对REESSE1公钥密码及明文恢复攻击.docVIP

对REESSE1+公钥密码的明文恢复攻击 费向东，潘郁 （南京工业大学经济与管理学院，南京 210009）摘要：SVP） 问题，通过访问一次格预言机求解该背包问题。由于有限域中求解离散对数的计算复杂性是亚指数级的，破译REESSE1+公钥密码的计算复杂性也是亚指数级的。 关键词： 中图分类号：TP309.7；TN918.4 REESSE1+ Public Key Cryptosystem FEI Xiang-dong ，DING Yan-yan，PAN Yu ( of Economics and Management， Nanjing University of Technology， 210009) Abstract：Two heuristic approaches to plaintext recovery attack on REESSE1+ public-key cryptosystem are proposed in this paper. First，the decryption of the cryptosystem can be viewed as a group factorization problem and the solution to the problem gives rise to an equivalent plaintext；If all the entries of the equivalent plaintext vector are small enough, the equivalent plaintext is likely to be the plaintext corresponding to the ciphertext. Second，if discrete logarithm can be computed in finite field，recovering plaintext from ciphertext is translated into solving a knapsack problem with lower density and fewer number of dimensions，which can be reduced to the shortest vector problem（SVP）of a lattice.；The plaintext may be obtained by accessing the lattice oracle one time．As the complexity of computing discrete logarithm in finite field is subexponential，the complexity of breaking REESSE1+ public-key cryptosystem is also subexponential. Key words: REESSE1+ public key cryptosystem；multiplication knapsack；；group factorization problemdiscrete logarithm；lattice reduc0 引言 1997年的欧密会上，Naccache和Stern就提出了类似的乘法背包公钥密码[6]，其加密机制同REESSE1+公钥密码1.0版。 初始向量，素数M作为模数公开，满足，初始向量经变换后形成公钥向量，n位明文被加密为 （1-1） 文献[7]提出一种攻击方法：构成一个乘法群，从（1-1）式求解等价于在群中把密文C分解成公钥向量的乘积形式，即： 当幂指数很小时，很可能就是所求明文。该攻击方法适合于包括REESSE1+在内的、具有相同密文结构的乘法背包公钥密码，可以一定概率从密文恢复明文。 1.2 第二种明文恢复攻击法 由于模数M为素数，故存在M的原根g[8]127，也即g为有限域GF(M)的一个生成元，关于大素数原根的计算方法早有深入研究[9]。 已知公钥向量 i=1…n ，ui 未知 已知密文C，生成元g，模数M，存在以下关系： u 未知 如果能求解离散对数ui 和u之值，则根据费马定理[8]88，指数之间形成以下关系： 即： （1-2） 设|M|和|k|分别表示M和k的二进制比特位长度（简称“长度”）。根据文献[1]，bi∈[0，1]，|b1…bn|=n，|M|=384，n=80，而u1…un 和u是模M-1的余，故|ui|和|u|=|M-1|=384，由此推算：=7 从密文C恢复明