Ciminion 与 Hydra 的 Gröbner 基密码分析
Gröbner Basis Cryptanalysis of Ciminion and Hydra
AI总结：
本文通过构造 Ciminion 和 Hydra 的 DRL Gröbner 基，揭示 Hydra 原声称的 31 轮 128 比特安全性在 Gröbner 基攻击下仅需 126 比特，且专用求解技术可攻击至 33 轮。
摘要：
Ciminion 和 Hydra 是最近提出的两种面向多方计算应用的对称密钥伪随机函数。为追求效率，这两个原语在轮函数层面都使用了二次置换。因此，基于多项式系统求解的攻击对这些原语构成严重威胁。针对 Ciminion，我们通过线性变换为迭代多项式模型构造了一个二次次数反字典序（DRL）Gröbner 基。借助该 Gröbner 基，我们可以简化密码分析，因为推导复杂度估计时不再需要施加通用性假设。针对 Hydra，我们借助 SageMath 等计算机代数程序，通过线性变换和坐标线性变换为迭代模型构造了 DRL Gröbner 基。在 Hydra 提案中曾声称，对于理想敌手且 ω = 2 的情形，r_H = 31 轮足以抵抗 Gröbner 基攻击并提供 128 比特安全性。然而，通过我们的 Hydra Gröbner 基标准项序转换，将其转换为字典序（LEX）Gröbner 基在 ω = 2 时仅需 126 比特。此外，使用专用的多项式系统求解技术，在 ω = 2 的理想敌手条件下，最多可对 r_H = 33 轮实施低于 128 比特安全性的攻击。
英文摘要：
Ciminion and Hydra are two recently introduced symmetric key Pseudo-Random Functions for Multi-Party Computation applications. For efficiency, both primitives utilize quadratic permutations at round level. Therefore, polynomial system solving-based attacks pose a serious threat to these primitives. For Ciminion, we construct a quadratic degree reverse lexicographic (DRL) Gröbner basis for the iterated polynomial model via linear transformations. With the Gröbner basis we can simplify cryptanalysis, as we no longer need to impose genericity assumptions to derive complexity estimates. For Hydra, with the help of a computer algebra program like SageMath we construct a DRL Gröbner basis for the iterated model via linear transformations and a linear change of coordinates. In the Hydra proposal it was claimed that $r_\mathcal{H} = 31$ rounds are sufficient to provide $128$ bits of security against Gröbner basis attacks for an ideal adversary with $ω= 2$. However, via our Hydra Gröbner basis standard term order conversion to a lexicographic (LEX) Gröbner basis requires just $126$ bits with $ω= 2$. Moreover, using a dedicated polynomial system solving technique up to $r_\mathcal{H} = 33$ rounds can be attacked below $128$ bits for an ideal adversary.
机构、总结、中文摘要均由AI分析而来，可能存在错误，请以论文正文为准。
