BGV方案简介（同态加密）

置顶 AdijeShen

已于 2022-09-26 16:48:45 修改

阅读量1.9w

点赞数 34

分类专栏：同态加密密码学阅读笔记文章标签：同态加密 BGV 密码学 KeySwitch ModulusSwitch

于 2021-12-06 14:14:42 首次发布

本文链接：https://blog.csdn.net/adijeshen/article/details/121613813

版权

密码学同时被 3 个专栏收录

27 篇文章 23 订阅

订阅专栏

同态加密

16 篇文章 36 订阅

订阅专栏

阅读笔记

11 篇文章 2 订阅

订阅专栏

文章目录

前言
推荐阅读资料
BGV方案介绍
关于KeySwitching/Relinearization
小尾巴

前言

之前看了好多资料，发现对于BGV的介绍都比较少，大家都主要关注于CKKS。其实在一些整数域上面的计算BGV还是很有优势的，与CKKS相比，BGV是一个确定性的加密方案，与BFV相比，BGV的乘法在RNS下实现要简单非常多。所以在某些场景下（比如有限域上的MPC与HE结合）会更加偏向于使用BGV方案，而且BGV方案也相对最易懂。

BGV方案介绍

密文形式

首先BGV最基本的加密形式是：

在这里我们只看对称加密，因为公钥加密与对称加密的密文形式是一致的。

对于LWE类型的密文来说，
首先有一些公开参数：明文模数 $t$ ，密文模数 $q$ ，向量维度 $n$
取私钥为 $\mathbf{s} \in \Z_q^n$ ，对于明文 $m\in \Z_t$
选取 $\mathbf{a}\in \Z_q^n$ ， $b=\langle \mathbf{a},\mathbf{s}\rangle + m +te \bmod q$ 。 $e$ 是从高斯分布中选取的整数。
令密文 $c=(b,\mathbf{a})$ 。
则解密为
先计算 $\mu = b- \langle \mathbf{a},\mathbf{s} \rangle = m+te \bmod q$ 。然后计算 $m=[\mu]_t=m$ 。

这里的 $\langle \cdot \rangle$ 为内积操作，对于 $\mathbf{a}=(a_0,...,a_{n-1}),\mathbf{s}=(s_0,...,s_{n-1})$ 来说， $\langle \mathbf{a},\mathbf{s}\rangle=a_0s_0+a_1s_1+\cdots+a_{n-1}s_{n-1}\in\Z$ 。
$[\mu]_t$ 其实等价于 $\mu \bmod t$ 。

对于RLWE类型的密文来说，
公开参数为：明文模数 $t$ ，多项式空间 $\mathcal{R}=\Z[X]/X^n+1$ ，以及系数模 $q$ 的多项式空间 $\mathcal{R}_q=\Z_q[X]/X^n+1$ 。
取私钥为 $s\in \mathcal{R}_q$ ，对于明文 $m\in R_t$ ：
选取 $a\in \mathcal{R}_q,b=as+m+te \in \mathcal{R}_q$ ， $e$ 是一个系数满足高斯分布的多项式。
令密文为 $c = (b, a)$
则解密为
先计算 $\mu = b-as=m+te\in \mathcal{R}_q$ ，然后计算 $m=[\mu]_t\in\mathcal{R}_t$ 。

这里可以看到RLWE类型的密文相对于LWE类型的密文来说的一个优势在于，一个LWE的密文的长度是 $n + 1$ ，对应的明文是 $Z_t$ 内的，相当于有效信息只有1个，利用率为 $\frac{1}{n+1}$ ；而RLWE的密文长度是 $2 n$ ，对应的明文是 $\mathcal{R}_t$ 内的，有效信息最多有 $n$ 个，利用率为 $\frac{1}{2}$ 。如果使用SIMD的技术的话，可以将这 $n$ 位都有效的利用起来。

关于SIMD的技术，SV的文章我还没有看，但现在BGV和BFV类型的SIMD应该都用的是INTT来做encoding的吧，可以参考一下CKKS的Encoding。思想是类似的。

噪声

注意到在解密过程中，是先得到了 $\bmod q$ ，然后再模 $t$ 得到 $m$ 的。这里一个很重要的条件就是 $(m + t e) < q$ ，BGV将 $\varphi_s(c)=b-as=m+te$ 这一项称作噪声，一个很重要的条件就是噪声的大小要 $< q$ 。如果是一个中心取模的方案，还要额外地要求噪声的大小 $<\frac{q}{2}$ 。

Modulus Switching

注：后面的符号表示都是针对基于RLWE的BGV方案了。

感觉BGV里面最核心的技术应该就是Modulus Switching了，因为只有这个方案这么用，像Key Switching那种，基本所有同态方案都有使用。

为什么需要MS

首先，Modulus Switching是干什么的，直观上理解，modulus switching是将一个密文模数 $q$ 转换到另一个密文模数 $q^{'}$ 上。

但这样有什么用处呢？
那首先要看一下乘法的密文噪声：
前面我们已经定义了，所谓的噪声就是 $\varphi_s(c)=(m+te)$ ，对于两个不同的密文， $c_1 = Enc(m_1),c_2=Enc(m_2)$ ， $\varphi(c_1)=m_1+te_1,\varphi(c_2)=m_2+te_2$ 。两个的乘法的噪声为 $\varphi(c_1c_2) = \varphi(c_1)\cdot \varphi(c_2)=(m_1+t e_1)(m_2+te_2) \\ =\underbrace{m_1m_2}_{<t^2} +\underbrace{t(m_1e_2+m_2e_1)}_{<t^2|e|}+\underbrace{t^2e_1e_2}_{<t^2|e|^2}$
可以看到相比原来的噪声大小 $\varphi(c)=\underbrace{m+te}_{<t|e|}$ ，
乘法之后的噪声是翻倍了。而如果我们需要正确解密的话，需要噪声大小 $\varphi(c)<q//(\varphi(c)<q/2)$ 。假设我们初始的噪声大小为 $t ∣ e ∣ = B$ ，则乘法之后的噪声大小为 $B^2$ ，再进行一次乘法变为 $B^4$ ，进行 $\ell$ 次乘法之后噪声大小为 $B^{2^\ell}$ 。若要求 $B^{2^\ell}<q$ ，则最多做 $\ell\approx \log_2(\log_B(q))-1$ 次乘法。
如何减少这种噪声的扩张呢？，其实BGV，BFV，CKKS给出了三种不同的解决方法，其中BGV和CKKS比较类似，都是把密文和模数同时减少（区别在于，CKKS缩小完模数之后会对明文产生影响，变为一个近似的结果；而BGV不会）。BFV则是一个scale invariant的方法，即模数不会变，通过乘法后除以一个扩张因子来保持噪声规模。
为什么模数减小噪声也会变小：考虑以下情况：
$\varphi(c)=m+te \bmod q,\varphi(\frac{p}{q} c)=\underbrace{\frac{p}{q}m+\frac{p}{q}te}_{<\frac{p}{q}B} \bmod p$
通过对密文整体进行缩放，模数从 $q$ 变为 $p$ ，噪声从 $B$ 变为 $\frac{p}{q}B$ ，那这里疑问就产生了：噪声和模数的比例关系没变啊，还是 $\frac{B}{q}=\frac{\frac{p}{q}B}{p}$ ，为什么说减少了噪声呢？

这里举个例子：比如 $B=2,q=131072,p=\frac{1}{2}q=65536$ 。那么不使用MS的噪声扩张为
$\bmod 131072 \stackrel{multiply}{\to}4 \bmod 131072 \stackrel{multiply}{\to} 16 \bmod 131072\stackrel{multiply}{\to} 256 \bmod 131072\stackrel{multiply}{\to} 65536 \bmod 131072\stackrel{multiply(\times)}{\to} 65536^2 \bmod 131072$
总共能做4层乘法。

如果我们在第一次乘法之后做一个MS，即将 $B\to \frac{p}{q}B$ , $q\to p$ 。则噪声扩张为
$\bmod 131072 \stackrel{multiply}{\to} 4 \bmod 131072\stackrel{MS}{\to} 2 \bmod 65536\stackrel{multiply}{\to} 4 \bmod 65536\stackrel{multiply}{\to} 16 \bmod 65536\stackrel{multiply}{\to} 256 \bmod 65536\stackrel{multiply}{\to} 65536 \bmod 65536$
能做5层乘法。

那再考虑另一种情况，每次乘法完都做一次modulus switching，将 $B\to \frac{1}{2}B,q \to \frac{1}{2}q$ ：
则噪声扩张变为：
$\bmod 131072 \stackrel{multiply}{\to} 4 \bmod 131072\stackrel{MS}{\to} \\2 \bmod 65536 \stackrel{multiply}{\to} 4 \bmod 65536 \stackrel{MS}{\to} \\2 \bmod 32768\stackrel{multiply}{\to} 4 \bmod 32768\stackrel{MS}{\to} \\ 2 \bmod 16384\stackrel{multiply}{\to} 4 \bmod 16384\stackrel{MS}{\to} \\ 2 \bmod 8192\stackrel{multiply}{\to} 4 \bmod 8192\stackrel{MS}{\to} \\ 2 \bmod 4096\stackrel{multiply}{\to} 4 \bmod 4096\stackrel{MS}{\to} \\ 2 \bmod 2048\stackrel{multiply}{\to} 4 \bmod 2048\stackrel{MS}{\to} \\ 2 \bmod 1024\stackrel{multiply}{\to} 4 \bmod 1024\stackrel{MS}{\to}\\ 2 \bmod 512\stackrel{multiply}{\to} 4 \bmod 512\stackrel{MS}{\to}\\ 2 \bmod 256\stackrel{multiply}{\to} 4 \bmod 256\stackrel{MS}{\to}\\ 2 \bmod 128\stackrel{multiply}{\to} 4 \bmod 128\stackrel{MS}{\to}\\ 2 \bmod 64\stackrel{multiply}{\to} 4 \bmod 64\stackrel{MS}{\to}\\ 2 \bmod 32\stackrel{multiply}{\to} 4 \bmod 32\stackrel{MS}{\to}\\ 2 \bmod 16\stackrel{multiply}{\to} 4 \bmod 16\stackrel{MS}{\to}\\ 2 \bmod 8\stackrel{multiply}{\to} 4 \bmod 8\stackrel{MS}{\to}\\ 2 \bmod 4\stackrel{multiply(\times)}{\to} 4 \bmod 4$
总计有15层乘法。

总结：
由此可见，MS不改变噪声和模数的比例关系，但是噪声的扩张速度是被减少了的。每次缩小噪声从而导致模数变小，在BGV里面称作密文到达了下一层，也就如为上面的写法一样，一层拥有对应模数。通过模数缩减可以使原本 $\ell\approx \log_2(\log_B(q)) -1$ 次乘法。变为 $\ell\approx (\log_B(q) -1$ 次乘法。

如何做MS

其实在上面的例子里面已经有设计到如何做MS的问题了，对于一个密文 $c = (a, b)$ 。对于 $L$ 层乘法，取多个 $Q:\{Q_0,Q_1,...,Q_L\}$ ，满足 $Q_{i+1}\approx B\cdot Q_i$ 的关系。
modulus switching：
$\bmod Q_L$ 。

Modulus Switch的结果为 $c^{'}$ ， $c^{'}$ 是距离 $\frac{Q_{L-1}}{Q_{L}}c$ 很接近的一个密文，且要满足 $\bmod t$ 。

那么在 $Q_i =1 \bmod t$ 的情况下， $\phi(c') \bmod t = \phi(c) \bmod t = m$ 。

这里原本的内容有误，感谢评论区指出，本来凭着记忆写了，没去看文章。对如何找这样一个很接近的密文好奇的小伙伴可以看这篇文章。

关于KeySwitching/Relinearization

KeySwitching其实不算是BGV特有的技术，所以不准备放在BGV里面介绍。这里说一下大概的思路。
对于一个用 $s$ 加密的密文 $c$ 来说，他由两部分组成， $(a, b)$ ，其中 $b = a s + m + t e$ 。
如果说我要将这个密文转为由密钥 $s^{'}$ 加密，则我先使用 $s^{'}$ 加密 $s$ ，得到 $ksk=(a_k,b_k)$ 其中 $b_k=a_ks'+s+te_k$ 。
key switch可以理解为得到 $c'=(a',b')=(0,b)-a\cdot(a_k,b_k)=(-a\cdot a_k,b-a\cdot b_k)$ 。
对 $(a^{'}, b^{'})$ 用 $s^{'}$ 解密得到

$\begin{aligned} b'-a's' &=b-a\cdot b_k+a\cdot a_k \cdot s' \\&=b-a(a_ks'+s+te_k)+(a\cdot a_k\cdot s') \\&=b-a(s+te_k) \\&=b-as+ate_k \\&=m+te+ate_{k} \\&=m+te' \end{aligned}$
所以 $c^{'}$ 是一个由 $s^{'}$ 加密的密文。