基于秩度量的密码学研究：单向函数、伪随机数生成器与量子攻击
在密码学领域，基于秩度量的研究为我们提供了新的思路和方法。本文将深入探讨基于秩度量的单向函数、伪随机数生成器（PRNG）以及量子攻击等方面的内容。
1. 基于秩度量的单向函数
单向函数在密码学中起着至关重要的作用。我们利用秩综合征解码（RSD）问题的困难性来构建一族单向函数。
-
强单向函数的定义 ：一个函数集合 ${f_n : E_n \to F_{2}^{k_n}}$ 被称为强单向函数，如果满足以下两个条件：
- 存在一个多项式时间算法，对于所有的 $x \in E_n$，都能计算出 $f_n(x)$。
- 对于每一个概率多项式时间算法 $A$，对于所有的 $c > 0$ 和足够大的 $n$，有 $Prob{A(f_n(x)) \in f_n^{-1}(f_n(x))} < \frac{1}{n^c}$。
-
具体的函数族 ：我们考虑函数族 $E_{n,k} = {(H, y) : H \in F_{q^n}^{(n - k) \times n}, y \in F_{q^n}^n, w_R(y) = w_n}$，定义函数 $f : E_{n,k} \to F_{q^n}^{(n - k) \times (n + 1)}$ 为 $(H, y) \to (H, Hy^T)$。当我们选择 $w_n \approx d_{GV}(n, k)$ 时，这些函数应该是强单向的，因为在这个范围内通常存在唯一的原像。
2. 基于秩度量码的伪随机数生成器
2.1 生成器的描述
我们的目标是利用基于困难问题的单向函数族来构建一个伪随机数生成器，使其继承该问题的困难性。
-
参数设置 ：令 $k = Rn$ 和 $w = \omega n$，其中 $R$ 和 $\omega$ 为常数。生成器的安全性和计算伪随机序列的复杂度将表示为 $n$ 的函数，$R$ 和 $\omega$ 作为参数。
-
输入扩展 ：首先需要扩展输入的大小，使得综合征的数量大于权重为 $w_n$ 的单词数量。当 $w = d_{GV}$ 时，这两个数量相等，因此我们可以选择 $\omega < \frac{d_{GV}}{n}$。输入的大小为 $n(n - k)n \lceil \log q \rceil = n^3(1 - R) \lceil \log q \rceil$（对于 $H$）加上 $w_n(2n - w_n) \lceil \log q \rceil = n^2(2\omega - \omega^2) \lceil \log q \rceil$（对于 $y$），输出的大小为 $n^3(1 - R) \lceil \log q \rceil + n^2(1 - R) \lceil \log q \rceil$。函数 $f_n$ 将输入的大小扩展了 $n^2(1 - R - 2\omega + \omega^2) \lceil \log q \rceil = O(n^2)$ 位。计算 $f_n(H, y)$ 需要在一个 $n$ 次域中进行矩阵 - 向量乘法，其复杂度为 $O(n^3)$ 个 $F_q$ 操作。
-
权重为 $\omega n$ 的单词计算 ：我们需要一个算法来计算权重为 $\omega n$ 的单词 $y \in F_{q^n}^n$，其输入为 $n^2(2\omega - \omega^2) \lceil \log q \rceil$ 位。根据定义，$y$ 可以看作是一个 $F_q$ 上的 $n \times n$ 矩阵 $M$，其秩为 $\omega n$。我们可以通过以下步骤实现：
- 规则秩单词的定义 ：一个权重为 $r$ 的单词 $y \in F_{q^n}^n$ 被称为规则的，如果其关联的矩阵 $M \in F_q^{n \times n}$ 具有形式 $M = A\begin{pmatrix}1 & \cdots & C \ 1\end{pmatrix}$，其中 $A \in F_q^{n \times r}$ 和 $C \in F_q^{r \times (n - r)}$。权重为 $r$ 的单词是规则的概率等于一个 $r \times r$ 的 $F_q$ 矩阵可逆的概率，该概率对于所有的 $r$ 和 $q$ 都大于一个常数 $c > 0$。因此，解决一般情况下的 RSD 问题并不比将其限制在规则单词上更难。
- 扩展算法 ：
Algorithm 1. Expansion Algorithm
Input: n^2(2ω - ω^2) ⌈log q⌉ bits
Output: y ∈ F_{q^n}^n, w_R(y) = ωn
Data: A basis (β_1, ..., β_n) of F_{q^n}/F_q
begin
compute x ∈ F_q^{n^2(2ω - ω^2)} with the input bits;
compute A ∈ F_q^{n × ωn} with the first ωn^2 coordinates of x;
compute B ∈ F_q^{ωn × (n - ωn)} with the last coordinates of x;
B ← (I_ωn|B) /* this is the concatenation of two matrices */;
M ← AB;
y ← (β_1, ..., β_n)M;
return y;
该算法最昂贵的步骤是矩阵乘法，需要 $\omega n^3$ 个 $F_q$ 操作，因此其总体复杂度为 $O(n^3)$。
- 迭代生成器 ：使用上述两个函数，我们可以构建一个迭代版本的生成器，它可以计算任意数量的比特。
Algorithm 2. Our Pseudo - Random Generator
Input: a vector x ∈ F_q^K where K is the security parameter
Output: N pseudo - random bits
Data: a random matrix in systematic form H ∈ F_{q^n}^{(1 - R)n × n}, an initialization vector v ∈ F_q^{n^2(2ω - ω^2) - K}
begin
y ← Expansion(x∥v);
repeat
s ← Hy^T;
split s into two strings of bits s1 and s2, with s1 of length n^2(2ω - ω^2) ⌈log q⌉;
output s2;
y ← Expansion(s1);
until the number of bits generated > N;
2.2 生成器的安全性
一个分布被称为伪随机的，如果它在多项式时间内与真正的随机分布不可区分。如果我们的生成器不是伪随机的，那么存在一个区分器 $D_R$，它能够以不可忽略的优势区分我们的生成器产生的序列和真正的随机序列。我们可以使用这个区分器来构建另一个用于 Fischer - Stern 生成器的区分器。
-
嵌入方法 ：我们需要一种方法将 $F_q$ 线性码嵌入到 $F_{q^m}$ 线性码中。定义嵌入函数 $\psi_{\alpha} : F_q^n \to F_{q^m}^n$ 为 $(x_1, …, x_n) \to (\alpha_1x_1, …, \alpha_nx_n)$，其中 $\alpha = (\alpha_1, …, \alpha_n) \in F_{q^m}^n$ 且 $m \geq n$。对于每个 $F_q$ 线性码 $C$，我们用 $C(C, \alpha)$ 表示由集合 $\psi_{\alpha}(C)$ 生成的 $F_{q^m}$ 线性码。
-
区分器的工作方式 ：
- 输入 $M \in F_2^{(n - k) \times n}$ 和 $s \in F_2^{n - k}$。
- 随机选择一个向量 $\alpha \in F_{2^m}^n$，直到 $\alpha$ 的坐标在 $F_2$ 上线性独立。
- 将输入 $(\psi_{\alpha}(M), s)$ 提供给 $D_R$。
- 返回与 $D_R$ 相同的值。
如果 $(M, s)$ 是 Fisher - Stern 生成器的输出，那么存在一个 $x$ 使得 $s = Mx^T$ 且 $w_H(x) = d$。根据相关定理，如果我们选择 $m > 8n$，$C(C, \alpha)$ 的秩最小距离 $d_R$ 与 $d$ 不同的概率随 $n$ 指数下降，并且 $\psi_{\beta}(x)$ 的秩权重满足 $w_R(\psi_{\beta}(x)) = w_H(x) = d$。这意味着区分器 $D_R$ 以不可忽略的优势接受 $(M, s)$。如果 $(M, s)$ 是纯粹随机的，$D_R$ 看到的只是一个随机分布，接受输入的概率为 $\frac{1}{2}$。因此，我们的生成器的区分器的存在意味着 Fisher - Stern 生成器的区分器的存在，这与相关定理矛盾，从而表明我们的生成器是伪随机的。
3. 量子攻击
在这部分，我们评估使用量子计算机解决秩（度量）综合征解码问题的复杂度。我们使用 Grover 量子搜索算法的一个轻微推广。
-
量子算法定理 ：设 $f$ 是一个布尔函数 $f : {0, 1}^b \to {0, 1}$，可以由一个大小为 $S$ 的 NAND 电路计算。设 $p = \frac{#{x \in {0, 1}^b : f(x) = 0}}{2^b}$ 是布尔函数的根的比例。那么存在一个基于迭代一个量子电路 $O(\frac{1}{\sqrt{p}})$ 次的量子算法，它以至少 $\frac{1}{2}$ 的概率输出布尔函数的一个根，该电路的大小为 $O(S)$。
-
与经典算法的比较 ：与 Hamming 度量不同，在 Hamming 度量中使用该工具不会比最佳经典解码算法带来二次加速，而在秩度量中，我们可以将最佳算法的指数复杂度减半。因为 [14,20] 中的算法可以看作是寻找具有正确属性的线性子空间，其中具有适当参数的线性空间是均匀随机抽取的，并且该属性可以在多项式时间内检查。这些算法的指数复杂度基本上由 $O(\frac{1}{p})$ 给出，其中 $p$ 是具有该属性的线性空间的比例。具体来说，当 $m > n$ 时，$\frac{1}{p} = O(q^{(w - 1)(k + 1)})$；当 $m \leq n$ 时，$\frac{1}{p} = O(q^{(w - 1)\lfloor\frac{(k + 1)m}{n}\rfloor})$。检查线性空间是否具有正确属性可以通过以下两个步骤完成：
- 求解一个具有 $(n - k - 1)m$ 个方程和大约相同数量未知数的 $F_q$ 线性系统。
- 检查一个 $F_q$ 上大小为 $r \times r’$ 的矩阵的秩是否等于 $w$，其中 $(r, r’)$ 在 $m \leq n$ 时为 $(m - \lceil\frac{(k + 1)m}{n}\rceil, n)$，在 $m > n$ 时为 $(n - k - 1, m)$。
如果我们将 $q$ 视为一个固定量，存在一个大小为 $O((n - k)^3m^3)$ 的经典 NAND 电路来实现这些操作。因此，对于固定的 $q$，存在一个具有 $O((n - k)^3m^3)$ 个门的量子电路，当 $m > n$ 时，它可以在时间 $O((n - k)^3m^3)q^{(w - 1)(k + 1)/2}$ 内解决秩度量综合征解码问题；当 $m \leq n$ 时，在时间 $O((n - k)^3m^3q^{(w - 1)\lceil\frac{(k + 1)m}{n}\rceil/2})$ 内解决该问题。
4. 总结
通过上述研究，我们构建了基于秩度量的单向函数和伪随机数生成器，并评估了量子攻击的复杂度。基于秩度量的伪随机数生成器的安全性依赖于解决一般 RSD 问题的困难性，这使得我们可以在不考虑额外结构（如循环性或准循环性）的情况下获得小尺寸的密钥。我们的系统在速度和数据大小之间取得了良好的平衡，并且给出了抵抗已知经典和量子攻击的参数。
5. 对 AES 应用 Grover 算法的量子资源估计
在密码学的另一个方面，我们还研究了将 Grover 算法应用于高级加密标准（AES）的情况。
-
量子算法在密码分析中的应用 ：量子算法在密码分析领域有着重要的应用。Shor 算法使一些非对称密码学中的计算假设失效，如分解因数和在有限循环群中计算离散对数的困难性。而对于对称加密，量子算法的影响似乎不那么显著。虽然相关密钥攻击的量子版本对分组密码构成威胁，但这种攻击模型具有一定的局限性。
-
Grover 算法在 AES 中的应用 ：Grover 搜索算法原则上可以应用于寻找 AES 密钥的问题，它相对于经典的穷举密钥搜索提供了平方根的加速。然而，要实际实现这样的攻击，需要将 Grover 算法中查询的布尔谓词实现为一个电路。对于 AES 这样的标准加密算法，尽管其 256 位版本最近被认为具有一定的量子安全性，但目前还没有关于实现 Grover 算法的详细逻辑级资源估计。
-
我们的贡献 ：我们提供了可逆电路来实现每个标准化密钥大小（128、192 和 256 位）的完整 AES - k。我们建立了所需的量子比特数和基本逻辑量子门（如 Toffoli 门、受控 NOT 门和 NOT 门）数量的资源估计。我们考虑将可逆电路分解为一个通用的容错逻辑量子门集，即 Clifford + T 门集。在分解电路到 T 门级别时，我们注重减少总体 T 计数。对于 Toffoli 门，我们使用需要 7 个 T 门和几个 Clifford 门的实现。总之，我们的研究为基于秩度量的密码学和量子算法在 AES 中的应用提供了深入的分析和资源估计，为密码学的发展和安全评估提供了有价值的参考。
基于秩度量的密码学研究：单向函数、伪随机数生成器与量子攻击
6. 基于秩度量的密码学技术细节分析
6.1 单向函数构建的关键因素
在构建基于秩度量的单向函数时，RSD 问题的困难性是核心基础。选择合适的参数 $w_n$ 至关重要，当 $w_n \approx d_{GV}(n, k)$ 时，函数具有强单向性。这是因为在这个范围内，通常存在唯一的原像，使得逆向求解变得困难。例如，在实际应用中，如果 $w_n$ 偏离了 $d_{GV}(n, k)$，可能会导致原像不唯一，从而降低函数的单向性，增加被破解的风险。
6.2 伪随机数生成器的性能分析
- 输入输出扩展 ：伪随机数生成器通过扩展输入大小来增加综合征数量，使其大于权重为 $w_n$ 的单词数量。输入扩展的大小为 $n^2(1 - R - 2\omega + \omega^2) \lceil \log q \rceil = O(n^2)$ 位，这一扩展过程增加了生成器的安全性和随机性。例如，当 $\omega$ 取值接近 $\frac{d_{GV}}{n}$ 时，输入输出的扩展效果会更加明显，生成的伪随机序列也更难以预测。
- 算法复杂度 ：生成器中涉及的矩阵 - 向量乘法和矩阵运算的复杂度为 $O(n^3)$，这在一定程度上限制了生成器的速度。但从安全性角度来看，这种复杂度也增加了破解的难度。例如，在大规模数据加密场景中，虽然 $O(n^3)$ 的复杂度会导致生成速度变慢，但可以有效保证生成的伪随机数的安全性。
6.3 量子攻击的复杂度分析
- 量子算法优势 ：在解决秩（度量）综合征解码问题时，Grover 量子搜索算法相对于经典算法具有二次加速的优势。这是因为经典算法的指数复杂度可以通过量子算法减半，使得攻击的效率大大提高。例如，在处理大规模数据的解码问题时，量子算法可以在更短的时间内找到解决方案。
- 复杂度计算 ：量子算法的复杂度与参数 $p$ 密切相关，$p$ 是具有正确属性的线性空间的比例。当 $m > n$ 时，复杂度为 $O((n - k)^3m^3)q^{(w - 1)(k + 1)/2}$；当 $m \leq n$ 时，复杂度为 $O((n - k)^3m^3q^{(w - 1)\lceil\frac{(k + 1)m}{n}\rceil/2})$。这表明在不同的参数条件下，量子攻击的复杂度会有所不同，需要根据具体情况进行分析。
7. 应用案例与流程分析
7.1 伪随机数生成器的应用流程
graph TD;
A[输入向量 x 和初始化向量 v] --> B[调用 Expansion 算法计算 y];
B --> C[计算 s = Hy^T];
C --> D[拆分 s 为 s1 和 s2];
D --> E[输出 s2];
D --> F[将 s1 作为输入调用 Expansion 算法更新 y];
F --> C;
E --> G{生成比特数是否大于 N};
G -- 否 --> C;
G -- 是 --> H[结束];
在实际应用中，伪随机数生成器可以用于数据加密、随机数生成等场景。例如，在数据加密过程中，生成的伪随机数可以作为加密密钥，增加数据的安全性。
7.2 Grover 算法在 AES 中的应用流程
graph TD;
A[选择 AES 密钥大小] --> B[构建可逆电路实现 AES - k];
B --> C[将布尔谓词实现为电路];
C --> D[应用 Grover 算法进行密钥搜索];
D --> E[输出可能的密钥];
将 Grover 算法应用于 AES 时，需要先构建可逆电路来实现 AES 加密过程，然后将 Grover 算法中的布尔谓词实现为电路，最后进行密钥搜索。这一过程可以有效提高密钥搜索的效率，但需要注意量子资源的消耗。
8. 总结与展望
8.1 研究成果总结
- 基于秩度量的密码学 ：我们成功构建了基于秩度量的单向函数和伪随机数生成器，其安全性依赖于解决一般 RSD 问题的困难性。这些成果使得我们可以在不考虑额外结构的情况下获得小尺寸的密钥，并且在速度和数据大小之间取得了良好的平衡。
- 量子攻击与 AES 研究 ：我们评估了量子攻击的复杂度，并对将 Grover 算法应用于 AES 进行了深入研究，提供了可逆电路和量子资源估计。这些研究为密码学的发展和安全评估提供了有价值的参考。
8.2 未来研究方向
- 算法优化 ：进一步优化基于秩度量的单向函数和伪随机数生成器的算法，降低复杂度，提高生成速度和安全性。例如，可以研究新的矩阵运算方法，减少 $O(n^3)$ 复杂度的影响。
- 量子资源管理 ：在量子攻击和 AES 应用中，更好地管理量子资源，降低量子比特数和门操作的数量。例如，探索新的量子电路设计方法，减少 T 门的使用。
- 跨领域应用 ：将基于秩度量的密码学和量子算法应用于更多领域，如物联网、云计算等，提高这些领域的数据安全性。例如，在物联网设备中使用基于秩度量的伪随机数生成器来加密通信数据。
通过以上研究和分析，我们对基于秩度量的密码学和量子算法在 AES 中的应用有了更深入的理解。未来，我们将继续探索这些领域的潜力，为密码学的发展做出更大的贡献。
扫一扫
1155
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
