格上困难问题

格

• 以方阵B为基底，格$L(B)$： B ∈ R n × n ,    L ( B ) = { B x ∣ x ∈ Z n } B \in R^{n \times n},\,\,L(B) = \{Bx|x \in Z^{n}\} B∈Rn×n,L(B)={Bx∣x∈Zn}

  • 格$L$是线性空间$R^n$的加法子群 (并非子空间，子空间是连续的)
  • 格$L$是离散的，即$\forall x\in L$，$x$的邻域 { y ∣ ϵ ≥ ∥ y − x ∥ } ∩ L \{y|\epsilon \ge\Vert y-x \Vert\} \cap L {y∣ϵ≥∥y−x∥}∩L上只有$x$本身。

• 给定格$L$的一组基底$B$，任意的幺模矩阵$U\in Z^{n\times n},det(U)=\pm 1$，$BU$也是$L$的一组基底。

• 给定格$L$的一组格基$B$，定义基本平行体：$P(B)={\sum }_i{B}_i\cdot [-0.5,0.5)$，以原点为中心。格的行列式$det(L):=Vol(P(B))=det(B)$；更换基底$BU$，$det(L)$保持不变。

• n维格$L$，定义${\lambda }_i(L),1\le i\le n$是第$i$最短向量的长度。

• $Minkowski$定理：${\lambda }_1(L)\le ({\prod }_i{\lambda }_i(L){)}^{\frac{1}{n}}\le \sqrt{n}\cdot det(L{)}^{\frac{1}{n}}$

• 给定格$L$，定义任一点$t$到最近格点的距离函数为：$\mu (t,L)=\underset{x\in L}{\min }\Vert t-x\Vert$，格的覆盖半径：$\mu (L)=\underset{t\in span(L)}{\max }\mu (t,L)$

• 将线性空间$R^n$模掉格$L$，得到$R^n/L$，其中的元素是格$L$的陪集$c+L\in R^n/L,c\in P(B)$

高斯分布

• 宽度s的高斯函数 (Gaussian function) ${\rho }_s:R^n\to R^{+}$

$$\begin{gathered} {\rho }_s(x):=e^{\frac{-\pi \Vert x{\Vert }^2}{s^2}}=\rho (x/s) \\ =\prod _{i=1}^n{\rho }_s(x_i) \end{gathered}$$

• 高斯函数是初等函数，但没有初等不定积分。其实数轴上积分为：
  $${\int }_{-\infty }^{+\infty }{e}^{-a{x}^2}dx=\sqrt{\frac{\pi }{a}}$$

• 连续高斯分布$D_s$，其概率密度函数为：

$$f(x)={\rho }_s(x)/{\int }_{R^n}{\rho }_s(z)dz=\frac{{\rho }_s(x)}{s^n}$$

• 离散高斯分布$D_{c+L,s}$，格陪集$c+L\subset R^n$，其概率密度函数为：
  $$D_{c+L,s}\propto \{\begin{array}{rlr}{\rho }_s(x)& & ifx\in x+L\\ 0& & ifx\notin x+L\end{array}$$

• 平滑参数${\eta }_{ϵ}(L)$，关于误差$ϵ$，定义为最小的$s>0$使得：${\rho }_{\frac{1}{s}}(L^{\ast })\le 1+ϵ$，其中$L^{\ast }$是$L$的对偶格。

  当$s\ge {\eta }_{ϵ}(L)$，每一个陪集$c+L$的高斯质量${\rho }_s(c+L):={\sum }_{x\in c+L}{\rho }_s(x)$都几乎相同。

• 一个随机变量是**亚高斯 ($Subgaussianity$) **的，是说它的分布以高斯分布为主。一般的，一个随机变量$X$是参数为$s$的亚高斯分布，那么对于任意的$t\ge 0$，都有：
  $$Pr[|X|>t]\le 2e^{\frac{-\pi t^2}{s^2}}$$

格上困难问题

• 最近向量问题 CVP

  给定任意一组格基$B$，给定搜索距离$d$，对于连续空间中任意一点$t\in R^n$，在格$L=L(B)$中寻找格点$Bx\in L$，使得：$\Vert Bx\Vert \le d$

  • BDD问题

    令$d\le {\lambda }_1(L)/2$，CVP问题最多有一个解；若有解$x$，那么$Bx\in L$是距离点$t$最近的格点。

  • ADD问题

    令$d\ge \mu (L)$，CVP问题至少有一个解$x$；但$Bx\in L$不一定是距离点$t$最近的格点。

• 最短向量问题 SVP

  给定任意一组格基$B$，在格$L=L(B)$中寻找非零格点$Bx\in L$，使得：$\Vert Bx\Vert ={\lambda }_1(L)$

• 最短线性无关向量问题 SIVP

  给定任意一组格基$B$，在格$L=L(B)$中寻找n个线性独立的向量 { B x i ,   1 ≤ i ≤ n } \{Bx_i,\, 1 \le i \le n\} {Bxi​,1≤i≤n}，使得：$\underset{i}{\max }\Vert B{x}_i\Vert \le {\lambda }_n(L)$

• 最短整数解问题 SIS

  给定m个随机向量$a_i\in Z_q^n$，按列组合成矩阵$A\in Z_q^{n\times m}$；寻找一个非零向量$z\in Z^m$，$\Vert z\Vert \le \beta$，使得：$f_A(z):=Az={\sum }_i{a}_i{z}_i=0\in Z_q^n$

  • 易知，$z=(q,0,...,0)\in Z^m$是平凡的解；设置$\beta <q$

  • 当$\beta \ge \sqrt{nlogq}$且$m\ge nlogq$时，SIS问题存在解。

  • 非齐次版本$Ax=u\in Z_q^n$，与齐次版本$Ax=0$等价。

• 容错学习问题 LWE

  • LWE分布$A_{s,\chi }$：选定秘密向量$s\in Z_q^n$，随机均匀地选择$a\in Z_q^n$，从离散高斯分布中选择$e\leftarrow \chi$，输出：$(a,b=<s,a>+emodq)\in Z_q^n\times Z_q$

  • $Search-LW{E}_{n,q,\chi ,m}$

    针对均匀随机变量$s\in Z_q^n$，给定m个$A_{s,\chi }$的独立采样$(a_i,b_i)$，寻找$s$

  • $Decision-LW{E}_{n,q,\chi ,m}$

    给定m个独立采样$(a_i,b_i)\in Z_q^n\times Z_q$，这些样本都来自如下两个分布之一：
    1). LWE分布$A_{s,\chi }$，对于固定的均匀随机数$s\in Z_q^n$；
    2). $Z_q^n\times Z_q$上均匀分布。
    区分是哪一种情况。

  • 将m个采样按列组合成矩阵：$A\in Z_q^{n\times m},b\in Z_q^m$，其中$b^t=s^{t}A+e^t(modq),e\in {\chi }^m$

• Ring-SIS

  • 环的嵌入

    • $coefficientembedding\sigma :R\to Z^n$：给定环$R=Z[x]/(f(x))$，$z\in R$ 可表示为$Z[x]$中至多n度的整系数多项式，将多项式系数作为n维向量。

      这是$non-canonical$的，取$a,b\in R$，$\sigma (a+b),\sigma (ab)$与$\sigma (a),\sigma (b)$之间的关系比较松，因为模$f(x)$

    • $canonicalembedding\sigma :R\to C^n$：将每个元素$z\in R$映射到向量 { z ( α i ) } i ∈ C n \{z(\alpha_i)\}_i \in C^n {z(αi​)}i​∈Cn，其中${\alpha }_i\in C$是$f(x)$的n个复数根，$z(\cdot )$是多项式求值。

      这是$canonical$的，取$a,b\in R$，有：$\sigma (a+b)=\sigma (a)+\sigma (b)$，$\sigma (ab)=\sigma (a)\sigma (b)$

  • 环$R=Z[x]/(f(x)),f(x)=x^n-1orf(x)=x^{2^k}+1$是n度多项式环。对于$z\in R$，根据环的嵌入，定义范$\Vert \cdot \Vert$；对于向量 $\overrightarrow{z}\in R^m$，定义$\Vert z\Vert =({\sum }_i\Vert z_i{\Vert }^2{)}^{1/2}$。定义$R_q:=R/qR=Z_q[x]/(f(x))$

  • $R-SI{S}_{q,\beta ,m}$

    给定m个均匀随机元素$a_i\in R_q$，组合成向量$a\in R_q^m$；寻找非零向量$z\in R^m$，且$\Vert z\Vert \le \beta$，使得：$f_a(z):=<a,z>=0\in R_q$

  • 易知，$z=(q\in R,0\in R,...,0\in R)\in R^m$是平凡的解；设置$\beta <q$

  • 当$\beta \ge \sqrt{nlogq}$且$m\ge logq$时，R-SIS问题存在解。

• Ring-LWE

  • Ring-LWE分布$A_{s,\chi }$：选定秘密$s\in R_q$，随机均匀地选择$a\in R_q$，从离散高斯分布中选择$e\leftarrow \chi$，输出：$(a,b=s\cdot a+emodq)\in R_q\times R_q$

  • $Search-R-LW{E}_{q,\chi ,m}$

    针对均匀随机变量$s\in Z_q^n$，给定m个$A_{s,\chi }$的独立采样$(a_i,b_i)$，寻找$s$

  • $Decision-R-LW{E}_{q,\chi ,m}$

    给定m个独立采样$(a_i,b_i)\in R_q\times R_q$，这些样本都来自如下两个分布之一：
    1). R-LWE分布$A_{s,\chi }$，对于固定的均匀随机数$s\in R_q$；
    2). $R_q\times R_q$上均匀分布。
    区分是哪一种情况。