KR100944290B1 - 브레이드 그룹들에 기반한 공개키 암호화 방법 - Google Patents

Abstract

본 발명은 브레이드 그룹들에 기반한 공개키 암호화 방법에 관한 것이다.

본 발명은,

브레이드 그룹 G내에 제공된 브레이드 S로부터 선택된 대표 s에 의해 정의되는 비밀키,

특히 브레이드 T(S)의 대표 v에 의해 정의되는 공개키, 및

상기 두 개의 브레이드들 사이의 동일성(equality)을 증명하며 상기 두 개의 브레이드들의 대표들과 동일한 적어도 하나의 연산을 사용하는 방법을 특징으로 한다.

본 발명은 공개키 암호화를 신속히 수행하는데 적합하다.

Description

브레이드 그룹들에 기반한 공개키 암호화 방법{PUBLIC KEY CRYPTOGRAPHIC METHOD BASED ON BRAID GROUPS}

본 발명은 브레이드 그룹들에 기반한 공개키 암호화 방법에 관한 것이다.

본 발명은 특히 접촉부들을 가지거나 가지지 않는 표준 마이크로프로세서 카드들("스마트" 카드들)과 같이 제한된 자원들을 가지는 환경들에서 공개키 암호화 방법들을 고속 수행하는 분야에서 특히 유리한 애플리케이션을 발견한다.

공개키 암호화 분야에서, 각각의 사용자는 사용하기 위한 한 쌍의 키, 즉 비밀키 및 연관된 공개키를 포함하는 한 쌍의 키들을 보유하고 있다. 비밀 유지를 목적으로하는 한 쌍의 키의 경우에, 예컨대, 공개키는 데이터를 암호화하기 위해 사용되고, 비밀키는 데이터를 복호화하기 위해, 즉 데이터를 완전히 복구하기 위해 사용된다. 대조적으로, 인증을 목적으로 하는 한 쌍의 키의 경우에, 비밀키는 인증값들을 계산하기 위해 사용되고 공개키는 인증값들을 검증하기 위해 사용된다. 디지털 서명(digital signature)들 및 교환 키들과 같은 다른 사용들 또한 가능하다.

공개키 암호화는 비밀키 암호화와는 달리 보안 통신을 형성하기 위해 관계자(party)들이 동일한 비밀을 공유할 것을 요구하지 않는 경우에 매우 유용하다. 그러나, 공개키 암호화 방법들은(또한 공개키 방식들로서 알려진) 종종 비밀키 암호화 방법들(또한 비밀키 방식들로서 알려진)보다 수백 또는 수천 배 더 느리기 때문에 보안면에서의 상기 장점은 성능면에서는 단점을 동반하게 된다. 마이크로프로세서 카드들과 같이 상기 참조된 제한된 자원들을 가지는 환경들에서 사용될 수 있는 공개키 암호화 방법들을 고속 수행하는 방법을 발견하는 것은 매우 중요한 도전이다.

대부분의 현존하는 공개키 방식들은 계산 또는 숫자 이론 분야로부터 수학적인 문제들의 어려움에 의존한다. 따라서, RSA(Rivest, Shamir 및 Adleman) 인코딩 및 비밀 유지 방식은 정수들을 인수 분해하는 문제의 어려움에 의존한다: 비교가능한 크기의 두 개 이상의 소인수(prime factor)들의 곱과 동일한 큰 정수(즉, 1000 이상의 비트들 중 하나)가 주어질 때, 소인수들을 복원하기 위한 효과적인 방법이 존재하지 않는다.

프랑스 특허번호 2 716 058에 기술된 비밀 유지 방식과 같은 다른 공개키 방식들은 그들의 보안에 대하여 이산 대수(logarithm) 문제의 어려움에 의존한다. 모든 이들 방식들은 모듈로(modular) 곱: ab(모듈로 n), 모듈로 제산: a/b(모듈로 n) 또는 모듈로 자승: a^b(모듈로 n)과 같은 정수들의 연산의 형태인 기본 연산들을 사용하는 공통 특징을 가지며, 상기 a 및 b는 정수들이다.

대부분의 기존 공개키 방식이 대수에 의해 좌우된다는 사실은 적어도 두개의 단점들을 가진다.

첫 번째 단점은 관련 정수들이 수백 비트들의 길이를 가지는 경우에 인수분해 문제점 및 이산 대수 문제점을 해결하는데 효율적인 알고리즘들이 기존의 1000 비트 이상을 의미하는 매우 긴 정수들(특히, 매우 긴 키들)을 필요로 한다는 점이다. 이는 저장 문제 및 특히 긴 계산 시간을 유발한다. 더욱이, 이들 알고리즘들의 효율성이 시간이 경과함에 따라 매우 신속하게 증가하기 때문에, 이에 따라 키 길이들 역시 증가해야 한다.

두 번째 단점은 단지 두 개의 기계적인 문제점의 어려움에 기초하여 대부분의 보안 애플리케이션의 형성하는 것이 위험하다는 점이다. 이는 특히 두 개의 문제점이 유사하고 두 개의 문제점 중 하나의 문제점을 해결하기 위한 효율적인 알고리즘의 발견이 다른 문제점을 해결하기 위한 효율적인 알고리즘의 발견에 의하여 달성된다는 점에서 진실이다.

이것이 거의 과거 15년 동안 앞서 언급된 문제점들과 다른 문제점 및/또는 정수들과 다른 수학적인 대상들에 의존하는 공개키 암호화 방식들을 구성하는데 노력을 집중한 이유이다. 특히, 정수들에 대한 연산을 소위 타원 곡선들의 포인트들에 대한 연산들로 교체하는 것이 제안되었다. 이에 대한 동기는 이산 대수 문제점이 타원 곡선들의 경우보다 문제 해결에 있어서 훨씬 더 곤란하다는 점으로 부터 부여되었으며, 타원 곡선 방식은 관련 방식들의 보안성을 저하시키지 않고 키들의 길이들을 감소시킨다.

그러나, 타원 곡선을 사용할 경우에 앞서 언급된 두 개의 문제점 중 일부분이 해결된다. 이는 비록 타원 곡선들이 정수 세트들과 다르고 정수 세트들보다 더 복잡한 수학적 대상들일지라도 타원 곡선들을 기술하는 이론이 수의 이론과 매우 밀접하게 관련된다는 점에서 정수 세트와 비교적 유사하기 때문이다. 이러한 유사성에 대한 한가지 명백한 효과는 비록 정수들이 작을지라도 타원 곡선들에 공급될 계산들이 앞서 한정된 연산들과 유사한 정수들에 대한 연산을 감소시킨다는 점이다. 이의 결과는 계산 시간이 너무 긴 시간을 소모한다는 것이다.

따라서, 암호화를 위하여, 수의 이론 등과 수학적 대상들과 매우 다른 수학적 대상들을 사용하여, 첫째로 앞의 이론들이 가지는 문제점들을 해결하기 위한 효율적인 알고리즘들을 발견하는 경우에 백-업 해결들을 제공하고 둘째로 성능 및 계산시간과 관련하여 매우 효율적인 해결들을 제공하는 것이 필요하다.

상기와 같은 방향으로 여러가지가 시도되었다. 이들중 하나(K.H.Ko,S.J. Lee,J.H. Cheon, J.W. Han, J.Kang, and C.Park, New Public-Key Cryptosystem Using Braid Groups, Advances in Cryptology, LNCS 1880, pp. 166-183, Springer Verlag, August 2000 참조)는 브레이드 그룹들로 알려진 수학 대상들을 사용한다.

수학적인 의미에서, 브레이드는 기하학적 의미 및 일반적인 사용 측면에서 브레이드의 개념화 및 일반화이다. 브레이드의 이론에 대한 보다 상세한 것은 발명의 명칭이 La science des noeuds [The science of konots]인 1997년 P. Dehornoy, L'art de tresser [The art of braiding]에 의한 논문을 참조하자.

n개의 스트랜드들(strands)을 가진 브레이드 세트는 브레이드(X) 하에서 브레이드(Y)를 결합하는 동작에 의해 발생된 브레이드(XY)와 두 개의 브레이드들(X 및 Y)을 연관시킨 곱(product)이라 불리는 내부 구성(composition) 법칙을 가진 그룹(G)을 구성한다. 일반적으로, 브레이드 곱은 상호적(commutative)이지 않다. 게다가, n개의 스트랜드들을 가진 임의의 브레이드를 사용하여, 순열 세트 {1, 2, ..., n}와 고유하게 연관될 수 있다. 순열이 동일 순열(1 내지 n 중 임의의 정수를 그 자신에게 보냄)인 브레이드는 순수하다라고 표현된다.

n개의 스트랜드들을 가진 브레이드의 그룹(G)은 브레이드되지 않은 스트랜드들에 의해 표현되어, 임의의 브레이드(X)에 대하여, 곱들(EX 및 XE)은 양쪽다 X와 같다. 게다가, 임의의 브레이드(X)는 역(X^-1)을 가지므로, 곱(XX^-1 및 X^-1X)은 모두 E와 같다.

그룹(G)에서 n개의 스트랜드들을 가진 브레이드들은 표현된 바와 같이 다양한 방식으로 코딩될 수 있다. 주어진 표현으로 브레이드를 코딩하기 위하여, 그것은 하나 이상의 표현들과 연관된다. 만약 X가 하나의 브레이드이면, x는 아래의 표현에서 X를 나타낸다. 본 발명에 의해 사용되는 것과 같은 일반적인 표현들에서, 만약 브레이드(X) 및 브레이드(Y)가 x 및 y를 각각 나타내면, 결과(xy)가 브레이드(XY)를 나타내는 x 및 y상에서의 간단한 동작이 존재하고, 이와 같이 결과(x^-1)가 브레이드(X^-1)를 나타내는 x상에서 간단한 동작이 존재한다.

가장 일반적인 소위 표준 표현(standard representation)은 임의의 브레이드가 (n-1) 개별 브레이드들의 곱으로 분해될수있다는 사실을 바탕으로 하고, 각각의 브레이드들은 알파벳 글자 및 상기 글자의 역들에 의해 표시된다. 소문자 글자들은 개별 브레이드들의 대표를 위하여 사용된다. 예컨대, 4 개의 스트랜드들을 가진 브레이드들의 경우, 3개의 개별 브레이드들은 A, B 및 C로 표시되고, 그 결과 상기 그룹에서 임의의 브레이드(X)는 브레이드들(A, B, C) 및 그것의 역들(A^-1, B^-1, C^-1)의 함수로서 고유하지 않은 방식으로 표현될 수 있다. 예컨대, 브레이드들 ABA 및 BAB이 동일하다. aba 및 bab는 동일한 브레이드 대표고, 즉 상기 브레이드들은 동일한 브레이드를 나타낸다. 유사하게, 브레이드(B)는 브레이드(BBB^-1)와 동일하고, 그 결과 대표(b 및 bbb^-1)는 동일하다.

선택적인 표현들이라 불리는 그룹(G)의 선택적인 표현들이 사용될 수 있다. 따라서, n개의 스트랜드들을 가진 브레이드는 {1, 2, ..., n}의 순열 및 그것의 역에 의해 표현된 간단하거나 표준 브레이드들의 곱으로서 코딩될 수 있다. Birman-Ko-Lee 표현으로서 알려진 G의 표현이 존재하고, 여기서 코딩은 다시 순열들 또는 n 수 또는 1 내지 n의 수의 임의의 테이블들을 다시 사용하고, Dynnikov 표현으로서 알려진 G의 표현이 존재하고, 여기에서 코딩은 정수들에 의해 이루어진다. 다시 브레이드는 다수의 대표를 가지며 동일한 브레이드의 대표들은 동일하다.

브레이드가 워드들에 의해 코딩되는 표준 표현에서, 표기법(notation) "∼"는 "동일함"을 의미한다. 표기법 "u∼v"는 브레이드들(U 및 V)이 동일하다는 것을 의미하고, 여기에서 u는 브레이드(U)의 대표이고 v는 브레이드(V)의 대표이다. 다음 등가 관계들은 두 개의 워드들이 동일한 브레이드를 표현하는지를 결정하기 위한 정확한 방식을 제공한다:

- aa^-1∼a^-1a∼e,

- 만약 a 및 c가 비연속적인 글자들이면 ac∼ca,

- 만약 a 및 b가 연속적인 글자들이면 aba∼bab.

브레이드들을 사용한 상기된 공개키 암호화 방법은 전송 전에 암호화되고 그 다음 수신자에 의해 암호화되는 기밀 데이타에 대해 전적으로 사용된다.

본 발명에 의해 해결되는 기술적 문제는 데이터의 비밀 유지 뿐만 아니라, 엔티티들 및/또는 데이터의 인증을 보장하는 브레이드 그룹들에 기반하는 공개키 암호 방법을 제안하고, 동시에 부가적으로 마이크로프로세서 카드들과 같이, 제한된 전력원들을 갖는 시스템들에 상기 방법을 적용하는데 호환될 수 있는 상위 레벨의 안전성 및 빠른 계산 시간을 제공한다.

기술적 문제에 대한 본 발명의 솔루션으로서, 상기 방법은,

- 브레이드 그룹 G의 주어진 브레이드 S의 대표 "s"로 정의되는 비밀키,

- 연산자 T에 의해 브레이드 S로부터 변환되는 브레이드 T(S)의 대표 "v"로 정의되는 공개키, 및

- 두 개의 브레이드들의 동일성, 즉 상기 두 브레이드들의 대표들의 동일성을 검증하는 연산을 사용한다.

따라서, 본 발명의 암호화 방법의 보안성은 브레이드들의 동일성, 대표들의 동일성, 및 연산자 T의 역의 동일성과 같은 산술적으로 직면하는 문제의 재구성과 같이, 공개키에 포함된 T(S)의 대표 "v"로부터 비밀 브레이드 S를 재구성하는 어려움에 좌우된다. 이러한 점에서, 연산자 T의 두 예들은 본 발명의 방법의 구현에 적합하다:

- 연산자 T는 T(S) = SWS^-1로 정의되고, 여기서 W는 그룹 G의 브레이드, 대표 "w"는 브레이드 V = T(S)의 대표 "v"를 갖는 상기 공개키를 형성하고, S^-1은 그룹 G의 브레이드 S의 역브레이드이고,

- 연산자 T는 2 이상의 양의 정수로 T(S) = S^P = S...S로 정의되고, 여기서 그 결과는 S를 P번 곱하는 것이다.

제 1 연산자는 매우 어렵다고 여기지는 켤레 결합의 문제를 이용한다: 브레이드 SWS^-1의 대표를 안다면, 브레이드 S의 대표를 찾는 것이 문제이다. 특히, 특권이 있는 브레이드 대표들인 감소된 형태들의 사용은 이러한 문제를 특히 해결할 수 없도록 한다. 동일하게 제 2 연산자에 이용되는 루트 문제에 적용된다: S^P의 대표를 인식하고 있는 S의 대표를 찾는 것은 실제로 불가능하다.

더욱이, 브레이드 동일성 검증 동작은 상기 브레이드들의 대표들의 감소된 형태 또는 상기 브레이드들로부터 계산되는 브레이드들의 대표들의 감소된 형태를 이용한다면 가속될 수 있다. 하나의 브레이드 대표를 동일한 브레이드의 다른 대표(가능하면 동일한)로 변환하는 기능들인 이러한 감소된 형태들의 이점은, 선험적 트라이벌 문제가 아닌 두 브레이들이 동일한지를 인식하는 문제를 해결하는 효과적인 방법들을 제공한다는 것이다.

감소된 형태 FR은 중립 브레이드 E의 임의의 대표를 트라이벌(즉, 텅빈) 대표 e로 변환한다는 것을 특징으로 한다. 그러나, 동일한 브레이드의 2 개의 대표들은 동일한 감소된 형태를 가질 필요는 없다. 이것은 "A Fast Method for Comparing Braids" Advance in Mathematics, No. 125, pp. 200-235, 1997에서 P. Dehornoy에 의해 개발된 감소된 형태에 적용된다. 브레이드 U 및 V의 두 개의 대표들 u 및 v가 동일한지를 결정하기 위해, 브레이드 UV^-1의 대표인 감소된 형태의 uv^-1가 계산된다. 실제로, 이는 u와 v가 동일하거나 uv^-1이 동일한 트라이벌 브레이드 E를 나타낸다. 따라서, u 및 v는 FR(uv^-1) = e라면 동일하다. 대안으로, uv^-1대신에 u^-1v를 사용할 수 있다.

감소된 형태들의 한 가지 특정한 경우는 정규 형태들이다. 정규 형태 FN은 브레이드(braid)에 대한 동일한 대표(representative)를 동일한 브레이드에 대한 임의의 2개의 대표에 관련시키는 감소된 형태(reduced form)이다. 다시 말하면, 2개의 브레이드 대표 U와 V는 그들이 동일한 정규 형태 FN(u) = FN(v)를 갖는 경우에만 동등하다. 정규 형태 FN을 정의하는 다수의 방법은 선행 기술에서, 특히 1998년 보스톤 소재 Jones and Barlett Publishers 발간, D. Epstein등이 저술한 Word Processing in Groups에서 설명된다. 소정의 정규 형태는 특히 위에서 설명된 브레이드 그룹에 대한 선택적인 표현(alternative representation)의 경우에 효과적으로 연산될 수 있다: 브레이드들에 대한 대표들은 특히 그들 자신들을 정규 형태들의 연산에 제공한다.

그러나, 표준 표현(standard representation)의 경우, 감소된 형태를 사용하는 것이 보다 효과적인 알고리즘들을 야기하는 바, 이는 감소된 형태와 관련한 요구 사항(requirement)들이 정규 형태와 관련된 요구사항들보다 약하며, 2 개의 동등한 대표들이 동일한 감소된 형태를 가져야 할 필요가 없는 반면 그들이 필수적으로 동일한 정규 형태를 갖기 때문이다. 따라서, 위에서 인용된 감소된 형태를 연산하기 위한 알고리즘은 표준 표현의 경우에 선행 기술에서의 정규 형태를 연산하기 위한 임의의 알고리즘보다 빠르다. 표현의 선택에 따라서, 정규적일 필요가 없는 감소된 형태 FR(통상적으로 표준 표현에서)의 경우 및 때때로 정규적인 감소된 형태 FN(특히 대안적인 표현에서)의 경우 본 발명의 암호화 방법을 사용하는 것이 장점이 있을 수 있다.

감소된 형태가 주어진 브레이드에 대하여 고유할 필요가 없다는 사실은 내려져야 할 결정이 단지 두 단어가 동등한지 여부에만 의존하는 경우에는 결점이 아님을 주목해야 한다: 예컨대, "어느 한 사람이 통신하고 있는 엔티티(entity)가 인증(authentic)되었는가 아닌가?"

본 발명의 암호화 방법의 애플리케이션의 4 개의 예들이 이하에 상세하게 설명된다. 이러한 예시들 모두는 인증(authentication) 프로토콜와 관련되나, 이는 본 발명을 제한하지 않는다.

유사하게, 이미 언급된 바와 같이, 이것은 필수불가결한 것은 아니지만, 그것들이 본 발명의 바람직한 실시예를 구성한다고 가정한다면, 필수적으로 정규 형태들이 아닌 감소된 형태 FR은 도처에 사용된다.

제 1 인증 프로토콜은 n = p + q 개의 스트랜드(strand)들을 가진 브레이드(braid)들의 그룹 및 켤레 결합(conjugation) 문제를 포함한다. 보다 정확하게 말하자면, 특정 유형의 2 개의 브레이드가 관련되어, 하나는 단지 p개의 좌측 브레이드만을 사용하고 제 1의 p - 1 개의 문자들 및 n = p + q 개의 문자들을 가진 알파벳의 역을 사용하여 표준 표현(standard representation)으로 코딩될 수 있고; 다른 하나는 단지 q 우측 스트랜드들만을 사용하고, 그 결과 상기 알파벳의 마지막 q - 1 개 문자들 및 그 역을 이용하여 표준 표현으로 코딩될 수 있다. 그러한 상기 2개의 브레이드는 일반적인 경우와 반대로 하나를 나머지로 바꾸는(commutating) 특징을 갖는다.

프루버(prover) A의 비밀키는 p개의 좌측 스트랜드들을 가진 브레이드 S의 대표 s이다. 검증자(verifier) B에 의해 사용되는, 프루버 A의 공개키는 그룹 G1으로부터 선택된 브레이드 W의 대표 w 및 브레이드 V = T(S) = SWS^-1의 대표 v을 포함하는 쌍(v, w)이다.

프루버 A는 검증자 B에 의하여 2가지 교환을 사용하여 이하와 같은 방식으로 인증된다.

1. B는 대표 z를 선택함으로써 q개의 우측 스트랜드들을 가진 브레이드 Z를 선택한다. 그 다음에 B는 브레이드 C = ZWZ^-1의 대표 zwz^-1을 유지한다. B는 C의 대표 c = F1(zwz^-1)를 계산하고, c를 A로 보낸다.

2. A는 브레이드 SCS-1의 대표 y = F2(scs^-1)을 계산하고 y를 B로 보낸다. B는 감소된(적용 가능한 상태의 경우) 형태 FR을 사용하여 동일성 y~zvz^-1을 검증한다.

y가 zvz^-1과 균등하다는 사실은 S 및 Z가 서로 바뀐다는 사실로부터 유래하고, 사실, y는 브레이드 SCS^-1를 나타내며, 즉, S(ZWZ^-1)S^-1 = (SZ)W(Z ^-1S^-1) = (ZS)W(S^-1Z^-1) = Z(SWS^-1)Z^-1 = ZVZ^-1이고, 이것은 또한 zvz^-1에 의해 표현된다.

단계 2에서 성립된 동치 관계는 등식 FR(yzv^-1z^-1) = e, 또는 정규 형태가 사용된다면 FN(y) = FN(zvz^-1)을 증명함으로써 비독점적으로 증명될 수 있다.

함수(F1, F2)는 브레이드(braid)의 대표를 동일한 브레이드의 대표와 관련시킨다. 표준 표현의 경우, F1 및 F2는 감소된 형태일 수도 있지만, 이는 반드시 이러한 경우는 아니다. 이들은 통상적으로는 감소된 형태, 일반적으로는 동치 관계 증명에 사용되는 그 외의 형식이다. 선택적인 표현들의 경우, F1 및 F2에 정규 형태(FN)가 사용된다.

W에 대해서는 순수한 브레이드가 선택되는 것이 바람직하다.

상기 프로토콜의 변형들이 쉽게 지정될 수 있다. 특히, v에 대해 브레이드 T' (S) = S^-1WS의 대표가 선택되고 그에 따라 나머지 프로토콜이 변경될 수 있다. 그리고 또, S에 대해 q 우측 성분의 브레이드가 선택되고, Z에 대해 p 좌측 성분의 브레이드가 선택될 수 있다.

제2 인증 프로토콜은 n개의 성분을 갖는 브레이드 그룹(G2)과 활용 문제를 사용한다. 이는 3회의 교환에 의한 기본 프로토콜의 k회 반복에 있으며, 프로토콜 자체는 가능한 임포스터(imposter), 즉, A의 비밀을 모르지만 A인체 하고 있는 엔티티(C)를 발견할 2번의 기회 중 단 한 번의 기회만을 제공한다. k회 반복 후, 임포스터는 발견되지 않을 2^k의 기회 중 단 한 번의 기회만을 갖는다. 이 프로토콜은 제로-인식 프로토콜(zero-knowledge protocol)의 범주에서 나온다.

프루버(prover)(A)의 비밀키는 G2군의 브레이드(S)의 대표(s)이다. 증명자(B)에 의해 사용되는 프루버(A)의 공개키는 G2군에서 선택된 브레이드(W)의 대표(w)과 브레이드 V = T(S) = SWS^-1의 대표(v)을 포함하는 쌍(v, w)이다.

프루버 A는 하기 방식으로 세 개의 교환(exchange)들을 k 번 반복하여 증명자(verifier) B에 의해 검증된다:

1. A는 대표(representative) r을 선택함으로써 브레이드(braid)(R)를 선택한다. 이 때 A는 브레이드(X = RWR^-1)의 대표 rwr^-1을 홀딩한다. A는 X의 대표 x = F1(rwr^-1)를 계산하고 x를 B로 보낸다.

2. B는 임의로 하나의 비트 c를 드로잉(draw)하고 c를 A로 보낸다.

3a. 만약 c = 0이면, A는 y = r로 세팅하고 y를 B로 보낸다. B는 감소된 (적용 가능한 상태의 경우) 형태 FR을 사용하여 동일성 x~ywy^-1을 증명한다.

3b. 만약 c = 1이면, A는 브레이드 RS^-1의 대표 y = F2(rs^-1)를 계산하고 y를 B로 보낸다. 이 때 B는 감소된 (적용 가능한 상태의 경우) 형태 FR을 사용하여 동일성 x~yvy^-1을 증명한다.

실제로, 만약 c = 1이라면, yvy^-1는 브레이드(RS^-1)SES^-1(SR^-1) = R(S^-1S)W(S^-1S)R^-1 = RWR^-1이고 x 중에서 대표가 되기 때문에, x와 yvy^-1는 등가가 된다.

단계 3a에서 공식화된 동일성은 균등값 FR(xyw^-1y^-1) = e 또는 만약 정규 형태가 사용된다면 FN(x) = FN(ywy^-1)를 증명함으로써 비독점적으로 증명될 수 있다.

단계 3b에서 공식화된 동일성은 균등값 FR(xyv^-1y^-1) = e 또는 만약 정규 형태가 사용된다면 FN(x) = FN(yvy^-1)를 증명함으로써 비독점적으로 증명될 수 있다.
함수 F1과 F2는 브레이드의 대표를 동일한 브레이드의 대표와 연관시킨다. 표준 표현(standard representation)의 경우에, F1과 F2는 감소된 형태가 될 수 있지만 반드시 그러한 것은 아니다. 형태들은 일반적으로 등가 증명에 사용되지 않으면 감소된 형태가다. 선택적인 표현(alternative representation)의 경우에, F1과 F2는 바람직하게 정규 형태 FN을 취한다.

삭제

상기 프로토콜의 변수가 용이하게 지정될(specify) 수 있다. 특히, 브레이드(T'(S) = S^-1WS)는 v에 대해 선택될 수도 있으며, 프로토콜의 나머지는 상응하게 변경될 수도 있다.

제3의 검증 프로토콜은 n 스트랜드 및 결합 문제를 가진 브레이드의 그룹(G3)을 이용한다. 앞선 예와 같이, 이러한 프로토콜은 제로-인식 프로토콜의 범주로부터 존재하며, 세 가지 교환이 k 번 반복된다.

프루버(A)의 비밀키는 그룹(G3)의 브레이드(S)의 대표(s)이다. 검증자(B)에 의해 사용된 프루버(A)의 공공의 키는 그룹(G3)에서 선택된 브레이드(W)의 대표(w) 및 브레이드(V = T(S) = SWS^-1)의 대표(v)를 포함하는 쌍(v,w)이다.

프루버(A)는 k 번 반복된 세 개의 교환에서 이하의 방법으로 검증자(B)에 의해 검증된다:

1. A가 대표(r)을 선택함으로써 브레이드(R)를 선택한다. 이어 A가 브레이드(X = RWR^-1)의 대표(rwr^-1) 및 브레이드(X' = RVR^-1)의 대표(rvr^-1)을 유지한다. A는 X의 대표(x = F1(rwr^-1)) 및 X'의 대표(x' = F'1(rvr^-1))을 계산하고, x 및 x'을 B로 전송한다.

2. B는 랜덤하게 비트(c)를 도출하고 c를 A로 전송한다.

3a. 만일 c = 0이면, A는 y = r로 설정하고 y를 B로 전송한다. B는 감소된 형태(FR)(적용 가능한 상태의 경우)를 사용하여 x~ywy^-1 및 x'~yvy^-1의 동일성을 검증한다.

3b. 만일 c = 1이면, A는 브레이드(RSR^-1)의 대표(Y = F2(rsr^-1))을 계산하고 Y를 B로 전송한다. 이어, B는 감소된 형태(FR)(적용 가능한 상태의 경우)를 사용하여 동일성(x~yxy^-1)을 증명한다.

사실, 만일 c = 1이면, x' 및 yxy^-1은 yxy^-1이 브레이드:(RSR^-1)RWR^-1(RS^-1R^-1) = RS(R^-1R)W(R^-1R)S^-1R^-1 = R(SWS^-1)R^-1 = RVR^-1을 나타내기 때문에 등가인데, 여기서 x'은 대표이다.

단계(3a)에서 나타낸 등식은 특성(FR(xyw^-1y^-1) = e 및 FR(x'yv^-1y^-1)) 또는 정규 형태가 사용될 경우, FN(x) = FN(ywy^-1) 및 FN(x) = FN(yvy^-1)을 변화시킴으로써 비독점적으로 변화될 수 있다.

단계 (3b)에서 공식화된 등식이 FR(x'yx^-1y^-1) = e 또는 정규 형태가 사용된다면, FN(x') = FN(yxy^-1)으로 비독점적으로 증명된다.

함수 F1, F'1 및 F2는 브레이드의 대표와 동일한 브레이드의 대표와 결합한다. 기준 대표의 경우에서, F1, F'1 및 F2는 감소되지만, 그러나, 이는 상기 경우에 필수적인 것은 아니다. 일반적으로, 그것들은 등식 증명을 위해서 사용된 것보다 일반적으로 그것들은 감소된 형태들이다. 선택적인 표현의 경우에서, F1, F'1 및 F2는 바람직하게 정규 형태 FN을 취한다.

증명에서 사용된 성질들은 켤레 결합이 자동-분산(auto-constributive)인 사실을 주목한다. 다음 u*(v*w) = (u*v)*(u*w)이 참이라면, 연산자 * 는 자동-분산이다. 따라서, 켤레 결합 연산이 상기 프로토콜에 또 다른 자동-분산 연산자로 대체될 수 있다.

네번째 인증 프로토콜은 n 스트랜드를 가진 브레이드들의 그룹 G4, 동시에, P^th 루트 문제 및 켤레 결합 문제를 사용한다. 상기 프로토콜은 이전의 2개의 프로토콜들의 의미에서 제로-지식 프로토콜의 카테고리로부터이다.

프루버 A의 비밀키는 그룹 G4의 브레이드 S의 대표 s 이다. 검증자 B에 의해서 사용된 프루버 A의 공개키는 브레이드 V = S^p = S....S의 대표 v이고, S 그 자체의 곱은 p번 반복되고, 여기서 p는 2와 같거나 작은 정수이다.

프루버 A는 다음 방법, k번 반복된 3개 교환으로 검증자 B에 의해서 인증된다:

1. 대표를 선택함으로써 A는 브레이드 R을 선택한다. 이어 A는 브레이드 X = RVR^-1 의 대표 rvr^-1을 유지한다. A는 X의 대표 x = F1(rvr^-1)을 계산하고 x를 B에 보낸다.

2. B는 랜덤하게 비트 c를 도시하고 c를 A에 보낸다.

3a. c = 0이라면, A는 y = r로 설정하고, y를 B에 보낸다. B는 감소된 형태 FR를 사용해서 동일성 x~yvy^-1을 증명한다.

3b. c = 1이라면, A는 브레이드 RSR^-1의 대표 y = F2(rsr^-1)을 증명하고, y를 B에 보낸다. 이어, B는 감소된 형태 FR을 사용해서 동일성 x~y^-p를 증명한다.

사실, c = 1이라면, x와 y^p는 y^p가 브레이드 (RSR^-1)^p = RS^pR^-1 = RVR^-1를 나타내기 때문에, 등가이고, x는 대표이다.

단계 3a에서 공식화된 등식이 FR(xyv^-1y^-1) = e 또는 정규 형태가 사용된다면, FN(x) = FN(yxy^-1)으로 비독점적으로 증명된다.

단계 3b에서 공식화된 등식은 FR(vy^-1...y^-1) = e (p번 반복된 y^-1)또는 정규 형태가 사용된다면, FN(v) = FN(y...y)으로 비독점적으로 증명된다. (p번 반복된 y)

함수 F1 및 F2는 브레이드의 대표와 동일한 브레이드와 결합한다. 기준 대표의 경우에서, F1, 및 F2는 감소된 형태이지만, 그러나, 이는 상기 경우에 필수적인 것은 아니다. 일반적으로, 그것들은 등식 증명을 위해서 사용된 것보다 일반적으로 그것들은 감소된 형태들이다. 선택적인 표현의 경우에서, F1 및 F2는 바람직하게 정규 형태 FN을 취한다.

Claims (13)

1. 브레이드(braid)들의 그룹들에 기반한 공개키(public key) 암호화 방법으로서,

   브레이드 그룹 G에서, 주어진 브레이드 S의 대표 s에 의해 정의되는 비밀키(secret key);

   연산자 T에 의해 상기 브레이드 S로부터 변환된 브레이드 T(S)의 대표 v에 의해 정의되는 공개키(public key); 및

   두 개의 브레이드들의 대표들의 동일성을 검증하는 연산

   을 사용하는,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
2. 제1항에 있어서,

   상기 대표 v는 상기 브레이드 T(S)의 대표의 감소된 형태 FR인,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
3. 제2항에 있어서,

   상기 두 개의 브레이드들의 대표들의 동일성을 검증하는 연산은 상기 두 개의 브레이드들의 대표들의 상기 감소된 형태 FR 또는 상기 브레이드들로부터 계산된 브레이드들의 대표들의 감소된 형태를 사용하여 수행되는,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
4. 제2항 또는 제3항에 있어서,

   상기 감소된 형태 FR은 정규 형태 FN이고, 상기 정규 형태 FN은 브레이드에 대한 동일한 대표를 동일한 브레이드에 대한 임의의 2 개의 대표들에 관련시키는 형태인,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
5. 제2항 또는 제3항에 있어서,

   상기 감소된 형태 FR은 감소된 정규 형태 FN이 아니고, 상기 정규 형태 FN은 브레이드에 대한 동일한 대표를 동일한 브레이드에 대한 임의의 2 개의 대표들에 관련시키는 형태인,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
6. 제1항 내지 제3항 중 어느 한 항에 있어서,

   상기 연산자 T는 T(S) = SWS^-1에 의해 정의되고, 여기서, W는 그룹 G의 브레이드이고 상기 브레이드 T(S)의 대표 v를 가진 상기 공개키를 형성하는 대표 w이며, S^-1은 상기 그룹 G에서의 상기 브레이드 S의 역 브레이드인,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
7. 제1항 내지 제3항 중 어느 한 항에 있어서,

   상기 연산자 T는 2 이상인 양의 정수 p, 및 S가 p번 곱해진 곱인 T(S) = S^P = S...S에 의해 정의되는,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
8. 제6항에 있어서, 검증자 B에 의한 프루버(prover) A의 인증을 위해,

   상기 프루버 A에는 n = p+q 개의 스트랜드(strand)들 가진 브레이드들의 그룹 G1으로부터 선택된 p 개의 좌측 스트랜드들을 가진 브레이드 S의 대표 s를 포함하는 비밀키가 할당되고,

   상기 검증자 B에 의해 사용되며 상기 그룹 G1으로부터 선택된 브레이드 W의 대표 w 및 V = T(S) = SWS^-1인 브레이드 V의 대표 v를 포함하는 공개키가 상기 프루버 A에 할당되며,

   상기 검증자 B는 대표 z를 선택함으로써 q 개의 우측 스트랜드들을 가진 브레이드 Z를 상기 그룹 G1 내에서 선택하여 브레이드 C = ZWZ^-1의 대표 c를 계산하고, c를 상기 프루버 A로 전송하며,

   상기 프루버 A는 브레이드 Y = SCS^-1의 대표 y를 계산하여 y를 상기 검증자 B로 전송하며,

   상기 검증자 B는 상기 대표 y 및 zvz^-1의 동일성을 검증하는,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
9. 제6항에 있어서, 검증자 B에 의한 프루버 A의 인증을 위해,

   (a) 상기 프루버 A에는 n 개의 스트랜드들을 가진 브레이드들의 그룹 G2으로부터 선택된 브레이드 S의 대표 s를 포함하는 비밀키가 할당되고,

   (b) 상기 검증자 B에 의해 사용되며 상기 그룹 G2로부터 선택된 브레이드 W의 대표 w 및 브레이드 SWS^-1의 대표 v를 포함하는 공개키가 상기 프루버 A에 할당되며,

   (c) 상기 프루버 A는 대표 r을 선택함으로써 상기 그룹 G2 내 브레이드 R을 선택하고, 브레이드 X = RWR^-1의 대표 x를 계산하여 x를 상기 검증자 B에 전송하고,

   (d) 상기 검증자 B는 비트 c를 선택하여 c를 상기 프루버 A로 전송하는데,

   (e) ● 만일 c = 0이면, 상기 프루버 A는 y = r로 설정하여 y를 상기 검증자 B로 전송하고, 상기 검증자 B는 상기 대표 x와 ywy^-1의 동일성을 검증하며,

   ● 만일 c = 1이면, 상기 프루버 A는 브레이드 RS^-1의 대표 y를 계산하여 y를 상기 검증자 B로 전송하고, 상기 검증자 B는 상기 대표 x와 yvy^-1의 동일성을 검증하고,

   단계 (c) 내지 (e)에 따른 3 개의 단계들이 k번 반복되는,

   브레이드들의 그룹들에 기반한 공개키 암호화 방법.
10. 제6항에 있어서, 검증자 B에 의한 프루버 A의 인증을 위해,

    (a)′상기 프루버 A에는 n 개의 스트랜드들을 가진 브레이드들의 그룹 G3으로부터 선택된 브레이드 S의 대표 s를 포함하는 비밀키가 할당되고,

    (b)′상기 검증자 B에 의해 사용되며 상기 그룹 G3으로부터 선택된 브레이드 W의 대표 w와 브레이드 SWS^-1의 대표 v를 포함하는 공개키가 상기 프루버 A에 할당되며,

    (c)′상기 프루버 A는 대표 r를 선택함으로써 상기 그룹 G3 내 브레이드 R을 선택하여 브레이드 X = RWR^-1의 대표 x를 계산하고, 브레이드 X' = RWR^-1의 대표 x'를 계산하여 x 및 x'를 상기 검증자 B로 전송하며,

    (d)′상기 검증자 B는 비트 c를 선택하여 c를 상기 프루버 A로 전송하는데,

    (e)′● 만일 c = 0이면, 상기 프루버 A는 y = r로 설정하여 y를 상기 검증자 B로 전송하고, 상기 검증자는 대표 x와 ywy^-1의 동일성 및 x'와 yvy'^-1의 동일성을 검증하며,

    ● 만일 c = 1이라면, 상기 프루버 A는 브레이드 RSR^-1의 대표 y를 계산하여 y를 상기 검증자 B로 전송하고, 상기 검증자는 대표 x'와 yxy^-1의 동일성을 검증하며,

    단계 (c)′ 내지 (e)′에 따른 3 개의 단계들이 k번 반복되는,

    브레이드들의 그룹들에 기반한 공개키 암호화 방법.
11. 제7항에 있어서, 검증자 B에 의한 프루버 A의 인증을 위해,

    (a)″상기 프루버 A에는 n 개의 스트랜드들 가진 브레이드들의 그룹 G4으로부터 선택된 브레이드 S의 대표 s를 포함하는 비밀키가 할당되고,

    (b)″상기 검증자 B에 의해 사용되며 S의 p제곱인 브레이드 V = S^p = S...S의 대표 v를 포함하는 공개키가 상기 프루버 A에 할당되며, 여기서 p는 2 이상의 정수이며,

    (c)″상기 프루버 A는 대표 r을 선택함으로써 상기 그룹 G4 내 브레이드 R을 선택하여 상기 브레이드 X = RVR^-1의 대표 x를 계산하고, x를 상기 검증자 B로 전송하며,

    (d)″상기 검증자 B는 비트 c를 선택하여 c를 상기 프루버 A로 전송하는데,

    (e)″● 만일 c = 0이면, 상기 프루버 A는 y = r로 설정하여 y를 상기 검증자 B로 전송하고, 상기 검증자는 대표 x와 yvy^-1의 동일성을 검증하며,

    ● 만일 c = 1이면, 상기 프루버 A는 브레이드 RSR^-1의 대표 y를 계산하여 y를 상기 검증자 B로 전송하고, 상기 검증자는 대표 x와, y로부터 얻어진 브레이드 Y^P의 대표인 y^p = y...y의 동일성을 검증하며,

    단계 (c)″ 내지 (e)″에 따른 3 개의 단계들이 k번 반복되는,

    브레이드들의 그룹들에 기반한 공개키 암호화 방법.
12. 제6항에 있어서,

    상기 연산자 T는 자동-분배 연산에 의해 대체되는,

    브레이드들의 그룹들에 기반한 공개키 암호화 방법.
13. 제8항에 있어서,

    상기 브레이드 W는 순수한(pure),

    브레이드들의 그룹들에 기반한 공개키 암호화 방법.