。一个类 (\overline{U}) 是类 (\overline{P}) 的左因子，当且仅当 (\overline{P}) 位于映射 (\mu(\overline{U}) : R_N \to R_N)，(\overline{V} \mapsto \overline{U} ◦\overline{V}) 的像空间中。(\overline{U}) 和 (N) 的左最大公因子 (G) 与 (\overline{U}) 中的具体 (U) 无关，(\mu(\overline{U})) 的像集是 (\overline{G}◦)。类 (\overline{P}) 的左因子集是那些与 (N) 的左最大公因子 (G) 是 (\overline{P}) 的规范代表元 (\hat{P}) 的左因子的类 (\overline{U}) 的集合。特别地，与 (N) 左互素的类是任何类的左因子（它们是环的单位），在 (R_N) 中，因子和倍数之间的关系非常松散。

模分解攻击

• 攻击思路 ：给定一个类 (\overline{Z}’)，我们搜索一个分解 (\overline{U} ◦\overline{Z} ◦\overline{V})，其中 (\overline{U}) 和 (\overline{V}) 在 (\overline{S}) 中（即模 (N) 与 (P_0) 交换）。我们目标是找到 (\overline{S} \times \overline{S}) 中的对 ((\overline{U}, \overline{V}))，使得 (\overline{U}) 与 (N) 左互素。当 (N) 在准中心时，与 (N) 左互素和右互素是等价的。对于 (\overline{S} \times \overline{S}) 中与 (N) 互素的 (\overline{U})，存在 (\overline{W}) 使得 (\overline{U} ◦\overline{W} = \overline{1})，则 (\overline{Z}’ = \overline{U} ◦\overline{Z} ◦\overline{V}) 等价于 (\overline{W} ◦\overline{Z}’ = \overline{Z} ◦\overline{V})。并且 (\overline{U}) 与 (\overline{P_0}) 交换当且仅当 (\overline{W}) 与 (\overline{P_0}) 交换，因此 (\overline{S} \times \overline{S}) 中 (\overline{U}) 可逆的分解对 ((\overline{U}, \overline{V})) 与 (\overline{S} \times \overline{S}) 中线性方程 (\overline{W} ◦\overline{Z}’ = \overline{Z} ◦\overline{V}) 的可逆解 ((\overline{W}, \overline{V})) 是一一对应的。
• 密度分析 ：我们期望从线性系统的解中提取出具有可逆 (\overline{W}) 的对 ((\overline{W}, \overline{V}))。限制对中的元素在 (\overline{S}) 中只会对可逆元素的密度产生可忽略的影响。因为对于规范代表元次数小于 (deg(N) - deg(P_0)) 的所有类，模条件是精确的，且 (deg(P_0)) 渐近地保持为小常数，所以涉及 (N) 的类的比例是可忽略的。我们推测方程 (\overline{W} ◦\overline{Z}’ = \overline{Z} ◦\overline{V}) 的解对 ((\overline{W}, \overline{V})) 中 (\overline{W}) 的密度与 (R_N) 中可逆类的密度相同。由于 (N) 的不同不可约左因子是所有可能的次数为 (deg(N)) 的多项式的不可约左因子的子集合，我们期望与 (N) 左互素的类的比例渐近地接近一个常数 (1 - 1/q)。通过实际采样验证，我们发现解空间左坐标 (\overline{W}) 中的可逆类密度和所有类中的可逆类密度处于同一数量级，在大特征情况下相等且接近 (1 - 1/q)，在小特征情况下略有不同，因此我们几乎可以立即提取出分解解。
• 攻击的推广 ：可以更一般地目标是找到分解解 ((\overline{U}, \overline{V}))，使得 (\overline{U}) 与 (N) 的右最大公因子不一定为 (1)，而是 (N) 的一个与 (P_0) 交换的目标右因子 (G)（例如中心多项式）。对于这样的 (\overline{U})，存在 (\overline{W}) 使得 (\overline{W} ◦\overline{U} = \overline{G})，然后我们计算 (\overline{S} \times \overline{S}) 中方程 (\overline{W} ◦\overline{Z}’ = \overline{G}◦\overline{Z} ◦\overline{V}) 的解，并提取出 (\overline{W}) 使得 (\overline{W}) 与 (N) 的左最大公因子为 (G)。

矩阵与斜多项式的联系

另一个常见的非交换代数例子是有限域上的方阵。通过建立有限域上的方阵与模斜多项式之间的联系，我们发现方阵可以看作是具有特定模的模斜多项式。设 (F_p) 是任意有限域，(F_q = F_{p^n}) 是 (F_p) 的 (m) 次扩展域，(F_q) 是 (F_p) 上的 (m) 维向量空间。固定 (F_q) 在 (F_p) 上的任意基元素，可以将 (F_q) 中的任何元素编码为 (n) 维向量，这诱导了 (F_p) - 线性映射在 (F_q) 和 (F_p) - 线性映射在 ((F_p)^m) 之间的一一对应，后者由 (F_p) 上的 (m \times m) 矩阵表示。(F_p) - 线性映射在 (F_q) 上的合成与矩阵乘法相同，(F_p) 上的 (m \times m) 矩阵环可以看作是 (F_p) - 线性映射在 (F_q) 上的环 (L_p(F_q))。(L_p(F_q)) 可以由 Frobenius 映射的 (F_q) - 线性组合表示，这些映射可以与多项式 (\sum_{i = 0}^{m - 1} a_iX^i) 等同，其环结构满足 (X ◦a = \theta(a)X) 和 (X^n = 1)，这正是模中心多项式 (X^m - 1) 的斜多项式 (F_q[X, \theta]) 的定义，即 ({m \times m) 矩阵在 (F_p) 上 (} = L_p(F_q) = F_q[X, \theta]/(X^m - 1))。

基于单秘密多项式同构问题的身份识别方案

• 问题背景 ：多变量密码学使用有限域上的多变量多项式设计密码方案，其安全性通常与求解随机或结构化多变量多项式方程组的难度相关。多项式同构问题（IP）是多变量密码学的一个基本问题，其难度意味着各种多变量密码系统密钥恢复的困难性。IP 问题的一个重要特殊情况是单秘密多项式同构问题（IP1S），其中 (T) 是单位矩阵。Patarin 在 1996 年提出了一个基于 IP1S 难度的零知识身份识别方案，该方案的参数导致相对较小的密钥大小，但目前提出的参数尚未被比穷举搜索更快地破解。
• 已有算法分析 ：已有的关于 IP 和 IP1S 问题的文献可以分为两类：启发式算法具有（或多或少模糊的）“已知”复杂度和未知的成功概率，以及严格算法总是能成功但具有未知的复杂度。Geiselmann 等人提出的算法通过对 IP1S 矩阵解的每一行验证代数方程组并进行穷举搜索来求解，随后 Levy - dit - Vehel 和 Perret 用 Gröbner 基计算代替了穷举搜索，但这些算法的复杂度本质上仍然是指数级的。Perret 证明了 IP1S 的仿射和线性变体是等价的，并提出了一种使用雅可比矩阵求解 IP1S 的新方法，该算法在多项式数量 (u) 等于变量数量 (n) 时是多项式时间的，但当 (u < n) 时，其复杂度不太清楚，并且当多项式数量非常小时（如 (u = 2)），该算法效率极低。
• 新算法及结果 ：本文提出了两种新的确定性算法，这些算法依赖于线性代数和 Gröbner 基这两种对多变量密码学造成严重打击的武器。分析算法的运行时间相当复杂，需要调用关于线性代数的一些不太知名的结果以及关于随机矩阵的已知结果。在实际应用中，这些算法非常高效，随机二次 IP1S 实例和随机三次非齐次 IP1S 实例可以在 (O(n^6)) 时间内被破解。特别是，Patarin 提出的所有二次 IP1S 挑战现在可以在几秒钟内被破解，三次参数可以在不到一个 CPU 月的时间内被破解，这表明该身份识别方案已被严重破解。

综上所述，无论是基于模斜多项式环的非交换密码协议还是基于 IP1S 的身份识别方案，都面临着新的密码分析挑战，新的算法和分析方法为我们深入理解这些密码系统的安全性提供了重要的视角。

下面是一个简单的流程图，展示模斜多项式环攻击的主要步骤：

graph TD;
    A[给定类 \(\overline{Z}'\)] --> B[寻找 \(\overline{S} \times \overline{S}\) 中 \(\overline{U}\) 与 \(N\) 互素的对 \((\overline{U}, \overline{V})\)];
    B --> C[找到 \(\overline{W}\) 使得 \(\overline{U} ◦\overline{W} = \overline{1}\)];
    C --> D[将 \(\overline{Z}' = \overline{U} ◦\overline{Z} ◦\overline{V}\) 转化为 \(\overline{W} ◦\overline{Z}' = \overline{Z} ◦\overline{V}\)];
    D --> E[求解线性方程 \(\overline{W} ◦\overline{Z}' = \overline{Z} ◦\overline{V}\) 的解 \((\overline{W}, \overline{V})\)];
    E --> F[提取具有可逆 \(\overline{W}\) 的分解解];

同时，为了更清晰地对比不同算法对 IP1S 问题的处理，我们列出以下表格：
| 算法 | 复杂度 | 成功概率 | 适用情况 |
| ---- | ---- | ---- | ---- |
| Geiselmann 等人算法 | 指数级 | 未知 | 一般 IP1S 问题 |
| Levy - dit - Vehel 和 Perret 算法 | 指数级 | 未知 | 大有限域上的 IP1S 问题 |
| Perret 雅可比矩阵算法 | (u = n) 时多项式级，(u < n) 时未知 | 未知 | (u) 与 (n) 关系不同的 IP1S 问题 |
| 本文新算法 | (O(n^6)) | 高 | 随机二次和三次 IP1S 实例 |

非交换代数密码系统的分析与攻击

新算法的技术细节与优势

新提出的两种确定性算法在攻击 IP1S 问题上展现出显著优势。这些算法巧妙地结合了线性代数和 Gröbner 基这两种强大工具，借鉴了多元方案的差分密码分析思想。

在算法设计上，线性代数的运用体现在对矩阵相关性质的深入挖掘。例如，利用矩阵的秩分布、循环性概率等特性，为算法的运行提供了坚实的理论基础。在分析过程中，需要确定矩阵方程齐次系统的核的维度下限，这涉及到对矩阵交换子维度等不太常见的线性代数结果的运用。

Gröbner 基的使用则是为了处理多项式方程组。在算法执行过程中，需要对多项式的次数进行严格控制，以确保算法的效率。这就需要对 Gröbner 基算法操作的多项式次数进行上限估计，这是算法分析中较为复杂的步骤之一。

与以往算法相比，新算法的主要优势在于其确定性和高效性。以往的启发式算法复杂度模糊且成功概率未知，而严格算法虽然能保证成功但复杂度难以确定。新算法不仅能够在多项式时间 (O(n^6)) 内解决随机二次和三次 IP1S 实例，而且其成功概率较高，具有很强的实用性。

密码系统安全性的综合评估

从上述对模斜多项式环和 IP1S 问题的分析可以看出，当前的密码系统面临着诸多挑战。

对于基于模斜多项式环的非交换 Diffie - Hellman 协议，虽然其设计初衷是利用非交换代数的特性提供更高的安全性，但在实际分析中发现，环 (R_N) 中因子和倍数关系的松散性使得密码系统容易受到攻击。攻击者可以通过分析类的分解和最大公因子等信息，找到破解密码的途径。

基于 IP1S 的身份识别方案同样存在安全隐患。尽管该方案的参数设计使得密钥大小相对较小，但新算法的出现表明，其安全性并没有达到预期。特别是对于二次和三次的参数，新算法能够在短时间内破解，这意味着该身份识别方案在实际应用中可能无法提供有效的安全保障。

综合来看，密码系统的安全性不仅仅取决于其设计的复杂性，还需要考虑到算法攻击的可能性。在设计新的密码系统时，需要充分考虑到各种可能的攻击手段，并进行严格的安全性分析。

未来研究方向与展望

面对当前密码系统面临的挑战，未来的研究可以从以下几个方面展开：

• 新密码系统的设计 ：探索新的非交换代数结构或多变量多项式系统，以设计出更安全的密码协议。例如，可以研究其他类型的非交换环或代数，寻找具有更好安全性的密码构造。
• 攻击算法的改进 ：继续优化现有的攻击算法，提高其效率和适用性。同时，研究新的攻击方法，以应对不断发展的密码系统。
• 安全性分析方法的完善 ：建立更严格的安全性分析框架，对密码系统的安全性进行全面评估。这包括对密码系统的复杂度分析、成功概率估计等方面的研究。

以下是一个流程图，展示未来密码系统研究的主要方向：

graph TD;
    A[密码系统研究] --> B[新密码系统设计];
    A --> C[攻击算法改进];
    A --> D[安全性分析方法完善];
    B --> E[探索新代数结构];
    B --> F[设计新密码协议];
    C --> G[优化现有算法];
    C --> H[研究新攻击方法];
    D --> I[建立严格分析框架];
    D --> J[全面评估安全性];

为了更直观地比较不同密码系统的安全性和性能，我们列出以下表格：
| 密码系统 | 安全性 | 性能 | 面临挑战 |
| ---- | ---- | ---- | ---- |
| 基于模斜多项式环的协议 | 易受因子关系分析攻击 | 依赖参数 | 因子和倍数关系松散 |
| 基于 IP1S 的身份识别方案 | 二次和三次参数易被破解 | 密钥小 | 新算法攻击 |
| 未来可能的新系统 | 待评估 | 待确定 | 未知攻击手段 |

综上所述，非交换代数密码系统的研究是一个充满挑战和机遇的领域。通过对现有系统的深入分析和新算法的提出，我们对密码系统的安全性有了更清晰的认识。未来的研究需要不断探索新的方向，以设计出更安全、更高效的密码系统。