基于编码的密码方案：McEliece、Niederreiter

McEliece PKC

令$(n,k{)}_q$线性码$\mathcal{C}$可以纠正$t\ll n$位错，$G\in GF(q{)}^{k\times n}$是生成矩阵，令$D_{\mathcal{C}}$是有效解码算法，令$G_J\in GF(q{)}^{k\times k}$是$G$的可逆子方阵。

• $Gen$：令$S\in GF(q{)}^{k\times k}$是非奇异混淆矩阵（可逆方阵），$P\in GF(q{)}^{n\times n}$是置换矩阵（每行每列恰存在一个$1$，其余皆$0$），输出私钥$(S,D_{\mathcal{C}},P)$，输出公钥$(G^{\prime }:=SGP,t)$

• $Enc$：输入明文$m\in GF(q{)}^k$，随机选择$e\in GF(q{)}^n$且保证$wt(e)=t$，输出密文
  $$c=m{G}^{\prime }+e\in GF(q{)}^n$$

• $Dec$：输入密文$c$，首先计算
  $$c{P}^{-1}=(mS)G+e{P}^{-1}$$
  然后纠错$(mS)G=D_{\mathcal{C}}(c{P}^{-1})$，并恢复数据字$mS=D_{\mathcal{C}}(c{P}^{-1})\cdot G_J$，最后输出明文
  $$m=D_{\mathcal{C}}(c{P}^{-1})\cdot G_J\cdot S^{-1}$$

格（lattice）上的应用：基于BDD问题的GGH加密方案

• $Gen$：格$L\subset R^n$，公钥是“坏”格基$B$，私钥是“好”格基$S$
• $Enc$：利用格基$B$，将消息m编码到随机格点$v\in L$（例如$v=Bm$），添加小的错误$e\in R^n$，输出$c=v+e$
• $Dec$：利用格基$S$，从$c$中恢复$v$（纠错），然后解码得到消息m

Niederreiter PKC

令$(n,k{)}_q$线性码$\mathcal{C}$可以纠正$t\ll n$位错，记$r=n-k$，$H\in GF(q{)}^{r\times n}$是校验矩阵，令$D_{\mathcal{C}}$是有效解码算法。

• $Gen$：令$S\in GF(q{)}^{k\times k}$是非奇异混淆矩阵（可逆方阵），$P\in GF(q{)}^{n\times n}$是置换矩阵（每行每列恰存在一个$1$，其余皆$0$），输出私钥$(S,D_{\mathcal{C}},P)$，输出公钥$(H^{\prime }:=SHP,t)$

• $Enc$：输入明文$m\in GF(q{)}^l$，做可逆映射$\varphi (m)=e\in GF(q{)}^n$且保证$wt(e)=t$，输出密文
  $$c=H^{\prime }{e}^T\in GF(q{)}^r$$

• $Dec$：输入密文$c$，首先计算校验子
  $$S^{-1}c=H(P{e}^T)$$
  然后做校验子解码$P{e}^T=D_{\mathcal{C}}(S^{-1}c)$，并做逆置换得到错误$e$，最后输出明文
  $$m={\varphi }^{-1}(P^{-1}{D}_{\mathcal{C}}(S^{-1}c))$$

安全性

置换等价（permutation-equivalent）：我们说两个线性码$C,C^{\prime }$是置换等价的，如果存在一个置换$\sigma$，使得
C ′ = σ ( C ) = { ( x σ − 1 ( i ) ) i ∈ I : ( x i ) i ∈ I ∈ C } C'=\sigma(C)=\{ (x_{\sigma^{-1}(i)})_{i \in I}: (x_i)_{i \in I} \in C \} C′=σ(C)={(xσ−1(i)​)i∈I​:(xi​)i∈I​∈C}
McEliece问题：对于某类线性码$\mathcal{C}$，给定公钥$(G^{\prime },t)$以及密文$c\in GF(q{)}^n$，寻找唯一的明文$m\in GF(q{)}^k$，使得$wt(m{G}^{\prime }-c)=t$

很明显，如果可以求解 Syndrome Decoding 问题，那么我们就解决了上述问题。但反之不正确，因为${\mathcal{C}}^{\prime }=<G^{\prime }>$并非随机码，而是一个已知码类的置换等价，解决 McEliece 问题就可以在特定的码类里解决一般解码问题。我们假设 McEliece 问题属于$NP$类。

Code Equivalence：给定$GF(q)$上两个生成矩阵$G_1,G_2$，判断分别由它们张成的线性码$C_1,C_2$是否是置换等价的。

有文章证明，上述的码等价问题比图同构问题（graph isomorphism problem）更难，同时如果$P\ne NP$则它不属于$NPC$类。

所有的拥有有效纠错算法的码都有良好的代数结构。对于大多数码，关于正规生成矩阵的知识（the knowledge of the canonical generator matrix）将导致一个有效的纠错算法（canonical generator的定义作者没找到╭(╯^╰)╮）。在 McEliece PKC 中的置换矩阵$P$用于隐藏线性码的代数结构，因为大多数码的结构与位置有关。

Niederreiter PKC 是McEliece PKC的对偶变体（dual variant），两者的安全性等价，一个敌手如果可以攻破其中一个那么就同时攻破另一个。