基于格的IBE（入门学习）

0、矩阵知识点

（1）对于 $m\times n$ 矩阵A，记作$ColA$，
（2）维数 dimH ：非零子空间H的维数（dimH）是H的任意一个基的向量个数
（3）秩 rankA：矩阵A的秩（rankA）是A列空间的维数，也就是矩阵A主元列的个数

一、Lattice（格）

1、格的定义

定义 1： Lattice是${\mathbb{R}}^n$空间中的一个离散的、具有加法运算的子群。

定义 2： 格是$m$ 维欧氏空间 $R^m$ 的 $n(m\ge n)$ 个线性无关向量组 $b_1,b_2,\dots ,b_n$ 的所有整系数线性组合，其整系数组合构成的集合称为格。 即： L ( B ) = { ∑ i = 1 n x i b i : x i ∈ Z , i = 1 , 2 , … , n } \mathcal L(B)=\left \{ \sum_{i=1}^{n}x_{i}b_{i}:x_{i}\in \mathbb{Z} ,i=1,2,…,n \right \} L(B)={∑i=1n​xi​bi​:xi​∈Z,i=1,2,…,n}， 其中向量组 $b_1,b_2,\dots ,b_n$ 称为格的一组基，同一个格可以用不同的基表示。

---

$m$ 称为格的维数，$n$ 称为格的秩。当$m=n$ 时，该格为满秩格。 我们通常选用的格均为满秩格。

2、格的延展空间

格基实系数组合生成的空间称为格的延展空间。（区别于前面定义的整数）：
s p a n ( L ( B ) ) = s p a n ( B ) = { B a ∣ a ∈ R n } span(L(B)) = span(B) =\{Ba | a \in R^n\} span(L(B))=span(B)={Ba∣a∈Rn}
满秩格的延展空间是整个n维空间

3、Lattice的基本属性：

（1）det($\mathcal{L}$) = $\sum _i{b}_i\cdot [0,1)=vol(\mathcal{P}(B))$

代表 格$\mathcal{L}$ 的行列式将单位立方体映射到由向量基底 $B$ 张成的区域的体积。无论我们怎么更换基向量，Determinant的大小，即基向量组成的多面体的体积是相同的。

（2） Lattice的密度： 格的密度是指格点在空间中的分布密度，可以通过单位体积内的格点数来衡量。计算密度时，通常考虑单位立方体或一个大球体中的格点数 $S$，然后除以该区域的体积 det($\mathcal{L}$)

---

整数格中单个平行多面体内只有一个格点

---

（3） 最短距离： 用${\lambda }_i$ 代表格中点与点之间的最短距离。$({\lambda }_1\le {\lambda }_2\le \cdots \le {\lambda }_n)$

一般为了方便理解，我们就把其中的一个点设置成坐标轴0点，然后${\lambda }_1$就变成了距离0点距离最近的格点。

（4）覆盖半径：

对 $n$ 维格, 以格点为球心，$r$ 半径做 $n$ 维球, 能覆盖整个空间的最小 $r$ 称作覆盖半径。
严格地说，若我们定义空间中点到格的距离（Distance function）：

$$\mu (t,\mathcal{L})=\underset{x\in \mathcal{L}}{\min }\Vert t-x\Vert$$

那么覆盖半径（Covering radius）：

$$\mu (\mathcal{L})=\underset{t\in span(\mathcal{L})}{\max }\mu (t,\mathcal{L})$$

---

以格点为圆心画圆，直至所有空间被覆盖的时候，圆的半径的值即为覆盖半径。

---

（5） 格的平滑： 在格上引入噪音或随机扰动，以使格的统计特性更均匀或“平滑”。

对每个格点叠加随机噪音，噪音的分布特性相同，而具体每个格点的噪音值是随机的、不同的。

二、Lattice计算问题

1、最短向量问题(Shortest Vector Problem, SVP)

给定格 $\mathcal{L}$，找一个非零格向量 $v$，满足：
∀ u ∈ L ∖ { 0 } , ∥ v ∥ ≤ ∥ u ∥ \forall u \in \mathcal L\setminus \left \{ 0 \right \} ,\left \| v \right \| \le \left \| u \right \| ∀u∈L∖{0},∥v∥≤∥u∥

---

画圆表示最短距离的意义：把其中的一个点设置成坐标轴0点，然后${\lambda }_1$就变成了距离0点距离最近的格点。

2、最近向量问题(Closest Vector Problem, CVP)

给定格 $\mathcal{L}$ 和目标向量 $t\in R^m$，找一个非零格向量 $v$，满足：

∀ u ∈ L ∖ { 0 } , ∥ v − t ∥ ≤ ∥ u − t ∥ \forall u \in \mathcal L\setminus \left \{ 0 \right \} ,\left \| v-t \right \| \le \left \| u-t \right \| ∀u∈L∖{0},∥v−t∥≤∥u−t∥

3、最小整数解问题（Short Integer Solution（SIS））
找到一个向量$z\in {\mathbb{Z}}^m$，使得$Az=0modq$，且 $z$的范数 $||z||$尽可能小。 其中$A\in {\mathbb{Z}}^{n\times m}$ 是给定的矩阵，q是模数。

即 从n维整数空间中随机选取出m个向量，记为$a_1,a_2,\cdots a_m$，然后找出一组非平凡解$z_1,z_2,\cdots z_m$，使得$z_1{a}_1+z_2{a}_2+\cdots +z_m{a}_m=0$

注意符号$Z_q^n$ 代表的是在n维空间中选取出的数据，而右下方的符号q代表的是取模，也就是把向量中的整数，全部模掉q,

SIS问题之所以难，难就难在所有的 z i ∈ { 0 , 1 , − 1 } z_i \in \{0,1,-1\} zi​∈{0,1,−1}，当m很大时，组合的总数 $3^m$ 仍然是一个巨大的数字。随着 m 增加，搜索空间会以指数速度增长，使得穷举搜索变得不可行。那么求解这个问题就会变的非常困难。

4、最短线性无关向量问题（Shortest Independent Vector Problem （SIVP））

5、容错学习问题 （Learning with Errors Problem （LWE））

给定均匀随机生成的矩阵$A\in Z_q^{n\times m}$， 向量$s\in Z_q^m$和 噪声值$e\in Z_q^n$都服从错误分布$\mathcal{X}，b_i=A_{i}s+e$。

三、基于格的密钥交换

（一）基于LWE/RLWE 及其变种问题： 由于 LWE/RLWE 及其变种问题存在误差，因此双方最终协商得到的两个近 似相等的值而不是相同的会话密钥。因此解决“误差问题”是构造抗量子攻击的 密钥交换协议的一个重难点。

（1）2009 年，Katz 等提出使用误差纠错码（error-correcting code，ECC）来解决误差问题

参考

[1] Lattice学习笔记01：格的简介
[2] Lattice学习笔记
[3] 格密码的基础概念（1）
[4] SIS与LWE问题

未完待续~