lattice学习笔记（一）

格的历史

公钥密码学的安全性都建立在数学问题的困难性上，但量子计算的不断发展，意味着从理论上，基于大整数分解的RSA方案、基于离散对数问题的Diffie-Hellman等方案都不再安全。而格密码学将成为候选抗量子计算攻击的密码学方案。因此，未来对于格密码学的研究势必会越来越深入。

研究格的代表人物有 Lagrange，Gauss 和 Minkowski 等等。最近的几十年内，Lattice 在密码学、通讯、密码分析上有了很大的应用价值，是非常火的一个领域。

近代 Lattice 时间线：

• 1982：LLL basis reduction theorem 使用 Lattice 进行 Cryptanalysis
• 1996：Ajtai-Dwork 第一次把 Lattice 中 Average-case 与 Worst-case 的复杂度问题关联起来；提出了使用 Lattice 构造的 One-way Function 与 CRHF （Collision Resistant Hash Function）
• 2002：找到了 Average-case/worst-case 复杂度之间的关系，基于 Lattice的协议变得更加高效
• 2005：Regev 提出了 LWE，并且发现其量子抵抗性；提出 PKE，IBE，ABE，FHE 等等的可能性

格的定义

在数学中有两个完全不同的对象都称为格。Lattice的本质就是高维空间中几何学和代数学的组合。我们现在说的格是定义为向量空间的离散子空间Rⁿ。

格是 m 维欧式空间 R^m的n（m>=n）个线性无关向量 b_i(1<=i<=n)的所有整系数的线性组合，即
这里 B 就是 n 个向量的集合，我们称

• 这 n 个向量是格 L 的一组基。
• 格 L 的秩为 n
• 格 L 的位数为 m

如果 m=n，那么我们称这个格式满秩的。

格的基本属性

在一个线性空间里面，一个空间的 Determinant （行列式）代表了这个空间所有的基向量所组成的几何体的体积。在二维空间里，两个基向量组成的平行四边形的面积就是这个空间的 Determinant。

同理可得，一个 Lattice 的 Determinant 也是一样的——对应的基向量所组成的 Parallelepiped 的体积。

得注意的是，无论我们怎么更换基向量，Determinant 的大小，即基向量组成的多面体的体积是相同的。给定任意的一组基向量，我们都可以有效的找到这个 Lattice 空间的 Determinant。

我们可以用一个 Lattice 的 Determinant 来衡量这个格的点阵分布的密度。

首先，我们把上一部分基向量组成的多面体的中心挪到原点上来。这样，空间仍然保持相同的体积。

随后，我们可以把这个多面体复制多份，然后平移到每一个 Lattice 中的点上。这样我们就会得到很多份，并且这些多面体可以平分整个多维空间。

此时，我们如果在这个空间中任意的画一个球体（多维空间即超球体），然后可以数数看这个球体中覆盖了多少 Lattice 里的点。点的数量平均于球体的体积，就是这个格的密度了。

这个概念理解起来也非常简单。我们的球体中有多少个 Lattice 的点，其实大概和球体的体积中有多少个的多面体，这两个比例大致相同。

格上的基本问题

与格相关的基本计算性难题有:在格中寻找最短的非零向量和在格中寻找与指定非格向量最为接近的向量。

最短向量问题(SVP): 在格L中寻找一个最短的非零向量,即寻找一个非零向量v∈L,使它的欧几里得范数||v||最小。

最近向量问题(CVP): 给定一个不在格L中的向量w∈R^m,寻找一个向量v∈L,使它最接近w,即寻找一个向量v∈L,使欧几里得范数 ||w一v||最小。

要注意的是,在格中可能存在不止一个最短的非零向量。例如，在Z²中，(0,土1)和(士1,0)这四个向量都是SVP的解。这就是为什么在问题的描述中指出“寻找一个向量"而不是说“寻找这个向量”。这种情形同样适用于CVP。

对SVP进行求解可以用于攻破多种密码系统，随着格的维度n的增加，在计算上也越来越难解。一般来说,CVP被认为是NP难问题，SVP在特定的“随机归约假设”下也被认为是NP难问题。在实际应用中,一般认为CVP比SVP"稍微难一点”,因为CVP经常可以被归约成稍微高一点维度的SVP。例如，一个用于解背包密码系统的(n+1)维的SVP可以很容易地转换成n维的CVP。

在理论和应用中，还有一些很重要的SVP和CVP的变形形式。

最短基问题(SBP)： 寻找格的一个基v₁，v₂，···，v_n，使它在某些情况下最短。例如，使下式最小：

近似最短向量问题(apprSVP)： 给定格 L，找到格 L 中的非零向量 v 使得对于格中的任意其它非零向量 u，||v||<=γ||u||

近似最近向量问题(apprCVP)： 和apprSVP类似,只不过要找的是对CVP的近似解，而不是对SVP的近似解