NRTU加密

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

---

前言

这里简单介绍NRTU加密的方法，之后会继续补充。

一、NRTU历史

NRTU 是一种新的公钥加密系统，是由三个数学家Jeffrey Hoffstein, Jill Pipher, and Joseph H. Silverman 于1996年提出。

二、NRTU加密

Alice 想要向 Bob 传递一个信息M，公钥公开的一个“钥匙”，是Alice 以及 Bob 都知道（也可以说所有人都知道），其目的是用来加密信息。而私钥是只有Bob知道的钥匙，其作用是用来解密。

1.公钥

这里主要是希望收到信息的Bob操作。
选择3个不相同的素数 N,p,q 使得 $q>>p,N$. 选择两个多项式 $f,g\in \mathbb{Z}[X]/X^N-1$ 使得$f,g$ 的系数属于 { − 1 , 0 , 1 } \{-1,0,1\} {−1,0,1} 并且存在$f_q,f_p$ 使得
$$f\cdot f_q\equiv 1\mathrm{mod}q$$以及
$$f\cdot f_p\equiv 1\mathrm{mod}p.$$实际上以上两个等式要求了$f$在${\mathbb{Z}}_q[X]/X^N-1$ 以及 ${\mathbb{Z}}_p[X]/X^N-1$ 中是可逆的，这里${\mathbb{Z}}_p=\mathbb{Z}/p\mathbb{Z},{\mathbb{Z}}_q=\mathbb{Z}/q\mathbb{Z}$. 计算
$$h=p\cdot f_q\cdot g\mathrm{mod}q$$此时将 $(N,p,q,h)$ 作为公钥。私钥为$(f,f_p,f_q,g)$. 公钥Alice是知道的，而私钥只有Bob知道。

2.加密

这里主要是发送信息的Alice在操作。
Alice首先将信息变成$\mathbb{Z}[X]/X^N-1$中的一个多项式$m$，并且保证系数落在$[-\frac{p}{2},\frac{p}{2}]$当中。注意这里的多项式的系数即可以作为信息M的载体。Alice随机选取一个$\mathbb{Z}[X]/X^N-1$中的多项式 $r$，保证 $r$ 的系数比较小即可，这里我们不要求系数落在 { − 1 , 0 , 1 } \{-1,0,1\} {−1,0,1}当中。
计算
$$e=r\cdot h+m\mathrm{mod}q.$$此时Alice将$e$作为加密的信息传递给Bob。

3. 解密

这里是Bob用密钥解密的过程。
Bob收到$e$之后，首先计算
$$a=f\cdot e=f\cdot (rp{f}_{q}g+m)\equiv prg+f\cdot m\mathrm{mod}q$$最后一个等式成立是由于$f\cdot f_q\equiv 1\mathrm{mod}q$. 将$prg+f\cdot m$ 记作 $b$.换言之，我们有
$$b\equiv a\mathrm{mod}q.$$ 接下来，我们进行$\mathrm{mod}p$ 的操作。由于$prg\mathrm{mod}p=0$, 我们有
$$b\equiv f\cdot m\mathrm{mod}p$$此时
$$m=f_p\cdot b\mathrm{mod}p.$$
这里需要注意的是在得到 $e$ 之后，直接进行$\mathrm{mod}p$ 运算从而得到 $m$ 这样是错误的。这是由于 $rh$ 的系数有可能超出 $q$，故而 $e$ 与 $r\cdot h+m$ 差了一个 $q$ 的倍数。同时也有可能导致 $rh\ne 0\mathrm{mod}p$。但是乘了 $f$ 之后就不一样了，首先 $\mathrm{mod}q$ 之后得到的是 $prg+f\cdot m$。我们已经假设了$r$ 的系数较小，$f,g$ 的系数落在 { − 1 , 0 , 1 } \{-1,0,1\} {−1,0,1} 中，并且 $q>>p$。这使得 $prg+f\cdot m$ 的系数都不会超过 $|q|$ 故而可以将其作为整数。此时 $\mathrm{mod}p$ 自然得到
$$f\cdot m\mathrm{mod}p.$$

三、 攻击

这里主要解释针对密钥 $f$ 的攻击。我们已经知道公钥 $h=p\cdot f_q\cdot g\mathrm{mod}q$. 可以得到 $\bar{h}=f_q\cdot g\mathrm{mod}q$, 故而 $g=f\cdot \bar{h}\mathrm{mod}q$. 以下举 $N=2$ 的例子。假设 $\bar{h}=h_0+h_{1}x,f=f_0+f_{1}x$ 以及 $g=g_0+g_{1}x$. 设矩阵
$$A=\left(\begin{array}{cccc}\alpha & 0& h_0& h_1\\ 0& \alpha & h_1& h_0\\ 0& 0& q& 0\\ 0& 0& 0& q\end{array}\right).$$假设 $\mathcal{L}$ 是由矩阵A的行向量生成的格。由于 $g=f\cdot \bar{h}\mathrm{mod}q$, $\tau =(\alpha f,g)=(\alpha f_0,\alpha f_1,g_0,g_1)$ 包含在格 $\mathcal{L}$ 中。其中 $\alpha$ 是一个较小的参数。由于最开始假定的 $f,g$ 的系数都很小，故而我们的目的是寻找 $\mathcal{L}$ 中长度最短的向量 $\tau$。这样我们就能知道 $f,g$ 了。

一般取 $\alpha =\frac{|g{|}_2}{|f{|}_2}$。这里二范数 $|g{|}_2,|f{|}_2$ 是公开已知的数。原因如下：
根据Gaussian heuristic 知道，一个随机的行列式为 $D$ 的 $n$ 维矩阵，其最短向量的大小落在
$$D^{1/n}\sqrt{\frac{n}{2\pi e}},D^{1/n}\sqrt{\frac{n}{\pi e}}$$ 之间。在我们这个情况下行列式为 $q^N{\alpha }^N$ (A取一般形式下的矩阵) 矩阵大小为 $2N$ 阶的。故而最短向量应当大于
$$s=\sqrt{\frac{N\alpha q}{\pi e}}.$$ $\alpha$ 的选取原则是期望 $s/|\tau {|}_2$ 尽可能小。此时
$$\frac{s}{|\tau {|}_2}=(\alpha |f{|}_2^2+{\alpha }^{-1}|g{|}_2^2{)}^{-1}.$$ 当 $\alpha =\frac{|g{|}_2}{|f{|}_2}$ 取得极值。

四、总结

待续