信息集译码算法（ISD）

参考文献：

1. [Prange62] Eugene Prange. The use of information sets in decoding cyclic codes. IRE Trans. Inf. Theory 8(5): 5-9 (1962).
2. [Stern88] Jacques Stern. A method for finding codewords of small weight. Coding Theory and Applications 1988: 106-113.
3. [Dumer89] Il’ya Isaakovich Dumer. Two decoding algorithms for linear codes. Problemy Peredachi Informatsii, 25(1):24–32, 1989.
4. [HG10] Nick Howgrave-Graham, Antoine Joux. New Generic Algorithms for Hard Knapsacks. EUROCRYPT 2010: 235-256.

Information Set Decoding

目前求解汉明距离下校验子译码问题的最有效算法是 Information Set Decoding，最早由 [Prange62] 提出。所谓线性码 $C$ 的信息集，就是一个指标集 $J\subseteq [n]$，满足 $|J|=k$ 以及 $|C_J|=2^k$，其中 C J : = { c J ∣ c ∈ C } C_J := \{c_J \mid c \in C\} CJ​:={cJ​∣c∈C}。系统型生成矩阵满足 $G_J=I_k$，系统型校验矩阵满足 $H_{J^C}=I_{n-k}$，这里 $J^C$ 表示补集。

给定一个 SD 问题实例 $(H,s:=e{H}^T)$，其中 $H\in {\mathbb{Z}}_2^{(n-k)\times n}$，以及 $e\in {\mathbb{Z}}_2^n$ 满足 $wt(e)\le w$，那么 ISD 的基本步骤是，

1. 找出（随机的）可逆矩阵 $U\in {\mathbb{Z}}_2^{(n-k)\times (n-k)}$ 和置换矩阵 $P\in {\mathbb{Z}}_2^{n\times n}$（正交矩阵，$P{P}^T=P^{T}P=I$），将 $H$ 变换为 quasi-systematic form，
   $$UHP=\tilde{H}=\left[\begin{array}{cc}{I}_{n-k-l}& H_1\\ 0& H_2\end{array}\right]$$

2. 那么未知的 $e$ 被转换为 $e{P}^T=(e_1,e_2)\in {\mathbb{Z}}_2^{n-k-l}\times {\mathbb{Z}}_2^{k+l}$，并且满足
   $$\begin{array}{rl}{e}_1+e_2{H}_1^T& =s_1\\ e_2{H}_2^T& =s_2\end{array}$$
   其中 $s{U}^T=(s_1,s_2)\in {\mathbb{Z}}_2^{n-k-l}\times {\mathbb{Z}}_2^l$ 是已知的

3. 在第二个方程的解空间中枚举 $e_2$，然后计算 $e_1=s_1-e_2{H}_1^T$，检查条件 $wt(e_1,e_2)\le w$ 是否被满足

Stern/Dumer algorithm

[Stern88] 和 [Dumer89] 引入了 meet-in-the-middle 策略，进一步将 $e_2$ 和 $H_2$ 拆分为两段，构建两个列表
$$\begin{array}{rl}{L}_1& :=\left\{\left(x_1,x_1{H}_2^{(1)}\right)\mid x_1\in {\mathbb{Z}}_2^{\lfloor (k+l)/2\rfloor }\right\}\\ L_2& :=\left\{\left(x_2,s_2-x_2{H}_2^{(2)}\right)\mid x_2\in {\mathbb{Z}}_2^{\lceil (k+l)/2\rceil }\right\}\end{array}$$
然后找到一对 $(x_1,x_2)$，使之发生碰撞 $x_1{H}_2^{(1)}=s_2-x_2{H}_2^{(2)}$，那么就获得了 $e_2=(x_1,x_2)$ 满足 $e_2{H}_2=s_2$，然后继续计算 $e_1$ 并判断 $wt(e)\le w$ 是否满足

Representation Technique

[HG10] 提出的表示技术，其思路是写出 $e_2=e^{(1)}+e^{(2)}$，其中 $e^{(1)},e^{(2)}\in {\mathbb{Z}}_2^{k+l}$ 的重量为 $w^{\ast }\ge w_2/2$（可能相消，需更大），使得两者加和的重量为 $w_2$（假设 $wt(e_2)=w_2$）

构造两个列表，
$$\begin{array}{rl}{S}_1& :=\left\{\left(e^{(1)},e^{(1)}{H}_2\right)\mid e^{(1)}\in {\mathbb{Z}}_2^{k+l},wt(e^{(1)})=w^{\ast }\right\}\\ S_2& :=\left\{\left(e^{(2)},s_2-e^{(2)}{H}_2\right)\mid e^{(2)}\in {\mathbb{Z}}_2^{k+l},wt(e^{(2)})=w^{\ast }\right\}\end{array}$$
然后找到一对 $(e^{(1)},e^{(2)})$，使之发生碰撞 $e^{(1)}{H}_2=s_2-e^{(2)}{H}_2$，那么就得到了 $e_2=e^{(1)}+e^{(2)}$ 满足 $e_2{H}_2=s_2$，然后判断 $wt(e_2)=w_2$ 是否成立

Cost

对于 $S{D}_{n,k,w}$ 实例，ISD 算法的开销为
$$W{F}_{ISD}(n,k,w)=2^{c\cdot w\cdot (1+o(1))}$$
其中 $c=\log \frac{1}{1-R}$，这里 $R=k/n$