Введение
Компания. В криптографии XTR — это алгоритм шифрования с открытым ключом. XTR расшифровывается как 'ECSTR', что является аббревиатурой от Efficient and Compact Subgroup Trace Representation (эффективное и компактное представление следа подгруппы). Это метод представления элементов подгруппы мультипликативной группы конечного поля. Для этого используется след для представления элементов подгруппы.
In cryptography, XTR is an algorithm for public key encryption. XTR stands for 'ECSTR', which is an abbreviation for Efficient and Compact Subgroup Trace Representation. It is a method to represent elements of a subgroup of a multiplicative group of a finite field. To do so, it uses the trace over to represent elements of a subgroup of
From a security point of view, XTR relies on the difficulty of solving Discrete Logarithm related problems in the full multiplicative group of a finite field. Unlike many cryptographic protocols that are based on the generator of the full multiplicative group of a finite field, XTR uses the generator of a relatively small subgroup of some prime order of a subgroup of With the right choice of , computing Discrete Logarithms in the group, generated by , is, in general, as hard as it is in and thus cryptographic applications of XTR use arithmetics while achieving full security leading to substantial savings both in communication and computational overhead without compromising security. Some other advantages of XTR are its fast key generation, small key sizes and speed.
С точки зрения безопасности, XTR опирается на сложность решения задач, связанных с дискретным логарифмированием, в полной мультипликативной группе конечного поля. В отличие от многих криптографических протоколов, основанных на генераторе полной мультипликативной группы конечного поля, XTR использует генератор относительно небольшой подгруппы простого порядка *q* подгруппы. При правильном выборе *q*, вычисление дискретных логарифмов в группе, порожденной *g*, в общем случае столь же сложно, как и в *GF(p)*, и, следовательно, криптографические приложения XTR используют арифметику в *GF(q)*, обеспечивая полную безопасность, что приводит к существенной экономии как в объеме передаваемых данных, так и в вычислительных затратах без ущерба для безопасности. Другими преимуществами XTR являются быстрая генерация ключей, малые размеры ключей и высокая скорость работы.
In cryptography, XTR is an algorithm for public key encryption. XTR stands for 'ECSTR', which is an abbreviation for Efficient and Compact Subgroup Trace Representation. It is a method to represent elements of a subgroup of a multiplicative group of a finite field. To do so, it uses the trace over to represent elements of a subgroup of
From a security point of view, XTR relies on the difficulty of solving Discrete Logarithm related problems in the full multiplicative group of a finite field. Unlike many cryptographic protocols that are based on the generator of the full multiplicative group of a finite field, XTR uses the generator of a relatively small subgroup of some prime order of a subgroup of With the right choice of , computing Discrete Logarithms in the group, generated by , is, in general, as hard as it is in and thus cryptographic applications of XTR use arithmetics while achieving full security leading to substantial savings both in communication and computational overhead without compromising security. Some other advantages of XTR are its fast key generation, small key sizes and speed.
Основы XTR
XTR использует подгруппу, обычно называемую подгруппой XTR или просто группой XTR, подгруппы, называемой супергруппой XTR, мультипликативной группы конечного поля с элементами. Супергруппа XTR имеет порядок , где p – простое число, такое что достаточно большое простое число q делит . Подгруппа XTR имеет порядок q и является, как подгруппа , циклической группой с образующей g. В следующих трех абзацах будет описано, как элементы супергруппы XTR можно представить с помощью элемента вместо элемента и как арифметические операции выполняются в вместо в .
Криптографические схемы
В этом разделе объясняется, как описанные выше концепции, использующие следы элементов, могут быть применены в криптографии. В общем случае, XTR может использоваться в любой криптосистеме, основанной на (подгрупповой) задаче дискретного логарифмирования. Два важных применения XTR — протокол обмена ключами Диффи — Хеллмана и шифрование Эль-Гамаля. Начнем с протокола Диффи — Хеллмана.
Соглашение о ключе XTR-DH
Предположим, что и Алиса, и Боб имеют доступ к данным XTR с открытым ключом и намерены договориться о совместном секретном ключе. Они могут сделать это, используя следующую версию XTR обмена ключами Диффи — Хеллмана: Алиса случайно выбирает такое , что , вычисляет с помощью Алгоритма 1 и отправляет Бобу. Боб получает от Алисы, случайно выбирает такое , что , применяет Алгоритм 1 для вычисления и отправляет Алисе. Алиса получает от Боба, вычисляет с помощью Алгоритма 1 и определяет на основе . Боб аналогично применяет Алгоритм 1 для вычисления и также определяет на основе .
Alice picks randomly with , computes with Algorithm 1 and sends to Bob. Bob receives from Alice, selects at random with , applies Algorithm 1 to compute and sends to Alice. Alice receives from Bob, computes with Algorithm 1 and determines based on Bob analogously applies Algorithm 1 to compute and also determines based on .
Безопасность
Для того, чтобы говорить о свойствах безопасности вышеописанной схемы шифрования XTR, сначала необходимо оценить безопасность группы XTR, то есть насколько сложно решить задачу дискретного логарифмирования в этой группе. Далее будет показана эквивалентность между задачей дискретного логарифмирования в группе XTR и XTR-вариантом задачи дискретного логарифмирования, используя лишь следы элементов.
Дискретные логарифмы в общем
Пусть теперь – мультипликативная группа порядка . Безопасность протокола Диффи–Хеллмана в основана на задаче Диффи–Хеллмана (DH) вычисления . Обозначим это как . Существует две другие задачи, связанные с задачей DH. Первая – это задача принятия решения Диффи–Хеллмана (DHD), заключающаяся в определении, является ли для заданных и , а вторая – задача дискретного логарифма (DL), заключающаяся в нахождении для заданного .
The DL problem is at least as difficult as the DH problem and it is generally assumed that if the DL problem in is intractable, then so are the other two. Given the prime factorization of the DL problem in can be reduced to the DL problem in all subgroups of with prime order due to the Pohlig–Hellman algorithm. Hence can safely be assumed to be prime. For a subgroup of prime order of the multiplicative group of an extension field of for some , there are now two possible ways to attack the system. One can either focus on the whole multiplicative group or on the subgroup. To attack the multiplicative group the best known method is the Discrete Logarithm variant of the Number Field Sieve or alternatively in the subgroup one can use one of several methods that take operations in , such as Pollard's rho method. For both approaches the difficulty of the DL problem in depends on the size of the minimal surrounding subfield of and on the size of its prime order If itself is the minimal surrounding subfield of and is sufficiently large, then the DL problem in is as hard as the general DL problem in
The XTR parameters are now chosen in such a way that is not small, is sufficiently large and cannot be embedded in a true subfield of , since and is a divisor of , but it does not divide and thus cannot be a subgroup of for It follows that the DL problem in the XTR group may be assumed as hard as the DL problem in .
Задача DL по сложности не уступает задаче DH, и обычно предполагается, что если задача DL в неразрешима, то и другие две тоже. Учитывая простое разложение на множители , задачу DL в можно свести к задаче DL во всех подгруппах с простым порядком благодаря алгоритму Поллига–Хеллмана. Следовательно, можно безопасно предположить, что является простым числом. Для подгруппы с простым порядком мультипликативной группы расширенного поля для некоторого , существует два возможных подхода к атаке на систему. Можно сосредоточиться на всей мультипликативной группе или на подгруппе. Для атаки на мультипликативную группу наиболее известным методом является вариант решета с числовым полем для дискретного логарифма, или, альтернативно, в подгруппе можно использовать один из нескольких методов, требующих операций в , таких как метод ро Pollard'а. Для обоих подходов сложность задачи DL в зависит от размера минимального окружающего подполя и от размера его простого порядка. Если сама является минимальным окружающим подполем и достаточно велико, то задача DL в так же сложна, как и общая задача DL в .
The DL problem is at least as difficult as the DH problem and it is generally assumed that if the DL problem in is intractable, then so are the other two. Given the prime factorization of the DL problem in can be reduced to the DL problem in all subgroups of with prime order due to the Pohlig–Hellman algorithm. Hence can safely be assumed to be prime. For a subgroup of prime order of the multiplicative group of an extension field of for some , there are now two possible ways to attack the system. One can either focus on the whole multiplicative group or on the subgroup. To attack the multiplicative group the best known method is the Discrete Logarithm variant of the Number Field Sieve or alternatively in the subgroup one can use one of several methods that take operations in , such as Pollard's rho method. For both approaches the difficulty of the DL problem in depends on the size of the minimal surrounding subfield of and on the size of its prime order If itself is the minimal surrounding subfield of and is sufficiently large, then the DL problem in is as hard as the general DL problem in
The XTR parameters are now chosen in such a way that is not small, is sufficiently large and cannot be embedded in a true subfield of , since and is a divisor of , but it does not divide and thus cannot be a subgroup of for It follows that the DL problem in the XTR group may be assumed as hard as the DL problem in .
Параметры XTR выбираются таким образом, чтобы не было малым, было достаточно большим и не могло быть вложено в истинное подполе , поскольку является делителем , но не делит , и, следовательно, не может быть подгруппой . Из этого следует, что задачу DL в группе XTR можно считать столь же сложной, как и задачу DL в .
The DL problem is at least as difficult as the DH problem and it is generally assumed that if the DL problem in is intractable, then so are the other two. Given the prime factorization of the DL problem in can be reduced to the DL problem in all subgroups of with prime order due to the Pohlig–Hellman algorithm. Hence can safely be assumed to be prime. For a subgroup of prime order of the multiplicative group of an extension field of for some , there are now two possible ways to attack the system. One can either focus on the whole multiplicative group or on the subgroup. To attack the multiplicative group the best known method is the Discrete Logarithm variant of the Number Field Sieve or alternatively in the subgroup one can use one of several methods that take operations in , such as Pollard's rho method. For both approaches the difficulty of the DL problem in depends on the size of the minimal surrounding subfield of and on the size of its prime order If itself is the minimal surrounding subfield of and is sufficiently large, then the DL problem in is as hard as the general DL problem in
The XTR parameters are now chosen in such a way that is not small, is sufficiently large and cannot be embedded in a true subfield of , since and is a divisor of , but it does not divide and thus cannot be a subgroup of for It follows that the DL problem in the XTR group may be assumed as hard as the DL problem in .