Z-Sigil: A Public-Key Cryptosystem with Chained Selection over a Fiber Bundle of Module-Lattice Keys

技術要約：「Z-Sigil: モジュール格子鍵のファイバー束上の連鎖選択を用いた公開鍵暗号系」

問題提起
標準的な公開鍵暗号系は、通常、メッセージの全ブロックに対して単一の秘密鍵を固定して使用する。Z-Sigilは、「事前に生成された秘密鍵のファミリーに対して、プレーンテキストがアクセスする順序を決定できるか」というアーキテクチャ上の問いに取り組んでいる。これは、単一の鍵を静的に適用するのではなく、鍵空間内を「歩行（walk）」する構造である。本論文は、このような「プレーンテキストによって供給される状態と、格子鍵ファミリーとの結合」を、セキュリティと正当性を維持しつつ、かつ過去の幾何学的提案が陥った「プレーンテキストのスカラー値を不注意に露出させてしまう」という罠を回避しながら構築できるかを調査している。

手法および構成
本構成は、以下の3つの明確なコンポーネントに基づいている：

1. Module-LWE基盤: 算術の核となるのは、Module-Learning With Errors (Module-LWE) 仮定である。共有の公開行列 $A$ と、公開ベクトル群 $b_t = A s_t + e_t$ が生成される。ここで、$s_t$ は小さな秘密ベクトルであり、$e_t$ は小さな誤差ベクトルである。
2. 幾何学的抽象化（ファイバー束）: 鍵のファミリーは、有限の基底 $P$（平坦なケーラー・トーラス上の捻転点集合）上の離散ファイバー束の切断 $\sigma$ としてモデル化される。公開鍵はこの切断のノイズを含む像である。メッセージは新しい鍵を作成するのではなく、基底 $P$ 上の「歩行」$\gamma$ を辿り、どのファイバー（すなわち、どの秘密鍵 $s_t$）を各ブロックで使用するかを選択する。
3. 連鎖選択メカニズム:
   • 状態初期化: 公開ノンスがハッシュ状態 $x_{-1}$ を初期化する。
   • ブロック処理: 各ブロック $i$ について、現在の状態 $x_{i-1}$ をハッシュ化して、鍵インデックス $t_i$ とビットマスク $\kappa_i$ を導出する。
   • 暗号化: プレーンテキストブロック $m_i$ はマスクされ（$\mu_i = m_i \oplus \kappa_i$）、選択された鍵 $s_{t_i}$ を用いて標準的なLindner–Peikert/Kyber型のブロックマップを通じて暗号化され、暗号文 $(u_i, v_i)$ が生成される。
   • 状態更新: 回復されたプレーンテキスト $m_i$（送信者はこれを既知とし、受信者はこれを回復する）がハッシュ関数へとフィードバックされ、状態を更新することで、次のブロックのための鍵を決定する。

これにより、鍵選択の軌跡がメッセージの内容に依存するという依存関係が生じるが、鍵自体は暗号化前にメッセージとは独立して生成されている。

主な貢献
本論文の具体的な技術的貢献は以下の通りである：

• 幾何学的フレームワーク: 平坦なケーラー・トーラス上のモジュール格子鍵の離散ファイバー束を定義し、そこでは秘密鍵が切断であり、公開鍵がファイバーごとの自己準同型によるノイズを含む像となる。
• 明示的な仕様: 鍵生成、暗号化、および復号に関する完全かつ分離された仕様を提供し、特定のブロックマップと連鎖逆転命題を含んでいる。
• 正当性の証明: 鍵生成の誤差と新たな暗号化誤差から生じる累積ノイズが、特定の閾値内に留まる場合に復号が成功することを証明する。復号失敗の上限は、特定の鍵ファミリーの実装（例：16個の鍵と64個のブロックに対して $< 2^{-192}$）に基づいて導出される。
• セキュリティ簡約: 完全な連鎖に対する条件付きIND-CPA（選択平文攻撃に対する不可識別性）の簡約を確立する。この簡約により、ハッシュ関数をランダムオラクルとしてモデル化することなく、公開鍵が判明した後にメッセージを選択することが可能となる。証明には、ファイバーを推測するルート（コスト $T$）と、すべてのファイバーに同時にチャレンジを埋め込むルートの2つを用いる。
• 部分的露出の分析: 攻撃者が鍵のサブセットを保有している場合の「直接プレフィックス（direct-prefix）」回復モデルに関する正確な確率法則を提供する。これにより、露出した鍵がプレーンテキストのプレフィックスの回復を可能にする一方で、連鎖構造が、歩行が露出した鍵の上にある限り、後続のブロックの即時的な回復を阻止することを実証している。
• 先行研究の修正: 以前の幾何学的提案（公開方向へのプレーンテキストのスカラーを露出させていたもの）を特定し、プレーンテキストが加法的に入り、かつマスクされるようにすることで、スカラーの露出を防ぎ、問題を修正した。

結果と境界

• 信頼性: $T=16$ 個の鍵と $L=64$ 個のブロックの構成において、復号失敗確率は $2^{-192}$ を下回る。これは信頼性の境界であり、セキュリティレベルの推定値ではない。
• セキュリティ: スキームの機密性は、決定的Module-LWE問題の困難性に条件付けられている。簡約には、選択された簡約パスに応じて乗法的な損失（例：因子 $T$ または $L$）が生じる。つまり、本スキームは基礎となる格子問題に関する追加の仮定なしに、特定の具体的なセキュリティレベル（例：128ビット）を主張するものではない。
• 露出の限界: 攻撃者が鍵の割合 $p$ を保持している制限されたモデルにおいて、直接回復可能なブロックの期待値は、上限を持つ幾何分布に従う。しかし、本論文は、候補メッセージ攻撃や既知平文攻撃を用いて将来の状態を推論する可能性のある、制限のない攻撃者についてはこれを制限しない旨を注記している。

意義と主張
本論文は、Z-Sigilを新しい暗号プリミティブや標準準拠の実装（ML-KEMではない）としてではなく、特定の構成アーキテクチャの研究として控えめに位置づけている。

• 認証なし: 本スキームは認証または選択暗号文攻撃（IND-CCA）に対する安全性を提供しない。
• 量子加速の主張なし: 幾何学的な動機付けとして（マニンの引用を含む）量子重ね合わせの概念に言及しているが、これはあくまでアーキテクチャを研究するための動機であり、本スキームが量子攻撃を防ぐという議論ではない。
• 研究の方向性: 本研究は、パス依存的な幾何学を暗号に応用するための「テストベッド」として機能する。現在の平坦な幾何学（これは表現として機能する）と、輸送（transport）やホロノミーを伴う将来の非自明な曲がったファイバー束との区別を行い、現在の積分輸送の制約（ノイズ予算を維持するために符号付き置換に限定される）が厳しいことを指摘している。
• 検証可能性: 本論文は、バイトプロファイル、擬似コード、および既知回答ベクトルを提供することで再現性を強調しており、実装の記録は数学的証明とは別に管理されている。

要約すると、Z-Sigilは、事前に生成された格子鍵のファミリーに対するプレーンテキスト依存の歩行が、ノイズ予算が適切に管理され、かつ幾何学的構造が意図せずプレーンテキストのスカラーを露出させない限り、正当性と条件付き機密性を備えて構築できることを示している。これは、明示的な境界を持つ、状態保持型の鍵ファミリーベースの暗号化という特定のクラスの提案である。