格密码学习笔记（七）：密码学中的q相关格、简介SIS问题和LWE问题

博客已停更

已于 2023-03-17 16:46:31 修改

阅读量1k

点赞数

分类专栏：现代密码学基础文章标签：格密码现代密码学后量子密码

于 2023-03-16 16:50:36 首次发布

本文链接：https://blog.csdn.net/u014134327/article/details/129560523

版权

现代密码学基础专栏收录该内容

22 篇文章 50 订阅

订阅专栏

文章目录

$Q$ -相关格
Ajtai提出的单向函数（SIS）
Regev提出的容错学习问题（LWE）
详细规约证明讲解
致谢

$Q$ -相关格

密码学中通常使用符合以下2个性质的（随机）格 $\Lambda$ 构造具体方案：

$\Lambda \subseteq \mathbb{Z}^d$ 是一个整数格；
$\mathbb{Z}^d \subseteq \Lambda$ 对小整数 $q$ 取模后呈现周期性。

定义（ $q$ -相关格， $q$ -ary lattice） 如果格 $\Lambda$ 满足 $\mathbb{Z}^n \subseteq \Lambda \subseteq \mathbb{Z}^n$ ，则称 $\Lambda$ 是一个 $q$ -相关格。

注：这里的“-ary”有“与…有关”的意思，如果翻译为“阶”感觉怪怪的，如果是 $q$ -阶群，感觉群里得有 $q$ 个元素，但定义里又没有体现。

什么是 $q$ -相关格？举2个例子，对于任意 $\bm{A} \in \mathbb{Z}_q^{n \times d}$ ，有

$\Lambda_q(\bm{A}) = \{ \bm{x} | \bm{x} ~ \mathrm{mod} ~q \in \bm{A}^\top \mathbb{Z}^n_q \} \subseteq \mathbb{Z}^d$
$\Lambda^\perp_q(\bm{A}) = \{ \bm{x} | \bm{Ax} = \bm{0} ~ \mathrm{mod} ~ q \} \subseteq \mathbb{Z}^d$

定理对于任意格 $\Lambda$ ，以下3个 $q$ -相关格判断条件是等价的：

$\mathbb{Z}^d \subseteq \Lambda \subseteq \mathbb{Z}^d$ ；
存在某些 $\bm{A}$ 满足 $\Lambda = \Lambda_q(\bm{A})$
存在某些 $\bm{A}$ 满足 $\Lambda = \Lambda^\perp_q(\bm{A})$

注意： 对于同一个 $\bm{A}$ ，格 $\Lambda_q(\bm{A})$ 和格 $\Lambda^\perp_q(\bm{A})$ 是不同的。而对于一个 $\bm{A} \in \mathbb{Z}^{n \times d}_q$ ，存在 $\bm{A}' \in \mathbb{Z}^{k \times d}_q$ ，使得 $\Lambda_q(\bm{A}) = \Lambda^\perp_q(\bm{A}')$ 。反过来亦如此。

对于同一个 $\bm{A}$ ， $\Lambda_q$ 和 $\Lambda_q^\perp$ 存在放缩对偶关系，即

$\Lambda_q(\bm{A})^\vee = \frac{1}{q} \Lambda^\perp_q(\bm{A})$
$\Lambda^\perp_q(\bm{A})^\vee = \frac{1}{q} \Lambda_q(\bm{A})$

Ajtai提出的单向函数（SIS）

Ajtai在1996年提出了基于 $q$ 相关随机格的单向函数（One-Way Function，OWF），并给出了安全性证明。这里的SIS是Short Integer Solution的缩写。该OWF构造如下图。在这里插入图片描述
定理对于 $\mathrm{lg} ~ q$ ，若SIVP问题在最差情况下依旧是困难的，那么 $f_{\bm{A}}(\bm{x}) = \bm{Ax} ~ \mathrm{mod} ~ q$ 是单向函数。

这里简要给出抗碰撞和单向的证明思路，后续公开课Daniele Micciancio教授有给出详细证明。

$f_{\bm{A}}(\bm{x}) = \bm{Ax} ~ \mathrm{mod} ~ q$ ，这里的 $\bm{x}$ 是一个短向量，即一个二进制向量；
$f_{\bm{A}}$ 的核是 $q$ 相关矩阵 $\Lambda^\perp_q(\bm{A})$ ，注意： $\forall \bm{v} \in \Lambda^\perp_q(\bm{A})$ ，有 $f_{\bm{A}}(\bm{v}) = \bm{0} ~ \mathrm{mod} ~ q$ ；
寻找碰撞 $\big( (\bm{x}, \bm{y}) ~ \text{s.t.} ~ f_{\bm{A}}(\bm{x}) = f_{\bm{A}}(\bm{y}) \big)$ 等价于寻找一个短向量 $\bm{v} = \bm{x} - \bm{y} ) \in \Lambda^\perp_q(\bm{A})$ ，这里相当于求解了 $\Lambda^\perp_q(\bm{A})$ 的SVP / SIVP问题；
对 $f_{\bm{A}}(\bm{x})$ 求逆相当于求解伴随译码格式下的CVP问题，CVP问题的输入为 $\Lambda^\perp_q(\bm{A})$ 和 $\bm{t} \in \bm{x} + \Lambda^\perp_q(\bm{A})$ ，伴随译码的定义可以翻阅《格密码学习笔记（六）：格中模运算》。即已知 $f_{\bm{A}}(\bm{x})$ ，对其求逆得到一个长向量 $\bm{t}$ ， $\bm{t}$ 与 $\bm{x}$ 在 $\Lambda^\perp_q(\bm{A})$ 中对应同一个陪集，找到 $\bm{x}$ ，则 $\bm{t} - \bm{x}$ 即CVP问题的格点解；
若 $f_{\bm{A}}$ 是一个压缩函数，那么 $\bm{x}$ 的长度需要大于 $\frac{1}{2}\lambda_1(\Lambda^\perp_q(\bm{A}))$ （这块个人不怎么理解）。

注意， $\mathsf{SIS} \equiv \text{Approximate} ~ \mathsf{ADD}$ （绝对距离解码）。

Regev提出的容错学习问题（LWE）

Regev在2005年提出Learning With Errors（LWE）。Learning（学习） 这个词常见于机器学习中，一个完整的机器学习方法包括模型和学习算法两部分，这里的“学习”可以理解成“figure out”，即求解出问题的解（从中学到某种知识）。LWE问题定义如下图。

在这里插入图片描述

LWE与SIS看起来有点不一样，但某种程度上这两者之间是对偶关系。在LWE问题中，输入和错误向量 $\bm{e}$ 比SIS的向量短得多，得到的函数是单射的，安全性证明难度更大。

定理若SIVP问题在最坏情况下是困难的，则函数 $g_{\bm{A}}(\bm{s}, \bm{e})$ 在多数情况下难以求逆。

如果 $\bm{e} = \bm{0}$ ，那么 $\bm{As} + \bm{e} = \bm{As} \in \Lambda(\bm{A}^\top)$ ，这里的转置请往上回翻 $\Lambda_q(\bm{A})$ 的定义；
若 $\bm{e} \neq \bm{0}$ ，则相当于求解 $q$ 相关随机格 $\Lambda(\bm{A}^\top)$ 和随机向量 $\bm{t} = \bm{As} + \bm{e}$ 的CVP问题（注意这里没有SIS中的伴随译码形式，所以某种程度上与SIS之间存在对偶关系）；
一般情况下， $\bm{e}$ 的长度小于 $\frac{1}{2}\lambda_1\big(\Lambda(\bm{A}^\top)\big)$ ，且 $\bm{e}$ 是唯一确定的。