43、防止对GSW的自适应密钥恢复攻击

防止对GSW的自适应密钥恢复攻击

1. 预备知识

在这部分，我们会引入一些符号，并回顾学习误差问题（LWE）。

• 矩阵 - 向量剩余哈希引理 ：设 $\lambda \in Z$，$n \in N$，$q \in N$，且 $m \geq n \log(q) + 2\lambda$。设 $A \stackrel{R}{\leftarrow} Z_q^{m\times n}$ 是均匀采样的矩阵，$r \stackrel{R}{\leftarrow} {0, 1}^m$，$y \stackrel{R}{\leftarrow} Z_q^n$，则 $\Delta((A, A^T \cdot r), (A, y)) \leq 2^{-\lambda}$，其中 $\Delta(A, B)$ 表示分布 $A$ 和 $B$ 之间的统计距离。
• 学习误差分布 ：对于向量 $s \in Z_q^n$（称为秘密），$Z_q^n \times Z_q$ 上的 LWE 分布 $A_{s,\chi}$ 通过以下方式采样：随机均匀选择 $a \in Z_q^n$，选择 $e \leftarrow \chi$，并输出 $(a, b = \langle s, a \rangle + e \pmod{q})$。
• LWE 问题的两种版本 ：
  • 搜索版本（Search - LWE$_{n,q,\chi,m}$） ：给定从 $A_{s,\chi}$ 中抽取的 $m$ 个独立样本 $(a_i, b_i) \