33、格与密码学：GGH、NTRU 密码系统及卷积多项式环详解

格与密码学：GGH、NTRU 密码系统及卷积多项式环详解

1. GGH 密码系统的局限性

在密码学领域，GGH 密码系统是一个重要的研究对象。假设存在这样一个情况，有向量关系(v = 86w_1 −35w_2 −32w_3)。当 Eve 试图解密 Bob 的消息，而她仅知道公开基(w_1)，(w_2)，(w_3)时，她使用 Babai 算法，得到(e ≈75.76w_1 −34.52w_2 −24.18w_3)。经过四舍五入，得到格向量(v′ = 75w_1 −35w_2 −24w_3 = (−79508353, −35809745, 11095049))，这个向量与(e)有些接近，但它给出的明文((76, −35, −24))是错误的，正确明文是(m = (86, −35, −32))。

通过计算(|e - v|≈5.3852)和(|e - v′|≈472000)，可以明显看出使用公开基的 Babai 算法效果不佳。实际上，GGH 密码系统在三维情况下并不安全，即便使用足够大的数字使得穷举搜索不切实际，但在低维空间中仍存在高效算法来寻找良好的基。例如，在二维空间中，寻找良好基的算法可以追溯到高斯，而对于任意维度的强大推广算法——LLL 算法，能有效解决此类问题。

同时，GGH 是一个概率密码系统，因为单个明文由于随机扰动(r)的选择会产生许多不同的密文。这就带来了潜在风险，如果 Bob 两次使用不同的随机扰动发送相同消息，或者使用相同的随机扰动发送不同消息，都可能导致安全问题。在实际应用中，通常通过对明文(m)应用哈希函数来确定随机扰动(r)。此外，还有一种 GGH 的变体，它颠倒了(m)和(r)的角色，密文形式为(e = rW + m)，Alice 通过计算最接近(e)的格向