18、可重构硬件上基于格的密码学高效算术运算

可重构硬件上基于格的密码学高效算术运算

1. 引言

当前使用的密码系统依赖于类似的数论问题，如RSA的因式分解难题或ECC的椭圆曲线离散对数问题。然而，如果能够构建足够大的量子计算机，这些问题将不再成立。即使没有量子计算机，密码分析算法的改进也可能严重影响当前方案的安全性，或使所需的安全参数超出实际可行性。因此，有必要研究能抵御量子攻击的实用且高效的替代密码系统。

基于格的密码系统是满足这一需求的有希望的候选者。它们依赖于经过充分研究的问题，目前还没有已知的高效量子算法可以解决这些问题，并且能够实现优雅的安全证明以及从最坏情况到平均情况的归约。早期，基于格的密码学因需要大参数集（如密钥大小约为1兆字节）和复杂操作（如大矩阵乘法）而被认为不实用。但自引入循环格和理想格以来，情况发生了变化，它们使得构建各种理论上合理且高效的密码系统成为可能。

除了作为经典方案的替代品，（理想）格还用于全同态加密（FHE）或部分同态加密（SHE）等新原语，这些原语有潜力保障云计算的安全。2009年Gentry提出了第一个全同态加密系统后，SHE/FHE的研究蓬勃发展，但效率仍远未达到实际应用水平，许多研究都致力于提高其性能。

在考虑基于理想格的密码系统的运行时性能时，最常见且最昂贵的操作是在 $Z_p[x]/\langle x^n + 1\rangle$ 中的多项式乘法。这也是基于格的方案通常声称比数论构造具有渐近速度优势的原因之一，因为多项式乘法等价于负循环或负包装卷积积，可以使用快速傅里叶变换（FFT）在准线性时间 $O(n log n)$ 内高效计算。然而，在实践中，像教科书乘法或Karatsuba算法等简单算法在特定平台上可能表现更好。

在软件实现中，通