forest_LL的博客

本文章主要介绍格密码中所使用的一些基本概念，其中包括：格中基本向量，封闭球内的格点数，半稳定格等等。

本文章主要关注SVP问题的变式，以及它们的关系。其中包含SVP问题，GapSVP问题,uSVP问题。以及旋转格上这些困难问题的理解。

格密码的基础概念（1）-优快云博客本文章将分析论文中最常使用的那些格密码基础知识。首先格基B可以记作：前面讨论的离散高斯分布取样容易吗？已有的研究表明当标准差足够大时，离散高斯分布就很好输出样本：这也揭示出了密码学家很关心标准差所取的大小，由此可得光滑参数的官方定义如下：其中代表对偶格，。同样也说明了光滑参数与标准差s紧密相关。

中，任意两个相邻的格点距离为1，所以其译码半径（unique decoding radius）为1/2.另外，根据格密码的基础概念，格。补充一个有意思的性质：上三角矩阵R的对角线处有个三个元素，其实对应着向量a,B,C的长度（q1,q2,q3标准化前的长度）。众所周知，如果ZSVP问题是困难的，那么就可以设计新的公钥密码方案（public key encryption）。根据矩阵QR分解的理解，以上等式中B'和B是一一对应的。采用正交化的思想，可以将矩阵A变为一个正交矩阵Q，也就是包含3个列向量，记为。

先给一个方便理解的定义。首先第一步对整数格进行旋转；怎么旋转是未知的。接着第二步在旋转后的格上寻找最短的非零向量。这个定义已经很好理解了，再给一个官方定义吧。L。本文章的核心内容主要参考2023年密码学顶会欧密论文：?

发射天线数记为Mt，接收天线数记为Mr。由此发射信号x为向量：接受信号y为向量：信道H为矩阵：利用n代表噪声向量，由此可得MIMO通信系统模型为：y=Hx+n噪声服从复高斯分布，通常假定均值为0，方差为1，如下：发射信号的总功率限定为，由此需要发射信号x的均值满足如下关系：接收端在收到y后，就尝试译码出x，但译码不一定完全正确，所以记为（estimate）：接收端在译码之前通常已知：信号矩阵（channel matrix）H，集合X，y。

当然，穷搜也太傻了。我们采用刚才谈到的二分搜寻法，也就是借助已有的decisional CVP的oracle，确定最终的距离dist(t,L(B))也就只需要2logR步。格基向量的长度是确定的，那么R跟n之间是多项式关系，此算法最多也是多项式形式。也就是给定格（lattice），以及一个目标点，该目标点通常不是格点，我们的目的是找出离其最近的格点，该问题计算上是困难的。其实CVP问题有三种变式情况，第一种就是找到离其最近的格向量，第二种就是找出最近的距离，第三种是判定其距离是否小于某个已知的常数。

在1998年，有关多项式环密码系统NTRU被提出。Ajtai提出了原始的SIS问题。在2002年，Micciancio发现可以将这两者结合，提出了效率更高的密码学上问题，也就是本文章将要介绍的SIS问题，已经对应的函数。在格密码专栏中，我将陆续更新Ring-SIS问题的定义，它与原始SIS问题的关系，其在最坏情况（worst case）下的困难性分析。而且还包含在环结构下，形成一个新的概念叫理想格（ideal lattice）。

已有的研究表明，先从足够大的高斯error中选取，再形成标准的LWE分布，然后再调整更大的维度，再将此分布作为后续search-LWE问题中的ai，那么形成的新问题在信息论（information-theoretically）上是无法解决的。要想证明其安全性的话，也比较直接。在2010年，Goldwasser等人发现，如果限定秘密的模长，或者将关于秘密的很难求逆的函数值（类似单向函数）告诉敌手，该问题的困难性和原始的LWE问题是一样的。只要给与敌手的样本个数为m是有上限的，那么LWE问题依旧是困难的。

在2005年，Regev基于LWE问题提出了一个新的公钥密码方案。该方案可实现语义安全（semantic security），其中误差率（error rate）为：其安全性可利用量子算法归约到近似GapSVP和SIVP问题，其中近似因子取：该方案借鉴了两个工作，一个是1997年Ajtai-Dwork的工作，一个是2003年Regev的工作。但相比之下有两大优点比较突出。优点1：一般性（generality）该方案依赖的最坏（worst case）情况是近似GapSVP和近似SIVP问题。

基于格理论来破解RSA公钥密码（1）-优快云博客基于格理论来破解RSA公钥密码（2）-优快云博客在以上文章中，我们证明了一个非常重要的定理，此处我们来简单回顾一下该定理想表达的内容。令N代表一个整数，f代表“首1”且次数为d的多项式，也就是满足：其中“首1”的含义是最高次数项的系数为1。下标N代表多项式的每个系数均小于N，类似于模N的效果。如果现在我们想求解一个方程为：该方程的本质就是求根。

但是，我们可以将f乘以某个整数，然后再mod N，此过程相当于对系数进行重组，一共有N个整数可以乘，那么应该会存在至少一种结果符合我们的要求，也就是该多项式的系数都相对较小。这样的话，当我们求出多项式g所有的根的时候，也就可以寻找到满足多项式f的小根。很显然，对这些多项式进行整数倍的组合，在mod N下与原始的多项式f的根是一样的。如果没有模运算的话，我们知道f(x)=0的解一定有d个，那么直接找出所有符合的解，并保留整数解，就可以了。在接下来的讨论中，大家可以把d想象成一个很小的常数，比如像d=3这类。

忽略样本数m的变化，借助基本的经典归约，在网络安全领域，decision LWE问题的困难性与search-LWE问题的困难性是类似的，当然此步的归约过程一般是多项式尺寸的模q=poly(n)。通过标准式的格式，我们发现LWE与SIS的标准型很类似，通常来讲，我们会把SIS函数看成满射(surjective)的单向函数，LWE看成单射（injective）的单向函数。借助LWE的oracle，利用多项式时间的量子归约算法可解决最坏情况下的近似GapSVP和SIVP问题。

我们生活中常使用的网络浏览器，智能卡片都有RSA公钥密码的影子。从1977年，RSA密码系统提出，五十年来涌现出了大量的攻击算法。Hastad和Coppersmith创新性的用格密码理论来攻击RSA系统，尤其是公开指数较小的时候。实际上，对于低次数的多项式，可以利用LLL算法来找到其小解。这种思想便可以用来攻击RSA系统。由于智能卡片的运算能力有限，电池供能限制等等，如果在这些系统内部部署RSA时，加密过程的运算我们希望越简单越好。比如可以让以上公开的指数r尽可能小一点，比如r=3等等。

Learning With Errors 简称 LWE，通常翻译为容错学习问题。在2005年，Regev首次提出了平均情况下的LWE问题。类似SIS问题，LWE也可以用来实现加密。这两类问题实际上互为对偶（dual）关系。接下来我们将介绍LWE的困难性以及基于LWE的密码系统。进阶的内容则包含LWE最坏情况的困难性，以及search和decision版本之间的归约。格密码基础：SIS问题的定义与理解-优快云博客。

KZ基的全称叫Korkine-Zolotarev格基，KZ基也被称之为最短的格基。接下来我们介绍什么是KZ基？给定任意秩为n的格，首先第一步寻找其最短的向量，记作，这个就是KZ基的第一个向量。格的扩展空间写做：将此扩展空间垂直投影于向量，形成一个子空间（subspace）。接着将格点投影于此子空间形成新的格点叫做，将此新的格中最短的格向量叫做。以上过程可直接抽象看成：接着寻找满足如下等式的向量：其中的取值如下：由此就可以确定原来的格的第二个格基。根据以上讨论我们发现。

该归约的思路：给定任意n维格L的格基B，已知一个平均情况的SIS的oracle，目标是解决SIVP问题。当分布的方差大于格的光滑参数时，离散的格点就可以变成连续的均匀分布。如果能以不可忽略的概率解决SIS问题，那么就可以在随机的n维格上，解决近似GapSVP和SIVP问题。将此处的S看成一个矩阵。借鉴1996年Ajtai的工作，大量的工作开始研究最坏情况下的SIS问题的困难性。看成固定的常数的话，此时的q已经是最优的了。需要注意的是m和q的值会极大影响SIS问题的困难性，而且根据归约准则，当范数上限。

short interger solution problem短整数解问题，简称SIS问题。1996年，Ajtai首次提出SIS问题，由此设计出了单向函数（one-way function），抗碰撞的哈希函数（collision resistant hash function），身份验证方案（identification scheme），数字签名（digitao signatures）等等。这些在网络安全领域，可以被称之为minicrypt原语。

本文章将解释如何利用随机取整算法（randomized rounding）来找最近的格向量（closest lattice vector），其中最近指的是欧几里得范数（Euclidean norm）最小。将该问题总结如下：给定格基，给出任意向量x（不在格点上），如何采用启发式算法大概率找到离其最近的格点？

前言本文将总结格密码领域可以选择写论文综述的主题。主题1：SVP各变形版本之间的规约证明的最新研究总结SVP: Shortest Vector Problem 最短向量问题计算SVP，优化SVP，判定SVP，任意两者之间可以互相规约计算SVPγ，优化SVPγ，判定SVPγ，任意两者之间可以互相规约备注：需要一定的安全性规约证明的基础主题2：CVP各变形版本之间的规约证明的最新研究总结CVP: Closest Vector Problem 最近向量问题计算C

接下来介绍的算法最早由Klein提出，他将BDD问题的解码半径优化到了：其中k的范围如下：随机化的BDD算法的复杂度为：可以看到当k为常数时，该算法即为多项式时间复杂度。我们知道标准的串行干扰消除算法中会用到就近取整，这一步可以进行优化。

无线通信领域的MIMO可以等效成格密码中的解码问题，本文章将解释两者的关系。

McEliece在1978年提出了基于编码的密码系统（code-based cryptosystem），随后在1997年GGH等人基于格的困难问题提出了一个加密方案和数字签名。相关文献：该方案的实用性很强，但很遗憾是基于启发式的，不具备最坏情况的安全性保证（worst case）。在2006年，对应的签名方案被攻破。但是基于坏基的格密码方案为后续格陷门的设计提供了很好的思路。

计算球的最大格堆积密度相当于在格点中求解最短向量问题（Shortest Vector Problem， SVP） ， 计算球的最小覆盖密度相当于在格点中求解最近格点问题（Closest Vector Problem， CVP）， 两者都是格密码的核心数学难题。格上困难问题是计算复杂性理论的重要研究内容， 基于格的密码方案的可证明安全性依赖格上问题的难解度， 格上许多困难问题在目前已被证明是NP难的， 其中包括最短线性无关向量问题（SIVP） ， 短整数解问题（SIS）。

高斯分布我们都很熟悉，但在格密码中会用到一种特殊的高斯分布，将其取名。

对偶格（dual lattice）也被称之为倒易格（reciprocal lattice）。原来满秩的格写做，其对偶格的定义如下：原来的格点和对偶格的任意（这两个字非常重要）格点相乘为整数即可。原来的格点如果为整数，那么对偶格里有可能会出现小数。此处代表n维实数空间，更准确来讲，对偶格应该在原来格的扩展空间内。那么对偶格更准确的定义，如下：对偶格的右上角经常带“*”,代表格的扩展空间。对偶格的重心在于，向量相乘为整数。当然，对偶格也是一种格，格的一些基本性质对偶格也具有。格和对偶格是成对出现的。

正定矩阵的前提要求是对称矩阵，要求对任意非零向量，满足：正定矩阵在格密码中的应用（知识铺垫）-优快云博客这篇文章告诉我们，满足如下条件的矩阵A即可被称之为正定矩阵：矩阵特征值的和等于对角线元素的和，也就是矩阵的迹，很明显：矩阵特征值的积等于矩阵的行列式，2行2列的矩阵有2个特征值，所以可得：综上可以初步感受到正定矩阵的特征值均为正数。还有另外一个有用的参数，叫矩阵的主元（pivot）。

格密码中有时要求格基矩阵是正定的，本文章将从方程和矩阵角度来解释正定性，辅助格密码的理解。格密码与线性代数-优快云博客对称矩阵一定有实数特征值（real eigenvalue）,本文章尝试在不计算矩阵特征值的情况下，快速判断矩阵特征值是否全为正数，其中涉及三个矩阵的基本概念：矩阵的主元（pivot），行列式，特征值。总结以上我们发现，二阶导数其实可以形成一个对称矩阵。

格密码中有一个原语叫做multilinear map，常应用于code obfuscation，这个领域出现了非常多新设计的困难问题。但这些困难问题有一个致命的弱点，暂时不能实现最坏情况和一般情况的安全归约，所以不被一些密码学家承认。但这其实是一个常见的发展路径，早些年全同态依赖的困难问题也是特殊设计的，只是后来不断发展后可归约到标准的LWE/RLWE困难问题。所以，本文章尝试梳理格密码论文中常用的困难问题之间的关系。具体对问题的解释可以看我之前的博客。SIS短整数解问题SVP最短向量问题。

正式文章之前，有几点需要注意：（1）集合R代表实数，Z代表整数。当k非负时，有限的集合可表示为：（2）向量与矩阵向量在格密码相关的论文中一般用小写加粗字母表示，比如，并且一般代表列向量。当然，则代表行向量。矩阵一般用大写加粗字母表示。一个矩阵可以用很多个列向量表示，如下：与常规线性代数中矩阵不一样，像这种矩阵在格密码中一般代表格基，所以向量的顺序是可以变的，也就是所谓的interchangeably。（3）统计距离（statistical distance）

NTRU是1998年由 Brown大学三位数学家 Silverman、Hoffstein和 Pipher提出的公钥密码算法,将其命名为NTRUEncrypt。该密码算法是基于格的，所以被认为具有抵抗量子计算攻击能力。又因为已知 NTRU公钥求解私钥的问题可规约到相应格中求解最短向量问题。格密码基础：详解最短向量问题（SVP）以及攻击算法_svp加密-优快云博客所以除了利用传统方法对 NTRU 密码安全性进行分析,也可以通过求解格中最短向量恢复 NTRU 密钥.

密码学中的decision问题：从两个不同分布中取一个数，来判断该结果来自于哪个分布。比如这个地方就需要分辨收到的y是情况1还是情况2.密码学中的search问题：给定隐藏超平面问题（hidden hyperplanes problem,HHP），让你求向量s。这两个问题之间可实现归约，也就是所谓的search-decision归约。该方案的语义安全可以归约到HHP问题。紧接着，HHP问题又可以归约到最坏情况下的问题，其中y_iy_i%5Cgammav%5Cin%20L%5Cgamma。

格密码中的很多基础原语都来自于线性代数的基本概念，比如举几个例子：格密码中的非满秩格------------矩阵的秩，矩阵列向量的线性独立性格基正交化过程------------------正交矩阵的性质与变换子格---------------------------------矩阵子空间正交子格---------------------------正交子空间q-ary垂直格-----------------------向量与矩阵列空间垂直。

接着我们可以借助此性质对q-ary垂直格的矩阵A进行扩展，形成新的q-ary垂直格。今天，可以从抽象代数的角度理解格点：m维的格。这个定理的证明需要用到很多线性代数的基础，如果有人感兴趣，后期再补上吧。格密码的基础是研究格点上的困难问题，这种格点使用抽象代数的观点则是。右边代表对矩阵A的变换，看q-ary格的原始定理可直接列出。（在非满秩情况下，格的维度比最大的维度要小）。当然，正常情况下，研究格密码的论文大多是满秩格，也就是常说的。这个是从格点的角度看对偶格，还可以从格基的角度出发。（注意矩阵H的顺序）

傅里叶级数的表达如下：傅里叶级数可以看成无限维度的线性代数。这个过程可以看成将函数f(x)投影成很多的sin与cos，与此同时产生傅里叶系数与反过来，借助无限的sin与cos序列，乘以对应的傅里叶系数，也能够重建原始的函数f(x)。当然，格密码中我们更加关心有限维度的离散傅里叶变换。

有关Renyi散度的基本介绍挺多博客已经写了。本文章主要介绍最基础的概念，以及近些年论文中为啥老喜欢引用这个概念。

比如我们想要描述一个 m 维的 q-ary 格， 我们必须构建一个m维的矩阵才能够清楚得把这个 m 维格的具体结构表达出来， 这需要非常大的空间， 从而影响了基于格的数字签名走向实用化。相似的， 格上的数字签名方案的安全性都可以规约到格上的困难问题， 目前， 已经证明了格上许多困难问题是。给定n个线性独立的向量，把它们转化成n个正交的向量，这个过程就是线性代数中所谓的Gram-Schmidt正交化过程。注意向量正交化已经把格基改的面目全非，正交化后的格基已经不能形成原来的格点，看上面那张图就很清楚了。

在1986年，L.Babai曾提出最近平面算法来解决CVP问题，利用n代表格的秩，该算法的输出近似值如下：CVP问题的六种变式，如下：当时，后三种问题就与前三种一样了。如果解决了计算问题，由于计算、优化和Gap问题三者困难性一样，那么剩下的优化和Gap问题也就可以解决了。最近平面算法可以解决计算CVP问题，且此时，为了简化分析的思路，后续仅仅讨论，通过修改算法相关的参数也可以达到想要的近似值。简单的取整算法就是把给定向量的系数全部直接取整（可以是上取整，也可以是下取整），概算法得到的格点与格基的选择有很大关

目录一. 运算每个正交基过程是多项式时间二. 对原格基的操作都为多项式时间三. 算法总运行时间四. 开放性问题在运算正交基对应的系数时，依据克莱姆定理，可得系数的计算公式如下： 此结果表明为有理数，分母为，此结果是用来计算正交基的，如下：由此可说明，如下两个表达式一定是整数形式：显然易得正交基的下限：由此易得正交基计算的上限如下：此部分主要想证明，在进行约化迭代时，原格基长度不会发生太大改变。 每一步出现的原基向量都可以利用M相关的多项式比特表示。原因可见如下不等式：上式子中第一个等号依据互相垂直可得，第一

一. 约化基令为约化基，可得。当时，结论可化简为。证明：