26、格密码学的几何应用：从基础到实践

格密码学的几何应用：从基础到实践

1. 格密码学概述

格密码学是一个年轻且快速发展的领域，有着广泛的应用。其许多加密构造不仅能用矩阵和不可区分性来描述，还具有自然的几何解释。这些构造的安全性可基于函数 (f_A) 的单向性，或 SIVP 在经典或量子算法下的最坏情况难度来分析和证明。

2. 哈希函数

2.1 哈希函数基础

哈希函数是一种（带密钥的）函数，它能将长输入字符串压缩成较短的摘要，并且具有抗碰撞性，即很难找到两个不同的输入 (x \neq y) 使得 (f(x) = f(y))。对于单射函数，抗碰撞性是显然的，因此可以认为 (f_A) 是伪单射的。

2.2 (f_A) 的抗碰撞性

考虑 (A \in Z_q^{k \times m}) 和输入 (x \leftarrow D_{c\sqrt{qk/n}}) 的函数 (f_A)。当 (A) 随机选取时，定理 6 的证明表明 (f_A) 不仅是单向的，而且是抗碰撞的。当 (c < 1) 时，函数 (f_A) 大概率是单射的，不存在碰撞；当 (c > 1) 时，虽然 (f_A) 不再是单射，但对于定理 6 的参数，它仍然是抗碰撞的。直观上，对这些参数求 (f_A) 的逆对应于 ADD 问题，而寻找碰撞对应于找到长度为 (O(\sqrt{nqk/m}) \approx \lambda_n) 的短向量 (\Lambda_q^{\perp}(A))。由于 ADD 和 SIVP 是等价问题，所以这两个问题的复杂度大致相同。

2.3 格基哈希函数的效率

传统哈希函数通常采用特殊方法设计，缺乏安全证明。基于格的函数