29、后量子密码硬件与嵌入式系统：格基、同源基密码系统及实现对比

后量子密码硬件与嵌入式系统：格基、同源基密码系统及实现对比

1. 格基密码系统

格基密码学依赖于格上计算问题的困难性，其中最流行的问题基于带误差学习（LWE）、带舍入学习（LWR）和最短向量问题（SVP）。为了加速计算，格可以被赋予一些结构，例如环LWE（RLWE）和模块LWR（MLWR）方案。

在NIST第三轮决赛入围方案中，CRYSTALS - Kyber基于模块带误差学习问题，NTRU是基于最短向量问题的结构化格密钥封装机制（KEM），Saber基于模块带舍入学习问题。对于NIST第三轮替代方案，FrodoKEM基于非结构化的带误差学习问题，NTRU Prime基于与NTRU结构略有不同的最短向量问题。

1.1 最新技术

格方案的实现文献最为丰富。在高性能方面，有对FrodoKEM和Saber进行基准测试的工作，后来还扩展到包括NTRU和NTRU Prime。也有通过优化多项式乘法器实现Saber高速运算的研究，以及针对NTRU的高速实现和FrodoKEM在高性能FPGA上的实现。在轻量级研究方面，有向RISC - V架构添加ISA扩展的方法，支持了CRYSTALS - Kyber和Saber等算法。还有实现可配置协处理器来加速各种LWE、Ring - LWE和Module - LWE格方案的工作，支持FrodoKEM和CRYSTALS - Kyber。另外，有使用高级综合（HLS）方法合成多个第二轮PQC候选方案的研究。

1.2 格基计算

格基密码系统的关键计算可以总结为如图1所示的层次结构。与基于代码的密码学类似，格基私钥和公钥必须根据预定义的形式从伪随机数生成器（PRNG）中采样。然后，密钥封装和解封