全同态加密：BFV

参考文献：

1. O. Regev. On lattices, learning with errors, random linear codes, and cryptography. In H. N. Gabow and R. Fagin, editors, STOC, pages 84–93. ACM, 2005. Full version in J. ACM 56(6), 2009.
2. V. Lyubashevsky, C. Peikert, and O. Regev. On Ideal Lattices and Learning with Errors over Rings. In Advances in Cryptology - EUROCRYPT 2010, volume 6110 of Lecture Notes in Computer Science, pages 1–23. Springer, 2010. Full version of the paper available upon request from authors.
3. Z. Brakerski. Fully Homomorphic Encryption without Modulus Switching from Classical GapSVP. IACR Cryptology ePrint Archive, 2012:78, 2012.
4. Fan J, Vercauteren F. Somewhat practical fully homomorphic encryption[J]. Cryptology ePrint Archive, 2012.

Regev Scheme

2009 年，Regev 提出了第一个基于 LWE 的加密方案。方案如下：

LPR Scheme

在 Regev Scheme 中，明文空间是 ${\mathbb{Z}}_2$，使用 most significant bit encoding。我们可以容易地修改它，使得密码方案基于 RLWE 问题，明文空间为 $R_t,t\ge 2$ ，只需把 $\delta =\lfloor q/2\rceil$ 替换为 $\Delta =\lfloor q/t\rceil$ 即可。方案如下：

BFV

Brakerski Scheme

Without Modulus Switching

此方案是基于 LWE 的。对于 Regev Scheme，如果将向量 $s,c$ 写成增广形式，那么有 $<c,s>=q/2\cdot m+e+qI$，其中 $|e|\le E<q/4$，$I\in \mathbb{Z}$ 是个整数，密文 $c$ 的分量取值范围是 $(-q/2,q/2]$

考虑分数密文（fractional ciphertext）$c’=c/q$，那么
$$<c^{\prime },s>=\frac{1}{2}\cdot m+e^{\prime }+I$$

其中噪音 $|e^{\prime }|\le E/q=ϵ<0.25$ 是个小数，密文 $c’$ 的各个分量的取值范围是 $(-1/2,1/2]$

同态加法 $c_{add}=c_1+c_2$，有：
$$\begin{array}{rl}<c_1+c_2,s>& =<c_1,s>+<c_2,s>\\ & =\frac{1}{2}m+(e_1+e_2)\mathrm{mod}1\end{array}$$

同态乘法 $c_{mult}=2\cdot c_1\otimes c_2$，有：
$$\begin{array}{rl}<2\cdot c_1\otimes c_2,s\otimes s>& =2\cdot <c_1,s>\cdot <c_2,s>\\ & =\frac{1}{2}{m}_1{m}_2+2(e_1{I}_2+e_2{I}_1)+e_1{m}_2+e_2{m}_1+2e_1{e}_2\mathrm{mod}1\end{array}$$

其中 $|I_1|,|I_2|$ 的界约为 $\Vert s{\Vert }_1$，所以 $c_{mult}$ 中的噪声的界为 $O(\Vert s{\Vert }_1)\cdot ϵ$。由于 Regev Scheme 中的私钥取自均匀分布，因此 $\Vert s{\Vert }_1\approx nq$，模数 $q$ 是安全参数 $n$ 的指数级。而其他噪声 $e_1{m}_2+e_2{m}_1\le 2tϵ$，$2e_1{e}_2\le 2{ϵ}^2$ 的占比很小。因此，主要噪声就是 $2(e_1{I}_2+e_2{I}_1)$

为了减小噪声，需要要减小私钥的 $l_1$ 范数。我们可以对解密电路做二进制分解（binary decomposition），令 $s={\sum }_j{2}^j{s}^{(j)}$，其中 $s^{(j)}$ 的各个元素是 $s$ 的各个元素的第 $j$ 比特。那么，解密电路化为：
$$\begin{array}{rl}<c,s>& =\sum _j{2}^j<c,s^{(j)}>\\ & =<(c,2c,\cdots ),(s^{(0)},s^{(1)},\cdots )>\end{array}$$

那么，我们就将 $s$ 下的密文 $c$，转化为了 $(s^{(0)},s^{(1)},\cdots )$ 下的密文 $(c,2c,\cdots )$

二进制私钥的 $l_1$ 范数至多是其维度，即 $O(n\cdot \log q)=O(poly(n))$，因此噪声增长是多项式级别的。也就是说，我们不必使用 BGV 中的模切换技术了！

在代码实现时，由于浮点数精度问题，我们将密文放大 $q$ 倍。实质上是用 ${\mathbb{Z}}_q$ 上的整数运算，来模拟 $R/\mathbb{Z}$ 上的浮点数运算：令 $y_i=\lfloor q{x}_i\rceil$，那么
$$\begin{array}{r}{y}_1+y_2\approx \lfloor q(x_1+x_2)\rceil \\ \lfloor (y_1\cdot y_2)/q\rceil \approx \lfloor q\cdot x_1\cdot x_2\rceil \end{array}$$

这样，同态加法为 $c_1+c_2$，同态乘法为 $\lfloor 2/q\cdot c_1\otimes c_2\rceil$

有趣的是，此时的 Brakerski Scheme 的加解密算法与 Regev Scheme 完全一致。

Scale Invariant LHE / FHE

于是，我们可以实现 scale invariant L-homomorphic scheme: BGV 中的计算复杂的 “refresh” 过程，被更简单的 key switching 取代。

本方案中使用 BGV 的向量解压和密钥切换过程，

Brakerski Scheme 如下：

同态运算后，密文中携带的噪声为：

为了实现 L-homomorphic，需要噪声分布 $\chi$ 的界 $B$ 满足：
$$q/B\ge (O(n\log q){)}^{L+O(1)}$$

由于解密电路的深度为 $O(\log n+\log \log q)$，因此为了满足 Bootstrapping 的运算条件，需要
$$q/B\ge (n\log q{)}^{O(\log n+\log \log q)}$$

从而实现出一个 fully homomorphic encryption scheme

Fan-Vercauteren Scheme

Relinearisation

此方案将上述的基于 LWE 的 Brakerski Scheme 移植到了 RLWE 上。

在 LPR 方案中，环 $R=\mathbb{Z}[x]/(f(x))$，一般选取 $f(x)=x^{2^n}+1$ 为分圆多项式。在 FV Scheme 中，做优化 $s,u\leftarrow R_2$（不再取自 $\chi$），其他的与 LPR 相同。

密文形如 $c=(c_0,c_1)\in R^2$，密钥形如 $s^{\prime }=(1,s)\in R^2$，那么解密过程可以视作是一次函数的求值：
$$<c,s^{\prime }>=c_0+c_{1}s=c(s)=\Delta \cdot m+v+q\cdot r$$

其中 $r\in R$，噪音大小为 $\Vert v\Vert \le 2{\delta }_R{B}^2+B$，这里
δ R = m a x { ∥ a ⋅ b ∥ ∥ a ∥ ⋅ ∥ b ∥ :   a , b ∈ R } \delta_R = max\{ \frac{\|a \cdot b\|}{\|a\| \cdot \|b\|}:\, a,b \in R\} δR​=max{∥a∥⋅∥b∥∥a⋅b∥​:a,b∈R}

是扩张因子（expansion factor of $R$），其中的 $\Vert a\Vert ={\max }_i|a_i|$ 是无穷范数。

同态加法就是多项式加法 $c{t}_{add}=c{t}_1+c{t}_2$，那么
$$[(c{t}_1+c{t}_2)(s){]}_q=\Delta \cdot [m_1+m_2{]}_t+v_3$$

这里噪声 $\Vert v_3\Vert$ 的增长是线性的。

同态乘法就是多项式乘法 $c_{mult}=t/q\cdot c{t}_1\cdot c{t}_2$，那么
$$[(t/q\cdot c{t}_1\cdot c{t}_2)(s){]}_q=\Delta \cdot [m_1\cdot m_2{]}_t+v_3$$

这里噪声 $\Vert v_3\Vert$ 的增长因子粗略的是 $2\cdot t\cdot {\delta }_R^2\cdot \Vert s\Vert$

类似于 BV 方案的张量积让密文规模扩大，需要执行密钥切换过程，以降低其规模。在 FV 方案中的多项式乘积让密文的成为二次函数。我们需要执行重线性化（Relinearisation）过程，使得密文保持为一次多项式：令 $ct=[c_0,c_1,c_2]$，寻找 $c{t}^{\prime }=[c_0^{\prime },c_1^{\prime }]$，使得
$$[c_0+c_1\cdot s+c_2\cdot s^2{]}_q=[c_0^{\prime }+c_1^{\prime }\cdot s+r{]}_q$$

要保证噪声的无穷范数 $\Vert r\Vert$ 很小。可以设置重线性化密钥（relinearisation key）为：
$$rlk=([-(a_0\cdot s+e_0)+s^2{]}_q,a_0)$$

其中 $e_0\leftarrow \chi$，$a_0\leftarrow R_q$。注意到 $rlk[0]+rlk[1]\cdot s=s^2+e_0$，那么令
$$c{t}^{\prime }=(c_0+rlk[0]\cdot c_2,c_1+rlk[1]\cdot c_2)$$

得到 $r=e_0\cdot c_2\in R$，但是由于 $c_2\in R_q$，所以噪声 $r$ 过大。需要降低 $\Vert c_2\Vert$ 或者 $\Vert r\Vert$

方案一

将 $c_2$ 做 $T$ 进制分解，从而降低范数 $\Vert c_2\Vert$，令 $c_2={\sum }_{i=0}^{l-1}{T}^i\cdot c_2^{(i)}$，其中 $l=\lceil {\log }_T(q)\rceil$

对应的，设置重线性化密钥为：
$$rlk=\{([-(a_i\cdot s+e_i)+T^i\cdot s^2{]}_q,a_i):i=0,1,\cdots ,l-1\}$$

那么，新密文是
$$c_0^{\prime }={\left[c_0+\sum _{i}rlk[i][0]\cdot c_2^{(i)}\right]}_q,c_1^{\prime }={\left[c_1+\sum _{i}rlk[i][1]\cdot c_2^{(i)}\right]}_q$$

此时，$r={\sum }_i{c}_2^{(i)}\cdot e_i$，base $T$ 越小，则范数 $\Vert r\Vert$ 越小，但 $rlk$ 越大，计算速度也越慢。注意到重线性化所引入的噪声 $r$ 独立于密文噪声，为了保持良好的同态能力，应使得 $r$ 不大于做密文噪声太多。

Dynamic Relinearisation：选取一个尽可能小的 $T$ 计算出 $rlk$，如果多次乘法后密文的噪声增大，那么就可以从中提取出恰当的 $T^k$ 的 $rlk$，来加速重线性化过程。

方案二

使用模切换，在一个大的模 $p\cdot q$ 上运算，然后使用除法降低范数 $\Vert r\Vert$，令重线性化密钥为：
$$rlk=([-(a_0\cdot s+e_0)+p\cdot s^2{]}_{p\cdot q},a_0)$$

其中 $a_0\leftarrow R_{p\cdot q}$，$e\leftarrow {\chi }^{\prime }$，这里的分布 ${\chi }^{\prime }\ne \chi$ 是新分布。如果 $p\cdot q=q^k,k\in \mathbb{R}$，$\Vert \chi \Vert <B$，那么需要 $\Vert {\chi }^{\prime }\Vert =B_k>{\alpha }^{1-\sqrt{k}}\cdot q^{k-\sqrt{k}}\cdot B^{\sqrt{k}}$，$\alpha \approx 3.758$ 是常数，以保证安全性不损失。

那么，
$$c_0^{\prime \prime }={\left[\lfloor \frac{c_2\cdot rlk[0]}{p}\rceil \right]}_q,c_1^{\prime \prime }={\left[\lfloor \frac{c_2\cdot rlk[1]}{p}\rceil \right]}_q$$

容易验证 $c_0^{\prime \prime }+c_1^{\prime \prime }\cdot s=c_2\cdot s^2+r$，那么新密文就是 $c{t}^{\prime }=(c_0+c_0^{\prime \prime },c_1+c_1^{\prime \prime })$，其中 $\Vert r\Vert <\frac{q\cdot B_k\cdot {\delta }_R}{p}+\frac{{\delta }_R\cdot \Vert s\Vert +1}{2}$，整数 $p$ 越大，那么范数 $\Vert r\Vert$ 越小，但计算速度越慢。

Dynamic Relinearisation：选取一个足够大的 $p$ 计算出 $rlk$，如果多次乘法后密文的噪声增大，那么可以从中提取出 $p^{\prime }|p$ 的 $rlk$，来加速重线性化过程。

SHE / FHE

我们可以实现基于 RLWE 的 somewhat homomorphic encryption scheme，

同态运算后，密文中携带的噪声为：

为了实现 L-homomorphic，需要噪声分布 $\chi$ 的界 $B$ 满足：
$$4\cdot {\delta }_R^L\cdot (\delta +1.25{)}^{L+1}\cdot t^{L-1}<\lfloor \frac{q}{B}\rfloor$$

为了实现 FHE，只需使得解密电路的深度小于 $L$ 即可。环 $R_q$ 上的多项式运算的深度，计算挺麻烦的，没仔细看 \（￣︶￣）/