Непрерывные аппроксимации решения задачи "выполнимость" применительно к криптографическому анализу асимметричных шифров Текст научной статьи по специальности «Математика»

НЕПРЕРЫВНЫЕ АППРОКСИМАЦИИ РЕШЕНИЯ ЗАДАЧИ «ВЫПОЛНИМОСТЬ» ПРИМЕНИТЕЛЬНО К КРИПТОГРАФИЧЕСКОМУ АНАЛИЗУ АСИММЕТРИЧНЫХ ШИФРОВ

В.И. Дулькейт , Р. Т. Файзуллин , И

.Г. Хныкин

Омский государственный университет имени Ф.М. Достоевского,

2 Омский государственный технический университет

Аннотация

Одной из наиболее интересных задач дискретной математики является задача поиска решающего набора в задаче ВЫПОЛНИМОСТЬ. Перспективным направлением в построении методов решения представляется сведение задачи к непрерывному поиску точек глобального минимума, ассоциированного с конъюнктивной нормальной формой (КНФ) функционала. В данной работе обосновывается выбор функционала специального вида и предлагается применить к решению системы нелинейных алгебраических уравнений, определяющих стационарные точки функционала, модифицированный метод последовательных приближений. В работе показано, что метод поддается распараллеливанию. Рассматривается схема применения метода к важным задачам криптографического анализа несимметричных шифров, в том числе для определения некоторых бит двоичного представления неизвестных сомножителей в задачах факторизации больших размерностей.

Ключевые слова: КНФ, ВЫПОЛНИМОСТЬ, резолюция, минимизация, криптографиче-

ский анализ, факторизация.

Введение

Область науки, носящая имя криптографический анализ, в настоящее время имеет громадное практическое значение, так как гарантировано стойкие алгоритмы шифрования являются основой надежности современных систем телекоммуникаций и систем финансовых взаиморасчетов. С теоретической стороны, прогресс в области криптографического анализа сопровождается бурным развитием смежных областей математики: алгебры, теории чисел, дискретной математики.

Основным подходом проверки криптографической стойкости асимметричных шифров в настоящее время являются алгоритмы числового решета в поле чисел общего вида [12] и различные модификации алгоритмов р- и X- Полларда, основывающиеся на детерминированном случайном блуждании по группе [11]. Сообщения, появляющиеся время от времени, лишь подтверждают стойкость известных алгоритмов. Например, для факторизации чисел «рабочих» размерностей (—1000 бит) требуется задействовать на несколько месяцев вычислительные мощности кластеров из самых верхних позиций списка Топ-500. То есть увеличение длины ключа в полтора или два раза решает вопрос о криптостойкости принципиально.

Совершенно новой альтернативой алгебраическому подходу является так называемый логический криптоанализ, когда криптографический алгоритм рассматривается как программа для машины Тьюринга и подстановка открытого и шифрованного текстов в эту программу естественным образом приводит к задаче ВЫПОЛНИМОСТЬ для КНФ [9]. Часть выполняющего набора является ключом алгоритма. Идея такого подхода была впервые предложена в работе [8]. Как показал опыт, применение переборных алгоритмов, с частью из которых можно ознакомиться в обзоре [10], сталкивается с принципиальными трудностями, связанными с размерностями задач. Естественно,

возникает идея перехода к непрерывным моделям, когда поиск выполнимого набора для КНФ осуществляется как поиск минимума ассоциированного с КНФ функционала. Впервые эта идея была реализована в работах [3, 4]. Были предприняты попытки связать задачу минимизации с некой физической моделью, так, в работе [5] была предложена модель химической кинетики, а в работе [6] - гравитационная аналогия. Обратим внимание на то, что имеется принципиальное отличие непрерывных методов от переборных алгоритмов локального поиска, - сдвиг по антиградиенту происходит по всем переменным сразу. Также, априори известно, что глобальный минимум функционала единственен и в случае, когда локальных минимумов и других особых точек нет, минимизация происходит эффективно. С другой стороны, нет необходимости в том, чтобы «точно» определить все биты ключа. Достаточно той информации, что набор бит, или ключа, или множества бит, однозначно определяющего ключ, совпадает с точным решением с вероятностью значимо большей, чем 0,5. А в результате применения итерационных методов можно надеяться на то, что мы сможем «подобраться» к такой окрестности достаточно близко. Таким образом, проверка известных в настоящее время алгоритмов на стойкость к поиску глобального экстремума является новым и необходимым тестом.

Можно надеяться, что привлечение богатого арсенала вычислительной математики к данному классу задач и синтез с методами, присущими для дискретного подхода, позволит получить новые результаты и уточнить пределы применимости существующих в настоящее время криптографических алгоритмов.

Переход от КНФ к ассоциированным функционалам

Пусть дана КНФ на множестве булевых переменных у е Бы{0,1}:

L(y) = л ci (y^ где i=1

ci (y) = V l(y; ), l(yj ) = ys илиy. .

je{1...N} j j j

Введем вещественные переменные X e Rn[0,1] такие, что x соответствует булевой переменной у, а (1 - х)2 соответствует ее отрицанию.

Рассмотрим переход от задачи ВЫПОЛНИМОСТЬ (SAT) к задаче поиска глобального минимума функционала вида (1):

M

min F (х) = V Q (х), где

xeRN [0,1] ;=1

N

C.(x) = П Qt, i(xiь где j=1

(1)

Qt, i(xi) =

если y}- є ct (x)

(1 - x}) , если y} є c. (x). 1, иначе

Суммирование ведется по всем М конъюнктам ДНФ, эквивалентной исходной КНФ. Переход от булевой формулы к вещественной основан на использовании соответствия:

Уі v У j ® xt + xi

2 2

Уі лУі ® xt xi

где

{Уі є B, xi є r} .

^ І ]

.Уі ®(1 - хі)

Легко заметить, что тіп Е(х) = 0 соответст-

хєЕм [0,1]

вует достижению значения ИСТИНА на исходной КНФ.

Дифференцируя функционал по всем переменным хі, получим систему уравнений:

Е х = Е ^к2.- і = 1,2,-р, где

ХєЛ

если Уі є сі (у) если Уі є Сі (у) х = {Х, і єХ: х є Сі (х)} (2)

Л = {Х, і єХ: х є Сі(х)}.

Как показано в [1], применение метода Ньютона к решению данного уравнения неэффективно, т.к. решение принадлежит ядру производного оператора. Как альтернатива был предложен метод последовательных приближений с «инерцией»:

I n2 N2..

Хєх

f x.,

N = і

. 1 (1 -

II akxt(t - Р)2 xj(t - k )2

p=0 Хє

xk(t +1) =

= I xj (t) x2(t)~ A • x. (t +1) = B

def

ХєЛ

(З)

K

I ap = 1, ap є R[0,1].

p=1

Имеется в виду, что итерации проводятся для вещественных чисел, а итоговый или промежуточный вектор проектируется на 5^{0,1}, и уже на булевом векторе проверяется ВЫПОЛНИМОСТЬ. Ниже описаны различные модификации метода последовательных приближений с «инерцией» и показаны способы повышения эффективности алгоритма.

Гибридизация алгоритма

Исходная КНФ преобразуется методом резолюции [7], это позволяет получить КНФ с меньшим количеством дизъюнктов и литералов, эквивалентную исходной.

Два дизъюнкта разрешимы относительно бинарной резолюции (бинарно-разрешимы), если они совпадают хотя бы по одной переменной, которая входит в один дизъюнкт с отрицанием, а в другой - без. Бинарно разрешимые дизъюнкты имеют вид:

х V Р, -х V д.

Резольвентой бинарно-разрешимых дизъюнктов (бинарной резольвентой) называется дизъюнкт Р V д. Все возможные бинарные резольвенты с помощью операции дизъюнкции добавляются к КНФ и используются для вычисления других резольвент. Процедура ограничивается глубиной рекурсии 1. Дублирующие конъюнкты и тавтологии удаляются. Вычислительная сложность процедуры 0(п-^(п)).

Основная процедура состоит из последовательных итераций, которые совмещают метод последовательных приближений и сдвиг по антиградиенту, т.к. правая часть (2) - это хотя и градиент исходного функционала, но решения (2) - это всего лишь стационарные точки функционала. Например, если генерировать КНФ по заданной строке бит, случайно строя скобки, так, чтобы строка бит была решающим набором итоговой КНФ, то представительство литералов и их отрицаний будет одинаковым. Это означает, что ассоциированный функционал имеет «квазистационарную» точку с координатами 0,5 для каждой переменной, т.к. Л1 ~ 2В,-. В случае же, когда представительство литералов неравное, то подобные «квазистационарные» точки могут быть произвольными. Например, генерируя случайную систему уравнений и сводя задачу к поиску решающего набора КНФ, мы получаем уже существенно неравное представительство литералов. В этом случае квази-стационарным точкам будут соответствовать решения неопределенных систем, получаемые из исходной системы исключением всего нескольких уравнений. Число таких точек растет экспоненциально с ростом размерности системы, и итерационная процедура поиска стационарной точки, интересующей нас как отвечающей точке минимума, практически перестает сходиться, что и подтверждается экспериментально.

Итерация состоит из двух блоков. Первый блок определяется формулой (3), используется схема Зейделя. Второй блок - реализация сдвига по антиградиенту: х(? +1) = 2 • х(?) - В/Л [1].

2

x

При приближении к решению скорость сходимости может сильно уменьшаться, одна из возможных причин этого в том, что траектория, образованная последовательными приближениями, «зацикливается» в областях локальных минимумов функционала. Метод смены траектории позволяет выйти из локального минимума с помощью формирования нового вектора приближения, который бы обладал свойствами не худшими, чем текущий вектор приближения, но позволял бы продолжить поиск решения [1].

Распараллеливание алгоритма

Гибридный алгоритм допускает целый набор способов распараллеливания, приведем один из них.

ДНФ, эквивалентная исходной КНФ, делится на две независимые части (подформулы). Векторы решений для подформул определяют точки в п-мерном пространстве. Между полученными точками проводится отрезок прямой. «Двигаясь» по этой прямой с некоторым шагом /, можно вычислить вектора {х/} по формуле

х1г = тт(х1г, х2г) + 1 Х1г 1 Хъ 11.

к

Вектор {х/}, при котором значение функционала (1) минимально, становится новым начальным набором приближений для итерационной процедуры,

которая запускается для функционала, ассоциированного со всей формулой.

Описанная процедура позволяет максимально приблизиться к решению. В формуле остаётся до 2% дизъюнктов невыполнимыми. При этом около 2,5% переменных остаются неопределенными, то есть независимо от того, какое значение они будут принимать, выполнимые скобки будут по-прежнему принимать значение ИСТИНА.

Тестирование метода

Для тестирования разработанного алгоритма использовалось несколько типов примеров: тесты с соревнований решателей SAT 2005 года [13], тесты специализированной библиотеки SATLib [14], тесты, сформированные для задачи факторизации, тесты больших размерностей, сформированные псевдослучайным заполнением дизъюнктов.

Результаты тестирования однопроцессорной реализации алгоритма для тестовых задач различных серий из библиотеки SATLib представлены в табл. 1.

Результаты тестирования параллельной версии алгоритма на задачах из библиотеки SATLib и задачах, представленных на соревнованиях решателей SAT 2005 года, приведены в табл.2.

Таблица 1. Результаты численных экспериментов для тестовых задач из 8ЛТЫЪ

Наименование Количество лите- Количество дизъ- Число % решенных Максимальное

теста ралов (N) юнктов (M) тестов тестов число итераций

Backbone-minimal Sub-instances (формулы с минимальным хребтом), 3-SAT

RTI 100 429 500 98,6 19988

BMS 100 <429 500 79,8 29831

Controlled Backbone Size Instances (формулы с хребтом фикси рованного размера, b), 3-SAT

CBS b10 100 403 1000 100 38972

CBS b10 100 449 1000 100 38880

CBS b90 100 449 1000 98 29738

Uniform Random 3-SAT (UF)

UF20-91 20 91 1000 100 448

UF250-1065 250 1065 100 98 9731

Задачи, ассоциированные с оптимизационным вариантом задачи «раскраска графа»

FLAT30-60 90 300 100 100 4317

Таблица 2. Результаты численных экспериментов параллельного алгоритма для тестовых задач из 8ЛТЫЪ

Наименование теста Kоличeство литералов (N) Kоличeство дизъюнктов (M) % решенных тестов Число итераций необходимое для решения:

Части KНФ Всей KНФ

RTI 100 429 100 10 14

BMS 100 <429 100 7 14

sat05-1663 2000 8400 99 20 200

sat05-1676 4000 16800 99 20 200

sat05-1656 12000 50400 99 20 200

UF20-91 20 91 100 10 14

UF250-1065 250 1065 100 20 21

Применение метода к криптографическому анализу асимметричных шифров, сводка результатов, выводы

Была исследована схема применения метода для решения задач криптографического анализа. Конъюнктивные нормальные формы, ассоциированные с задачами факторизации, дискретного логарифмирования и дискретного логарифмирования на эллиптической кривой рассматриваются в работах [2]. Оценка роста числа дизъюнктов и скобок в зависимости от размерности задачи (И) дает нам величину СИ2, С»10 для задачи факторизации и

С1N3,С2N3, С1 » 100,С2 » 1000 для задач дискретного логарифмирования и дискретного логарифмирования на эллиптической кривой. Метод резолюций в применении к КНФ для факторизации уменьшает число дизъюнктов более чем в 2 раза, а в применении к задаче дискретного логарифмирования позволяет уменьшить число переменных на два порядка, что приводит к относительно приемлемым цифрам для массива данных.

В рамках работы проводились исследования близости формируемых методом векторов приближений к вектору решения для задач факторизации больших размерностей. В качестве исходного материала для тестирования были выбраны по 10 независимых примеров размерностей 1024, 2048, 3072 бит. На каждой итерации метода последовательных приближений с «инерцией» проводилось сравнение компонент вектора приближений с соответствующими компонентами вектора решений с целью подсчета числа совпадающих компонент (битов). При этом производилось по 10 стартов со случайно сформированного вектора начального приближения. На рис. 1 показано поведение процентного отношения верно сформированных бит на соответствующей итерации.

5-м

*§ 68,4 й

| 68,0

^ 67,8 67,6

<=5 <г> <г> С5 С

съ Сі С

ОО чо > Сі о\

> > •о ''О °0 о\ с **ч **■4 **ч «'П РП

Номер итерации

Рис. 1. Процент совпадающих (верных) бит вектора приближения и вектора решения в зависимости от итерации

Результаты показывают стабильное формирование 68% верных бит при росте размерности задачи. Максимальное (минимальное) число совпадающих бит так же стабильно - 68,3% (67,7%). При этом число верно определенных бит, отвечающих именно

битам сомножителей, приблизительно равно 67,9%. Примечательно то, что результат достигается всего за 500-1000 итераций, стартуя со случайно сформированного приближения.

На рис. 2 представлены результаты формирования среднего и максимального числа верно определенных бит при увеличении длины ключа. Отметим, что найденные переменные являются ключевыми для решения задачи, т. е. после подстановки их верных значений в исходную КНФ формула оказывается легко разрешимой относительно оставшихся переменных.

Размерность задачи факторизации, бит

Рис. 2. Процент совпадающих (верных) бит вектора приближения и вектора решения в зависимости от размерности задачи

Среднеквадратичное отклонение статистических данных не превышает 10 " 2 Это говорит о стабильном поведении метода на данном типе задач.

Таким образом, для КНФ , эквивалентных задачам факторизации больших размерностей, метод формирует различные векторы приближений, каждый из которых совпадает с решением приблизительно на 68%. В качестве развития данного результата предлагается специально разработанная система тестов, которая позволяет с высокой степенью вероятности определять биты непосредственно сомножителей.

Одним из таких тестов может служить проверка обстоятельства кластеризации ненулевых строк в матрице умножения классическим «столбиком» числа р на число q в двоичной системе счисления. Каждая строка матрицы умножения состоит либо из нулей, либо из бит числа р. Аналогично, столбец матрицы умножения будет или нулевым столбцом, или столбцом, в котором записано число q. Подставляя в данную матрицу найденные вектора приближений и сравнивая строки и столбцы получившейся матрицы соответственно с р, q или нулевым вектором, можно с определенной долей вероятности выявлять значения неизвестных. Повторяя данную процедуру с различными векторами приближений, можно строить методы голосования, повышающие вероятность определения верных значений неизвестных.

В табл. 3 представлены значения вероятностей верного определения значений бит для 31 независимого примера с помощью данного теста (при размерности чисел сомножителей 256 бит). Так, для задачи факторизации числа длиной 512 бит с вероятностью большей или равной 0,8 определяются биты 1, 13, 46, 73, 86, 101, 142, 217, 255 каждого из сомножителей.

Таблица 3. Результаты численных экспериментов по определению наиболее вероятных бит в сомножителях факторизуемого числа размерности 512 бит

Дополнительным тестом является то обстоятельство, что функционал (1) после подстановки верных значений указанных бит в исходную КНФ принимает значение меньшее, чем после подстановки их неверных значений. Это позволяет практически точно определять расстановку нулей и единиц в позициях 1, 13, 46, 73, 86, 101, 217, 255. В табл. 4 приведены результаты численных экспериментов по данному тесту.

Таблица 4. Результаты численных экспериментов по определению наиболее вероятных бит в сомножителях факторизуемого числа размерности 512 бит методом сравнения значений функционала (усредненные значения для 30 тестовых КНФ)

Аналогичные результаты получены и при выборках из двух и более бит. Полученные результаты ставят под сомнение криптографическую стойкость алгоритма Я8А, так как распараллеливание по вариантам и выбор тех вариантов расстановки нулей и единиц в позиции 13, 46,.., при которых значение функционала минимально, позволяет практически точно определять биты сомножителей с номерами 13, 46, ....

В качестве развития данной работы предполагается дальнейшее исследование дополнительных тес-

тов и построение различных методов голосования

для определения конкретных битов сомножителей.

Литература

1. Дулькейт, В.И. Минимизация функционалов, ассоциированных с задачами криптографического анализа / В.И. Дулькейт, Р.Т. Файзуллин, И.Г. Хныкин // Дифференциальные уравнения. Функциональные пространства. Теория приближений. тез. докл. Международной конференции, посвященной 100-летию со дня рождения С.Л. Соболева. - Новосибирск: Ин-т математики СО РАН, 2008. - C.484-485.

2. Дулькейт, В.И. Сведение задач криптоанализа асимметричных шифров к решению ассоциированных задач ВЫПОЛНИМОСТЬ / В.И. Дулькейт, Р.Т. Файзуллин, И.Г. Хныкин // Сборник докладов XIII Всероссийской конференции «Математические методы распознавания образов». - М.: МАКС Пресс, 2007. - С.249-251.

3. Крейнович, В.Я. Семантика итеративного метода С.Ю. Маслова / В.Я. Крейнович //Вопросы кибернетики. Проблемы сокращения перебора.- М.: АН. СССР, 1987. -С. 30-62.

4. Маслов, С. Ю. Итеративные методы в переборной модели, как модель интуитивных / С. Ю. Маслов // Тезисы IX Всесоюзной конференции по кибернетике. -Сухуми, 1981. - С. 26 - 28.

5. Матиясевич, В.Ю. Возможные нетрадиционные методы установления выполнимости пропозицональных формул / В.Ю. Матиясевич // Вопросы кибернетики. Проблемы сокращения перебора.- М.: АН СССР. -1987. - С. 87-90.

6. Опарин, Г.А. Непрерывные модели решения систем булевых уравнений / Г.А. Опарин, А.П. Новопашин // Вестник Томского государственного университета. -2004.-№9 (1) - C. 20-25.

7. Хныкин И.Г. Модификации КНФ, эквивалентным задачам криптоанализа асимметричных шифров методом резолюции / И.Г. Хныкин // Информационные технологии моделирования и управления. - 2007. №2. - С.328-337.

8. Cook, S.A. Finding hard instances for the satisfiability problem: / S.A. Cook, D.G. Mitchel //A survey. DIMACS series in discrete mathematics and theoretical computer science. V.5. -1997.

9. Cook, S.A. The complexity of theorem proving procedures / S.A. Cook // Proceedings of the Third Annual ACM Symposium on Theory of Computing. - 1971. - P.151-158.

10. Gu, J. Algorithms for the satisfiability (sat) problem / J. Gu [and other] / J. Gu //Eds. Ding-Zhu Du Jun Gu and Panos Pardalos. - Satisfiability Problem. Theory and Applications. DIMACS Series in Discrete Mathematics and Theoretical Computer Science.- AMS, 1997. -P. 19-152.

11. Koblitz, N. The state of elliptic curve cryptography. / N. Koblitz, A. Menezes, S. Vanstone //Designs Codes and Cryptography, 19, 2000. -P.173-193

12. Lenstra, A. The Development of the Number Field Sieve./ A. Lenstra, H. Lenstra -Springer-Verlag, -1993.

13. SAT 2005 Competition results [Электронный ресурс]. -

Режим доступа:

http://www.lri.fr/~simon/contest05/results/, свободный.

14. SAT Live! [Электронный ресурс]. - Режим доступа: www.satlive.org, свободный.

Число совпадений с точным решением в 31 тесте Частота сов-падения, % ^ли- чество сов- павших бит Доля совпавших бит в процентах от общего числа неизвестных бит (от 512 бит сомножителей), %

31 100 2 0,4

30 96,77 1 0,2

26 83,87 1 0,2

25 80,65 1 0,2

24 77,42 2 0,4

23 74,19 8 1,6

22 70,97 9 1,8

21 67,74 21 4,1

20 64,52 50 9,8

19 61,29 66 12,9

Сумма 161 31,45

Т ести- руемый бит Значение функционала при подстановке: Разница значений функционалов

верного значения тестируемого бита неверного значения тестируемого бита

13 261,2 263,7 - 2,5

46 260,8 263,5 - 2,7

73 263,0 265,0 - 2,0

86 254,5 256,7 - 2,2

101 255,0 257,3 - 2,3

142 263,2 259,8 + 3,4

217 263,7 266,9 - 3,2

В редакцию поступила 03.03.2009г.

Непрерывные аппроксимации решения задачи «выполнимость» применительно к криптографическому анализу асимметричных шифров - 5 стр.

Владимир Игоревич Дулькейт1 (аспирант, e-mail: [email protected]).

Рашит Тагирович Файзуллин2 (профессор кафедры защиты информации, e-mail: r.t.faizullin@,mail.ru),

Иван Геннадьевич Хныкин2 (инженер-программист, e-mail: [email protected])

1 Омский государственный университет имени Ф.М. Достоевского,

2 Омский государственный технический университет

Одной из наиболее интересных задач дискретной математики является задача поиска решающего набора в задаче ВЫПОЛНИМОСТЬ [9]. Перспективным направлением в построении методов решения представляется сведение задачи к непрерывному поиску точек глобального минимума, ассоциированного с конъюнктивной нормальной формой (КНФ) функционала. В данной работе обосновывается выбор функционала специального вида и предлагается применить к решению системы нелинейных алгебраических уравнений, определяющих стационарные точки функционала, модифицированный метод последовательных приближений. В работе показано, что метод поддается распараллеливанию. Рассматривается схема применения метода к важным задачам криптографического анализа несимметричных шифров, в том числе для определения некоторых бит двоичного представления неизвестных сомножителей в задачах факторизации больших размерностей.

Ключевые слова: КНФ, ВЫПОЛНИМОСТЬ, резолюция, минимизация, криптографический анализ, факторизация.

Continuous approximation of SAT decision as applied to cryptographic analysis of asymmetric ciphers - 5 pages.

Vladimir Igorevitch Dylkeyt1 (post-graduate, e-mail: [email protected]),

Rashit Tagirovitch Faizullin2 (professor of information security chair, e-mail: [email protected]),

Ivan Gennadyevitch Khnykin2 (programmer, e-mail: [email protected])

1 F.M. Dostoevsky Omsk State University,

2 Omsk State Technical University

The one of the most interesting problem of discrete mathematics is the SAT (satisfiability) problem [9]. Good way in sat solver developing is to transform the SAT problem to the problem of continuous search of global minimums of the functional associated with the CNF. This article proves the special construction of the functional and offers to solve the system of non-linear algebraic equation that determines functional stationary points via modified method of consecutive approximation. The article describes parallel versions of the method. Also gives the schema of using the method to important problems of cryptographic analysis of asymmetric ciphers, including determining the concrete bits of multipliers (in binary form) in large factorization problems.

Key words: CNF, SAT, resolution, minimization, cryptographic analysis, factorization.