ニューホープ

ポスト量子暗号において、NewHopeは、エルデム・アルキム、レオ・デュカス、トーマス・ペッペルマン、ピーター・シュワベによる量子コンピュータ攻撃に抵抗するように設計された鍵合意プロトコルである。^[1]^[2]

NewHopeは、解決が難しいと考えられている数学の問題であるエラー付きリング学習（RLWE）に基づいています。NewHopeは、 NIST ポスト量子暗号標準化コンペティションの第2ラウンドの参加者に選ばれており、^[3]GoogleのCECPQ1実験では、古典的なX25519アルゴリズムと並んで量子セキュアアルゴリズムとして使用されました。^[4]^[5]

デザインの選択

NewHopeの設計者はアルゴリズムの開発にあたり、いくつかの選択を行った。^[6]

二項サンプリング: 高品質の離散ガウス分布へのサンプリングは、Falcon (GPV スタイルのハッシュアンドサインパラダイム) やBLISS (GLP スタイルのFiat-Shamirパラダイム) などのポスト量子格子ベースのコンパクト署名方式では、署名による秘密鍵情報の漏洩を防ぐために重要ですが、それ以外の点では鍵交換方式ではそれほど重要ではありません。著者は、二項分布からエラーベクトルをサンプリングすることを選択しました。
エラー調整: NewHope が以前のものと異なるのは、エラー調整の方法です。以前のエラーキー交換スキームによるリング学習では、一度に 1 つの係数のエラーを修正していましたが、NewHope では高次元ジオメトリに基づいて、一度に 2 つまたは 4 つの係数のエラーを修正します。これにより、復号化の失敗率が低下し、セキュリティが向上します。
基本ベクトル生成: NewHope の著者は、従来のDiffie- Hellmanによる Logjam 攻撃で起こり得る「バックドア」値が使用されるのを防ぐために、 XOF 関数SHAKE-128の出力から基本「ジェネレータ」ベクトル(一般に Aまたはと表記) を導出することを提案しました。 $a$
セキュリティレベル: NewHope を説明した論文の初期バージョンでは、著者は 128 ビットの「ポスト量子」セキュリティレベルに 1024 次多項式を使用し、暗号解読チャレンジの「おもちゃ」インスタンスとして 512 次多項式を使用することを提案しました。^[7] NIST に提出されたバージョンでは、512 次バージョンが 128 ビットの「古典的な」セキュリティレベルを提供するためにコード化されています。

参照

参考文献

^ 「NewHope ポスト量子鍵カプセル化」。
^ 「Chrome: 将来のコンピュータによる現在の暗号化の解読を阻止」CNET。
^ コンピュータセキュリティ部門、情報技術研究所 (2017 年 1 月 3 日)。「第 2 ラウンド提出 - ポスト量子暗号 - CSRC」。Csrc.nist.gov。2019年11月 14 日閲覧。
^ 「ポスト量子暗号の実験」security.googleblog.com 2016年7月7日。 2019年11月14日閲覧。
^ 「CECPQ1 結果 (2016 年 11 月 28 日)」。Google のセキュリティ担当者、アダム・ラングレー。
^ 原案論文
^ 「ポスト量子鍵交換 - 新たな希望」eprint.iacr.org 2016年11月10日。 2019年11月14日閲覧。

外部リンク

リファレンス実装

[cf-1] 「NewHope ポスト量子鍵カプセル化」。

[cnet-2] 「Chrome: 将来のコンピュータによる現在の暗号化の解読を阻止」CNET。

[3] コンピュータセキュリティ部門、情報技術研究所 (2017 年 1 月 3 日)。「第 2 ラウンド提出 - ポスト量子暗号 - CSRC」。Csrc.nist.gov。2019年11月 14 日閲覧。

[4] 「ポスト量子暗号の実験」security.googleblog.com 2016年7月7日。 2019年11月14日閲覧。

[results-5] 「CECPQ1 結果 (2016 年 11 月 28 日)」。Google のセキュリティ担当者、アダム・ラングレー。

[6] 原案論文

[7] 「ポスト量子鍵交換 - 新たな希望」eprint.iacr.org 2016年11月10日。 2019年11月14日閲覧。