Falcon算法：Chapter 2 设计原理（入门级讲解）（2）FALCON的NTRU简介与快速傅里叶采样

网安菜13

已于 2025-01-15 16:04:12 修改

阅读量1.7k

点赞数 34

分类专栏：后量子密码文章标签：密码学

于 2025-01-04 21:09:22 首次发布

本文链接：https://blog.csdn.net/qq_49833809/article/details/144827389

版权

后量子密码专栏收录该内容

5 篇文章

订阅专栏

前文内容提过不再赘述，如术语未解释的一部分可以查看：
Falcon算法：Chapter 1 简介（入门级讲解）
Falcon算法：Chapter 2 设计原理（入门级讲解）（1）FALCON的GPV框架简介

2.3 NTRU格

为了紧凑型，我们使用NTRU格，且该格经过20年沉淀，安全性很靠谱。

2.3.1 NTRU格简介

给定 $\phi=x^n+1, n=2^k,q\in \mathbb{N}^*$ 。NTRU秘密集包含四个多项式 $f,g,F,G\in \mathbb{Z}[x]/(\phi)$ ，他们满足等式： $\ mod \phi$
当 $f$ 可逆时，给出 $h=g\cdot f^{-1}\ mod \ q$ 。（h,f,g,F,G都是整数环上的多项式，但是h是系数还要模q）。
通常 $h$ 是公钥， $f, g, F, G$ 是私钥。
我们可以判断矩阵 $\left[\begin{array}{c|c} 1&h\\ \hline 0&q \end{array}\right]$ 和 $\left[\begin{array}{c|c} f&g\\ \hline F&G \end{array}\right]$ 生成相同的格（后者化阶梯行矩阵可以得到前者）。前者是大多项式，后者是小多项式（前者是坏格基，后者是好格基，好格基才能求出能用的近向量，也就是前文的GPV中的v向量）。
在实践中，即使f,g都很小，得到的h也很难找到另一对f’和g’满足 $h=g'\cdot f'^{-1}\ mod \ q$ 。这个困难性构成了NTRU假设。

2.3.2 GPV实例化

公共基 $\textbf{A}=\left[\begin{array}{c|c} 1&h^*\\ \end{array}\right]$ （作者理解 $h^*$ 为h的共轭转置）。
秘密基 $\textbf{B}=\left[\begin{array}{c|c} g&-f\\ \hline G&-F \end{array}\right]$ ，可以判断 $\textbf{B}\times\textbf{A}^*=0\ mod \ q$ 。
消息m的签名加盐r后是由一对多项式 $s_1,s_2)$ 组成，即 $s_1+s_2h=H(r||m)$ ，由于已知其他可以推出 $s_1$ ，所以我们只将 $r,s_2)$ 作为签名。

2.3.3 选择最优参数

我们的陷门采样器采样的签名的范数与 $||\textbf{B}||_{GS}$ 成比例，这个 $||\textbf{B}||_{GS}$ 表示 $||\textbf{B}||$ 的Gram-Schmidt范数。（第三章有定义，指的是 $\textbf{B}$ 做施密特正交化后的正交基中范数最大的那一个的范数（欧几里得范数））。
先前工作通过启发式和实验的结果表明 $||\textbf{B}||_{GS}$ 在 $||(f,g)||\approx1.17\sqrt{q}$ 时去最小。因此我们在 $\mathbb{Z}_n[x]/(\phi)$ 中以0为中心按离散高斯分布生成f,g，这样f,g的期望能满足在 $1.17\sqrt{q}$ 附近，一旦如此 $||\textbf{B}||_{GS}$ 将非常容易求，当f,g超过该值则重新生成。
准优化. $d e t (B) = f G - g F = q$ ，所以理论下界为 $\sqrt{q}$ 。

2.4 快速傅里叶采样

GPV实例化的另一个部分是陷门采样器，这个东西输入是矩阵 $\textbf{A}$ ，陷门T，目标c，输出一个向量满足 $sA^t=c\ mod \ q$ 。由2.2节可知这等价于找一个 $c_0$ 的最近向量，所以陷门采样器可以指这两个的算法的随意一个。
现在给出以往的陷门采样器，这东西有俩指标，一个当然是效率，另一个则是向量越短（近）越好（短指的是s，近指的是v）。

[Kle00]将矩阵 $\textbf{B}$ 做为陷门，输出向量s的范数与 $||\textbf{B}||_{GS}$ 成比例，这个短够安全，但是时空复杂度为 $O(m^2)$ 。
[Pei10]和前面那个一样，对舍入算法做了一个随机化，这个好处是跟FALCON一样做了一个环上的 $\textbf{B}$ ，时空复杂度 $O (m l o g m)$ ，但他与 $||\textbf{B}||_2$ 成比例（没正交化的范数），因此安全性不行。
[MP12]提出新颖方法，简单有效，但是与NTRU不兼容。
[DP16]提出环上最近平面算法的变体，用了一个递归的方法，与快速傅里叶变换类似，他们称之为快速傅里叶最近平面，这个又快又好又兼容NTRU。

省流：[DP16]最好，就用这个快速傅里叶最近平面算法。下面附原文对比图。
在这里插入图片描述
选择标准差. 采样器的标准差 $\sigma$ 是一个重要参数， $\sigma$ 太低采样器会泄露信息（ $\sigma$ =0直接就为攻击敞开大门）， $\sigma$ 太高则生成的向量不好（不够近或者不够短）导致方案安全性差。
我们的快速傅里叶采样器与[Kle00]的有很多相似之处，其中包括 $\sigma$ 的最优值（足够小的 $\sigma$ ，但不会导致泄露信息）。当 $\sigma \leq1.312||\textbf{B}||_{GS}$ 满足NIST的安全等级和查询次数（ $q_s$ ）的要求。在我们这可以转换为 $\sigma \leq1.55\sqrt{q}$ 。

2.5 安全性

本章暂时不看了，与算法本身无关，后续如有机会再补上。

2.6 参数总结

本章给出参数相互关系，最终参数选择过程在源文件Supporting_Documentation/additional/parameters.py
里（在falcon官网有除原文外其他内容），该文件还给出了密钥恢复和伪造的核心SVP难度。

查询数 $Q_s$ ，目标安全等级 $\lambda$ ，环的指数n. 根据[NIS16]， $Q_s=2^{64}$ ，对于NIST等级I，使用 $\lambda=512$ ，对于NIST等级V，使用 $\lambda=1024$ 。

模整数q. q=12*1024+1=12289

Gram-Schmidt范数 $||\textbf{B}||_{GS}$ . $||\textbf{B}||_{GS} \leq1.17\sqrt{q}$ ，为满足这个条件，f，g的系数由离散高斯分布采样，标准差为 $\sigma_{\{f,g\}}=1.17\sqrt{q/2n}$ 。

签名标准差 $\sigma$ . 签名使用快速傅里叶采样算法按离散高斯分布采样得到（按基为 $\textbf{B}$ ，标准差 $\sigma$ ）。只需满足 $\epsilon\leq 1/\sqrt{Q_s/\lambda}$ 和
$\begin{align*} \sigma &= \frac{1}{\pi}\cdot\sqrt{\frac{log(4n(1+1/\epsilon))}{2}}\cdot1.17\cdot\sqrt{q} \\ &\geq \eta_\epsilon(\mathbb{Z}^{2n})\cdot ||\textbf{B}||_{GS}\\ \end{align*}$
（这块没解释这些 $\eta$ 和 $\epsilon$ 的含义，后面章节可能再到这块的细节会解释）

签名最大范数 $\beta$ . $s_1,s_2)$ 必须满足 $||(s_1,s_2)||^2\leq\lfloor\beta^2\rfloor$ ，具体为 $\beta=\tau_{SIG}\cdot\sigma\sqrt{2n}\quad\tau_{SIG}=1.1$ 我们称 $\tau_{SIG}$ 为签名尾部切割率（tailcut rate）。因为 $s_1,s_2)||$ 的期望是 $\sigma\sqrt{2n}$ ，比 $\tau_{SIG}\cdot\sigma\sqrt{2n}$ 大的都会被拒收。

2.7 优势和局限性。

不展开了，主要就是：
优势：紧凑型，快速的签名生成和验证，在ROM（随机预言机）和QROM（量子随机预言机）上安全，模块化（NTRU格和快速傅里叶采样都是在必要或特殊需求时可以替换的模块），消息恢复模式（有时有用），转换成IBE，极简验签。
局限性：复杂的实现设计，浮点运算（FALCON用53位浮点，对于某些受限设备会不太合适）。