三大密会论文笔记——NTRU: A Ring-Based Public Key Cryptosystem

NTRU（number theory reserach unit/Nth DegreeTruncated Polynomial Ring—N次截断多项式环问题）是设计在多项式环上的公钥密码系统，它基于多项式代数，安全性基于格中寻找最短向量困难问题（SVP）

---

---

基本概念重申

SVP：在格L中寻找一个最短的非零向量v∈L，使它的欧几里得范数||v||最小。
P范数(P norm)：║x║p=(|x1|^p+|x2|p+…+|xn|^p){1/p}
在数学中，欧几里得距离(Euclidean Metric，Euclidean Distance)或欧几里得度量是欧几里得空间中两点间“普通”（即直线）距离。使用这个距离，欧氏空间成为度量空间。相关联的范数称为欧几里得范数。较早的文献称之为毕达哥拉斯度量。
欧几里得范数（Euclidean norm）== 欧式长度（距离） == L2范数 == L2距离
Euclidean norm == Euclidean length == L2 norm == L2 distance == ${\iota }^2$ norm
最大公约数：记为（a，b）
最小公倍数：记为[a，b]
若干个互质数的最小公倍数为它们的乘积的绝对值。

常见范数计算方法：
给定向量x=（x1，x2，...xn）
L1范数 = ||x||1 = 向量各个元素绝对值之和 = x与0之间的曼哈顿距离
L2范数 = ||x||2 = 向量各个元素的平方求和然后求平方根 = x与0之间的欧式距离
Lp范数 = ||x||p = 向量各个元素绝对值的p次方求和然后求1/p次方
L∞范数 = ||x||∞ = 向量各个元素求绝对值，最大那个元素的绝对值

一、NTRU

1.特点

2.Scheme — Key Generation

1. Random chooses 2 polynomials $f,g\in L^g$
   $f$ must satify the additional requirement that it have inverses modulo q and modulo p.
   Denote these inverses by $F_{q}and{F}_p,$that is
   $F_q\ast f=1modq$ $and$ $F_p\ast f=1modp$
2. Public key $h=F_q\ast f=1modp$
3. Secret key $f$
4. Store $F_p$

3.Scheme — Encryption

1. A message $m$ from the set of plaintext $L_m$
2. Random choose a polynomial $\phi \in L_{\phi }$
3. Compute $e=p\phi \ast h+mmodq$

4.Scheme — Decryption

1. First compute $a=f\ast emodq$
   the coefficients of $ain[-q/2,q/2]$.

2. Recovers the message by computing $F_p\ast amodp$

3. $a=f\ast e=p\varphi \ast g+f\ast mmodq$

二、

2.1.Recommended parameters

                               Security  levels

Parameters	Highest	High	Standard	Moderate
p	3	3	3	3
q	256	128	128	128
N	503	347	251	167

//求f_p及f_q
PolynomialMod[
 PolynomialRemainder[(-1 + y^2 + y^3 - y^4 + y^6)^-1, y^7 - 1, y],
  3]
  //f_p = 1 + y + y^2 + y^3 + 2 y^5 + y^6
  PolynomialMod[
 PolynomialRemainder[(-1 + y^2 + y^3 - y^4 + y^6)^-1, y^7 - 1, y],
  41]
  //f_q = 37 + 2 y + 40 y^2 + 21 y^3 + 31 y^4 + 26 y^5 + 8 y^6
Msg = 1 - y + y^2 + y^3  - y^5
ry = -1 + y - y^5 + y^6
Pk = 8 + 37 y + 24 y^2 + 32 y^3 + 6 y^4 + 38 y^5 + 19 y^6
fy = -1 + y^2 + y^3 - y^4 + y^6
Me = 25 + 3 y + 40 y^2 + 2 y^3 + 4 y^4 + 19 y^5 + 31 y^6
Md1 = 40+ y+40 y^2+40 y^3+33 y^4+10 y^5+y^6
Md2 = -1 + y - 1 y^2 - y^3 - 8 y^4 + 10 y^5 + y^6
PolynomialMod[
 PolynomialRemainder[Expand[ry*Pk + Msg], y^7 - 1, y], 41]
 //加密后的消息
 //M_e = 25 + 3 y + 40 y^2 + 2 y^3 + 4 y^4 + 19 y^5 + 31 y^6

PolynomialMod[Expand[fy*Me], 41]
//Md1 = 16 + 38 y + 26 y^2 + 26 y^3 + 14 y^4 + 20 y^5 + y^6 + 24 y^7 + 4 y^8 + 14 y^9 + 14 y^10 + 19 y^11 + 31 y^12

PolynomialMod[
PolynomialRemainder[PolynomialMod[Expand[fy*Me], 41], y^7 - 1, 
 y], 41]
//Md1 = 40+ y+40 y^2+40 y^3+33 y^4+10 y^5+y^6
PolynomialMod[Md1, 3]
//Md2 = 1 + 2 y + 2 y^2 + 2 y^3 + 2 y^4 + 2 y^5 + y^6 + y^8 + 2 y^9 + 2 y^10 + y^11 + y^12
PolynomialMod[PolynomialRemainder[Expand[fp*Md2], y^7 - 1, y], 3]

2.2.Complexity

                                       Complexity

Parameters	Highest
Block of original message in bits	Nlog2§
Message expansion	Logp q-to-1
Public key size in bits	Nlog2(q)
Block of encrypted message in bits	Nlog2(q)
Encryption speed	O(N2)
Private key size	2Nlog2§
Decryption speed	O(N2)