有限域上多项式系统求解的多步策略及对流密码 Trivium 的新代数攻击

本文引入猜解-确定或混合策略在有限域上求解多元多项式方程组的多步推广。具体地,我们提出逐步对变量子集进行穷举赋值,即每次当某次赋值导致一个可能难以求解的多项式系统时,才增加该子集的规模。关于扩展哪次赋值的决策基于一个预处理:在当前赋值后计算不完备 Grobner 基,其可能生成用于消去更多变量的线性多项式。若系统中剩余变量数仍被认为过高,则扩展赋值并迭代预处理。否则,我们通过完备 Grobner 基计算求解系统。考虑到密码分析应用,我们将该策略实现于一个名为 MultiSolve 的算法中,其设计用于至多有一个解的多项式系统。我们给出了其复杂度的显式公式,这些公式基于可通过对不同变量子集的赋值测试集执行所提预处理而轻易估计的概率分布。我们证明 MultiSolve 的最优复杂度通过采用具有最大步数的完整多步策略实现,而标准的猜解-确定策略(本质上为单步策略)是最差选择。最后,我们深入研究了 MultiSolve 在对著名流密码 Trivium 进行代数攻击时的行为。